DE102016212196A1

DE102016212196A1 - Verfahren zum Auswerten von Sensordaten

Info

Publication number: DE102016212196A1
Application number: DE102016212196.0A
Authority: DE
Inventors: Hans-Leo Ross
Original assignee: Robert Bosch GmbH
Current assignee: Robert Bosch GmbH
Priority date: 2016-07-05
Filing date: 2016-07-05
Publication date: 2018-01-11
Also published as: CN107571866A; CN107571866B

Abstract

Die Erfindung betrifft ein Verfahren zum Auswerten von Sensordaten, wobei Sensordaten wenigstens eines Sensors (121, 122) erfasst werden, die Sensordaten des wenigstens einen Sensors (121, 122) jeweils mittels einer Signatur (142) signiert werden und die Sensordaten in Abhängigkeit von der Signatur (142) ausgewertet werden. Beispielsweise wird in Abhängigkeit von den ausgewerteten Sensordaten ein automatischer Eingriff in die Fahrzeugführung des Fahrzeugs durchgeführt.

Description

Die vorliegende Erfindung betrifft ein Verfahren zum Auswerten von Sensordaten sowie eine Recheneinheit und ein Computerprogramm zu dessen Durchführung.
Stand der Technik
Im Zuge der Automatisierung von mobilen Systemen können Fahrzeuge automatisch gesteuert werden, ohne Eingreifen eines Fahrzeugführers (autonomes Fortbewegen). Zu diesem Zweck kann die Umgebung des Fahrzeugs mittels Sensoren, wie z.B. Kamera, Radargerät, Lidargerät usw., messtechnisch erfasst werden. Entsprechende mit den Sensoren erfasste Sensordaten können ausgewertet und basierend auf diesen ausgewerteten Sensordaten können automatische Eingriffe in die Fahrzeugführung (z.B. Lenkung, Bremsung, Antrieb usw.) durchgeführt werden, beispielsweise indem Aktoren des Fahrzeugs entsprechend angesteuert werden.
Diese Eingriffe können beispielsweise von Steuergeräten des Fahrzeugs selbst bestimmt werden, so dass sich das Fahrzeug selbst autonom steuert. Es ist auch denkbar, dass die Eingriffe von einer externen Recheneinheit bestimmt werden, so dass das Fahrzeug extern ferngesteuert werden kann.
Beispielsweise kann im Zuge eines derartigen autonomen Fortbewegens ein Fahrzeug auf Parkplätzen oder in Parkhäusern automatisch ein- und ausgeparkt werden (automatisiertes Parken). Das Fahrzeug kann somit autonom von einem Ein- und Ausfahrtsbereich in eine jeweilige Parklücke eingeparkt werden und von dieser wieder zurück zu dem Ein- und Ausfahrtsbereich eigenbewegt werden.
Für das autonome Fortbewegen ist es von Bedeutung, dass die Sensordaten, basierend auf welchen in die Fahrzeugführung eingegriffen wird, integer sind, um eine Gefährdung von Insassen des Fahrzeugs oder weiterer Verkehrsteilnehmer zu verhindern. Eine hinreichende Datenintegrität (Vertrauensgrad der Dateninformation) ist notwendig, um gesicherte aktive Eingriffe in die Fahrzeugführung durchführen zu können.
Die Datenintegrität umfasst unterschiedliche Integritätsarten, insbesondere korrekter Inhalt (diese Integritätsart liegt vor, wenn Sachverhalte der realen Welt korrekt abgebildet werden), unmodifizierter Zustand (diese Integritätsart liegt vor, wenn Nachrichten unverändert zugestellt werden und Programme und Prozesse wie beabsichtigt ablaufen) und Erkennung von Modifikation (diese Integritätsart liegt vor, wenn unerwünschte Modifikationen, die nicht verhindert werden können, zumindest erkannt werden).
Beispielsweise ist aus der DE 10 2012 215 343 A1 ein Verfahren zum Durchführen einer Sicherheitsfunktion eines Fahrzeugs bekannt. In Abhängigkeit von dem mindestens einen Integritätswert wird geprüft, ob übertragene Daten für das Durchführen der Sicherheitsfunktion hinreichend zuverlässig sind.
Offenbarung der Erfindung
Erfindungsgemäß werden ein Verfahren zum Auswerten von Sensordaten sowie eine Recheneinheit und ein Computerprogramm zu dessen Durchführung mit den Merkmalen der unabhängigen Patentansprüche vorgeschlagen. Vorteilhafte Ausgestaltungen sind Gegenstand der Unteransprüche sowie der nachfolgenden Beschreibung.
Im Rahmen des Verfahrens werden Sensordaten wenigstens eines Sensors erfasst. Der wenigstens eine Sensor kann zweckmäßigerweise einen auf der Erfassung von elektromagnetischen Wellen basierenden Sensor und/oder einen auf der Erfassung von Schallwellen basierenden Sensor umfassen, beispielsweise einen optischen Sensor, welcher insbesondere Informationen mittels optischer Elemente und optischer Detektoren erfasst, z.B. eine Kamera mit einem CCD-Chip, CMOS-Chip usw., einen akustischen Sensor, z.B. Ultraschallsensor, einen auf der Erfassung von elektromagnetischen Wellen außerhalb des optischen Spektrums basierenden Sensor, z.B. Radargerät, Lidargerät usw. Insbesondere ist der wenigstens eine Sensor in einem Fahrzeug angeordnet und erfasst Informationen über das Fahrzeug und/oder über eine Umgebung des Fahrzeugs.
Die Sensordaten des wenigstens einen Sensors werden jeweils mittels einer Signatur signiert und in Abhängigkeit von der Signatur ausgewertet. Insbesondere werden den von dem jeweiligen Sensor erfassten Informationen zu diesem Zweck spezielle vorgegebene Informationen überlagert. Vorzugsweise handelt es sich bei der Signatur um eine vom Sensor zusammen mit der Umgebung zu erfassende Signatur, z.B. ein elektromagnetisches (insbesondere optisches) bzw. akustisches Muster.
Vorteilhaft kann durch die Signatur überprüft werden, ob die einzelnen Sensordaten integer sind oder z.B. (durch einen Angreifer) manipuliert wurden. Im Zuge dieser Auswertung wird insbesondere überprüft, ob den Sensordaten jeweils die vorgegebenen Informationen der Signatur überlagert sind. Insbesondere nur wenn dies der Fall ist, werden die jeweiligen Sensordaten als integer angesehen und beispielsweise für einen automatischen Eingriff in die Fahrzeugführung verwendet.
Gemäß einer bevorzugten Weiterbildung wird in Abhängigkeit von den ausgewerteten Sensordaten ein automatischer Eingriff in die Fahrzeugführung des Fahrzeugs durchgeführt. Beispielsweise wird als automatischer Eingriff in die Fahrzeugführung ein Eingriff auf eine Längs- und/oder Querführung des Fahrzeugs und/oder auf eine Bremse und/oder auf einen Antrieb durchgeführt.
Durch die Signatur kann gemäß einer weiteren bevorzugten Weiterbildung ebenfalls geprüft werden, ob die Sensoren korrekt kalibriert sind. Wenn die Signatur beispielsweise nicht mit den Sensoren korrekt erkannt werden kann, ist der Sensor möglicherweise nicht korrekt kalibriert und es bedarf einer Nachkalibrierung.
Durch die Erfindung kann sichergestellt werden, dass integre Sensordaten vorhanden sind, die beispielsweise die hohen Sicherheitsanforderungen für automatische Eingriffe in die Fahrzeugführung erfüllen. Insbesondere kann sichergestellt werden, dass die Sensordaten, basierend auf welchen in die Fahrzeugführung eingegriffen wird, zuverlässig, präzise und nicht durch einen Angreifer manipuliert sind, um eine Gefährdung von Insassen des Fahrzeugs oder weiterer Verkehrsteilnehmer zu verhindern. Weiterhin kann verhindert werden, dass es durch einen Angriff zu einer gefährlichen Fehlsteuerung, zu einer Störung des Betriebs des Fahrzeugs oder zum Diebstahl von Informationen kommt. Um sich Zugriff auf das Fahrzeug zu verschaffen und im Zug eines Angriffs auf die Fahrzeugführung Einfluss zu nehmen, müsste es einem Angreifer gelingen, Daten in das Fahrzeug einzubringen, welche mit den von den Sensoren erfassten Sensordaten übereinstimmen, mit diesen Sensordaten plausibilisiert werden können und gemäß der Signatur signiert sind. Der Angreifer müsste somit das nachbilden, was die unterschiedlichen Sensoren zu jedem konkreten Zeitpunkt erfassen und müsste zu jedem Zeitpunkt die spezielle Signatur kennen und imitieren können. Andernfalls könnte sofort bemerkt werden, dass es sich um keine echten Sensordaten, sondern um einen Angriff handelt. Es ist jedoch nahezu ausgeschlossen, dass ein Angreifer die Sensordaten mit der korrekten Signatur zu jedem konkreten Zeitpunkt exakt nachbilden kann, wodurch ein Angriff nahezu unmöglich ist.
Die einzelnen Sensoren können jeweils insbesondere als fahrzeugeigener oder fahrzeugfremder Sensor ausgebildet sein. Unter einem fahrzeugeigenen Sensor sei in diesem Zusammenhang ein Sensor zu verstehen, der Bestandteil des Fahrzeugs ist, z.B. interne Kamera, Radargerät, Lidargerät usw. Ein derartiger fahrzeugeigener Sensor ist insbesondere an einer bestimmten Position am Fahrzeug verbaut, so dass er aber nicht oder zumindest kaum von Funktionen anderer Sensoren in seiner Funktionsweise abhängig ist. Unter einem fahrzeugfremden Sensor sei in diesem Zusammenhang ein Sensor zu verstehen, welcher kein Bestandteil des Fahrzeugs ist, z.B. externe Kameras, Radargeräte, Lidargeräte usw. Ein derartiger fahrzeugfremder Sensor ist insbesondere außerhalb des Fahrzeugs angeordnet und ist insbesondere in anderen Fahrzeugen oder in einer Umgebung des Fahrzeugs, z.B. auf einer Straße, in einem verkehrsberuhigten Bereich oder in einer Park- oder Haltezone, fest installiert und überwacht diese Umgebung bzw. einen Teil der Umgebung.
Die einzelnen Sensoren können jeweils zweckmäßigerweise unabhängigen Funktionsgruppen angehören. Beispielswese können Sensoren einer ersten Funktionsgruppe zur Überwachung des Fahrzeugs vorgesehen sein und Sensoren einer von dieser unabhängigen zweiten Funktionsgruppe können eine Umgebung des Fahrzeugs überwachen.
Eine Recheneinheit zum Durchführen des Verfahrens kann eine fahrzeuginterne oder auch eine fahrzeugfremde Recheneinheit sein. Wenn der automatische Eingriff durch eine fahrzeuginterne Recheneinheit, insbesondere ein Steuergerät des Fahrzeugs, durchgeführt wird, kann das Fahrzeug durch derartige automatische Eingriffe insbesondere im Zuge eines autonomen Fortbewegens selbst steuern. Es ist auch denkbar, dass die Eingriffe von einer externen Recheneinheit bestimmt werden, so dass das Fahrzeug extern ferngesteuert werden kann.
Vorzugsweise werden die Sensordaten des wenigstens einen Sensors mittels einer auf elektromagnetischen Wellen (z.B. Licht, Funkwellen usw.) und/oder mittels einer auf Schallwellen basierenden Signatur signiert.
Als auf elektromagnetischen Wellen basierende Signatur wird insbesondere eine auf Licht basierende Signatur, im Folgenden als optische Signatur bezeichnet, verwendet. Es kann sich dabei um ein spezielles Muster und/oder um spezielle Farben und/oder spezielle Schattierungen handeln, die der Messumgebung bzw. der Probe überlagert werden. Zweckmäßigerweise handelt es sich um ein geometrisches Muster einer speziellen Form (z.B. Matrixcode, Strichcode usw.) oder auch um einen speziellen Code aus Zeichen (Buchstaben, Zahlen usw.). Besonders bevorzugt kann ein aktueller Zeitstempel (Uhrzeit und ggf. Datum) als optische Signatur verwendet werden. Als auf Funksignalen als elektromagnetische Wellen basierende Signaturen können z.B. Radiowellen mit speziellen Frequenzen der Messumgebung bzw. der Probe überlagert werden.
Als auf Schallwellen basierende Signatur, im Folgenden als akustische Signatur bezeichnet, wird insbesondere ein akustisches Muster der Messumgebung bzw. der Probe überlagert, z.B. ein spezielles Geräusch bzw. spezielle Töne oder eine spezielle Reihenfolge von bestimmten Tönen.
Vorteilhafterweise werden die Messumgebung bzw. die Probe mit der Signatur überlagert, vorteilhafterweise indem die Signatur direkt in eine Messöffnung des wenigstens einen Sensors und/oder in ein Messfeld bzw. Blickfeld des wenigstens einen Sensors projiziert wird.
Beispielsweise kann eine optische Signatur mittels eines Lasers, eine funkwellenbasierte mittels eines Senders und eine akustische mittels eines Lautsprechers projiziert werden. Insbesondere kann die optische Signatur fokussiert auf ein optisches Element des wenigstens einen Sensors projiziert werden, beispielsweise auf eine Linse oder auf einen Detektor (CCD-Chip, CMOS-Chip usw.)
Wenn beispielsweise ein gemeinsamer Bereich von den Sensoren messtechnisch erfasst wird, beispielsweise ein gewisser Bereich um das Fahrzeug herum, kann die Signatur beispielsweise in diesen gemeinsamen Bereich projiziert werden. Somit kann gewährleistet werden, dass Sensordaten, welche gleichzeitig von unterschiedlichen Sensoren erfasst werden, mit derselben Signatur signiert werden. Im Zuge der Auswertung kann in diesem Fall insbesondere überprüft werden, ob diese Signatur tatsächlich in sämtlichen gleichzeitig erfassten Sensordaten der unterschiedlichen Sensordaten erkannt werden kann.
Vorzugsweise werden die Sensordaten mittels einer zeitlich veränderlichen Signatur signiert. Bevorzugt kann dabei die Signatur selbst, also z.B. die spezielle Form, das Muster, die Zeichen bzw. der Code usw. Musters zeitlich verändert werden. Alternativ oder zusätzlich kann vorzugsweise die Position der Signatur zeitlich verändert werden. Im Zuge der Auswertung der Sensordaten kann somit insbesondere eine Zeitsynchronizität der Sensordaten überprüft werden. Auch eine Überwachung von Datenlaufzeiten ist mittels einer derartigen zeitlichen Veränderung der Signatur machbar. Somit erreicht man auch eine zeitliche Integrität.
Vorteilhafterweise wird der wenigstens eine Sensor anhand der Signatur kalibriert. Insbesondere kann anhand der Signatur ein gemeinsamer Bereich, welcher von verschiedenen Sensoren gemeinsam überwacht wird, erkannt werden. Wenn die z.B. optische Signatur in das Blickfeld der einzelnen Sensoren projiziert wird, kann die optische Signatur beispielsweise als Fixpunkt verwendet werden. Somit kann insbesondere gewährleistet werden, dass die Position des Fahrzeugs relativ zu der Umgebung präzise bestimmt werden kann.
Derartige Signaturen können beispielsweise ebenfalls zur Plausibilisierung von Mess- bzw. Rechenwerten von Fahrzeugparametern (z.B. Fahrzeuggeschwindigkeit, Lenkbewegung, Fahrtrichtung usw.) genutzt werden, da sich Eigenschaften der Signatur (z.B. geometrische Ausmaße einer optischen Signatur, Intensität, Frequenz von Schall, Radiowellen usw.) in Abhängigkeit von diesen Fahrzeugparametern ändern können.
Besonders vorteilhaft eignet sich das Verfahren zum Durchführen eines autonomen Fortbewegens bzw. automatischen Einparkens, wobei das Fahrzeug basierend auf den Sensordaten automatisch gesteuert wird, insbesondere ohne Eingreifen eines Fahrers. Das Fahrzeug kann sich dabei selbsttätig steuern oder von einer externen Recheneinheit ferngesteuert werden. Insbesondere werden die Sensordaten des wenigstens einen Sensors bezüglich einer Position und/oder einer Orientierung des Fahrzeugs erfasst. In Abhängigkeit von diesen Sensordaten können insbesondere Position und Orientierung des Fahrzeugs durch die automatischen Eingriffe gesteuert bzw. geregelt werden. Es ist auch denkbar, dass der Eingriff vorteilhafterweise durch eine Fahrerassistenzfunktion durchgeführt wird, z.B. durch einen Spurhalteassistenten, einen Abstandsregeltempomat, eine automatische Längsführung usw.
Beispielsweise können die Sensoren an einem Rand einer Fahrspur (z.B. auf der Straße oder Parkplatz/Parkhaus) angeordnet sein und einen Teil dieser Fahrspur überwachen. Durch Auswerten entsprechender Sensordaten kann das Fahrzeug und dessen Position bzw. Orientierung zu der Fahrspur bestimmt werden. In Abhängigkeit von diesen ausgewerteten Sensordaten können Eingriffe in die Fahrzeugführung bestimmt werden, um das Fahrzeug auf der Fahrspur zu bewegen.
Beispielsweise können die Sensoren auch in einem Parkhaus bzw. an einem Parkhaus angeordnet sein. In Abhängigkeit von entsprechenden ausgewerteten Sensordaten können Eingriffe in die Fahrzeugführung durchgeführt werden, um das Fahrzeug im Zuge eines automatisierten Parkens in eine Parklücke ein- und/oder auszuparken. Insbesondere wird das Fahrzeug automatisch von einem Ein- und Ausfahrtsbereich in eine jeweilige Parklücke eingeparkt und/oder von dieser wieder zurück zu dem Ein- und Ausfahrtsbereich bewegt. Analog kann das Fahrzeug auch im Zuge eines automatisierten Parkens in eine Parklücke am Straßenrand eingeparkt werden, in Abhängigkeit von ausgewerteten Sensordaten von am Straßenrand angeordneten fahrzeugfremden Sensoren.
Im Zuge eines derartigen autonomen Fortbewegens bzw. automatisierten Einparkens gelten hohe Sicherheitsrichtlinien, da durch entsprechende automatische Eingriffe in die Fahrzeugführung keine Gefährdung der Insassen des Fahrzeugs sowie anderer Verkehrsteilnehmer bzw. keine Beschädigungen weiterer geparkter Fahrzeuge erfolgen dürfen. Durch das Verfahren kann gewährleistet werden, dass ein derartiges autonomes Fortbewegen bzw. automatisiertes Einparken sicher und zuverlässig durchgeführt wird, ohne dass Insassen und weitere Verkehrsteilnehmer gefährdet werden.
Gemäß einer bevorzugten Ausführungsform des Verfahrens können für den automatischen Eingriff Redundanzen in mehreren unterschiedlichen Ebenen realisiert werden und vorzugsweise eine redundante Plausibilisierung der Sensordaten durchgeführt werden. Gemäß einer vorteilhaften Ausführung werden zu diesem Zweck Sensordaten von wenigstens zwei Sensoren erfasst. Im Folgenden wird ohne Beschränkung der Allgemeinheit der Fall betrachtet, dass Sensordaten eines ersten Sensors als erste Sensordaten erfasst und mittels der Signatur signiert werden und dass Sensordaten eines zweiten Sensors als zweite Sensordaten erfasst und mittels der Signatur signiert werden. Es versteht sich, dass auch Sensordaten von mehr als zwei Sensoren erfasst werden können.
Im Zuge einer ersten Auswertung werden die ersten Sensordaten und die zweiten Sensordaten vorzugsweise unabhängig voneinander und vorzugsweise zusammen mit der Signatur ausgewertet und jeweils eine erste Integrität der ersten Sensordaten und der zweiten Sensordaten wird bestimmt. Analog dazu wird vorzugsweise eine zweite Auswertung der ersten und zweiten Sensordaten vorzugsweise unabhängig voneinander und zusammen mit der Signatur durchgeführt, im Zug derer jeweils eine zweite Integrität der ersten Sensordaten und der zweiten Sensordaten bestimmt wird.
Somit kann anhand der Signatur überprüft werden, ob die Sensordaten integer sind oder z.B. durch einen Angreifer manipuliert wurden und weiterhin kann bewertet werden, wie präzise und zuverlässig die Sensordaten durch die Sensoren bestimmt wurden. Diese erste und zweite Auswertung können insbesondere gleichzeitig oder zumindest im Wesentlichen gleichzeitig durchgeführt werden. Somit kann eine redundante Bestimmung der Integrität der Sensordaten durchgeführt werden und die Sensordaten können gegeneinander plausibilisiert werden.
In Abhängigkeit von der ersten Integrität, von der zweiten Integrität sowie in Abhängigkeit von den ersten Sensordaten und von den zweiten Sensordaten wird der automatische Eingriff in die Fahrzeugführung des Fahrzeugs durchgeführt. Die ersten und zweiten Sensordaten werden zu diesem Zweck beispielsweise ausgewertet, um Eingangsdaten zu erzeugen, basierend auf welchen der Eingriff auf die Fahrzeugführung bzw. entsprechende Ansteuerdaten für Aktoren bestimmt wird.
Somit werden zweckmäßigerweise parallele Datenströme zur Auswertung der Sensordaten bereitgestellt, die unabhängig voneinander geprüft werden, insbesondere im Zuge von Kreuzvergleichen. Für die erste Auswertung und für die zweite Auswertung werden insbesondere unabhängige Berechnungsverfahren verwendet. Dateninhalte der Datenströme werden durch die Kreuzvergleiche bzw. Auswertungen insbesondere nicht verändert und nicht abgeschaltet. Die Datenströme erhalten insbesondere einen unabhängigen Qualifier, der die entsprechende Datengüte anzeigt. Zweckmäßigerweise werden die parallelen unabhängigen Datenströme von den Sensoren bis zu den Aktoren implementiert. Die Datenströme werden insbesondere unabhängig durch sämtliche Systeme und Subsysteme geführt. In herkömmlichen Fahrzeugen sind Sensoren und Aktuatoren meist abhängig voneinander integriert. Im Gegensatz dazu wird es durch das Verfahren ermöglicht, Sensoren funktionsunabhängig auszuwerten und Aktoren funktionsunabhängig anzusteuern. Insbesondere kann dies ermöglicht werden, wenn Sensoren und Aktoren über Ethernet verbunden sind. Durch derartige unabhängige Implementierung ergeben sich insbesondere präzisere Plausibilisierungsmöglichkeiten von Sensordaten und die Integrität der Daten kann erhöht werden.
Somit wird es ermöglicht, für automatische Eingriffe in die Fahrzeugführung Redundanzen in mehreren unterschiedlichen Ebenen zu realisieren, insbesondere im Zuge des autonomen Fortbewegens bzw. automatischen Einparkens. Insbesondere kann eine durchgängig redundante Struktur erreicht werden, von der Erfassung der Fahrzeugposition bis zur Ausführung von Steuerbefehlen im Fahrzeug. Einerseits kann die Position bzw. Orientierung mittels unterschiedlicher redundanter Sensoren messtechnisch erfasst und gegeneinander plausibilisiert werden. Weiterhin werden die Überprüfung der optischen Signatur sowie die Plausibilisierung im Zuge zweier Auswertungen redundant durchgeführt. Daten können in unterschiedlichen Ebenen gegeneinander plausibilisiert bzw. im Zuge von Kreuzvergleichen überwacht werden. Zweckmäßigerweise kann somit sichergestellt werden, dass keine inkorrekten Daten in weiteren Verarbeitungsstufen genutzt oder weitergeleitet werden. Für das autonome Fortbewegen kann somit eine maximale Sicherheit gewährleistet werden.
Beim Verlust einer Redundanz, wenn beispielsweise einer der Sensoren ausfällt oder wenn eine der Auswertungen nicht mehr durchgeführt werden kann, kann das Fahrzeug durch die verbleibenden Ressourcen dennoch weiter gesteuert und in einen sicheren Zustand überführt werden, z.B. bis zum Stillstand an einer sicheren Position, etwa dem Straßenrand oder einem Standstreifen. Beispielsweise kann auch die aktuelle Geschwindigkeit des Fahrzeugs reduziert werden, um eine Reduzierung eines potentiellen Schadensausmaßes bei Unfällen zu erreichen und um mehr Daten pro Zeiteinheit sammeln zu können, da sich ein Zeitintervall für das Zurücklegen einer bestimmten Strecke erhöht. Insbesondere können somit präzisere und zuverlässigere Daten gesammelt werden. Auch für die Plausibilisierung der Sensordaten steht somit mehr Zeit zur Verfügung. Es ist daher bei Verlust einer Redundanz nicht notwendig, das Fahrzeug abrupt zu stoppen, was gegebenenfalls zu einer Gefährdung von Insassen oder weiteren Verkehrsteilnehmern führen kann.
Zweckmäßigerweise können durch die durchgängig redundante Struktur Angriffe verhindert werden. Insbesondere können für die Auswertungen und den automatischen Eingriff jeweils unterschiedliche Verschlüsselungen (unterschiedliche Art der Verschlüsselung und/oder unterschiedliche Schlüssel) verwendet werden. Um auf das Fahrzeug oder dessen Fahrverhalten Einfluss nehmen zu können, müsste ein Angreifer unterschiedliche Verschlüsselungen und die Signaturen gleichzeitig manipulieren, was so gut wie ausgeschlossen werden kann.
Gemäß einer vorteilhaften Ausführung wird die erste Integrität von einer ersten Recheneinheit bestimmt und die zweite Integrität von einer zweiten Recheneinheit. Die erste und/oder zweite Recheneinheit steht vorzugsweise mit einer dritten Recheneinheit in Kommunikationsverbindung, wobei von der dritten Recheneinheit bevorzugt der automatische Eingriff in die Fahrzeugführung durchgeführt wird. Insbesondere können diese Recheneinheiten in diesem Fall ein Netzwerk aus Recheneinheiten bilden, welches dazu eingerichtet ist, diese bevorzugte Ausführungsform des erfindungsgemäßen Verfahrens durchzuführen. Das Signieren der Sensordaten mit der optischen Signatur kann vorzugsweise von der ersten und/oder der zweiten Recheneinheit durchgeführt werden.
Beispielsweise kann die erste und/oder zweite Recheneinheit zu diesem Zweck einen entsprechenden Projektor steuern.
Somit wird zweckmäßigerweise nicht nur eine zeitliche Redundanz der Bestimmung der Integrität ermöglicht, sondern ebenfalls eine räumliche Redundanz. Die Bestimmung der Integrität der Sensordaten wird somit insbesondere gleichzeitig oder im Wesentlichen gleichzeitig auf unterschiedlichen Recheneinheiten durchgeführt. Weiterhin erfolgt die Durchführung des automatischen Eingriffs unabhängig davon durch die weitere dritte Recheneinheit, wodurch eine weitere Sicherheitsstufe bzw. Redundanz eingeführt wird.
Vorzugsweise sind die erste und/oder die zweite Recheneinheit jeweils als fahrzeugfremde Recheneinheiten ausgebildet, beispielsweise jeweils als Server zur Verkehrsüberwachung, welcher mittels der Sensoren die entsprechende Fahrspur überwacht. Bevorzugt können die erste und/oder zweite Recheneinheit jeweils als Server eines Parkhaus und/oder eines Parkplatzes ausgebildet sein. Mittels der Sensoren kann ein derartiger Parkhausserver das jeweilige Parkhaus bzw. den Parkplatz zweckmäßigerweise überwachen. Die dritte Recheneinheit ist vorteilhafterweise als eine Fahrzeuginterne Recheneinheit ausgebildet, zweckmäßigerweise als ein Steuergerät, welches Aktoren entsprechend ansteuert, um den automatischen Eingriff durchzuführen. Insbesondere kann die erste und/oder zweite (Fahrzeugfremde) Recheneinheit jeweils beispielsweise über eine Funkverbindung wie WLAN/GSM/3G/4G usw. mit der dritten, Fahrzeuginternen Recheneinheit in Kommunikationsverbindung stehen.
Durch die durchgängige redundante Struktur zum Durchführen des automatischen Eingriffs können die einzelnen Recheneinheiten zweckmäßigerweise jeweils auf Leistung optimiert werden und es müssen keine zusätzlichen ressourcenverbrauchenden Sicherheitsmechanismen vorgesehen werden. Beispielsweise kann für die einzelnen Recheneinheiten ein Standard Betriebssystem verwendet werden, beispielsweise Linux, insbesondere Echtzeitlinux. Echtzeit bedeutet, dass ablaufende Prozesse ein deterministisches Zeitverhalten aufweisen und ein der Abschluss eines Prozesses innerhalb eines bestimmten Zeitraums garantiert ist. Alle Verarbeitungsschritte werden insbesondere in einem hinreichenden und zeitgerechten Intervall ausgeführt.
Zweckmäßigerweise stehen die erste und die zweite Recheneinheit ebenfalls in Kommunikationsverbindung, beispielsweise über eine Funkverbindung wie oben oder über eine kabelgebundene Verbindung wie Ethernet. Die erste Recheneinheit übermittelt insbesondere die von ihr bestimmte erste Integrität an die zweite Recheneinheit und die zweite Recheneinheit vergleicht diese erste Integrität mit der von ihr bestimmten zweiten Integrität. Analog übermittelt insbesondere die zweite Recheneinheit die zweite Integrität an die erste Recheneinheit und die erste Recheneinheit vergleicht die erste und zweite Integrität ebenfalls miteinander.
Wenn die beiden Integritäten identisch oder zumindest im Wesentlichen (d.h. im Rahmen zulässiger Abweichungen) identisch sind, übermitteln die erste und zweite Recheneinheit insbesondere parallel und unabhängig voneinander jeweils die erste und zweite Integrität an die dritte Recheneinheit. Die dritte Recheneinheit, bevorzugt ein Steuergerät des Fahrzeugs, bestimmt in Abhängigkeit von den Integritäten und von den Sensordaten in diesem Fall den automatischen Eingriff und führt diesen durch. Das Fahrzeug steuert sich in diesem Fall selbst.
Es ist auch denkbar, dass sowohl die erste als auch die zweite Recheneinheit jeweils parallel und unabhängig voneinander den durchzuführenden automatischen Eingriff bestimmen, wenn die beiden Integritäten identisch oder zumindest im Wesentlichen identisch sind. In diesem Fall können die erste und die zweite Recheneinheit ihre jeweiligen Ergebnisse an die dritte Recheneinheit übermitteln. Diese dritte Recheneinheit, bevorzugt ein Steuergerät des Fahrzeugs, führt diesen automatischen Eingriff letztendlich durch. In diesem Fall wird das Fahrzeug insbesondere durch die erste bzw. zweite Recheneinheit ferngesteuert.
Insbesondere erfolgt eine Übermittelung von Daten durch die erste und zweite Recheneinheit jeweils mittels einer unterschiedlichen Verschlüsselung (unterschiedliche Art der Verschlüsselung und/oder unterschiedliche Schlüssel). Somit können insbesondere Angriffe verhindert werden, da so gut wie ausgeschlossen werden kann, dass ein Angreifer diese beiden Verschlüsselungen gleichzeitig manipulieren kann.
Vorteilhafterweise werden die erste Integrität im Zuge der ersten Auswertung und/oder die zweite Integrität im Zuge der zweiten Auswertung jeweils wie nachfolgend beschrieben bestimmt: Aus den ersten Sensordaten werden bevorzugt erste Poseinformationen bestimmt, welche eine Position und/oder eine Orientierung des Fahrzeugs zu einem Referenzzeitpunkt beschreiben. Analog werden aus den zweiten Sensordaten bevorzugt zweite Poseinformationen bestimmt, welche ebenfalls die Position und/oder die Orientierung des Fahrzeugs zu dem Referenzzeitpunkt beschreiben. Die Poseinformationen beschreiben somit insbesondere, an welcher konkreten Position sich das Fahrzeug zu dem Referenzzeitpunkt befindet.
Diese ersten und zweiten Poseinformationen werden vorzugsweise miteinander verglichen und aus diesem Vergleich wird die jeweilige Integrität der ersten Sensordaten und der zweiten Sensordaten bestimmt. Die ersten und zweiten Sensordaten können somit plausibilisiert werden. Idealerweise sollte die Position bzw. Orientierung des Fahrzeugs, welche durch die ersten und die zweiten Poseinformationen beschrieben wird, identisch sein und die tatsächliche Position bzw. Orientierung des Fahrzeugs wiedergeben. Je genauer die ersten und zweiten Poseinformationen also übereinstimmen, desto höher ist die jeweilige Integrität der entsprechenden Sensordaten.
Vorzugsweise werden somit Sensordaten von verschiedenen Sensoren zeitlich und örtlich kalibriert. Die Sensordaten werden insbesondere in einen zeitlichen und örtlichen Kontext gebracht bzw. räumlich und zeitlich in ein festes Raster hineindefiniert. Verschiedene Sensordaten werden somit vergleichbar gemacht und in einen gemeinsamen, eindeutigen Kontext definiert und können repräsentativ und aussagekräftig miteinander verglichen werden. Durch örtliches Kalibrieren wird gewährleistet, dass die Sensoren zumindest teilweise denselben Bereich überwachen und somit Sensordaten desselben Bereichs erfassen. Somit kann eine erste Überlappung der Sensordaten erreicht werden. Durch zeitliches Kalibrieren wird darüber hinaus gewährleistet, dass dieser gemeinsame Bereich von den Sensoren zum selben konkreten Zeitpunkt erfasst wird. Somit wird eine weitere Überlappung der Sensordaten erreicht. Eine Möglichkeit zur Bestimmung der Integrität basiert auf einer Bestimmung eines Überlappungsgrades von in den Sensordaten enthaltenen Informationen. Wenn unterschiedliche Sensoren in Zeit und Raum dasselbe erkennen, wenn also die entsprechenden Sensordaten zeitlich und örtlich überlappen, besitzen diese Daten einen erhöhten Integritätsgrad.
Durch zeitliches Kalibrieren kann insbesondere eine zeitliche Integrität der Sensordaten erzielt werden. Insbesondere kann ein erstes Zeitintervall zwischen dem Zeitpunkt, zu welchem eine (optische) Information gesendet wird, und dem Zeitpunkt, zu welchem die Information von dem entsprechenden Sensor detektiert wird (optisch-elektrische Wandlung), kompensiert werden. Weiterhin können insbesondere ein zweites Zeitintervall zwischen Anregung des Sensors und Erzeugung eines entsprechenden elektrischen Signals (physikalisch-elektrische Wandlung) sowie die jeweilige Signallaufzeit dieses Signals kompensiert werden.
Durch diese Bestimmung der jeweiligen Integrität können insbesondere unterschiedliche Datenlaufzeiten (Latenzen) kompensiert werden. Unter derartigen unterschiedlichen Datenlaufzeiten sei in diesem Zusammenhang insbesondere zu verstehen, dass es für unterschiedliche Sensoren unterschiedlich lange dauern kann, bis gemessene Sensordaten ausgewertet und die jeweiligen verwertbaren Informationen bestimmt sind. Die Datenlaufzeit kann beispielsweise von Datenübertragungszeiten abhängen, welche benötigt werden, um die vom Sensor erfassten Sensordaten in eine entsprechende Recheneinheit zu übertragen, welches die Sensordaten auswertet. Weiterhin kann die Datenlaufzeit von einer Laufzeit abhängen, welche z.B. ein in der Recheneinheit ausgeführtes Programm benötigt, um die Sensordaten auszuwerten und die entsprechenden Information zu bestimmen.
Durch den Bezug der Poseinformationen auf den Referenzzeitpunkt können diese unterschiedlichen Datenlaufzeiten von unterschiedlichen Sensoren kompensiert werden. Es werden somit nicht Poseinformationen miteinander verglichen, welche zum selben Referenzzeitpunkt bestimmt werden, da diese gegebenenfalls auf Sensordaten basieren, welche zu verschiedenen Zeitpunkten von den jeweiligen Sensoren erfasst wurden. Stattdessen werden Poseinformationen miteinander verglichen, welche die Position des Fahrzeugs zu demselben Referenzzeitpunkt beschreiben und welche somit auf einen konkreten, fixen zeitlichen Referenzpunkt bezogen sind. Wenn beispielsweis die aktuelle Uhrzeit als optische Signatur verwendet wird, kann insbesondere die Uhrzeit als Referenzzeitpunkt verwendet werden, welche in den Sensordaten als optische Signatur enthalten ist.
Somit kann repräsentativ bewertet werden, wie zuverlässig erfasste Sensordaten sind. Insbesondere kann somit bewertet werden, wie präzise durch die Sensoren die tatsächliche Position des Fahrzeugs bestimmt werden kann. Anhand der bestimmten Integrität kann insbesondere bewertet werden, ob die Sensordaten zuverlässig genug sind, um für den automatischen Eingriff verwendet zu werden.
Beispielsweise kann ein entsprechender Integritätswert bestimmt werden, welcher beispielsweise zwischen 0 (schlecht) und 1 (gut) bzw. zwischen 0% und 100% liegen kann. Es kann ein Schwellwert definiert werden, wobei die Sensordaten als nicht ausreichend integer bewertet werden, wenn der Integritätswert diesen Schwellwert nicht erreicht. Hierdurch wird es insbesondere möglich, auch unscharfe "Sensor"daten (z.B. Ausgabedaten von neuronalen Netzen, Kalman-Filtern, andere statistische erfasste Daten usw.) in die Integritätsbestimmung einzubeziehen.
Gemäß einer vorteilhaften Ausführung werden die ersten Poseinformationen und/oder die zweiten Poseinformationen mit Umgebungsinformationen verglichen, welche eine Umgebung des Fahrzeugs zu dem Referenzzeitpunkt beschreiben. Aus diesem Vergleich wird vorzugsweise die jeweilige Integrität der ersten und zweiten Sensordaten bestimmt. Insbesondere kann somit bewertet werden, wie zuverlässig die Sensordaten die Position und die Umgebung des Fahrzeugs beschreiben, und wie stark in Abhängigkeit von den Sensordaten somit zweckmäßigerweise Eingriffe in die Fahrzeugführung durchgeführt werden.
Vorzugsweise ist die Umgebung des Fahrzeugs eine Straße und/oder ein Parkhaus und/oder ein Parkplatz. Beispielsweise können die Umgebungsinformationen die Straße beschreiben, auf welcher sich das Fahrzeug zu dem Referenzzeitpunkt bewegt. Derartige Umgebungsinformationen können beispielsweise aus Kartendaten eines Navigationssystems des Fahrzeugs oder aus dem Internet bzw. über eine drahtlose Datenverbindung (ggf. auch von anderen Fahrzeugen) bezogen werden. Die Umgebungsinformationen können insbesondere auch das Parkhaus bzw. den Parkplatz beschreiben. Parkhaus bzw. Parkplatz können zu diesem Zweck präzise vermessen werden, um die entsprechenden Umgebungsinformationen zu bestimmen.
Beispielsweise kann aus den Sensordaten die Position zu dem Referenzzeitpunkt relativ zu der Umgebung des Fahrzeugs bestimmt werden. Somit werden sowohl ein zeitlicher Referenzpunkt als auch ein räumlicher Referenzpunkt (insbesondere die Umgebung des Fahrzeugs) vorgegeben, auf welche die Sensordaten bezogen werden können Die Sensordaten können somit wie oben beschrieben zweckmäßigerweise in einen konkreten zeitlichen und örtlichen Kontext gebracht bzw. räumlich und zeitlich in ein festes Raster hineindefiniert werden. Die Sensordaten werden somit vergleichbar, repräsentativ und aussagekräftig.
Vorzugsweise wird ein Abstand des Fahrzeugs zu einem Referenzpunkt der Umgebung als erste Poseinformationen und/oder zweite Poseinformationen bestimmt. Dieser Referenzpunkt kann zweckmäßigerweise aus den Umgebungsinformationen entnommen werden. Beispielsweise kann ein markanter, eindeutig zu identifizierender Punkt in der Umgebung gewählt werden, wie beispielsweise eine Brücke, ein Pfeiler, eine Kreuzung, eine Einmündung, ein Baum, eine Fahrbahnmarkierung usw. Beispielsweise können bei Parkhaus/Parkplatz als Umgebung eine Schranke, eine Laterne, eine Auffahrt, eine Abfahrt, eine Parklücke, eine Markierung einer Parklücke usw. als konkreter Punkt gewählt werden.
Somit kann anhand konkreter Referenzpunkte der Umgebung bewertet werden, wie präzise und zuverlässig die Sensoren Position und Umgebung des Fahrzeugs bestimmen können und wie stark in Abhängigkeit davon Eingriffe in die Fahrzeugführung durchgeführt werden bzw. werden dürfen.
Vorzugsweise wird eine relative Position des Fahrzeugs in einem Inertialsystem des Fahrzeugs relativ zu einem ortsfesten Koordinatensystem einer Umgebung des Fahrzeugs als erste Poseinformationen und/oder zweite Poseinformationen bestimmt. Alternativ oder zusätzlich kann bevorzugt auch eine absolute Position des Fahrzeugs in dem ortsfesten Koordinatensystem der Umgebung des Fahrzeugs als erste und/oder zweite Poseinformationen bestimmt werden.
In dem Inertialsystem kann das Fahrzeug insbesondere als unbewegt bzw. stillstehend angenommen werden. Das Inertialsystem wiederum bewegt sich relativ zu dem ortsfesten Koordinatensystem der Umgebung mit der aktuellen Geschwindigkeit des Fahrzeugs. Das Koordinatensystem der Umgebung kann beispielsweise ein globales Weltkoordinatensystem sein. Beispielsweise kann dieses ortsfeste Koordinatensystem aus entsprechenden Umgebungsinformationen eines Navigationssystems des Fahrzeugs und/oder aus dem Internet bzw. über eine drahtlose Datenverbindung bezogen werden. Beispielswiese können Straßen, Parkhäuser bzw. Parkplätze präzise vermessen werden, um ein derartiges ortsfestes Koordinatensystem zu bestimmten.
Mittels des Inertialsystems und dessen relativer Orientierung zu dem ortsfesten Umgebungskoordinatensystem (als räumliche Referenz) zu dem konkreten Referenzzeitpunkt (als zeitliche Referenz) können die Sensordaten insbesondere wie oben beschrieben in einen räumlichen und zeitlichen Kontext gebracht bzw. räumlich und zeitlich in ein festes Raster hineindefiniert werden.
Vorteilhafterweise wird in Abhängigkeit von der ersten Integrität und/oder von der zweiten Integrität der ersten Sensordaten bzw. der zweiten Sensordaten bestimmt, wie stark der automatische Eingriff in die Fahrzeugführung durchgeführt wird, insbesondere wie stark auf Aktoren des Fahrzeugs Einfluss genommen wird. Somit wird eine differenzierte Bewertung ermöglicht und es kann bestimmt werden, wie stark im Zuge des autonomen Fortbewegens bzw. des automatisierten Einparkens auf die Fahrzeugführung eingegriffen werden darf. Je höher die Datenintegrität, desto stärker darf dieser Eingriff erfolgen. Es können beispielsweise verschiedene Schwellwerte definiert werden, wobei die Eingriffsstärke jeweils reduziert wird, wenn der bestimmte Integritätswert einen dieser Schwellwerte erreicht. Beispielsweise ist auch eine kontinuierliche Anpassung der Eingriffsstärke denkbar, wenn der insbesondere zwischen 0 und 1 definierte Integritätswert mit der entsprechenden Eingriffsstärke multipliziert wird.
Durch die bestimmte Integrität der Sensordaten kann bewertet werden, ob basierend auf diesen Sensordaten ein sicherer Eingriff auf die Fahrzeugführung durchgeführt werden kann oder ob die Sensordaten zu unsicher sind und verworfen werden sollen. Derartige Eingriff in die Fahrzeugführung können somit insbesondere gemäß den Sicherheitsstandards der Norm ISO 26262 bzw. gemäß dem darin definierten ASIL (Automotive Safety Integrity Level) durchgeführt werden.
Durch diese kontinuierliche Anpassung der Eingriffsstärke kann insbesondere gewährleistet werden, dass im Zuge des automatisierten Einparkens keine abrupten Brems- oder Lenkmanöver durchgeführt werden, sondern dass das Fahrzeug im Zuge einer kontinuierlichen, "sanften" Bewegung eingeparkt wird. Die Geschwindigkeit des Fahrzeugs kann dabei z.B. kontinuierlich verringert werden, bis es in der jeweiligen Parklücke zum Stillstand kommt.
Gemäß einer bevorzugten Weiterbildung werden weitere von anderen Sensoren stammende Poseinformationen mit den ersten und zweiten Poseinformationen verglichen. Aus diesem Vergleich werden zweckmäßigerweise Sensordaten mit einer im Vergleich zu den ersten und zweiten Sensordaten erhöhten Datenintegrität bestimmt. Vorzugsweise wird zur Erhöhung der Datenintegrität eine Abstimmung (sog. "Voting") über die Sensordaten der Sensoren durchgeführt. Dabei wird insbesondere überprüft, ob mindestens eine bestimmte Anzahl der Sensordaten bzw. deren Poseinformationen übereinstimmen bzw. im Wesentlichen übereinstimmen. Diese übereinstimmenden Sensordaten weisen insbesondere eine im Vergleich zu den ersten und zweiten Sensordaten erhöhte Datenintegrität auf.
Beispielsweise kann eine sog. 2 von 3 Abstimmung ("2 out of 3 voting", "2oo3") durchgeführt werden, im Zuge derer mindestens zwei von drei Sensordaten übereinstimmen müssen. Es kann auch eine 70 von 100 Abstimmung durchgeführt werden ("70 out of 100 voting", "70oo100"), im Zuge derer mindestens 70 von 100 Sensordaten übereinstimmen müssen. Somit kann eine hohe Fehlertoleranz und eine hohe Verlässlichkeit der Sensordaten erreicht werden. Beispielsweise können in die Abstimmung auch unscharfe Sensordaten, Sensordaten mit unterschiedlichen Datenlaufzeiten oder verrauschte Sensordaten eingebracht werden.
Es ist beispielsweise auch denkbar eine Abstimmung für Aktoren durchzuführen, insbesondere wenn unterschiedliche Steuereinheiten oder Funktionen auf zwei unabhängige Aktoren bzw. Aktorsysteme einwirken, z.B. auf ein erstes und ein zweites Aktorsystem zum Bremsen der Räder der Vorderachse bzw. der Hinterachse oder z.B. auf zwei unabhängige Aktorsysteme in Form von zwei unabhängigen Wicklungspaaren in einer elektrischen Maschine. Basierend auf den Integritäten kann zweckmäßigerweise abgestimmt werden, welche Steuereinheiten oder Funktionen auf die Aktoren einwirken.
Vorzugsweise können für die Bestimmung der ersten bzw. zweiten Integrität weiterhin jeweils Metadaten des ersten Sensors und/oder des zweiten Sensors berücksichtigt werden. Unter Metadaten seien in diesem Zusammenhang insbesondere Informationen zu verstehen, die beschreiben, mit welcher Güte bzw. Genauigkeit der jeweilige Sensor Sensordaten messtechnisch erfassen kann und/oder mit welcher Güte bzw. Genauigkeit diese erfassten Sensordaten ausgewertet werden können. Beispielsweise können diese Metadaten im Zuge eines Herstellungs- bzw. Entwicklungsprozesses der einzelnen Sensoren bestimmt werden, indem der Sensor präzise vermessen wird. Beispielsweise können diese Metadaten im Zuge des Herstellungsprozesses in dem Sensor selbst hinterlegt werden und von dem Sensor insbesondere an die entsprechende Recheneinheit, welche die Integrität im Rahmen des Verfahrens bestimmt, mitgeteilt werden.
Beispielsweise können die Metadaten Fehlerraten, Diagnosedeckungsgrad (Diagnostic Coverage DC) und/oder Buslaufzeiten der Sensoren beschreiben. Beispielsweise können die Metadaten auch Wahrscheinlichkeiten beschreiben, z.B. Wahrscheinlichkeiten für das Auftreten von Störungen bzw. Fehlern, wie etwa systembedingte Hardware- oder Softwarefehler. Vorzugsweise kann der Integritätswert der ersten und zweiten Sensordaten in Abhängigkeit von diesen Metadaten bestimmt werden, insbesondere in Abhängigkeit von derartigen Wahrscheinlichkeiten für das Auftreten von Fehlern bzw. Störungen und/oder in Abhängigkeit von derartigen Fehlererraten.
Für eine detaillierte Erläuterung derartiger Metadaten sei an dieser Stelle auf die Offenlegungsschrift DE 10 2012 215 343 A1 verwiesen. Beispiele für mögliche Fehler und entsprechende Fehlerraten sind etwa in Absatz [0030] dieser Offenlegungsschrift gegeben. Weiterhin sind detaillierte Ausführungen zu Metadaten, wie z.B. Fehlerraten, Diagnosedeckungsgrad, entsprechenden Wahrscheinlichkeiten, sowie zu der Bestimmung eines Integritätswertes von Daten in Abhängigkeit von derartigen Metadaten in dieser Offenlegungsschrift insbesondere in den Absätzen [0010] bis [0040] erläutert, auf welche an dieser Stelle vollumfänglich verwiesen wird.
Eine erfindungsgemäße Recheneinheit, z.B. ein Steuergerät eines Fahrzeugs, ist, insbesondere programmtechnisch, dazu eingerichtet, ein erfindungsgemäßes Verfahren durchzuführen.
Auch die Implementierung des Verfahrens in Form eines Computerprogramms ist vorteilhaft, da dies besonders geringe Kosten verursacht, insbesondere wenn ein ausführendes Steuergerät noch für weitere Aufgaben genutzt wird und daher ohnehin vorhanden ist. Geeignete Datenträger zur Bereitstellung des Computerprogramms sind insbesondere magnetische, optische und elektrische Speicher, wie z.B. Festplatten, Flash-Speicher, EEPROMs, DVDs u.a.m. Auch ein Download eines Programms über Computernetze (Internet, Intranet usw.) ist möglich.
Weitere Vorteile und Ausgestaltungen der Erfindung ergeben sich aus der Beschreibung und der beiliegenden Zeichnung.
Die Erfindung ist anhand von Ausführungsbeispielen in der Zeichnung schematisch dargestellt und wird im Folgenden unter Bezugnahme auf die Zeichnung beschrieben.
Kurze Beschreibung der Zeichnungen
1 zeigt schematisch eine bevorzugte Ausgestaltung eines Netzwerks von Recheneinheiten, das dazu eingerichtet ist, eine bevorzugte Ausführungsform eines erfindungsgemäßen Verfahrens durchzuführen.
2 zeigt schematisch eine bevorzugte Ausführungsform eines erfindungsgemäßen Verfahrens als ein Blockdiagramm.
Ausführungsform(en) der Erfindung
In 1 ist ein Fahrzeug 110 in Form eines Pkw schematisch dargestellt, das im Zuge eines automatischen Einparkens in einem Parkhaus 100 automatisch eingeparkt wird.
Das Parkhaus 100 weist eine Vielzahl von Parklücken auf. In 1 sind beispielhaft drei dieser Parklücken mit den Bezugszeichen 101, 102, 103 bezeichnet. Das Fahrzeug 110 soll in diesem Beispiel im Zuge des automatischen Einparkens in die Parklücke 102 eingeparkt werden. Im Zuge dessen wird das Fahrzeug 110 automatisch von einer Ein- und Ausfahrt 104 des Parkhauses 100 in die Parklücke 102 bewegt, ohne Eingreifen eines Fahrers. Insbesondere ist denkbar, dass der Fahrer das Fahrzeug bereits verlassen hat.
In dem Parkhaus 100 sind zwei Kameras 121 und 122 angeordnet, welche das Parkhaus 100 überwachen. Eine erste Kamera 121 wird in diesem Beispiel als ein erster Fahrzeugfremder Sensor angesehen, welcher erste Sensordaten erfasst und eine zweite Kamera 122 wird in diesem Beispiel als ein zweiter Fahrzeugfremder Sensor angesehen, welcher zweite Sensordaten erfasst.
Die erste und zweite Kamera 121 und 122 stehen beide mit jeweils zwei Servern 131 und 132 des Parkhauses 100 in Kommunikationsverbindung. Ein erster Server 131 wird in diesem Zusammenhang als eine erste fahrzeugfremde Recheneinheit und ein zweiter Server 132 als eine zweite fahrzeugfremde Recheneinheit angesehen. Auf den Servern 131 und 132 wird jeweils insbesondere ein echtzeitfähiges Betriebssystem ausgeführt, beispielsweise ein Echtzeit-Linux.
Die beiden Server 131 und 132 stehen miteinander in Kommunikationsverbindung, beispielsweise über eine Ethernet-Verbindung 133. Weiterhin stehen beide Server 131 und 132 mit einer dritten Recheneinheit 113 in Kommunikationsverbindung, beispielsweise über eine WLAN-Verbindung 134.
Diese dritte Recheneinheit 113 ist vorzugsweise als ein Steuergerät des Fahrzeugs ausgebildet, beispielsweise als ein Automotive-Steuergerät. Beispielsweise können die Server 131 und 132 mit dem Steuergerät 113 indirekt in Kommunikationsverbindung stehen. Beispielsweise können die Server 131 und 132 direkt mit einer WLAN-Empfangseinheit 111 in Kommunikationsverbindung stehen und mit dieser WLAN-Empfangseinheit 111 jeweils Daten austauschen. Derart empfangene Daten können von der WLAN-Empfangseinheit 111 über ein Fahrzeuginternes Kommunikationssystem 112, beispielsweise über einen Feldbus wie CAN, Ethernet, SPI oder FlexRay, an das Steuergerät 113 übermittelt werden.
Beispielsweise ist der erste Server 131 weiterhin mit einem Laser 141 verbunden und steuert diesen an. Der Laser 141 projiziert ein spezielles Muster 142 auf einen Bereich des Parkhauses 101, welcher von den Kameras 121 und 122 gemeinsam überwacht wird. Beispielsweise steuert der Server 131 den Laser 141 derart an, dass die aktuelle Uhrzeit von dem Laser 141 als derartiges Muster 142 projiziert wird.
Das Steuergerät 113 und die Server 131 und 132 des Parkhauses bilden somit ein Netzwerk von Recheneinheiten, welches dazu eingerichtet ist, eine bevorzugte Ausführungsform eines erfindungsgemäßen Verfahrens durchzuführen, welches in 2 schematisch als ein Blockdiagramm dargestellt ist.
In einem Schritt 201 werden dabei erste Sensordaten von der ersten Kamera 121 und zweite Sensordaten von der zweiten Kamera 122 erfasst. Die ersten und zweiten Sensordaten werden sowohl an den ersten Server 131 als auch an den zweiten Sensor 132 übermittelt. Durch die von dem Laser 141 projizierte Uhrzeit 142 sind diese ersten und zweiten Sensordaten jeweils mittels einer optischen Signatur signiert.
In dem ersten Server 131 wird eine erste Auswertung 210 der ersten und der zweiten Sensordaten in Abhängigkeit von der optischen Signatur ausgeführt. Parallel und unabhängig davon wird in dem zweiten Server 132 eine zweite Auswertung 220 der ersten und der zweiten Sensordaten in Abhängigkeit von der optischen Signatur ausgeführt.
In einem Schritt 211 wird von dem Server 131 dabei zunächst überprüft, ob die optischen Signaturen, also die projizierte Uhrzeit 142 in den ersten und zweiten Sensordaten identisch ist. Analog wird von dem Server 132 in Schritt 221 ebenfalls überprüft, ob die optischen Signaturen, also die projizierte Uhrzeit 142 in den ersten und zweiten Sensordaten identisch ist.
Ist dies jeweils der Fall werden weiterhin im Zuge dieser ersten Auswertung 210 und dieser zweiten Auswertung 220 die ersten und zweiten Sensordaten jeweils in dem ersten Server 131 bzw. zweiten Server 132 zeitlich und örtlich kalibriert bzw. in einen festen zeitlichen und örtlichen Kontext gebracht.
Zu diesem Zweck werden von dem jeweiligen Server 131 bzw. 132 in einem Schritt 212 bzw. 222 aus den ersten und zweiten Sensordaten Poseinformationen bestimmt, welche jeweils die Position und vorzugsweise Orientierung des Fahrzeugs 110 zu einem Referenzzeitpunkt beschreiben.
Zur Kompensation der Datenlaufzeiten kann dieser Referenzzeitpunkt insbesondere durch die Datenlaufzeiten bestimmt sein. Beispielsweise kann dieser Referenzzeitpunkt 0,5 Sekunden vor dem aktuellen Zeitpunkt liegen.
Weiterhin werden die Sensordaten örtlich kalibriert bzw. auf einen räumlichen Referenzpunkt bezogen. Vorzugsweise wird zu diesem Zweck ein konkreter Punkt der Umgebung ausgewählt, welcher mit den beiden Kameras 121 und 122 leicht zu identifizieren ist, beispielsweise die Parklücke 102 oder eine Referenzmarkierung innerhalb des Parkhauses.
Beispielsweise wird zu diesem Zweck in Schritt 212 von dem Server 131 der Abstand des Fahrzeugs 110 zu der Parklücke 102 zu dem Referenzzeitpunkt aus den ersten Sensordaten der Kamera 121 als erste Poseinformation bestimmt. Ebenso wird von dem Server 131 dieser Abstand zu dem Referenzzeitpunkt aus den zweiten Sensordaten der Kamera 122 als zweite Poseinformation bestimmt.
Beispielsweise kann zu diesem Zweck jeweils eine Objekterkennung anhand der ersten und zweiten Sensordaten durchgeführt werden. Das Fahrzeug 110 sowie die Parklücke 102 werden im Zuge dieser Objekterkennungen jeweils erkannt und der Abstand wird daraus jeweils bestimmt.
Es ist auch denkbar, aus den ersten und zweiten Sensordaten jeweils eine relative Position des Fahrzeugs 110 in einem Inertialsystem des Fahrzeugs 110 relativ zu einem ortsfesten Koordinatensystem des Parkhauses 100 zu bestimmten und daraus jeweils den Abstand zu bestimmen.
In Schritt 212 werden diese ersten und zweiten Poseinformationen, also diese beiden Abstände, weiterhin miteinander verglichen. Aus diesem Vergleich wird von dem ersten Server 131 in Schritt 213 eine erste Integrität der ersten und zweiten Sensordaten bestimmt. Beispielsweise kann ein Integritätswert bestimmt werden, welcher beispielsweise zwischen 0 und 1 liegen kann.
Analog zu Schritt 212 wird in Schritt 222 von dem zweiten Server 132 aus den ersten Sensordaten der ersten Kamera 121 der Abstand zwischen Fahrzeug 110 und Parklücke 102 zu dem Referenzzeitpunkt als erste Poseinformation bestimmt. Analog wird von dem zweiten Server 132 auch aus den zweiten Sensordaten der zweiten Kamera 122 der Abstand zwischen Fahrzeug 110 und Parklücke 102 zu dem Referenzzeitpunkt als zweite Poseinformation bestimmt.
Diese ersten und zweiten Poseinformationen werden in Schritt 222 weiterhin von dem zweiten Server 132 miteinander verglichen und aus diesem Vergleich wird von dem zweiten Server 132 in Schritt 223 eine zweite Integrität der ersten und zweiten Sensordaten bestimmt, insbesondere ebenfalls in Form eines Integritätswert zwischen 0 und 1.
In Schritt 214 übermittelt der erste Server 131 die von ihm bestimmte erste Integrität an den zweiten Server 132. Analog dazu übermittelt der zweite Server 132 die von ihm bestimmte zweite Integrität in Schritt 224 an den ersten Server 131. In Schritt 215 vergleicht der erste Server 131 die beiden Integrität miteinander und analog dazu vergleicht in Schritt 225 der zweite Server 132 die beiden Integrität miteinander.
Nur wenn diese beiden Integrität identisch oder zumindest im Wesentlichen identisch sind, wird ein Eingriff 230 in die Fahrzeugführung im Zuge des automatischen Einparkens durchgeführt. Somit kann mit den beiden Kameras 121 und 122 eine redundante Erfassung der Position und gewünschtenfalls der Orientierung des Fahrzeugs 110 in dem Parkhaus 100 gewährleistet werden. Durch die parallele Auswertung und Bestimmung der Integrität der Sensordaten dieser Kameras 121, 122 auf zwei unterschiedlichen Servern 131 und 132 kann weiterhin eine redundante Plausibilisierung der Sensordaten durchgeführt werden. Somit wird sichergestellt, dass keine inkorrekten Daten genutzt oder weitergeleitet werden.
Für den Eingriff 230 in die Fahrzeugführung werden zunächst in Schritt 216 von dem ersten Server 131 die erste und zweite Integrität sowie die ersten und zweiten Sensordaten an die WLAN-Empfangseinheit 111 des Fahrzeugs 110 übermittelt. Ebenso werden in Schritt 226 von dem zweiten Server 132 die erste und zweite Integrität sowie die ersten und zweiten Sensordaten an die WLAN-Empfangseinheit 111 des Fahrzeugs 110 übermittelt.
In Schritt 231 werden diese Daten von der WLAN-Empfangseinheit 111 über den CAN-Bus 112 an das Steuergerät 113 übermittelt. In Abhängigkeit von der ersten Integrität und von der zweiten Integrität sowie in Abhängigkeit von den ersten Sensordaten und von den zweiten Sensordaten führt das Steuergerät 113 den automatischen Eingriff in die Fahrzeugführung durch.
Zu diesem Zweck bestimmt das Steuergerät 113 in Schritt 232 Ansteuerwerte für Aktoren des Fahrzeugs 110. Insbesondere bestimmt das Steuergerät 113 in Abhängigkeit von den Integritätswerten, wie stark dieser Eingriff in die Fahrzeugführung vorgenommen wird und wie stark entsprechende Aktoren angesteuert werden. Beispielsweise können zu diesem Zweck die Ansteuerwerte für die Aktoren mit dem bestimmten ersten oder zweiten Integritätswert multipliziert werden.
In Schritt 233 werden die Aktoren entsprechend angesteuert, so dass sich das Fahrzeug entsprechend bewegt. Beispielsweise kann im Zuge dessen ein Eingriff auf eine Längs- und Querführung, auf einen Antrieb sowie Bremsen des Fahrzeugs 110 durchgeführt werden.
Durch diese redundante Struktur in unterschiedlichen Ebenen kann gewährleistet werden, dass unterschiedliche Sicherheitsstandards berücksichtigt werden. Beispielswiese können die Server 131, 132 des Parkhauses nach Sicherheitsrichtlinien des Parkhauses 100 betrieben werden. Der Eingriff in die Fahrzeugführung durch das Steuergerät 113 kann nach Sicherheitsstandards des Fahrzeugbereichs durchgeführt werden, beispielsweise gemäß der Norm ISO 26262 sowie dem darin definierten ASIL (Automotive Safety Integrity Level).
ZITATE ENTHALTEN IN DER BESCHREIBUNG
Diese Liste der vom Anmelder aufgeführten Dokumente wurde automatisiert erzeugt und ist ausschließlich zur besseren Information des Lesers aufgenommen. Die Liste ist nicht Bestandteil der deutschen Patent- bzw. Gebrauchsmusteranmeldung. Das DPMA übernimmt keinerlei Haftung für etwaige Fehler oder Auslassungen.
Zitierte Patentliteratur

DE 102012215343 A1 [0007, 0072]

Zitierte Nicht-Patentliteratur

Norm ISO 26262 [0065]
Norm ISO 26262 [0106]

Claims

Verfahren zum Verarbeiten von Sensordaten, wobei Sensordaten wenigstens eines Sensors (121, 122) erfasst werden (201), die Sensordaten des wenigstens einen Sensors (121, 122) jeweils mittels einer Signatur (142) signiert werden (201) und die Sensordaten in Abhängigkeit von der Signatur (142) ausgewertet werden (210, 220).
Verfahren nach Anspruch 1, wobei die Sensordaten des wenigstens einen Sensors (121, 122) jeweils mittels einer Signatur (142) signiert werden (201), indem eine Messumgebung des wenigstens einen Sensors (121, 122) mit der Signatur überlagert wird.
Verfahren nach Anspruch 2, wobei die Signatur (142) direkt in den wenigstens einen Sensor (121, 122) und/oder in ein Messfeld des wenigstens einen Sensors (121, 122) projiziert wird.
Verfahren nach einem der vorstehenden Ansprüche, wobei die Signatur (142) eine auf elektromagnetischen Wellen und/oder eine auf Schallwellen basierende Signatur umfasst.
Verfahren nach einem der vorstehenden Ansprüche, wobei die Signatur (142) eine zeitlich veränderliche Signatur umfasst.
Verfahren nach einem der vorstehenden Ansprüche, wobei in Abhängigkeit von den ausgewerteten Sensordaten ein automatischer Eingriff (230) in die Fahrzeugführung des Fahrzeugs (110) durchgeführt wird.
Verfahren nach Anspruch 6, wobei Sensordaten eines ersten Sensors (121) als erste Sensordaten erfasst und mittels der Signatur signiert werden und wobei Sensordaten eines zweiten Sensors (122) als zweite Sensordaten erfasst und mittels der Signatur signiert werden (201), wobei im Zuge einer ersten Auswertung (210) die ersten Sensordaten und die zweiten Sensordaten zusammen mit der Signatur ausgewertet werden und jeweils eine erste Integrität der ersten Sensordaten und der zweiten Sensordaten bestimmt wird (213), wobei im Zuge einer zweiten Auswertung (220) die ersten Sensordaten und die zweiten Sensordaten zusammen mit der Signatur ausgewertet werden und jeweils eine zweite Integrität der ersten Sensordaten und der zweiten Sensordaten bestimmt wird (223), wobei in Abhängigkeit von der ersten Integrität und der zweiten Integrität und in Abhängigkeit von den ersten Sensordaten und den zweiten Sensordaten der automatische Eingriff (230) in die Fahrzeugführung des Fahrzeugs (110) durchgeführt wird.
Verfahren nach Anspruch 7, wobei die erste Integrität im Zuge der ersten Auswertung (210) und/oder die zweite Integrität im Zuge der zweiten Auswertung (220) jeweils bestimmt wird, indem aus den ersten Sensordaten erste Poseinformationen bestimmt werden, welche eine Position und/oder eine Orientierung des Fahrzeugs (110) zu einem Referenzzeitpunkt beschreiben (211, 221), aus den zweiten Sensordaten zweite Poseinformationen bestimmt werden, welche die Position und/oder die Orientierung des Fahrzeugs (110) zu dem Referenzzeitpunkt beschreiben (211, 221), die ersten Poseinformationen und die zweiten Poseinformationen miteinander verglichen werden (212, 222) und aus diesem Vergleich die jeweilige Integrität der ersten Sensordaten und der zweiten Sensordaten bestimmt wird (213, 223).
Verfahren nach Anspruch 8, wobei die ersten Poseinformationen und/oder die zweiten Poseinformationen mit Umgebungsinformationen verglichen werden, welche eine Umgebung (100) des Fahrzeugs (110) zu dem konkreten Referenzzeitpunkt beschreiben, und wobei aus diesem Vergleich die jeweilige Integrität der ersten und zweiten Sensordaten bestimmt wird (213, 223).
Verfahren nach Anspruch 9, wobei ein Abstand des Fahrzeugs (110) zu einem Referenzpunkt (102) der Umgebung (100) als erste Poseinformationen und/oder zweite Poseinformationen bestimmt werden (211, 221).
Verfahren nach Anspruch 9 oder 10, wobei eine Position und/oder Orientierung des Fahrzeugs (100) in einem Koordinatensystem (341, 342) als erste Poseinformationen und/oder zweite Poseinformationen bestimmt werden.
Verfahren nach einem Ansprüche 7 bis 11, wobei in Abhängigkeit von der ersten Integrität und/oder der zweiten Integrität bestimmt wird, wie stark der automatische Eingriff in die Fahrzeugführung durchgeführt wird (232).
Verfahren nach einem der Ansprüche 6 bis 12, wobei der automatische Eingriff (230) in die Fahrzeugführung des Fahrzeugs (110) im Zuge eines autonomen Fortbewegens und/oder im Zuge eines automatisierten Einparkens durchgeführt wird.
Verfahren nach einem der Ansprüche 6 bis 13, wobei ein Eingriff auf eine Längs- und/oder Querführung des Fahrzeugs (110) und/oder auf eine Bremse und/oder auf einen Antrieb als automatischer Eingriff in die Fahrzeugführung durchgeführt wird (233).
Verfahren nach einem der vorstehenden Ansprüche, wobei der wenigstens eine Sensor (121, 122) anhand der Signatur kalibriert wird.
Recheneinheit, die dazu eingerichtet ist, ein Verfahren nach einem der vorstehenden Ansprüche durchzuführen.
Computerprogramm, das eine Recheneinheit dazu veranlasst, ein Verfahren nach einem der Ansprüche 1 bis 15 durchzuführen, wenn es auf der Recheneinheit ausgeführt wird.
Maschinenlesbares Speichermedium mit einem darauf gespeicherten Computerprogramm nach Anspruch 17.