DE102017000693A1

DE102017000693A1 - Vorrichtung und Verfahren zum Überwachen eines automatisierten Fahrzeugs in einem Verkehrssystem

Info

Publication number: DE102017000693A1
Application number: DE102017000693.8A
Authority: DE
Inventors: Anmelder Gleich
Original assignee: Individual
Current assignee: Individual
Priority date: 2017-01-17
Filing date: 2017-01-17
Publication date: 2018-07-19

Abstract

Vorrichtung und Verfahren zum Überwachen eines automatisierten Fahrzeugs in einem Verkehrssystem , dadurch gekennzeichnet, dass- von den Steuergeräten ermittelte Darstellungen des situativen Kontexts mindestens einer Überwachungseinheit zur Verfügung gestellt werden und- von der mindestens einen Überwachungseinrichtung grundlegende Sicherheitsbedingungen überprüft werden, und- die mindestens eine Überwachungseinrichtung bei Verletzung der Sicherheitsbedingungen aktiv eingreifen kann.

Description

Die Erfindung betrifft einen Vorrichtung und ein Verfahren zum Überwachen eines automatisierten Fahrzeugs, insbesondere hinsichtlich der Einhaltung von Sicherheitsbedingungen.
Es ist bekannt, automatisierte Fahrzeuge, insbesondere Automobile, aber auch Luftfahrzeuge oder Eisenbahnen, mittels Erfassung und Verarbeitung von Sensordaten zu überwachen und an die erkannte Umgebung angepasste, optimierte Fahrentscheidungen abzuleiten. Notwendig ist dies dann, wenn die Fahrzeuge teil- oder vollautomatisiert fahren, insbesondere fahrerlos. Bei der Überwachung werden Sensordaten verschiedenster Art gesammelt (z. B. Kamera, Radar, Lidar, Funk), vorverarbeitet und in einem oder mehreren Steuergeräten verarbeitet, um dann optimierte Steuerentscheidungen an die Aktuatoren, z. B. Lenkung oder Bremse, zu geben. Die entsprechende Steuerung, insbesondere deren Software, ist sehr komplex und umfangreich, wodurch bekanntermaßen Probleme bei der Zulassung entstehen und auch fraglich ist, wie z. B. getestet werden soll, um nachzuweisen, dass die gesetzlichen Vorgaben eingehalten werden. Realistischerweise wird von Millionen Stunden bzw. hunderten von Millionen Kilometer Test ausgegangen, was unwirtschaftlich ist, da die Tests zumindest teilweise nach Änderungen wiederholt werden müssen. Auch bei teilautomatisierten Systemen sind bereits Unfälle aufgetreten, bei denen z. B. die Geschwindigkeit vom Fahrerassistenzsystem oder Sicherheitsabstände nicht eingehalten wurden. Besonders problematisch sind bei automatisierten Fahrzeugen auch sogenannte Dilemma-Situationen, in der Literatur auch als Trolley-Problem bezeichnet, d. h. Situationen bei denen ein Unfall unvermeidbar ist und die Steuerung eine Entscheidung zwischen mehreren möglichen Unfallarten entscheiden muss. Dies ist zumindest nach deutschem Recht nicht zulässig, da hier unter Umständen Leben und Unversehrtheit von möglichen Unfallopfern, auch der Insassen des Fahrzeugs, gegeneinander abgewogen werden müssten. Dies darf nicht dem Hersteller oder dem Softwareentwickler überlassen werden.
Der Stand der Technik zum automatisierten Steuern von Straßenfahrzeugen ist aktuell z. B. in Maurer et al.: Autonomes Fahren (ISBN 978-3-662-45853-2) beschrieben. Auch Architekturen mit redundanten Steuerungs- und Überwachungssystemen sind in der Regelungstechnik wohlbekannt, als allgemeine Referenz sei die Normenreihe DIN IEC 61508 genannt, die die Grundlage der sicherheitstechnischen Normung für viele Fahrzeugsysteme darstellt.
Der Erfindung liegt die Aufgabe zugrunde, ein Verfahren zum Überwachen eines automatisierten Fahrzeugs anzugeben, mit dem die Einhaltung von Sicherheitsbedingungen garantiert und die Testproblematik zumindest vereinfacht werden kann.
Zur Lösung dieser Aufgabe dient erfindungsgemäß ein Verfahren zum Überwachen eines automatisierten Fahrzeugs, bei dem von den Steuerungssystemen einem oder mehreren Überwachungseinheiten eine standardisierte Beschreibung der situativen Umgebung des Fahrzeugs sowie der Eigenschaften des Fahrzeugs zur Verfügung gestellt werden. Aufgrund dieser Information können grundlegende Sicherheitsbedingungen wie z. B. Geschwindigkeitsvorgaben oder Abstand von Hindernissen überprüft werden und die Auftretenswahrscheinlichkeit von Konfliktsituationen minimiert werden.
Die situative Umgebung wird dabei als Gesamtheit aller Zustände und Attribute der dynamischen und statischen Elemente in der Umgebung des Fahrzeugs definiert inkl. des Zustands des Fahrzeugs selber. Die dynamischen Elemente umfassen dabei insbesondere alle anderen Verkehrsteilnehmer, während zu den statischen Elementen insbesondere die Verkehrsinfrastruktur gehört.
In der einfachsten Ausprägung wird nur die gefahrene Geschwindigkeit mit der erlaubten Geschwindigkeit verglichen oder überprüft, ob es auf der vorgesehenen Trajektorie des Fahrzeugs Hindernisse im Bremswegabstand gibt. Falls ein Unfall unvermeidbar wird, so kann die Überwachungseinrichtung überprüfen, ob z. B. die Trajektorie gewählt wird, bei der der erwartete Unfallschaden minimiert wird. In der Regel wird die Funktion in einer Überwachungseinrichtung konzentriert werden, es kann aber auch Ausprägungen geben, wo eine Überwachungseinrichtung einfache Bedingungen überprüft, die nur unmittelbar bevorstehende Konfliktsituationen erkennt und eine weitere Überwachungseinrichtung komplexere Bedingungen überprüft.
Ein wesentlicher Vorteil des erfindungsgemäßen Verfahrens besteht darin, dass der Aufwand der Überprüfung der grundlegenden Sicherheitsbedingungen wesentlich geringer ist als die Ermittlung der situativen Umgebung sowie der Steuerung des Fahrzeugs. Dadurch sind diese Bedingungen einfacher und kostengünstiger zuzulassen. Sie können damit auch von dritter Seite z. B. einer Aufsichtsbehörde oder eines unabhängigen Überwachungsinstituts vorgegeben werden. Außerdem ändern sich die grundlegenden Sicherheitsbedingungen wesentlich seltener als die Algorithmen zur Objekterkennung oder zur Steuerung des Fahrzeugs. Insbesondere tritt durch die frühzeitige Erkennung von Konfliktsituationen das Trolley-Problem wesentlich seltener oder gar nicht mehr ein.
Bei dem erfindungsgemäßen Verfahren können dabei die grundlegenden Sicherheitsbedingungen von der Position des Fahrzeugs abhängen z. B. in welchem Land es sich gerade befindet Als vorteilhaft wird es erachtet, wenn aufgrund der möglicherweise unterschiedlichen gesetzlichen Randbedingungen unterschiedliche Sicherheitsbedingungen verwendet werden können.
Als vorteilhaft wird es angesehen, dass die Steuergeräte eine vereinfachte Beschreibung der Verkehrssituation an die Überwachungseinrichtung liefern. Dadurch kann eine Überprüfung der grundlegenden Sicherheitsbedingungen schnell und einfach erfolgen, auch kann die Herstellung und Zulassung der Überwachungseinrichtungen unabhängig vom Fahrzeughersteller erfolgen. Falls es gewünscht ist, hier Transparenz für die Öffentlichkeit herzustellen, kann die Spezifikation der Prüfbedingungen oder der Software auch veröffentlicht werden, z. B. als Open Source. Weitere Vorteile können sich daraus ergeben, dass solche Sicherheitsbedingungen formal verifiziert werden können. Damit könnten wesentliche Vorteile z. B. bei der Fehlerfreiheit der Prüfbedingungen oder der SW erreicht werden, ohne wettbewerbliche Belange der Hersteller zu beeinträchtigen.
Auch wird es als vorteilhaft angesehen, dass die Überwachungseinrichtung unabhängig vom Fahrzeugtyp gestaltet werden kann. Die Fahrzeugdaten werden als Teil des situativen Kontexts mit übergeben, da sie sich zeitlich verändern können, z. B. das Bremsvermögen, die Konfiguration oder das Gewicht des Fahrzeugs.
Das erfindungsgemäße Verfahren kann in unterschiedlicher Weise eingesetzt werden. Eine bevorzugte Verwendung wird darin gesehen, dass die mindestens eine Überwachungseinrichtung parallel zur Steuerung, also überwachend, arbeitet. In diesem Fall kommen die Kommandos der Steuerungseinrichtungen direkt zur Ausführung und die mindestens eine Überwachungseinrichtung kann nur reaktiv eingreifen. Alternativ kann es aber auch vorteilhaft sein, wenn die mindestens eine Überwachungseinrichtung wie ein aktiver Filter arbeitet, d. h. die Kommandos der Steuerungseinrichtungen vor der Ausführung überprüft.
Zur weiteren Erläuterung der Erfindung ist in

1 schematisch eine Architektur zur reaktiven Überwachung eines automatisierten Fahrzeugs, sowie in
2 schematisch eine alternative aktive Architektur und in
3 schematisch eine Repräsentation der situativen Umgebung

Die 1 zeigt schematisch ein oder mehrere Steuergeräte 1, die über Kommunikationskanäle 2 Informationen von Sensoren oder Kommunikationseinrichtungen 3 verarbeiten. Daraus werden Vorgaben für Aktuatoren 4 abgeleitet und über Kommunikationseinrichtungen 5 übertragen. Ebenso werden über diese Kommunikationseinrichtung Statusmeldungen der Aktuatoren zurückgemeldet. Der Status der Steuergeräte wird über eine Schnittstelle 6 an eine Black Box 7 gemeldet und aufgezeichnet. Die Steuergeräte liefern an einer weiteren Schnittstelle 8 eine Repräsentation des situativen Kontexts an mindestens eine Überwachungseinrichtung 9, in der die grundlegenden Sicherheitsbedingungen überprüft werden. Sind diese nicht erfüllt, so kann die mindestens eine Überwachungseinrichtung über eine Kommunikationseinrichtung 10 direkt auf die Aktuatoren 4 zugreifen, z. B. Bremse oder Steuerung. Die mindestens eine Überwachungseinrichtung 9 ist in dem dargestellten Ausführungsbeispiel ebenso über eine Kommunikationsschnittstelle 11 mit der Black Box 7 verbunden und übergibt dort den jeweiligen situativen Kontext sowie die daraus abgeleiteten Entscheidungen, so dass im Falle eines Unfalls auch die Funktion der mindestens einen Überwachungseinrichtung mit ausgewertet werden kann.
Die 2 zeigt eine alternative Ausführung (in derselben Nummerierung wie in der Beschreibung von 1), bei der die mindestens eine Überwachungseinrichtung 9 die Kommandos der Steuergeräte 1 direkt erhält und nur dann an die Aktuatoren 4 weitergibt, wenn die grundlegenden Sicherheitsbedingungen nicht verletzt sind. In einer weiteren alternativen Architektur könnten auch alle Teilnehmer über einen oder mehrere Fahrzeugbussysteme verbunden sein.
3 zeigt am Beispiel von Straßenfahrzeugen den situativen Kontext, der an Schnittstelle 4 von 1 oder 2 übergeben werden muss. Dabei wird jeder Straßenverkehrsteilnehmer, z. B. ein Kraftfahrzeug 12 oder ein Fußgänger 13 vom Typ her charakterisiert. Zusätzlich werden weitere charakteristische Daten, insbesondere Geschwindigkeit, Beschleunigung sowie die Trajektorie v übergeben, aus der sich das voraussichtliche Verhalten des Teilnehmers zumindest konservativ ableiten lässt. Weiter sind grundsätzliche Eigenschaften der Infrastruktur wie Fahrspuren oder Begrenzungen 14 sowie Geschwindigkeitsbeschränkungen 16 bekannt. Die eigenen charakteristischen Daten 15 sind der mindestens einen Überwachungseinrichtung natürlich auch bekannt. Im Beispiel können damit Konflikte rechtzeitig erkannt werden, und falls die Steuerungseinrichtungen diese nicht erkennen oder keine Maßnahmen einleiten, so greift die mindestens eine Überwachungseinrichtung direkt ein.
ZITATE ENTHALTEN IN DER BESCHREIBUNG
Diese Liste der vom Anmelder aufgeführten Dokumente wurde automatisiert erzeugt und ist ausschließlich zur besseren Information des Lesers aufgenommen. Die Liste ist nicht Bestandteil der deutschen Patent- bzw. Gebrauchsmusteranmeldung. Das DPMA übernimmt keinerlei Haftung für etwaige Fehler oder Auslassungen.
Zitierte Nicht-Patentliteratur

Maurer et al.: Autonomes Fahren (ISBN 978-3-662-45853-2) [0003]
DIN IEC 61508 [0003]

Claims

Vorrichtung und Verfahren zum Überwachen eines automatisierten Fahrzeugs in einem Verkehrssystem , dadurch gekennzeichnet, dass - von den Steuergeräten ermittelte Darstellungen des situativen Kontexts mindestens einer Überwachungseinheit zur Verfügung gestellt werden und - von der mindestens einen Überwachungseinrichtung grundlegende Sicherheitsbedingungen überprüft werden, und - die mindestens eine Überwachungseinrichtung bei Verletzung der Sicherheitsbedingungen aktiv eingreifen kann.
Vorrichtung und Verfahren nach Anspruch 1, dadurch gekennzeichnet, dass der situative Kontext durch - eine Darstellung der Verkehrsinfrastruktur in der Umgebung des Fahrzeugs gegeben ist, sowie - den Bewegungsvektor und die physikalischen Eigenschaften des Fahrzeugs, sowie - die Typen der Verkehrsteilnehmer, ihre Position sowie deren Bewegungsvektoren gegeben sind.
Vorrichtung und Verfahren nach Anspruch 2, dadurch gekennzeichnet, dass die grundlegenden Sicherheitsbedingungen - anhand des situativen Kontexts überprüft werden, und - und von der geographischen Position des Fahrzeugs abhängen
Vorrichtung und Verfahren nach Anspruch 3, dadurch gekennzeichnet, dass die mindestens eine Überwachungseinrichtung reaktiv eingreift, d. h. nachdem die Kommandos der Steuergeräte ausgeführt wurden
Vorrichtung und Verfahren nach Anspruch 3, dadurch gekennzeichnet, dass die mindestens eine Überwachungseinrichtung aktiv eingreift, d. h. die Kommandos der Steuergeräte werden vor Ausführung geprüft