-
Die Erfindung betrifft ein Verfahren und eine Steuervorrichtung für einen fehlertoleranten Betrieb eines Kraftfahrzeuges sowie ein Kraftfahrzeug.
-
Beim Betrieb eines Kraftfahrzeuges kann es, wie bei allen komplexen technischen Geräten zu Fehlfunktionen oder dem Ausfall einzelner Komponenten kommen. Um Gefahren abzuwenden, müssen aber in bestimmten Situationen gewisse Funktionen im Fahrzeug selbst in einem Fehlerfall weiterhin erhalten bleiben. Beispielsweise müssen in einem fahrenden Fahrzeug Bremsung und Lenkung gewährleistet sein, bis das Fahrzeug zum Stillstand gekommen ist. D.h. ein Abschalten oder ein sogenannter „Fail Silent“, bei welchem die Komponenten einen statischen, sicheren Zustandes einnehmen, ist nicht ausreichend um das gesamte Fahrzeug (und seine Insassen) in einen sicheren Zustand zu bringen. Demgegenüber sind sogenannte „Fail Operational“ Lösungen notwendig, die auch im Fehlerfall zumindest einen Mindestbetrieb aufrechterhalten, um das Fahrzeug in einen sicheren Zustand zu bringen.
-
Dies ist besonders wichtig beim automatisierten Fahren bis hin zum autonomen Fahren, wo ein Eingreifen des Fahrers vorzugsweise nicht vorgesehen ist. Z.B. muss (unter Anderem im Falle von automatisiertem Fahren) nach Ausfall einer Versorgung oder eines Steuergerätes mindestens gewährleistet sein, dass das Fahrzeug noch in einen sicheren Halt gebracht werden kann. Dies bedingt jedoch, dass Lenkung und Bremsvorrichtung für diese Zeit noch verfügbar und ansteuerbar sind.
-
Bei bekannten Systemen wird die Versorgung so ausgelegt, dass auch im Fehlerfall genügend Leistung und Energie zur Verfügung steht. D.h. die Versorgungssysteme müssen derzeit stark überdimensioniert und redundant ausgelegt werden. Die vorhandenen Energiespeicher und Leistungsreserven können im Normalbetrieb nicht vollwertig ausgenutzt werden, da der Fehlerfall immer berücksichtigt werden muss.
-
Darüber hinaus müssen derzeit eine Normalversorgung für den Normalbetrieb und eine Notversorgung für den Notfallbetrieb funktional voneinander getrennt sein, um eine Überlastung der Notversorgung zu vermeiden. Auch Systemkomponenten, Hardware und Software müssen aus demselben Grund bislang doppelt ausgelegt und verbaut werden. Dies bedeutet erhöhte Kosten, Gewicht und Aufwand.
-
Vor diesem Hintergrund liegt der Erfindung die Aufgabe zugrunde, „Fail-Operational“ Systeme, die einen Mindestbetrieb auch im Fehlerfall gewährleisten, kosteneffizienter zu gestalten und deren Verfügbarkeit und Zuverlässigkeit zu erhöhen.
-
Die Aufgabe wird gelöst, durch ein Verfahren, eine Steuervorrichtung und ein Kraftfahrzeug gemäß den unabhängigen Ansprüchen. Vorteilhafte Weiterbildungen sind in den abhängigen Ansprüchen angegeben.
-
Gemäß einem erfindungsgemäßen Verfahren für einen fehlertoleranten Betrieb eines Kraftfahrzeugs, werden vorausschauend bevorstehende Fahrmanöver eines Fahrzeugs und in einem weiteren Schritt die dafür nötigen Fahrzeugkomponenten und Fahrzeugfunktionen erkannt.
-
Davon ausgehend werden vorausschauend in diesen Fahrzeugkomponenten und Fahrzeugfunktionen möglicherweise auftretende Fehler identifiziert, welche die Durchführung der bevorstehenden Fahrmanöver beeinträchtigen können. Anschließend werden Ausweichmaßnahmen ermittelt, die geeignet sind, um das Fahrzeug im Falle eines solchen Fehlers in einen sicheren Zustand zu bringen.
-
Das Verfahren läuft vorzugsweise dauerhaft während des gesamten Betriebs des Fahrzeugs, wovon der normale Fahrbetrieb, aber auch Parkmanöver, Sicherung des Fahrzeugs (z.B. gegen Wegrollen) und Absperren umfasst sind. Das vorausschauende Erkennen bevorstehender Fahrmanöver bezieht sich dabei vorzugsweise auf einen relativ kurzen Vorausschauhorizont von beispielsweise einigen Sekunden. Damit wird vorhergesagt, welche Fahrmanöver innerhalb der nächsten Sekunden mit hoher Wahrscheinlichkeit eintreten wird. Insbesondere sinnvoll ist das Verfahren für bevorstehende sicherheitsrelevante Fahrmanöver, wie z.B. Bremsvorgänge.
-
Das erfindungsgemäße Verfahren ist besonders geeignet für einen Einsatz beim automatisierten bis hin zum autonomen Fahren, bzw. in autonom fahrenden Fahrzeugen mit Hybridantrieb, Elektroantrieb oder verbrennungsmotorischem Antrieb.
-
Ein möglicher sicherer Zustand kann ein Stillstand des Fahrzeugs sein. Je nach Fahrsituation kann ein sicherer Zustand aber beispielsweise auch durch eine Beschleunigung oder einen Spurwechsel erreicht werden.
-
Durch das Ermitteln der Ausweichmaßnahmen wird jeweils vorbeugend eine Strategie für Ersatzmaßnahmen bereitgestellt und bereitgehalten, wie in einem Fehlerfall zu reagieren ist. Beispiele für Ausweichmaßnahmen sind z.B. alternative Funktionslösungen auf Systemebene (z.B. Lenken mit Bremsen), die Re-Lokalisierung von Software (z.B. Trajektorien Berechnung), Änderung von Hardware Funktionen oder Ab- und Zuschalten von Leistungsversorgungen.
-
Durch das vorausschauende Ermitteln von Ausweichmaßnahmen kann auf eine überdimensionierte Auslegung der sicherheitsrelevanten Systeme verzichtet werden. Dadurch ist das erfindungsgemäße Fail-Operational System für einen fehlertoleranten Betrieb des Kraftfahrzeugs besonders kosteneffizient. Zusätzlich ist die Verfügbarkeit und Zuverlässigkeit der Fail-Operational Lösungen gegenüber bekannten Systemen erhöht.
-
In einer bevorzugten Ausführungsvariante des erfindungsgemäßen Verfahrens für einen fehlertoleranten Betrieb eines Kraftfahrzeugs werden zusätzlich vorbereitende Maßnahmen für die Ausführung der Ausweichmaßnahmen durchgeführt.
-
Vorbereitende Maßnahmen für die Ausführung der Ausweichmaßnahmen sind beispielsweise das Abschalten von Verbrauchern, Reduzierung der Leistung, Umleitung von Energie bzw. die Verwendung von Energie von alternativen Speichern.
-
Gemäß einer bevorzugten Weiterbildung des erfindungsgemäßen Verfahrens für einen fehlertoleranten Betrieb eines Kraftfahrzeugs erfolgt das vorausschauende Erkennen bevorstehender sicherheitsrelevanter Fahrzeugmanöver auf Grundlage von Daten aus einer oder mehrerer der folgenden Informationsquellen: fahrzeuginterne Signale, Umfeld-Sensorik des Fahrzeugs, Navigationsdaten, und/oder durch Vernetzung über drahtlose Kommunikation von anderen Fahrzeugen (Car-2-Car Kommunikation), Infrastruktur (z.B. Verkehrsleit-, oder Ampelschaltsystemen) oder von einem Backend empfangene Daten.
-
Fahrzeuginterne Signale sind Signale, die den aktuellen Betriebszustand des Fahrzeugs betreffen und im Fahrzeug erfasst werden. Dies umfasst beispielsweise Steuerdaten der Motorsteuerung und Ego-Fahrzeug-Betriebsdaten. Diese fahrzeuginternen Signale betreffen beispielsweise die Fahrzeuggeschwindigkeit, eine Stellung des Brems- oder Gaspedals oder ein Setzen des Blinkers, etc.
-
Umfeld-Sensorik umfasst On-Board-Sensorik des Fahrzeugs, wie z.B. Kameras, Radarsensoren oder ähnliches, zur Erfassung des unmittelbaren Umfelds des Fahrzeugs. Navigationsdaten umfassen Ortungsdaten z.B. von einem Satelliten-Navigationssystem und Daten von digitalen Karten.
-
Zusätzlich wird vorzugsweise der aktuelle Zustand des Fahrzeugs analysiert, beispielsweise auch anhand der fahrzeuginterner Signale. Dies umfasst die Analyse, welche Verbraucher gerade aktiv sind und welche Verbraucher im Notfall bzw. vorbeugend abgeschaltet werden könnten. Die Analyse umfasst vorzugsweise den Zustand der Energiespeicher und die momentane Energie- und Leistungsverteilung, sowie die Analyse, welche Fahrzeugbetriebsstrategie gerade aktiv ist (z.B. Coasting, Rekuperation, etc.).
-
Bevorzugt umfasst das Erkennen der für bevorstehende Fahrmanöver nötigen Fahrzeugkomponenten und Fahrzeugfunktionen auch das Analysieren des daraus resultierenden Leistungs- und Energiebedarfs des Fahrzeugs. Es wird also vorzugsweise nicht nur vorhergesagt, welche Komponenten in den nächsten Zeitabschnitten voraussichtlich aktiv sein werden, sondern auch wieviel Energie bzw. Leistung dafür nötig ist.
-
Das vorausschauende Ermitteln von Ausweichmaßnahmen oder Ersatzmaßnahmen, um das Fahrzeug im Falle eines Fehlers in einen sicheren Zustand zu bringen, umfasst vorzugsweise auch das Berechnen, welche Leistung und Energiereserven bzw. Sensoren und Aktuatoren und Funktionsalgorithmen für die Ausweichmaßnahmen nötig sind, um in den sicheren Zustand zu gelangen. Es wird also vorzugsweise ermittelt, welche Komponenten im Fehlerfall als Back-Up zur Verfügung stehen könnten, und auch wieviel Energie bzw. Leistung dafür nötig wäre.
-
Die Ausweichmaßnahmen, bzw. Ersatzmaßnahmen umfassen vorzugsweise alternative Aktionen, die geeignet sind, das Fahrzeug in einen sicheren Zustand zu bringen. Solche alternative Aktionen bilden eine Ersatzstrategie, die zumindest ein degradiertes/sicheres Fahrverhalten gewährleistet, mit welchem mindestens ein sicherer Zustand des Fahrzeugs herstellbar ist.
-
Beispielsweise kann bei einem Ausfall des Lenksystems als Ersatz- bzw. Ausweichmaßnahme eine Lenkung über diagonales oder einseitiges Bremsen erfolgen. Dies ist nicht ausreichend um einen normalen Fahrbetrieb zu gewährleisten, aber ggf. hinreichend, um das Fahrzeug in einen sicheren Zustand, - in diesem Fall in sicherer Position zum Stillstand - zu bringen.
-
Ein weiteres Beispiel ist ein möglicher Ausfall des Bremssystems in einem zumindest teilweise elektrisch betriebenen Fahrzeug. Als Ausweichmaßnahme kann bei einem Ausfall des Bremssystems mit Hilfe des Elektromotors gebremst werden - allerdings in der Regel mit verringerter Bremsleistung. Wenn also im erfindungsgemäßen Betrieb des Fahrzeugs ein bevorstehendes nötiges Bremsmanöver erkannt wird, so wird analysiert, dass dafür das Bremssystem notwendig ist. Für den Fall eines möglichen Fehlers im Bremssystem wird vorausschauend als Ausweichmaßnahme ein Bremsen über den Elektromotor ermittelt. Da dies aber nur eine geringere Bremsleistung ermöglicht, wird vorzugsweise als vorbereitende Maßnahme eine geringere Fahrgeschwindigkeit gewählt. Dies ist insbesondere in einem autonom fahrenden Fahrzeug sinnvoll, welches die Fahrgeschwindigkeit automatisch wählt. In diesem Beispiel wird als vorbereitende Maßnahme als vorausschauende Anpassung der Fahrstrategie die Fahrgeschwindigkeit gedrosselt.
-
Weitere bevorzugte vorbereitende Maßnahmen sind ein vorausschauendes Anpassen der Fahrstrategie und/oder eine Umpriorisierung von verwendeten Sensoren und/oder Aktuatoren und/oder eine Umkonfiguration und/oder Reallokation von verwendeten Algorithmen und/oder eine Anpassung des Leistungsmanagements und/oder eine Vorkonditionierung einzelner Fahrzeugkomponenten.
-
Unter Anpassung der Fahrstrategie kann, neben der oben bereits genannten Änderung der Fahrgeschwindigkeit, auch die Anpassung der allgemeinen Betriebsstrategie verstanden werden. Beispielsweise kann in einem Hybridantriebsstrang ein anderes Antriebsaggregat (Elektromotor oder Verbrenner) gewählt werden. Eine Vorkonditionierung einzelner Komponenten kann beispielsweise ein Vorspannen der Bremsen oder eine Anpassung (z.B. Erhöhung) der Generatorleistung sein.
-
Unter Umpriorisierung der verwendeten Sensoren und/oder Aktuatoren wird eine Anpassung der Gewichtung verstanden, welche Sensoren und/oder Aktuatoren im Fehlerfall bevorzugt abzuschalten sind. Eine Umkonfiguration/Aktivierung und/oder Reallokation von Algorithmen erlaubt beispielsweise den Ablauf von wichtigen Algorithmen (z.B. für die Lenkung) über ein alternatives Steuergerät. Somit wird vorübergehend ein redundantes System für die wichtige Funktion des Lenkens geschaffen.
-
Weitere mögliche vorbereitende Maßnahmen können sein: (temporäre) Abschaltung von Verbrauchern, vorzeitige Umstellung der Betriebsmodi, rechtzeitige Umschichtung der Energieverteilung der Speicher, Umschaltung der Verbraucher auf nicht-kritische Leistung- und Energiezweige, Aufladung von (Kurzeit-)speichern. Vorausschauendes Vorkonditionieren des Stromnetzes, falls der Leistungsbedarf für das prädizierte Manöver die verfügbare Leistung überschreitet.
-
Ein weiterer unabhängiger Aspekt der Erfindung ist eine Steuervorrichtung für ein Kraftfahrzeug, welche eine Prozessorvorrichtung aufweist, die dazu eingerichtet ist, ein erfindungsgemäßes Verfahren auszuführen, sowie ein Kraftfahrzeug mit einer solchen Steuervorrichtung.
-
Im Folgenden wird die Erfindung beispielhaft noch anhand der 1 bis 4 näher erläutert. Es zeigen schematisch:
- 1: den Ablauf des erfindungsgemäßen Verfahrens gemäß einer bevorzugten Variante; und
- 2: den Vorausschauhorizont für verschiedene On-Board Sensoren im Vergleich; und
- 3: eine Darstellung der verschiedenen Informationsquellen als Grundlage für das vorausschauende Erkennen bevorstehender Fahrzeugmanöver.
-
In 1 ist ein beispielhafter Ablauf des erfindungsgemäßen Verfahrens schematisch dargestellt. Das Verfahren beginnt mit dem Start, vorzugsweise im laufenden Fahrbetrieb. In Schritt 1 werden vorausschauend bevorstehende Fahrmanöver prädiziert. Dies erfolgt anhand des momentanen Betriebszustands des Fahrzeugs, der anhand von fahrzeuginternen Signalen bekannt ist, sowie anhand von Umfeld-Sensorik, beispielsweise On-Board Sensoren, aber auch anhand von externen Datenquellen, wie Infrastrukturdaten, Fahrzeug zu Fahrzeug-Kommunikation (Car-2-Car) oder aufgrund von Informationen aus einem Backend.
-
Im optionalen Schritt 2 wird der aktuelle Zustand des Fahrzeuges analysiert.
-
In Schritt 3 wird analysiert, welche Fahrzeugkomponenten und Fahrzeugfunktionen für das bevorstehende Fahrmanöver zum Einsatz kommen oder wesentlich sind.
-
In Schritt 4 wird ermittelt, welche möglichen Fehlerquellen es gibt, welche die reguläre Durchführung des Manövers beeinträchtigen können. D.h., welche Funktionen oder Komponenten ausfallen könnten.
-
In Schritt 5 werden Ausweichmaßnahmen ermittelt, mit welchen ein Eintreten eines solchen Fehlers kompensiert werden kann, um das Fahrzeug auch dann in einen sicheren Zustand zu bringen.
-
Im optionalen Schritt 6 werden vorbereitende Maßnahmen für die Ausführung der Ausweichmaßnahmen durchgeführt.
-
Dabei kann unterschieden werden, ob in Schritt 6a) generell die Rückfallebene gewährleistet/kontrolliert wird, indem z.B. die Fahrstrategie angepasst wird, oder ob in Schritt 6b) die Ausweichmaßnahmen vorbereitet werden, indem Komponenten vorkonditioniert werden.
-
In einem Beispiel nähert sich ein autonom fahrendes Hybridfahrzeug einer Ampel. Dies wird vom Fahrzeug anhand von Umfeld-sensorik und Navigationsdaten erkannt. Die Ampel wird durch ein Verkehrsleitsystem gesteuert, welches entsprechende Daten an die Fahrzeuge aussendet. Anhand von der Ampel bzw. von entsprechender Infrastruktur gesendeter Daten erkennt das Fahrzeug, dass die Ampel in Kürze auf rot umschalten wird.
-
In Schritt 1 des Verfahrens wird also vom Fahrzeug erkannt, dass ein Bremsvorgang kurz bevorsteht. In Schritt 2 wird erkannt, mit welcher Geschwindigkeit sich das Fahrzeug gerade bewegt. In Schritt 3 wird erkannt, dass für das bevorstehende Bremsmanöver das Bremssystem benötigt wird. In Schritt 4 wird als möglicher Fehler erkannt, dass die Bremsen ausfallen können. In Schritt 5 wird als Ausweichmaßnahme ein Bremsen über den Elektromotor definiert. Da das Bremsen mit dem Elektromotor weniger leistungsstark ist, als mit dem normalen Bremssystem, wird in einem optionalen Schritt 6a vorbereitend die Geschwindigkeit des Fahrzeugs reduziert, damit die Bremsleistung des Elektromotors ausreicht.
-
In einem optionalen Schritt 6b könnten alternativ oder zusätzlich der Elektromotor für potentiellen Bremsvorgang vorbereitet, d.h. der Generator hochgefahren werden oder unkritische Verbraucher präventiv abgeschaltet werden, damit ausreichend Leistung für das Ersatz Bremsmanöver bzw. dessen Hot-Standby zur Verfügung steht.
-
Für die Prädiktion der bevorstehenden Fahrmanöver in Schritt 1 können Signale von verschiedenen On-Board Sensoren ausgewertet werden. Diese ermöglichen je nach Technik einen unterschiedlichen Prädiktionszeitraum, der auch von der Fahrzeuggeschwindigkeit abhängt. 2 zeigt im Vergleich den Prädiktionszeitraum bzw. Vorausschauhorizont für verschiedene On-Board Sensoren über die Fahrzeuggeschwindigkeit aufgetragen. Dargestellt sind beispielhaft Werte für Stereokameras, Hochauflösende Kameras, langreichweitiges und kurzreichweitiges Radar. Mit zunehmender Fahrzeuggeschwindigkeit nimmt der Vorausschauhorizont bei allen vier Techniken ab. Der Vorausschauhorizont bzw. Prädiktionszeitraum ist der Zeitraum, über den vorausschauend aufgrund der von den Sensoren ermittelten Signale Prognosen getroffen werden können. So ermöglicht beispielsweise langreichweitiges Radar bei Geschwindigkeiten zwischen 80 km/h und 200km/h einen Prädiktionszeitraum von über 3.5 Sekunden bis hin zu 9 Sekunden (bei 80 km/h).
-
3 zeigt ein Kraftfahrzeug 10 mit den verschiedenen Informationsquellen für das vorausschauende Erkennen bevorstehender Fahrzeugmanöver. Fahrzeuginterne Signale kommen beispielsweise von einer Steuervorrichtung z.B. Motorsteuerung 11. Am Fahrzeug angebrachte Kameras bieten eine Umfeld-Sensorik 12. Andere mögliche Datenquellen sind Navigationsdaten von einem Satelliten-Navigationssystem 13 oder drahtlose Kommunikation mit anderen Fahrzeugen 14, sowie Infrastrukturdaten z.B. von einem Ampelleitsystem 15 oder von einem Backend 16 empfangene Daten.
-
Das erfindungsgemäße Verfahren ermöglicht es durch On-Board-Sensorik und Vernetzung mit anderen Fahrzeugen bzw. mit einem Backend, vorherzusagen, welche Komponenten in den nächsten Zeitabschnitten aktiv sein werden. Diese Komponenten sind aber potentielle Gefahren für einen unvorhersehbaren Ausfall der notwendigen aktiven Funktionen. Parallel dazu wird der aktuelle Zustand des Fahrzeugs analysiert, d.h. es wird geklärt, welche Verbraucher an sind, welche Verbraucher im Notfall abgeschaltet werden können, Wie der Zustand der Energiespeicher ist, wie die Energie- und Leistungsverteilung und welche Fahrzeugbetriebsstrategie aktiv ist (Coasting, Rekuperation, etc.) In Kombination mit der Fahrzeuggeschwindigkeit und Umfeld lässt sich auch errechnen, welche Leistung und Energiereserven bzw. Sensoren und Aktuatoren und Funktionsalgorithmen auf den redundanten Pfaden nötig sind, um in den sicheren Zustand, d.h. z.B. Stillstand, zu gelangen. Eine Lösung für einen Ausfall kann somit präventiv vorliegen und die Umgebung dafür vorbereitet werden. Es ist also bekannt, welche Funktion eintreten wird, welche Komponenten notwendig sind und welche Komponente als Back-Up zur Verfügung stehen könnte. Dies ist insbesondere vorteilhaft, wenn während der Funktion der Ausfall/Fehler erfolgt.
-
Ein weiterer Vorteil des erfindungsgemäßen Verfahrens ist auch, dass eine optimale Skalierbarkeit der Funktionalität gewährleistet werden kann. Durch die vorausschauende Analyse der Ausweichmaßnahmen und der dafür nötigen Komponenten kann die Performance des Fahrzeugs jeweils situationsbedingt angepasst werden. Derzeit notwendige redundante Back-Up Systeme sind oft weniger Leistungsstark ausgelegt, weshalb für den Notfall eine deutliche Einschränkung der Fahrperformance in Kauf genommen werden muss. Das erfindungsgemäße Verfahren ermöglicht es vorteilhafterweise, dass das Fahrzeug grundsätzlich immer demselben Fahralgorithmus folgen kann, während die notwendigen Grenzen an die jeweilige Situation angepasst werden. Dies beeinflusst z.B. beim autonomen Fahren die Geschwindigkeit oder die Radien von Kurvenfahrten. Eine stetige Neuauslegung des Fahralgorithmus kann entfallen, da die „Back-Up“-Kontrollinstanz durch das erfindungsgemäße Verfahren die jeweiligen Grenzen vorgibt.
