DE102018125880B4

DE102018125880B4 - System, Verfahren sowie computerlesbarer Speicher zur (online)Überwachung des Betriebs mindestens eines Fahrzeugs

Info

Publication number: DE102018125880B4
Application number: DE102018125880.1A
Authority: DE
Inventors: Martin Kaiser
Original assignee: Ind Betriebsgesellschaft Mbh; IABG Industrieanlagen Betriebs GmbH
Current assignee: Ind Betriebsgesellschaft Mbh; IABG Industrieanlagen Betriebs GmbH
Priority date: 2018-10-18
Filing date: 2018-10-18
Publication date: 2020-06-18
Anticipated expiration: 2038-10-19
Also published as: DE102018125880A1

Abstract

Die Erfindung betrifft ein System zur (online)Überwachung des Betriebs mindestens eines Fahrzeugs, umfassend:- mindestens eine elektronische Komponente, insbesondere einen Umfeldsensor (31, 33, 35, 37),- mindestens eine Speichereinrichtung (43) zur Speicherung mindestens eines Grenzwerts (DFR(grenz));- mindestens eine Recheneinheit; wobei die Recheneinheit dazu ausgebildet ist,a) basierend auf Eingangsdaten reale Fahrsituationen in mindestens zwei Klassen, umfassend eine Gefahrenklasse, zu klassifizieren;b) basierend auf der Klassifikation eine (lokale) Anforderungsrate (DR) für die Komponente zu bestimmen;c) unter Verwendung der Anforderungsrate (DR) und einer Ausfallwahrscheinlichkeit (DFP) eine Ausfallrate (DFR) zu berechnen;d) die Ausfallrate (DFR) mit dem Grenzwert (DFR(grenz)) zu vergleichen; unde) basierend auf dem Vergleich ein Signal mittels einer Signalisierungseinrichtung auszugeben und/oder derart in den Betrieb des Fahrzeugs einzugreifen, dass das Fahrzeug ggf. nach einer vorbestimmten Zeit nur noch mit reduziertem Fahrleistungskennwert betrieben werden kann.

Description

Die Erfindung betrifft ein System, ein Verfahren sowie einen computerlesbaren Speicher zur (online)Überwachung des Betriebs mindestens eines Fahrzeugs.
Zur Typzulassung hoch- oder vollautomatisierter Fahrzeuge (z.B. KFZ oder Servicerobotern bzw. AGV) ist es notwendig, einen Sicherheitsnachweis insbesondere der Umfeldsensorik zu erbringen, und zwar insbesondere der Detektionsfähigkeit von gefährdeten oder gefährlichen Objekten, die sich in der geplanten Trajektorie des Fahrzeuges befinden. Für die „Funktionale Sicherheit“ und die damit angesprochenen zufälligen und systematischen Hardware- und Softwarefehler kann der Sicherheitsnachweis auf Basis bestehender Normen geführt werden.
Diese Normen befassen sich aber nicht mit der Detektionsfähigkeit des Fahrzeugs. Als einzuhaltender und nachzuweisender Grenzwert können z.B. bekannte Grenzwerte von Ausfallraten (z.B. in ISO 26262-5:2011 Tab. 6 oder IEC 61508-1 Tab. 3) gelten oder die „Wahrscheinlichkeit einer Schädigung während der voraussichtlichen Lebensdauer des Produkts“ der RAPEX-Leitlinien („ENTSCHEIDUNG DER KOMMISSION vom 16. Dezember 2009 zur Festlegung von Leitlinien für die Verwaltung des gemeinschaftlichen Systems zum raschen Informationsaustausch „RAPEX“ gemäß Artikel 12 und des Meldeverfahrens gemäß Artikel 11 der Richtlinie 2001/95/2G über die allgemeine Produktsicherheit“, Tab. 4) gelten. Der Nachweis der Detektionswahrscheinlichkeit /-rate bzw. Ausfallwahrscheinlichkeit / -rate der Umfeldsensorik für automatisierte Fahrzeuge in realen Fahrsituationen wird allgemein als schwierig angesehen. Simulationen, Analysen und Labortests können zwar reproduzierbare Prüfergebnisse liefern, aber nicht alle möglichen Fahrsituationen abbilden, und die Anzahl und Varianz realer Fahrsituationen kann beliebig groß sein, so dass der Sicherheitsnachweis unwirtschaftlich wäre.
Übliche nachzuweisende Grenzwert-Metriken sind die Wahrscheinlichkeit des gefahrbringenden Versagens in einer Zeiteinheit (z.B. Jahr) oder die Wahrscheinlichkeit eines gefahrbringenden Versagens bei Anforderung (d.h. die Funktion fällt genau dann aus, wenn sie benötigt wird). Eine weitere Möglichkeit zur Ableitung von Grenzwert-Metriken besteht in der Vorgehensweise der IEC 61496-3 Anhang BB bzw. der (aktuell im Entwurf befindlichen) IEC 62998 Anhang G.
Ein wachsendes Anwendungsgebiet für die Sicherheitsbewertung sind Systeme, die über Sensoren komplexe Szenarien in ihrem Umfeld bestimmen und dementsprechende Reaktionen des Systems erzeugen, um Gefahrensituationen zu verhindern oder Folgen einer Gefahrensituation zu mindern. Beispiele für derartige Systeme sind mobile Roboter, die mit anderen Robotern oder mit Menschen auf begrenztem Raum, z.B. im medizinischen Bereich zusammenarbeiten.
Die zunehmende Automatisierung des Fahrbetriebs und die Bereitstellung teil- / hoch- bzw. voll-automatisierter“, Kraftfahrzeuge stellen enorme Anforderungen an die Sicherheit. Komplexe Vorgänge müssen unter Umständen in extrem kurzer Zeit erfasst und analysiert werden. Notwendige Reaktionen zur Abwendung möglicher Gefahren oder Minderung des Schadens sind in kürzester Zeit zu erzeugen. Basierend auf IEC 61508 wurde eine erste Version des internationalen Standards ISO 26262 „Road vehicles - functional safety“ speziell für Kraftfahrzeuge in Kraft gesetzt, die weiterhin aktualisiert wird. In Entwicklung befinden sich ISO / PAS 21448 und IEC 62998.
Eine Erfassung von Szenarien im Umfeld des Kraftfahrzeugs erfolgt vorzugsweise durch Sensoren oder sogenannten Umfeldsensoren, z.B. optische Sensoren wie Lidar. Die Größe des entsprechenden Umfelds bestimmt sich u.a. durch die Reichweite der Sensoren, deren Öffnungswinkel, die Wetterbeeinflussungen, Kurvenradien, etc.. Szenarien können sich aus Merkmalen, z.B. aus dem Vorhandensein bewegter (Personen, Tiere, andere Kfz, ...) und unbewegter Objekte (Baum, Verkehrszeichen, ...), geografischer (GPS-Koordinaten, ...) und klimatischer Bedingungen (Licht, Temperatur, Schnee, ...) zusammensetzen. Dabei kann es hinsichtlich der Vielfalt von Merkmalen, der Datenmenge sowie der Echtzeit-Bedingungen während des Betriebs des Kraftfahrzeugs zu einer komplexen Situation kommen. In Bezug auf das Umfeld des Kraftfahrzeugs können dabei gefährliche und/oder ungefährliche Situationen entstehen. Unter gefährlichen Situationen sind beispielsweise Unfälle oder Beinahe-Unfälle zu verstehen. Eine hohe Verarbeitungsgeschwindigkeit, die trotz Komplexität zeitnah eine Reaktion zur Vermeidung von Unfällen erlaubt, ist erforderlich. Die Erfassung von Szenarien kann sicherheitstechnisch z.B. durch Defizite in den internen Algorithmen beeinträchtigt werden sowie durch externe, das Umfeld beeinträchtigende Veränderungen (,die mangelnde Detektionsfähigkeit zur Folge haben,) beeinflusst werden, was zu einem Ausfall der Sensorik in bestimmten Situationen führen kann.
Die Bestimmung sicherheitsrelevanter Kennwerte kann offline, also außerhalb des realen Betriebes eines Kraftfahrzeugs, z.B. durch Simulation, Injektion von aus Datenbanken abgerufenen Realdaten für bestimmte Verkehrsszenarien u.ä. erfolgen. Testfahrten im realen Betrieb stellen eine weitere Möglichkeit dar, sind jedoch zeitaufwändig, schnell unwirtschaftlich und hinsichtlich der Szenarien und Situationen schwer reproduzierbar. Dennoch sind sie als unbedingt notwendige Ergänzungen zu Simulationen unerlässlich.
DE102017118537A1 beschreibt ein Verfahren mit folgenden Schritten: Empfangen einer Anzeige eines Störungszustands in einem Fahrzeug durch einen Prozessor; drahtloses Übertragen der Anzeige des Störungszustands zu einem entfernten Server; Empfangen einer überarbeiteten Route zu einem Ziel, zumindest teilweise auf Grundlage des Störungszustands, von dem entfernten Server; und Betreiben des Fahrzeugs entlang der überarbeiteten Route.
Es ist eine Aufgabe der vorliegenden Erfindung, die beschriebenen Probleme auszuräumen. Insbesondere soll ein Verfahren und eine Vorrichtung gefunden werden, die einen sicheren Betrieb von Fahrzeugen, insbesondere im Straßenverkehr, ermöglichen.
Diese Aufgabe wird gelöst durch ein System nach Anspruch 1, ein Verfahren nach Anspruch 9 sowie einen computerlesbaren Speicher.
Insbesondere wird die Aufgabe durch ein System zur (online)Überwachung des Betriebs mindestens eines Fahrzeugs gelöst. Das System umfasst:

- mindestens eine elektronische Komponente, insbesondere einen Umfeldsensor
- mindestens eine Speichereinrichtung zur Speicherung mindestens eines Grenzwerts;
- mindestens eine Recheneinheit,

a) basierend auf Eingangsdaten reale Fahrsituationen in mindestens zwei Klassen, umfassend eine Gefahrenklasse, zu klassifizieren;
b) basierend auf der Klassifikation eine (lokale) Anforderungsrate für die Komponente zu bestimmen;
c) unter Verwendung der Anforderungsrate und einer Ausfallwahrscheinlichkeit eine Ausfallsrate zu berechnen;
d) die Ausfallsrate mit dem Grenzwert zu vergleichen; und
e) basierend auf dem Vergleich ein Signal mittels einer Signalisierungseinrichtung auszugeben und/oder derart in den Betrieb des Fahrzeugs einzugreifen, dass das Fahrzeug nur noch mit einem reduzierten Fahrleistungskennwert betrieben werden kann,

Erfindungsgemäß kann der Begriff „Ausfallsrate“ eine Rate der gefährlichen Ausfälle (DFR=„dangerous failure rate“) bezeichnen. Dieser Begriff kann in Anlehnung an IEC 61496-3 Anhang BB definiert sein. Erfindungsgemäß kann die Komponente auch Einrichtungen umfassen, die redundant ausgeführt sind und als eine Komponente bezeichnet werden. Die Komponente kann auch eine Gesamtheit der Umfeldsensorik umfassen.
Soweit mehrere Klassen zur Klassifikation der Fahrsituation verwendet werden, können auch mehrere Gefahrensituationen unterschieden werden, z.B. Unfall; beinahe Unfall; offensichtlicher Ausfall, der durch einen Dritten, z.B. durch ein anderes Fahrzeug entdeckt wurde. Weitere (Unter-)Klassen können in Abhängigkeit davon gebildet werden, ob die Fahrsituation bekannt oder unbekannt ist
Vorzugsweise wird diese Ausfallsrate mit einem Maximalwert bzw. Grenzwert verglichen und bei Überschreiten des Maximalwertes ein Signal an die Ausgabeeinrichtung ausgegeben und/oder eine Reaktion zur Vermeidung oder Verminderung der zukünftigen und/oder weiteren gefährlichen Situation eingeleitet.
Die Erfindung ermöglicht es, das Problem zu adressieren, dass nicht alle technischen Komponenten derart getestet werden können, dass sie auf alle Fahrsituationen zuverlässig reagieren. Letztendlich muss in diesem Feld der Technologie eine gewisse Anzahl an Ausfällen hingenommen werden, die gegebenenfalls sogar in gefährlichen Situationen eintreten können. Die Erfindung sorgt jedoch dafür, dass die Wahrscheinlichkeit für das Eintreten einer entsprechenden gefährlichen Situation in vorgegebenen Grenzen bleibt. Sollte es sich im laufenden Fahrbetrieb erweisen, dass das Gefahrenpotential, das von bestimmten Fahrsituationen aufgrund der Anforderungsrate und/oder der Ausfallwahrscheinlichkeit ausgeht, unterschätzt wurden, so kann die Erfindung dazu genutzt werden, dies entsprechend zu signalisieren. Eine Signalisierung kann über die Signalisierungseinrichtung erfolgen, wobei die ausgegebenen Signale von dem Fahrer selbst oder jeder beliebigen anderen Person oder Einrichtung empfangen werden können.
Ebenfalls kann das Fahrzeug (automatisch) in einen sicheren Zustand gebracht werden. Vorzugsweise handelt es sich bei diesem sicheren Zustand um einen Zustand, bei dem das Fahrzeug nur noch mit reduziertem Fahrleistungskennwert betrieben werden kann. Zur Reduzierung der Fahrleistungskennwerte sind zahlreiche Maßnahmen denkbar. Beispielsweise können die Drehzahl, die Höchstgeschwindigkeit, das Drehmoment oder andere Kennzahlen des Fahrzeugs so beeinflusst werden, dass ein sicheres Betreiben, beispielsweise bis zum Aufsuchen einer Werkstatt, möglich ist.
Die Erfindung ist besonders dann vorteilhaft, wenn sie in Verbindung mit einer Fahrzeugflotte eingesetzt wird, wobei die Fahrzeugflotte miteinander vernetzt ist. So kann beispielsweise eine in einem Fahrzeug gewonnene Erkenntnis von anderen Fahrzeugen berücksichtigt werden.
Die vorab genannten Eingangsdaten können mittels Umfeldsensoren oder anderen Komponenten des Fahrzeugs gewonnen werden. Weiterhin ist es denkbar, dass diese Eingangsdaten über eine Funkschnittstelle an das Fahrzeug kommuniziert werden.
In einer Ausführungsform wird die Ausfallwahrscheinlichkeit für die Komponente in der Speichereinrichtung gespeichert.
Vorzugsweise ist diese Gruppe die, in die bekannte Fahrsituationen, die beispielsweise aufgrund der Daten in der Speichereinrichtung und der Merkmale erkannt wurden, eingeordnet werden. Erfindungsgemäß kann für die bekannten Fahrsituationen eine bekannte Ausfallsrate basierend auf einer/der gespeicherten Ausfallwahrscheinlichkeit der Umfeldsensorik berechnet werden. In dieser Anmeldung/diesem Patent wurde der Begriff der bekannten Ausfallsrate nicht deshalb so gewählt, weil die Ausfallsrate an sich bekannt ist, sondern weil die entsprechende Ausfallsrate den bekannten Fahrsituationen zugeordnet ist. Wie bereits erläutert, wird die bekannte Ausfallsrate vorzugsweise online errechnet. Insofern ist das Adjektiv „bekannt“ in Verbindung mit der Ausfallsrate nicht als einschränkend zu verstehen und könnte gegebenenfalls durch das Adjektiv „erste“ ersetzt werden.
In einem Ausführungsbeispiel wird für unbekannte Fahrsituationen eine gesonderte unbekannte Ausfallsrate ermittelt. Auch hier wurde das Adjektiv „unbekannt“ nicht deshalb gewählt, weil die Ausfallsrate an sich unbekannt ist. Auch diese Ausfallsrate wird gemäß der Erfindung berechnet. Vielmehr geht es darum, zu kennzeichnen, dass die unbekannte Ausfallsrate den unbekannten Situationen zugeordnet ist. Insofern ließe sich auch hier das Adjektiv „unbekannt“ durch ein beliebiges anderes Adjektiv, beispielsweise „zweite“ ersetzen. Erfindungsgemäß kann die Recheneinheit dazu ausgebildet sein, das Produkt der bekannten Ausfallsrate und unbekannten Ausfallsrate mit dem Grenzwert zu vergleichen.
Durch die Einordnung der Fahrsituation in bekannte und unbekannte Fahrsituationen und der getrennten Berechnung von Ausfallsraten ist es möglich, das tatsächliche Risiko genauer zu bewerten. Erfindungsgemäß ist es auch möglich pro Ausfallsrate und/oder Schadensklasse eine gesonderte Risikoabschätzung mit spezifischen Grenzwert vorzunehmen.
In einer Ausführungsform ist die Recheneinheit dazu ausgebildet, eine unbekannte bzw. zweite Anforderungsrate, insbesondere für die unbekannte Fahrsituation, zu berechnen und zu speichern. Die Berechnung kann basierend auf einer Betriebsdauer erfolgen.
In einem Ausführungsbeispiel werden Sensoren dazu eingesetzt, um Signale für die Recheneinheit bereitzustellen, die verwendet werden, um eine Kollision, insbesondere einen Unfall, des Fahrzeugs zu erkennen. Die Sensoren können auch die Umfeldsensoren sein. Eine Fahrsituation kann dann in die Gefahrenklasse klassifiziert werden, wenn diese zu einem Unfall bzw. zu einer Kollision führt. Im Fall einer Kollision bei einer unbekannten Fahrsituation kann zur Berechnung der unbekannten Ausfallsrate eine unbekannte Ausfallwahrscheinlichkeit auf einen vorgegebenen Wert gesetzt werden. Beispielsweise kann der Wert 1 sein.
In einer Ausführungsform umfasst das System eine Kommunikationsschnittstelle, insbesondere ein Mobilfunkgateway. Die Recheneinheit kann dazu ausgebildet sein, eine fremde Anforderungsrate und/oder eine fremde unbekannte Ausfallwahrscheinlichkeit zu empfangen und die Ausfallsrate unter Verwendung einer lokalen Anforderungsrate sowie der fremden Anforderungsrate zu berechnen. Letztendlich können beispielsweise in der bereits genannten Fahrzeugflotte in jedem oder einigen Fahrzeugen eine lokale Anforderungsrate berechnet bzw. ermittelt werden, wobei sich die lokale Anforderungsrate auf Daten bezieht, die von dem System in dem jeweiligen Fahrzeug ermittelt wurden. Diese lokale Anforderungsrate kann an andere Fahrzeuge als fremde Anforderungsrate übermittelt werden. Alternativ kann die lokale Anforderungsrate an einen Server übermittelt werden, der wiederum aus einer Vielzahl von Anforderungsraten eine (globale) fremde Anforderungsrate erzeugt, die dann an einzelne Fahrzeuge übermittelt wird. Das jeweilige Fahrzeug kann dann die fremde und die lokale Anforderungsrate nutzen, um eine verbesserte Risikoabschätzung vorzunehmen. Aufgrund der Mittelung bleiben Ausreißer gegebenenfalls unberücksichtigt und führen nicht zu einem Warnen des Benutzers und/oder zum Betreiben des jeweiligen Fahrzeugs mit reduziertem Fahrleistungskennwert, wie dies vorab beschrieben wurde.
Die eingangs genannte Aufgabe wird auch durch ein Fahrzeug mit einem der Systeme, wie diese bereits vorab beschrieben wurden, gelöst.
Das Fahrzeug kann entsprechende Umfeldsensoren aufweisen. Die Umfeldsensoren können eine Frontkamera und/oder eine Seitenkamera und/oder eine Heckkamera und/oder ein Lidar und/oder eine Radareinrichtung sein. In einer Ausführungsform ist auch eine Navigationseinheit umfasst. Dieser Umfeldsensor kann beispielsweise das Abkommen von der Straße erfassen.
Weiterhin wird die Aufgabe durch ein Verfahren zur Online-Überwachung des Betriebs mindestens eines Fahrzeugs gelöst. Bei dem Fahrzeug kann es sich um ein Fahrzeug handeln, wie dies bereits vorab erläutert wurde. Das Verfahren kann die folgenden Schritte umfassen:

a) Klassifizieren einer realen Fahrsituation in mindestens eine von mindestens zwei Klassen, wobei die mindestens zwei Klassen eine Gefahrenklasse umfasst, wobei das Klassifizieren basierend auf Eingangsdaten, insbesondere von Umfeldsensoren erfolgt;
b) Bestimmen mindestens einer (lokalen) Anforderungsrate basierend auf der Klassifikation für mindestens eine elektronische Komponente, insbesondere einen Umfeldsensor;
c) Berechnen einer Ausfallsrate unter Verwendung der Anforderungsrate und einer Ausfallwahrscheinlichkeit;
d) Vergleichen der Ausfallsrate mit einem Grenzwert; und
e) Ausgeben eines Signals mittels einer Signalisierungseinrichtung basierend auf dem Vergleich und/oder Steuern des Fahrzeugs derart, dass das Fahrzeug nur noch mit reduzierter Leistung betrieben werden kann,

DFR (u) = DFP (u) \times DR (u)

DFR (b) = DFP (b) \times DR (b) .

Auch für das Verfahren ergeben sich ähnliche Vorteile, wie diese bereits in Verbindung mit der Vorrichtung bzw. dem System beschrieben wurden.
Bei dem Verfahren kann in Schritt a) eine Klassifizierung der realen Fahrsituation in eine von mehreren Gefahrenklassen erfolgen und im Schritt b) eine Anforderungsrate für die jeweilige Gefahrenklasse bestimmt und gespeichert werden. Auch bei dem Verfahren kann ein Vergleichen eines Produkts der bekannten Ausfallsrate und der unbekannten Ausfallsrate mit dem Grenzwert erfolgen.
In einer Ausführungsform werden die Schritte a) bis d) mehrfach zur Bestimmung einer akkumulierten Ausfallsrate durchgeführt.
Die eingangs genannte Aufgabe wird ebenfalls von einem computerlesbaren Speicher mit Instruktionen zur Durchführung des Verfahrens, wie dies bereits vorab beschrieben wurde, gelöst. Vorzugsweise wird das Verfahren umgesetzt, wenn diese Instruktionen auf mindestens einer Recheneinheit ausgeführt werden.
Erfindungsgemäß könnte das System auch zur Überwachung von Robotern, insbesondere mobilen Robotern eingesetzt werden. In einer (bevorzugten) Ausführungsform wird der Betrieb eines oder mehrerer Kraftfahrzeuge überwacht.
Im Folgenden wird die Erfindung anhand von Figuren im Detail erläutert. Dabei zeigen:

1: eine schematische Darstellung einer Vorrichtung zur Ermittlung des Wahrscheinlichkeitswerts eines gefährlichen Ausfalls in einem Fahrzeug;
2: eine schematische Darstellung einer Erfassungseinrichtung;
3: die Darstellung einer Steuereinrichtung;
4: ein Diagramm zur Darstellung des Verfahrens gemäß der Erfindung.

Im Folgenden werden für gleiche und gleichwirkende Teile dieselben Bezugsziffern verwendet.
Die 1 zeigt eine schematische Darstellung einer erfindungsgemäßen Vorrichtung zur Ermittlung des Wahrscheinlichkeitswerts eines gefährlichen Ausfalls bzw. zur Ermittlung der Ausfallsrate DFR. Ein Fahrzeug 1 besitzt ein Umfeld 2, welches von einem linken Sensor 31, einem rechten Sensor 33, einem Hecksensor 35 und einem Frontsensor 37 erfasst wird. Dabei erfassen die Sensoren 31, 33, 35 und 37 im Umfeld 2 befindliche Objekte 3, 3', 3". Diese Objekte 3, 3', 3" können insbesondere unbewegliche und bewegliche Objekte sein. Das Fahrzeug 1 kann weitere Sensoren zur Erfassung von geografischen (z.B. Positionsdaten) und klimatischen (z.B. Niederschlag) Bedingungen aufweisen. Aus den Daten der Sensoren 31, 33, 35 und 37 werden Merkmale abgeleitet, die eine Fahrsituation beschreiben. Für die Bestimmung der sicherheitsrelevanten Erfordernisse des Fahrzeugs 1 wird während des Betriebes eine Unterscheidung in gefährliche Fahrsituationen und ungefährliche Fahrsituationen getroffen. Gemäß 1 befindet sich das Fahrzeug 1 ggf. in einer gefährlichen Situation, in der sich Objekte 3 (z.B. Personen) zu nahe am Fahrzeug 1 befinden (fast Kollision). Erfindungsgemäß wäre eine Fahrzeugsituation ohne die Objekte 3 eine ungefährliche Fahrzeugsituation, weil die verbleibenden Objekte 3', 3" ausreichend weit vom dem Fahrzeug 1 entfernt sind.
Das Fahrzeug 1 kann durch die Sensoren 31, 33, 35, 37 die Objekte 3, 3', 3" in seinem Umfeld 2 erfassen. Die Erfassung und eine Extraktion von Merkmalen zur Bestimmung von Fahrsituationen kann während des realen Betriebes des Fahrzeugs 1 in Echtzeit erfolgen. Unterschiedliche Bedingungen im Umfeld 2 (z.B. Autobahn, dichter Stadtverkehr, Tunnel) ergeben unterschiedliche Fahrsituationen. Je nach Ausstattungsgrad des Fahrzeugs 1 verfügt das Kraftfahrzeug über hier nicht dargestellte Aktoren (z.B. Bremse, Abstandshalter) zur Vermeidung von Unfällen oder der Verminderung von Auswirkungen eines Unfalls.
In der 2 sind die Sensoren 31, 33, 35 37 als eine Erfassungseinrichtung 30 zusammengefasst. Die einzelnen Sensoren umfassen einen linken Sensor 31, einen rechten Sensor 33, einen Hecksensor 35 und einen Frontsensor 37, welche über einen Systembus 47 mit einer Steuereinrichtung 40 (3) und einer Anzeigeeinrichtung 41 verbunden sind. Die Sensoren 31, 33, 35, 37 sind vorzugsweise optische Umfeldsensoren wie Lidar-Anordnungen und dergleichen. Die Einbeziehung anderer Sensoren (z.B. Reifendrucksensor, Ultraschallsensor) des Fahrzeugs 1 ist eine von vielen Möglichkeiten zur Erweiterung der erfindungsgemäßen Vorrichtung.
Die 3 zeigt schematisch eine Steuereinrichtung 40 bestehend aus einer Recheneinrichtung 42, einer Speichereinrichtung 43, einer Datenbank 45 und einer Anzeigeeinrichtung 41, die über den Systembus 47 miteinander verbunden sind. Die Speichereinrichtung 43 dient der Speicherung von Daten, die über die Erfassungseinrichtung 30 ermittelt werden. Die Datenbank 45 enthält vorzugsweise Datensätze zu Fahrsituationen und deren kennzeichnende Merkmale. Die Steuereinrichtung 40 kann über eine Kommunikationseinrichtung (nicht gezeigt) mit wenigstens einem weiteren Fahrzeug zum Zwecke des Datenaustausches gekoppelt sein.
Die Steuereinrichtung 40 wertet die durch die Erfassungseinrichtung 30 erfassten Objekte 3, 3' und 3" aus und klassifiziert die Fahrsituationen in gefährliche und nicht gefährliche Situationen. Für die gefährlichen Situationen (beinahe Unfall oder Unfall) ist mindestens eine Klasse mit dem Namen „Gefahrenklasse“ vorgesehen.
Zur Sicherung des Betriebs des Fahrzeugs 1 wird fortlaufend eine Rate eines gefährlichen Ausfalls, sogenannte Ausfallsrate DFR berechnet, also des Ausfalls wenigstens eines Sensors 31, 33, 35, 37 zum Zeitpunkt einer gefährlichen Situation bzw. einer Fahrsituation, die in einer der Klassen „Gefahrenklasse“ eingeordnet wurde. Eine gefährliche Situation kann unterschiedlich definiert sein. Erfindungsgemäß wird sie als eine Situation angesehen, in der eine Beschädigung von Gegenständen und/oder die Verletzung von Menschen oder Tieren droht oder bereits eingetreten ist, oder die Detektionsfähigkeit mindestens eines Sensors gefährlich vermindert ist.
Zur Berechnung der Ausfallsrate DFR ist die Kenntnis der Rate gefährlicher Situationen bzw. der Anforderungsrate DR erforderlich, d.h. die Rate gefährlicher Situationen, denen die Erfassungseinrichtung 30 des Fahrzeugs 1 in einem bestimmten Umfeldabschnitt ausgesetzt ist.
Die Funktion der erfindungsgemäßen Anordnung wird im Detail anhand von 4 beschrieben, die ein Diagramm zur Darstellung des Verfahrens zur Ermittlung der Ausfallsrate DFR gemäß der Erfindung zeigt.
In Schritt 100 wird die Ausfallwahrscheinlichkeit DFP wenigstens eines Sensors 31, 33, 35, 37 bestimmt oder aus einem Speicher ausgelesen. In Schritt 110 wird die Rate gefährlicher Situationen bzw. die Anforderungsrate DR bestimmt. Danach wird in Schritt 120 die Ausfallsrate DFR als Produkt der Ausfallwahrscheinlichkeit DFP mit Anforderungsrate DR gebildet.
In Schritt 125 wird die Ausfallsrate DFR mit einem Wahrscheinlichkeitsmaximalwert DFR(grenz) verglichen. Daraufhin wird bei einer Überschreitung in Schritt 130 ein Signal an eine Anzeigeeinrichtung 41 und/oder eine Reaktion zur Vermeidung oder Verminderung zukünftiger gefährlicher Situation eingeleitet. Mit der Ermittlung der Ausfallwahrscheinlichkeit wenigstens eines Sensors 31, 33, 35, 37 in einer gefährlichen Situation wird ein wichtiger sicherheitstechnischer Nachweis dafür erbracht, dass die Wahrscheinlichkeit für einen gefährlichen Ausfall der Sensoren 31, 33, 35, 37 sehr gering ist. Dieser Nachweis kann insbesondere für die Typzulassung von Kraftfahrzeugen relevant sein.
In einem Ausführungsbeispiel kann die Anforderungsrate DR und die Ausfallwahrscheinlichkeit DFP wenigstens eines Sensors 31, 33, 35, 37 bereits aus Tests, Analysen oder Simulationen bekannt sein und mit realen, während des Betriebes des Fahrzeugs 1 ermittelten Daten, verglichen werden. In diesem Fall wird die Anforderungsrate DR durch die Steuereinrichtung 40 während des Betriebes von Fahrzeug 1 gezählt. Hierfür ist es notwendig, dass die Steuereinrichtung 40 eine Einteilung der Situationen in verschiedene Situationsklassen vornimmt. Die Steuereinheit kann dann die Fahrsituationen, die in die Gefahrenklasse eingeteilt wurden, zählen und die/eine Anforderungsrate DR berechnen. Ggf. kann diese Anforderungsrate DR mit einer bekannten und/oder theoretisch ermittelten Anforderungsrate verglichen werden. Statistische Bewertungen können zusätzlich erfolgen. So kann DFR=DFP x DR durch die Steuereinrichtung 40 im realen Betrieb des Fahrzeugs 1 berechnet und mit einem Maximalwert DFR(grenz) verglichen werden. Im Falle einer Überschreitung kann die Anzeigeeinrichtung 41 ein Warnsignal ausgeben. Gegebenenfalls kann das Fahrzeug 1 durch die Steuereinrichtung 40 veranlasst werden, sich in einen sicheren Zustand (Fahrzeug abgeschaltet, beschränkte Maximalgeschwindigkeit, etc.) zu begeben.
In einer (anderen) Ausgestaltung des erfindungsgemäßen Verfahrens kann die Ausfallwahrscheinlichkeit DFP eines Sensors 31, 33, 35, 37 nur teilweise bekannt sein. Sie kann beispielsweise nur für einen Teil von möglichen Situationen, den sogenannten bekannten Situationen, bekannt sein, wobei sie in diesem Fall nachfolgend als bekannte Ausfallwahrscheinlichkeit DFP(b) bezeichnet wird.
Die Datenbank 45 kann Merkmale entsprechender bekannter Situationen enthalten. Somit kann die Steuereinrichtung 40 die bekannten Situationen erkennen und eine gesonderte Rate, die sogenannte bekannte Anforderungsrate DR(b), bestimmen. Das Produkt DFR(b)=DFP(b) x DR(b) kann berechnet werden, um die sogenannte bekannte Ausfallsrate DFR(b)= zu bestimmen. Dementsprechend kann für unbekannte Situationen, die als gefährlich eingestuft werden, eine unbekannte Ausfallsrate DFR(u) =DFP(u) x DR(u) ermittelt werden. Für den Vergleich mit einem Maximalwert DFR(grenz) gilt: DFR(b) + DFR(u) < DFR(grenz).
Für das Fahrzeug 1 werden unter Realbedingungen alle Situationen durch die Sensoren 31, 33, 35, 37 erfasst und in bekannte oder unbekannte Situationen klassifiziert. Insbesondere wird festgestellt, ob Situationen bereits mit den bekannten Situationen übereinstimmen, die mit DR(b) bereits modelliert sind. Andernfalls gehören die Situationen zu DR(u). Durch statistische Auswertungen (z.B. Unfallereignisse geteilt durch gefahrene Strecke oder Betriebsstunden) kann beim Auftreten bestimmter Bedingungen (z.B. Unfall, Erkennung eines gefährlichen Sensorausfalls durch andere Mittel) ein Wert für DR(u) bestimmt werden.
In bestimmten Konstellationen sind für den Nachweis DFR(b) + DFR(u) < DFR(grenz) sehr lange Zeiten bzw. im Falle eines Kraftfahrzeugs viele gefahrene Kilometer erforderlich. Alternativ oder zusätzlich können daher erfindungsgemäß Werte eines oder mehrerer weiteren, vergleichbaren Fahrzeuge durch Datenübertragung bzw. Datenaustausch einbezogen werden.
In einem Ausführungsbeispiel der Erfindung wird angenommen, dass ein Hersteller ein Fahrzeug mit einem Basisdatensatz aus Labortests, Simulationen, Fahrzeug-km, etc. in die Typzulassung gegeben hat. Der Basisdatensatz umfasst eine Reihe von Fahrsituationen und zugehörige DFP(b), die als repräsentativ und aussagefähig genug für die Typzulassung angesehen werden (jedoch in der Absicht, die vorliegende Erfindung zu nutzen). Die Fahrsituationen des Basisdatensatzes sind ihrer Art nach bekannt (d.h. Aspekte klassifiziert nach Straßenart und -zustand, Witterungsbedingungen, umgebende Objekte und ihre Objektattribute wie Größe, Reflektivität, Bewegungen, ...), aber nicht alle getestet (durch Labortests, Simulationen, Fahrzeug-km, ...), d.h. DFP ist teilweise unbekannt; weiterhin sind nicht alle Fahrsituationen ihrer Art nach bekannt.
Sofern die bekannten Fahrsituationen von weiteren, vergleichbaren Fahrzeugen mit denen des eigenen Fahrzeugs in allen Aspekten ihrer Art nach identisch sind (insbesondere wenn der geplante Einsatzbereich aller Fahrzeuge übereinstimmt), kann wie bisher beschrieben gemäß DFR(b, N) = DFP(b, N, i) * DR(b, N, i) verfahren werden, dabei sind DFP(b, N, i) und DR(b, N, i) die Werte aller N am Verfahren teilnehmenden Fahrzeuge (i ist ein Index für die jeweilige Fahrsituation) und DFR(b, N) ein statistisch gewichteter / gemittelter Wert aus den i Fahrsituationen aller N Fahrzeuge, bezogen auf das eigene Fahrzeug. Sofern dem eigenen - lokalen - Fahrzeug die erfassten Fahrsituationen anderer Fahrzeuge mindestens in einigen Aspekten zwar unbekannt, in anderen Aspekten jedoch bekannt sind, kann wie bisher beschrieben gemäß DFR(u, N) = DFP(u, N, i) * DR(u, N, i) verfahren werden.
Hierzu kann identifiziert werden, welcher Teil der Fahrsituations-Aspekte anderer Fahrzeuge dem geplanten Einsatzbereich des eigenen Fahrzeugs entspricht. Je unspezifischer der Einsatzbereich definiert ist (z.B. „weltweit alle Straßen“) desto mehr Fahrzeuge können zur Auswertung und zu den gefahrenen km beitragen, es gibt aber auch mehr zu betrachtende Fahrsituationen. Dem eigenen Fahrzeug wird ein spezifischerer, aber a priori nicht vollständig bekannter individueller Einsatzbereich als „weltweit alle Straßen“ unterstellt, weshalb man zum Sicherheitsnachweis weniger Fahrsituationen (km) benötigt. Es kommt darauf an, eine oder mehrere Obermengen von Fahrsituations-Aspekten / Einsatzbereichen / Fahrzeugen zu bestimmen, die alle zum gleichen „Topf“ DFR(b, N) bzw. DFR(u, N) des eigenen Fahrzeugs beitragen können, ohne den Einsatzbereich des eigenen Fahrzeugs nachteilig einzuschränken. Ggf. sind mehrere „Töpfe“ zu bilden, z.B. einen fahrzeugübergreifenden und einen fahrzeugspezifischen, die dann ggf. gewichtet zusammenzufassen sind.
In den vorhergehenden Ausführungsbeispielen wird bei dem Überschreiten des Grenzwerts DFR(grenz) eine Warnung, z.B. mittels der Anzeigeeinrichtung 41 ausgegeben. Erfindungsgemäß kann zusätzlich oder anstelle der Warnung auch direkt z.B. auf ein Motorsteuergerät oder die sog. „KL15“ Zündspannnungsversorgung) eingewirkt werden. So kann das Fahrzeug abgeschaltet oder mit verminderten Fahrleistungskennwerten (z.B. Geschwindigkeit) betrieben werden. Möglich ist auch, eine Warnung mit Wartungsaufforderung auszugeben und nach einer gewissen Zeit erst die genannten Eingriffe vorzunehmen, wenn diese Zeit verstrichen ist.
Bezugszeichenliste

DR: Anforderungsrate
DFP: Ausfallwahrscheinlichkeit eines Sensorausfalls
DFR: Ausfallsrate
DR(u): Anforderungsrate unbekannter gefährlicher Situationen
DFP(u): Ausfallwahrscheinlichkeit eines Sensorausfalls in einer unbekannten Situation
DFR(u): Ausfallsrate für unbekannten Situation
DR(b): Anforderungsrate bekannter gefährlicher Situationen
DFP(b): Ausfallwahrscheinlichkeit eines Sensorausfalls in einer bekannten Situation
DFR(b): Ausfallsrate für bekannten Situation
DFR(grenz): Maximalwert bzw. Grenzwert
1: Fahrzeug
2: Umfeld
3, 3', 3": Objekte
6: Fahrer
30: Erfassungseinrichtung
31: linker Sensor
33: rechter Sensor
35: Hecksensor
37: Frontsensor
40: Steuereinrichtung
41: Anzeigeeinrichtung
42: Recheneinrichtung
43: Speichereinrichtung
45: Datenbank
47: Systembus
100: Ermittlung der Ausfallwahrscheinlichkeit
110: Schritt des Bestimmens der Anforderungsrate DR
120: Schritt des Berechnens der Ausfallsrate DFR
125: Schritt des Vergleichens der Ausfallsrate DFR mit einem Grenzwert
130: Schritt der Signalisierung bzw. des Steuereingriffs

Claims

System zur Überwachung des Betriebs mindestens eines Fahrzeugs, umfassend: - mindestens eine elektronische Komponente, insbesondere einen Umfeldsensor (31, 33, 35, 37), - mindestens eine Speichereinrichtung (43) zur Speicherung mindestens eines Grenzwerts (DFR(grenz)); - mindestens eine Recheneinheit, wobei die Recheneinheit dazu ausgebildet ist, a) basierend auf Eingangsdaten reale Fahrsituationen in mindestens zwei Klassen, umfassend eine Gefahrenklasse, zu klassifizieren; b) basierend auf der Klassifikation eine Anforderungsrate (DR) für die Komponente zu bestimmen; c) unter Verwendung der Anforderungsrate (DR) und einer Ausfallwahrscheinlichkeit (DFP) eine Ausfallrate (DFR) zu berechnen; d) die Ausfallrate (DFR) mit dem Grenzwert (DFR(grenz)) zu vergleichen; und e) basierend auf dem Vergleich ein Signal mittels einer Signalisierungseinrichtung auszugeben und/oder derart in den Betrieb des Fahrzeugs einzugreifen, dass das Fahrzeug ggf. nach einer vorbestimmten Zeit nur noch mit reduziertem Fahrleistungskennwert betrieben werden kann, dadurch gekennzeichnet, dass in der Speichereinrichtung (43) ein Satz von bekannten Fahrsituationen und Merkmalen gespeichert ist, wobei die Merkmale jeweils mindestens einer Fahrsituation zugeordnet sind, wobei die Recheneinheit dazu ausgebildet ist, unter Verwendung der Merkmale reale Fahrsituationen in zumindest zwei Gruppen, umfassend eine Gruppe von bekannten Fahrsituationen und eine Gruppe von unbekannten Fahrsituationen, zu klassifizieren, wobei für bekannte Fahrsituationen eine bekannte Ausfallrate (DFR(b)) basierend auf einer/der gespeicherten Ausfallwahrscheinlichkeit (DFP(b)) und für unbekannte Fahrsituationen eine gesonderte unbekannte Ausfallsrate (DFP(u)) ermittelt wird, wobei die Recheneinheit dazu ausgebildet ist, die Summe der bekannten Ausfallrate (DFR(b)) und unbekannten Ausfallrate (DFP(u)) mit dem Grenzwert (DFR(grenz)) zu vergleichen.
System nach Anspruch 1, dadurch gekennzeichnet, dass in der Speichereinrichtung (43) die Ausfallwahrscheinlichkeit (DFP) für die Komponente gespeichert ist.
System nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass die Recheneinheit dazu ausgebildet ist, insbesondere basierend auf einer Betriebsdauer, eine unbekannte Anforderungsrate (DR(u)), insbesondere für die unbekannten Fahrsituationen, zu berechnen und zu speichern.
System nach einem der vorhergehenden Ansprüche, gekennzeichnet durch Sensoren, ggf. umfassend die Umfeldsensoren, wobei die Recheneinheit dazu ausgebildet ist unter Verwendung von Signalen der Sensoren eine Situation, insbesondere einen Unfall und/oder einen Beinaheunfall und/oder eine Verminderung eine Detektionsfähigkeit des Systems oder mindestens eines Sensors, zu erkennen, wobei im Falle einer Kollision bei einer unbekannten Fahrsituation zur Berechnung der unbekannten Ausfallrate (DFR(u)) eine unbekannte Ausfallwahrscheinlichkeit (DFP(u)) auf einen vorgegebenen Wert, insbesondere auf den Wert „1“, gesetzt wird.
System nach einem der vorhergehenden Ansprüche, gekennzeichnet durch: eine Kommunikationsschnittstelle, insbesondere ein Mobilfunkgateway, wobei die Recheneinheit dazu ausgebildet ist, - eine fremde Anforderungsrate und/oder - fremde Ausfallwahrscheinlichkeiten (DFP(u) zu empfangen und die Ausfallrate (DFR) unter Verwendung der/einer lokalen Anforderungsrate (DR) und/oder der fremden Anforderungsrate zu berechnen.
Fahrzeug mit einem System nach einem der vorhergehenden Ansprüche.
Fahrzeug nach Anspruch 6, dadurch gekennzeichnet, dass das Fahrzeug als Umfeldsensor (31) eine Frontkamera und/oder Seitenkamera und/oder Heckkamera und/oder eine Lidar- und/oder Radareinrichtung und/oder eine Navigationseinrichtung umfasst.
Fahrzeugflotte mit einer Vielzahl von Fahrzeugen nach Anspruch 6 oder 7.
Verfahren zur Überwachung des Betriebs mindestens eines Fahrzeugs, insbesondere eines Fahrzeugs nach Anspruch 7 oder 8, umfassend die folgenden Schritte, die vorzugsweise zumindest teilweise auf einer Recheneinheit ausgeführt werden: a) Klassifizieren einer realen Fahrsituation in mindestens eine von mindestens zwei Klassen, wobei die mindestens zwei Klassen eine Gefahrenklasse umfassen, wobei das Klassifizieren basierend auf Eingangsdaten insbesondere von Umfeldsensoren (31, 33, 35, 37) erfolgt; b) Bestimmen mindestens einer Anforderungsrate (DR) basierend auf der Klassifikation für mindestens eine elektronische Komponente, insbesondere einen Umfeldsensor (31, 33, 35, 37); c) Berechnen einer Ausfallrate (DFR) unter Verwendung der Anforderungsrate (DR) und einer Ausfallwahrscheinlichkeit (DFP); d) Vergleichen der Ausfallrate (DFR) mit einem Grenzwert (DFR(grenz)); und e) Ausgeben eines Signals mittels einer Signalisierungseinrichtung basierend auf dem Vergleich und/oder Steuern des Fahrzeugs derart, dass das Fahrzeug nur noch mit reduziertem Fahrleistungskennwert betrieben werden kann; wobei ein Klassifizieren der realen Fahrsituation in eine Gruppe von zumindest zwei Gruppen, wobei die zwei Gruppen eine Gruppe von bekannten Fahrsituationen und eine Gruppe von unbekannten Fahrsituationen umfasst, wobei für bekannte Fahrsituationen eine bekannte Ausfallrate (DFR(b)) basierend auf einer/der gespeicherten Ausfallwahrscheinlichkeit (DFP(b)) und für unbekannte Fahrsituationen eine gesonderte unbekannte Ausfallrate (DFR(u)) ermittelt und ggf. gespeichert wird, wobei in Schritt d) ein Vergleichen einer Summe der bekannte Ausfallrate (DFR(b)) und der unbekannte Ausfallrate mit dem Grenzwert (DFR(grenz)) erfolgt, wobei die unbekannte Ausfallsrate vorzugsweise ein Produkt ist: $DFR (u) = DFP (u) \times DR (u)$
und/oder die bekannte Ausfallsrate vorzugsweise eine Produkt ist: $DFR (b) = DFP (b) \times DR (b) .$
Verfahren nach Anspruch 9, dadurch gekennzeichnet, dass in Schritt a) eine Klassifizierung der realen Fahrsituation in mehrere Gefahrenklassen erfolgt und in Schritt b) eine Anforderungsrate (DR) für die jeweilige Gefahrenklasse bestimmt und gespeichert wird.
Verfahren nach Anspruch 9 oder 10, gekennzeichnet durch: ein Auswerten einer Betriebsdauer des Fahrzeugs und ein Berechnen einer unbekannten Anforderungsrate (DR(u)) für die unbekannten Fahrsituationen basierend auf der Betriebsdauer und unter Berücksichtigung der Häufigkeit des Auftretens der unbekannten Fahrsituation.
Verfahren nach einem der Ansprüche 9 bis 11, gekennzeichnet durch: ein Speichern mindestens einer unbekannten Anforderungsrate (DR(u)) und/oder einer bekannten Anforderungsrate (DR(b)) in mindestens einer Speichereinrichtung (43).
Computerlesbarer Speicher mit Instruktionen zur Durchführung des Verfahrens nach einem der Ansprüche 9 bis 12, wenn die Instruktionen auf mindestens einer Recheneinheit ausgeführt werden.