DE102018203374A1

DE102018203374A1 - Fehlerbaumanalyse für technische Systeme

Info

Publication number: DE102018203374A1
Application number: DE102018203374.9A
Authority: DE
Inventors: Peter Bakucz
Original assignee: Robert Bosch GmbH
Current assignee: Robert Bosch GmbH
Priority date: 2018-03-07
Filing date: 2018-03-07
Publication date: 2019-09-12
Also published as: US10942797B2; US20190278647A1; CN110245373A

Abstract

Verfahren (100) zur Fehlerbaumanalyse eines technischen Systems (1), welches eine Vielzahl von Funktionseinheiten (11-15) umfasst, wobei das technische System (1) als baumartige logische Verknüpfung (2) von verursachenden Ereignissen (21-27) modelliert wird (120), die in einem unerwünschten Ereignis (28) kulminieren können, und wobei die verursachenden Ereignisse (21-27) Fehlfunktionen (11a-15a) einzelner Funktionseinheiten (11-15) umfassen, wobei eine baumartige logische Verknüpfung (2a) mit einer selbstähnlichen Struktur gewählt wird (110).
Zugehöriges Computerprogramm.
Umgebungserfassungssystem (1a) und/oder Steuersystem (1b) für ein zumindest teilweise automatisiert fahrendes Fahrzeug, umfassend eine Vielzahl von Funktionseinheiten (11-15) mit wechselseitigen Abhängigkeiten, die die Funktionseinheiten in einer baumartigen Struktur (2, 2a) verknüpfen dergestalt, dass ein unerwünschtes Ereignis (28) auftritt, wenn eine logische Verknüpfung verursachender Ereignisse (21-27) wahr ist, wobei die verursachenden Ereignisse (21-27) Fehlfunktionen (11a-15a) einzelner Funktionseinheiten (11-15) umfassen, wobei die baumartige Struktur (2a) selbstähnlich ist.

Description

Die vorliegende Erfindung betrifft die Fehlerbaumanalyse zur Beurteilung der Gesamt-Zuverlässigkeit von technischen Systemen, die aus einer Vielzahl von Funktionseinheiten zusammengesetzt sind.
Stand der Technik
Bei technischen Systemen, deren Fehlfunktion zu schwerwiegenden Sach- oder Personenschäden führen kann, ist es häufig notwendig, die Zuverlässigkeit vor der Aufnahme des Betriebes quantitativ zu beurteilen. Beispiele für derartige Systeme sind Umgebungserfassungssysteme oder Steuersysteme für zumindest teilweise automatisiert fahrende Fahrzeuge.
Ein standardisiertes Verfahren zur Beurteilung der Gesamt-Zuverlässigkeit eines Systems, das aus einer Vielzahl von Funktionseinheiten zusammengesetzt ist, ist die Fehlerbaumanalyse (Fault Tree Analysis, FTA). Für die Zwecke dieser Analyse wird das technische System als baumartige logische Verknüpfung von verursachenden Ereignissen modelliert, die in einem unerwünschten Ereignis („Systemversagen“) kulminieren können. „Baumartig“ bedeutet, dass beispielsweise das Systemversagen eintritt, wenn eine bestimmte logische Verknüpfung von Ereignissen wahr ist, wobei diese Ereignisse wiederum logische Verknüpfungen untergeordneter Ereignisse sein können. Die verursachenden Ereignisse umfassen Fehlfunktionen einzelner Funktionseinheiten.
Die besagte baumartige Modellierung von Wirkzusammenhängen wird beispielsweise in der DE 10 2008 040 461 A1 eingesetzt, um bei einer Funktionsstörung des Fahrzeugs die tatsächlich defekte Komponente zu diagnostizieren. Gemäß der DE 103 619 31 A1 wird eine solche Modellierung eingesetzt, um im Fahrbetrieb auftretende Fehler einzelner Funktionseinheiten mit den noch intakten Funktionseinheiten zumindest teilweise zu kompensieren.
Offenbarung der Erfindung
Im Rahmen der Erfindung wurde ein Verfahren zur Fehlerbaumanalyse eines technischen Systems entwickelt. Das technische System umfasst eine Vielzahl von Funktionseinheiten. Das technische System wird als baumartige logische Verknüpfung (Fehlerbaum) von verursachenden Ereignissen modelliert, die in einem unerwünschten Ereignis kulminieren können. Dabei umfasst der Begriff des „unerwünschten Ereignisses“ nicht nur ein Systemversagen, sondern ganz allgemein jede Nichterfüllung eines vorgegebenen Key Performance Indicators.
Die verursachenden Ereignisse umfassen Fehlfunktionen einzelner Funktionseinheiten. Dabei können die Funktionseinheiten beispielsweise Sensoren, Aktoren, Softwarekomponenten und/oder Algorithmen umfassen. Als Funktionseinheit kommt jedoch auch beispielsweise ein Bediener in Betracht, der durch eine Fehlbedienung eine Fehlfunktion einer technischen Funktionseinheit verursacht. Die verursachenden Ereignisse können aber auch beispielsweise das Vorliegen bestimmter Betriebsbedingungen umfassen.
In der baumartigen logischen Verknüpfung kann ein verursachendes Ereignis insbesondere eine beliebige logische Verknüpfung untergeordneter Ereignisse sein. Sind beispielsweise in einem elektronischen Stabilitätsprogramm (ESP) zur Erfassung eines Messwerts fünf redundante Sensoren vorhanden, so kann das Ereignis „Messwert nicht oder fehlerhaft erfasst“ dann eintreten, wenn an mindestens drei der Sensoren das Ereignis „Sensor fehlerhaft“ auftritt. Wenn zum Ereignis „Messwert nicht oder fehlerhaft erfasst“ noch weitere Störungen hinzutreten, kann das Ereignis „ESP außer Funktion“ auftreten. Dieses Ereignis kann wiederum in Verbindung mit dem Ereignis „Querbeschleunigung oberhalb eines Schwellwerts“ zum letztendlichen unerwünschten Ereignis „Fahrzeug kippt um“ führen.
Die logische Verknüpfung der verursachenden Ereignisse kann mit beliebigen logischen Operatoren erfolgen, also beispielsweise AND, OR, XOR, NOR, NAND und NOT.
Die Ereignisse, insbesondere die möglichen Fehlfunktionen, können in der baumartigen logischen Verknüpfung insbesondere mit ihren jeweiligen Eintrittswahrscheinlichkeiten hinterlegt sein.
Es wird eine baumartige logische Verknüpfung mit einer selbstähnlichen Struktur gewählt.
„Selbstähnlich“ bedeutet in diesem Zusammenhang, dass die Struktur ein fraktaler Graph ist, d.h., dass sich ein und dieselbe Grundstruktur auf mehreren Größenskalen ähnlich wiederholt. Ein fraktaler Graph lässt sich beispielsweise generieren, indem bei der Fortsetzung von einer bisherigen Ordnung n-1 zur nächsten Ordnung n in dem Graphen der bisherigen Ordnung n jeder Knoten durch die Struktur der Ordnung 1 ersetzt wird. Hauptunterschied zu einem Fraktal im engeren Sinne ist, dass die Wiederholung nicht ins Unendliche fortgesetzt ist, sondern nur bis zu einer endlichen Ordnung n. Dies ist dem Umstand geschuldet, dass es in dem technischen System nur eine endliche Anzahl Funktionseinheiten gibt.
Es wurde erkannt, dass die Wahl einer selbstähnlichen Struktur für die baumartige logische Verknüpfung die Ermittlung der Wahrscheinlichkeit eines unerwünschten Ereignisses drastisch vereinfacht wird.
Die baumartige logische Verknüpfung ist beispielsweise in Anwendungen für das zumindest teilweise automatisierte Fahren ein gerichteter Graph, der extrem viele verursachende Ereignisse als Knoten enthält. Wenn die baumartige logische Verknüpfung nicht unmittelbar als Graph gegeben ist, sondern als Baum, so gibt es einen hierzu korrespondierenden Graphen. Dieser lässt sich beispielsweise gemäß (M. F. Chamow, „Directed graph techniques for the analysis of fault trees“, IEEE Transaction on Reliability Vol R-27, No.1, April 1978) oder (H. P. Alesso et al., „Beyond Fault Tress to Fault Graphs“, Lawrence Livermore National Laboratory Report, 1984) ermitteln.
In der baumartigen logischen Verknüpfung hängt die Wahrscheinlichkeit eines unerwünschten Ereignisses von den Wahrscheinlichkeiten aller verursachenden Ereignisse ab, insbesondere von jeder einzelnen Wahrscheinlichkeit, mit der eine Funktionseinheit in dem System eine Fehlfunktion aufweist. Zur Auswertung werden also neben vergleichsweise viel Rechenzeit auch sehr viele Daten benötigt; die genannten Einzel-Wahrscheinlichkeiten können sich durchaus auf mehr als 100 MB summieren.
Hinzu kommt, dass die Auswertung meistens nicht nur einmal durchgeführt, sondern vielfach wiederholt wird. In der konkreten Anwendung umfasst die Vorgabe häufig eine höchstzulässige Wahrscheinlichkeit eines unerwünschten Ereignisses. Wenn die Auswertung für das konkrete System ergibt, dass die Anforderung nicht erfüllt ist, dann ist das System entsprechend zu modifizieren. Beispielsweise kann ein preisgünstiges Bauteil mit hoher Wahrscheinlichkeit einer Fehlfunktion gegen ein höherwertiges, zuverlässigeres Bauteil getauscht werden. Ebenso kann beispielsweise ein Prozess so modifiziert werden, dass er auf eine geringere Anzahl von Funktionseinheiten zurückgreift, so dass weniger Einzelfehler auf das Gesamtergebnis des Prozesses durchschlagen können. Die Auswirkungen dieser Maßnahmen auf die letztendliche Wahrscheinlichkeit des unerwünschten Ereignisses sind jedoch zunächst undurchsichtig. Um zu prüfen, ob die Wahrscheinlichkeit des unerwünschten Ereignisses nunmehr der Anforderung entspricht, muss die komplette Auswertung erneut ablaufen.
Hat die baumartige logische Verknüpfung aller Einzel-Wahrscheinlichkeiten zur Gesamt-Wahrscheinlichkeit des unerwünschten Ereignisses hingegen eine selbstähnliche Struktur, so kann aus dem Verhalten der selbstähnlich wiederholten Einheit auf das Verhalten des Systems als Ganzes zurückgeschlossen werden, so wie die komplette Struktur eines Kristalls bekannt ist, wenn dessen Elementarzelle bekannt ist. Statistische Aussagen über die besagte Gesamt-Wahrscheinlichkeit lassen sich somit deutlich schneller und mit deutlich weniger Daten gewinnen. Dementsprechend ist bei jeder Modifikation des Systems viel schneller ersichtlich, ob diese zum gewünschten Erfolg in Bezug auf die Gesamt-Wahrscheinlichkeit führt.
In selbstähnlichen Strukturen sind eine Größe s einer Struktureinheit und die Anzahl N der zur vollständigen Überdeckung eines vorgegebenen Raumgebiets erforderlichen Kopien dieser Struktureinheit typischerweise über ein Potenzgesetz, wie etwa N=s^d, miteinander verknüpft, wobei d die Hausdorff-Dimension der Struktur genannt wird und weder 1 noch 2 beträgt.
Existierende baumartige logische Verknüpfungen (Fehlerbäume) für technische Systeme sind typischerweise nicht selbstähnlich. Um in den Genuss der für eine selbstähnliche Struktur wesentlich vereinfachten Auswertung zu kommen, zugleich jedoch das bisher erworbene Wissen über die Verknüpfung weiter nutzen zu können, wird vorteilhaft eine nicht selbstähnliche baumartige logische Verknüpfung in eine selbstähnliche umgewandelt.
Die selbstähnliche baumartige logische Verknüpfung kann vorteilhaft beispielsweise aus einem vorgegebenen Katalog, und/oder aus einem parametrisierten Ansatz, dahingehend ausgewählt werden, dass sie eine größtmögliche Ähnlichkeit zu der vorgegebenen, nicht selbstähnlichen baumartigen logischen Verknüpfung aufweist. In den Katalog, bzw. in den parametrisierten Ansatz, lassen sich dann weitere Randbedingungen für die selbstähnliche baumartige logische Verknüpfung einbringen. Die Ähnlichkeit kann beispielsweise mit einem Abstandsmaß gemessen werden, das auf dem Raum der baumartigen logischen Verknüpfungen erklärt ist.
Wenngleich es vorteilhaft ist, eine bestehende nicht selbstähnliche baumartige logische Verknüpfung in eine selbstähnliche umzuwandeln, so ist dies nicht zwingend erforderlich. Wird beispielsweise das technische System erstmals mit der Methode der Fehlerbaumanalyse untersucht, so kann etwa eine „leere“ selbstähnliche baumartige Struktur erzeugt werden, und ihre Knoten können dann den verursachenden Ereignissen zugeordnet werden. Es ist dann lediglich sicherzustellen, dass an jeder Stelle genügend Knoten zur Verfügung stehen, um die Wirkzusammenhänge vollständig abbilden zu können, d.h., jedes verursachende Ereignis muss seinen Platz haben.
In einer weiteren besonders vorteilhaften Ausgestaltung werden die Zustände aller Funktionseinheiten zu einem Zustandsvektor x zusammengefasst, dessen zeitliche Änderung durch Anwendung der zu der selbstähnlichen baumartigen Verknüpfung gehörenden Laplace-Matrix L sowie durch einen additiven Rauschterm w gegeben ist.
Die Laplace-Matrix L eines Graphen ist definiert als L:=D-A. Darin ist D die Gradmatrix, d.h., eine Diagonalmatrix, deren Einträge die Grade der einzelnen Knoten sind. A ist die Adjazenzmatrix, die angibt, welche Knoten des Graphen durch eine Kante verbunden sind.
Für den Zustandsvektor x ergibt sich dann die Differentialgleichung $\frac{d x}{d t} = - L x + w .$
Hierin ist w ein Vektor, der die gleiche Länge wie x hat und dessen Komponenten als weißes Rauschen um Null herum schwanken. Insbesondere kann die statistische Verteilung von w abbilden, inwieweit eine jede Funktionseinheit des technischen Systems in deterministischer Weise das tut, was sie soll, oder eben nicht.
Ohne den Rauschterm w würde auf Grund der Selbstähnlichkeit der Zustandsvektor x asymptotisch gegen einen Konsens konvergieren, der dem Mittelwert der anfänglichen Zustände entspricht. Mit dem Rauschterm w fluktuieren die Komponenten des Zustandsvektors x um die Mittelwerte der aktuellen Zustände. Diese Fluktuation wird durch die Kohärenz des Netzwerks aufgefangen.
Die Verlässlichkeit H des Systems, welche ein Maß für die Wahrscheinlichkeit des unerwünschten Ereignisses ist, kann nun vorteilhaft als mittlere Varianz der Fluktuationen der N Komponenten des Zustandsvektors x ermittelt werden: $H : = \frac{1}{N} \sum_{i = 1}^{N} lim_{t \to \infty} E {x_{i} (t) - \frac{1}{N} \sum_{j = 1}^{N} x_{j} (t)} .$
Hierin ist in der Matrix E die logische Verknüpfung der Elemente im Zustandsvektor x enthalten.
Das technische System kann beispielsweise ein Umgebungserfassungssystem und/oder Steuersystem eines zumindest teilweise automatisiert fahrenden Fahrzeugs sein. Die Funktionseinheiten können dann beispielsweise Sensoren, Aktoren, Softwarekomponenten und/oder Algorithmen umfassen. In derartigen Systemen bietet die Auswertung der Wahrscheinlichkeit eines unerwünschten Ereignisses mittels einer baumartigen logischen Verknüpfung mit selbstähnlicher Struktur den besonderen Vorteil, dass sie als Online-Kontrolle auf dem Fahrzeug durchgeführt werden kann.
Viele Funktionseinheiten an Bord des Fahrzeugs werden ständig durch eine On-Board-Diagnose überwacht. Der Ausfall einer oder mehrerer Funktionseinheiten wird in der Regel mit Kontrollleuchten angezeigt und/oder in einen Fehlerspeicher geschrieben. Hingegen ist es nicht immer einsichtig, ob die Behebung des Problems aus Sicherheitsgründen unverzüglich erfolgen muss oder aber aufgeschoben werden kann. Es kann nun beispielsweise in Reaktion darauf, dass die On-Board-Diagnose eine Fehlfunktion feststellt, in der selbstähnlichen baumartigen logischen Verknüpfung die Wahrscheinlichkeit einer Fehlfunktion der betroffenen Funktionseinheit je nach Schweregrad der Störung modifiziert werden. Bei völligem Ausfall kann diese Wahrscheinlichkeit beispielsweise auf 1 gesetzt werden. Anschließend kann die Wahrscheinlichkeit des unerwünschten Ereignisses aktualisiert werden.
Wenn die Wahrscheinlichkeit des unerwünschten Ereignisses ein vorgegebenes Kriterium erfüllt, kann eine geeignete Maßnahme ergriffen werden. Das Kriterium kann insbesondere das Überschreiten oder Unterschreiten eines Schwellwerts umfassen. Als Maßnahme kann beispielsweise eine vom Fahrer wahrnehmbare akustische und/oder optische Warneinrichtung aktiviert werden. Es kann auch das System ganz oder teilweise deaktiviert werden, und/oder der Fahrer des Fahrzeugs kann aufgefordert werden, die manuelle Kontrolle zu übernehmen. Das Fahrzeug kann auch aus dem öffentlichen Verkehrsraum entfernt und außer Betrieb gesetzt werden, eventuell nach einer in Zeit oder Kilometern festgesetzten Karenzzeit.
Die drastische Vereinfachung, die die selbstähnliche Struktur der baumartigen Verknüpfung verursachender Ereignisse mit der letztendlichen Wahrscheinlichkeit des unerwünschten Ereignisses mit sich bringt, ermöglicht es also, mit der beschränkten Verarbeitungskapazität an Bord des Fahrzeugs eine Auswertung vorzunehmen, die bislang größeren Rechnern außerhalb des Fahrzeugs vorbehalten war und auch länger dauerte. Wenn nun auf diese Weise eine verlässliche Aussage erhalten werden kann, inwieweit sich auf Grund des Ausfalls die Wahrscheinlichkeit des unerwünschten Ereignisses geändert hat, so ist dies insbesondere dann vorteilhaft, wenn mehrere unterschiedliche Funktionseinheiten gleichzeitig ausfallen. Während jeder dieser Ausfälle für sich genommen unkritisch sein mag, kann die Kombination von Ausfällen die Wahrscheinlichkeit des unerwünschten Ereignisses möglicherweise deutlich erhöhen. Die möglichen Kombinationen sind so zahlreich, dass sie sich gar nicht vorab durchspielen lassen.
Statt auf eine tatsächlich festgestellte Fehlfunktion einer Funktionseinheit zu reagieren, kann alternativ oder auch in Kombination mindestens eine Wahrscheinlichkeit einer Fehlfunktion mindestens einer Funktionseinheit mit zunehmendem Alter, und/oder mit zunehmendem Gebrauch, der Funktionseinheit inkrementiert und die Wahrscheinlichkeit des unerwünschten Ereignisses neu ausgewertet werden. So kann beispielsweise die gleichzeitige starke Abnutzung zweier Bremsen, die beim Ausfall nur einer Bremse füreinander einspringen könnten, zur Folge haben, dass nach dem Ausfall der ersten Bremse die zweite sofort überlastet wird und ebenfalls ausfällt. Die Wahrscheinlichkeit eines Systemversagens der Bremsen insgesamt wird also durch die gleichzeitige Abnutzung überproportional erhöht. Hierauf kann wie oben beschrieben reagiert werden.
Auch kann beispielsweise eine Fehlfunktion in einem Fahrdynamiksystem, die durch gut gewartete Stoßdämpfer normalerweise ausgeglichen werden kann, zu einem Ausbrechen des Fahrzeugs führen, wenn zugleich die Stoßdämpfer abgenutzt sind.
Das Verfahren kann ganz oder teilweise in Software implementiert sein und insbesondere als Update oder Upgrade für existierende Software auf einem Computer oder Steuergerät vertrieben werden. Insofern ist die Software ein eigenständig verkaufbares Produkt. Die Erfindung bezieht sich daher auch auf ein Computerprogramm mit maschinenlesbaren Anweisungen, die, wenn sie auf einem Computer, und/oder auf einem Steuergerät, ausgeführt werden, den Computer, und/oder das Steuergerät, dazu veranlassen, das Verfahren gemäß der Erfindung auszuführen. Ebenso bezieht sich die Erfindung auch auf einen maschinenlesbaren Datenträger oder ein Downloadprodukt mit dem Computerprogramm.
Nach dem zuvor Beschriebenen bezieht sich die Erfindung auch auf ein Umgebungserfassungssystem und/oder Steuersystem für ein zumindest teilweise automatisiert fahrendes Fahrzeug. Das System umfasst eine Vielzahl von Funktionseinheiten mit wechselseitigen Abhängigkeiten, die die Funktionseinheiten in einer baumartigen Struktur verknüpfen dergestalt, dass ein unerwünschtes Ereignis auftritt, wenn eine logische Verknüpfung verursachender Ereignisse wahr ist. Die verursachenden Ereignisse umfassen Fehlfunktionen einzelner Funktionseinheiten. Die baumartige Struktur ist selbstähnlich.
Wie zuvor erläutert, ist es durchaus möglich, das Verhalten eines per se nicht selbstähnlichen Systems im Fehlerfall an Hand einer Modellierung mittels einer selbstähnlichen baumartigen logischen Verknüpfung zu charakterisieren. Das Aufstellen einer solchen selbstähnlichen baumartigen Verknüpfung wird noch wesentlich vereinfacht, wenn bereits die physischen wechselseitigen Abhängigkeiten der Funktionseinheiten eine selbstähnliche Struktur bilden. Der Aufwand, bereits das physische System von vornherein selbstähnlich zu gestalten, wird also damit belohnt, dass sich die Zuverlässigkeit des Systems dann wesentlich einfacher und schneller beurteilen lässt. Insbesondere wird es vereinfacht, das System auf eine vorgegebene maximale Wahrscheinlichkeit eines unerwünschten Ereignisses hin auszulegen. Weiterhin wird, wie zuvor beschrieben, eine On-line-Kontrolle auch abhängig von erkannten Fehlfunktionen und Abnutzungen möglich.
Vorteilhaft ändert sich in der selbstähnlichen baumartigen Struktur von einer Generation zur nächsten sowohl die Längenskala als auch die Anzahl der Knoten jeweils um Faktoren, die aus einem vorgegebenen Katalog ausgewählt werden. In diesem Katalog kann beispielsweise das Know-How enthalten sein, welche selbstähnlichen baumartigen Strukturen für welche Typen technischer Systeme besonders geeignet sind.
Weitere, die Erfindung verbessernde Maßnahmen werden nachstehend gemeinsam mit der Beschreibung der bevorzugten Ausführungsbeispiele der Erfindung anhand von Figuren näher dargestellt.
Ausführungsbeispiele
Es zeigt:

1 Beispielhafte baumartige logische Verknüpfung 2 von Ereignissen 21-27, die durch ein beispielhaftes technisches System 1 getrieben werden, zu einem möglichen unerwünschten Ereignis 28;
2 Selbstähnliche Version 2a der in 1 gezeigten baumartigen logischen Verknüpfung 2;
3 Ausführungsbeispiel des Verfahrens 100;
4 Chaotisches Abhängigkeitsdiagramm einer beispielhaften nicht selbstähnlichen baumartigen logischen Verknüpfung.

Nach 1 umfasst das beispielhaft gezeichnete technische System 1, bei dem es sich insbesondere um ein Umgebungserfassungssystem 1a oder um ein Steuersystem 1b eines zumindest teilweise automatisiert fahrenden Fahrzeugs handeln kann, fünf Funktionseinheiten 11-15. Gefragt ist nach der Wahrscheinlichkeit dafür, dass sich ein unerwünschtes Ereignis 28 einstellt, bzw. es wird angestrebt, diese Wahrscheinlichkeit unterhalb eines vorgegebenen Niveaus zu halten. Alle Wahrscheinlichkeiten sind in 1 mit dem Buchstaben p bezeichnet.
Wie durch das Symbol des UND-Gatters am unerwünschten Ereignis 28 angedeutet, kann dieses in dem in 1 angenommenen Szenario nur eintreten, wenn zwei Bedingungen gleichzeitig erfüllt sind: zum Einen muss ein Fehlerzustand 26 vorliegen, und zum Anderen muss sich das Fahrzeug in einem Betriebszustand 27 befinden, in dem sich dieser Fehlerzustand 26 auch auswirkt.
Wie durch das Symbol des ODER-Gatters am Fehlerzustand 26 angedeutet, kann der Fehlerzustand 26 durch eines oder mehrere der Ereignisse 21-25 zurückgehen, die ihrerseits durch Fehlfunktionen 11a-15a der Funktionseinheiten 11-15 des Systems 1 ausgelöst werden. Jedes dieser Ereignisse 21-25 hat eine Wahrscheinlichkeit von 10^-4, also hat der Fehlerzustand 26 eine Wahrscheinlichkeit von 4,999*10^-4.
Der ebenfalls durch das System 1 bedingte Betriebszustand 27 stellt für sich genommen keinen Fehler dar, entscheidet aber darüber, ob der Fehlerzustand 26 sich bis zum unerwünschten Ereignis 28 auswirkt. Tritt der Fehlerzustand 26 in einer Situation auf, in der der Betriebszustand 27 gerade nicht vorliegt, wird der Fehler also gleichsam „abgefangen“.
Der Betriebszustand 27 liegt im Mittel während 42,5 % der Betriebszeit vor; seine Wahrscheinlichkeit beträgt also 0,425. Hieraus und aus der Wahrscheinlichkeit des Fehlerzustandes 26 ergibt sich eine Wahrscheinlichkeit von 2,124*10^-4 für das unerwünschte Ereignis 28.
Wenn diese Wahrscheinlichkeit für die Erfordernisse des Kunden zu groß ist, dann müssen Maßnahmen ergriffen werden, um bestimmte verursachende Ereignisse 21-27 unwahrscheinlicher zu machen. Die Wahrscheinlichkeit des Betriebszustandes 27 lässt sich am schwierigsten anpassen, da dieser Betriebszustand 27 Teil der beabsichtigen normalen Nutzung des Fahrzeugs ist. In Betracht kommt also, die Wahrscheinlichkeiten für die Fehlfunktionen 11a-15a der Funktionseinheiten 11-15 durch Austausch der Funktionseinheiten 11-15 gegen höherwertige Modelle zu verringern. Ebenso ist es möglich, das Zusammenspiel der Funktionseinheiten 11-15 dahingehend abzuändern, dass sich erst bei einer gleichzeitigen Fehlfunktion von mindestens zwei der Funktionseinheiten 11-15 ein Fehlerzustand 26 einstellt. Dadurch sinkt die Wahrscheinlichkeit des Fehlerzustandes 26 bereits auf 5*10^-4*4*10^-4=2*10^-7.
Das in 1 gezeigte einfache Beispiel lässt sich noch intuitiv analysieren. Bei realen Systemen mit extrem vielen möglichen Ereignissen fällt ein sehr hoher Rechenaufwand an. Um diesen Aufwand überhaupt handhabbar zu machen, muss die baumartige logische Verknüpfung 2 in der Regel transformiert werden (etwa mit der Kohda-Henley-Inous Comprehensive-Methode oder der Yllera-Methode), um die Verknüpfung 2 in Module zu zerlegen und „minimal cut sets“ zu finden, in denen Redundanzen eliminiert sind.
2 zeigt eine beispielhafte selbstähnliche Version 2a der in 1 gezeigten baumartigen logischen Verknüpfung 2. Die selbstähnliche baumartige logische Verknüpfung 2a wurde erzeugt, indem die in 2 gestrichelt eingezeichnete Einheit von Generation zu Generation in verkleinertem Maßstab auf jede Verbindungslinie zwischen Knoten kopiert wurde. Die verursachenden Ereignisse 21-27 und das unerwünschte Ereignis 28 sind in 2 beispielhaft eingezeichnet und belegen dort nur einen kleinen Teil der verfügbaren Knoten. In einem realen System sind deutlich mehr Knoten belegt.
Die Umwandlung der nicht selbstähnlichen baumartigen logischen Verknüpfung 2 in die selbstähnliche Version 2a ist nicht eindeutig. Es könnte also stattdessen auch eine andere selbstähnliche Struktur zum Einsatz kommen, solange es dort einen Bereich gibt, der die kaskadierten Wirkbeziehungen zwischen den verursachenden Ereignissen 21-27 und dem unerwünschten Ereignis 28 treffend abbildet.
3 zeigt ein Ausführungsbeispiel des Verfahrens 100. Gemäß Schritt 105 wird ein Umgebungserfassungssystem 1a oder Steuersystem 1b als zu analysierendes technisches System 1 gewählt.
Um das System 1 für die Zwecke der Fehlerbaumanalyse modellieren zu können, wird in Schritt 110 eine hierfür geeignete selbstähnliche baumartige logische Verknüpfung derjenigen Ereignisse 21-27 ermittelt, die in einem unerwünschten Ereignis 28 kulminieren können.
Hierzu wird in 3 ein beispielhafter Weg aufgezeigt. Gemäß diesem Weg wird in Block 115 aus einem Katalog, bzw. aus einem parametrisierten Ansatz, diejenigen selbstähnliche baumartige logische Verknüpfung 2a ausgewählt, die eine größtmögliche Ähnlichkeit zu dem nicht selbstähnlichen Original 2 aufweist.
In Schritt 120 wird das System 1 mit Hilfe der selbstähnlichen baumartigen logischen Verknüpfung 2a modelliert. Hierzu werden gemäß Block 121 die Zustände aller Funktionseinheiten 11-15 zu einem Zustandsvektor x zusammengefasst. In Block 123 wird die mittlere Varianz der Fluktuationen von Komponenten dieses Zustandsvektors x als Maß für die Wahrscheinlichkeit des unerwünschten Ereignisses 28 ermittelt.
In dem in 3 gezeigten Beispiel speziell für die Anwendung in einem zumindest teilweise automatisiert fahrenden Fahrzeug wird die korrekte Funktion der Funktionseinheiten 11-15 im System 1 gemäß Block 130 fortwährend durch eine On-Board-Diagnose des Fahrzeugs überwacht. Wird eine Fehlfunktion 11a-15a festgestellt, so wird gemäß Block 135 die Wahrscheinlichkeit der Fehlfunktion 11a-15a in der selbstähnlichen baumartigen logischen Verknüpfung 2a entsprechend modifiziert. Alternativ oder auch in Kombination hierzu wird gemäß Block 140 die Wahrscheinlichkeit der Fehlfunktion 11a-15a mit zunehmendem Alter, und/oder mit zunehmendem Gebrauch, der jeweiligen Funktionseinheit 11-15 inkrementiert.
Nachdem die Wahrscheinlichkeiten für Fehlfunktionen 11a-15a von Funktionseinheiten 11-15 in der selbstähnlichen baumartigen logischen Verknüpfung 2a abgeändert wurden, wird in Schritt 150 die Wahrscheinlichkeit des unerwünschten Ereignisses 28 anhand der aktualisierten Verknüpfung 2a neu ausgewertet. Anschließend wird in Block 160 geprüft, ob die neu ausgewertete Wahrscheinlichkeit ein vorgegebenes Kriterium erfüllt.
Ist das Kriterium nicht erfüllt (Wahrheitswert 0 in Block 160), ist keine Aktion erforderlich.
Ist das Kriterium erfüllt (Wahrheitswert 1 in Block 160), kann, einzeln oder in Kombination, gemäß Block 162 der Fahrer mit einer Warneinrichtung gewarnt werden, gemäß Block 164 das System deaktiviert werden, gemäß Block 166 der Fahrer zur Übernahme der Kontrolle aufgefordert werden oder gemäß Block 168 das Fahrzeug aus dem öffentlichen Verkehrsraum entfernt und außer Betrieb gesetzt werden.
4 illustriert noch einmal den Vorteil, den eine selbstähnliche baumartige logische Verknüpfung 2a bietet. In 4 sind die Abhängigkeiten zwischen als Punkte a-j eingezeichneten Ereignissen, die aus einer beispielhaften nicht selbstähnlichen Struktur der logischen Verknüpfung 2 zwischen den Ereignissen a-j resultieren, skizziert. Die Ereignisse a-j können beispielsweise das Versagen von Softwarekomponenten oder Algorithmen repräsentieren. Die chaotische Struktur der Abhängigkeiten hat zur Folge, dass eine Änderung an einer beliebigen Stelle im System eine unabsehbare Kaskade von Folgewirkungen auslöst. Um die Auswirkung der Änderung auf die Gesamt-Wahrscheinlichkeit eines unerwünschten Ereignisses 28 zu bestimmen, müssen alle diese Folgewirkungen berücksichtigt werden, was entsprechend viele Daten und viel Rechenkapazität erfordert. Derartige chaotische Zusammenhänge werden mit einer selbstähnlichen baumartigen logischen Verknüpfung 2a vermieden.
ZITATE ENTHALTEN IN DER BESCHREIBUNG
Diese Liste der vom Anmelder aufgeführten Dokumente wurde automatisiert erzeugt und ist ausschließlich zur besseren Information des Lesers aufgenommen. Die Liste ist nicht Bestandteil der deutschen Patent- bzw. Gebrauchsmusteranmeldung. Das DPMA übernimmt keinerlei Haftung für etwaige Fehler oder Auslassungen.
Zitierte Patentliteratur

DE 102008040461 A1 [0004]
DE 10361931 A1 [0004]

Claims

Verfahren (100) zur Fehlerbaumanalyse eines technischen Systems (1), welches eine Vielzahl von Funktionseinheiten (11-15) umfasst, wobei das technische System (1) als baumartige logische Verknüpfung (2) von verursachenden Ereignissen (21-27) modelliert wird (120), die in einem unerwünschten Ereignis (28) kulminieren können, und wobei die verursachenden Ereignisse (21-27) Fehlfunktionen (11a-15a) einzelner Funktionseinheiten (11-15) umfassen, dadurch gekennzeichnet, dass eine baumartige logische Verknüpfung (2a) mit einer selbstähnlichen Struktur gewählt wird (110).
Verfahren (100) nach Anspruch 1, dadurch gekennzeichnet, dass aus einem vorgegebenen Katalog, und/oder aus einem parametrisierten Ansatz, eine selbstähnliche baumartige logische Verknüpfung (2a) ermittelt wird (115), die eine größtmögliche Ähnlichkeit zu einer vorgegebenen, nicht selbstähnlichen baumartigen logischen Verknüpfung (2) aufweist.
Verfahren (100) nach einem der Ansprüche 1 bis 2, dadurch gekennzeichnet, dass die Zustände aller Funktionseinheiten (11-15) zu einem Zustandsvektor x zusammengefasst werden (121), dessen zeitliche Änderung durch Anwendung der zu der selbstähnlichen baumartigen Verknüpfung (2a) gehörenden Laplace-Matrix L sowie durch einen additiven Rauschterm w gegeben ist.
Verfahren (100) nach Anspruch 3, dadurch gekennzeichnet, dass die mittlere Varianz der Fluktuationen von Komponenten des Zustandsvektors x im stationären Zustand des technischen Systems (1) als Maß für die Wahrscheinlichkeit des unerwünschten Ereignisses (28) ermittelt wird (123).
Verfahren (100) nach einem der Ansprüche 1 bis 4, dadurch gekennzeichnet, dass ein Umgebungserfassungssystem (1a) und/oder Steuersystem (1b) eines zumindest teilweise automatisiert fahrenden Fahrzeugs als technisches System (1) gewählt wird (105), wobei die Funktionseinheiten (11-15) Sensoren, Aktoren, Softwarekomponenten und/oder Algorithmen umfassen.
Verfahren (100) nach Anspruch 5, dadurch gekennzeichnet, dass in Antwort darauf, dass durch eine On-Board-Diagnose des Fahrzeugs eine Fehlfunktion (11a-15a) in mindestens einer Funktionseinheit (11-15) festgestellt wurde (130), in der selbstähnlichen baumartigen Verknüpfung (2a) die Wahrscheinlichkeit einer Fehlfunktion (11a-15a) der betroffenen Funktionseinheit (11-15) modifiziert (135) und die Wahrscheinlichkeit des unerwünschten Ereignisses (28) neu ausgewertet (150) wird.
Verfahren (100) nach einem der Ansprüche 5 bis 6, dadurch gekennzeichnet, dass in der selbstähnlichen baumartigen Verknüpfung (2a) mindestens eine Wahrscheinlichkeit einer Fehlfunktion (11a-15a) mindestens einer Funktionseinheit (11-15) mit zunehmendem Alter, und/oder mit zunehmendem Gebrauch, der Funktionseinheit (11-15) inkrementiert (140) und die Wahrscheinlichkeit des unerwünschten Ereignisses (28) neu ausgewertet (150) wird.
Verfahren (100) nach einem der Ansprüche 6 bis 7, dadurch gekennzeichnet, dass in Antwort darauf, dass die neu ausgewertete Wahrscheinlichkeit ein vorgegebenes Kriterium erfüllt (160), • eine vom Fahrer des Fahrzeugs wahrnehmbare akustische und/oder optische Warneinrichtung aktiviert wird (162), und/oder • das System (1) ganz oder teilweise deaktiviert wird (164), und/oder • der Fahrer des Fahrzeugs aufgefordert wird, die manuelle Kontrolle zu übernehmen (166), und/oder • das Fahrzeug aus dem öffentlichen Verkehrsraum entfernt und außer Betrieb gesetzt wird (168).
Computerprogramm, enthaltend maschinenlesbare Anweisungen, die, wenn sie auf einem Computer, und/oder auf einem Steuergerät ausgeführt werden, den Computer, und/oder das Steuergerät, dazu veranlassen, ein Verfahren (100) nach einem der Ansprüche 1 bis 8 auszuführen.
Umgebungserfassungssystem (1a) und/oder Steuersystem (1b) für ein zumindest teilweise automatisiert fahrendes Fahrzeug, umfassend eine Vielzahl von Funktionseinheiten (11-15) mit wechselseitigen Abhängigkeiten, die die Funktionseinheiten in einer baumartigen Struktur (2, 2a) verknüpfen dergestalt, dass ein unerwünschtes Ereignis (28) auftritt, wenn eine logische Verknüpfung verursachender Ereignisse (21-27) wahr ist, wobei die verursachenden Ereignisse (21-27) Fehlfunktionen (11a-15a) einzelner Funktionseinheiten (11-15) umfassen, dadurch gekennzeichnet, dass die baumartige Struktur (2a) selbstähnlich ist.
Verfahren (100) nach einem der Ansprüche 1 bis 8, Computerprogramm nach Anspruch 9 oder System (1a, 1b) nach Anspruch 10, dadurch gekennzeichnet, dass sich in der selbstähnlichen baumartigen Struktur (2a) von einer Generation zur nächsten sowohl die Längenskala als auch die Anzahl der Knoten jeweils um Faktoren ändern, die aus einem vorgegebenen Katalog ausgewählt werden.