-
Die vorliegende Erfindung betrifft die Fehleranalyse zur Beurteilung der Gesamt-Zuverlässigkeit von technischen Systemen, die aus einer Vielzahl von Funktionseinheiten zusammengesetzt sind.
-
Stand der Technik
-
Bei technischen Systemen, deren Fehlfunktion zu schwerwiegenden Sach- oder Personenschäden führen kann, ist es häufig notwendig, die Zuverlässigkeit vor der Aufnahme des Betriebes quantitativ zu beurteilen. Beispiele für derartige Systeme sind Umgebungserfassungssysteme oder Steuersysteme für zumindest teilweise automatisiert fahrende Fahrzeuge.
-
Ein standardisiertes Verfahren zur Beurteilung der Gesamt-Zuverlässigkeit eines Systems, das aus einer Vielzahl von Funktionseinheiten zusammengesetzt ist, ist die Fehlerbaumanalyse (Fault Tree Analysis, FTA). Für die Zwecke dieser Analyse wird das technische System als baumartige logische Verknüpfung von verursachenden Ereignissen modelliert, die in einem unerwünschten Ereignis („Systemversagen“) kulminieren können. „Baumartig“ bedeutet, dass beispielsweise das Systemversagen eintritt, wenn eine bestimmte logische Verknüpfung von Ereignissen wahr ist, wobei diese Ereignisse wiederum logische Verknüpfungen untergeordneter Ereignisse sein können. Die verursachenden Ereignisse umfassen Fehlfunktionen einzelner Funktionseinheiten.
-
Die besagte baumartige Modellierung von Wirkzusammenhängen wird beispielsweise in der
DE 10 2008 040 461 A1 eingesetzt, um bei einer Funktionsstörung des Fahrzeugs die tatsächlich defekte Komponente zu diagnostizieren. Gemäß der
DE 103 619 31 A1 wird eine solche Modellierung eingesetzt, um im Fahrbetrieb auftretende Fehler einzelner Funktionseinheiten mit den noch intakten Funktionseinheiten zumindest teilweise zu kompensieren.
-
Offenbarung der Erfindung
-
Im Rahmen der Erfindung wurde eine Vorrichtung zur Fehleranalyse eines technischen Systems entwickelt. Das technische System umfasst eine Vielzahl von Funktionseinheiten. In dem technischen System kann eine Vielzahl von verursachenden Ereignissen auftreten, die in mindestens einem unerwünschten Ereignis kulminieren, wenn eine vorgegebene logische Verknüpfung der verursachenden Ereignisse wahr ist. Dabei umfasst der Begriff des „unerwünschten Ereignisses“ nicht nur ein Systemversagen, sondern ganz allgemein jede Nichterfüllung eines vorgegebenen Key Performance Indicators.
-
Die verursachenden Ereignisse umfassen Fehlfunktionen einzelner Funktionseinheiten. Dabei können die Funktionseinheiten beispielsweise Sensoren, Aktoren, Softwarekomponenten und/oder Algorithmen umfassen. Als Funktionseinheit kommt jedoch auch beispielsweise ein Bediener in Betracht, der durch eine Fehlbedienung eine Fehlfunktion einer technischen Funktionseinheit verursacht. Die verursachenden Ereignisse können aber auch beispielsweise das Vorliegen bestimmter Betriebsbedingungen umfassen.
-
Die logische Verknüpfung kann insbesondere baumartig strukturiert sein (auch Fehlerbaum genannt). Das bedeutet, dass ein verursachendes Ereignis insbesondere eine beliebige logische Verknüpfung untergeordneter Ereignisse sein kann. Sind beispielsweise in einem elektronischen Stabilitätsprogramm (ESP) zur Erfassung eines Messwerts fünf redundante Sensoren vorhanden, so kann das Ereignis „Messwert nicht oder fehlerhaft erfasst“ dann eintreten, wenn an mindestens drei der Sensoren das Ereignis „Sensor fehlerhaft“ auftritt. Wenn zum Ereignis „Messwert nicht oder fehlerhaft erfasst“ noch weitere Störungen hinzutreten, kann das Ereignis „ESP außer Funktion“ auftreten. Dieses Ereignis kann wiederum in Verbindung mit dem Ereignis „Querbeschleunigung oberhalb eines Schwellwerts“ zum letztendlichen unerwünschten Ereignis „Fahrzeug kippt um“ führen.
-
Die logische Verknüpfung der verursachenden Ereignisse kann mit beliebigen logischen Operatoren erfolgen, also beispielsweise AND, OR, XOR, NOR, NAND und NOT.
-
Es ist ein KI-Modul vorgesehen, welches Werte von Eingangsgrößen in Werte von Ausgangsgrößen übersetzt sowie mit Lernwerten der Eingangsgrößen und zugehörigen Lernwerten der Ausgangsgrößen trainierbar und/oder trainiert ist.
-
Dabei umfassen die Eingangsgrößen Wahrscheinlichkeiten der verursachenden Ereignisse. Das bedeutet, es gibt Eingangsgrößen, die maßgeblich von diesen Wahrscheinlichkeiten abhängen. Die Eingangsgrößen müssen also nicht zwangsläufig die Wahrscheinlichkeiten selbst sein, sondern können beispielsweise auch Größen sein, die mit den Wahrscheinlichkeiten korreliert sind.
-
Weiterhin umfasst mindestens eine Ausgangsgröße eine Wahrscheinlichkeit mindestens eines unerwünschten Ereignisses. Das bedeutet, aus der Ausgangsgröße ist diese Wahrscheinlichkeit ermittelbar. Die Ausgangsgröße muss also nicht zwangsläufig die Wahrscheinlichkeit selbst sein, sondern kann beispielsweise auch eine Größe sein, die mit der Wahrscheinlichkeit korreliert ist.
-
Um das KI-Modul in die Lage zu versetzen, aus Wahrscheinlichkeiten von verursachenden Ereignissen in sinnvoller Weise die Wahrscheinlichkeit des unerwünschten Ereignisses zu ermitteln, ist naturgemäß ein Training erforderlich, welches Aufwand erfordert. Es wurde erkannt, dass dieser Aufwand überkompensiert wird, indem nach erfolgtem Training die Ermittlung der Wahrscheinlichkeit des unerwünschten Ereignisses drastisch beschleunigt wird.
-
In komplexen technischen Systemen, wie beispielsweise Steuerungssystemen oder Umgebungserfassungssystemen für das zumindest teilweise automatisierte Fahren, können extrem viele verursachende Ereignisse auftreten. Zugleich stehen diese Ereignisse vielfach in der zuvor erwähnten baumartig strukturierten Abhängigkeit zueinander. Dies macht die Berechnung der Wahrscheinlichkeit des unerwünschten Ereignisses schwer parallelisierbar: Ist etwa ein übergeordnetes Ereignis vom Eintritt eines oder mehrerer untergeordneter Ereignisse abhängig, so müssen zunächst diese untergeordneten Ereignisse ausgewertet werden, bevor mit der Wahrscheinlichkeit des übergeordneten Ereignisses weitergerechnet werden kann.
-
Dies ist bei der Fehleranalyse besonders relevant, weil die Wahrscheinlichkeit des unerwünschten Ereignisses sehr häufig aus neuen Wahrscheinlichkeiten verursachender Ereignisse neu zu berechnen ist. Die Vorgabe in der konkreten Anwendung umfasst häufig eine höchstzulässige Wahrscheinlichkeit für den Eintritt unerwünschter Ereignisse. Die bekannte logische Verknüpfung der verursachenden Ereignisse liefert nur die Wahrscheinlichkeit des unerwünschten Ereignisses als Funktion der Wahrscheinlichkeiten verursachender Ereignisse. Diese Funktion ist im Allgemeinen nicht invertierbar, d.h., ein direktes Rückrechnen von einer geforderten Wahrscheinlichkeit des unerwünschten Ereignisses auf höchstzulässige Wahrscheinlichkeiten verursachender Ereignisse ist nicht möglich.
-
Wird also beispielsweise mit der Fehlerbaumanalyse errechnet, dass das konkrete System die Anforderung nicht erfüllt, dann ist das System entsprechend zu modifizieren. Beispielsweise kann ein preisgünstiges Bauteil mit hoher Wahrscheinlichkeit einer Fehlfunktion gegen ein höherwertiges, zuverlässigeres Bauteil getauscht werden. Ebenso kann beispielsweise ein Prozess so modifiziert werden, dass er auf eine geringere Anzahl von Funktionseinheiten zurückgreift, so dass weniger Einzelfehler auf das Gesamtergebnis des Prozesses durchschlagen können. Die Auswirkungen dieser Maßnahmen auf die letztendliche Wahrscheinlichkeit des unerwünschten Ereignisses sind jedoch zunächst undurchsichtig. Um zu prüfen, ob die Wahrscheinlichkeit des unerwünschten Ereignisses nunmehr der Anforderung entspricht, muss diese Wahrscheinlichkeit komplett neu berechnet werden.
-
Es wurde erkannt, dass die Durchführung dieser Berechnung mit dem KI-Modul massiv parallelisierbar ist. Die baumartige Abhängigkeit von Ereignissen untereinander, die in der Natur des technischen Systems liegt, ist nach wie vor gegeben und wird beim Training in das KI-Modul transferiert. Wenn dies geschehen ist, zwingt diese Abhängigkeit der Berechnung aber keinen seriellen Fortschritt mehr auf.
-
Weiterhin kann die Geschwindigkeit noch weiter erhöht werden, wenn das Kl-Modul dazu ausgebildet ist, gleichzeitig mehrere Ausgangsgrößen zu liefern, die die Wahrscheinlichkeiten unterschiedlicher unerwünschter Ereignisse klassifizieren.
-
Schließlich konvergiert die Berechnung mit dem KI-Modul immer, während dies bei der Berechnung anhand des „Fehlerbaums“ nicht immer der Fall ist. Ursache hierfür ist, dass ein einzelnes verursachendes Ereignis, welches über den Eintritt eines übergeordneten Ereignisses mitentscheidet, möglicherweise auch noch weitere Betriebszustände an anderer Stelle im Fehlerbaum ändert. So macht beispielsweise eine schlechte Schmierung eines Lagers nicht nur dieses Lager schwergängig und erhöht seinen Verschleiß, sondern erhöht auch in der Umgebung die Temperatur, so dass insofern auch ganz andere, durch den ersten Fehler scheinbar nicht betroffene Prozesse unter anderen Bedingungen ablaufen.
-
Die Berechnung kann insbesondere online in Echtzeit auf einem entsprechenden Mikrocontroller durchgeführt werden.
-
Besonders vorteilhaft umfasst das KI-Modul mindestens ein künstliches neuronales Netzwerk, KNN. Ein solches Netzwerk kann in einer Eingangsschicht alle Eingangsgrößen gleichzeitig aufnehmen. Es ist sehr gut geeignet, um die Eingangsgrößen stark parallel zu verarbeiten, und kann auch sehr hoch dimensionale Eingangsgrößen verarbeiten.
-
Das KNN kann insbesondere ein „feed-forward“ KNN sein. In dem KNN können die Neuronen insbesondere Aktivierungsfunktionen haben, die in adaptiver Weise aus physikalischen Messdaten des technischen Systems abgeleitet sind. Derartige Aktivierungsfunktionen haben gegenüber herkömmlichen Aktivierungsfunktionen, wie etwa Sigmoiden oder tangens hyperbolicus, den Vorteil, dass die Konvergenz des Lernens zum einen garantiert und zum anderen auch deutlich beschleunigt werden kann.
-
Das KNN kann beispielsweise für das invers-optimale Lernen genutzt werden, so dass zum einen die Fortpflanzung von Fehlern in dem Fehlerbaum gelernt wird und zum anderen auch eine Information erhalten wird, wie in dem technischen System auf die Wahrscheinlichkeiten von Einzelfehlern eingewirkt werden sollte, um die Gesamt-Wahrscheinlichkeit für das unerwünschte Ereignis auf oder unter den geforderten Wert zu bringen.
-
Vorteilhaft weist das KNN eine Eingangsschicht, eine Ausgangsschicht sowie mindestens eine zwischen der Eingangsschicht und der Ausgangsschicht angeordnete verborgene Schicht auf, wobei eine Anzahl von Neuronen, die das 2,5-fache bis 3,5-fache der Anzahl der verursachenden Ereignisse beträgt, in der mindestens einen verborgenen Schicht angeordnet ist. Diese Größe des Netzwerks hat sich in Versuchen als besonders vorteilhaft im Hinblick die Genauigkeit herausgestellt, mit der das trainierte KNN die bislang seriell durchgeführte Berechnung der Wahrscheinlichkeit des unerwünschten Ereignisses in parallelisierter Form nachbildet.
-
Vorteilhaft ist ein Speichermodul für als Werte der Eingangsgrößen zu verwendende Wahrscheinlichkeiten von Fehlfunktionen in einzelnen Funktionseinheiten vorgesehen. Dann kann die Vorrichtung von einem Werkzeug für die Auslegung eines technischen Systems gemäß einer vorgegebenen Verlässlichkeit in Bezug auf unerwünschte Ereignisse zu einem Instrument für die fortwährende Kontrolle des technischen Systems erweitert werden.
-
So ist in einer besonders vorteilhaften Ausgestaltung eine Schnittstelle zu einer Diagnoseeinheit vorgesehen, welche dazu ausgebildet ist, die korrekte Funktion mindestens einer Funktionseinheit zu überwachen. Zusätzlich ist ein Update-Modul vorgesehen, welches dazu ausgebildet ist, in Antwort auf eine über die Schnittstelle von der Diagnoseeinheit erhaltene Information die Wahrscheinlichkeit einer Fehlfunktion der betreffenden Funktionseinheit in dem Speichermodul zu aktualisieren.
-
Insbesondere in Fahrzeugen werden viele Funktionseinheiten durch eine Diagnoseeinheit (On-Board-Diagnose) überwacht. Der Ausfall einer oder mehrerer Funktionseinheiten wird in der Regel mit Kontrollleuchten angezeigt und/oder in einen Fehlerspeicher geschrieben. Hingegen ist es nicht immer einsichtig, ob die Behebung des Problems aus Sicherheitsgründen unverzüglich erfolgen muss oder aber aufgeschoben werden kann. Dies gilt insbesondere dann, wenn zwei oder mehr Probleme gleichzeitig vorhanden sind. Beispielsweise kann sich ein zweites Problem zu einem zuvor aufgetretenen ersten, scheinbar unkritischen Problem gesellen, dessen Reparatur der Fahrer des Fahrzeugs auf die lange Bank geschoben hat. Das zweite Problem mag zwar für sich genommen auch unkritisch sein, kann aber in Kombination mit dem ersten ein unerwünschtes Ereignis heraufbeschwören. So ist etwa dringender Handlungsbedarf gegeben, wenn das ausgefallene linke Abblendlicht unrepariert bleibt und anschließend auch das rechte ausfällt.
-
Die in dem Speichermodul abgelegte Wahrscheinlichkeit einer Fehlfunktion der betroffenen Funktionseinheit kann in Antwort auf eine Fehlermeldung je nach Schweregrad der Störung aktualisiert werden. Bei völligem Ausfall kann diese Wahrscheinlichkeit beispielsweise auf 1 gesetzt werden, bei einer Verschlechterung oder intermittierenden Störung auf einen geringeren Wert. Wenn anschließend die Wahrscheinlichkeit eines unerwünschten Ereignisses erneut berechnet wird, geht diese Berechnung nicht mehr vom Idealzustand, sondern vom tatsächlichen Zustand des Systems aus.
-
Die in dem Speichermodul abgelegte Wahrscheinlichkeit einer Fehlfunktion der betroffenen Funktionseinheit kann auch in Antwort auf einen Altersindikator, und/oder einen Gebrauchsindikator, für die Funktionseinheit aktualisiert werden.
-
So kann beispielsweise die gleichzeitige starke Abnutzung zweier Bremsen, die beim Ausfall nur einer Bremse füreinander einspringen könnten, zur Folge haben, dass nach dem Ausfall der ersten Bremse die zweite sofort überlastet wird und ebenfalls ausfällt. Die Wahrscheinlichkeit des unerwünschten Ereignisses, dass gar keine Bremswirkung mehr gegeben ist, wird also durch die gleichzeitige Abnutzung überproportional erhöht.
-
Auch kann beispielsweise eine Fehlfunktion in einem Fahrdynamiksystem, die durch gut gewartete Stoßdämpfer normalerweise ausgeglichen werden kann, zu einem Ausbrechen des Fahrzeugs führen, wenn zugleich die Stoßdämpfer abgenutzt sind.
-
Das Training des Kl-Moduls, insbesondere eines darin enthaltenen KNN, repräsentiert die Firmware, in der die Wirkzusammenhänge zwischen den verursachenden Ereignissen und dem unerwünschten Ereignis enthalten sind. Diese Firmware kann, beispielsweise, wenn neue Erkenntnisse über Wirkzusammenhänge vorliegen, im Nachhinein auf das KI-Modul geladen werden.
-
Die Erfindung bezieht sich auch auf ein Verfahren zum Herstellen oder Betreiben der Vorrichtung. Dieses Verfahren betrifft das Training des KI-Moduls. Ausgehend von Lernwerten der Eingangsgrößen werden die zugehörigen Lernwerte der Ausgangsgrößen durch Anwendung der vorgegebenen logischen Verknüpfung auf die Lernwerte der Eingangsgrößen ermittelt.
-
Die Lernwerte der Eingangsgrößen und die Lernwerte der Ausgangsgrößen können insbesondere auch zur Festlegung und Anpassung der Aktivierungsfunktionen in einem neuronalen Netzwerk verwendet werden. Insbesondere kann eine Aktivierungsfunktion von einem Sample der Lerndaten zum nächsten adaptiv angepasst werden.
-
Es wird also für bestimmte Sätze von Wahrscheinlichkeiten verursachender Ereignisse der bekannte, aber in großen Teilen seriell abzuarbeitende Fehlerbaum genutzt, um die jeweils zugehörige Wahrscheinlichkeit eines unerwünschten Ereignisses zu ermitteln. Die Stärke von Kl-Modulen, und hier insbesondere von KNN, ist, dass die Lern-Erfahrung aus einer eng begrenzten Anzahl Situationen ausreicht, um eine um Größenordnungen höhere Vielfalt an Situationen abzudecken.
-
Dabei muss der besagte Fehlerbaum prinzipiell auch gar nicht bis ins letzte Detail bekannt sein. Entscheidend ist letztendlich nur, wie wahrscheinlich es ist, dass eine Kombination aus verursachenden Ereignissen bis zum unerwünschten Ereignis durchschlägt. Die Struktur der wechselseitigen Abhängigkeiten wirkt sich auf die logische Verknüpfung der verursachenden Ereignisse aus. Diese Struktur (etwa Baumstruktur) muss jedoch nicht vorab bekannt sein, sondern ihre Auswirkung kann beim Training des KI-Moduls gelernt werden. Im einfachsten Fall genügen zum Training Datensätze dergestalt, dass für Kombinationen bestimmter Ereignisse, die jeweils die Wahrscheinlichkeit 1 tragen, das unerwünschte Ereignis eintritt (Wahrscheinlichkeit 1) oder eben nicht (Wahrscheinlichkeit 0).
-
Vorteilhaft werden Lernwerte der Eingangsgrößen ausgehend von Startwerten durch das Aufprägen definierter Störungen generiert. Das bedeutet, dass der neue Wert zumindest noch in der Nähe des Startwerts liegt. Es kann dann von typischen technischen Systemen erwartet werden, dass die Wahrscheinlichkeit eines unerwünschten Ereignisses zwar auf die Störung reagiert, aber nicht in ein qualitativ völlig anderes Regime abgleitet.
-
Vorteilhaft wird als Zielfunktion für das Training des KI-Moduls die mittlere quadratische Abweichung eines Zeitverlaufs der Ausgangsgröße vom Zeitverlauf der zugehörigen Lernwerte der Ausgangsgröße herangezogen. Beispielsweise können bei der Generierung von Lernwerten Störungen mit unterschiedlicher Dauer und unterschiedlichen Zeitverläufen verwendet werden. Die Zielfunktion spiegelt dann wider, wie gut die Ausgangsgröße im Mittel einer Änderung der Eingangsgröße nachgeführt wird.
-
Vorteilhaft werden Gewichte der Verbindungen von und zu Neuronen in der mindestens einen verborgenen Schicht mit dem Levenberg-Marquardt-Algorithmus optimiert. Dieser Algorithmus zeichnet sich dadurch aus, dass er auch bei schlechten Startbedingungen mit hoher Wahrscheinlichkeit konvergiert.
-
Die Erfindung stellt ein weiteres Verfahren zum Betreiben der Vorrichtung bereit. Dieses Verfahren betrifft die Anwendung des KI-Moduls im trainierten Zustand. Auf mindestens eine Eingangsgröße wird eine definierte Störung aufgeprägt. Aus der Antwort einer Ausgangsgröße auf die definierte Störung wird eine Wahrscheinlichkeitsdichteverteilung der Ausgangsgröße ausgewertet.
-
Idealerweise werden alle Eingangsgrößen in dieser Weise behandelt, wobei insbesondere Kombinationen von mehreren Störungen auf mehreren Eingangsgrößen, und Permutationen dieser Kombinationen, herangezogen werden können.
-
Das KI-Modul klassifiziert an seinem Ausgang jeden an seinem Eingang vorgelegten Wert der Eingangsgröße, bzw. jeden am Eingang vorgelegten Satz von Werten der Eingangsgrößen, dahingehend, welcher Wert der Ausgangsgröße, also welcher Wert der Wahrscheinlichkeit für das unerwünschte Ereignis, mit welcher Konfidenz zutreffend ist. Beispielsweise kann das KI-Modul so viele Eingangsgrößen haben wie es verursachende Ereignisse in dem technischen System gibt. Die Auftragung der Konfidenz über dem jeweiligen Wahrscheinlichkeitswert ergibt eine Wahrscheinlichkeitsdichteverteilung, die demjenigen Ereignis zugeordnet werden kann, dessen Wahrscheinlichkeit in der Eingangsgröße von der Störung betroffen war. Es kann optional ein Schwellwert der Konfidenz von beispielsweise 0,7 eingeführt werden, oberhalb dessen ein am Ausgang erhaltener Wahrscheinlichkeitswert als gültig angesehen wird.
-
Die Erfindung bezieht sich auch auf ein weiteres Verfahren zum Betreiben der Vorrichtung in dem Zustand, in dem das KI-Modul trainiert ist. Bei diesem Verfahren wird ein Umgebungserfassungssystem und/oder Steuersystem eines zumindest teilweise automatisiert fahrenden Fahrzeugs als technisches System gewählt. Die Funktionseinheiten umfassen Sensoren, Aktoren, Softwarekomponenten und/oder Algorithmen.
-
Gerade beim zumindest teilweise automatisierten Fahren werden besonders harte Bedingungen dahingehend gestellt, bis auf welches Restrisiko welche unerwünschten Ereignisse vermieden werden müssen. Ein entsprechender schlüssiger Nachweis ist unter anderem wichtig für den Erwerb behördlicher Zulassungen.
-
Die stark beschleunigte Berechnung der Wahrscheinlichkeit unerwünschter Ereignisse ermöglicht es, diese Wahrscheinlichkeit nicht nur bei der Auslegung des Fahrzeugs bzw. des Systems anhand des Neuzustands zu berechnen und zu optimieren, sondern sie auch im laufenden Betrieb des Fahrzeugs anhand des tatsächlichen Zustands zu aktualisieren. Daher wird vorteilhaft während des Betriebes des Fahrzeugs die Wahrscheinlichkeit des unerwünschten Ereignisses fortwährend mit der Vorrichtung überwacht.
-
Die Wahrscheinlichkeit des unerwünschten Ereignisses kann insbesondere mit einem vorgegebenen Kriterium verglichen werden. Dieses Kriterium kann beispielsweise das Überschreiten oder Unterschreiten eines Schwellwerts sein. Wenn das vorgegebene Kriterium erfüllt ist, kann eine geeignete Maßnahme ergriffen werden. Beispielsweise kann eine vom Fahrer wahrnehmbare akustische und/oder optische Warneinrichtung aktiviert werden. Es kann auch das System ganz oder teilweise deaktiviert werden, und/oder der Fahrer des Fahrzeugs kann aufgefordert werden, die manuelle Kontrolle zu übernehmen. Das Fahrzeug kann auch aus dem öffentlichen Verkehrsraum entfernt und außer Betrieb gesetzt werden, eventuell nach einer in Zeit oder Kilometern festgesetzten Karenzzeit.
-
Sowohl die Vorrichtung als auch das Verfahren können ganz oder teilweise in Software implementiert sein und insbesondere als Update oder Upgrade für existierende Software auf einem Computer oder Steuergerät vertrieben werden. Insofern ist die Software ein eigenständig verkaufbares Produkt. Die Erfindung bezieht sich daher auch auf ein Computerprogramm mit maschinenlesbaren Anweisungen, die, wenn sie auf einem Computer, und/oder auf einem Steuergerät, ausgeführt werden, den Computer, und/oder das Steuergerät, zu einer Vorrichtung gemäß der Erfindung aufwerten, und/oder dazu veranlassen, ein Verfahren gemäß der Erfindung auszuführen. Ebenso bezieht sich die Erfindung auch auf einen maschinenlesbaren Datenträger oder ein Downloadprodukt mit dem Computerprogramm.
-
Weitere, die Erfindung verbessernde Maßnahmen werden nachstehend gemeinsam mit der Beschreibung der bevorzugten Ausführungsbeispiele der Erfindung anhand von Figuren näher dargestellt.
-
Ausführungsbeispiele
-
Es zeigt:
- 1 Beispielhafte logische Verknüpfung 2 von Ereignissen 21-27, die durch ein beispielhaftes technisches System 1 getrieben werden, zu einem möglichen unerwünschten Ereignis 28;
- 2 Ausführungsbeispiel der Vorrichtung 10;
- 3 Konfidenz K verschiedener Werte der Wahrscheinlichkeit p für das unerwünschte Ereignis 28 als Wahrscheinlichkeitsdichteverteilung;
- 4 Ausführungsbeispiel des Verfahrens 100;
- 5 Ausführungsbeispiel des Verfahrens 200;
- 6 Beispiele für aufgeprägte Störungen 31c zur Generierung von Lernwerten 31a für die Eingangsgrößen 31.
-
Nach 1 umfasst das beispielhaft gezeichnete technische System 1, bei dem es sich insbesondere um ein Umgebungserfassungssystem 1a oder um ein Steuersystem 1b eines zumindest teilweise automatisiert fahrenden Fahrzeugs handeln kann, fünf Funktionseinheiten 11-15. Gefragt ist nach der Wahrscheinlichkeit dafür, dass sich ein unerwünschtes Ereignis 28 einstellt, bzw. es wird angestrebt, diese Wahrscheinlichkeit unterhalb eines vorgegebenen Niveaus zu halten. Alle Wahrscheinlichkeiten sind in 1 mit dem Buchstaben p bezeichnet.
-
Wie durch das Symbol des UND-Gatters am unerwünschten Ereignis 28 angedeutet, kann dieses in dem in 1 angenommenen Szenario nur eintreten, wenn zwei Bedingungen gleichzeitig erfüllt sind: zum Einen muss ein Fehlerzustand 26 vorliegen, und zum Anderen muss sich das Fahrzeug in einem Betriebszustand 27 befinden, in dem sich dieser Fehlerzustand 26 auch auswirkt.
-
Wie durch das Symbol des ODER-Gatters am Fehlerzustand 26 angedeutet, kann der Fehlerzustand 26 durch eines oder mehrere der Ereignisse 21-25 zurückgehen, die ihrerseits durch Fehlfunktionen 11a-15a der Funktionseinheiten 11-15 des Systems 1 ausgelöst werden. Jedes dieser Ereignisse 21-25 hat eine Wahrscheinlichkeit von 10-4, also hat der Fehlerzustand 26 eine Wahrscheinlichkeit von 4,999*10-4.
-
Der ebenfalls durch das System 1 bedingte Betriebszustand 27 stellt für sich genommen keinen Fehler dar, entscheidet aber darüber, ob der Fehlerzustand 26 sich bis zum unerwünschten Ereignis 28 auswirkt. Tritt der Fehlerzustand 26 in einer Situation auf, in der der Betriebszustand 27 gerade nicht vorliegt, wird der Fehler also gleichsam „abgefangen“.
-
Der Betriebszustand 27 liegt im Mittel während 42,5 % der Betriebszeit vor; seine Wahrscheinlichkeit beträgt also 0,425. Hieraus und aus der Wahrscheinlichkeit des Fehlerzustandes 26 ergibt sich eine Wahrscheinlichkeit von 2,124*10-4 für das unerwünschte Ereignis 28.
-
Wenn diese Wahrscheinlichkeit für die Erfordernisse des Kunden zu groß ist, dann müssen Maßnahmen ergriffen werden, um bestimmte verursachende Ereignisse 21-27 unwahrscheinlicher zu machen. Die Wahrscheinlichkeit des Betriebszustandes 27 lässt sich am schwierigsten anpassen, da dieser Betriebszustand 27 Teil der beabsichtigen normalen Nutzung des Fahrzeugs ist. In Betracht kommt also, die Wahrscheinlichkeiten für die Fehlfunktionen 11a-15a der Funktionseinheiten 11-15 durch Austausch der Funktionseinheiten 11-15 gegen höherwertige Modelle zu verringern. Ebenso ist es möglich, das Zusammenspiel der Funktionseinheiten 11-15 dahingehend abzuändern, dass sich erst bei einer gleichzeitigen Fehlfunktion von mindestens zwei der Funktionseinheiten 11-15 ein Fehlerzustand 26 einstellt. Dadurch sinkt die Wahrscheinlichkeit des Fehlerzustandes 26 bereits auf 5*10-4*4*10-4=2*10-7.
-
Das in 1 gezeigte einfache Beispiel lässt sich noch intuitiv analysieren. Bei realen Systemen mit extrem vielen möglichen Ereignissen fällt ein sehr hoher Rechenaufwand an. Um diesen Aufwand überhaupt handhabbar zu machen, muss die baumartige logische Verknüpfung 2 in der Regel transformiert werden (etwa mit der Kohda-Henley-Inous Comprehensive-Methode oder der Yllera-Methode), um die Verknüpfung 2 in Module zu zerlegen und „minimal cut sets“ zu finden, in denen Redundanzen eliminiert sind.
-
2 zeigt ein Ausführungsbeispiel der Vorrichtung 10. Kernstück der Vorrichtung 10 ist das KI-Modul 3, das hier als künstliches neuronales Netzwerk, KNN 33, ausgeführt ist.
-
Das KNN 33 umfasst in diesem Beispiel eine Eingangsschicht 34, eine Ausgangsschicht 36 und zwei zwischen der Eingangsschicht 34 und der Ausgangsschicht 36 angeordnete verborgene Schichten (Hidden layer) 35. Das KNN 33 übersetzt Werte der Eingangsgröße 31, die Wahrscheinlichkeiten p für verursachende Ereignisse 21-27 entsprechen, in Werte der Ausgangsgröße 32, die der Wahrscheinlichkeit für das unerwünschte Ereignis 28 entsprechen.
-
Zum Training des KNN 33 werden Lernwerte 31a der Eingangsgröße 31 sowie Lernwerte 32a der Ausgangsgröße 32 benötigt.
-
Die Lernwerte 31a der Eingangsgröße 31 werden generiert, indem Startwerten 31b definierte Störungen 31c aufgeprägt werden. Die Störungen 31c können auch nach dem Training der Eingangsgröße 31 aufgeprägt werden, um die zum jeweiligen Ereignis gehörige Wahrscheinlichkeitsdichteverteilung 32b zu gewinnen.
-
Die Lernwerte 32a der Ausgangsgröße 32 werden durch Anwendung der dem technischen System 1, 1a, 1b innewohnenden logischen Verknüpfung 2, die die verursachenden Ereignisse 21-27 mit dem unerwünschten Ereignis 28 verbindet, auf die Lernwerte 31a der Eingangsgröße 31 generiert.
-
Die Eingangsgröße 31 wird aus einem Speicher 4 bezogen, in dem die Wahrscheinlichkeiten p für Fehlfunktionen 11a-15a der Funktionseinheiten 11-15 abgelegt sind. Die Vorrichtung 10 passt diese Wahrscheinlichkeiten automatisch an den aktuellen technischen Zustand des Systems 1, 1a, 1b an. Zu diesem Zweck verfügt die Vorrichtung 10 über eine Schnittstelle 5 zu einer Diagnoseeinheit 6, die die korrekte Funktion des Systems 1, 1a, 1b fortwährend überwacht. Die Wahrscheinlichkeit p einer Fehlfunktion 11a-15a der Funktionseinheiten 11-15 wird in Antwort darauf, dass die Diagnoseeinheit 6 eine Fehlermeldung 6a, einen Altersindikator 6b oder einen Gebrauchsindikator 6c für die Funktionseinheit 11-15 liefert, von dem Update-Modul 7 aktualisiert.
-
3 zeigt die Wahrscheinlichkeitsdichteverteilung 32b, die sich ergibt, wenn die Eingangsgröße 31 mit einer Störung 31c beaufschlagt wird und die Antwort der Ausgangsgröße 32 auf diese Störung 31c untersucht wird. Aufgetragen ist die jeweils erhaltene Konfidenz K über dem zugehörigen Wert für die Wahrscheinlichkeit p des unerwünschten Ereignisses 28. Die senkrechte Linie im Diagramm markiert die Wahrscheinlichkeit p, für die die maximale Konfidenz K erhalten wurde.
-
4 zeigt ein Ausführungsbeispiel des Verfahrens 100. In Schritt 110 werden ausgehend von Startwerten 31b durch das Aufprägen definierter Störungen 31c Lernwerte 31a der Eingangsgrößen 31 generiert. In Schritt 120 werden aus den Lernwerten 31a der Eingangsgrößen 31 durch Anwendung der dem technischen System 1, 1a, 1b innewohnenden logischen Verknüpfung 2 zugehörige Lernwerte 32a der Ausgangsgrößen 32 generiert.
-
Die Lernwerte 31a der Eingangsgrößen 31 sowie die Lernwerte 32a der Ausgangsgrößen 32 werden dem Training 130 des KNN 33 zugeführt. Gemäß Block 132 wird bei dem Training 130 als Zielfunktion die mittlere quadratische Abweichung des Zeitverlaufs der Ausgangsgrößen 32 vom Zeitverlauf der zugehörigen Lernwerte 32a herangezogen. Gemäß Block 134 werden die Gewichte der Verbindungen von und zu Neuronen in den verborgenen Schichten 35 mit dem Levenberg-Marquardt-Algorithmus optimiert.
-
5 zeigt ein Ausführungsbeispiel des Verfahrens 200. In Schritt 210 wird ein Umgebungserfassungssystem 1a und/oder Steuersystem 1b eines zumindest teilweise automatisiert fahrenden Fahrzeugs als technisches System 1 gewählt. In Schritt 220 wird die Wahrscheinlichkeit des unerwünschten Ereignisses 28 in dem System 1, 1a, 1b während des Betriebes des Fahrzeugs fortwährend mit der Vorrichtung 10 überwacht.
-
In Schritt 230 wird geprüft, ob die Wahrscheinlichkeit des unerwünschten Ereignisses 28 ein vorgegebenes Kriterium erfüllt. Ist dies nicht der Fall (Wahrheitswert 0), ist keine weitere Aktion erforderlich. Ist das Kriterium hingegen erfüllt (Wahrheitswert 1), kann, einzeln oder in Kombination, gemäß Block 232 der Fahrer mit einer Warneinrichtung gewarnt werden, gemäß Block 234 das System deaktiviert werden, gemäß Block 236 der Fahrer zur Übernahme der Kontrolle aufgefordert werden oder gemäß Block 238 das Fahrzeug aus dem öffentlichen Verkehrsraum entfernt und außer Betrieb gesetzt werden.
-
6 zeigt in den Teilbildern a) bis k) die Verläufe verschiedener von der Zeit t abhängiger Lernwerte 31a einer Eingangsgröße 31. Es ist jeweils ein Startwert 31b mit einer transienten Störung 31c beaufschlagt worden. Die Störungen 31c treten zu unterschiedlichen Zeitpunkten auf und haben auch unterschiedliche zeitliche Verlaufsformen.
-
ZITATE ENTHALTEN IN DER BESCHREIBUNG
-
Diese Liste der vom Anmelder aufgeführten Dokumente wurde automatisiert erzeugt und ist ausschließlich zur besseren Information des Lesers aufgenommen. Die Liste ist nicht Bestandteil der deutschen Patent- bzw. Gebrauchsmusteranmeldung. Das DPMA übernimmt keinerlei Haftung für etwaige Fehler oder Auslassungen.
-
Zitierte Patentliteratur
-
- DE 102008040461 A1 [0004]
- DE 10361931 A1 [0004]
