DE102018215695A1

DE102018215695A1 - Fahrzeugsteuersystem mit vorausschauender Sicherheit und Verfahren zur Fahrzeugsteuerung mit vorausschauender Sicherheit

Info

Publication number: DE102018215695A1
Application number: DE102018215695.6A
Authority: DE
Inventors: Bert Böddeker; Sebastian vom Dorff; Adam Molin; Hasan Esen
Original assignee: Denso Corp
Current assignee: Denso Corp
Priority date: 2018-09-14
Filing date: 2018-09-14
Publication date: 2020-03-19
Also published as: JP2020045091A; JP6900981B2

Abstract

Die vorliegende Erfindung bezieht sich auf ein Fahrzeugsteuersystem mit vorausschauender Sicherheit und ein Verfahren zur Fahrzeugsteuerung mit vorausschauender Sicherheit, wobei eine Trajektorienerzeugungseinrichtung, mit der auf der Grundlage von Umgebungsdaten eines Fahrzeugs Trajektorien erzeugbar sind, mit denen jeweils ein sicheres Anhalten des Fahrzeugs unter Berücksichtigung dieser Umgebungsdaten des Fahrzeugs möglich ist, wobei einer Fahrzeugsteuereinrichtung die Trajektorien, mit denen jeweils ein sicheres Anhalten des Fahrzeugs unter Berücksichtigung dieser Umgebungsdaten des Fahrzeugs möglich ist, durch einen Trajektorienpuffer zur Verfügung stellbar sind, und eine Sicherheitsbeobachtungseinrichtung vorgesehen ist, durch die vor dem Weiterleiten einer durch die Trajektorienerzeugungseinrichtung erzeugten, neuen Trajektorie zum Trajektorienpuffer beurteilbar ist, ob diese erzeugte, neue Trajektorie entsprechend einer implementierten Sicherheitsvorgabe sicher ist, wobei der Trajektorienpuffer mit der Trajektorienerzeugungseinrichtung und der Sicherheitsbeobachtungseinrichtung in einer solchen Weise verbindbar ist, dass nur diejenige durch die Trajektorienerzeugungseinrichtung erzeugte Trajektorie zum Trajektorienpuffer weiterleitbar ist, durch die die implementierten Sicherheitsvorgabe erfüllt ist, mit dem Effekt, dass nur durch die Sicherheitsbeobachtungseinrichgung bestätigte Trajektorien verfolgt werden, die in einem sicheren Zustand enden.

Description

Technisches Gebiet
Die vorliegende Erfindung bezieht sich auf ein Fahrzeugsteuersystem mit vorausschauender Sicherheit und ein Verfahren zur Fahrzeugsteuerung mit vorausschauender Sicherheit.
Stand der Technik
In den letzten Jahren haben sich Komfortsysteme zur vollständigen Fahrzeugführung ständig weiterentwickelt. Während teilautomatisierte Fahrerassistenzsysteme innerhalb definierter Grenzen ein automatisches Fahren ohne Zutun des Fahrers realisieren, ist beim hoch- oder vollautomatisierten (autonomen) Fahren eine erhöhte Anforderung hinsichtlich der Definition von Selbstständigkeit vorhanden. So müssen jegliche Arten von Fehlern und verletzte Bedingungen selbstständig erkannt werden und dementsprechend reagiert werden. Insbesondere ist das von Bedeutung, wenn ein Eingreifen eines Fahrers nach einer Ausgabe einer Mitteilung an den Fahrer zur Übernahme ausbleibt, oder kein Fahrer anwesend ist.
Diesen Umstand berücksichtigt die ISO26262 mit dem Begriff Automotive Safety Integrity Level (ASIL). Durch ASIL werden die Wahrscheinlichkeit eines Gefahrenpotenzials, die Kontrollierbarkeit und eine mögliche Unfallschwere bewertet. Die Risikoeinstufungen reichen von QM, wobei hier ohne besondere Maßnahmen ausgekommen werden kann, bis zur Einstufung von ASIL A bis ASIL D. Jede dieser Risikostufen stellt ein Risikopotenzial dar, wobei ASIL A die geringste Risikostufe und ASIL D die größte Risikostufe darstellt.
Bei automatisierten Fahrzeugen ist eine komplexe Berechnung von Trajektorien erforderlich. Für diese wird ein funktionales Sicherheitskonzept gegen systematische und zufällige Fehler bei dieser Berechnung gefordert. Ebenso müssen übermäßige Begrenzungen bei der Leistungsfähigkeit dieser Berechnung beachtet werden. Im Ergebnis sind beim automatisierten Fahren ein Ausfallsicherheitskonzept und ein Konzept zum Umgang mit Leistungsbegrenzungen erforderlich.
Die klassischen Mehrkanalsysteme, wie z.B. 1 oo2D, wobei der Ausfall von einem der zwei Kanäle zur Abschaltung des Kanals, aber erst der Ausfall beider Kanäle zum Verlust der Sicherheitsfunktion führt, oder z.B. 2oo3, wobei bei der dreifachen Verarbeitung unter Verwendung des Mehrheitsergebnisses mit hinreichender Sicherheit festgestellt werden kann, welche Einheit die fehlerhafte ist, haben zahlreiche Nachteile. Für 1oo2D muss das Problem der Selbstdiagnose gelöst werden. 2oo3 setzt eine nicht triviale Vergleichbarkeit von Trajektorien voraus. Darüber hinaus besteht ein doppelter bis dreifacher Aufwand für den Energieverbrauch und die Hardwarekosten sowie für den Platzbedarf bei der heterogenen Berechnung von Trajektorien. Im Fall eines Systemfehlers oder eines Überschreitens der Systembegrenzungen muss ein Weg gefunden werden, um in einen Zustand mit minimalem Risiko zu gelangen, da ein Abschalten der Systeme nicht zu sofortigem Stillstand führt. Die Implementierung eines Ausfallsicherheitsmechanismus bedarf in vielen Fällen der Interaktion des Fahrers. Da ab dem SAE-Level 4 beim autonomen Fahren kein Fahrer zur Verfügung steht, bedürfen die klassischen Ansätze eines komplexen redundanten Systems zum Absichern eines Verhaltens mit geeigneter Ausfallsicherheit.
In der Dissertation „Sicherheitskonzept für hochautomatisierte Fahrerassistenzsysteme“ von Markus A. Hörwick, die am 07.10.2011 an der TU München angenommen wurde, werden kombinierte Fahrerüberwachungs-Interaktionskonzepte vorgestellt und für den Fall eines sicheren Notauszustands der Ort für den Stillstand die eigene Fahrspur als sinnvoll angesehen.
Aus der Anmeldung US2015/0081156A1 sind ein beabsichtigter Bewegungspfad und ein berechneter Geschwindigkeitsplan im Zusammenhang mit einer Zeitverteilung entlang des Bewegungspfades von Bedeutung. Ein Beobachter dient zum Planen und Aktualisieren der Trajektorien über der Zeit. Bewegliche und statische Ziele sollen vermieden werden und es wird der komplette Stillstand bei Bedarf behandelt.
Aus der EP2338029B1 sind Steuerungssysteme für das autonome Fahren von Fahrzeugen bekannt. Es wird zum Beispiel offenbart, dass eine Vielzahl von Planungsmodulen aus Gründen der Redundanz verwendet werden kann, um eine Vielzahl an möglichen Pfaden zur gleichen Zeit zu erzeugen. Eine Bewertung der Pfade nach zum Beispiel der kürzesten Zeit, dem kürzesten Abstand, der geringsten Beeinflussung mit Hindernissen kann dann verwendet werden.
Dem Stand der Technik ist gemeinsam, dass das Sicherheitskonzept auf vordefinierten Notfallszenarien basiert, die im Fall eines Fehlers ausgelöst werden. Um im Notfall Sicherheit garantieren zu können, muss die Umgebung bekannt sein.
Kurzfassung der Erfindung
Technisches Problem
Die Aufgabe der vorliegenden Erfindung besteht darin, ein Fahrzeugsteuersystem mit vorausschauender Sicherheit und ein Verfahren zur Fahrzeugsteuerung mit vorausschauender Sicherheit vorzusehen, mit denen das Fahrzeug mit hoher Sicherheit, vorzugsweise in der geforderten Sicherheitsstufe, betrieben werden kann. Hierbei kann unter „sicher“ beispielsweise verstanden werden, dass keine unmittelbare Kollisionsgefahr mit Objekten abhängig von Trajektorie und Zeitzustand der Umgebung besteht.
Lösung des Problems
Diese Aufgabe wird durch die Gegenstände der Ansprüche 1 und 9 gelöst. Vorteilhafte Weiterbildungen sind Gegenstand der Unteransprüche.
Entsprechend einem ersten Aspekt der vorliegenden Erfindung wird Fahrzeugsteuersystem mit vorausschauender Sicherheit bereitgestellt mit einer Trajektorienerzeugungseinrichtung, mit der auf der Grundlage von Umgebungsdaten eines Fahrzeugs Trajektorien erzeugbar sind, mit denen jeweils ein sicheres Anhalten des Fahrzeugs unter Berücksichtigung dieser Umgebungsdaten des Fahrzeugs möglich ist, wobei einer Fahrzeugsteuereinrichtung die Trajektorien, mit denen jeweils ein sicheres Anhalten des Fahrzeugs unter Berücksichtigung dieser Umgebungsdaten des Fahrzeugs möglich ist, durch einen Trajektorienpuffer zur Verfügung stellbar sind, wobei eine Sicherheitsbeobachtungseinrichtung vorgesehen ist, durch die vor dem Weiterleiten einer durch die Trajektorienerzeugungseinrichtung erzeugten, neuen Trajektorie zum Trajektorienpuffer beurteilbar ist, ob diese erzeugte, neue Trajektorie entsprechend einer implementierten Sicherheitsvorgabe sicher ist, wobei der Trajektorienpuffer mit der Trajektorienerzeugungseinrichtung und der Sicherheitsbeobachtungseinrichtung in einer solchen Weise verbindbar ist, dass nur diejenige durch die Trajektorienerzeugungseinrichtung erzeugte Trajektorie zum Trajektorienpuffer weiterleitbar ist, durch die die implementierten Sicherheitsvorgabe erfüllt ist.
Durch ein Fahrzeugsteuersystem nach Anspruch 1 ist es möglich, dass das Fahrzeug in jedem Moment mit einer Trajektorie betrieben wird, die zu einem sicheren Anhalten des Fahrzeugs führt. Trajektorien, die nicht zu einem sicheren Anhalten des Fahrzeugs führen, können daher nicht zum Betreiben des Fahrzeugs verwendet werden. Somit ist auch dem Umstand Rechnung getragen, dass bei einer fehlerhaften Kommunikation zwischen den Komponenten des Fahrzeugsteuersystems kein unsicherer Zustand eingenommen wird. In dem Moment, in dem in dem Trajektorienpuffer eine Trajektorie mit einem sicheren Halten des Fahrzeugs vorliegt, wird das Fahrzeug mit dieser Trajektorie gefahren und führt zu einem sicheren Halten.
Bei einem Fahrzeugsteuersystem entsprechend dem zweiten Aspekt, der vom ersten Aspekt abhängt, ist der Trajektorienpuffer mit der Trajektorienerzeugungseinrichtung und der Sicherheitsbeobachtungseinrichtung in einer solchen Weise verbunden, dass durch die weitergeleitete Trajektorie der Trajektorienpuffer überschrieben wird. Somit kann der Trajektorienpuffer mit geringer Komplexität und einfach ausgeführt werden, da lediglich eine Trajektorie in diesem gespeichert werden muss.
Ein Fahrzeugsteuersystem entsprechend dem dritten Aspekt, der vom ersten oder zweiten Aspekt abhängt, ist mit dem Trajektorienpuffer und der Fahrzeugsteuereinrichtung versehen, mit der die Fahrzeugsteuerung auf der Grundlage der im Trajektorienpuffer gespeicherten Trajektorie bis zu einem sicheren Anhalten des Fahrzeugs ausführbar ist. Somit kann in einfacher Weise eine Fahrzeugsteuerung umgesetzt werden.
Ein Fahrzeugsteuersystem entsprechend dem vierten Aspekt, der von zumindest einem der vorhergehenden Aspekte abhängt, ist mit einer Umgebungsdatenerzeugungseinrichtung versehen, durch die die Umgebungsdaten des Fahrzeugs aufnehmbar sind und die mit der Sicherheitsbeobachtungseinrichtung verbunden ist. Daher ist die Umgebungsdatenerzeugungseinrichtung Teil des Fahrzeugsteuersystems, sodass die gesamte Fahrzeugsteuerung in Abhängigkeit von den Umgebungsdaten im Fahrzeug autonom ausgeführt werden kann.
Ein Fahrzeugsteuersystem entsprechend dem fünften Aspekt, der von zumindest einem der vorhergehenden Aspekte abhängt, ist mit einer Fernzielplanungseinrichtung versehen, die mit der Umgebungsdatenerzeugungseinrichtung und der Trajektorienerzeugungseinrichtung verbunden ist und durch die ein Pfad des Fahrzeugs bis zu einem Fernziel definierbar ist, der durch die Trajektorien, die durch die Trajektorienerzeugungseinrichtung erzeugt werden, abschnittsweise abfahrbar ist. Somit kann trotz der Definition eines Fernziels und der Definition von Anhaltepositionen in jeder Trajektorie sichergestellt werden, dass im fehlerfreien Zustand eine Trajektorie sich an die andere anschließen kann und der jeweilig definierte Zustand des sicheren Haltens bei jeder Trajektorie nicht zum Tragen kommt.
Bei einem Fahrzeugsteuersystem entsprechend dem sechsten Aspekt, der von zumindest einem der vorhergehenden Aspekte abhängt, ist/sind der Trajektorienpuffer, und vorzugsweise die Trajektorienerzeugungseinrichtung, im Fahrzeug angeordnet. Wenn andere Einrichtungen des Fahrzeugsteuersystems außerhalb des Fahrzeugs vorgesehen sind, kann auf diese Weise die Komplexität der Hardware im Fahrzeug gering gehalten werden.
Bei einem Fahrzeugsteuersystem entsprechend dem siebenten Aspekt, der von zumindest einem der ersten bis fünften Aspekte abhängt, ist/sind die Trajektorienerzeugungseinrichtung, und optional die Sicherheitsbeobachtungseinrichtung, die Umgebungsdatenerzeugungseinrichtung und/oder die Fernzielplanungseinrichtung, in einem fahrzeugexternen, vorzugsweise stationären System angeordnet, wie z.B. einem stationären Parksystem, und erfolgt die Weiterleitung der Trajektorien in Bezug auf den Trajektorienpuffer drahtlos, sodass für ein bestehendes Parksystem, wie zum Beispiel ein Valet-Parken-System, die Fahrzeugsteuerung von mehreren Fahrzeugen zentral vorgenommen werden kann und nur der Trajektorienpuffer zusammen mit der Fahrzeugsteuereinrichtung selbst im Fahrzeug vorgesehen sein muss.
Bei einem Fahrzeugsteuersystem entsprechend dem achten Aspekt, der von zumindest einem der Aspekte 4 oder 5 bis 7 abhängt, ist die Umgebungsdatenerzeugungseinrichtung mit der Sicherheitsbeobachtungseinrichtung in einer solchen Weise verbunden, dass nur diejenige durch die Trajektorienerzeugungseinrichtung erzeugte Trajektorie zum Trajektorienpuffer weiterleitbar ist, durch die eine implementierte Sicherheitsvorgabe für die Umgebungsdaten erfüllt ist. Im Ergebnis kann erhöhten Sicherheitsanforderungen auch in Bezug auf die Umgebungsdatenermittlung Rechnung getragen werden. In dem Fall, in dem die Sicherheitsbeobachtungseinrichtung ein Sicherheitsrisiko bei den Umgebungsdaten darstellt, erfolgt trotz vorhandener Trajektorie keine Weiterleitung von dieser, sodass im Trajektorienpuffer eine Trajektorie gespeichert ist, die zu einem sicheren Anhalten des Fahrzeugs führt, ohne dass der Fehler bei den Umgebungsdaten Auswirkungen auf das Fahrverhalten hat.
Entsprechend einem neunten Aspekt wird ein Verfahren zur Fahrzeugsteuerung mit vorausschauender Sicherheit mit den Schritten vorgesehen: Erzeugen von Trajektorien auf der Grundlage von Umgebungsdaten, mit denen jeweils ein sicheres Anhalten des Fahrzeugs unter Berücksichtigung dieser Umgebungsdaten des Fahrzeugs möglich ist, durch eine Trajektorienerzeugungseinrichtung, Bereitstellen von Trajektorien, mit denen jeweils ein sicheres Anhalten des Fahrzeugs unter Berücksichtigung dieser Umgebungsdaten des Fahrzeugs möglich ist, in Bezug auf einen Trajektorienpuffer, Beurteilen durch eine Sicherheitsbeobachtungseinrichtung vor dem Weiterleiten einer durch die Trajektorienerzeugungseinrichtung erzeugten, neuen Trajektorie zum Trajektorienpuffer, ob diese erzeugte, neue Trajektorie entsprechend einer implementierten Sicherheitsvorgabe sicher ist, und Weiterleiten nur von derjenigen durch die Trajektorienerzeugungseinrichtung erzeugte Trajektorie zum Trajektorienpuffer, durch die die implementierte Sicherheitsvorgabe erfüllt ist.
Entsprechend einem zehnten Aspekt wird ein Verfahren zur Fahrzeugsteuerung mit vorausschauender Sicherheit nach dem neunten Aspekt vorgesehen, wobei nach dem Schritt des Weiterleitens der Trajektorie zum Trajektorienpuffer durch die weitergeleitete Trajektorie der Trajektorienpuffer überschrieben wird.
Bei den Verfahren zur Fahrzeugsteuerung nach den vorstehen genannten neunten und zehnten Aspekt werden die gleichen Vorteile wie beim ersten und zweiten Aspekt erreicht.
Figurenliste
Unter Bezugnahme auf die beiliegenden Zeichnungen und die entsprechende detaillierte Beschreibung wird die vorliegende Erfindung detaillierter im Zusammenhang mit weiteren Aufgaben, Merkmalen und Vorteilen beschrieben.

1 stellt eine schematische Darstellung des Fahrzeugsteuersystems entsprechend einem Ausführungsbeispiel der Erfindung dar.
2 stellt ein Verfahren zur Fahrzeugsteuerung mit vorausschauender Sicherheit gemäß der Erfindung dar.
3 zeigt eine Fahrzeugsteuersituation einem Valet-Parken-System mit der Definition eines sicheren Anhaltens des Fahrzeugs.
4 zeigt eine Fahrzeugsteuersituation in einem Valet-Parken-System, in dem implementierte Sicherheitsvorgaben visualisiert sind.
5 zeigt eine Situation in einem Valet-Parken-System bei einer Bewegung entlang einer weiteren Trajektorie entlang eines Fernzielplanungspfades, in dem die implementierte Sicherheitsvorgabe verletzt ist und keine Trajektorienweiterleitung erfolgt.
6 zeigt ein Balkendiagramm für sechs beispielhafte Trajektorien, die ein unterschiedliches Übernehmen der Trajektorien und somit ein unterschiedliches Verhalten des Fahrzeugs zur Folge haben.
7 zeigt die zurückgelegte Entfernung über der Zeit in einem Diagramm für das in 6 dargestellte Fahrverhalten des Fahrzeugs entlang der ersten bis sechsten Trajektorie.
8 zeigt eine Variante der Ausführungsform der vorliegenden Erfindung, bei der auch die Umgebungsdaten der Sicherheitsbeobachtung unterzogen werden und somit das Sperren beziehungsweise Weiterleiten der Trajektorie von der implementierten Sicherheitsvorgabe für die Trajektorie und der implementierten Sicherheitsvorgabe für die Umgebungsdaten abhängt.

Beschreibung der Ausführungsbeispiele
Nachfolgend werden ein Fahrzeugsteuersystem mit vorausschauender Sicherheit mit einem Ausführungsbeispiel und Abwandlungen hierzu sowie ein Verfahren zur Fahrzeugsteuerung mit vorausschauender Sicherheit beschrieben.
Mit der erfindungsgemäßen Fahrzeugsteuerung ist es möglich, ein Fahrzeug sich von einer sicheren Trajektorie zu einer weiteren sicheren Trajektorie weiterbewegen zu lassen, wobei immer die Sicherheit des Systems gewährleistet wird. Hierbei kann unter „sicher“ beispielsweise verstanden werden, dass keine unmittelbare Kollisionsgefahr mit Objekten abhängig von Trajektorie und Zeitzustand der Umgebung besteht. Die jeweilige Trajektorie, die durch eine räumliche Komponente und eine Geschwindigkeitskomponente gekennzeichnet ist, orientiert sich an einem Fernzielpfad, der angibt, entlang welcher Route sich ein Fahrzeug zu einem Fernziel bewegen soll. Jede Trajektorie ist dadurch gekennzeichnet, dass diese Trajektorie durch ein sicheres Anhalten des Fahrzeugs abgeschlossen wird. Die Sicherheit wird vor dem Ausführen einer neuen Trajektorie beurteilt. Daher wird bei dem Fahrzeugsteuersystem und dem Verfahren zur Fahrzeugsteuerung von vorausschauender Sicherheit gesprochen. Bei einer Betrachtung entlang des Fernzielpfades startet ein Fahrzeug von einer inhärent sicheren Parkposition. Jede akzeptierte Aktualisierung der Trajektorie ist sicher, sodass das Fahrzeug entlang seiner Bewegung in der Trajektorie sicher verbleibt.
Erfindungsgemäß ist eine Sicherheitsbeobachtung vorgesehen, mit der die Sicherheit der Trajektorie beurteilt wird. Die Sicherheitsbeobachtung ist von der Trajektorienerzeugung getrennt. Die Funktion der Sicherheitsbeobachtung besteht darin, dass auf der Grundlage dieses Sicherheitsbeobachtungssignals lediglich entschieden werden kann, ob die erzeugte Trajektorie sicher ist oder nicht. Es ist nicht vorgesehen, durch die Sicherheitsbeobachtungseinrichtung die Trajektorie zu ändern. Da die Trajektorienerzeugung von der Sicherheitsbeobachtung getrennt ist, lassen sich die Sicherheitsintegritätslevel ebenfalls trennen. Somit kann die Trajektorienerzeugung von der Sicherheitsbeobachtung einen verschiedenen ASIL-Level haben. Eine ASIL-Dekomposition entsprechend ISO 26262 ist zwischen den Komponenten der Trajektorienerzeugung und der Sicherheitsbeobachtung möglich.
Mit dem Fahrzeugsteuersystem entsprechend der vorliegenden Erfindung wird die letzte bekannte Trajektorie aus einem Trajektorienpuffer gelesen und zur Fahrzeugsteuerung verwendet. Wenn durch die Sicherheitsbeobachtung eine neue Trajektorie nicht zur Verfügung gestellt werden kann, erfolgt die Fahrzeugbewegung entsprechend der im Trajektorienpuffer befindlichen Trajektorie bis zum sicheren Anhalten des Fahrzeugs. Auf diese Weise wird auch dem Umstand Rechnung getragen, dass ein Fehler bei der Datenübertragung auftritt und eine Trajektorienangleichung wie beim Stand der Technik nicht möglich ist. In jedem Fall befindet sich im Trajektorienpuffer eine Trajektorie bis zum sicheren Anhalten des Fahrzeugs. Mit dem Fahrzeugsteuersystem entsprechend der vorliegenden Erfindung ist eine SAE-Autonomiestufe vom Level 3 oder höher bei der Ausfallsicherheit möglich.
Die Trajektorien der vorliegenden Erfindung ermöglichen redundante Wege entlang des Fernzielpfades in Bezug auf die Zeit jedoch nicht in Bezug auf den Raum. Der Sicherheitsbeobachter wirkt hierbei als Gatekeeper.
Die unterschiedlichen Komponenten des Fahrzeugsteuersystems können entweder im Fahrzeug oder stationär vorgesehen sein, solange dem Fahrzeug ein Trajektorienpuffer zur Verfügung gestellt werden kann, der der Fahrzeugsteuereinrichtung die Trajektorien zur Fahrzeugsteuerung zuleitet. Das Fahrzeug wird mit der aktuellen Trajektorie im Trajektorienpuffer immer zu einem sicheren Anhalten geführt.
1 zeigt ein Fahrzeugsteuersystem 100 entsprechend dem ersten Ausführungsbeispiel. Dieses Fahrzeugsteuersystem ist so ausgestaltet, dass alle Komponenten im Fahrzeug vorgesehen sind. Die vorliegende Erfindung ist jedoch nicht darauf beschränkt, was nachfolgend detailliert erläutert wird.
Das Fahrzeugsteuersystem 100 hat die Aufgabe, eine Trajektorie für eine Fahrzeugsteuereinrichtung 70 zu erzeugen. Hierzu weist das Fahrzeugsteuersystem 100 eine Umgebungsdatenerzeugungseinrichtung 10, eine Fernzielplanungseinrichtung 20, eine Trajektorienerzeugungseinrichtung 30, eine Sicherheitsbeobachtungseinrichtung 40 eine Sperr/Weiterleitungs-Einrichtung 50, einen Trajektorienpuffer 60 sowie die Fahrzeugsteuereinrichtung 70 auf.
Die Umgebungsdatenerzeugungseinrichtung 10 nimmt Umgebungsdaten auf und führt diese der Fernzielplanungseinrichtung 20, der Trajektorienerzeugungseinrichtung 30 sowie der Sicherheitsbeobachtungseinrichtung 40 zu. Die Fernzielplanungseinrichtung 10 könnte alternativ auch eine statische Umgebungskarte verwenden. Mit der Fernzielplanungseinrichtung 20 wird ein globaler Pfad, der nachfolgend als Pfad beziehungsweise Fernzielpfad bezeichnet wird, eingestellt. Dieser Pfad legt fest, entlang von welchem Weg sich ein Fahrzeug bewegen soll. Die Daten der Fernzielplanungseinrichtung 20 werden der Trajektorienerzeugungseinrichtung 30, die eine Trajektorie bis zum sicheren Anhalten des Fahrzeugs erzeugt, zugeleitet. Die Trajektorienerzeugungseinrichtung 30 kann dabei auch vom Pfad der Fernzielplanungseinrichtung 20 abweichen um z.B. ein Ausweichmanöver durchzuführen oder am Straßenrand zum sicheren Stand zu kommen. Das Abfahren der Trajektorie benötigt eine bestimmte Zeit (t). Der Trajektorienerzeugungseinrichtung 30 werden ebenfalls die Umgebungsdaten der Umgebungsdatenerzeugungseinrichtung 10 zugeleitet.
Die erzeugte Trajektorie der Trajektorienerzeugungseinrichtung 30 und die Umgebungsdaten der Umgebungsdatenerzeugungseinrichtung 10 werden der Sicherheitsbeobachtungseinrichtung 40 zugeführt und die Sicherheitsbeobachtungseinrichtung 40 beurteilt, ob die erzeugte Trajektorie bis zum vollständigen Halten kollisionsfrei ist. Dabei werden potentielle Bewegungen von Objekten in der Umgebung des Fahrzeugs innerhalb der Zeit t extrapoliert. Dieses ist Beispiel in einem Valet-Parken-System durch die gestrichelten Kreise und Trapeze bei Fußgängern und Fahrzeugen gezeigt.
Das Beobachtungsergebnis der Sicherheitsbeobachtungseinrichtung 40 und die erzeugte Trajektorie der Trajektorienerzeugungseinrichtung 30 werden der Sperr/Weiterleitungs-Einrichtung 50 zugeleitet. Mit dem Beurteilungsergebnis der Sicherheitsbeobachtungseinrichtung 40 wird durch die Sperr-/Weiterleitungs-Einrichtung 50 die Trajektorie, die von der Trajektorienerzeugungseinrichtung 30 erzeugt wird, entweder zum Trajektorienpuffer 60 weitergeleitet oder zu diesem nicht weitergeleitet. Wenn eine Trajektorie zum Trajektorienpuffer 60 weitergeleitet wurde, wird diese zur Fahrzeugsteuerung durch die Fahrzeugsteuereinrichtung 70 verwendet.
Da für jede Trajektorie vorgesehen ist, dass diese das Fahrzeug bis zum vollständigen Anhalten führt, gelangt am Ende von jeder Trajektorie das Fahrzeug potentiell zum vollständigen Anhalten, sofern die Fahrzeugsteuerung bis zum Ende der Trajektorie mit dieser Trajektorie erfolgt.
Um dieses Vorgehen zu veranschaulichen wird in einem Fall A angenommen, dass eine erste Trajektorie, die durch die Trajektorienerzeugungseinrichtung 30 erzeugt wurde, durch die Sicherheitsbeobachtungseinrichtung 40 als sicher eingeschätzt wird. Im Ergebnis leitet die Sperr-/Weiterleitungs-Einrichtung 50 die erste Trajektorie nun zum Trajektorienpuffer 60 weiter. Das Fahrzeug bewegt sich im Ergebnis entlang der im Trajektorienpuffer 60 befindlichen Trajektorie. In diesem Zeitabschnitt erzeugt die Trajektorienerzeugungseinrichtung 30 eine zweite Trajektorie und wird durch die Sicherheitsbeobachtungseinrichtung 40 eine Bewertung dieser erzeugten Trajektorie vorgenommen. Wenn diese zweite Trajektorie als sicher eingeschätzt wird, wird durch das Beurteilungssignal der Sicherheitsbeobachtungseinrichtung 40 die Sperr/Weiterleitungs-Einrichtung 50 in den Weiterleitzustand geschaltet und wird die gerade ausgeführte Trajektorie im Trajektorienpuffer 60 durch die zweite Trajektorie überschrieben, sodass nun die zweite Trajektorie im Trajektorienpuffer 60 das Fahrverhalten der Fahrzeugsteuerung bestimmt. Wenn nun während der Ausführung der zweiten Trajektorie eine dritte Trajektorie durch die Trajektorienerzeugungseinrichtung 30 berechnet wird und durch die Sicherheitsbeobachtungseinrichtung 40 beurteilt wird, dass diese nicht sicher ist, so sperrt die Sperr-/Weiterleitungs-Einrichtung 50 die Übermittlung der dritten Trajektorie von der Trajektorienerzeugungseinrichtung 30 zum Trajektorienpuffer 60, sodass die im Trajektorienpuffer 60 befindliche zweite Trajektorie bis zum vollständigen Anhalten des Fahrzeugs durch das Fahrzeug abgefahren wird.
Dieser Ablauf wird durch das Ablaufschema aus 2 nochmals verdeutlicht. In Schritt S10 erfolgt das Bereitstellen der Umgebungsdaten durch die Umgebungsdatenerzeugungseinrichtung 10. In einem Schritt S20 erfolgt die Berechnung des Fernzielpfades durch die Fernzielplanungseinrichtung, optional auf der Grundlage der bereitgestellten Umgebungsdaten. Im nachfolgenden Schritt S30 berechnet die Trajektorienerzeugungseinrichtung 30 eine Trajektorie bis zum vollständigen Anhalten des Fahrzeugs auf der Grundlage der bereitgestellten Umgebungsdaten. In Schritt S40 bewertet die Sicherheitsbeobachtungseinrichtung 40 die durch die Trajektorienerzeugungseinrichtung 30 erzeugte Trajektorie. Im Schritt S50 wird durch die Sperr/Weiterleitungs-Einrichtung 50 beurteilt, ob die durch die Trajektorienerzeugungseinrichtung 30 in Schritt S30 erzeugte Trajektorie sicher ist oder nicht.
In dem Fall, in dem die erzeugte Trajektorie nicht sicher ist, wird vom Schritt S50 zu Schritt S30 zurückgegangen, um eine neue Trajektorie in Schritt S30 zu erzeugen.
In dem Fall, in dem in Schritt S50 durch die Sperr/Weiterleitungs-Einrichtung 50 beurteilt wird, dass die erzeugte Trajektorie sicher ist, wird zu Schritt S60 gegangen, in dem der Trajektorienpuffer 60 überschrieben wird.
Im nun anschließenden Schritt S70 wird beurteilt, ob der Trajektorienpuffer 60 leer ist. In dem Fall, in dem der Puffer in Schritt S70 als leer beurteilt wird, verbleibt das Fahrzeug beim sicheren Anhalten in Schritt S80, da keine Trajektorie für das Betreiben des Fahrzeugs vorliegt. Wenn in Schritt S70 die Beurteilung vorgenommen wird, dass der Puffer nicht leer ist, wird das Fahrzeug entlang der gespeicherten Trajektorie im Trajektorienpuffer 60 bis zum sicheren Anhalten angetrieben. Dieses Antreiben bis zum sicheren Anhalten wird in Schritt S90 vorgenommen. Das Ablaufdiagramm wird periodisch wiederholt bis zur Erreichung des geplanten Ziels durchgeführt.
Die vorliegende Erfindung ist nicht darauf beschränkt, dass wie in 1 gezeigt das Fahrzeugsteuersystem 100 vollständig im Fahrzeug vorgesehen ist.
In einer Alternative zum ersten Ausführungsbeispiel sind lediglich der Trajektorienpuffer 60, die Sicherheitsbeobachtungseinrichtung 40 und die Sperr/Weiterleitungs-Einrichtung 50 und die Fahrzeugsteuereinrichtung 70 im Fahrzeug vorgesehen, während die Umgebungsdatenerzeugungseinrichtung 10, die Fernzielplanungseinrichtung 20 und die Trajektorienerzeugungseinrichtung bis zum sicheren Halten 30stationär vorgesehen sind. Es ist auch denkbar, Teile der Sicherheitsbeobachtungseinrichtung 40 stationär vorzusehen. Dieses kann zum Beispiel in einem Valet-Parken-System umgesetzt sein. Die Übertragung der Trajektorie und Teile der Umgebungsdaten zwischen der Trajektorienerzeugungseinrichtung 30 bzw. der Umgebungsdatenerzeugungseinrichtung 10 und der Sperr/Weiterleitungs-Einrichtung 50 und der Sicherheitsbeobachtungseinrichtung 40 kann beispielsweise drahtlos erfolgen. Auf diese Weise kann in dem Valet-Parken-System eine zentrale Koordinierung einer Vielzahl an Fahrzeugen sicher betrieben werden. Darüber hinaus kann der Implementierungsaufwand in jedem Fahrzeug reduziert werden. Sowohl ein stationäres System als auch das Vorsehen im Fahrzeug können zum Sicherheitsziel beitragen. Jedes einzelne Fahrzeug hat im Trajektorienpuffer 60 eine Trajektorie, die abgefahren wird. Am Ende von jeder Trajektorie steht das sichere Anhalten, sofern zwischenzeitlich keine weitere Trajektorie zur Verfügung gestellt wird. Eine ausfallsichere Datenverbindung ist in diesem Fall für die Sicherheit nicht erforderlich.
Die vorliegende Erfindung ist jedoch nicht darauf beschränkt, sondern es können auch nur die Umgebungsdatenerzeugungseinrichtung 10 oder alternativ dazu weitere der Einrichtungen 20, 30, 40 und 50 im Valet-Parken-System vorgesehen sein. Auch eine mehrfache Ausführung der Sicherheitsbeobachtungseinrichtung 40 und der Sperr/Weiterleitungseinrichtung 50 sowohl im Fahrzeug als auch im statischen System sind möglich. Die Umgebungsdatenerzeugungseinrichtung 10 kann insofern zwischen dem Fahrzeug und der statischen Einrichtung verteilt sein, so dass eine einstufige oder mehrstufige Sensorfusion zwischen Sensoren der Fahrzeuge und des Parkhauses stattfindet.
Nachfolgend wird unter Bezugnahme auf die 3 bis 5 das Ausführen des Verfahrens zur Fahrzeugsteuerung mit vorausschauender Sicherheit beispielhaft erläutert. Ein besonderer Fokus liegt hier auf der Unterscheidung zwischen Trajektorienerzeugung bis zu einem sicheren Anhalten und Umsetzung des Sperrens/Weiterleitens durch die Sicherheitsbeobachtungseinrichtung 40 und die Sperr/Weiterleitungseinrichtung 50.
In 3 ist eine Fahrzeugsteuersituation mit der Definition eines sicheren Anhaltens eines Bezugsfahrzeugs RC in einem Valet-Parken-System gezeigt. Genauer gesagt ist dem Bezugsfahrzeug RC ein Pfad P durch die Fernzielplanungseinrichtung 20 vorgegeben, entlang dem sich das Fahrzeug bewegen soll. Die Umsetzung der durch die Trajektorienerzeugungseinrichtung 30 erzeugten Trajektorie ist durch die Normaltrajektorie NT vor dem Fahrzeug und die Anhaltestrecke SD ist vor der Normaltrajektorie in Richtung des Pfades P dargestellt. Die reguläre Bewegung des Fahrzeugs erfolgt bis zum Ende der Normaltrajektorie NT. Wenn zu diesem Zeitpunkt im Trajektorienpuffer 60 keine weitere Trajektorie vorliegt, wird das Bezugsfahrzeug RC über die Anhaltestrecke SD bis zum sicheren Anhalten abgebremst.
Das Fahrzeug RC befindet sich bereits innerhalb eines Valet-Parken-Systems, das heißt in Bezug auf ein Fahrzeug C4 auf der anderen Seite einer Schranke S. Parallel zum Pfad P sind in Bewegungsrichtung des Bezugsfahrzeugs RC Fahrzeuge C1 und C2 eingezeichnet. Daran schließt sich ein Fußgängerweg mit Fußgängern F2, F3 an, sowie die Einfahrt mit der Schranke S und anschließend ein weiteres Fahrzeug C3. Zwischen den geparkten Fahrzeugen C1, C2, C3 und dem Bezugsfahrzeug RC befindet sich ein Fußgängerweg, auf dem sich ein Fußgänger F1 nahe dem Fahrzeug C3 befindet, das entlang des Pfades P an entgegengesetzter Seite in der Zeichnung dargestellt ist. Der Bewegungspfad des Fahrzeugs C4, das beabsichtigt, über die Schranke S in das Valet-Parken-System einzufahren, ist durch einen Pfeil vor dem Fahrzeug C4 dargestellt.
Die implementierte Sicherheitsvorgabe bei diesem Valet-Parken-System aus 3 ist in 4 visualisiert. Die Positionen der Fahrzeuge C1 bis C4, des Bezugsfahrzeugs RC mit der Normaltrajektorie NT und der Anhaltestrecke SD sowie die Position der Fußgänger F1, F2 und F3 sind die gleichen wie in 3. Die implementierte Sicherheitsvorgabe extrapoliert die potentiellen Positionen der Objekte C1 bis C4 und der Fußgänger F1, F2, F3 innerhalb der Zeit t, die das Bezugsfahrzeug RC benötigt, um sich entlang der Normaltrajektorie NT bis zum sicheren Anhalten am Ende der Anhaltestrecke SD zu bewegen. Diese potentiellen Objektpositionen sind in 4 für die Fußgänger durch Kreise um diese angezeigt. Für das Fahrzeug C4 wird angenommen, dass sich dieses weiter in das Valet-Parken-System zur Schranke hinein bewegt, sodass sich in Bewegungsrichtung ein trapezförmiger Bereich für potentielle Objektpositionen des Fahrzeugs C4 ergibt. Für die Fahrzeuge C1, C2 und C3 wurden als potentielle Objektpositionen ebenfalls trapezförmige Bereiche eingezeichnet, die das Herausbewegen von den Fahrzeugen C1 bis C3 aus den Parklücken ergeben.
Da sich bei den implementierten Sicherheitsvorgaben, die in 4 visualisiert sind, keine Überschneidungen zwischen Normaltrajektorie oder Anhaltestrecke und den Objekten C1 bis C4 und F1 bis F3 ergeben, wird die in den 3 und 4 eingezeichnete Normaltrajektorie NT mit der Anhaltestrecke SD für den Zeitabschnitt t als sicher eingestuft. In 1 kann in diesem Fall die durch die Trajektorienerzeugungseinrichtung 30 erzeugte Trajektorie durch die Sicherheitsbeobachtungseinrichtung 40 bei der Sperr/Weiterleitungs-Einrichtung 50 weitergeleitet werden und dem Trajektorienpuffer 60 zugeführt werden.
5 gibt eine Situation in dem Valet-Parken-System von 3 bei einer Bewegung entlang einer weiteren Trajektorie entlang des Pfades P wieder, in dem die erzeugte Trajektorie die implementierte Sicherheitsvorgabe verletzt und keine Trajektorienweiterleitung erfolgen soll.
Genauer gesagt hat sich das Bezugsfahrzeug RC weiter auf das Fahrzeug C3 zubewegt und befindet es sich nun zwar neben dem Bezugsfahrzeug C3 jedoch schneiden sich der Bereich von Normaltrajektorie NT mit Anhaltestrecke SD mit dem Bereich der potentiellen Objektposition des Fahrzeugs C3. Das Ergebnis eines solchen Schneidens von potentieller Objektposition und Normaltrajektorie NT bzw. Anhaltestrecke SD hat zur Folge, dass die Sicherheitsbeobachtungseinrichtung 40 in 1 eine derartige durch die Trajektorienerzeugungseinrichtung 30 erzeugte Trajektorie über die Sperr-/Weiterleitungs-Einrichtung 50 nicht zum Trajektorienpuffer 60 weiterleitet. Im Ergebnis durchfährt dann das Bezugsfahrzeug RC die vorherige Trajektorie und bremst innerhalb der Anhaltestrecke SD der vorherigen Trajektorie ab, sodass der potentiellen Objektposition des Fahrzeugs C3 aus 5 Rechnungen getragen ist.
Das erfindungsgemäße Verfahren zur Fahrzeugsteuerung mit vorausschauender Sicherheit aus 2 wird nun anhand von sechs beispielhaften Trajektorien unter Bezugnahme auf ein Balkendiagramm aus 6 und ein Diagramm von zurückgelegter Entfernung über der Zeit in 7 dargestellt.
Zum Zeitpunkt 0 in 6 wird eine erste Trajektorie erzeugt, bei der die Anhaltestrecke SD zwischen 2,5 und 3 Sekunden liegt. Ab ungefähr 3 Sekunden befindet sich in 7 die Trajektorie 1 in einem Zustand, in dem das Fahrzeug sicher angehalten ist. Ungefähr zu einem Zeitpunkt von 2,5 Sekunden wird eine zweite Trajektorie erzeugt, bei der sich die Anhaltestrecke SD zwischen 4 und 5 Sekunden realisieren lässt. Wenn diese zweite Trajektorie als sicher eingeschätzt wird (in 6 mit OK gekennzeichnet) erfolgt ein Einschreiben dieser zweiten Trajektorie in den Trajektorienpuffer 60 und es kommt nicht zum sicheren Anhalten am Ende der ersten Trajektorie. Zu einem Zeitpunkt von ungefähr 4 Sekunden wird eine dritte Trajektorie erzeugt, bei der die Anhaltestrecke SD zwischen 7 und 8 Sekunden liegt. Wenn diese dritte Trajektorie als sicher bewertet wird, erfolgt zu dem Zeitpunkt von 4 Sekunden ein Überschreiben der Im Trajektorienpuffer 60 befindlichen zweiten Trajektorie und das sichere Anhalten am Ende der zweiten Trajektorie wird nicht ausgeführt. Die Anhaltestrecke SD liegt bei der dritten Trajektorie zwischen 7 und 8 Sekunden. Bei der vierten Trajektorie, die bei ungefähr 5,5 Sekunden beginnt, wird durch die Sicherheitsbeobachtungseinrichtung ein Beobachtungsfehler festgestellt, sodass die dritte Trajektorie bis zum Ablauf von 7 Sekunden im Trajektorienpuffer 60 verbleibt. Zum Zeitpunkt von 7 Sekunden wird die fünfte Trajektorie erzeugt, bei der ein sicheres Anhalten des Fahrzeugs zwischen 10 und 11 Sekunden möglich ist. Diese fünfte Trajektorie wird als sicher eingeschätzt und ersetzt die dritte Trajektorie im Trajektorienpuffer, die somit nicht bis zum Stillstand des Fahrzeugs abgefahren wird. Eine anschließende sechste Trajektorie wird zwar erzeugt, jedoch auf Grund eines Systemfehlers verworfen. Daher liegt nach Ablauf der Gesamtzeit von 10 Sekunden keine neue Trajektorie vor, sodass bei ungefähr 10 Sekunden mit dem Abbremsen des Fahrzeugs entsprechend der fünften Trajektorie begonnen wird, und dieses nach dem Gesamtablauf von 11 Sekunden zum Stillstand kommt und ab dort das Fahrzeug stationär ist. Im Ergebnis befindet sich somit das Bezugsfahrzeug RC ab 11 Sekunden im vollständigen Stoppzustand im minimalen Risikozustand.
Vorstehend wurden Ausführungsformen der vorliegenden Erfindung erläutert, bei dem die Sicherheitsbeobachtungseinrichtung 40 aus 1 eine Sicherheitsvorgabe für die Trajektorienerzeugung implementiert.
Die vorliegende Erfindung ist nicht darauf beschränkt und es können in Abwandlung der vorstehenden Ausführungsformen zum Beispiel auch die Umgebungsdatenerzeugungseinrichtung 10 Diagnosedaten zur Sicherheitsbeobachtungseinrichtung 40 liefern und in Abhängigkeit von der Verletzung von implementierten Sicherheitsvorgaben bei der Erzeugung der Umgebungsdaten durch die Sperr/Weiterleitungs-Einrichtung 50 die Weiterleitung der Trajektorie am Ausgang der Trajektorienerzeugungseinrichtung 30 zum Trajektorienpuffer 60 gesperrt werden, obwohl die durch die Trajektorienerzeugungseinrichtung 30 erzeugte Trajektorie den implementierten Sicherheitsvorgaben der Sicherheitsbeobachtungseinrichtung entspricht. Somit kann erhöhten Anforderungen an die Ausfallsicherheit Rechnung getragen werden. In dieser Implementierung ist keine Verfübarkeitsanforderung der Umgebungsdatenerzeugungseinrichtung notwendig. Eine Fehlererkennung ist ausreichend.
Bezugszeichenliste

100: Fahrzeugsteuersystem
10: Umgebungsdatenerzeugungseinrichtung
20: Fernzielplanungseinrichtung (Mission planer)
30: Trajektorienerzeugungseinrichtung
40: Sicherheitsbeobachtungseinrichtung (Safety observer)
50: Sperr/Weiterleitungs-Einrichtung (Disable/Enable)
60: Trajektorienpuffer (Trajectory buffer)
70: Fahrzeugsteuereinrichtung
NT: Normaltrajektorie (normal trajectory)
SD: Anhaltestrecke (stopping distance)
F1-F3: Fußgänger
C1-C4: Fahrzeug
RC: Bezugsfahrzeug (own vehicle)
S: Schranke
P: Pfad

ZITATE ENTHALTEN IN DER BESCHREIBUNG
Diese Liste der vom Anmelder aufgeführten Dokumente wurde automatisiert erzeugt und ist ausschließlich zur besseren Information des Lesers aufgenommen. Die Liste ist nicht Bestandteil der deutschen Patent- bzw. Gebrauchsmusteranmeldung. Das DPMA übernimmt keinerlei Haftung für etwaige Fehler oder Auslassungen.
Zitierte Patentliteratur

US 2015/0081156 A1 [0007]
EP 2338029 B1 [0008]

Claims

Fahrzeugsteuersystem (100) mit vorausschauender Sicherheit mit einer Trajektorienerzeugungseinrichtung (30), mit der auf der Grundlage von Umgebungsdaten eines Fahrzeugs Trajektorien erzeugbar sind, mit denen jeweils ein sicheres Anhalten des Fahrzeugs unter Berücksichtigung dieser Umgebungsdaten des Fahrzeugs möglich ist, wobei einer Fahrzeugsteuereinrichtung (70) die Trajektorien, mit denen jeweils ein sicheres Anhalten des Fahrzeugs unter Berücksichtigung dieser Umgebungsdaten des Fahrzeugs möglich ist, durch einen Trajektorienpuffer (60) zur Verfügung stellbar sind, gekennzeichnet durch eine Sicherheitsbeobachtungseinrichtung (40), durch die vor dem Weiterleiten einer durch die Trajektorienerzeugungseinrichtung (30) erzeugten, neuen Trajektorie zum Trajektorienpuffer (60) beurteilbar ist, ob diese erzeugte, neue Trajektorie entsprechend einer implementierten Sicherheitsvorgabe sicher ist, wobei der Trajektorienpuffer (60) mit der Trajektorienerzeugungseinrichtung (30) und der Sicherheitsbeobachtungseinrichtung (40) in einer solchen Weise verbindbar ist, dass nur diejenige durch die Trajektorienerzeugungseinrichtung (30) erzeugte Trajektorie zum Trajektorienpuffer (60) weiterleitbar ist, durch die die implementierten Sicherheitsvorgabe erfüllt ist.
Fahrzeugsteuersystem (100) nach Anspruch 1, wobei der Trajektorienpuffer (60) mit der Trajektorienerzeugungseinrichtung (30) und der Sicherheitsbeobachtungseinrichtung (40) in einer solchen Weise verbunden ist, dass durch die weitergeleitete Trajektorie der Trajektorienpuffer (60) überschrieben wird.
Fahrzeugsteuersystem (100) nach Anspruch 1 oder 2 mit dem Trajektorienpuffer (60) und der Fahrzeugsteuereinrichtung (70), mit der die Fahrzeugsteuerung auf der Grundlage der im Trajektorienpuffer (60) gespeicherten Trajektorie bis zu einem sicheren Anhalten des Fahrzeugs ausführbar ist.
Fahrzeugsteuersystem (100) nach einem der vorhergehenden Ansprüche mit einer Umgebungsdatenerzeugungseinrichtung (10), durch die die Umgebungsdaten des Fahrzeugs aufnehmbar sind und die mit der Sicherheitsbeobachtungseinrichtung (40) verbunden ist.
Fahrzeugsteuersystem (100) nach einem der vorhergehenden Ansprüche mit einer Fernzielplanungseinrichtung (20), die mit der Umgebungsdatenerzeugungseinrichtung (10) und der Trajektorienerzeugungseinrichtung (30) verbunden ist und durch die ein Pfad des Fahrzeugs bis zu einem Fernziel definierbar ist, der durch die Trajektorien, die durch die Trajektorienerzeugungseinrichtung (30) erzeugt werden, abschnittsweise abfahrbar ist.
Fahrzeugsteuersystem (100) nach einem der vorhergehenden Ansprüche, wobei der Trajektorienpuffer (60), und vorzugsweise die Trajektorienerzeugungseinrichtung (30), im Fahrzeug angeordnet ist/sind.
Fahrzeugsteuersystem (100) nach einem der Ansprüche 1 bis 5, wobei die Trajektorienerzeugungseinrichtung (30), und optional die Sicherheitsbeobachtungseinrichtung (40), die Umgebungsdatenerzeugungseinrichtung (10) und/oder die Fernzielplanungseinrichtung (20), in einem fahrzeugexternen System angeordnet ist/sind und die Weiterleitung der Trajektorien in Bezug auf den Trajektorienpuffer (60) drahtlos erfolgt.
Fahrzeugsteuersystem (100) nach einem der Ansprüche 4 oder 5 bis 7, wenn dieser von Anspruch 4 abhängt, wobei die Umgebungsdatenerzeugungseinrichtung (10) mit der Sicherheitsbeobachtungseinrichtung (40) in einer solchen Weise verbunden ist, dass nur diejenige durch die Trajektorienerzeugungseinrichtung (30) erzeugte Trajektorie zum Trajektorienpuffer (60) weiterleitbar ist, durch die eine implementierte Sicherheitsvorgabe für die Umgebungsdaten erfüllt ist.
Verfahren zur Fahrzeugsteuerung mit vorausschauender Sicherheit mit den Schritten: Erzeugen (S30) von Trajektorien auf der Grundlage von Umgebungsdaten, mit denen jeweils ein sicheres Anhalten des Fahrzeugs unter Berücksichtigung dieser Umgebungsdaten des Fahrzeugs möglich ist, durch eine Trajektorienerzeugungseinrichtung (30), Bereitstellen (S60) von Trajektorien, mit denen jeweils ein sicheres Anhalten des Fahrzeugs unter Berücksichtigung dieser Umgebungsdaten des Fahrzeugs möglich ist, in Bezug auf einen Trajektorienpuffer, gekennzeichnet durch die Schritte Beurteilen (S40) durch eine Sicherheitsbeobachtungseinrichtung (40) vor dem Weiterleiten einer durch die Trajektorienerzeugungseinrichtung (30) erzeugten, neuen Trajektorie zum Trajektorienpuffer (60), ob diese erzeugte, neue Trajektorie entsprechend einer implementierten Sicherheitsvorgabe sicher ist, Weiterleiten (S50) nur von derjenigen durch die Trajektorienerzeugungseinrichtung erzeugte Trajektorie zum Trajektorienpuffer (60), durch die die implementierte Sicherheitsvorgabe erfüllt ist.
Verfahren nach Anspruch 9, wobei nach dem Schritt des Weiterleitens der Trajektorie zum Trajektorienpuffer durch die weitergeleitete Trajektorie der Trajektorienpuffer überschrieben wird (S60).