DE102019213797A1

DE102019213797A1 - Method for evaluating a sequence of representations of at least one scenario

Info

Publication number: DE102019213797A1
Application number: DE102019213797.0A
Authority: DE
Inventors: Alicja Hellermann; Arzu Yener; Patrick Weber
Original assignee: Robert Bosch GmbH
Current assignee: Robert Bosch GmbH
Priority date: 2019-09-11
Filing date: 2019-09-11
Publication date: 2021-03-11

Abstract

Es wird ein Verfahren zur Bewertung einer Sequenz von Repräsentationen zumindest eines Szenarios einer Vielzahl von Szenarien einer zumindest teilautomatisierten mobilen Plattform vorgeschlagen, wobei die Sequenz der Repräsentationen der Vielzahl der Szenarien auf Datensequenzen von zumindest einem Sensor basieren, die der mobilen Plattform bereitgestellt sind, mit den Schritten:Identifizieren eines Sicherheitsziels in dem zumindest einen Szenario;Bestimmen zumindest eines sicherheitsrelevanten Wertes für das Sicherheitsziel;Bilden einer Vielzahl von Validierungspunkten, wobei jeder der Vielzahl von Validierungspunkten mit je einer entsprechenden Instanz einer Vielzahl von Instanzen des Szenarios mit folgenden Schritten gebildet wird:Ermitteln einer Sequenz des mindestens einen sicherheitsrelevanten Wertes mittels dynamischer Extrapolation einer entsprechenden Repräsentations-Sequenz einer Instanz des Szenarios mittels der Datensequenzen, die der mobilen Plattform bereitgestellt sind;Ermitteln einer Sequenz des mindestens einen sicherheitsrelevanten Referenz-Wertes mittels dynamischer Extrapolation einer Referenz-Repräsentations-Sequenz der Instanz des Szenarios;Bestimmen einer akkumulierten Abweichung der Sequenz des sicherheitsrelevanten Referenz-Wertes von der Sequenz des sicherheitsrelevanten Wertes innerhalb eines festgelegten Zeitbereiches für die Instanz des Szenarios;Bilden eines Validierungspunktes durch Zuordnen der akkumulierten Abweichung zu dem zugehörigen mindestens einen sicherheitsrelevanten Referenz-Wertes der Instanz des Szenarios; Analyse von Korrelationen der gebildeten Vielzahl von Validierungspunkten in einem Koordinatenraum der Validierungspunkte, um die Sequenz von Repräsentationen des zumindest einen Szenarios der mobilen Plattform zu bewerten.A method for evaluating a sequence of representations of at least one scenario of a plurality of scenarios of an at least partially automated mobile platform is proposed, the sequence of the representations of the plurality of scenarios being based on data sequences from at least one sensor that are provided to the mobile platform with the Steps: identifying a security goal in the at least one scenario; determining at least one security-relevant value for the security goal; forming a plurality of validation points, each of the plurality of validation points being formed with a corresponding instance of a plurality of instances of the scenario with the following steps: determining a sequence of the at least one security-relevant value by means of dynamic extrapolation of a corresponding representation sequence of an instance of the scenario by means of the data sequences that are provided to the mobile platform; E determining a sequence of the at least one safety-relevant reference value by means of dynamic extrapolation of a reference representation sequence of the instance of the scenario; determining an accumulated deviation of the sequence of the safety-relevant reference value from the sequence of the safety-relevant value within a specified time range for the instance of the scenario Forming a validation point by assigning the accumulated deviation to the associated at least one safety-relevant reference value of the instance of the scenario; Analysis of correlations of the plurality of validation points formed in a coordinate space of the validation points in order to evaluate the sequence of representations of the at least one scenario of the mobile platform.

Description

Die Erfindung betrifft ein Verfahren zur Bewertung einer Sequenz von Repräsentationen zumindest eines Szenarios einer Vielzahl von Szenarien einer zumindest teilautomatisierten mobilen Plattform, wobei die Sequenz von Repräsentationen der Vielzahl der Szenarien auf Datensequenzen von zumindest einem Sensor basieren, die der mobilen Plattform bereitgestellt sind.The invention relates to a method for evaluating a sequence of representations of at least one scenario of a plurality of scenarios of an at least partially automated mobile platform, the sequence of representations of the plurality of scenarios being based on data sequences from at least one sensor provided to the mobile platform.

Stand der TechnikState of the art

Eine hohe Bedeutung für eine Umsetzung eines zumindest teilautomatisierten Fahrens mit einer zumindest teilautomatisierten Plattform, aber auch zunehmend für Fahrassistenzsysteme, hat die Realisierung der Wahrnehmung bzw. Repräsentation der Umgebung (Perception). Dabei wird die Umgebung mittels Sensoren erfasst und, beispielsweise mit Verfahren der Mustererkennung, bestimmt.
Somit werden die Daten der Sensoren in eine symbolische und semantische Beschreibung relevanter Aspekte der Umgebung überführt. Diese symbolische und semantische Beschreibung der Umgebung bildet dann eine Grundlage für die Ausführung von Aktionen in der so beschriebenen Umgebung oder für eine Anwendung bzw. einen Einsatzzweck mit einer beispielsweise zumindest teilautomatisierten mobilen Plattform. Ein typisches Beispiel für eine symbolische Beschreibung der Umgebung ist es, statische und/oder dynamische Objekte mittels Attributen zu beschreiben, die zum Beispiel die Lage, Form, Größe, Geschwindigkeit etc. des jeweiligen Objekts charakterisieren und diesen Objekten beispielsweise eine ethische, juristische o.ä. Bedeutung zuzuweisen. Bei den Objekten kann es sich beispielsweise um Hindernisse handeln, mit denen eine Kollision vermieden werden muss.The realization of the perception or representation of the environment is of great importance for the implementation of at least partially automated driving with an at least partially automated platform, but also increasingly for driver assistance systems. The surroundings are recorded by means of sensors and determined, for example using a pattern recognition method.
In this way, the data from the sensors are converted into a symbolic and semantic description of relevant aspects of the environment. This symbolic and semantic description of the environment then forms a basis for executing actions in the environment described in this way or for an application or a purpose with, for example, an at least partially automated mobile platform. A typical example of a symbolic description of the environment is to describe static and / or dynamic objects using attributes that characterize, for example, the location, shape, size, speed, etc. of the respective object and give these objects, for example, an ethical, legal, etc. Ä. Assign meaning. The objects can, for example, be obstacles with which a collision must be avoided.

Hochautomatisiertes Fahren zu validieren, das insbesondere auf einer solchen Repräsentation der Umgebung basiert, ist mit einem großen Aufwand verbunden. Ab einem Automatisierungslevel 3 wird der Aufwand an Ressourcen zum Validieren von Systemen für ein hochautomatisiertes Fahren mit 80% für die Validierung abgeschätzt, wobei der Aufwand für die Entwicklung mit 20% geschätzt wird. Dieses ist vor allen auf eine Absicherung des hochkomplexen Systems zurückzuführen, dass eine Validierung auch in Bezug auf vornherein unbekannte und nicht spezifizierte Gefahren-Situationen hin überprüft werden muss. Zu diesem Zweck werden hoch entwickelte offline Tools und Simulationen, insbesondere zur Validierung der Repräsentation der Umgebung einer solchen zumindest teilautomatisierten Plattform, sowie eine Funktionsentwicklung angewendet.Validating highly automated driving, which is based in particular on such a representation of the environment, is associated with a great deal of effort. From automation level 3 onwards, the expenditure on resources for validating systems for highly automated driving is estimated at 80% for validation, with the expenditure for development being estimated at 20%. This is primarily due to the safeguarding of the highly complex system, so that a validation must also be checked with regard to previously unknown and unspecified hazardous situations. For this purpose, highly developed offline tools and simulations, in particular to validate the representation of the environment of such an at least partially automated platform, as well as function development are used.

Offenbarung der ErfindungDisclosure of the invention

Metriken, die für eine solche Validierung ermöglichen, eine Gefahrensituation in einer simulierten oder gemessenen Szenarien quantitativ zu beschreiben, stellen eine Grundlage für eine solche Validierung dar. Auf einer solchen Grundlage können statistische Auswertungen für eine quantitative Validierung angefertigt werden. Dabei ist es insbesondere wichtig multiple Gefahrenquellen zu berücksichtigen und möglichst alle Sicherheitsziele abzubilden.Metrics that enable such a validation to quantitatively describe a hazardous situation in a simulated or measured scenario represent a basis for such a validation. Statistical evaluations for a quantitative validation can be made on such a basis. It is particularly important to consider multiple sources of danger and to map all safety goals as far as possible.

Die vorliegende Erfindung offenbart ein Verfahren zur Bewertung einer Sequenz von Repräsentationen zumindest eines Szenarios, eine Vorrichtung, ein Computerprogramm und ein maschinenlesbares Speichermedium, gemäß den Merkmalen der unabhängigen Ansprüche. Vorteilhafte Ausgestaltungen sind Gegenstand der abhängigen Ansprüche sowie der nachfolgenden Beschreibung.The present invention discloses a method for evaluating a sequence of representations of at least one scenario, an apparatus, a computer program and a machine-readable storage medium, according to the features of the independent claims. Advantageous configurations are the subject matter of the dependent claims and the following description.

Die Erfindung beruht auf der Erkenntnis, dass ein Unterschied sicherheitsrelevanter Werte, die sowohl von einer zumindest teilautomatisierten mobilen Plattform als auch durch ein Referenzsystem bestimmt werden, und dem entsprechenden sicherheitsrelevanten Wert des Referenzsystems zugeordnet werden, eine Grundlage für eine quantitative Bewertung von Sequenzen von Repräsentation ermöglichen können.The invention is based on the knowledge that a difference between security-relevant values, which are determined both by an at least partially automated mobile platform and by a reference system, and the corresponding security-relevant value of the reference system, enables a basis for a quantitative evaluation of sequences of representation can.

Gemäß einem Aspekt wird ein Verfahren zur Bewertung einer Sequenz von Repräsentationen zumindest eines Szenarios einer Vielzahl von Szenarien einer zumindest teilautomatisierten mobilen Plattform vorgeschlagen, wobei die Sequenz von Repräsentationen der Vielzahl der Szenarien auf Datensequenzen von zumindest einem Sensor basieren, die der mobilen Plattform bereitgestellt sind.According to one aspect, a method for evaluating a sequence of representations of at least one scenario of a plurality of scenarios of an at least partially automated mobile platform is proposed, the sequence of representations of the plurality of scenarios being based on data sequences from at least one sensor provided to the mobile platform.

Dabei wird in einem Schritt ein Sicherheitsziel in dem zumindest einen Szenario identifiziert. In einem weiteren Schritt wird zumindest ein sicherheitsrelevanter Wert für das Sicherheitsziel bestimmt. In einem weiteren Schritt wird eine Vielzahl von Validierungspunkten gebildet, wobei jeder der Vielzahl von Validierungspunkten mit je einer entsprechenden Instanz einer Vielzahl von Instanzen des Szenarios mit folgenden Schritten gebildet wird:

In einem Schritt zum Bilden eines Validierungspunktes wird eine Sequenz des mindestens einen sicherheitsrelevanten Wertes mittels dynamischer Extrapolation einer entsprechenden Repräsentations-Sequenz einer Instanz des Szenarios mittels der Datensequenzen, die der mobilen Plattform bereitgestellt sind, ermittelt.

In one step, a security goal is identified in the at least one scenario. In a further step, at least one security-relevant value is determined for the security goal. In a further step, a large number of validation points are formed, each of the large number of validation points being formed with a corresponding instance of a large number of instances of the scenario using the following steps:

In a step for forming a validation point, a sequence of the at least one security-relevant value is determined by means of dynamic extrapolation of a corresponding representation sequence of an instance of the scenario using the data sequences provided to the mobile platform.

In einem weiteren Schritt wird eine Sequenz des mindestens einen sicherheitsrelevanten Referenz-Wertes mittels dynamischer Extrapolation einer Referenz-Repräsentations-Sequenz der Instanz des Szenarios ermittelt. In einem weiteren Schritt wird eine akkumulierte Abweichung der Sequenz des sicherheitsrelevanten Referenz-Wertes von der Sequenz des sicherheitsrelevanten Wertes innerhalb eines festgelegten Zeitbereiches für die Instanz des Szenarios bestimmt. In einem weiteren Schritt wird ein Validierungspunkt durch Zuordnen der akkumulierten Abweichung zu dem zugehörigen mindestens einen sicherheitsrelevanten Referenz-Wert der Instanz des Szenarios gebildet.In a further step, a sequence of the at least one safety-relevant reference value is determined by means of dynamic extrapolation a reference representation sequence of the instance of the scenario is determined. In a further step, an accumulated deviation of the sequence of the security-relevant reference value from the sequence of the security-relevant value is determined within a specified time range for the instance of the scenario. In a further step, a validation point is formed by assigning the accumulated deviation to the associated at least one safety-relevant reference value of the instance of the scenario.

Mit einer so gebildeten Vielzahl von Validierungspunkten wird in einem weiteren Schritt zur Bewertung der Sequenz von Repräsentationen zumindest ein Szenario der mobilen Plattform Korrelationen der gebildeten Vielzahl von Validierungspunkten in einem Koordinatenraum der Validierungspunkte analysiert.With a multiplicity of validation points formed in this way, in a further step for evaluating the sequence of representations, at least one scenario of the mobile platform correlations of the multiplicity of validation points formed is analyzed in a coordinate space of the validation points.

In dieser gesamten Beschreibung der Erfindung ist die Abfolge von Verfahrensschritten so dargestellt, dass das Verfahren leicht nachvollziehbar ist. Der Fachmann wird aber erkennen, dass viele der Verfahrensschritte auch in einer anderen Reihenfolge durchlaufen werden können und zu dem gleichen Ergebnis führen. In diesem Sinne kann die Reihenfolge der Verfahrensschritte entsprechend geändert werden und ist somit auch offenbart.In this entire description of the invention, the sequence of method steps is shown in such a way that the method is easy to understand. However, the person skilled in the art will recognize that many of the method steps can also be carried out in a different order and lead to the same result. In this sense, the sequence of the method steps can be changed accordingly and is thus also disclosed.

Mit diesem Verfahren ist es möglich wichtige Schritte eines hochautomatisierten Fahrens (HAD) mit einem Verfahren zu validieren. Für die Bestimmung des sicherheitsrelevanten Wertes kann eine minimale Anzahl an sicherheitsrelevanten Objekten für die unterschiedlichen Szenarien bestimmt werden. Wobei sowohl geometrische als auch dynamische Beschreibungen des Verhaltens der sicherheitsrelevanten Objekte bei der dynamischen Extrapolation berücksichtigt werden. Beispiele für solche Szenarien sind mögliches knappes Vorbeifahren, mögliches knappes Einscheren, oder sicheres Spurhalten.With this procedure it is possible to validate important steps of a highly automated driving (HAD) with one procedure. To determine the security-relevant value, a minimum number of security-relevant objects can be determined for the different scenarios. Both geometric and dynamic descriptions of the behavior of the safety-relevant objects are taken into account in the dynamic extrapolation. Examples of such scenarios are possible narrow driving past, possible narrow cutting in, or safe lane keeping.

Wie weiter unten noch beschrieben wird, kann bei diesem Verfahren, bei der dynamischen Extrapolation einer Bewegungsvorhersage, die über eine Sequenz von Referenz-Repräsentationen abgebildet wird, sowohl eine Mitigationsmöglichkeit des Egofahrzeuges als auch ein „worst-case“ -Verhalten zumindest eines beteiligten Objektes berücksichtigt werden, um einen sicherheitsrelevanten Wert bzw. einen sicherheitsrelevanten Referenz-Wert zu ermitteln. Bei dem Verfahren wird ein Abstand bis zur Verletzung des Sicherheitsziels mittels einer Metrik, mit der der sicherheitsrelevante Wert bestimmt wird, bewertet.As will be described further below, with this method, with the dynamic extrapolation of a movement prediction, which is mapped via a sequence of reference representations, both a mitigation possibility of the host vehicle and a “worst-case” behavior of at least one object involved can be taken into account in order to determine a safety-relevant value or a safety-relevant reference value. In the method, a distance until the security goal is violated is evaluated by means of a metric with which the security-relevant value is determined.

Und der, von dem Ego-Fahrzeug bzw. der zumindest teilautomatisierten mobilen Plattform bestimmte Gefahren-Level, der mit dem sicherheitsrelevanten Wert quantifiziert wird, kann mit einem Referenz-Gefahren-Level, der mit dem sicherheitsrelevanten Referenz-Wert quantifiziert wird, verglichen werden. Dieses Verfahren kann auf eine Vielzahl von relevanter Sicherheitsziele eines Szenarios bzw. auf eine Vielzahl von Szenarien angewendet werden.And the risk level determined by the ego vehicle or the at least partially automated mobile platform, which is quantified with the safety-relevant value, can be compared with a reference risk level, which is quantified with the safety-relevant reference value. This method can be applied to a large number of relevant security objectives of a scenario or to a large number of scenarios.

Der Vorteil dieses Verfahren kommt insbesondere bei der „open world“-Problematik oder „open Kontext“ Interaktion von HAF-Systemen oder Service Robotik und der damit verbundenen Komplexität zum Tragen, da eine Validierung eines solchen HAF-Systems extrem aufwendig und somit kostenintensiv ist. Mit diesem Verfahren können Sequenzen von Repräsentation in unterschiedlichen Szenarien und mit unterschiedlichen Sicherheitszielen bewertet werden. Somit kann mit diesem Verfahren, angefangen mit einer abstrakten Problembeschreibung des HAF-Systems, eine Analyse eines Szenarios, mittels der Korrelationen der Vielzahl von Validierungspunkten in einem Validierungsplot, in Bezug auf ein Sicherheitsziel vorgenommen werden. Dabei kann eine Unzulänglichkeit im System (nach SOTIF ISO 21448) sowie Hardware- bzw. Software-Fehler (nach ISO 26262), die mit einer akkumulierten Abweichung der Sequenz des sicherheitsrelevanten Referenz-Wertes von der Sequenz des sicherheitsrelevanten Wertes beschrieben wird, mittels der Analyse von Korrelationen der gebildeten Vielzahl von Validierungspunkten identifiziert und behoben werden.The advantage of this method comes into play in particular with the "open world" problem or "open context" interaction of HAF systems or service robotics and the associated complexity, since a validation of such an HAF system is extremely time-consuming and therefore cost-intensive. With this method, sequences of representations can be assessed in different scenarios and with different security goals. With this method, starting with an abstract problem description of the HAF system, an analysis of a scenario can be carried out by means of the correlations of the large number of validation points in a validation plot in relation to a safety goal. An inadequacy in the system (according to SOTIF ISO 21448) as well as hardware or software errors (according to ISO 26262), which is described with an accumulated deviation of the sequence of the safety-relevant reference value from the sequence of the safety-relevant value, can be detected by means of the analysis Correlations of the number of validation points formed are identified and corrected.

Das Verfahren erlaubt eine quantitative Validierung der Sicherheitsziele einer HAD- Funktion auf Basis unterschiedlich generierter Daten aus Simulationen, Testfahrten auf Teststrecken oder einem Dauerlauf des untersuchten Systems, durch eine dynamische Extrapolation von sicherheitsrelevanten Werten. Da die sicherheitsrelevanten Werte für die dynamische Extrapolation auf den Sicherheitszielen basieren und somit Einzelanalysen kombinieren, verringert sich der Aufwand für nachgelagerte Analysen. Somit unterstützt dieses Verfahren eine Validierung für eine Freigabe einer HAD-Funktion. Durch wiederholtes Anwenden dieses Verfahrens kann eine Vielzahl von unterschiedlichen Sicherheitsziele abgebildet und bewertet werden.The method allows a quantitative validation of the safety goals of a HAD function on the basis of differently generated data from simulations, test drives on test tracks or an endurance run of the system under investigation, through dynamic extrapolation of safety-relevant values. Since the safety-relevant values for the dynamic extrapolation are based on the safety goals and thus combine individual analyzes, the effort for subsequent analyzes is reduced. This method thus supports a validation for a release of a HAD function. By repeatedly applying this procedure, a large number of different security goals can be mapped and assessed.

Diese kontinuierliche, doppelte Bewertung der aktuellen Lage in den Instanzen der Szenarien bezüglich der Sicherheitsziele erlaubt es, ohne intensive nachgelagerte Analysen zu erfassen in welchem Maß Versäumnisse, also akkumulierte Abweichungen des VuT, zu echten sub-kritischen Events oder gar Unfällen führen.This continuous, double evaluation of the current situation in the instances of the scenarios with regard to the safety goals makes it possible to record the extent to which neglects, i.e. accumulated deviations of the VuT, lead to real sub-critical events or even accidents without intensive subsequent analyzes.

Insbesondere kann die Sequenz von Repräsentationen der Vielzahl der Szenarien auf Datensequenzen von zumindest einem Sensor sowie zumindest einem Interpretationsalgorithmus zur Bedeutungserfassung basieren, die der mobilen Plattform bereitgestellt werden.In particular, the sequence of representations of the plurality of scenarios can be based on data sequences from at least one sensor and at least one interpretation algorithm Based on meaning capture, which are provided to the mobile platform.

Gemäß einem weiteren Aspekt wird vorgeschlagen, dass für die Analyse von Korrelationen Validierungspunkte aus der Vielzahl von Validierungspunkten gefiltert werden, deren kumulierte Abweichung kleiner als ein erster Abweichungs-Grenzwert ist und deren sicherheitsrelevanter Referenz-Wert weniger kritisch als ein Referenz-Grenzwert ist.According to a further aspect, it is proposed that, for the analysis of correlations, validation points are filtered from the plurality of validation points whose cumulative deviation is smaller than a first deviation limit value and whose safety-relevant reference value is less critical than a reference limit value.

Dadurch können aus den Validierungspunkten die Validierungspunkte herausgefiltert werden, die richtig eingeschätzt wurden, aber mit keiner Gefahr bezüglich eines Sicherheitsziels verbunden sind. Dies verbessert die Analyse der Korrelation der gebildeten Vielzahl von Validierungspunkten, da diese Punkte für eine relevante Korrelationsanalyse keine Bedeutung haben.This allows the validation points to be filtered out of the validation points that have been correctly assessed but are not associated with any danger with regard to a safety goal. This improves the analysis of the correlation of the large number of validation points formed, since these points are of no importance for a relevant correlation analysis.

Gemäß einem weiteren Aspekt wird vorgeschlagen, dass für die Analyse von Korrelationen Validierungspunkte aus der Vielzahl von Validierungspunkten gefiltert werden, deren kumulierte Abweichung größer als der erste Abweichungs-Grenzwert ist und deren sicherheitsrelevanter Referenzwert weniger kritisch als der Referenz-Grenzwert ist.According to a further aspect, it is proposed that, for the analysis of correlations, validation points are filtered from the plurality of validation points whose cumulative deviation is greater than the first deviation limit value and whose safety-relevant reference value is less critical than the reference limit value.

Dadurch können aus den Validierungspunkten die Validierungspunkte herausgefiltert werden, die zwar falsch eingeschätzt wurden, aber mit keiner Gefahr bezüglich eines Sicherheitsziels verbunden sind. Dies verbessert die Analyse der Korrelation der gebildeten Vielzahl von Validierungspunkten weiter, da auch diese Punkte für eine relevante Korrelationsanalyse keine Bedeutung haben. Für eine Validierung eines Systems kann das Zustandekommen dieser Validierungspunkte genau untersucht und behoben werden, da aufgrund dieser falsch eingeschätzten sicherheitsrelevanten Werte eine Repräsentation einer Umgebung und/ oder deren Interpretation und/oder eine darauf basierende Verhaltensausführung der mobilen Plattform fehlerbehaftet sein kann.As a result, the validation points can be filtered out of the validation points, which, although incorrectly assessed, are not associated with any danger with regard to a safety goal. This further improves the analysis of the correlation of the large number of validation points formed, since these points are also of no significance for a relevant correlation analysis. For a validation of a system, the occurrence of these validation points can be precisely examined and remedied, since, due to these incorrectly assessed security-relevant values, a representation of an environment and / or its interpretation and / or a behavioral implementation of the mobile platform based on it can be faulty.

Gemäß einem weiteren Aspekt wird vorgeschlagen, dass für die Analyse von Korrelationen Validierungspunkte aus der Vielzahl von Validierungspunkten gefiltert werden, deren kumulierte Abweichung kleiner als ein zweiter Abweichung-Grenzwert ist und deren sicherheitsrelevanter Referenzwert besonders kritisch ist.According to a further aspect, it is proposed that, for the analysis of correlations, validation points are filtered from the plurality of validation points whose cumulative deviation is smaller than a second deviation limit value and whose safety-relevant reference value is particularly critical.

Für eine verbesserte Korrelationsanalyse werden mit diesem Aspekt des Verfahrens Validierungspunkte beispielsweise eines einzelnen Ereignisses herausgefiltert, bei dem der sicherheitsrelevante Wert korrekt eingeschätzt wurde, aber in Bezug auf ein Sicherheitsziel eine große Gefahr darstellen bzw. dargestellt haben. Das Auftreten dieser Gefahr bzw. des Ereignisses kann in keinen Zusammenhang mit einer Sequenz von Repräsentation gebracht werden, da der entsprechende sicherheitsrelevante Wert korrekt eingeschätzt wurde.For an improved correlation analysis, this aspect of the method is used to filter out validation points of a single event, for example, in which the safety-relevant value was correctly assessed, but represents or has represented a great danger in relation to a safety goal. The occurrence of this danger or the event cannot be related to a sequence of representation, since the corresponding safety-relevant value was correctly assessed.

Gemäß einem weiteren Aspekt wird vorgeschlagen, dass eine Korrelationsanalyse mit einer Vielzahl von gefilterten und/oder einer Vielzahl von ungefilterten Validierungspunkten durchgeführt wird, um einen Trend der Validierungspunkte, zur Bewertung der Sequenz von Repräsentationen, zu bestimmen.According to a further aspect, it is proposed that a correlation analysis be carried out with a large number of filtered and / or a large number of unfiltered validation points in order to determine a trend of the validation points for evaluating the sequence of representations.

Wie schon oben erläutert wurde, verbessert ein Herausfiltern von Validierungspunkten, die ursächlich auf andere Zusammenhänge zurückgeführt werden können, die Korrelationsanalyse, da mit den verbleibenden Validierungspunkten schwache Korrelationen, die erst mit einer Vielzahl von relevanten Validierungspunkten identifizierbar sind, nachgewiesen werden können.As already explained above, filtering out validation points that can be causally traced back to other relationships improves the correlation analysis, since weak correlations, which can only be identified with a large number of relevant validation points, can be detected with the remaining validation points.

Gemäß einem weiteren Aspekt wird vorgeschlagen, dass zur Bewertung der Sequenz von Repräsentationen, mit dem bestimmten Trend der Korrelationsanalyse eine Extrapolation der Validierungspunkte bis zu einem kritischen sicherheitsrelevanten Referenz-Wert bestimmt wird.According to a further aspect, it is proposed that, in order to evaluate the sequence of representations, an extrapolation of the validation points up to a critical safety-relevant reference value is determined with the specific trend of the correlation analysis.

Mit einem solchen Trend aus der Korrelationsanalyse kann quantitativ geschätzt werden, nach welcher Anzahl von aufgenommenen Instanzen eines Szenarios ein betrachtetes Sicherheitsziel voraussichtlich verletzt wird. Mit einer solchen Trendkurve kann also ein Durchbruchpunkt in Bezug auf das Sicherheitsziel bestimmt werden.With such a trend from the correlation analysis, it is possible to quantitatively estimate the number of recorded instances of a scenario after which a security goal is likely to be violated. With such a trend curve, a break-through point with regard to the safety goal can be determined.

Gemäß einem weiteren Aspekt wird vorgeschlagen, dass zur Bewertung der Sequenz von Repräsentationen, mittels der Validierungspunkte eine Extremwertanalyse durchgeführt wird, um die Sequenz von Repräsentationen des zumindest eines Szenarios quantitativ zu bewerten.According to a further aspect, it is proposed that, in order to evaluate the sequence of representations, an extreme value analysis is carried out by means of the validation points in order to quantitatively evaluate the sequence of representations of the at least one scenario.

Eine Extremwertanalyse wird durch dieses Verfahren verbessert, da zum einen nicht relevante Validierungspunkte herausgefiltert werden können und zum anderen mit dem bestimmten Trend aus der Korrelationsanalyse ein Konferenzintervall definiert werden kann, mit die relevanten Validierungspunkte identifiziert werden können.An extreme value analysis is improved by this method, since on the one hand irrelevant validation points can be filtered out and on the other hand a conference interval can be defined with the specific trend from the correlation analysis, with which the relevant validation points can be identified.

Gemäß einem weiteren Aspekt wird vorgeschlagen, dass der zumindest eine sicherheitsrelevante Wert eine räumliche und/oder zeitliche Relation zweier Objekte des Szenarios charakterisiert.According to a further aspect, it is proposed that the at least one security-relevant value characterize a spatial and / or temporal relation of two objects in the scenario.

Damit kann der sicherheitsrelevante Wert in die reale Welt übertragen werden und es können geometrische Faktoren wie Fahrzeugabmessungen berücksichtigt werden.This means that the safety-relevant value can be transferred to the real world and geometric factors such as vehicle dimensions can be taken into account.

Gemäß einem weiteren Aspekt wird vorgeschlagen, dass die zwei Objekte jeweils dynamischer Objekte sind oder eines der zwei Objekte ein statisches Objekt ist.According to a further aspect, it is proposed that the two objects are each dynamic objects or that one of the two objects is a static object.

Gemäß einem weiteren Aspekt wird vorgeschlagen, dass die akkumulierte Abweichung der Sequenz des sicherheitsrelevanten Referenz-Wertes von der Sequenz des sicherheitsrelevanten Wertes durch eine Summe von Einzelabweichungen der korrespondierenden Werte bestimmt wird.According to a further aspect, it is proposed that the accumulated deviation of the sequence of the safety-relevant reference value from the sequence of the safety-relevant value is determined by a sum of individual deviations of the corresponding values.

Dabei korrespondieren die Werte, die für einen entsprechend gleichen Zeitpunkt bestimmt wurden. Alternativ kann dazu auch das Integral über die Einzelabweichungen bestimmt werden: $Δ T T C E_{a c c u m} = \int_{t_{v a l}}^{0} (T T C E_{r e f} - T T C E_{V u T}) d t$

The values that were determined for the same point in time correspond. Alternatively, the integral can also be determined using the individual deviations:

Δ T T C. {E.}_{a c c u m} = \int_{t_{v a l}}^{0} (T T C. {E.}_{r e f} - T T C. {E.}_{V u T}) d t

Gemäß einem weiteren Aspekt wird vorgeschlagen, dass beim Ermitteln der Sequenz des mindestens einen sicherheitsrelevanten Wertes mittels dynamischer Extrapolation einer entsprechenden Repräsentations-Sequenz eine Mitigationsmöglichkeit der zumindest teilautomatisierten Plattform bei der dynamischen Extrapolation berücksichtigt wird.According to a further aspect, it is proposed that when determining the sequence of the at least one security-relevant value by means of dynamic extrapolation of a corresponding representation sequence, a mitigation option of the at least partially automated platform is taken into account in the dynamic extrapolation.

In dieser Beschreibung entspricht das Egofahrzeug der zumindest teilautomatisierten mobilen Plattform.In this description, the host vehicle corresponds to the at least partially automated mobile platform.

Bei der Berücksichtigung der Mitigation für die dynamische Extrapolation einer Repräsentation-Sequenz wird in die dynamische Extrapolation ein mögliches, insbesondere zumutbares, Ausweichverhalten eines beteiligten Egofahrzeugs bzw. einer beteiligten mobilen Plattform mitberücksichtigt, um eine Validierung mit diesem Verfahren zu verbessern, das der Realität näher kommt. Das bedeutet beispielsweise, dass ein Egofahrzeug einem Unfall mit einem vorausfahrenden Fahrzeug, das beispielsweise stark bremst, auszuweichen versucht, indem es selbst ein Bremsmanöver einleitet. Bei einem solchen zumutbaren Ausweichverhalten wird berücksichtigt, dass damit kein selbstgefährdendes Manöver durchgeführt wird oder eine Gefährdung Dritter provoziert wird.When taking into account the mitigation for the dynamic extrapolation of a representation sequence, a possible, in particular reasonable, evasive behavior of a participating host vehicle or a participating mobile platform is taken into account in the dynamic extrapolation in order to improve a validation with this method that comes closer to reality . This means, for example, that a host vehicle tries to avoid an accident with a vehicle in front that is braking hard, for example, by initiating a braking maneuver itself. In the case of such reasonable evasive behavior, it is taken into account that no self-endangering maneuver is carried out with it or that a danger to third parties is provoked.

Gemäß einem weiteren Aspekt wird vorgeschlagen, dass beim Ermitteln der Sequenz des mindestens einen sicherheitsrelevanten Wertes mittels dynamischer Extrapolation einer entsprechenden Repräsentations-Sequenz ein worst-case-Verhalten eines Szenario-Objektes bei der dynamischen Extrapolation berücksichtigt wird.According to a further aspect, it is proposed that when determining the sequence of the at least one safety-relevant value by means of dynamic extrapolation of a corresponding representation sequence, a worst-case behavior of a scenario object is taken into account in the dynamic extrapolation.

Dabei wird bei dem worst-case-Verhalten berücksichtigt, dass für das Verhalten des Objektes in einem Szenario auch Aktionen berücksichtigt werden, die von der Fahrdynamik des Objektes her gesehen möglich sind und ein Einhalten des Sicherheitsziels gefährden.In the worst-case behavior, it is taken into account that actions are also taken into account for the behavior of the object in a scenario that are possible from the point of view of the driving dynamics of the object and which endanger compliance with the safety goal.

Es wird ein Verfahren vorgeschlagen, bei dem, basierend auf der Bewertung der Sequenz von Repräsentationen zumindest eines Szenarios der Vielzahl von Szenarien der zumindest teilautomatisierten mobilen Plattform, eine Konfiguration der zumindest teilautomatisierten mobilen Plattform angepasst wird.A method is proposed in which, based on the evaluation of the sequence of representations of at least one scenario of the plurality of scenarios of the at least partially automated mobile platform, a configuration of the at least partially automated mobile platform is adapted.

Der Begriff „basierend auf“ ist in Bezug auf das Merkmal, dass eine Konfiguration der zumindest teilautomatisierten mobilen Plattform basierend auf der Bewertung der Sequenz von Repräsentationen zumindest eines Szenarios der Vielzahl von Szenarien der zumindest teilautomatisierten mobilen Plattform angepasst wird, breit zu verstehen. Es ist so zu verstehen, dass die Bewertung der Sequenz von Repräsentationen für jedwede Bestimmung oder Berechnung einer Anpassung einer Konfiguration der mobilen Plattform herangezogen wird, wobei das nicht ausschließt, dass auch noch andere Größen und/oder Berechnungen für die Anpassung der Konfiguration der mobilen Plattform herangezogen werden.The term “based on” is to be understood broadly in relation to the feature that a configuration of the at least partially automated mobile platform is adapted based on the evaluation of the sequence of representations of at least one scenario of the plurality of scenarios of the at least partially automated mobile platform. It is to be understood that the evaluation of the sequence of representations is used for any determination or calculation of an adaptation of a configuration of the mobile platform, whereby this does not exclude that other quantities and / or calculations are also used for the adaptation of the configuration of the mobile platform can be used.

Dabei kann die Konfiguration der zumindest teilautomatisierten mobilen Plattform beispielsweise eine Konfiguration von Sensoren, Steuergeräten, Übertragungskanälen und/oder Programmen zur Ansteuerung der mobilen Plattform betreffen.The configuration of the at least partially automated mobile platform can for example relate to a configuration of sensors, control devices, transmission channels and / or programs for controlling the mobile platform.

Insbesondere kann aufgrund der Bewertung zumindest einer Sequenz von Repräsentation zumindest eines Szenarios eine Anpassung der Sensorkonfiguration vorgenommen werden, wenn beispielsweise eine modifizierte Sensorkonfiguration zu einer besseren Bewertung der Sequenz von Repräsentationen zumindest eines Szenarios führt.In particular, based on the evaluation of at least one sequence of representations of at least one scenario, the sensor configuration can be adapted if, for example, a modified sensor configuration leads to a better evaluation of the sequence of representations of at least one scenario.

Ein weiteres Beispiel wäre eine Modifikation einer Einrichtung von zumindest einem Steuergerät abhängig von einer Bewertung zumindest einer Sequenz von Repräsentationen zumindest eines Szenarios. Ein solches Steuergerät kann dabei eingerichtet werden, abhängig von identifizierten Szenarien, eine unterschiedliche Fusion von Sensordaten durchzuführen, sodass in dem jeweiligen Szenario eine verbesserte Bewertung einer Sequenz von Repräsentationen erreicht wird.Another example would be a modification of a device of at least one control device as a function of an evaluation of at least one sequence of representations of at least one scenario. Such a control device can be set up, depending on identified scenarios, to carry out a different fusion of sensor data, so that an improved evaluation of a sequence of representations is achieved in the respective scenario.

Entsprechend kann eine Konfiguration der mobilen Plattform durch eine Anpassung von Übertragungskanälen und/oder durch eine Modifikation von Steuerungs- und/oder Regelungs-Programmen zur Ansteuerung der mobilen Plattform, abhängig von der Bewertung zumindest einer Sequenz von Repräsentationen, erfolgen.Correspondingly, a configuration of the mobile platform can be made by adapting transmission channels and / or by modifying control and / or regulation programs for controlling the mobile platform, depending on the evaluation of at least one sequence of representations.

Es wird eine Vorrichtung angegeben, die eingerichtet ist, eines der Verfahren wie es oben beschrieben ist, durchzuführen. Mit einer solchen Vorrichtung kann das Verfahren leicht in unterschiedliche Systeme integriert werden.A device is specified which is set up to carry out one of the methods as described above. With such a device, the method can easily be integrated into different systems.

Es wird ein Computerprogramm angegeben, das Befehle umfasst, die bei der Ausführung des Computerprogramms durch einen Computer diesen veranlassen, eines der oben beschriebenen Verfahren auszuführen. Ein solches Computerprogramm ermöglicht den Einsatz des beschriebenen Verfahrens in unterschiedlichen Systemen.A computer program is specified which comprises instructions which, when the computer program is executed by a computer, cause the computer to carry out one of the methods described above. Such a computer program enables the described method to be used in different systems.

Es wird ein maschinenlesbares Speichermedium angegeben, auf dem das oben beschriebene Computerprogramm gespeichert ist.A machine-readable storage medium is specified on which the computer program described above is stored.

Unter einer mobilen Plattform kann ein zumindest teilweise automatisiertes System verstanden werden, welches mobil ist, und/oder ein Fahrerassistenzsystem eines Fahrzeugs. Ein Beispiel kann ein zumindest teilweise automatisiertes Fahrzeug bzw. ein Fahrzeug mit einem Fahrerassistenzsystem sein. Das heißt, in diesem Zusammenhang beinhaltet ein zumindest teilweise automatisiertes System eine mobile Plattform in Bezug auf eine zumindest teilweise automatisierte Funktionalität, aber eine mobile Plattform beinhaltet auch Fahrzeuge und andere mobile Maschinen einschließlich Fahrerassistenzsysteme. Weitere Beispiele für mobile Plattformen können Fahrerassistenzsysteme mit mehreren Sensoren, mobile Multisensor-Roboter wie z.B. Roboterstaubsauger oder Rasenmäher, ein Multisensor-Überwachungssystem, ein Flugzeug, ein Schiff, eine Fertigungsmaschine, ein persönlicher Assistent oder ein Zugangskontrollsystem sein. Jedes dieser Systeme kann ein vollständig oder teilweise automatisiertes System sein.A mobile platform can be understood to mean an at least partially automated system which is mobile and / or a driver assistance system of a vehicle. An example can be an at least partially automated vehicle or a vehicle with a driver assistance system. That is, in this context, an at least partially automated system includes a mobile platform with regard to an at least partially automated functionality, but a mobile platform also includes vehicles and other mobile machines including driver assistance systems. Further examples of mobile platforms can be driver assistance systems with several sensors, mobile multi-sensor robots such as robotic vacuum cleaners or lawn mowers, a multi-sensor monitoring system, an aircraft, a ship, a production machine, a personal assistant or an access control system. Each of these systems can be a fully or partially automated system.

FigurenlisteFigure list

Ausführungsbeispiele der Erfindung werden mit Bezug auf die 1 bis 4 dargestellt und im Folgenden näher erläutert. Es zeigen:

1 ein Ablaufdiagramm der Bewertung einer Sequenz von Repräsentationen;
2a ein Beispiel einer Sequenz eines sicherheitsrelevanten Referenz-Wertes;
2b ein Beispiel einer Sequenz eines sicherheitsrelevanten Wertes;
3 ein Beispiel zur Bestimmung eines sicherheitsrelevanten Wertes;
4 ein Validierungsplot bei dem sicherheitsrelevante Referenz-Werte über akkumulierten Abweichungen als Validierungswerte aufgetragen sind.

Embodiments of the invention will be described with reference to 1 to 4th and explained in more detail below. Show it:

1 a flow diagram of the evaluation of a sequence of representations;
2a an example of a sequence of a safety-relevant reference value;
2 B an example of a sequence of a security-relevant value;
3 an example for determining a safety-relevant value;
4th a validation plot in which safety-relevant reference values are plotted as validation values over accumulated deviations.

Allgemein fordert die Spezifikation für ein sicheres Verhalten einer hochautomatisierten Fahrfunktion (HAF-System) im Level 3 (SAE) und höher, hier der sogenannte Staupilot (STP), also eine Funktion, die das Fahrzeug in einer Stausituation automatisiert fährt, ein Mittel für Bestimmung und Validierung von sicherheitsrelevanten Werten unterschiedlicher Fahr-Szenarien, welche zu einem gefährlichen und unerwünschten Verhalten des STP durch Verletzung definierter SOTIF Sicherheitsziele führen könnte.In general, the specification for a safe behavior of a highly automated driving function (HAF system) in level 3 (SAE) and higher, here the so-called traffic jam pilot (STP), i.e. a function that automatically drives the vehicle in a traffic jam situation, requires a means of determination and validation of safety-relevant values of different driving scenarios, which could lead to dangerous and undesirable behavior of the STP by violating defined SOTIF safety goals.

Grundlage für eine solche Validierung bildet eine deduktive SOTIF Experten-Analyse, aus der eine direkte Ableitung der minimalen Anzahl von sicherheitsrelevanten Objekten, sowie eine Zuordnung zu einem minimalen Set an Sicherheitszielen in produktspezifischen Szenarien für ein bestimmtes HAD-System bestimmt bzw. identifiziert wird.A deductive SOTIF expert analysis forms the basis for such a validation, from which a direct derivation of the minimum number of security-relevant objects, as well as an assignment to a minimum set of security goals in product-specific scenarios for a certain HAD system is determined or identified.

Diese vorgeschaltete deduktive Analyse reduziert die dynamischen und/oder statischen Objekte, wie beispielsweise Fahrzeuge oder Spur etc., und deren Attribute im Umfeld des Fahrzeuges auf eine kleine Anzahl. Diese Reduzierung kann so durchgeführt werden, dass nur situationsspezifische, zur Einschätzung der prädiktiven Metriken unbedingt notwendige Objekt-Merkmale vorliegen. Jedes der Objekt-Merkmale kann mit einem oder mehreren SOTIF Sicherheitszielen, wie beispielsweise: keine Kollisionen; knappe Vorbeifahrten; Spurhalten, verknüpft werden. Dazu können beispielsweise Merkmale der Fahrspur sowie eine kleine Anzahl von vorausfahrenden Fahrzeugen und potentielle Einscherer betrachtet werden.This upstream deductive analysis reduces the dynamic and / or static objects, such as vehicles or lanes etc., and their attributes in the area around the vehicle to a small number. This reduction can be carried out in such a way that only situation-specific object characteristics that are absolutely necessary for assessing the predictive metrics are present. Each of the object characteristics can be linked to one or more SOTIF security objectives, such as: no collisions; tight passages; Keeping track, be linked. For this purpose, for example, features of the lane as well as a small number of vehicles driving ahead and potential cut-ins can be considered.

Ein Abstand zu den Sicherheitszielen wird als prädiktives Abstandsmaß formuliert, wie z.B. ein sicherheitsrelevanter Wert, bis eine Kollision oder knappe Vorbeifahrt vorhergesehen bzw. dynamisch extrapoliert wird.A distance to the safety goals is formulated as a predictive distance measure, such as a safety-relevant value until a collision or a narrow drive past is predicted or dynamically extrapolated.

Dabei berücksichtigt eine solche dynamische Extrapolation des Verhaltens der Fahrzeuge Mitigationsmöglichkeiten (z.B. Bremsen) eines Ego-Fahrzeuges, sowie auch kritisches, zumutbares („worst-case-“) Verhalten anderer Verkehrsteilnehmer (z.B. knappes Einscheren).Such a dynamic extrapolation of the behavior of the vehicles takes into account mitigation possibilities (e.g. braking) of an ego vehicle, as well as critical, reasonable ("worst-case") behavior of other road users (e.g. narrow cut in).

Das Verfahren kann mit dem folgenden Fahr-Szenario weiter erläutert werden: Ein Egofahrzeug fährt in seiner Spur und ein anderes Objekt, also ein anderes Fahrzeug, schert in einem so geringen Abstand vor dem Egofahrzeug ein, dass ein Sicherheitsziel stark gefährdet wird
Ein sicherheitsrelevanter Referenz-Wert sollte entsprechend dem Szenario und einem Sicherheitsziel entweder in einem mitbewegten Bezugssystem des HAF-Systems, oder in einem raumfesten Bezugssystem, bestimmt werden, um eine objektivierbare Perspektive für das betrachtete Szenario zur Verfügung zu stellen. Somit kann auf dieser Grundlage ein sicherheitsrelevanter Wert im Vergleich zu dem sicherheitsrelevanten Referenz-Wert bewertet werden. Die Validierung des STP umfasst die Bewertung seines Verhaltens in einem beobachteten Fahr-Szenario im Hinblick auf Sicherheit. Das Auffinden aller Ursachen, die zu einem unsicheren Fahrverhalten führen und führen könnten, erfordert die Analyse all jener Fahr-Szenarien, die der STP beherrschen soll. Unsicher ist hier gleichbedeutend mit der Verletzung der festgelegten SOTI F Sicherheitsziele durch den STP.The method can be further explained with the following driving scenario: A host vehicle drives in its lane and another object, i.e. another vehicle, cuts in at such a small distance in front of the host vehicle that a safety goal is seriously endangered
A safety-relevant reference value should be determined according to the scenario and a safety goal either in a moving reference system of the HAF system or in a spatially fixed reference system in order to provide an objective perspective for the scenario under consideration. Thus, on this basis, a safety-relevant value can be evaluated in comparison to the safety-relevant reference value. The validation of the STP includes the evaluation of its behavior in an observed driving scenario with regard to safety. Finding all the causes that lead and could lead to unsafe driving behavior requires the analysis of all those driving scenarios that the STP is supposed to master. Unsafe is synonymous here with the violation of the defined SOTI F security goals by the STP.

Ein Beispiel für ein Fahr-Szenario, für das ein sicherheitsrelevanter Wert eines Sicherheitsziels bestimmt werden soll, kann eine Folgefahrt sein. D.h. der STP fährt auf gerader Strecke einem vorausfahrenden Fahrzeug hinterher. Dann wird identifiziert, welches Sicherheitsziele von beispielsweise SOTIF Sicherheitszielen in dem Szenario verletzt werden könnte und welche statischen und/oder dynamischen Objekte relevant sind. Als ein Beispiel könnte das SOTIF-Ziel „vermeide Frontkollision“ verletzt werden. Die relevanten Objekte sind dann das Fahrzeug und das vorausfahrende Fahrzeug („target object“).An example of a driving scenario for which a safety-relevant value of a safety goal is to be determined can be a follow-up trip. This means that the STP follows a vehicle in front on a straight line. It is then identified which security goals could be violated by, for example, SOTIF security goals in the scenario and which static and / or dynamic objects are relevant. As an example, the SOTIF objective “avoid frontal collision” could be violated. The relevant objects are then the vehicle and the vehicle in front (“target object”).

Ein sicherheitsrelevanter Wert kann dann die TTCE- (engl.: time to closest encounter) Zeit entsprechend den beiden Bezugssystemen sein. Die eine TTCE-Zeit wird zum einen aus einer entsprechenden Repräsentations-Sequenz einer Instanz des Szenarios mittels der Datensequenzen, die der mobilen Plattform bereitgestellt wurde, hergeleitet. Also die TTCE wird aus einer subjektiven Perspektive des HAF- Systems hergeleitet. Zum anderen wird eine Referenz-Repräsentations-Sequenz der Instanz des Szenarios bestimmt.A safety-relevant value can then be the TTCE (time to closest encounter) time according to the two reference systems. One TTCE time is derived on the one hand from a corresponding representation sequence of an instance of the scenario by means of the data sequences that were made available to the mobile platform. So the TTCE is derived from a subjective perspective of the HAF system. On the other hand, a reference representation sequence of the instance of the scenario is determined.

In die Berechnung der beiden sicherheitsrelevanten Werte, also dem TTCE_VuT und dem TTCE_ref, gehen die Bewegungsmodelle des Egofahrzeugs, mit der Annahme für die bestmögliche Mitigation des Ego-Fahrzeuges, sowie des vorausfahrenden Fahrzeugs mit der Annahme ein, dass dieses ein maximal unerwünschtes und gefährliches (worst-case‟) Verhalten zeigt.In the calculation of the two safety-relevant values, i.e. the TTCE _VuT and the TTCE _ref , the movement models of the ego vehicle, with the assumption of the best possible mitigation of the ego vehicle, as well as the vehicle in front with the assumption that this is a maximally undesirable and shows dangerous (worst-case ‟) behavior.

Dabei können beispielsweise Mitigationsmöglichkeiten des Ego-Fahrzeuges durch seine Maximalverzögerung und seinen Maximallenkwinkel, sowie seine Reibwerte begrenzt sein. Das vorausfahrende Fahrzeug könnte im schlimmsten Fall mit seiner maximal möglichen Bremswirkung entsprechend negativ beschleunigen.For example, mitigation possibilities of the ego vehicle can be limited by its maximum deceleration and its maximum steering angle, as well as its coefficient of friction. In the worst case, the vehicle ahead could accelerate negatively with its maximum possible braking effect.

Eine akkumulierte Abweichung einer TTCE_VuT (diejenige TTCE, die in der Wahrnehmung des STP berechnet wird) von der TTCE_ref (diejenige TTCE, die in dem Referenzsystem berechnet wird) kann dann durch ein Aufsummieren, oder durch eine Berechnung des Integrals bestimmt werden. $Δ T T C E_{a c c u m} = \int_{t_{v a l}}^{0} (T T C E_{r e f} - T T C E_{V u T}) d t$

An accumulated deviation of a TTCE _VuT (that TTCE that is calculated in the perception of the STP) from the TTCE _ref (that TTCE that is calculated in the reference system) can then be determined by adding up or by calculating the integral.

Δ T T C. {E.}_{a c c u m} = \int_{t_{v a l}}^{0} (T T C. {E.}_{r e f} - T T C. {E.}_{V u T}) d t

Dabei sollte der Wert ΔTTCE_accum kleiner als ein zu bestimmender Grenzwert sein, wobei der Grenzwert null zumindest eine Berührung der beiden Fahrzeuge bedeutet. Mit einem zu bestimmende Grenzwert kann entsprechend eine Sicherheitsmarge vorgehalten werden.The value ΔTTCE _{accum should be} smaller than a limit value to be determined, the limit value zero meaning at least one contact between the two vehicles. With a limit value to be determined, a safety margin can be maintained accordingly.

Die Variable t stellt die Zeit dar und tval eine Beobachtungszeitspanne, während der eine Bewertung beispielsweise des kritischen Wertes des Ego-Fahrzeuges, also der zumindest teilautomatisierten Plattform, sowie der Vergleich mit dem sicherheitskritischen Referenz-Wert erfolgt. Dieses Integral gibt somit die akkumulierte Abweichung der Berechnung des Egofahrzeuges von der Realität an.The variable t represents the time and tval an observation period during which an evaluation, for example, of the critical value of the ego vehicle, i.e. the at least partially automated platform, and the comparison with the safety-critical reference value takes place. This integral thus indicates the accumulated deviation of the calculation of the host vehicle from reality.

Mit dem so ermittelten sicherheitsrelevanten Referenz-Wert, hier TTCE_ref und der akkumulierten Abweichung ΔTTCE_accum, die als Validierungswert in einem Validierungsplot für eine Vielzahl von Instanzen des Szenarios aufgetragen werden können, lassen sich Ursachen entsprechend der SOTIF und der ISO 26262 analysieren, die ΔTTCE_accum > 0 zur Folge haben.With the safety-relevant reference value determined in this way, here TTCE _ref and the accumulated deviation ΔTTCE _accum , which can be plotted as a validation value in a validation plot for a large number of instances of the scenario, causes can be analyzed in accordance with SOTIF and ISO 26262, the ΔTTCE _accum > 0 result.

Die 1 zeigt ein Ablaufdiagramm eines Verfahrens 100 zur Bewertung einer Sequenz von Repräsentationen eines Szenarios einer zumindest teilautomatisierten mobilen Plattform. Die Sequenz der Repräsentationen, die bewertet werden soll, basiert dabei auf Datensequenzen von zumindest einem Sensor, die der mobilen Plattform bereitgestellt sind. Das können somit Datensequenzen sein, die von Sensoren generiert werden, die die mobile Plattform selbst aufweist, es können auch Datensequenzen anderer Sensoren sein zu den die mobile Plattform Zugriff hat und die für die Repräsentation des Szenarios verwendet werden können, da sie beispielsweise zumindest Teile des Szenarios abbilden. Ein solches Szenario kann beispielsweise statische und/oder dynamische Objekte beschreiben.The 1 shows a flow chart of a method 100 for evaluating a sequence of representations of a scenario of an at least partially automated mobile platform. The sequence of representations that is to be evaluated is based on data sequences from at least one sensor that are provided to the mobile platform. This can therefore be data sequences that are generated by sensors that the mobile platform itself has, it can also be data sequences from other sensors to which the mobile platform has access and which can be used to represent the scenario, as they can, for example, at least parts of the Map scenarios. Such a scenario can describe static and / or dynamic objects, for example.

In einem vorgelagerten Schritt 110 des Verfahrens wird deduktiv, entsprechend beispielsweise SOTIF -Anforderungen (engl.: safety of the intended Funktion), deduktiv, für eine hochautomatisierte Fahrfunktion (HAD), ein ausgewähltes Szenario analysiert, um ein Sicherheitsziele zu identifizieren S1.In a previous step 110 of the method, a selected scenario is analyzed deductively, in accordance with, for example, SOTIF requirements (safety of the intended function), for a highly automated driving function (HAD), in order to identify a safety goal S1 .

Aus dieser Analyse resultieren kritische statische und/oder dynamischer Objekte 120 und es können geometrische und dynamische Beschreibungen 130 für das Sicherheitsziel abgeleitet werden, um zumindest einen sicherheitsrelevanten Wert für das Sicherheitsziel zu bestimmen S2. Somit sind die resultierenden kritischen statischen und/oder dynamischen Objekte 120 mit dem Sicherheitsziel, in Bezug auf den sicherheitsrelevanten Wert, verknüpft. Mit dem beschriebenen Verfahren können eine Vielzahl von Sequenzen von Repräsentation unterschiedlicher Szenarien bewertet werden. Hier wird beispielhaft eine Sequenz ausgewählt bewertet zu werden.Critical static and / or dynamic objects result from this analysis 120 and there can be geometric and dynamic descriptions 130 for the safety goal can be derived in order to determine at least one safety-relevant value for the safety goal S2 . Thus, the resulting critical static and / or dynamic objects 120 linked to the safety goal in relation to the safety-relevant value. With the method described, a large number of sequences of representations of different scenarios can be assessed. Here a sequence is selected to be evaluated as an example.

Für eine solche Bewertung einer Sequenz von Repräsentation werden eine Vielzahl von Validierungspunkten gebildet S3, wobei jeder der Vielzahl von Validierungspunkten mit je einer entsprechenden Instanz einer Vielzahl von Instanzen des Szenarios gebildet wird. Die Instanzen des Szenarios sind somit unterschiedliche real bestimmte oder simulierte Abfolgen von Szenen mit statischen und/oder dynamischen Objekten, die mit dem definierten Szenario kategorisiert werden können.For such an evaluation of a sequence of representation, a multiplicity of validation points are formed S3, each of the multiplicity of validation points being formed with a corresponding instance of a multiplicity of instances of the scenario. The instances of the scenario are thus different, actually determined or simulated sequences of scenes with static and / or dynamic objects, which can be categorized with the defined scenario.

Für die Bildung eines der Validierungspunkte wird für eine Instanz des Szenarios eine Sequenz des sicherheitsrelevanten Wertes berechnet. Dazu wird mittels dynamischer Extrapolation eine Repräsentations-Sequenz der Instanz mittels der Datensequenzen 140, die der mobilen Plattform bereitgestellt sind, ermittelt S4.To create one of the validation points, a sequence of the security-relevant value is calculated for an instance of the scenario. For this purpose, a representation sequence of the instance is created using the data sequences by means of dynamic extrapolation 140 provided to the mobile platform S4 .

In die Berechnung der beiden sicherheitsrelevanten Werte, also beispielsweise dem TTCE_VuT und dem TTCE_ref, kann in das Bewegungsmodell des Ego-Fahrzeugs eine Annahme für die bestmögliche Mitigation 150 des Ego-Fahrzeuges eingehen, sowie in das Bewegungsmodell des vorausfahrenden Fahrzeugs eine Annahme, dass dieses ein maximal unerwünschtes und gefährliches („worst-case“) Verhalten zeigt.In the calculation of the two safety-relevant values, for example the TTCE _VuT and the TTCE _ref , an assumption for the best possible mitigation can be made in the movement model of the ego vehicle 150 of the ego vehicle, as well as an assumption in the movement model of the vehicle in front that this shows a maximally undesirable and dangerous (“worst-case”) behavior.

Zusätzlich wird eine Sequenz eines sicherheitsrelevanten Referenz-Wertes mittels dynamischer Extrapolation einer Referenz-Repräsentations-Sequenz 145 der Instanz des Szenarios ermittelt S5.In addition, a sequence of a safety-relevant reference value is created by means of dynamic extrapolation of a reference representation sequence 145 of the instance of the scenario S5 .

Es wird dann eine akkumulierte Abweichung der Sequenz des sicherheitsrelevanten Referenz-Wertes von der Sequenz des sicherheitsrelevanten Wertes innerhalb eines festgelegten Zeitbereiches für die Instanz des Szenarios bestimmt S6.An accumulated deviation of the sequence of the safety-relevant reference value from the sequence of the safety-relevant value within a defined time range is then determined S6 for the instance of the scenario.

Die sicherheitsrelevanten Werte werden dabei also zwei Mal bestimmt, einmal als Referenzwerte, die beispielsweise mit einer erweiterten Validierungssensorik (Ground-Truth) aufgezeichnet wurden, und zum anderen als fahrzeugeigene Messungen mit der für die Funktion zu validierenden On-board-Sensorik (also „VuT“-Daten: Version under Test,) aufgezeichnet wurden, oder zumindest dem fahrzeugeigenen System zur Verfügung standen. Abstandsmaße zu den Sicherheitszielen, also die sicherheitsrelevanten Werte werden entsprechend zwei Mal bewertet, als Referenzwert und Wert des Ego-Fahrzeugs.The safety-relevant values are determined twice, once as reference values that were recorded, for example, with an extended validation sensor system (ground truth), and secondly as the vehicle's own measurements with the on-board sensor system to be validated for the function (i.e. "VuT “-Data: Version under test,) was recorded, or at least was available to the vehicle's own system. Distance measures to the safety goals, i.e. the safety-relevant values, are accordingly evaluated twice, as a reference value and a value for the ego vehicle.

Ein Validierungspunkt wird durch Zuordnen der akkumulierten Abweichung zu dem zugehörigen mindestens einen sicherheitsrelevanten Referenz-Wertes M der Instanz des Szenarios gebildet S7.A validation point is formed by assigning the accumulated deviation to the associated at least one safety-relevant reference value M of the instance of the scenario S7 .

Eine solches Verfahren zur Bewertung einer Sequenz von Repräsentationen kann mit einer Vielzahl von unterschiedlichen Szenarien und einer Mehrzahl von unterschiedlichen Sicherheitszielen mit einer entsprechenden Anzahl von dynamisch extrapolierten sicherheitsrelevanten Werten mit Sequenzen von Repräsentationen und Referenz-Repräsentation wiederholt werden, um eine VuT vollumfänglich zu validieren.Such a method for evaluating a sequence of representations can be repeated with a multitude of different scenarios and a multitude of different security goals with a corresponding number of dynamically extrapolated security-relevant values with sequences of representations and reference representations in order to fully validate a VuT.

Mit einer Vielzahl von so bestimmten Validierungspunkten aus einer Vielzahl von Instanzen des Szenarios werden in einem Koordinatenraum der Validierungspunkte Korrelationen der Validierungspunkte analysiert S8, um die Sequenz von Repräsentationen des zumindest einen Szenarios der mobilen Plattform zu bewerten. Dieses Verfahren kann für eine Vielzahl von Szenarien wie hier beschrieben durchgeführt werden um Sequenzen von Repräsentation auch anderer Szenarien zu bewerten.With a large number of validation points determined in this way from a large number of instances of the scenario, correlations of the validation points are analyzed S8 in a coordinate space of the validation points in order to evaluate the sequence of representations of the at least one scenario of the mobile platform. This method can be carried out for a large number of scenarios as described here in order to evaluate sequences of representations from other scenarios as well.

In der 2a ist ein Beispiel einer Instanz einer Sequenz 200 eines beispielhaften sicherheitsrelevanten Wertes TTC, die mit sicherheitsrelevanten Referenz-Werten dargestellt. Dabei ist der sicherheitsrelevante Wert (in diesem Beispiel TTC: time to collision) über der Zeit t in Sekunden aufgetragen.In the 2a is an example of an instance of a sequence 200 an exemplary safety-relevant value TTC, which is represented with safety-relevant reference values. The safety-relevant value (in this example TTC: time to collision) is plotted over the time t in seconds.

In der 2b ist ein Beispiel der gleichen Instanz der Sequenz des, in der 2a wiedergegebenen, sicherheitsrelevanten Wertes 220 über der Zeit t aufgetragen, wobei die Sequenz mit Daten, die der mobilen Plattform bereitgestellt sind ermittelt wurde.In the 2 B is an example of the same instance of the sequence in which 2a reproduced, safety-relevant value 220 plotted over time t, the sequence having been determined with data provided to the mobile platform.

Im Vergleich der 2a und 2b ist zu erkennen, dass, vor allem in dem kritischen Bereich in dem die TTC auf fast 5 Sekunden reduziert ist, der Verlauf der beiden Sequenzen auch in Bezug auf den absoluten Wert sehr ähnlich sind. Dabei werden von der mobilen Plattform aber zusätzlich sicherheitsrelevante Werte generiert, die von den sicherheitsrelevanten Referenz-Werten nicht bestätigt werden. Dieser Vergleich kann als Grundlage für das beschriebene Verfahren angesehen werden.In comparison of the 2a and 2 B it can be seen that, especially in the critical area in which the TTC is reduced to almost 5 seconds, the course of the two sequences are also very similar in terms of the absolute value. However, the mobile platform also generates security-relevant values that are not confirmed by the security-relevant reference values. This comparison can be seen as the basis for the method described.

Die 3 skizziert Zwischenergebnisse der Berechnungsschritte für die Bestimmung eines sicherheitsrelevanten Wertes S4, S5. Dazu ist in einem Diagramm 300 gezeigt wie beispielsweise zum einen in dem Schritt S4 eine Repräsentation-Sequenz 310 und zum anderen in dem Schritt S5 eine Referenz-Repräsentation-Sequenz 310 eines Egofahrzeugs dynamisch extrapolierte Werte in Bezug auf ihre x- bzw. y-Koordinaten (xcoord; ycoord) bestimmt werden. Zusätzlich wird zum einen in dem Schritt S4 eine Repräsentation-Sequenz 320 oder zum anderen in dem Schritt S5 eine Referenz-Repräsentation-Sequenz eines Objektes 320 einer Instanz des Szenarios auf das ein entsprechender sicherheitsrelevanter Wert zurückgeführt werden kann, in Bezug auf die x- und y-Koordinate dieses Objektes dynamisch extrapoliert, um den sicherheitsrelevanten Wert 330 zu bestimmen. Der sicherheitsrelevante Wert 330 ist in diesem Fall ein DCE-Wert (engl.: distance to closest encounter) d.h. der minimale Abstand der aus der dynamischen Extrapolation des Schwerpunktes des Egofahrzeuges im Vergleich zu einer dynamischen Extrapolation eines dynamischen Objektes aus den beiden Repräsentation-Sequenzen 310, 320 bestimmt werden kann. Dabei sind die zeitlich einander zugeordneten Werte der beiden Sequenzen 310, bzw. 320 mit einer dünnen Linie verbunden, die den Abstand repräsentieren und aus diesem Diagramm 300 kann der minimale Abstand 130 abgelesen werden.The 3 outlines intermediate results of the calculation steps for determining a safety-relevant value S4 , S5 . This is in a diagram 300 shown, for example, on the one hand in the step S4 a representation sequence 310 and on the other hand in the step S5 a reference representation sequence 310 of a host vehicle dynamically extrapolated values can be determined in relation to their x and y coordinates (xcoord; ycoord). In addition, on the one hand, in the step S4 a representation sequence 320 or on the other hand in the step S5 a reference representation sequence of an object 320 an instance of the scenario to which a corresponding safety-relevant value can be traced back, with reference to the x and y coordinates of this object, extrapolated dynamically to the safety-relevant value 330 to determine. The security-relevant value 330 in this case is a DCE value (distance to closest encounter), ie the minimum distance from the dynamic extrapolation of the center of gravity of the host vehicle compared to a dynamic extrapolation of a dynamic object from the two representation sequences 310 , 320 can be determined. The values of the two sequences assigned to one another over time are here 310 , or. 320 connected with a thin line representing the distance and from this graph 300 can be the minimum distance 130 can be read.

Die 4 zeigt einen Validierungsplot 400, bei dem eine Vielzahl von Validierungspunkte im Koordinatensystem der Validierungspunkte aufgetragen sind. D.h. sicherheitsrelevante Referenz-Werte sind über der akkumulierten Abweichung der Sequenz des sicherheitsrelevanten Referenz-Wertes von der Sequenz des sicherheitsrelevanten Wertes, der entsprechend ermittelten sicherheitsrelevanten Werte, aufgetragen. Durch das Bestimmen der Validierungspunkte und das Eintragen der Validierungspunkte im Validierungsplot 400 kann für die Analyse der Korrelationen der Validierungspunkte im Koordinatenraum der Validierungspunkte auf einen Blick vier unterschiedliche Regionen des Validierung Plots unterschieden werden. In der Region A liegen Validierungspunkte, die mit den Sensordaten die der Plattform bereitgestellt sind und die richtig bestimmt wurden, da das Delta_akku., also die Abweichung des sicherheitsrelevanten Referenz-Wertes vom sicherheitsrelevanten Wert gering ist. Da die Validierungspunkte in der Region A sehr nahe an dem sicherheitsrelevanten Referenz-Wert 0 liegt, also der minimale Abstand des Egofahrzeuges von dem Objekt sehr klein bzw. null ist, sind diese Validierungspunkte in Bezug auf das Sicherheitsziel sehr gefährlich.The 4th shows a validation plot 400 , in which a large number of validation points are plotted in the coordinate system of the validation points. That is to say, safety-relevant reference values are plotted against the accumulated deviation of the sequence of the safety-relevant reference value from the sequence of the safety-relevant value, the correspondingly determined safety-relevant values. By determining the validation points and entering the validation points in the validation plot 400 For the analysis of the correlations of the validation points in the coordinate space of the validation points, four different regions of the validation plot can be distinguished at a glance. In region A there are validation points that are provided with the sensor data provided by the platform and that have been correctly determined, since the delta _{battery, i.e.} the deviation of the safety-relevant reference value from the safety-relevant value, is small. Since the validation points in region A are very close to the safety-relevant reference value 0, i.e. the minimum distance between the host vehicle and the object is very small or zero, these validation points are very dangerous with regard to the safety goal.

In der Region B sind die Validierungspunkte in einer Region, in der die sicherheitsrelevanten Werte, wegen der noch tolerierbaren Abweichung vom sicherheitsrelevanten Referenz-Wert, im Wesentlichen richtig bestimmt wurden, und mit denen keine Gefahr verbunden ist, da der jeweils extra polierte minimale Abstand noch sehr groß ist.In region B, the validation points are in a region in which the safety-relevant values were essentially correctly determined due to the tolerable deviation from the safety-relevant reference value, and which are not associated with any risk, since the respective extra polished minimum distance is still is very big.

In der Region C liegen sicherheitsrelevante Werte, die, wegen der großen Abweichung gegenüber dem sicherheitsrelevanten Referenz-Wert, falsch bestimmt wurden, die aber keine Gefahr kennzeichnen. Wegen der großen Abweichung gegenüber dem sicherheitsrelevanten Referenz-Wert müssen sicherheitsrelevanten Referenz-Werte, die in der Region C im Validierungsplot liegen, genauer untersucht werden, da aufgrund dieser Werte Situationen bzw. Szenarien gegebenenfalls falsch repräsentiert werden.In region C there are safety-relevant values that were incorrectly determined due to the large deviation from the safety-relevant reference value, but which do not indicate any danger. Because of the large deviation from the safety-relevant reference value, safety-relevant reference values that are in region C in the validation plot must be examined more closely, since situations or scenarios may be represented incorrectly on the basis of these values.

Wenn die Validierungswerte der Regionen A, B und C aus der Vielzahl der Validierungswerte gefiltert werden, können noch Werte der Region D übrig bleiben, mit denen ein Trend zur Bewertung der Sequenzen von Repräsentation bestimmt werden kann. Dazu kann beispielsweise eine Trendkurve 410 bis zum Eintreten des Gefahrenfalls (M = 0) extrapoliert werden, um zu Bestimmen bei welchem akkumulierten Fehler beispielsweise eines Sensorsystems eine Gefahr auftritt. Damit ergibt sich die Möglichkeit beispielsweise unterschiedliche Sensorsysteme quantitativ zu vergleichen, bzw. den Erfolg eine Verbesserung eines Sensorsystems zu quantifizieren.If the validation values of regions A, B and C are filtered from the multitude of validation values, values of region D can still remain with which a trend for evaluating the sequences of representation can be determined. A trend curve, for example, can be used for this purpose 410 until the occurrence of the danger (M = 0) can be extrapolated in order to determine at which accumulated error, for example of a sensor system, a danger occurs. This makes it possible, for example, to compare different sensor systems quantitatively or to quantify the success of an improvement in a sensor system.

In einem nachgeordneten Schritt kann noch eine Extremwertanalyse mittels der so bestimmten und ggf. gefilterten Validierungswerte durchgeführt werden.In a subsequent step, an extreme value analysis can also be carried out using the validation values determined in this way and, if necessary, filtered.

Claims

Method (100) for evaluating a sequence of representations of at least one scenario of a plurality of scenarios of an at least partially automated mobile platform, the sequence of the representations of the plurality of scenarios being based on data sequences from at least one sensor that are provided to the mobile platform, with the steps : Identifying a security goal (S1) in the at least one scenario; Determining at least one safety-relevant value (S2) for the safety goal; Formation of a multiplicity of validation points (S3), each of the multiplicity of validation points being formed with a corresponding instance of a multiplicity of instances of the scenario with the following steps: Determining a sequence of the at least one security-relevant value (S4) by means of dynamic extrapolation of a corresponding representation sequence of an instance of the scenario by means of the data sequences (140) which are provided to the mobile platform; Determining a sequence of the at least one safety-relevant reference value (S5) by means of dynamic extrapolation of a reference representation sequence (145) of the instance of the scenario; Determining an accumulated deviation (S6) of the sequence of the safety-relevant reference value from the sequence of the safety-relevant value within a specified time range for the instance of the scenario; Formation of a validation point (S7) by assigning the accumulated deviation to the associated at least one safety-relevant reference value of the instance of the scenario; Analysis of correlations (S8) of the plurality of validation points formed in a coordinate space of the validation points in order to evaluate the sequence of representations of the at least one scenario of the mobile platform.

Method (100) according to Claim 1 , whereby for the analysis of correlations (S8) validation points are filtered from the plurality of validation points, the accumulated deviation of which is smaller than a first deviation limit value and the safety-relevant reference value of which is less critical than a reference limit value.

Method (100) according to Claim 1 or 2 , wherein for the analysis of correlations (S8) validation points are filtered from the plurality of validation points whose cumulative deviation is greater than the first deviation limit value and whose safety-relevant reference value is less critical than the reference limit value.

Method (100) according to one of the preceding claims, wherein for the analysis (S8) of correlations, validation points are filtered from the plurality of validation points whose cumulative deviation is smaller than a second deviation limit value and whose safety-relevant reference value is particularly critical.

Method (100) according to one of the preceding claims, wherein a correlation analysis is carried out with a plurality of filtered and / or a plurality of unfiltered validation points in order to determine a trend of the validation points for evaluating the sequence of representations.

Method (100) according to Claim 5 , wherein, in order to evaluate the sequence of representations, an extrapolation of the validation points up to a critical safety-relevant reference value is determined with the specific trend of the correlation analysis.

Method (100) according to Claim 5 or 6th wherein, in order to evaluate the sequence of representations, an extreme value analysis is carried out by means of the validation points in order to quantitatively evaluate the sequence of representations of the at least one scenario.

Method (100) according to one of the preceding claims, wherein the at least one security-relevant value characterizes a spatial and / or temporal relation of two objects of the scenario.

Method (100) according to one of the preceding claims, wherein the accumulated deviation of the sequence of the safety-relevant reference value from the sequence of the safety-relevant value is determined by a sum of individual deviations of corresponding values.

Method (100) according to one of the preceding claims, wherein when determining the sequence of the at least one security-relevant value by means of dynamic extrapolation of a corresponding representation sequence, a mitigation option (150) of the at least partially automated mobile platform is taken into account in the dynamic extrapolation.

Method (100) according to one of the preceding claims, wherein when determining the sequence of the at least one safety-relevant value by means of dynamic extrapolation of a corresponding representation sequence, a worst-case behavior of a scenario object is taken into account in the dynamic extrapolation.

Method (100) according to one of the preceding claims, in which, based on the evaluation of the sequence of representations of at least one scenario of the plurality of scenarios of the at least partially automated mobile platform, a configuration of the at least partially automated mobile platform is adapted.

Device which is set up, a method according to one of the Claims 1 to 12th perform.

Computer program, comprising instructions which cause the computer program to be executed by a computer, the method according to one of the Claims 1 to 12th to execute.

Machine-readable storage medium on which the computer program is based Claim 14 is stored.