DE102020107950A1

DE102020107950A1 - Procedure for fault detection and safe sensor system

Info

Publication number: DE102020107950A1
Application number: DE102020107950.8A
Authority: DE
Inventors: Patrik Feth; Magnus ALBERT; Dominic Ruh
Original assignee: Sick AG
Current assignee: Sick AG
Priority date: 2020-03-23
Filing date: 2020-03-23
Publication date: 2021-09-23

Abstract

Es wird ein Verfahren zur Fehleraufdeckung in einem sicheren Sensorsystem (12, 14, 16a-d) angegeben, in dem mittels einer Vielzahl von n Informationsquellen (16a-d) jeweils eine Messgröße erfasst und aus den Messgrößen eine Zielgröße bestimmt wird, wobei das Sensorsystem (12, 14, 16a-d) in dem Sinne überbestimmt ist, dass die Zielgröße auch mit weniger als n Informationsquellen (16a-d) bestimmbar ist und wobei durch die Fehleraufdeckung festgestellt wird, dass mindestens eine der Informationsquellen (16a-d) eine fehlerhafte Messgröße erzeugt. Dabei wird zur Fehleraufdeckung die Zielgröße mehrfach aus jeweils verschiedenen Kombinationen von weniger als n Informationsquellen (16a-d) bestimmt und eine zu große Abweichung der mehrfach bestimmten Zielgrößen voneinander als Fehler mindestens einer Informationsquelle (16a-d) erkannt und/oder aus der Zielgröße zurückgerechnet, welche Messgröße eine fehlerfrei funktionierende Informationsquelle (16a-d) erzeugt hätte, und dies mit deren tatsächlich erzeugter Messgröße verglichen.A method for detecting errors in a safe sensor system (12, 14, 16a-d) is specified, in which a measured variable is recorded by means of a multiplicity of n information sources (16a-d) and a target variable is determined from the measured variables, the sensor system (12, 14, 16a-d) is over-determined in the sense that the target variable can also be determined with fewer than n information sources (16a-d) and where the error detection determines that at least one of the information sources (16a-d) has a incorrect measured variable generated. In order to detect errors, the target variable is determined several times from different combinations of less than n information sources (16a-d) and an excessively large discrepancy between the target variables determined several times is recognized as an error in at least one information source (16a-d) and / or calculated back from the target variable which measured variable would have generated an error-free functioning information source (16a-d) and compared this with the measured variable actually generated.

Description

Die Erfindung betrifft ein Verfahren zur Fehleraufdeckung in einem sicheren Sensorsystem mit einer Vielzahl von Informationsquellen.The invention relates to a method for detecting errors in a safe sensor system with a large number of information sources.

Sicher oder Sicherheit im Sinne dieser Anmeldung bedeutet, dass Personen vor Gefahren geschützt werden, die von Maschinen, Anlagen und sonstigen technischen Einrichtungen ausgehen. Ein Sensorsystem für derartige sicherheitstechnische oder sicherheitsgerichtete Anwendungen muss in einer genau definierten Weise verlässlich sein, um Unfälle zu vermeiden. Um eine sicherheitstechnische Eignung eines Sensorsystems nachzuweisen, sind Anforderungen für das Verhalten im Fehlerfall maßgeblich und normativ festgeschrieben. Im Bereich der Maschinensicherheit sind hier beispielsweise die Normen ISO 13849 oder IEC 62061 zu nennen.Safe or safety in the sense of this application means that people are protected from dangers emanating from machines, systems and other technical equipment. A sensor system for such safety-related or safety-related applications must be reliable in a precisely defined way in order to avoid accidents. In order to prove the safety-related suitability of a sensor system, requirements for the behavior in the event of a fault are decisive and normatively stipulated. In the area of machine safety, for example, the standards are here ISO 13849 or IEC 62061.

Typische sichere Architekturen sind zweikanalige Systeme, bei denen die Funktion von zwei getrennten Kanälen redundant oder diversitär-redundant ausgeführt, wobei Fehler durch Vergleiche zwischen den Kanälen aufgedeckt werden. Alternativ kann Sicherheit auch durch Tests beziehungsweise einen separaten Diagnosekanal gewährleistet werden.Typical secure architectures are two-channel systems in which the function of two separate channels is redundant or diversely redundant, with errors being revealed by comparing the channels. Alternatively, safety can also be guaranteed through tests or a separate diagnostic channel.

Wird ein Sensorsystem komplex, weil es zahlreiche Hardwarekomponenten und/oder Software mit aufwändigen Berechnungen erfordert, so wird eine zweikanalige Struktur mit vollständiger Redundanz oder diversitärer Redundanz, also der Verwendung mehrerer komplementärer Messprinzipien, sehr teuer. Es wäre wünschenswert, Diagnosefunktionen an der Hand zu haben, die mit realistischem Aufwand implementiert werden können.If a sensor system becomes complex because it requires numerous hardware components and / or software with complex calculations, a two-channel structure with complete redundancy or diverse redundancy, i.e. the use of several complementary measurement principles, becomes very expensive. It would be desirable to have diagnostic functions at hand that can be implemented with realistic effort.

Ein Beispiel für ein derartiges komplexes Sensorsystem ist ein Lokalisierungsmesssystem, das auf drahtlosen Sensornetzwerken basiert. Dessen Funktion ist, eine genaue Kenntnis kinematischer Größen wie Position, Bewegungsrichtung oder Geschwindigkeiten von Personen, Fahrzeugen und sonstigen wichtigen Objekten zu vermitteln. Das wird in zahlreichen Steuerungssysteme etwa im Kontext von Industrie 4.0 oder moderner Logistikanwendungen benötigt. Im Umfeld der Automatisierungstechnik sind hierfür verschiedene Technologien verfügbar und erprobt.An example of such a complex sensor system is a localization measurement system based on wireless sensor networks. Its function is to convey precise knowledge of kinematic variables such as position, direction of movement or speeds of people, vehicles and other important objects. This is required in numerous control systems, for example in the context of Industry 4.0 or modern logistics applications. Various technologies are available and tested for this in the field of automation technology.

Die Verwendung solcher Technologien als Teil von sicherheitsgerichteten Steuerungen oder Systemen steht dagegen erst am Anfang, Das hängt auch damit zusammen, dass die klassischen Wege zur Erfüllung der einschlägigen Sicherheitsnormen wie erwähnt für komplexe, softwareintensive Systeme wie ein Lokalisierungsmesssystem nur bedingt und mit sehr hohem Aufwand angewendet werden können und zusätzliche Komponenten erfordern.The use of such technologies as part of safety-related controls or systems, on the other hand, is only just beginning.This is also due to the fact that the classic ways of fulfilling the relevant safety standards, as mentioned, are only used to a limited extent for complex, software-intensive systems such as a localization measurement system, and with a great deal of effort and require additional components.

Es ist daher Aufgabe der Erfindung, die Fehleraufdeckung für ein sicheres Sensorsystem zu verbessern.It is therefore the object of the invention to improve the fault detection for a safe sensor system.

Diese Aufgabe wird durch ein Verfahren zu Fehleraufdeckung und ein sicheres Sensorsystem nach Anspruch 1 beziehungsweise 10 gelöst. Die Fehleraufdeckung ermöglicht sicherheitsgerichtete Auswertung, indem eine Fehlfunktion mit definierte Verlässlichkeit erkannt wird. Wie einleitend schon erläutert, bedeutet sicher, dass Sicherheitsanforderungen einer Sicherheitsnorm für Maschinensicherheit zur Vermeidung von Unfällen mit Personen erfüllt sind. Beispielhafte Normen sind die ISO 13849 oder die IEC 62061. Eine Beschränkung auf konkrete Normen soll es jedoch vorzugsweise nicht geben, da es modifizierte Versionen oder Nachfolgenormen geben kann. Das ändert aber nichts daran, dass auch von solchen nicht konkret zitierten Normen je nach Anwendung und Gefährdungspotential genau definierte Vorgaben an die Verlässlichkeit und das Verhalten im Fehlerfall gemacht werden.This object is achieved by a method for fault detection and a safe sensor system according to claims 1 and 10, respectively. The fault detection enables safety-related evaluation by recognizing a malfunction with a defined reliability. As already explained in the introduction, safe means that the safety requirements of a safety standard for machine safety to avoid accidents with people are met. Exemplary norms are ISO 13849 or IEC 62061. However, there should preferably not be any restriction to specific standards, as there may be modified versions or successor standards. However, this does not change the fact that such standards, which are not specifically cited, have precisely defined requirements for reliability and behavior in the event of an error, depending on the application and risk potential.

Das Sensorsystem umfasst eine mit n bezeichnete Vielzahl von Informations- beziehungsweise Datenquellen, die jeweils eine Messgröße erfassen. Informationsquellen unterscheiden sich beispielsweise dadurch, mit welcher Empfangseinheit und welchem Messprinzip gemessen wird und/oder welche Sendeeinheit die Messgröße erzeugt oder beeinflusst. Aus den Messgrößen wird eine Zielgröße bestimmt. Die Messgrößen sind daher häufig, aber nicht zwingend nur Hilfsgrößen, die möglicherweise nur intern im Sensorsystem verwendet werden. Das Sensorsystem ist überbestimmt, weil es mehr Informationsquellen gibt, als für die Bestimmung der Zielgröße mathematisch erforderlich wären. Die Zielgröße kann mit anderen Worten auch bereits aus i<n Messgrößen bestimmt werden. Durch die Fehleraufdeckung wird ein Fehler bei mindestens einer Informationsquelle festgestellt, die dann eine fehlerhafte Messgröße erzeugt. In diesem Zusammenhang bedeutet Fehler eine Fehlfunktion, einen Defekt oder ein unerwartetes Ergebnis, nicht etwa nur einen ohnehin niemals vermeidbaren Messfehler im Rahmen typischer Toleranzen.The sensor system comprises a plurality of information or data sources, denoted by n, which each record a measured variable. Sources of information differ, for example, in which receiving unit and which measuring principle are used to measure and / or which transmitting unit generates or influences the measured variable. A target variable is determined from the measured variables. The measured variables are therefore often, but not necessarily, only auxiliary variables that may only be used internally in the sensor system. The sensor system is overdetermined because there are more sources of information than would be mathematically necessary to determine the target variable. In other words, the target variable can also already be determined from i <n measured variables. As a result of the error detection, an error is found in at least one information source, which then generates an incorrect measured variable. In this context, an error means a malfunction, a defect or an unexpected result, not just a measurement error that can in any case never be avoided within the framework of typical tolerances.

Die Erfindung geht von dem Grundgedanken aus, zur Fehleraufdeckung die Überbestimmung auszunutzen, um eine Diagnose der Informationsquellen vorzunehmen. Dabei wird in einer Variante die Zielgröße mehrfach jeweils unter Weglassen mindestens einer Informationsquelle in verschiedenen Konstellationen bestimmt. In einem intakten Sensorsystem sollten diese Zielgrößen in etwa gleich sein. Eine zu große Abweichung zwischen den Zielgrößen wird daher als Fehler in mindestens einer Informationsquelle betrachtet. Es muss keineswegs diejenige Zielgröße, die von einem sonst bestehenden Konsens abweicht, auf der fehlerhaften Informationsquelle basieren. Im Gegenteil kann gerade die fehlerhafte Informationsquelle die Zielgrößen systematisch in einer ähnlichen Weise verzerren und sogar eine korrekte Zielgröße als Ausreißer erscheinen lassen. Es wird aber jedenfalls erkannt, dass ein Fehler vorliegt, und das ist die sicherheitsrelevante Information, der sich eine nachgelagerte, genauere Diagnose zur Behebung anschließen kann.The invention is based on the basic idea of using the overdetermination to detect errors in order to diagnose the information sources. In one variant, the target variable is determined several times, in each case omitting at least one information source in different constellations. In an intact sensor system, these target values should be roughly the same. Too great a deviation between the target values is therefore seen as an error in at least one Source of information considered. The target variable that deviates from an otherwise existing consensus does not have to be based on the incorrect information source. On the contrary, the faulty source of information can systematically distort the target values in a similar way and even make a correct target value appear as an outlier. In any case, it is recognized that there is an error, and that is the safety-relevant information that can be followed by a subsequent, more precise diagnosis for rectification.

In einer alternativ oder zusätzlich anwendbaren Variante wird aus der Zielgröße zurückgerechnet, welche hypothetische Messgröße von den jeweiligen intakten Informationsquellen zu erwarten wäre. Das wird dann je Informationsquelle mit der tatsächlich erfassten Messgröße verglichen. Eine gewisse Abweichung ist dabei noch kein Fehler, da jede Messgröße nur einen Teilbeitrag für das überbestimmte System liefert und diese Bestimmung der Zielgröße beabsichtigt einen gewissen Korrektureffekt auf die einzelnen Messgrößen ausübt. Eine Informationsquelle, für die der genannte Vergleich deutliche Unterschiede ergibt, wird jedoch als fehlerhaft angesehen. In dieser Variante gibt das Ausmaß der Unterschiede somit auch einen Hinweis, welche konkrete Informationsquelle von dem Fehler betroffen ist.In an alternatively or additionally applicable variant, the target variable is used to calculate back which hypothetical measured variable would be expected from the respective intact information sources. This is then compared with the actually recorded measured variable for each information source. A certain deviation is not yet an error, since each measured variable only provides a partial contribution to the overdetermined system and this determination of the target variable is intended to have a certain corrective effect on the individual measured variables. However, a source of information for which the above comparison shows clear differences is considered to be incorrect. In this variant, the extent of the differences therefore also provides an indication of which specific information source is affected by the error.

Die Erfindung hat den Vorteil, dass ein universelles und skalierbares Verfahren zur Fehleraufdeckung als wichtiger Teil eines Sicherheitskonzepts angegeben wird. Das Verfahren kann in Software umgesetzt werden, so dass keine zusätzlichen Hardwarekomponenten benötigt werden. Die mehrfach genannten Anforderungen für funktionale Sicherheit an die Fehleraufdeckung gemäß einschlägiger Sicherheitsnormen, insbesondere für zufällige Fehler von Hardware, werden erfüllt. Dabei wird praktisch das gesamte Sensorsystem getestet, es wird mit anderen Worten ein sehr hoher Diagnosegrad (diagnostic coverage) erreicht.The invention has the advantage that a universal and scalable method for fault detection is specified as an important part of a security concept. The method can be implemented in software so that no additional hardware components are required. The multiple mentioned requirements for functional safety on fault detection in accordance with relevant safety standards, in particular for random hardware faults, are met. In doing so, practically the entire sensor system is tested; in other words, a very high degree of diagnosis (diagnostic coverage) is achieved.

Die Zielgröße wird bevorzugt aus den Messgrößen von n-1 Informationsquellen bestimmt, insbesondere aus allen Kombinationen von n-1 Informationsquellen. Es wird demnach bei der mehrfachen Bestimmung der Zielgrößen aus unterschiedlichen Kombinationen von Informationsquellen jeweils genau eine Informationsquelle weggelassen. Vorzugsweise werden alle n möglichen Kombinationen dieser Art gebildet, somit n Zielgrößen gebildet, wobei jede Informationsquelle einmal ausgelassen wird. Auf diese Weise wirkt sich der Einfluss einer möglicherweise defekten Informationsquelle besonders gut erkennbar aus.The target variable is preferably determined from the measured variables of n-1 information sources, in particular from all combinations of n-1 information sources. Accordingly, when the target variables are determined multiple times from different combinations of information sources, exactly one information source is omitted. Preferably, all n possible combinations of this type are formed, thus n target variables are formed, each information source being omitted once. In this way, the influence of a possibly defective information source has a particularly clearly recognizable effect.

Vorzugsweise wird eine Standardabweichung der mehrfach bestimmten Zielgröße bestimmt und mit einer Schwelle bewertet. Sofern keine Informationsquelle einen Fehler aufweist, sollten die Zielgrößen sehr nahe beieinanderliegen, unabhängig davon, welche der ja in dem überbestimmten Sensorsystem in gewisser Weise zu vielen Informationsquellen dabei jeweils unberücksichtigt blieb. Diese Bedingung, ob die Zielgrößen nahe beieinanderliegen oder nicht, lässt sich über die Standardabweichung quantifizieren. Als Schwelle zur Bewertung ist besonders bevorzugt ein Vielfaches einer Standardabweichung eines fehlerfreien Sensorsystems festgelegt, wobei das Vielfache eine geforderte Signifikanz definiert.A standard deviation of the target variable determined several times is preferably determined and evaluated with a threshold. If no information source has an error, the target variables should be very close to one another, regardless of which of the too many information sources in the overdetermined sensor system was in each case not taken into account. This condition, whether the target values are close together or not, can be quantified using the standard deviation. A multiple of a standard deviation of an error-free sensor system is particularly preferably defined as the threshold for evaluation, the multiple defining a required significance.

Die Zielgröße, aus der Messgrößen einer fehlerfrei funktionierenden Informationsquelle zurückgerechnet werden, wird bevorzugt aus allen Informationsquellen bestimmt. Das führt zu einer möglichst genauen Zielgröße unter Ausnutzung der Überbestimmung. Demnach sind auch die hypothetischen Messgrößen, mit denen zur Fehleraufdeckung verglichen wird, möglichst genau vorhergesagt. Die Zielgröße wird somit vorzugsweise nur einmal bestimmt, abgesehen von den unten noch erläuterten möglichen Messwiederholungen, die aber auch neue Messgrößen ergeben würden.The target variable, from which the measured variables of an error-free functioning information source are calculated, is preferably determined from all information sources. This leads to as precise a target as possible, taking advantage of the overdetermination. Accordingly, the hypothetical measured variables that are compared with to detect errors are also predicted as precisely as possible. The target variable is thus preferably determined only once, apart from the possible repetitions of measurements explained below, which, however, would also result in new measured variables.

Die Differenz einer zurückgerechneten Messgröße einer fehlerfrei funktionierenden Informationsquelle und einer tatsächlich von der Informationsquelle erzeugte Messgröße wird bevorzugt mit einer Schwelle bewertet. Die Schwelle legt fest, welche Abweichungen noch im Bereich typischer Toleranzen liegen und ab wann von einem Fehler ausgegangen wird. Die Schwelle ist besonders bevorzugt als Vielfaches der Standardabweichung der Messgröße bei fehlerfreier Informationsquelle festgelegt. Diese genannte Standardabweichung quantifiziert typische reguläre Messschwankungen, und erst wenn davon signifikant abgewichen wird, ist das ein Fehler. Das Signifikanzniveau wird über das Vielfache definiert.The difference between a recalculated measured variable of a correctly functioning information source and a measured variable actually generated by the information source is preferably evaluated with a threshold. The threshold defines which deviations are still in the range of typical tolerances and when an error is assumed. The threshold is particularly preferably defined as a multiple of the standard deviation of the measured variable with an error-free information source. This standard deviation quantifies typical regular measurement fluctuations, and it is only when there is a significant deviation from it that this is an error. The level of significance is defined using the multiple.

Es werden bevorzugt wiederholte Messungen mit Bestimmung der Messgrößen durchgeführt und diese gemeinsam statistisch ausgewertet. Somit soll nicht aus nur jeweils einmaliger Bestimmung der Messgrößen der Informationsquellen schon auf Fehler geschlossen werden, sondern eine statistische Aussage getroffen werden. Das kann wieder durch übliche statistische Maße, im einfachsten Fall Mittelwert und Standardabweichung geschehen. Sofern bereits im Rahmen einer einzelnen Messung Standardabweichungen bestimmt wurden, wie oben beschrieben, vergrößern die Messwiederholungen die Stichprobe.Repeated measurements with determination of the measured variables are preferably carried out and these are statistically evaluated together. Thus, errors should not be inferred from just a one-off determination of the measured variables of the information sources, but a statistical statement should be made. This can again be done using the usual statistical measures, in the simplest case mean value and standard deviation. If standard deviations have already been determined in the course of a single measurement, as described above, the repeated measurements enlarge the sample.

Das Sensorsystem ist bevorzugt ein sicherheitsgerichtetes Lokalisierungssystem, insbesondere für ein Fahrzeug. Das Fahrzeug kann selbstfahrend sein (AGV, Automated Guided Vehicle). Dabei ist die Zielgröße eine kinematische Größe. In der Regel wird zumindest die Position in ein bis drei Freiheitsgraden erfasst, und mittels deren Verfolgung über die Zeit können weitere kinematische Größen wie Geschwindigkeit, Richtung und/oder Beschleunigung bestimmt werden. Beispielsweise über den Dopplereffekt wie beim Radar ist aber auch eine unmittelbare Geschwindigkeitsmessung ohne Positionsbestimmung vorstellbar. Das erfindungsgemäße Verfahren zur Fehleraufdeckung ermöglicht eine softwarebasiere Diagnose des gesamten Lokalisierungssystems zur sicherheitsgerichteten Lokalisierung zur Laufzeit. Es macht sich die verteilte Topologie des Lokalisierungssystems zu Nutze und realisiert auf dieser Basis eine gegenseitige Überwachung der einzelnen Elemente.The sensor system is preferably a safety-related localization system, in particular for a vehicle. The vehicle can be self-driving (AGV, Automated Guided Vehicle). The target variable is a kinematic variable. Usually at least the position is in one to three Degrees of freedom recorded, and by tracking them over time, other kinematic variables such as speed, direction and / or acceleration can be determined. For example, using the Doppler effect as in the case of radar, a direct speed measurement without position determination is also conceivable. The method according to the invention for fault detection enables software-based diagnosis of the entire localization system for safety-related localization during runtime. It makes use of the distributed topology of the localization system and, on this basis, realizes mutual monitoring of the individual elements.

Das Sensorsystem ist bevorzugt ein UWB-, RFID-, Ultraschall- oder WiFi-System, und die kinematische Größe wird anhand von Signallaufzeiten, Signallaufzeitdifferenzen und/oder Empfangswinkeln bestimmt. Die erfindungsgemäße Fehleraufdeckung ist für verschiedene Lokalisierungstechnologien verwendbar. Das basiert insbesondere auf drahtlosen Sensornetzwerken wie beispielsweise der Ultra-Breitband-Technologie (UWB), Wireless (WiFi) oder funkbasierter Identifikation (RFID, radio frequency identification). Mögliche Lokalisierungsverfahren beruhen auf Laufzeiten (ToA, Time of Arrival), Laufzeitdifferenzen (TDoA, Time Difference of Arrival) und/oder Empfangswinkeln (AoA, Angle of Arrival). Diese Technologien sind an sich bekannt und werden zur Objektdetektion, Lokalisierung und Objektverfolgung genutzt, sind jedoch bisher nicht sicher im Sinne des Personenschutzes.The sensor system is preferably a UWB, RFID, ultrasound or WiFi system, and the kinematic variable is determined on the basis of signal propagation times, signal propagation time differences and / or reception angles. The fault detection according to the invention can be used for various localization technologies. This is based in particular on wireless sensor networks such as ultra-broadband technology (UWB), wireless (WiFi) or radio-based identification (RFID, radio frequency identification). Possible localization methods are based on transit times (ToA, Time of Arrival), transit time differences (TDoA, Time Difference of Arrival) and / or reception angles (AoA, Angle of Arrival). These technologies are known per se and are used for object detection, localization and object tracking, but have so far not been safe in terms of personal protection.

Das Sensorsystem weist bevorzugt mindestens einen bewegten Empfänger und ein Lokalisierungssignal erzeugende Sender als Informationsquellen auf. Die Informationsquellen werden in diesem Zusammenhang auch als Anker (Anchor, Beacon) bezeichnet. Aufgrund der Überbestimmung gibt es zumindest einen Anker mehr als erforderlich. Da insbesondere im Innenbereich nicht jeder Anker von überall zu empfangen ist, wird vorzugsweise die noch schärfere Bedingung erfüllt, dass von überall im relevanten Navigationsbereich mindestens ein zusätzlicher Anker zu empfangen ist. Deren jeweiliges Sende- oder Lokalisierungssignal, das physisch je nach verwendetem Sensorsystem beispielsweise ein Radar-, RFID- oder Ultraschallsignal ist, wird von dem bewegten Empfänger erfasst, der sich damit selbst lokalisiert. Statt eines beweglichen Empfängers, der sich anhand der Lokalisierungssignale von mehreren Ankern lokalisiert, kann umgekehrt ein bewegliches Tag ein Lokalisierungssignal erzeugen, das von den Ankern beziehungsweise Informationsquellen empfangen wirdThe sensor system preferably has at least one moving receiver and a transmitter generating a localization signal as information sources. In this context, the sources of information are also referred to as anchors (beacons). Because of the over-determination, there is at least one more anchor than required. Since not every anchor can be received from everywhere, especially in the interior, the even stricter condition is preferably met that at least one additional anchor can be received from everywhere in the relevant navigation area. Their respective transmission or localization signal, which is physically a radar, RFID or ultrasonic signal depending on the sensor system used, is recorded by the moving receiver, which localizes itself with it. Instead of a mobile receiver that localizes itself using the localization signals from several anchors, conversely, a mobile tag can generate a localization signal that is received by the anchors or information sources

In bevorzugter Weiterbildung ist ein sicheres Sensorsystem mit einer Vielzahl von Informationsquellen und einer Steuer- und Auswertungseinheit vorgesehen, die für eine Bestimmung einer Zielgröße aus Messgrößen der Informationsquellen und für eine erfindungsgemäße Fehleraufdeckung ausgebildet ist. Das Sensorsystem ist insbesondere ein sicherheitsgerichtetes Lokalisierungssystem nach einer der oben genannten Ausführungsformen. Die erfindungsgemäße Fehleraufdeckung leistet einen wichtigen Beitrag dazu, dass das Sensorsystem sicher wird.In a preferred development, a safe sensor system with a large number of information sources and a control and evaluation unit is provided, which is designed to determine a target variable from measured variables from the information sources and to detect errors according to the invention. The sensor system is in particular a safety-related localization system according to one of the above-mentioned embodiments. The fault detection according to the invention makes an important contribution to making the sensor system safe.

Die Erfindung wird nachstehend auch hinsichtlich weiterer Merkmale und Vorteile beispielhaft anhand von Ausführungsformen und unter Bezug auf die beigefügte Zeichnung näher erläutert. Die Abbildungen der Zeichnung zeigen in:

1 eine Draufsicht auf ein Lokalisierungssystem für ein Fahrzeug mit mehreren Ankern;
2 eine Darstellung der von einem Lokalisierungssystem geschätzten zweidimensionalen Positionen bei verschiedenen Versatzfehlern in einem der Anker;
3 eine Darstellung der unter Auslassung jeweils eines Ankers geschätzten Positionen, der tatsächlichen Position sowie von Mittelwert und Standardabweichung der geschätzten Positionen bei einem beispielhaften Versatzfehler in einem der Anker;
4 eine Darstellung der Standardabweichung der geschätzten Positionen in Abhängigkeit des Versatzfehlers in einem der Anker; und
5 eine Darstellung der Abweichung zwischen einer aus einer Position rückgerechneten TDoA und einer tatsächlichen TDoA an den verschiedenen Ankern jeweils in Abhängigkeit von einem Versatzfehler in einem der Anker.

The invention is explained in more detail below also with regard to further features and advantages by way of example using embodiments and with reference to the accompanying drawings. The figures in the drawing show in:

1 a top view of a location system for a vehicle having multiple anchors;
2 a representation of the two-dimensional positions estimated by a localization system given various offset errors in one of the anchors;
3 a representation of the positions estimated with the omission of one anchor in each case, the actual position and the mean value and standard deviation of the estimated positions in the case of an exemplary offset error in one of the anchors;
4th a representation of the standard deviation of the estimated positions as a function of the offset error in one of the anchors; and
5 a representation of the deviation between a TDoA calculated back from a position and an actual TDoA at the various anchors, each depending on an offset error in one of the anchors.

1 zeigt eine schematische Draufsicht auf ein Lokalisierungssystem für ein Fahrzeug 10. Das Fahrzeug 10 soll als Beispiel einer Anwendung einer sicherheitsgerichteten Lokalisierung von Objekten in komplexen Umgebungen beispielsweise der modernen Logistik automatisch navigieren (AGV, automated guided vehicle). 1 shows a schematic plan view of a localization system for a vehicle 10 . The vehicle 10 is to be used as an example of an application of a safety-oriented localization of objects in complex environments, for example in modern logistics, to automatically navigate (AGV, automated guided vehicle).

Das Lokalisierungssystem weist einen auf dem Fahrzeug 10 mitbewegten Lokalisierungssensor 12 mit einer Steuer- und Auswertungseinheit 14 auf. Der Lokalisierungssensor 12 ist nur schematisch als Antenne gezeigt. Der konkrete Aufbau hängt von der konkreten Lokalisierungstechnologie ab, ist dann aber an sich bekannt. Die Steuer- und Auswertungseinheit 14 kann als separates Bauteil wie dargestellt, abweichend aber auch mindestens teilweise in den Lokalisierungssensor 12 integriert oder umgekehrt in einem übergeordneten System wie der Fahrzeugsteuerung des Fahrzeugs 10 integriert sein. Zu dem Lokalisierungssystem gehört ferner eine Vielzahl von Sendern 16a-d, die sich an bekannten Positionen befinden und die ein Lokalisierungssignal erzeugen, das von dem Lokalisierungssensor 12 empfangen wird. Die Steuer- und Auswertungseinheit 14 wertet die jeweils von dem Lokalisierungssensor 12 erzeugten Messgrößen aus.The localization system has one on the vehicle 10 moving localization sensor 12th with a control and evaluation unit 14th on. The location sensor 12th is only shown schematically as an antenna. The specific structure depends on the specific localization technology, but is then known per se. The control and evaluation unit 14th can as a separate component as shown, but also at least partially in the localization sensor 12th integrated or vice versa in a higher-level system such as the vehicle control system 10 be integrated. The localization system also includes a large number of transmitters 16a-d that are in known positions and that have a localization signal generate that from the location sensor 12th Will be received. The control and evaluation unit 14th evaluates each from the localization sensor 12th generated measured variables.

Im Zusammenhang mit Lokalisierungsverfahren werden die verteilt angeordneten ortsfesten Sender 16a-d im Folgenden als Anker 16a-d bezeichnet. Als physikalische Basistechnologie sind verschiedene drahtlose Signale vorstellbar, beispielsweise drahtlose Netzwerke (WiFi), Radio-Frequenz verfahren (RFID) oder Ultra-Breitband Technologie (UWB). Dabei ist eine echte bidirektionale Kommunikationsverbindung vorteilhaft, aber nicht zwingend erforderlich, beispielsweise in einer Ausführungsform mit Ultraschallsendern und einem Ultraschallempfänger. Weiterhin sind auch unterschiedliche Verfahren zur Bestimmung einer Position bekannt, beispielsweise die Messung von Laufzeiten (ToA, Time of Arrival TOA), die Messung von Laufzeitunterschieden (TDoA, Time Difference of Arrival TDoA) oder der Messung von Winkeln, unter denen Signale empfangen werden (AoA, Angle of Arrival). Dabei kann jeder der n Anker 16a-d, in der Darstellung der 1 sind es beispielhaft vier Anker 16a-d, als eine Informationsquelle aufgefasst werden, die mit Hilfe des Lokalisierungssensors 12 eine Messgröße erzeugt.In connection with localization methods, the fixed transmitters arranged in a distributed manner are used 16a-d in the following as an anchor 16a-d designated. Various wireless signals are conceivable as physical basic technology, for example wireless networks (WiFi), radio frequency processes (RFID) or ultra-broadband technology (UWB). A real bidirectional communication connection is advantageous, but not absolutely necessary, for example in an embodiment with ultrasonic transmitters and an ultrasonic receiver. Furthermore, different methods for determining a position are known, for example the measurement of transit times (ToA, Time of Arrival TOA), the measurement of transit time differences (TDoA, Time Difference of Arrival TDoA) or the measurement of angles at which signals are received ( AoA, Angle of Arrival). Each of the n anchors can 16a-d , in the representation of the 1 there are four anchors, for example 16a-d , can be understood as a source of information that can be obtained with the help of the localization sensor 12th a measured variable is generated.

Um aus diesen Messgrößen eine Position als die eigentlich gesuchte Zielgröße zu bestimmen, sind mehrere Anker 16a-d erforderlich, wobei diese Anzahl auch davon abhängt, in wie vielen Dimensionen eine Position bestimmt werden soll. Sind mehr Ankter 16a-d vorhanden als rein mathematisch für die Bestimmung der Zielgröße notwendig, so ist das System überbestimmt. Das ist aber häufig gewollt, um die Genauigkeit, Verfügbarkeit und Robustheit der Lokalisierung zu erhöhen.Several anchors are needed to determine a position as the target variable actually sought from these measured variables 16a-d required, whereby this number also depends on how many dimensions a position is to be determined in. Are more anchors 16a-d if it is purely mathematically necessary to determine the target variable, the system is overdetermined. However, this is often wanted in order to increase the accuracy, availability and robustness of the localization.

Die Überbestimmung wird nun für ein softwarebasiertes Verfahren zur Fehleraufdeckung mit wechselseitiger Diagnose der Elemente des Lokalisierungssystems verwendet. Mit statistischen Ansätzen werden Abweichungen aufgedeckt, die durch Fehlfunktion eines Ankers 16a-d hervorgerufen werden. Als Maßstab kann das Verhalten des intakten Lokalisierungssystems sowie das zu erwartende Verhalten im Fehlerfall herangezogen werden.The overdetermination is now used for a software-based method for fault detection with mutual diagnosis of the elements of the localization system. Statistical approaches reveal deviations caused by an anchor malfunction 16a-d be evoked. The behavior of the intact localization system and the expected behavior in the event of a fault can be used as a yardstick.

Nachfolgend wird jeweils anhand von Simulationen unter Bezugnahme auf die 2 bis 4 eine erste Ausführungsform und dann unter Bezugnahme auf die 5 eine zweite Ausführungsform einer Fehleraufdeckung vorgestellt. In diesen Ausführungsformen werden mindestens drei Anker 16a-d zur Bestimmung einer zweidimensionalen Position benötigt. Tatsächlich sind aber vier Anker 16a-d vorhanden. Diese Zahlen sind rein beispielhaft. Als Lokalisierungsverfahren wird ebenso beispielhaft TDoA (Time Difference of Arrival) genutzt. Dabei registriert der Lokalisierungssensor 12 die Ankunftszeit der von den jeweiligen Ankern 16a-d ausgesandten Signale. Aus einem Vergleich der jeweiligen Ankunftszeiten lässt sich bei bekannten relativen Positionen der Anker 16a-d die Position des Fahrzeugs 10 bezüglich der Anker 16a-d ermitteln. Je nach Verfahren sind dabei Synchronisationen zwischen den Ankern 16a-d und/oder dem Lokalisierungssensor 12 erforderlich. Das Verfahren ist auch umgekehrt verwendbar. Dann erzeugt ein Sender auf dem Fahrzeug 10 ein Signal, das in den Ankern 16a-d empfangen wirdThe following is based on simulations with reference to the 2 until 4th a first embodiment and then with reference to FIG 5 a second embodiment of an error detection presented. In these embodiments, there are at least three anchors 16a-d needed to determine a two-dimensional position. In fact, there are four anchors 16a-d available. These numbers are purely exemplary. TDoA (Time Difference of Arrival) is also used as a localization method. The localization sensor registers 12th the arrival time of the respective anchors 16a-d transmitted signals. A comparison of the respective arrival times reveals the armature when the relative positions are known 16a-d the position of the vehicle 10 regarding the anchors 16a-d determine. Depending on the method, there are synchronizations between the anchors 16a-d and / or the location sensor 12th necessary. The procedure can also be used in reverse. Then a transmitter generates on the vehicle 10 a signal in the anchors 16a-d Will be received

In dem Lokalisierungssystem können verschiedene Fehler auftreten, bei denen eine sichere Lokalisierung nicht mehr gewährleistet werden kann. Exemplarisch wird hier ein Fehler angenommen, der an einem Anker 16d einen systematischen zusätzlichen Zeitversatz verursacht. Andere Fehler werden auf vergleichbare Weise aufgedeckt.Various errors can occur in the localization system, in which a reliable localization can no longer be guaranteed. As an example, an error is assumed here, that of an anchor 16d causes a systematic additional time offset. Other errors are revealed in a similar way.

2 zeigt beispielhaft die Positionen von vier Ankern 16a-d. Die tatsächliche Position 18 des Fahrzeugs 10 soll mit dem Lokalisierungsverfahren geschätzt werden. Die Ankunftszeiten bezüglich der verschiedenen Anker 16a-d sind auch in einem fehlerfrei arbeitenden Lokalisierungssystem nicht exakt, sondern unterliegen den typischen und unvermeidlichen Messungenauigkeiten durch Jitter, Antennengeometrie, Antennenausrichtung und dergleichen. Ein Optimierungsverfahren nutzt die Überbestimmung, um unter diesen realen Bedingungen eine möglichst gute Schätzung der Position 18 zu erreichen. Zusätzlich zu der Positionsschätzung können dabei statistische Maße der Unsicherheit berechnet werden. 2 shows an example of the positions of four anchors 16a-d . The actual position 18th of the vehicle 10 should be estimated with the localization method. The arrival times for the various anchors 16a-d are not exact even in an error-free localization system, but are subject to the typical and unavoidable measurement inaccuracies caused by jitter, antenna geometry, antenna alignment and the like. An optimization process uses overdetermination in order to obtain the best possible estimate of the position under these real conditions 18th to reach. In addition to the position estimate, statistical measures of the uncertainty can be calculated.

In 2 sind außer der exakten Position 18 verschiedene Schätzungen 20 der Position gezeigt, die unter der Annahme entstanden sind, dass der Anker 16d aufgrund eines Fehlers einen systematischen Zeitversatz aufweist, der hierfür Fälle von -5 ns bis 5 ns variiert ist. Zur Vereinfachung weisen die Schätzungen nicht auch noch zusätzlich Messtoleranzen auf. Die Herausforderung bei der Fehleraufdeckung besteht in diesem Ausführungsbeispiel darin zu erkennen, ob es eine solche systematische Verzerrung durch einen Zeitversatz an einem Anker 16a-d gibt. Dabei ist die exakte Position 18 natürlich nicht bekannt, und es soll zusätzlich erkannt werden, ob es sich um mehr als die erwartbaren Ungenauigkeiten handelt. Ein Ansprechen auf typische Messungenauigkeiten wäre zwar kein Sicherheitsproblem, würde aber völlig unnötig die Verfügbarkeit und damit die Akzeptanz des Lokalisierungssystems senken.In 2 are out of the exact position 18th different estimates 20th the position shown assuming that the anchor 16d has a systematic time offset due to an error, which for this case varies from -5 ns to 5 ns. For the sake of simplicity, the estimates do not also have additional measurement tolerances. In this exemplary embodiment, the challenge in detecting errors is to recognize whether there is such a systematic distortion due to a time offset at an armature 16a-d gives. Here is the exact position 18th of course not known, and it should also be recognized whether the inaccuracies are more than the expected inaccuracies. Responding to typical measurement inaccuracies would not be a safety problem, but it would reduce the availability and thus the acceptance of the localization system completely unnecessarily.

3 zeigt nochmals die vier Anker 16a-d sowie die durch ein Dreieck symbolisierte und dem Lokalisierungssystem unbekannte exakte Position 18. Mit einem „x“ sind geschätzte Positionen 22 markiert, die mit den Messgrößen beziehungsweise Ankunftszeiten von jeweils drei der vier Anker 16a-d bestimmt wurden. Die Information des jeweils vierten Ankers 16a-d bleibt demnach unberücksichtigt. Auf diese Weise wird viermal eine Position 22 geschätzt: $\vec{r_{1} [A_{2}, A_{3}, A_{4}]} = (\begin{matrix} x_{1} \\ y_{1} \end{matrix}), \vec{r_{2} [A_{1}, A_{3}, A_{4}]} = (\begin{matrix} x_{2} \\ y_{2} \end{matrix}),$

\vec{r_{3} [A_{1}, A_{2}, A_{4}]} = (\begin{matrix} x_{3} \\ y_{3} \end{matrix}), \vec{r_{4} [A_{1}, A_{2}, A_{3}]} = (\begin{matrix} x_{4} \\ y_{4} \end{matrix}) .

3 shows the four anchors again 16a-d as well as the exact position symbolized by a triangle and unknown to the localization system 18th . With an "x" are estimated positions 22nd marked with the measurands respectively Arrival times of three of the four anchors 16a-d were determined. The information of the fourth anchor 16a-d is therefore not taken into account. This way there is four times a position 22nd estimated:

\vec{r_{1} [{A.}_{2}, {A.}_{3}, {A.}_{4th}]} = (\begin{matrix} x_{1} \\ y_{1} \end{matrix}), \vec{r_{2} [{A.}_{1}, {A.}_{3}, {A.}_{4th}]} = (\begin{matrix} x_{2} \\ y_{2} \end{matrix}),

\vec{r_{3} [{A.}_{1}, {A.}_{2}, {A.}_{4th}]} = (\begin{matrix} x_{3} \\ y_{3} \end{matrix}), \vec{r_{4th} [{A.}_{1}, {A.}_{2}, {A.}_{3}]} = (\begin{matrix} x_{4th} \\ y_{4th} \end{matrix}) .

Hierbei bezeichnet $\vec{r_{l}}$

die Positionsinformation, die ohne den i-ten Anker 16a-d berechnet wird, wobei umgekehrt die Anker 16a-d, die zur Bestimmung der jeweiligen Position 22 verwendet werden, in eckigen Klammern aufgeführt sind.Here referred to

\vec{r_{l}}

the position information without the i-th anchor 16a-d is calculated, reversing the anchor 16a-d that are used to determine the respective position 22nd used are listed in square brackets.

Diese Positionen 22 sind korreliert, da die einfließenden Messgrößen der Anker 16a-d einander überlappen. In einem idealen Lokalisierungssystem sollte überdies jeweils die identische Position resultieren, und zwar bei der exakten Position 18. Das ist aber in einem realen Lokalisierungssystem selbst im fehlerfreien Fall aufgrund von Messtoleranzen nicht zu erwarten. Durch einen Vergleich der geschätzten Positionen 22 samt deren Unsicherheiten wird zur Fehleraufdeckung festgestellt, ob die Messungen außerhalb des zu erwartenden Bereichs liegen.These positions 22nd are correlated, as the influencing measured variables of the anchor 16a-d overlap each other. In an ideal localization system, the exact position should also result in each case 18th . However, this is not to be expected in a real localization system even if there are no errors due to measurement tolerances. By comparing the estimated positions 22nd together with their uncertainties, in order to detect errors, it is determined whether the measurements are outside the expected range.

Im Beispiel der 3 weist der Anker 16d einen Fehler in Form eines Zeitversatzes von 1,5 ns auf. Dieser Anker 16d ist nur in der einen geschätzten Position 22 links unten unberücksichtigt, so dass hier bis auf Messtoleranzen die exakte Position 18 getroffen wird. Die drei übrigen geschätzten Positionen 22 sind systematisch verzerrt. Das lässt sich aber so nur mit dem Auge beurteilen, weil die an sich unbekannte exakte Position 18 mit gezeigt ist.In the example of the 3 the anchor points 16d an error in the form of a time offset of 1.5 ns. This anchor 16d is only in the one valued position 22nd left below unconsidered, so that here the exact position except for measuring tolerances 18th is hit. The three remaining estimated positions 22nd are systematically distorted. But that can only be judged with the eye, because the exact position is unknown 18th is shown with.

Um in einer automatischen Fehleraufdeckung die Abweichung zu quantifizieren, wird die Standardabweichung 24 der geschätzten Positionen 22 gebildet, wobei zur Vervollständigung auch noch der Mittelwert 26 dargestellt wird. Die Standardabweichung 24 ist umso größer, je größer der Fehler in dem Anker 16d ist, und daran kann der Fehler erkannt werden.In order to quantify the deviation in an automatic error detection, the standard deviation is used 24 of the estimated positions 22nd formed, with the mean value to complete it 26th is pictured. The standard deviation 24 is greater, the greater the error in the anchor 16d and this is how the fault can be identified.

Um dies für verschiedene Ausprägungen des Fehlers zu veranschaulichen, zeigt 4 auf der Y-Achse die Standardabweichung 24 in Abhängigkeit des Fehlers, der auf der X-Achse wie schon in 2 von -5 ns bis 5 ns variiert wird. Die Kurve der Standardabweichung ist zweifach jeweils für die X- und Y-Richtung gemäß 3 mit kleinen senkrechten Strichen beziehungsweise Kreisen dargestellt. Es zeigt sich ein sehr deutlich ausgeprägtes Minimum bei 0 ns, d.h. einem fehlerfrei arbeitenden Anker 16d. Man beachte die logarithmische Darstellung auf der Y-Achse. Somit lässt sich durch eine mit gestrichelter Linie angedeutete Schwelle unterscheiden, ob die Abweichungen zwischen den geschätzten Positionen 22 im erwarteten Rahmen liegen oder ein Fehler unterstellt werden muss. Die Schwelle wird vorzugsweise als Vielfaches der Standardabweichung der geschätzten Positionen 22 eines fehlerfrei arbeitenden Lokalisierungssystems angegeben, d.h. bei einem systematischen Versatz Null.To illustrate this for different manifestations of the error, shows 4th the standard deviation on the Y-axis 24 depending on the error that occurs on the X-axis as in 2 varies from -5 ns to 5 ns. The standard deviation curve is twofold for each of the X and Y directions according to 3 shown with small vertical lines or circles. There is a very clearly pronounced minimum at 0 ns, ie an anchor that is working properly 16d . Note the logarithmic representation on the Y-axis. Thus, a threshold indicated by a dashed line can be used to distinguish whether the deviations between the estimated positions 22nd are within the expected range or an error must be assumed. The threshold is preferably expressed as a multiple of the standard deviation of the estimated positions 22nd of an error-free localization system, ie with a systematic offset of zero.

Statt des vorgestellten statistischen Vergleichs anhand der Standardabweichung 24 könnten geschätzte Positionen 22 auch direkt miteinander verglichen werden, aber das wäre weniger robust. Anderer statistische Verfahren, wie Korrelationsverfahren, stochastische Netze und auch Ansätze des maschinellen Lernens einschließlich neuronaler Netze sind ebenfalls vorstellbar.Instead of the presented statistical comparison based on the standard deviation 24 could be estimated positions 22nd can also be compared directly with each other, but that would be less robust. Other statistical methods such as correlation methods, stochastic networks and also approaches of machine learning including neural networks are also conceivable.

5 illustriert eine weitere Ausführungsform zur Fehleraufdeckung in dem Lokalisierungssystem. In dieser Ausführungsform wird zunächst die Position, gegebenenfalls samt Unsicherheit, bestmöglich mit den zur Verfügung stehenden vier Ankern 16a-d geschätzt: $\vec{r [A_{1}, A_{2}, A_{3}, A_{4}]} = (\begin{matrix} x \\ y \end{matrix}) .$

Diese Position wird dann verwendet, um die theoretisch zu erwartende Laufzeitunterschiede für jeden der Anker 16a-d zurückzurechnen. Diese theoretischen oder hypothetischen Laufzeitunterschiede werden dann mit den tatsächlich gemessenen Laufzeitunterschieden verglichen. 5 illustrates a further embodiment for fault detection in the localization system. In this embodiment, the position, possibly including the uncertainty, is initially determined in the best possible way with the four anchors available 16a-d estimated:

\vec{r [{A.}_{1}, {A.}_{2}, {A.}_{3}, {A.}_{4th}]} = (\begin{matrix} x \\ y \end{matrix}) .

This position is then used to calculate the theoretically expected maturity differences for each of the anchors 16a-d to calculate back. These theoretical or hypothetical runtime differences are then compared with the actually measured runtime differences.

Die Abweichungen zwischen hypothetischen und gemessenen Laufzeitunterschieden sind in 5 auf der Y-Achse für die verschiedenen Anker 16a-d gegen einen erneut auf der X-Achse von -5 ns bis 5 ns variierenden systematischen Fehler eines Ankers 16d aufgetragen. Durch eine mit gestrichelten Linien angedeutete Schwelle lässt sich erfassen, ab wann eine Abweichung nicht mehr nur typischen Messungenauigkeiten zugeschrieben werden kann, sondern ein Fehler als aufgedeckt gilt. Als Schwelle eignet sich insbesondere in Vielfaches der Standardabweichung von Messunterschieden in einem Lokalisierungssystem ohne Fehler.The deviations between hypothetical and measured runtime differences are shown in 5 on the Y-axis for the various anchors 16a-d against a systematic error of an armature which again varies on the X-axis from -5 ns to 5 ns 16d applied. A threshold indicated by dashed lines can be used to determine when a deviation can no longer be ascribed to typical measurement inaccuracies, but rather an error is considered to be detected. A particularly suitable threshold is a multiple of the standard deviation of measurement differences in a localization system without errors.

Die Fehleraufdeckung ist in dieser Ausführungsform unschärfer als in der zuvor unter Bezugnahme auf die 2 bis 4 vorgestellten Ausführungsform. Dafür ist der rechnerische Aufwand deutlich geringer. Auch in dieser Ausführungsform wären anstelle des erläuterten konkreten Vergleichs mit einer an der Standardabweichung der üblichen Messfehler orientieren Schwelle ein direkter Vergleich oder ein anderes statistisches Verfahren beziehungsweise ein Verfahren des maschinellen Lernens vorstellbar, um Unterschiede aufgrund von Messunsicherheiten und Fehler voneinander zu unterscheiden. The fault detection is less clear in this embodiment than in the previous embodiment with reference to FIG 2 until 4th presented embodiment. The computational effort is significantly lower for this. In this embodiment, too, instead of the explained concrete comparison with a threshold based on the standard deviation of the usual measurement errors, a direct comparison or another statistical method or a method of machine learning would be conceivable. to distinguish differences due to measurement uncertainties and errors.

Die beiden Ausführungsformen wurden jeweils für eine einzelne Messung beschrieben, in der Anker 16a-d nur eine Messgröße bestimmt wird, beispielsweise eine Ankunftszeit. Eine noch robustere Fehleraufdeckung lässt sich durch mehrere Messwiederholungen erreichen. Dadurch werden insbesondere die Standardabweichungen verlässlicher, und zufällige Ausschläge in den Messunsicherheiten wirken sich weniger aus. So wird die Verfügbarkeit des Lokalisierungssystems verbessert, während relevante Fehler weiterhin zuverlässig detektiert werden.The two embodiments were each described for a single measurement, in the anchor 16a-d only one measured variable is determined, for example an arrival time. Even more robust error detection can be achieved by repeating measurements several times. As a result, the standard deviations in particular become more reliable and random fluctuations in the measurement uncertainties have less of an effect. This improves the availability of the localization system, while relevant errors continue to be reliably detected.

Da die Fehleraufdeckung auf den Informationen beruht, die für die Bestimmung der Position benötigt werden, können alle Typen von Fehlern aufgedeckt werden, beispielsweise zufällige Hardwarefehler, systematische Fehler oder auch zeitweise Ausfälle. Damit wird ein hoher Diagnosegrad („diagnostic coverage“) im Sinne der funktionalen Sicherheit erreicht.Since the error detection is based on the information that is required to determine the position, all types of errors can be detected, for example random hardware errors, systematic errors or even temporary failures. This achieves a high degree of diagnosis ("diagnostic coverage") in terms of functional safety.

Das Fehleraufdeckungsverfahren wurde am Beispiel eines Lokalisierungssystems beschrieben. Die Anwendung ist darauf jedoch nicht beschränkt. Die Fehleraufdeckung funktioniert in gleicher Weise für Sensorsysteme und Messprinzipien, die n Informationsquellen benötigen und mindestens n+1 solcher Informationsquellen zur Verfügung stehen.The error detection method was described using a localization system as an example. However, the application is not limited to this. Error detection works in the same way for sensor systems and measurement principles that require n information sources and at least n + 1 such information sources are available.

ZITATE ENTHALTEN IN DER BESCHREIBUNGQUOTES INCLUDED IN THE DESCRIPTION

Diese Liste der vom Anmelder aufgeführten Dokumente wurde automatisiert erzeugt und ist ausschließlich zur besseren Information des Lesers aufgenommen. Die Liste ist nicht Bestandteil der deutschen Patent- bzw. Gebrauchsmusteranmeldung. Das DPMA übernimmt keinerlei Haftung für etwaige Fehler oder Auslassungen.This list of the documents listed by the applicant was generated automatically and is included solely for the better information of the reader. The list is not part of the German patent or utility model application. The DPMA assumes no liability for any errors or omissions.

Zitierte Nicht-PatentliteraturNon-patent literature cited

ISO 13849 [0002, 0008]

Claims

Method for fault detection in a safe sensor system (12, 14, 16a-d), in which a measured variable is recorded by means of a multiplicity of n information sources (16a-d) and a target variable is determined from the measured variables, the sensor system (12, 14 , 16a-d) is over-determined in the sense that the target variable can also be determined with fewer than n information sources (16a-d) and where the error detection establishes that at least one of the information sources (16a-d) generates an incorrect measured variable, characterized in that, in order to detect errors, the target variable is determined several times from different combinations of less than n information sources (16a-d) and an excessive deviation of the target variables determined several times from one another is recognized as an error of at least one information source (16a-d) and / or from the target variable, it is calculated back which measured variable would have generated an error-free functioning information source (16a-d), and this with de The measured variable actually generated is compared.

Procedure according to Claim 1 , the target variable being determined from the measured variables of n-1 information sources (16a-d), in particular from all combinations of n-1 information sources (16a-d).

Procedure according to Claim 1 or 2 , wherein a standard deviation (24) of the target variable determined several times is determined and evaluated with a threshold, the threshold in particular being defined as a multiple of a standard deviation (24) of an error-free sensor system (12, 14, 16a-d).

Method according to one of the preceding claims, wherein the target variable, from which the measured variables of an error-free functioning information source (16a-d) are calculated back, is determined from all information sources (16a-d).

Method according to one of the preceding claims, wherein the difference between a recalculated measured variable of an error-free functioning information source (16a-d) and a measured variable actually generated by the information source (16a-d) is evaluated with a threshold, the threshold in particular as a multiple of the standard deviation of the Measured variable with an error-free information source (16a-d) is specified.

Method according to one of the preceding claims, wherein repeated measurements with determination of the measured variables are carried out and these are jointly evaluated statistically.

Method according to one of the preceding claims, wherein the sensor system (12, 14, 16a-d) is a safety-related localization system, in particular for a vehicle (10), and the target variable is a kinematic variable.

Procedure according to Claim 7 , wherein the sensor system (12, 14, 16a-d) is a UWB, RFID, ultrasound or WiFi system and the kinematic variable is determined on the basis of signal transit times, signal transit time differences and / or reception angles.

Method according to one of the preceding claims, wherein the sensor system (12, 14, 16a-d) has at least one moving receiver (12) and a transmitter (16a-d) generating a localization signal as information sources or, conversely, a moving tag generates a localization signal that is received from information sources (16a-d).

Safe sensor system (12, 14, 16a-d) with a large number of information sources (16a-d) and a control and evaluation unit (14) which are used for determining a target variable from measured variables of the information sources (16a-d) and for a method is designed for fault detection according to one of the preceding claims.