-
Die vorliegende Erfindung betrifft die Auswertung von Messdaten, die durch physikalische Beobachtung einer Szenerie mit mindestens einem Sensor erhalten wurden, für sicherheitskritische Anwendungen, wie beispielsweise das zumindest teilweise automatisierte Fahren von Fahrzeugen.
-
Stand der Technik
-
Wenn ein Fahrzeug zumindest teilweise automatisiert im Verkehr geführt wird, werden Entscheidungen über das Fahrverhalten und über die von dem Fahrzeug zu fahrende Trajektorie auf der Basis einer Auswertung von Messdaten getroffen, die durch Beobachtung des Umfelds des Fahrzeugs erhalten wurden. Die Auswertung der Messdaten ist daher in dem Sinne sicherheitskritisch, dass eine Fehlfunktion bei der Auswertung Unfälle mit Sach- oder Personenschäden zur Folge haben kann. Für eine behördliche Zulassung derartiger Systeme ist daher im Rahmen eines Zertifizierungsprozesses eine bestimmte maximale Wahrscheinlichkeit nachzuweisen, mit der eine Fehlfunktion während eines vorgegebenen Zeitraums eintritt.
-
Die diesbezüglichen Anforderungen sind im Standard ISO 26262 in verschiedenen Automotive Safety Integrity Levels, ASIL-Levels, festgelegt. Je höher der ASIL-Level, desto teurer sind entsprechende Komponenten.
-
Die
EP 2 513 750 B1 , die
WO 2018/063 757 A1 sowie die
WO 2014/128 288 A1 offenbaren allgemeinen Stand der Technik zur Organisation der Arbeit in Mehrkern-Prozessorsystemen.
-
Offenbarung der Erfindung
-
Im Rahmen der Erfindung wurde ein Verfahren zur Auswertung von Messdaten entwickelt, die durch die physikalische Beobachtung einer Szenerie mit mindestens einem Sensor erhalten wurden.
-
Bei diesem Verfahren wird mindestens ein erster Teil der Messdaten wird durch Ausführen eines ersten Algorithmus auf einem ersten Rechenwerk zu einem ersten Ergebnis ausgewertet. Mindestens ein zweiter Teil der Messdaten wird durch Ausführen eines zweiten Algorithmus auf einem zweiten Rechenwerk zu einem zweiten Ergebnis ausgewertet.
-
Dabei ist das zweite Rechenwerk von dem ersten Rechenwerk verschieden. Das heißt, das erste Rechenwerk und das zweite Rechenwerk bedienen sich verschiedener Verarbeitungseinheiten, so dass eine Fehlfunktion einer solchen Verarbeitungseinheit nicht gleichzeitig die von beiden Rechenwerken gelieferten Ergebnisse in gleicher Weise verfälschen kann. Diese Verarbeitungseinheiten, wie auch das erste und das zweite Rechenwerk, können jedoch konstruktiv identisch aufgebaut sein. Wenn die vom ersten und zweiten Rechenwerk genutzten Verarbeitungseinheiten, und/oder das erste und das zweite Rechenwerk als Ganzes, konstruktiv unterschiedlich aufgebaut sind, wird die Wahrscheinlichkeit weiter herabgesetzt, dass in beiden Rechenwerken gleichzeitig eine Fehlfunktion auftritt, die sich in gleicher Weise auf die jeweiligen Ergebnisse auswirkt.
-
Ein Beispiel für eine solche Fehlfunktion ist der Ausfall eines beim Design des Rechenwerks für die anliegende Spannung zu schwach dimensionierten Bauelements. Die falsche Dimensionierung bewirkt einen übermäßigen Verschleiß, so dass das Bauelement von vornherein dazu „verurteilt“ ist, irgendwann auszufallen. Wenn zwei Rechenwerke mit dem gleichen Designfehler gleichmäßig beansprucht werden, liegt es im Bereich des Möglichen, dass das falsch dimensionierte Bauelement in beiden Rechenwerken zum gleichen Zeitpunkt ausfällt.
-
Der erste Teil, bzw. der zweite Teil, der Messdaten ist jeweils nicht auf eine echte Teilmenge der insgesamt verfügbaren Messdaten beschränkt, sondern kann insbesondere beispielsweise auch alle verfügbaren Messdaten umfassen. Weiterhin ist es nicht zwingend notwendig, dass der erste Teil und der zweite Teil verschieden sind. Es gibt auch sinnvolle Ausführungsformen, in denen die gleichen Messdaten sowohl dem ersten Rechenwerk als auch dem zweiten Rechenwerk zugeführt werden.
-
Weiterhin ist es nicht zwingend notwendig, dass der erste Algorithmus und der zweite Algorithmus voneinander verschieden sind. Wenn der erste Algorithmus und der zweite Algorithmus voneinander verschieden sind, wird jedoch die Wahrscheinlichkeit herabgesetzt, dass ein Fehler im Design eines Algorithmus sich in gleicher Weise auf die von beiden Recheneinheiten gelieferten Ergebnisse auswirkt.
-
Ein Beispiel für einen Fehler im Design eines Algorithmus, der länger verborgen bleibt und erst später zu Tage tritt, ist eine falsche Dimensionierung des Wertebereichs von Variablen, die der Algorithmus verwendet. Wenn beispielsweise für eine Variable ein nicht negativer 16-Bit-Ganzzahlwert vorgesehen ist, kann diese Variable Werte zwischen 0 und 65535 annehmen. Solange im laufenden Betrieb nur Werte aus diesem Bereich auftreten, läuft die Auswertung fehlerfrei. Sollte jedoch irgendwann eine Situation auftreten, in der der Wert beispielsweise 65540 beträgt, kann dieser Integer-Überlauf beispielsweise dazu führen, dass mit dem unsinnigen Wert 5 weitergerechnet wird.
-
Das erste Ergebnis und das zweite Ergebnis werden einem dritten Rechenwerk zugeführt. Dieses dritte Rechenwerk ist von dem ersten Rechenwerk und dem zweiten Rechenwerk verschieden. Mit dem dritten Rechenwerk wird geprüft, ob das erste Ergebnis zu dem zweiten Ergebnis plausibel ist. In Antwort darauf, das erste Ergebnis zu dem zweiten Ergebnis plausibel ist, wird aus dem ersten Ergebnis und dem zweiten Ergebnis ein Gesamtergebnis der Auswertung gebildet.
-
Wenn die beiden Algorithmen identisch sind und gleiche Messdaten verarbeiten, kann „plausibel“ insbesondere bedeuten, dass die Ergebnisse gleich oder nahezu gleich sind (bis auf Rundungsfehler oder andere erklärbare, kleine Abweichungen). Dies ist jedoch nicht zwingend erforderlich. Auch Messdaten, die sich auf völlig unterschiedliche Beobachtungsmodalitäten beziehen, wie beispielsweise Kamerabilddaten und Radardaten, können gegeneinander plausibilisiert werden. Wenn beide Arten von Messdaten beispielsweise auf das Vorhandensein eines bestimmten Objekts hindeuten, dann sollte die Auswertung beider Arten von Messdaten beispielsweise darin münden, dass das Objekt an der (zumindest näherungsweise) gleichen räumlichen Position erkannt wird.
-
Dieses Vorgehen ist ein Stück weit analog zum Zählen von Münzgeld nach dem Vier-Augen-Prinzip. Wenn zwei Personen unabhängig voneinander den gleichen Haufen Münzgeld jeweils nach ihrem persönlichen Arbeitsschema zählen, sollte sich normalerweise bei beiden Zählungen der gleiche Geldbetrag ergeben.
-
Sofern das erste Ergebnis und das zweite Ergebnis nicht identisch sind, gibt es viele gut motivierte Möglichkeiten, beide Ergebnisse zu einem Gesamtergebnis der Auswertung zusammenzuführen. Beispielsweise kann hierfür ein Mittelwert oder eine sonstige Interpolation herangezogen werden.
-
Der erste Algorithmus, und/oder der zweite Algorithmus, kann beispielsweise mindestens eine Inferenzberechnung eines neuronalen Netzwerks umfassen. Insbesondere kann beispielsweise der erste Algorithmus eine Inferenzberechnung eines ersten neuronalen Netzwerks und der zweite Algorithmus eine Inferenzberechnung eines zweiten neuronalen Netzwerks umfassen, das zumindest anders trainiert wurde als das erste neuronale Netzwerk. Auf diese Weise kann beispielsweise eine erhöhte Sicherheit gegen Angriffe auf neuronale Netzwerke, die zur Klassifikation von Messdaten verwendet werden, mit sogenannten „adversarial examples“ erreicht werden. „Adversarial examples“ sind Messdaten, die mit dem Ziel manipuliert wurden, eine Fehlklassifikation zu provozieren. Die Wahrscheinlichkeit ist vergleichsweise gering, dass ein und dieselbe Manipulation zwei in unterschiedlicher Weise trainierte Netzwerke zu der gleichen Fehlklassifikation veranlasst.
-
In einer besonders vorteilhaften Ausgestaltung umfassen die Messdaten somit digitale Bilddaten, wobei es sich hierbei insbesondere um Kamerabilder, Videobilder, Radarbilder, Ultraschallbilder und/oder Wärmebilder. Das erste Ergebnis, und/oder das zweite Ergebnis, eine Klassifikation von Objekten beinhaltet, auf deren Vorhandensein die digitalen Bilddaten hindeuten.
-
Die Auswertung derartiger Bilddaten ist jedoch nicht auf neuronale Netzwerke beschränkt. Beispiele für weitere Algorithmen, die alternativ oder in Kombination zu neuronalen Netzwerken verwendet werden können, sind
- • eine Auswertung von Objekten aus dem optischen Fluss einer zeitlichen Abfolge von Bildern, und/oder
- • eine photogrammetrische Rekonstruktion einer dreidimensionalen Szenerie aus einer Abfolge von Bildern.
-
In einer besonders vorteilhaften Ausgestaltung beinhaltet die Prüfung, ob das erste Ergebnis zu dem zweiten Ergebnis plausibel ist, eine Prüfung, inwieweit das zweite Ergebnis im Einklang mit dem Vorhandensein mindestens eines im Rahmen des ersten Ergebnisses identifizierten Objekts steht. Auf diese Weise können auch die Ergebnisse zweier Auswertungen, die völlig unterschiedliche Datentypen liefern, speziell im Hinblick auf das zumindest teilweise automatisierte Fahren miteinander plausibilisiert werden. Dreh- und Angelpunkt der Entscheidungen über das Fahrverhalten und die zu fahrende Trajektorie ist in dieser Anwendung, welche Objekte im Fahrzeugumfeld vorhanden sind.
-
Wenn beispielsweise der erste Algorithmus die Auswertung aus dem optischen Fluss und der zweite Algorithmus die photogrammetrische Rekonstruktion beinhaltet, liefern diese beiden Auswertungen völlig verschiedene Datentypen, die sich nicht direkt miteinander vergleichen lassen, wohl aber über die Objekte, auf deren Vorhandensein die Messdaten jeweils hindeuten.
-
In einer weiteren vorteilhaften Ausgestaltung wird der erste Teil der Messdaten durch Beobachtung der Szenerie mit einem ersten Sensor bereitgestellt. Der zweite Teil der Messdaten wird durch Beobachtung der gleichen Szenerie mit einem zweiten, von dem ersten Sensor separaten Sensor bereitgestellt. Auf diese Weise macht es sich im Rahmen der Plausibilisierung auch bemerkbar, wenn einer der Sensoren eine Fehlfunktion hat. Die Wahrscheinlichkeit, dass beide Sensoren zum gleichen Zeitpunkt eine Fehlfunktion aufweisen, die die Messdaten in der gleichen Weise verfälscht, ist gering. Dies gilt insbesondere beispielsweise dann, wenn die beiden Sensoren konstruktiv unterschiedlich aufgebaut sind.
-
Wie zuvor erläutert, werden die Messdaten besonders vorteilhaft durch Beobachtung des Umfelds eines Fahrzeugs mit mindestens einem Sensor, der in oder am dem Fahrzeug montiert ist, bereitgestellt. Sollte in dieser Ausgestaltung festgestellt werden, dass das erste Ergebnis nicht zu dem zweiten Ergebnis plausibel ist, sind verschiedene Gegenmaßnahmen einzeln oder in Kombination sinnvoll.
-
Beispielsweise kann mindestens ein zusätzlicher physikalischer Sensor für die Beobachtung des Umfelds des Fahrzeugs aktiviert werden. Mit den zusätzlichen Informationen kann dann etwa der Widerspruch zwischen den beiden Auswertungen aufgelöst werden, und/oder es kann ermittelt werden, was diesen Widerspruch verursacht hat. So kann beispielsweise unter bestimmten Bedingungen (wie Dunkelheit, Nebel, Regen oder Schneefall) die Bildqualität von Kamerabildern zu schlecht für eine verlässliche Auswertung sein. Auch kann beispielsweise das Gesamtergebnis der Auswertung, das etwa einem Trajektorienplaner des Fahrzeugs zugeführt wird, bei einem Angriff mit einem „adversarial example“ durch das Heranziehen weiterer Sensordaten korrigiert werden. Wenn etwa ein Widerspruch zwischen beiden Auswertungen dadurch verursacht wurde, dass ein Stoppschild in böswilliger Absicht mit einem Aufkleber verändert wurde, so wird dieser Aufkleber in einem zusätzlich herangezogenen Radarbild nicht auftauchen. Manche Klassifikatoren für Verkehrszeichen ließen sich in der Vergangenheit durch derartige Aufkleber derart „täuschen“, dass das Stoppschild als Tempo-70-Schild fehlklassifiziert wurde.
-
Alternativ oder in Kombination hierzu kann die Fahrgeschwindigkeit eines zumindest teilweise automatisiert fahrenden Fahrzeugs vermindert werden. Dies verschafft bei einem Andauern oder einer weiteren Verschlimmerung der Fehlfunktion zusätzliche Zeit für weitere Maßnahmen und mindert zugleich die Folgen einer möglichen Kollision.
-
Es kann auch beispielsweise ein Fahrassistenzsystem, und/oder ein System für das zumindest teilweise automatisierte Führen des Fahrzeugs, ganz oder teilweise deaktiviert werden. In Fahrzeugen, in denen noch eine Übergabe der Kontrolle an einen menschlichen Fahrer vorgesehen ist, kann der Fahrer aufgefordert werden, sich für eine solche Übergabe bereitzumachen.
-
Als härteste Konsequenz kann ein zumindest teilweise automatisiert fahrendes Fahrzeug auf einer vorgeplanten Notstopp-Trajektorie zum Stillstand gebracht werden. Eine solche Notstopp-Trajektorie wird in derartigen Fahrzeugen immer aktuell vorgehalten.
-
Die Erfindung bezieht sich auch auf eine Recheneinheit für die Auswertung von Messdaten, die speziell für die Durchführung des zuvor beschriebenen Verfahrens geeignet ist.
-
Diese Recheneinheit umfasst ein erstes Rechenwerk, das dazu ausgebildet ist, Messdaten durch Ausführen eines ersten Algorithmus zu einem ersten Ergebnis auszuwerten. Weiterhin ist ein zweites Rechenwerk vorgesehen, das dazu ausgebildet ist, Messdaten durch Ausführen eines zweiten Algorithmus zu einem zweiten Ergebnis auszuwerten.
-
Weiterhin ist ein drittes Rechenwerk vorgesehen, welches das erste Ergebnis und das zweite Ergebnis als Eingaben erhält. Dieses dritte Rechenwerk ist dazu ausgebildet, zu prüfen, ob das erste Ergebnis zu dem zweiten Ergebnis plausibel ist. Hinsichtlich der konkreten Ausgestaltung der Plausibilisierung und der Algorithmen, mit denen das erste und zweite Ergebnis bereitgestellt werden, gilt alles zuvor Gesagte fort. Das dritte Rechenwerk kann insbesondere auch dazu ausgebildet sein, in Antwort darauf, das erste Ergebnis zu dem zweiten Ergebnis plausibel ist, aus dem ersten Ergebnis und dem zweiten Ergebnis ein Gesamtergebnis der Auswertung zu bilden.
-
Es wurde erkannt, dass eine in dieser Weise aufgebaute Recheneinheit ein vorgegebenes Sicherheitsniveau hinsichtlich der Wahrscheinlichkeit einer unerkannten Fehlfunktion mit einem deutlich geringeren Kostenaufwand erreichen kann. Die Rechenwerke, die für die Abarbeitung komplexer Algorithmen zur Bildverarbeitung mit dem geforderten Durchsatz an Bildern je Zeiteinheit benötigt werden, sind vergleichsweise aufwändig. In einer Ausführung, die einem hohen Sicherheitsniveau genügt, sind diese Rechenwerke vergleichsweise teuer. Die Plausibilisierung mit dem dritten Rechenwerk ermöglicht es nun, für das erste Rechenwerk und das zweite Rechenwerk jeweils Ausführungen mit einem deutlich geringeren Sicherheitsniveau zu nutzen, die deutlich weniger kosten. Es können dann in dem ersten und/oder zweiten Rechenwerk Fehlfunktionen auftreten, aber dies werden durch die Plausibilisierung mit dem dritten Rechenwerk abgefangen, schlagen also nicht bis zu nachteiligen Folgen im Kontext der jeweiligen Anwendung durch. Ursache hierfür ist, wie zuvor erläutert, dass es sehr unwahrscheinlich ist, dass die von beiden Rechenwerken durch eine oder mehrere Fehlfunktionen in genau der gleichen Weise verfälscht werden.
-
In einer besonders vorteilhaften Ausgestaltung ist die Recheneinheit als System-on-Chip ausgebildet. Dieses System-on-Chip vereint das erste Rechenwerk, das zweite Rechenwerk und das dritte Rechenwerk auf einem gemeinsamen Halbleiter-Die. Alle drei Rechenwerke sind dann von einem gemeinsamen Gehäuse umschlossen und können innerhalb des System-on-Chip über ein von außerhalb der Recheneinheit nicht zugängliches Bussystem miteinander kommunizieren.
-
Um möglichst viele sogenannte „Common Cause Fehler“ auszuschließen, die beide Rechenwerke in der gleichen Weise betreffen könnten, sollten das erste Rechenwerk und das zweite Rechenwerk im Sinne der ISO 26262 derart voneinander getrennt sein, dass sich gegenseitige Wechselwirkungen ausschließen lassen. Hierzu können beispielsweise beide Rechenwerke mit voneinander unabhängigen Spannungsversorgungen und Taktgebern ausgestattet sein. Besonders vorteilhaft sind separate Spannungsquellen, und/oder separate Taktgeber, für das erste Rechenwerk, das zweite Rechenwerk und das dritte Rechenwerk vorgesehen.
-
Wie zuvor erläutert, gelten für das erste Rechenwerk und für das zweite Rechenwerk weniger strenge Anforderungen an die Betriebssicherheit als für das dritte Rechenwerk. Im ersten Rechenwerk oder im zweiten Rechenwerk auftretende Fehler werden durch die Plausibilisierung mittels des dritten Rechenwerks abgefangen. Wenn nun aber im ersten Rechenwerk und im zweiten Rechenwerk weniger Vorkehrungen für eine erhöhte Betriebssicherheit benötigt werden, wird hierfür auch weniger Chipfläche in dem System-on-Chip hierfür verbraucht. Das bedeutet wiederum, dass die Chipfläche für die Steigerung der Rechenleistung verwendet werden kann. Daher sind vorteilhaft das erste Rechenwerk und das zweite Rechenwerk für eine höhere, bevorzugt mindestens viermal, so große Rechenleistung in Instruktionen pro Sekunde und Taktrate ausgebildet wie das dritte Rechenwerk.
-
Auch die Taktrate des ersten Rechenwerks und des zweiten Rechenwerks kann vorteilhaft höher sein als die Taktrate des dritten Rechenwerks, um die Rechenleistung weiter zu steigern. Alternativ kann aber auch die Taktrate des ersten Rechenwerks und des zweiten Rechenwerks gleich der Taktrate des dritten Rechenwerks sein. Dies hat den Vorteil, dass alle verwendeten Taktgeber identisch ausgestaltet sein können.
-
In einer weiteren besonders vorteilhaften Ausgestaltung umfasst die Recheneinheit mindestens eine feldprogrammierbare Gatteranordnung, FPGA (Field Programmable Gate Array), für die Vorverarbeitung der in das erste Rechenwerk und das zweite Rechenwerk geführten Messdaten. Eine derartige Vorverarbeitung kann beispielsweise für Bilder als Messdaten Verarbeitungsschritte umfassen, die das ganze Bild betreffen und sich durch die massiv parallele Ausführung auf einem FPGA stark beschleunigen lassen. Vorzugsweise handelt es sich um Standard-Verarbeitungsschritte, die sich im Laufe der Entwicklung der Recheneinheit nicht ändern, wie etwa Anpassungen der Belichtung oder des Kontrasts. Die Umsetzung von Änderungen ist für Verarbeitungsschritte, die auf dem FPGA ausgeführt werden, aufwändiger als für Verarbeitungsschritte, die auf dem ersten Rechenwerk oder auf dem zweiten Rechenwerk ausgeführt werden.
-
Besonders vorteilhaft genügen das erste Rechenwerk, das zweite Rechenwerk und das dritte Rechenwerk jeweils einem Automotive Safety Integrity Level, ASIL-Level, gemäß ISO-Standard 26262. Dabei genügt das dritte Rechenwerk einem höheren ASIL-Level als das erste Rechenwerk und das zweite Rechenwerk. Wenn beispielsweise für die Recheneinheit insgesamt ASIL-Level D gefordert ist, dann genügt es, das dritte Rechenwerk nach ASIL-Level D auszulegen. Für das erste Rechenwerk und das zweite Rechenwerk, die den Hauptteil der Rechenarbeit für die Auswertung übernehmen, kann hingegen ASIL-Level B genügen. Das dritte Rechenwerk muss deutlich weniger komplexe Operationen ausführen als das erste und zweite Rechenwerk, so dass das erhöhte Sicherheitsniveau sich kostenmäßig nicht zu stark niederschlägt.
-
Diese Betrachtungen gelten nicht nur für die Hardware selbst, sondern umfassen auch die jeweils eingesetzte Software. In Bezug auf die Zertifizierung bilden die Hardware, die Software und der Entwicklungsprozess der Software ein „Paket“, das durch und durch die Anforderungen erfüllen muss. Dementsprechend wirkt es sich auch kostenmindernd aus, dass auf dem dritten Rechenwerk nur eine vergleichsweise einfache Software für die Plausibilisierung laufen muss.
-
In einer besonders vorteilhaften Ausgestaltung beinhaltet das dritte Rechenwerk zwei voneinander unabhängige Mikroprozessoren und/oder Mikrocontroller, die im Lockstep-Betrieb miteinander verschaltet sind. Die beiden Mikroprozessoren bzw. Mikrocontroller arbeiten das gleiche Programm ab, und die Ergebnisse werden intern miteinander verglichen. Dabei können insbesondere beispielsweise beide Mikroprozessoren bzw. Mikrocontroller zeitlich versetzt zueinander arbeiten, um auch Störungen mit gemeinsamer Ursache zu erkennen. Die Mikroprozessoren bzw. Mikrocontroller müssen für die bloße Plausibilisierung nicht besonders leistungsfähig sein, so dass die nochmalige Redundanzebene innerhalb des dritten Rechenwerks keine übermäßigen Kosten verursacht.
-
Nach dem zuvor Beschriebenen bezieht sich die Erfindung auch auf ein System für die Überwachung des Umfelds eines Fahrzeug. Dieses System umfasst die zuvor beschriebene Recheneinheit.
-
In einer ersten Ausgestaltung ist nun ein einziger Sensor zur Beobachtung des Umfelds des Fahrzeugs vorgesehen. Sowohl das erste Rechenwerk als auch das zweite Rechenwerk erhalten die Messdaten dieses einzigen Sensors als Eingabe. Eine Diversität und Redundanz gibt es in dieser Ausgestaltung nur hinsichtlich der Verarbeitung der Messdaten, nicht aber hinsichtlich der Erfassung der Messdaten. Daher genügt dieser einzige Sensor dem gleichen ASIL-Level wie das dritte Rechenwerk.
-
In einer zweiten Ausgestaltung sind hingegen ein erster Sensor und ein zweiter Sensor zur Beobachtung des Umfelds des Fahrzeugs vorgesehen. Dabei erhält das erste Rechenwerk die Messdaten des ersten Sensors als Eingabe. Das zweite Rechenwerk erhält die Messdaten des zweiten Sensors als Eingabe. In dieser Ausgestaltung brauchen der erste Sensor und der zweite Sensor lediglich dem ASIL-Level zu genügen, dem auch das erste Rechenwerk und das zweite Rechenwerk genügen.
-
Das beschriebene Verfahren kann insbesondere ganz oder teilweise computerimplementiert sein. Daher bezieht sich die Erfindung auch auf ein Computerprogramm mit maschinenlesbaren Anweisungen, die, wenn sie auf einem oder mehreren Computern ausgeführt werden, den oder die Computer dazu veranlassen, das beschriebene Verfahren auszuführen. In diesem Sinne sind auch Steuergeräte für Fahrzeuge und Embedded-Systeme für technische Geräte, die ebenfalls in der Lage sind, maschinenlesbare Anweisungen auszuführen, als Computer anzusehen.
-
Ebenso bezieht sich die Erfindung auch auf einen maschinenlesbaren Datenträger und/oder auf ein Downloadprodukt mit dem Computerprogramm. Ein Downloadprodukt ist ein über ein Datennetzwerk übertragbares, d.h. von einem Benutzer des Datennetzwerks downloadbares, digitales Produkt, das beispielsweise in einem Online-Shop zum sofortigen Download feilgeboten werden kann.
-
Weiterhin kann ein Computer mit dem Computerprogramm, mit dem maschinenlesbaren Datenträger bzw. mit dem Downloadprodukt ausgerüstet sein.
-
Weitere, die Erfindung verbessernde Maßnahmen werden nachstehend gemeinsam mit der Beschreibung der bevorzugten Ausführungsbeispiele der Erfindung anhand von Figuren näher dargestellt.
-
Figurenliste
-
Es zeigt:
- 1 Ausführungsbeispiel des Verfahrens 100;
- 2 Ausführungsbeispiel der Recheneinheit 20 und des Systems 30.
-
1 ist ein schematisches Ablaufdiagramm eines Ausführungsbeispiels des Verfahrens 100. In Schritt 105a werden Messdaten 3a, 3 einer Szenerie 1 von einem ersten Sensor 10a, 10 aufgenommen und bereitgestellt. In Schritt 105b werden Messdaten 3b, 3 der gleichen Szenerie 1 von einem zweiten Sensor 10b, 10 aufgenommen und bereitgestellt. Gemäß Block 106b kann insbesondere mindestens ein Sensor in oder an einem Fahrzeug montiert sein.
-
In Schritt 110 wird ein erster Teil 3a der Messdaten 3 mit einem ersten Algorithmus 4a, der auf einer ersten Recheneinheit 5a abgearbeitet wird, zu einem ersten Ergebnis 6a verarbeitet. In Schritt 120 wird ein zweiter Teil 3b der Messdaten 3 mit einem zweiten Algorithmus 4b, der auf einer zweiten Recheneinheit 5b abgearbeitet wird, zu einem zweiten Ergebnis 6b verarbeitet. In Schritt 130 werden die beiden Ergebnisse 6a und 6b einem dritten Rechenwerk 5c zugeführt.
-
Mit diesem dritten Rechenwerk 5c wird in Schritt 140 geprüft, inwieweit das erste Ergebnis 6a mit dem zweiten Ergebnis 6b plausibel ist. Dies kann gemäß Block 141 insbesondere beispielsweise eine Prüfung beinhalten, inwieweit das zweite Ergebnis 6b im Einklang mit dem Vorhandensein mindestens eines im Rahmen des ersten Ergebnisses 6a identifizierten Objekts steht.
-
Sind die beiden Ergebnisse 6a und 6b plausibel (Wahrheitswert 1 in Schritt 140), wird in Schritt 150 aus den beiden Ergebnissen 6a und 6b ein Gesamtergebnis 7 der Auswertung gebildet.
-
Sind die beiden Ergebnisse 6a und 6b hingegen nicht plausibel (Wahrheitswert 0 in Schritt 140), kann beispielsweise bei der Anwendung für das zumindest teilweise automatisierte Führen eines Fahrzeugs
- • gemäß Block 161 mindestens ein zusätzlicher physikalischer Sensor für die Beobachtung des Umfelds des Fahrzeugs aktiviert werden; und/oder
- • gemäß Block 162 die Fahrgeschwindigkeit eines zumindest teilweise automatisiert fahrenden Fahrzeugs vermindert werden; und/oder
- • gemäß Block 163 ein Fahrassistenzsystem, und/oder ein System für das zumindest teilweise automatisierte Führen des Fahrzeugs, ganz oder teilweise deaktiviert werden, und/oder
- • gemäß Block 164 ein zumindest teilweise automatisiert fahrendes Fahrzeug auf einer vorgeplanten Notstopp-Trajektorie zum Stillstand gebracht werden.
-
2 zeigt ein Ausführungsbeispiel der Recheneinheit 20. Die Recheneinheit 20 enthält ein erstes Rechenwerk 5a und ein zweites Rechenwerk 5b, die beide dazu ausgebildet sind, Messdaten 3, 3a, 3b zu jeweiligen Ergebnissen 6a und 6b zu verarbeiten. Diese beiden Rechenwerke 5a und 5b genügen in dem in 2 gezeigten Beispiel dem ASIL-Level B.
-
Die Ergebnisse 6a und 6b sind als Eingaben in das dritte Rechenwerk 5c der Recheneinheit 20 geführt. Das dritte Rechenwerk 5c prüft, ob die Ergebnisse 6a und 6b zueinander plausibel sind. Wenn dies der Fall ist, kann das dritte Rechenwerk 5c die Ergebnisse 6a und 6b insbesondere zu einem Gesamtergebnis 7 der Auswertung zusammenführen. Das dritte Rechenwerk 5c genügt in dem in 2 gezeigten Beispiel dem ASIL-Level D.
-
Das System 30, in das die Recheneinheit 20 eingebettet ist, umfasst weiterhin einen oder mehrere Sensoren 10a, 10b, 10.
-
Wenn die Szenerie 1 mit zwei Sensoren 10a und 10b beobachtet wird, die ihre Messdaten 3a bzw. 3b an die Rechenwerke 5a bzw. 5b weitergeben, genügen in dem in 2 gezeigten Beispiel Sensoren 10a und 10b des ASIL-Levels B, um immer noch ein Gesamtergebnis 7 zu erhalten, dessen Gewinnung insgesamt dem ASIL-Level D genügt.
-
Wenn die Szenerie 1 hingegen mit nur einem Sensor 10 beobachtet wird, der seine Messdaten 3 an beide Rechenwerke 5a und 5b weitergibt, ist dieser Sensor 10 ein „single point of failure“. Er ist daher nach ASIL-Level D auszulegen, damit die Gewinnung des Gesamtergebnisses 7 insgesamt dem ASIL-Level D genügt.
-
ZITATE ENTHALTEN IN DER BESCHREIBUNG
-
Diese Liste der vom Anmelder aufgeführten Dokumente wurde automatisiert erzeugt und ist ausschließlich zur besseren Information des Lesers aufgenommen. Die Liste ist nicht Bestandteil der deutschen Patent- bzw. Gebrauchsmusteranmeldung. Das DPMA übernimmt keinerlei Haftung für etwaige Fehler oder Auslassungen.
-
Zitierte Patentliteratur
-
- EP 2513750 B1 [0004]
- WO 2018/063757 A1 [0004]
- WO 2014/128288 A1 [0004]
