DE102020206502A1

DE102020206502A1 - Verfahren, und System zur Überwachung einer Robustheit einer Vielzahl von autonom fahrenden Einzelfahrzeugen sowie Einzelfahrzeug

Info

Publication number: DE102020206502A1
Application number: DE102020206502.0A
Authority: DE
Inventors: Arno Hinsberger
Original assignee: ZF Friedrichshafen AG
Current assignee: ZF Friedrichshafen AG
Priority date: 2020-05-26
Filing date: 2020-05-26
Publication date: 2021-12-02

Abstract

Die Erfindung betrifft ein Verfahren zur Überwachung einer Robustheit einer Vielzahl von autonom fahrenden Einzelfahrzeugen einer Fahrzeuggattung in einem Mischverkehrsbetrieb, umfassend der Schritte:- Erfassung von Fehlwirkungen der Betriebsweise des Einzelfahrzeugs abhängig von einer Zeit und/oder Kilometern,- Ermitteln einer statistischen Einzelkonfidenz für jedes Einzelfahrzeug anhand der erfassten Fehlwirkungen des Einzelfahrzeugs in Abhängigkeit von der Zeit und/oder der Kilometer,- Ermitteln einer statistischen Gesamtkonfidenz für alle Einzelfahrzeuge anhand der erfassten Fehlwirkungen aller Einzelfahrzeuge in Abhängigkeit von der Zeit und/oder der Kilometer,- Ausführen einer ersten Aktion bei Unterschreiten einer der Einzelkonfidenzen eines vorab festgelegten Einzelgrenzwertes und/oder einer zweiten Aktion bei Unterschreiten der Gesamtkonfidenz eines vorab festgelegten Gesamtgrenzwertes.Ferner betrifft die Erfindung ein erstes und ein zweites System sowie ein Einzelfahrzeug.

Description

Die Erfindung betrifft ein Verfahren zur Überwachung der Robustheit einer Vielzahl von autonom fahrenden Einzelfahrzeugen einer Fahrzeuggattung in einem Mischverkehrsbetrieb. Ferner betrifft die Erfindung ein erstes und ein zweites System sowie ein Einzelfahrzeug.
Vollautonome Fahrzeuge (auch als AD-System bezeichnet) weisen eine Reihe von deutlichen Vorteilen gegenüber Fahrzeugen mit manueller Betriebsweise auf. So kann durch schnelle Reaktionszeit und dem Vermeiden menschlicher Fehler eine Verbesserung der Verkehrssicherheit erzielt werden. Auch lässt sich durch eine optimale Fahrweise der Kraftstoffverbrauch reduzieren. Ebenfalls können ältere Verkehrsteilnehmer durch autonom fahrende Fahrzeuge weiterhin mobil bleiben. Auch kann eine Reduzierung von Unfällen durch die Vernetzung stattfinden.
Die Entwicklungskosten von AD-Systemen sind jedoch enorm. Daher spielen wirtschaftliche Gesichtspunkte wie Kosteneffizienz, Erfolgsdruck und „Time-to-Market-Überlegungen“ eine zunehmend wichtigere Rolle.
Allerdings müssen die legitimen Einflüsse bezüglich der Wirtschaftlichkeit aktiv gemanagt werden, um gleichzeitig die Sicherheit während der Entwicklungsphase und letztendlich auch ein sicheres Produkt zu garantieren.
Die Sicherheitsregeln werden beispielsweise durch SOTIF (ISO 21448 - Safety of the Intended Functionality) festgelegt, welche Richtlinien für autonom fahrende Fahrzeuge definiert.
All diese Faktoren wirken sich im verstärkten Maße auf die Entwicklungsphase des AD-Systems aus. Die Frage nach dem sicheren Betrieb eines sich noch in einer frühen Entwicklungsphase befindlichen AD-Prototypen im Mischverkehrsbetrieb stellt daher eine sehr komplexe Aufgabe dar.
So brauchen die Entwicklungsingenieure trotz simulativer Methoden am Ende auch reale Felderfahrung, um das System überhaupt fertig entwickeln zu können. Daher führt am Ende kein Weg an einem Versuchsbetrieb im Mischverkehr mit Sicherheitsfahrer vorbei. Dennoch ist auch für ein Versuchsfahrzeug ein unkalkulierbares Risiko nicht akzeptabel.
Dieser Sachverhalt stellt jedoch die Weiterentwicklung vor eine Vielzahl von zusätzlichen Herausforderungen. Einerseits ist insbesondere vor dem Mischverkehrsbetrieb eine minimale funktionale Robustheit nachzuweisen (z.B. simulativ), andererseits müssen die Fahrzeuge bezüglich ihrer Fehlwirkungen auch während des Mischverkehrsbetriebs nach klaren Kriterien überwacht werden.
Die Beschreibung und Überwachung der Robustheit autonom fahrender Fahrzeuge betrifft gemäß ISO21448 (SOTIF) aber in gleicher Weise auch den Realbetrieb nach der Entwicklungsphase (also nach einem initialen „Roll-Out“ des Systems).
Es ist daher eine Aufgabe der Erfindung ein verbessertes Verfahren und Systeme zur Überwachung einer Robustheit eines autonom fahrenden Fahrzeugs bzw. einer Flotte autonom fahrender Fahrzeuge anzugeben. Ferner ist eine weitere Aufgabe die Angabe eines Einzelfahrzeugs.
Die Aufgabe wird gelöst durch ein Verfahren mit den Merkmalen nach Anspruch 1, ein Einzelfahrzeug mit den mit den Merkmalen des Anspruchs 5 und ein erstes System und zweites System mit den Merkmalen des Anspruchs 12 und 13.
Die Aufgabe wird gelöst durch ein Verfahren zur Überwachung einer Robustheit einer Vielzahl von autonom fahrenden Einzelfahrzeugen einer Fahrzeuggattung in einem Mischverkehrsbetrieb, umfassend der Schritte:

- Erfassung von Fehlwirkungen der Betriebsweise des Einzelfahrzeugs abhängig von einer Zeit und/oder Kilometern,
- Ermitteln einer statistischen Einzelkonfidenz für jedes Einzelfahrzeug anhand der erfassten Fehlwirkungen des Einzelfahrzeugs in Abhängigkeit von der Zeit und/oder der Kilometer,
- Ermitteln einer statistischen Gesamtkonfidenz einer Fahrzeugflotte anhand der erfassten Fehlwirkungen aller Einzelfahrzeuge der Fahrzeugflotte in Abhängigkeit von der Zeit und/oder der Kilometer,
- Ausführen einer ersten Aktion bei Unterschreiten einer der Einzelkonfidenzen eines vorab festgelegten Einzelgrenzwertes und/oder einer zweiten Aktion bei Unterschreiten der Gesamtkonfidenz eines vorab festgelegten Gesamtgrenzwertes.

Fehlwirkungen können beispielsweise systemische Fehlentscheidungen beispielsweise eine zu hohe / falsche Lenkradgeschwindigkeit/Lenkradeinschlag sein, als auch latente Fehlfunktionen wie beispielsweise Abweichungen in der Darstellung des Fahrzeugumfelds durch unterschiedliche Sensoren (so wird beispielsweise ein Objekt von einem Sensor erkannt, von einem anderen Sensor jedoch nicht).
Autonom fahrende Fahrzeuge sind Fahrzeuge, welche in autonomer Betriebsweise betrieben werden können. Gegebenenfalls können auch sogenannte Sicherheitsfahrer an Bord sein, die die korrekte Regelung des autonomen Fahrzeugs überwachen.
Als Mischverkehrsbetrieb bezeichnet man Verkehre, die mit unterschiedlichen Fahrzeugen, Betriebsweisen, Fußgänger auf demselben Verkehrsweg gefahren werden (realer Verkehr).
Die vorab festgelegten Einzelgrenzwerte und die vorab festgelegten Gesamtgrenzwerte können dabei vorzugsweise identisch, aber auch unterschiedlich sein, sowie beispielsweise abhängig vom Entwicklungsfortschritt sein.
Während der Entwicklungsphase kann beispielsweise eine zweite Aktion sein, dass ein neues Software-Release / Update aufgespielt wird, oder auch, dass in einer ersten Aktion ein Austausch einzelner, defekter Komponenten etc umgesetzt wird.
Ferner können als Aktion beispielsweise auch nach Markteinführung einzelne Fahrzeuge rückgerufen werden. Auch können einzelne oder die gesamte Flotte stillgelegt werden, wenn beispielsweise die geforderte Gesamtkonfidenz unter einen bestimmten Schwellenwert fällt.
Die Konfidenz ist ein Maß für die Robustheit, bzw. Zuverlässigkeit eines Systems in einer Flotte/Einzelfahrzeugen. Bei ADAS-Systemen wird die zu erreichende Konfidenz beispielsweise für gewöhnlich mit 99% festgelegt. Ein entsprechender Zielwert für AD-Systeme kann genauso wie tolerierbare Fehlwirkungsraten in Abhängigkeit des Entwicklungsfortschritts bzw. des Einsatzspektrums festgelegt werden.
Durch die Bestimmung der statistischen Einzelkonfidenz für jedes Einzelfahrzeug anhand der erkannten Fehlwirkungen in Abhängigkeit von der Zeit/Kilometerzahl erhält man ein Maß für die Robustheit der Flotte/des Einzelfahrzeuges vor und während des Mischverkehrseinsatzes. In gleicher Weise läßt sich auch die Robustheit der Flotte anhand der kumulierten Fehlwirkungen in Abhängigkeit von der Flottenzeit/Flottenkilometer bestimmen. Diese Metriken werden bevorzugt während des Betriebs fortlaufend berechnet.
Erfindungsgemäß werden relevante Fehlwirkungen wie beispielsweise ein korrigierender Eingriff eines Sicherheitsfahrers über die Zeit/die zurückgelegten Kilometer gezählt und beeinflussen so die „aktuell berechnete“ Zuverlässigkeit der Einzelfahrzeuge und der Flotte (alle Einzelfahrzeuge einer Gattung).
Unterschreitet die Konfidenz (Einzel-/Gesamtkonfidenz) einen zuvor festgelegten Grenzwert können beispielsweise einzelne, auffällige Fahrzeuge beispielsweise automatisch „stillgelegt“ werden, beispielsweise in dem sich der AD-Modus nicht mehr aktivieren lässt oder es kann die gesamte Flotte aus dem AD-Betrieb genommen werden.
Die konkreten Auswirkungen von Fehlwirkungen werden durch das erfindungsgemäße Verfahren transparent und können objektiv (qualitativ und quantitativ) bewertet werden. Somit läßt sich sowohl der Start als auch die Aufrechterhaltung eines Mischverkehrsbetriebs analytisch begründen.
In der Entwicklungsphase eröffnet dieses durchgängige Verfahren somit die Chance, frühzeitig Testerfahrungen im Mischverkehrsbetrieb zu gewinnen, ohne dabei ein erhöhtes Verkehrsrisiko einzugehen.
Allerdings ist aufgrund der Komplexität des „Arbeitsbereichs“ autonom fahrender Fahrzeuge offensichtlich, daß auch nach der Markteinführung bislang unbekannte Szenarien auftreten, die teils auch kritisch sein können. Daher fordert die ISO 21448 (SOTIF) auch Maßnahmen zur Beobachtung des Systems nach der Markteinführung. Auch hier kann das Verfahren eingesetzt werden, um einerseits die Robustheit der Flotte/Einzelfahrzeuge zu messen und andererseits einzel- oder flottenbezogene Fehlwirkungen transparent zu machen um faktenbezogene, analytisch begründete Maßnahmen zu treffen. So können beispielsweise einzelne Einzelfahrzeuge mit Hardwarefehler identifiziert und zurückgerufen oder aber beispielsweise die Notwendigkeit eines Software-Updates für die gesamte Flotte begründet werden.
Ferner wird über die fortwährende statistische Bewertung der Robustheit messbar wie relevant einzelne Verkehrssituationen mitsamt den Fehlwirkungen sind. Dies gilt für die Einzelfahrzeuge, als auch für die gesamte Flotte.
Auch latente, das heißt nicht offensichtliche, das heißt, dass diese nicht notwendigerweise gleich zu einer Fehlsteuerung führen, aber inakzeptabel häufige Fehlwirkungen eines einzelnen Einzelfahrzeugs, welche sich beispielsweise durch unterschiedliche Erkennungen einzelner Sensoren kennzeichnen, können anhand des erfindungsgemäßen Verfahrens automatisch schnell identifiziert werden und ermöglichen somit eine angemessene Reaktion ggfs. sogar noch bevor eine kritische Verkehrssituation entsteht.
Durch das Verfahren ist nicht nur eine, insbesondere kontinuierliche Überwachung von Einzelfahrzeugen, sondern einer ganzen Fahrzeugflotte möglich. Fehlwirkungen werden über den Beobachtungszeitraum hinsichtlich des einzelnen Einzelfahrzeugs als auch flottenbezogen zu einer Konfidenz verdichtet.
Vorzugsweise werden Fehlwirkungen anhand eines korrigierenden Eingriffs durch einen, das Einzelfahrzeug überwachenden Sicherheitsfahrer erkannt. Dadurch sind Fehlwirkungen besonders einfach zu erkennen. Solche Eingriffe sind beispielsweise manuelle Lenkeingriffe oder Bremsungen, die von einem Sicherheitsfahrer eingeleitet werden, um ein Fehlverhalten des autonomen Fahrzeugs zu korrigieren.
Ein Sicherheitsfahrer ist dabei ein Fahrer der lediglich bei Fehlwirkungen / Fehlentscheidungen des autonom fahrenden Einzelfahrzeugs eingreift, um beispielsweise Unfälle zu verhindern.
Vorzugsweise werden für Aktuatoren und / oder eine Fahrzeugdynamik Schwellenwerte in Abhängigkeit einer Kontrollierbarkeitsgrenze eines Sicherheitsfahrers ermittelt.
Dies bedeutet, dass für Aktuatoren und / oder eine Fahrzeugdynamik Schwellenwerte so eingestellt werden, daß entsprechende Fehlwirkungen des autonomen Fahrzeugs von einem Sicherheitsfahrer zuverlässig kontrolliert bzw. rechtzeitig übersteuert werden können.
Eine solche Einstellung ermöglicht, den Betrieb eines noch in der Entwicklung befindlichen Versuchsfahrzeugs im Mischverkehrsbetrieb aufzunehmen oder weiterzuführen, da eventuelle Fehlwirkungen des AD-Systems von einem Sicherheitsfahrer kompensiert werden können. Dies bedeutet, dass wenn beispielsweise ein fehlerhafter Lenkeinschlag von mehr als x°/s für einen Sicherheitsfahrer nicht kontrollierbar ist, für die Aktuatoren des Einzelfahrzeugs auch nicht mehr als x °/s Lenkwinkelgeschwindigkeit zugelassen werden darf.
In weiterer bevorzugter Ausgestaltung werden die Kontrollierbarkeitsgrenzen durch Versuchsreihen ermittelt, bei denen die Probanden in einer Fahrsimulation oder Versuchsfahrten kritischen Verkehrssituationen ausgesetzt werden, die durch künstlich eingespielte Fehlwirkungen hervorgerufen werden, einem Auswerten der beobachteten Reaktionen der Probanden, und einem Vergleich der Reaktion der Probanden mit einer erwarteten Reaktion und ein Festlegen der Schwellenwerte als kontrollierbar, wenn die erwartete Reaktion von einer prozentualen Anzahl von Probanden erreicht wird und ein Festlegen als nicht kontrollierbar, wenn die erwartete Reaktion nicht von einer prozentualen Anzahl von Versuchsfahrern erreicht wird.
Dies bedeutet, dass die Schwellenwerte durch die Analyse der Fähigkeiten eines Probanden in einem Fahrsimulator oder aus entsprechenden Versuchsreihen auf einem Versuchsgelände ermittelt werden. Die Probanden werden dabei verschiedenen kritischen Verkehrssituationen ausgesetzt, die durch eine simulierte Fehlwirkung eines AD-Systems entstanden ist. Diese Versuche werden mit unterschiedlicher Amplitude bezüglich der Fehlwirkung wiederholt. Die jeweiligen Schwellenwerte sind dort festzulegen bei denen einzelne oder ein bestimmter Anteil der Probanden es nicht mehr rechtzeitig schafft die kritische Verkehrssituation zu bereinigen.
Vorzugsweise wird vor dem Mischverkehrsbetrieb eine grundsätzliche funktionale Robustheit des Systems simulativ nachgewiesen. Auch hierzu kann die beschriebene Konfidenz aus der beobachteten Anzahl von Fehlwirkungen in Abhängigkeit der Zeit/Kilometer als Maß angewendet werden.
Weiterhin vorzugsweise wird eine Fehlwirkung durch eine vorzugsweise automatische Analyse widersprüchlicher Daten von unterschiedlichen Subsystemen erkannt. So kann beispielsweise in einer Sensoraufnahme ein Objekt, beispielsweise ein Vorderfahrzeug, ein Verkehrsschild etc. erkannt werden, in der anderen Sensoraufnahme jedoch nicht. Grundsätzlich können aber auch alle automatisch beobachtbaren systemischen Inkonsistenzen eine latente Fehlwirkung definieren, die dem beschriebenen Verfahren zugeführt werden kann.
In weiterer bevorzugter Ausgestaltung ist eine erste Aktion dadurch ausgebildet, den automatisierten Betrieb eines Einzelfahrzeugs zu deaktivieren und das Einzelfahrzeug bei Bedarf lediglich manuell zu betreiben.
Unterschreitet die Einzelkonfidenz einen zuvor festgelegten Einzelgrenzwert können einzelne, auffällige Fahrzeuge (automatisch) „stillgelegt“ werden, indem sich der z.B. AD-Modus nicht mehr aktivieren lässt. Ungeachtet dessen, kann unter Umständen beispielsweise die gesamte restliche Flotte weiterbetrieben werden, wenn die Ursache für die beobachteten Fehlwirkungen nur einzelne Fahrzeuge betreffen.
Somit wird vermieden, dass vorzeitig alle Flottenmitglieder wegen beispielsweise eines Hardwaredefektes eines einzelnen Einzelfahrzeugs stillgelegt werden.
In weiterer bevorzugter Ausgestaltung ist eine zweite Aktion dadurch ausgebildet, den automatisierten Betrieb aller Flottenfahrzeuge zu deaktivieren und die Einzelfahrzeuge bei Bedarf nur noch manuell zu betreiben. Diese zweite Aktion betrifft somit die ganze Flotte. Dies ist dann erforderlich, wenn die Ursache für Fehlwirkungen alle Fahrzeuge betrifft oder die geforderte Gesamtkonfidenz der Flotte nicht mehr gegeben ist. In dem Fall wird die Reparatur aller Fahrzeuge, bzw. ein flächendeckendes System-/Softwareupdate erforderlich.
Vorzugsweise wird die statistische Einzelkonfidenz als auch die statistische Gesamtkonfidenz mittels einer bedingten Wahrscheinlichkeit ermittelt.
Weiterhin vorzugsweise wird die bedingte Wahrscheinlichkeit ausgebildet durch: $P [λ < F R | (\begin{matrix} n \\ k \end{matrix})]$
wobei P als Konfidenz eine Wahrscheinlichkeit angibt, daß eine reale aber unbekannte Rate von Fehlwirkungen λ kleiner ist als eine vorgegebene Rate FR unter der Voraussetzung, daß k Fehlwirkungen aus n Versuchen mit n gleich Stunden/ Kilometer beobachtet wurden. Vorzugsweise wird die tolerierbare Anzahl der Fehlwirkungen in Abhängigkeit von der geforderten Konfidenz dynamisch über die Zeit oder Kilometer berechnet.
Die Konfidenz in den Versuch zur Bestätigung der realen aber unbekannten Fehlwirkungen (z.B. Eingriffsrate), lässt sich somit als bedingte Wahrscheinlichkeit beschreiben. Der Ausdruck beschreibt die Konfidenz als Wahrscheinlichkeit, dass die tatsächliche Rate von Fehlwirkungen λ kleiner ist als eine vorgegebene Rate FR unter der Voraussetzung, dass k Fehlwirkungen aus n Versuchen (n in Kilometern oder Stunden) beobachtet wurden.
Somit steigert jeder gefahrene Kilometer /Stunde im Mischverkehrsbetrieb ohne Fehlwirkung in gleichem Maße die Konfidenz, daß die geforderte Fehlwirkungsrate FR eingehalten wird.
Somit hängt die zulässige Anzahl von beobachteten Fehlwirkungen von der zurückgelegten Strecke ab. Treten zu viele Fehlwirkungen innerhalb eines bestimmten Beobachtungszeitraums auf, sinkt die Konfidenz unter den geforderten Schwellenwert und das Einzelfahrzeug/Flotte erfüllt nachgewiesenermaßen nicht mehr die geforderten minimalen Qualitätskriterien. Wurde hingegen bereits ein bestimmter Betriebsumfang ohne Fehlwirkung absolviert, sind einzelne Fehlwirkungen in entsprechendem Umfang durchaus tolerierbar ohne, daß dadurch die geforderte Konfidenz unterschritten wird.
Somit kann durch das beschriebene Vorgehen eben nicht nur sichergestellt werden, daß kritisches Systemverhalten bemerkt wird, sondern auch eine unnötige, „übertrieben“ vorzeitige Stilllegung einzelner oder aller Flottenmitglieder verhindert wird.
Die bedingte Wahrscheinlichkeit (also die Konfidenz) ist ein Maß mit dem die Robustheit sowohl des Einzelfahrzeugs als auch der Gesamtflotte einfach ermittelt werden kann.
Vorzugsweise erfolgt eine kontinuierliche Erfassung der Fehlwirkungen. Aus den über der Zeit beobachteten Fehlwirkungen, welche beispielsweise durch Eingriffe des Sicherheitsfahrers festgestellt wird, wird fortlaufend die Einzelkonfidenz berechnet.
Durch die zentrale Übermittlung der erforderlichen Parameter, beispielsweise an eine Cloud kann darüber hinaus die Gesamtkonfidenz der Flotte ermittelt werden. Die Berechnung der Einzelkonfidenz kann sowohl direkt im Fahrzeug (on-board) als auch zentral, beispielsweise in einer Cloud (off-board) erfolgen.
Ferner wird die Aufgabe gelöst durch ein Einzelfahrzeug zur Überwachung einer Robustheit in einem Mischverkehrsbetrieb, das Einzelfahrzeug aufweisend einen Prozessor, welcher ausgebildet ist, zur Erfassung von Fehlwirkungen des Einzelfahrzeugs abhängig von einer Zeit und/oder Kilometern,
einen Prozessor, welcher ausgebildet ist, zum Ermitteln einer statistischen Einzelkonfidenz für das Einzelfahrzeug anhand der erfassten Fehlwirkungen des Einzelfahrzeugs in Abhängigkeit von der Zeit und/oder der Kilometer,
eine Aktionseinheit, welche ausgebildet ist, zum Ausführen einer ersten Aktion bei Unterschreiten der Einzelkonfidenz eines vorab festgelegten Einzelgrenzwertes, eine Kommunikationseinheit zur zentralen Übermittlung der Fehlwirkungen sowie der zugehörigen Zeit-/Kilometerspannen und/oder der ermittelten Einzelkonfidenz.
Weiterhin vorzugsweise ist eine Fehlwirkung durch eine Analyse widersprüchlicher Daten von Subsystemen, automatisch erkennbar.
Vorzugsweise ist eine Fehlwirkung anhand eines korrigierenden Eingriffs durch einen, das Einzelfahrzeug überwachenden Sicherheitsfahrer, erkannbar.
Weiterhin vorzugsweise sind für Aktuatoren und / oder eine Fahrzeugdynamik Schwellenwerte in Abhängigkeit einer Kontrollierbarkeitsgrenze eines Sicherheitsfahrers ermittelbar. Insbesondere sind die Kontrollierbarkeitsgrenzen durch Versuchsreihen ermittelbar, bei denen die Probanden in einer Fahrsimulation oder Versuchsfahrten kritischen Verkehrssituationen ausgesetzt sind, die durch künstlich eingespielte Fehlwirkungen hervorgerufen werden, einem Auswerten der beobachteten Reaktionen der Probanden, und einem Vergleich der Reaktion der Probanden mit einer erwarteten Reaktion und ein Festlegen der Schwellenwerte als kontrollierbar, wenn die erwartete Reaktion von einer prozentualen Anzahl von Probanden erreicht wird und ein Festlegen als nicht kontrollierbar, wenn die erwartete Reaktion nicht von einer prozentualen Anzahl von Versuchsfahrern erreicht wird.
In weiterer bevorzugten Ausgestaltung ist die tolerierbare Anzahl der Fehlwirkungen in Abhängigkeit von der geforderten Konfidenz dynamisch über die Zeit oder Kilometer berechenbar.
Die Vorteile können aus der Beschreibung für das Verfahren analog übertragen werden.
Ferner wird die Aufgabe gelöst durch ein erstes System zur Überwachung einer Robustheit einer Vielzahl von autonom fahrenden Einzelfahrzeugen einer Fahrzeuggattung in einem Mischverkehrsbetrieb, das System aufweisend
einen Prozessor, welcher ausgebildet ist, zum Empfang von Fehlwirkungen des Einzelfahrzeugs abhängig von einer Zeit und/oder Kilometern,
einen Prozessor, welcher ausgebildet ist, zum Ermitteln einer statistischen Einzelkonfidenz für jedes Einzelfahrzeug anhand der erfassten Fehlwirkungen des Einzelfahrzeugs in Abhängigkeit von der Zeit und/oder der Kilometer,
einen Prozessor welcher ausgebildet ist, zum Ermitteln einer statistischen Gesamtkonfidenz für die Fahrzeugflotte anhand der erfassten Fehlwirkungen aller Einzelfahrzeuge in Abhängigkeit von der Gesamtzeit- und/oder der Kilometer,
eine Aktionseinheit, welche ausgebildet ist, zum Ausführen einer ersten Aktion bei Unterschreiten einer der Einzelkonfidenzen eines vorab festgelegten Einzelgrenzwertes und/oder einer zweiten Aktionseinheit zum Ausführen einer zweiten Aktion bei Unterschreiten der Gesamtkonfidenz eines vorab festgelegten Gesamtgrenzwertes.
Ferner wird die Aufgabe gelöst durch ein zweites System zur Überwachung einer Robustheit einer Vielzahl von autonom fahrenden Einzelfahrzeugen einer Fahrzeuggattung in einem Mischverkehrsbetrieb, das System aufweisend
einen Prozessor, welcher ausgebildet ist, zum Empfang von statistischen Einzelkonfidenzen für jedes Einzelfahrzeug, wobei die statistische Einzelkonfidenz anhand der erfassten Fehlwirkungen des Einzelfahrzeugs in Abhängigkeit von der Zeit und/oder der Kilometer in jedem Einzelfahrzeug ermittelt ist,
einen Prozessor, welcher ausgebildet ist, zum Ermitteln einer statistischen Gesamtkonfidenz für die Fahrzeugflotte anhand der statistischen Einzelkonfidenzen für jedes Einzelfahrzeug,
eine Aktionseinheit, welche ausgebildet ist, zum Ausführen einer ersten Aktion bei Unterschreiten einer der Einzelkonfidenzen eines vorab festgelegten Einzelgrenzwertes und/oder einer zweiten Aktionseinheit zum Ausführen einer zweiten Aktion bei Unterschreiten der Gesamtkonfidenz eines vorab festgelegten Gesamtgrenzwertes.
Die Vorteile des Verfahrens können auch auf das System angewendet werden. Insbesondere ist das System dazu konfiguriert, dass das erfindungsgemäße Verfahren darauf ausgeführt werden kann. Es kann sich dabei um einen einzelnen Prozessor oder verschiedene Prozessoren handeln. Ein solches System kann beispielsweise eine Cloud sein.
Weiterhin vorzugsweise ist die statistische Einzelkonfidenz als auch die statistische Gesamtkonfidenz mittels einer bedingten Wahrscheinlichkeit ermittelbar.
Ferner ist die bedingte Wahrscheinlichkeit ausgebildet durch: $P [λ < F R | (\begin{matrix} n \\ k \end{matrix})]$
wobei P als Konfidenz eine Wahrscheinlichkeit angibt, daß eine reale aber unbekannte Rate von Fehlwirkungen λ kleiner ist als eine vorgegebene Rate FR unter der Voraussetzung, daß k Fehlwirkungen aus n Versuchen mit n gleich Stunden/ Kilometer beobachtet wurden.
Weitere Eigenschaften und Vorteile der beanspruchten Erfindung werden aus der folgenden detaillierten Beschreibung mit Bezug auf die beigefügten Zeichnungen erkennbar, die nachfolgend als nicht beschränkende Beispiele angegeben sind.
Die Figuren zeigen schematisch:

1: eine erfindungsgemäße Ausgestaltung des Verfahrens,
2: den Zusammenhang zwischen der Konfidenz und zurückgelegter Fahrzeit bzw. Strecke,
3: die Anzahl tolerierbarer Fehlwirkungen in Abhängigkeit des Beobachtungszeitraums (Fahrzeit-/Kilometer) im Mischverkehrsbetrieb.

1 zeigt eine erfindungsgemäße Ausgestaltung des Verfahrens zur Überwachung einer Robustheit einer Vielzahl von autonom fahrenden Einzelfahrzeugen einer Fahrzeuggattung in einem Mischverkehrsbetrieb.
Eine solche Ansammlung von Einzelfahrzeugen wird auch als Flotte/Fahrzeugflotte bezeichnet.
Dabei umfasst jedes der Einzelfahrzeuge die gleichen Stellglieder beispielsweise die gleichen Aktoren oder Aktuatorensysteme sowie die gleiche Fahrdynamik.
Die Einzelfahrzeuge sind zur autonomen Betriebsweise ausgelegt.
Ein autonom fahrendes Fahrzeug ist ein Fahrzeug, das in der Lage ist, seine Umgebung zu erfassen und mit geringfügiger oder gar keiner Benutzereingabe zu navigieren. Dabei gibt es gemäß SAE verschiedene Autonomiestufen, auch Level genannt. Eine gängige Einteilung dieser Level ist nachfolgend aufgezeigt.
In autonom fahrenden Fahrzeugen bei einem Level Eins helfen Fahrerassistenzsysteme bei der Fahrzeugbedienung bei der Längs- oder Querführung.
In autonom fahrenden Fahrzeugen bei einem Level Zwei helfen ein oder mehrere Fahrerassistenzsysteme bei der Fahrzeugbedienung bei der Längs- und gleichzeitiger Querführung.
In autonom fahrenden Fahrzeugen bei einem Level Drei muss der Fahrer das System nicht dauernd überwachen. Das Fahrzeug führt selbstständig Funktionen wie das Auslösen des Blinkers, Spurwechsel und Spurhalten durch. Der Fahrer kann sich anderen Dingen zuwenden, wird aber bei Bedarf innerhalb einer Vorwarnzeit vom System aufgefordert, die Führung zu übernehmen.
In autonom fahrenden Fahrzeugen ist bei einem Level Vier und Level Fünf keine Lenkung mehr durch den Fahrer vorgesehen. Dabei entspricht ein Level Vier einem vollautomatisierten Fahren, bei der das Fahrzeug den überwiegenden Teil seiner Fahrt selbständig navigiert. Dies bedeutet, dass das selbstfahrende Fahrzeug sogar komplexere Verkehrssituationen ohne Eingriff des Sicherheitsfahrers meistern kann.
Ab einem Level Fünf steuert das Fahrzeug völlig autonom; Lenkrad und Pedalerie sind somit entbehrlich. Das Fahrzeug übernimmt alle Fahrfunktionen. Sowohl beim autonomen als auch beim vollautomatisierten Fahren weist das Fahrzeug verschiedene Sensoren auf, durch die die Fahrzeugumgebung zur Bewältigung der Fahraufgabe von dem Fahrzeug wahrgenommen wird. Solche Sensoren können beispielsweise Radar-/Lidarsensoren, Ultraschallsensoren sowie Kameras sein.
In einem ersten Schritt S1 wird eine Fehlwirkung des Einzelfahrzeugs abhängig von einer Zeit und/oder Kilometern erfasst. Solche Fehlwirkungen sind beispielsweise „Fahrzeug fährt in die falsche Richtung, fehlende oder unnötige Bremsung etc.“, welche einen sofortigen Eingriff des Sicherheitsfahrers erfordern (manuelle Bremsung, Eingriff in das Lenkrad). Ferner sind Fehlwirkungen beispielsweise widersprüchliche Daten von Subsystemen, welche bei Auswertung die identischen Informationen aufweisen sollten (beispielsweise Objekt im Umfeldbild erkannt).
So kann beispielsweise ein Lidarsystem bzw. die ausgewerteten Sensordaten einen Fußgänger, Vorderfahrzeug zeigen, während das Radarsystem bzw. die ausgewerteten Sensordaten keine Objekte zeigen. Auch unterschiedlich erkannte Abstände zu den Objekten sind als Fehler möglich. So kann ein Vorderfahrzeug beispielsweise in 5 m identifiziert werden (Kamerasystem), während das Radarsystem ein Vorderfahrzeug in 8 m Entfernung anzeigt.
In einem zweiten Schritt S2 wird eine statistische Einzelkonfidenz für jedes Einzelfahrzeug anhand der erfassten Fehlwirkungen des Einzelfahrzeugs in Abhängigkeit von der Zeit und/oder der Kilometer ermittelt.
Diese ist als bedingte Wahrscheinlichkeit ausgestaltet: $P [λ < F R | (\begin{matrix} n \\ k \end{matrix})]$
wobei P als Konfidenz eine Wahrscheinlichkeit angibt, daß eine reale aber unbekannte Rate von Fehlwirkungen λ kleiner ist als eine vorgegebene Rate FR unter der Voraussetzung, daß k Fehlwirkungen aus n Versuchen mit n gleich Stunden/ Kilometer beobachtet wurden.
Die Fehlwirkungen werden beispielsweise anhand eines Eingriffes des Sicherheitsfahrers ermittelt oder beispielsweise automatisch vom System, wenn beispielsweise nicht übereinstimmende Auswertungen vorhanden sind. Die Fehlwirkungen können entweder direkt im Fahrzeug ausgewertet oder dazu beispielsweise an ein zentrales System (Cloud) drahtlos übermittelt werden. Die Fehlwirkungen werden in dem Fall kontinuierlich, das heißt vorzugsweise nach jedem Auftreten übermittelt. Somit wird das Einzelfahrzeug in jedem Fall kontinuierlich überwacht.
Durch die bedingte Wahrscheinlichkeit werden die auftretenden Fehlwirkungen kontinuierlich über der Zeit/zurückgelegte Kilometer bewertet und beeinflussen so die „aktuell berechnete“ Zuverlässigkeit des Einzelfahrzeugs.
Die Robustheit der Betriebsweise des Einzelfahrzeugs wird so während des Mischverkehrsbetriebs ständig neu berechnet und überwacht.
In einem dritten Schritt S3 wird eine erste Aktion bei Unterschreiten einer der Einzelkonfidenzen vorgenommen. Unterschreitet die Einzelkonfidenz einen zuvor festgelegten Einzelgrenzwert können einzelne, auffällige Fahrzeuge (automatisch) „stillgelegt“ werden, beispielsweise in dem sich der AD-Modus/Betriebsweise nicht mehr aktivieren lässt.
In einem vierten Schritt S4 wird eine statistische Gesamtkonfidenz für alle Einzelfahrzeuge anhand der erfassten Fehlwirkungen aller Einzelfahrzeuge in Abhängigkeit von der Zeit und/oder der Kilometer aller Einzelfahrzeuge ermittelt.
Diese ist als bedingte Wahrscheinlichkeit ausgestaltet, mit: $P [λ < F R | (\begin{matrix} n \\ k \end{matrix})]$
wobei P als Konfidenz eine Wahrscheinlichkeit angibt, daß eine reale aber unbekannte Rate von Fehlwirkungen λ kleiner ist als eine vorgegebene Rate FR unter der Voraussetzung, daß k Fehlwirkungen aus n Versuchen mit n gleich Stunden/ Kilometer beobachtet wurden.
Durch diese bedingte Wahrscheinlichkeit wird eine tolerierte Anzahl von Fehlwirkungen über der Zeit/Kilometer dynamisch berechnet.
Durch eine zentralisierte Prozessierung kann die Robustheit der gesamten Fahrzeugflotte bestimmt werden.
Die auftretenden Fehlwirkungen werden kontinuierlich über der Zeit/zurückgelegte Kilometer bewertet und beeinflussen so die „aktuell berechnete“ Zuverlässigkeit /Robustheit der Flotte.
In einem Schritt S5 wird eine zweite Aktion bei Unterschreiten der Gesamtkonfidenz eines vorab festgelegten Gesamtgrenzwertes durchgeführt. Dies kann beispielsweise eine vorübergehende Stilllegung des autonomen Betriebsmodus der ganzen Flotte sein, bis ein Update flächendeckend vorgenommen werden kann.
Durch die Bestimmung der Einzelkonfidenz und der Gesamtkonfidenz anhand der bedingten Wahrscheinlichkeit steigert somit jeder gefahrene Kilometer im Mischverkehrsbetrieb ohne Fehlwirkung in gleichem Maße die jeweilige Konfidenz. Allerdings wirkt sich umgekehrt auch jede beobachtete Fehlwirkung negativ auf die jeweilige Konfidenz aus.
2 zeigt den Zusammenhang zwischen der Konfidenz und der zurückgelegten Zeit oder Kilometer. Dabei kann es sich sowohl um die Einzelkonfidenz als auch die Gesamtkonfidenz handeln.
Graph 1 zeigt die ansteigende Konfidenz (in Prozent) über den zurückgelegten Mischverkehrskilometern ohne Fehlwirkung. In dem gezeigten Beispiel wird davon ausgegangen, daß bereits vor dem Mischverkehrsbetrieb eine Grundkonfidenz nachgewiesen wurde; z.B. simulativ.
Darüber hinaus wird beispielhaft die geforderte Konfidenz (statistische Einzelkonfidenz / statistische Gesamtkonfidenz) mit 99 % (Konfidenzgraph 4) festgelegt.
Der Graph 2 zeigt hingegen den Fall, bei dem eine Fehlwirkung unmittelbar nach Beginn des Mischverkehrsbetriebs aufgetreten ist. Die entsprechende Konfidenz fällt sofort unter die geforderte Marke von 99% (Konfidenzgraph 4).
Zwar baut sich die Konfidenz über weiteren Kilometern ohne Fehlwirkung wieder auf, jedoch wäre in einem solchen Fall ein sofortiger Abbruch der autonomen Betriebsweise im Mischverkehrsbetrieb erforderlich, weil das Einzelfahrzeug/Gesamtflotte nicht mehr die geforderte minimale Konfidenz aufweist.
Dementsprechend zeigt der Bereich 3 den Arbeitspunkt, in dem ein Mischverkehrsbetrieb nicht weiter stattfinden darf, da die aktuell berechnete Konfidenz unter dem geforderten Konfidenzgraphen 4 (Einzelgrenzwert/ Gesamtgrenzwert) liegt.
3 zeigt die tolerierbare Anzahl der Fehlwirkungen über den Versuchsumfang bzw. die zurückgelegte Strecke im Mischverkehrsbetrieb.
Die zulässige Anzahl von beobachteten Fehlwirkungen hängt dabei von der zurückgelegten Strecke ab. Treten zu viele Fehlwirkungen innerhalb eines bestimmten Beobachtungszeitraums auf, sinkt die Konfidenz (statistische Einzelkonfidenz / statistische Gesamtkonfidenz) unter die geforderte Marke von 99% (Konfidenzgraph 4, 2) und das Einzelfahrzeug/Gesamtflotte erfüllt nicht mehr die geforderte minimale Konfidenz. Hat man hingegen bereits einen bestimmten Umfang ohne Eingriffe absolviert, können einzelne Eingriffe unter Umständen durchaus toleriert werden.
Dies bedeutet: wenn sich die Einzelfahrzeuge/Flotte während des Betriebs, in Abhängigkeit des absolvierten Fahrumfangs bezüglich der bis dato beobachteten Anzahl von Fehlwirkungen, in einem zulässigen Bereich 6 bewegen, kann der Mischverkehrsbetrieb weiter aufrechterhalten werden. Für den zulässigen Bereich 6 gilt, dass die aktuell berechnete Konfidenz mindestens den in dem Beispiel geforderten 99% entspricht.
Wird jedoch die Grenze zu einem nicht zulässigen Bereich 7 unterschritten, ist der weitere Mischverkehrsbetrieb der autonom fahrenden Einzelfahrzeuge bzw. der Flotte einzustellen und auf manuellen Betrieb umzuschalten. Diese Umschaltung kann automatisiert erfolgen.
Der Bereich 8 gibt den Umfang eines möglichen Robustheitsnachweises vor dem Mischverkehrsbetrieb an. Dies ist insbesondere sinnvoll, wenn es sich um den Betrieb eines Entwicklungsfahrzeugs mit Sicherheitsfahrer handelt um eine minimale Robustheit des neuen Entwicklungsstands bereits vor Fahrtantritt nachzuweisen (z.B. Simulativ).
Durch das erfindungsgemäße Verfahren wird die Robustheit des Einzelfahrzeugs als auch der Fahrzeugflotte während des Mischverkehrsbetriebs ständig neu berechnet und überwacht. Im Bedarfsfall werden daraus angemessene Aktionen (Maßnahmen) durchgeführt.
Der Einfluss von Fehlwirkungen wird durch das beschriebene Verfahren objektiv bewertbar; die erforderlichen Maßnahmen können analytisch abgeleitet werden, und zwar für einzelne Einzelfahrzeuge und auch für die gesamte Flotte.
Latente Fehlwirkungen, die während des Mischverkehrsbetriebs in Einzelfahrzeugen beobachtet und beispielsweise durch mögliche Softwarefehler induziert werden, können automatisch schnell identifiziert werden und ermöglichen angemessene, differenzierte Handlungsmaßnahmen, die sich sowohl auf Einzelfahrzeuge als auch auf die gesamte Flotte beziehen können.
Durch das erfindungsgemäße Verfahren ist eine kontinuierliche qualitativ-/quantitative Überwachung der Zuverlässigkeit von autonom fahrenden Einzelfahrzeugen und ganzer autonom fahrender Flotten im Straßenverkehr möglich.
In der Entwicklungsphase eröffnet das erfindungsgemäße Verfahren/System die Chance früher Feldtesterfahrung von autonom fahrenden Einzelfahrzeugen mit Sicherheitsfahrer im Mischverkehrsbetrieb, ohne dabei ein unkalkulierbares Verkehrsrisiko einzugehen.
Bezugszeichenliste

1: akkumulierte Konfidenz als Graph
2: Eingriff kurz nach Beginn des Mischverkehrsbetriebs als Graph
3: Abbruchsbereich
4: Konfidenzgraph
5: Konfidenzschwelle
6: zulässiger Bereich
7: nicht zulässiger Bereich
8: Bereich vor Mischverkehrsbetrieb

ZITATE ENTHALTEN IN DER BESCHREIBUNG
Diese Liste der vom Anmelder aufgeführten Dokumente wurde automatisiert erzeugt und ist ausschließlich zur besseren Information des Lesers aufgenommen. Die Liste ist nicht Bestandteil der deutschen Patent- bzw. Gebrauchsmusteranmeldung. Das DPMA übernimmt keinerlei Haftung für etwaige Fehler oder Auslassungen.
Zitierte Nicht-Patentliteratur

ISO21448 [0009]

Claims

Verfahren zur Überwachung einer Robustheit einer Vielzahl von autonom fahrenden Einzelfahrzeugen einer Fahrzeuggattung in einem Mischverkehrsbetrieb, gekennzeichnet durch die Schritte: - Erfassung von Fehlwirkungen der Betriebsweise des Einzelfahrzeugs abhängig von einer Zeit und/oder Kilometern, - Ermitteln einer statistischen Einzelkonfidenz für jedes Einzelfahrzeug anhand der erfassten Fehlwirkungen des Einzelfahrzeugs in Abhängigkeit von der Zeit und/oder der Kilometer, - Ermitteln einer statistischen Gesamtkonfidenz anhand der erfassten Fehlwirkungen aller Einzelfahrzeuge der Fahrzeugflotte in Abhängigkeit von der Zeit und/oder der Kilometer, - Ausführen einer ersten Aktion bei Unterschreiten einer der Einzelkonfidenzen eines vorab festgelegten Einzelgrenzwertes und/oder einer zweiten Aktion bei Unterschreiten der Gesamtkonfidenz eines vorab festgelegten Gesamtgrenzwertes.
Verfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass eine erste Aktion dadurch ausgebildet ist, den automatisierten Betrieb eines Einzelfahrzeugs zu deaktivieren und das Einzelfahrzeug bei Bedarf lediglich manuell zu betreiben und/oder eine zweite Aktion dadurch ausgebildet ist, den automatisierten Betrieb aller Flottenfahrzeuge zu deaktivieren und die Einzelfahrzeuge bei Bedarf nur noch manuell zu betreiben.
Verfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass die statistische Einzelkonfidenz als auch die statistische Gesamtkonfidenz mittels einer bedingten Wahrscheinlichkeit ermittelt wird.
Verfahren nach Anspruch 3, dadurch gekennzeichnet, dass die bedingte Wahrscheinlichkeit ausgebildet wird durch: $P [λ < F R | (\begin{matrix} n \\ k \end{matrix})]$
wobei (P) als Konfidenz eine Wahrscheinlichkeit angibt, daß eine reale aber unbekannte Rate von Fehlwirkungen (λ) kleiner ist als eine vorgegebene Rate (FR) unter der Voraussetzung, daß (k) Fehlwirkungen aus (n) Versuchen mit (n) gleich Stunden/ Kilometer beobachtet wurden.
Einzelfahrzeug zur Überwachung einer Robustheit in einem Mischverkehrsbetrieb, das Einzelfahrzeug aufweisend einen Prozessor, welcher ausgebildet ist, zur Erfassung von Fehlwirkungen des Einzelfahrzeugs abhängig von einer Zeit und/oder Kilometern, einen Prozessor, welcher ausgebildet ist, zum Ermitteln einer statistischen Einzelkonfidenz für das Einzelfahrzeug anhand der erfassten Fehlwirkungen des Einzelfahrzeugs in Abhängigkeit von der Zeit und/oder der Kilometer, eine Aktionseinheit, welche ausgebildet ist, zum Ausführen einer ersten Aktion bei Unterschreiten der Einzelkonfidenz eines vorab festgelegten Einzelgrenzwertes, eine Kommunikationseinheit zur zentralen Übermittlung der Fehlwirkungen sowie der zugehörigen Zeit-/Kilometerspannen und/oder der ermittelten Einzelkonfidenz.
Einzelfahrzeug nach Anspruch 5, dadurch gekennzeichnet, dass eine Fehlwirkung anhand eines korrigierenden Eingriffs durch einen, das Einzelfahrzeug überwachenden Sicherheitsfahrer, erkannt wird.
Einzelfahrzeug nach einem der vorhergehenden Ansprüche 5 und 6, dadurch gekennzeichnet, dass eine Fehlwirkung durch eine Analyse widersprüchlicher Daten von Subsystemen, automatisch erkennbar ist.
Einzelfahrzeug nach einem der vorhergehenden Ansprüche 5 bis 7, dadurch gekennzeichnet, dass eine Fehlwirkung anhand eines korrigierenden Eingriffs durch einen, das Einzelfahrzeug überwachenden Sicherheitsfahrer, erkennbar ist.
Einzelfahrzeug nach Anspruch 8, dadurch gekennzeichnet, dass für Aktuatoren und / oder eine Fahrzeugdynamik Schwellenwerte in Abhängigkeit einer Kontrollierbarkeitsgrenze eines Sicherheitsfahrers ermittelbar ist.
Einzelfahrzeug nach Anspruch 9, dadurch gekennzeichnet, dass die Kontrollierbarkeitsgrenzen durch Versuchsreihen ermittelbar sind, bei denen die Probanden in einer Fahrsimulation oder Versuchsfahrten kritischen Verkehrssituationen ausgesetzt sind, die durch künstlich eingespielte Fehlwirkungen hervorgerufen werden, einem Auswerten der beobachteten Reaktionen der Probanden, und einem Vergleich der Reaktion der Probanden mit einer erwarteten Reaktion und ein Festlegen der Schwellenwerte als kontrollierbar, wenn die erwartete Reaktion von einer prozentualen Anzahl von Probanden erreicht wird und ein Festlegen als nicht kontrollierbar, wenn die erwartete Reaktion nicht von einer prozentualen Anzahl von Versuchsfahrern erreicht wird.
Einzelfahrzeug nach einem der vorhergehenden Ansprüche 5 bis 10, dadurch gekennzeichnet, dass die tolerierbare Anzahl der Fehlwirkungen in Abhängigkeit von der geforderten Konfidenz dynamisch über die Zeit oder Kilometer berechenbar ist.
System zur Überwachung einer Robustheit einer Vielzahl von autonom fahrenden Einzelfahrzeugen einer Fahrzeuggattung in einem Mischverkehrsbetrieb, das System aufweisend einen Prozessor, welcher ausgebildet ist, zum Empfang von Fehlwirkungen des Einzelfahrzeugs abhängig von einer Zeit und/oder Kilometern, einen Prozessor, welcher ausgebildet ist, zum Ermitteln einer statistischen Einzelkonfidenz für jedes Einzelfahrzeug anhand der erfassten Fehlwirkungen des Einzelfahrzeugs in Abhängigkeit von der Zeit und/oder der Kilometer, einen Prozessor, welcher ausgebildet ist, zum Ermitteln einer statistischen Gesamtkonfidenz für die Fahrzeugflotte anhand der erfassten Fehlwirkungen aller Einzelfahrzeuge in Abhängigkeit von der Gesamtzeit- und/oder der Kilometer, eine Aktionseinheit, welche ausgebildet ist, zum Ausführen einer ersten Aktion bei Unterschreiten einer der Einzelkonfidenzen eines vorab festgelegten Einzelgrenzwertes und/oder einer zweiten Aktionseinheit zum Ausführen einer zweiten Aktion bei Unterschreiten der Gesamtkonfidenz eines vorab festgelegten Gesamtgrenzwertes.
System zur Überwachung einer Robustheit einer Vielzahl von autonom fahrenden Einzelfahrzeugen einer Fahrzeuggattung in einem Mischverkehrsbetrieb, das System aufweisend einen Prozessor, welcher ausgebildet ist, zum Empfang von statistischen Einzelkonfidenzen für jedes Einzelfahrzeug, wobei die statistische Einzelkonfidenz anhand der erfassten Fehlwirkungen des Einzelfahrzeugs in Abhängigkeit von der Zeit und/oder der Kilometer in jedem Einzelfahrzeug ermittelt ist, einen Prozessor, welcher ausgebildet ist, zum Ermitteln einer statistischen Gesamtkonfidenz für die Fahrzeugflotte anhand der statistischen Einzelkonfidenzen für jedes Einzelfahrzeug, eine Aktionseinheit, welche ausgebildet ist, zum Ausführen einer ersten Aktion bei Unterschreiten einer der Einzelkonfidenzen eines vorab festgelegten Einzelgrenzwertes und/oder einer zweiten Aktionseinheit zum Ausführen einer zweiten Aktion bei Unterschreiten der Gesamtkonfidenz eines vorab festgelegten Gesamtgrenzwertes.
System nach Anspruch 12 oder 13, dadurch gekennzeichnet, dass die statistische Einzelkonfidenz als auch die statistische Gesamtkonfidenz mittels einer bedingten Wahrscheinlichkeit ermittelbar ist.
System nach Anspruch 14, dadurch gekennzeichnet, dass die bedingte Wahrscheinlichkeit ausgebildet wird durch: $P [λ < F R | (\begin{matrix} n \\ k \end{matrix})]$
wobei (P) als Konfidenz eine Wahrscheinlichkeit angibt, daß eine reale aber unbekannte Rate von Fehlwirkungen (λ) kleiner ist als eine vorgegebene Rate (FR) unter der Voraussetzung, daß (k) Fehlwirkungen aus (n) Versuchen mit (n) gleich Stunden/ Kilometer beobachtet wurden.