DE102020206610A1

DE102020206610A1 - Sicherheitsarchitektur zur steuerung eines autonomen fahrzeugs

Info

Publication number: DE102020206610A1
Application number: DE102020206610.8A
Authority: DE
Inventors: Stephan Reuter; Thomas Gussner; Oliver F. Schwindt; Theresa Kienle; Andreas Heyl
Original assignee: Robert Bosch GmbH
Current assignee: Robert Bosch GmbH
Priority date: 2019-05-30
Filing date: 2020-05-27
Publication date: 2020-12-03
Also published as: US11577753B2; CN112009496B; CN112009496A; US20200377122A1

Abstract

Verfahren und Systeme zur Steuerung eines autonomen Fahrzeugs. Das Verfahren beinhaltet das Empfangen von Sensordaten von mehreren Sensoren, das Bestimmen von mehreren Wahrscheinlichkeitshypothesen auf der Grundlage der Sensordaten, und das Empfangen von Metadaten von wenigstens einem Sensor der mehreren Sensoren. Auf der Grundlage der empfangenen Metadaten wird eine Integritätsstufe von wenigstens einer der mehreren Wahrscheinlichkeitshypothesen bestimmt, und auf der Grundlage der bestimmten Integritätsstufe und wenigstens einer Wahrscheinlichkeitshypothese der mehreren Wahrscheinlichkeitshypothesen wird wenigstens eine Maßnahme bestimmt. Anschließend wird die wenigstens eine Maßnahme durch eine elektronische Steuerung für das Fahrzeug eingeleitet.

Description

QUERVERWEIS AUF VERWANDTE ANMELDUNGEN
Diese Anmeldung beansprucht die Priorität der vorläufigen US-Patentanmeldung Nr. 62/854,663 , eingereicht am 30. Mai 2019, deren Inhalt durch Bezugnahme in vollem Umfang einbezogen ist.
HINTERGRUND
Aktuelle automatisierte Fahrsysteme („automated driving systems“, ADS) nutzen zur Steuerung automatisierter Fahrzeuge komplexe Sensordateneingänge und Verarbeitungsalgorithmen. Einige Sensoren, Sensormodalitäten und andere Datenquellen, wie z.B. digitale Karten, können nur bestimmte Aspekte der Fahrumgebung messen oder bereitstellen. Beispielsweise sind Geschwindigkeitsmessungen, die unter Verwendung von Radarsensoren vorgenommen wurden, im Allgemeinen sehr genau. Geschwindigkeitsmessungen, die unter Verwendung von Video vorgenommen werden, sind demgegenüber weniger genau. Video kann jedoch verwendet werden, um bestimmte Objekte in der Fahrumgebung zu identifizieren. Die Objektidentifikation (im Gegensatz zu einer einfachen Anwesenheitsdetektion) unter Verwendung von Radarsensoren ist zwar möglich, jedoch nicht so zuverlässig, genau oder präzise wie unter Verwendung von Videosensoren oder anderen Sensoren.
Um einige dieser Einschränkungen zu beheben, wird oftmals die Fusion von Daten von mehreren Sensoren, Sensormodalitäten und anderen Datenquellen durchgeführt, um eine vollständigere Repräsentation der Fahrumgebung zu erhalten. Sensoren und andere Sicherheitssysteme können jedoch aufgrund systematischer Einschränkungen und/oder systematischer oder zufälliger interner Fehler bei den Sensoren fehlerhafte Messungen oder Daten liefern. Um einige dieser Unzulänglichkeiten zu berücksichtigen, basiert das Erfassen von Sensordaten und das Verarbeiten der Sensordaten auf probabilistischen Algorithmen. Die Verwendung von probabilistischen Algorithmen kann jedoch zu einer falschen Klassifizierung von Objekten oder Gefahren führen - einer falschen Verfolgung von Objekten, einer verpassten Detektion von Objekten, der Detektion von „Geister“-Objekten (Objekte, die „detektiert“ werden, die in der Fahrumgebung gar nicht vorhanden sind), einer falschen Zielauswahl und einer falschen kinematischen Schätzung von Objekten (beispielsweise wird eine Geschwindigkeit eines Objekts falsch berechnet). Aktuelle Steuerungsalgorithmen leiten diskrete Steuerungsentscheidungen, wie z.B. Beschleunigen oder Verzögern, auf der Grundlage dieser probabilistischen Eingänge ab.
KURZDARSTELLUNG
Benötigt wird ein Steuerungssystem zum besseren Verarbeiten dieser probabilistischen Eingänge und zum Erzeugen einer Steuerungslösung auf der Grundlage der verschiedenen probabilistischen Hypothesen, die basierend auf der Datenfusion der mehreren Sensoren erzeugt werden. Einige Ausführungsformen stellen ein Steuerungssystem bereit, das mehrere probabilistische Hypothesen erzeugt, die in einem Speicher gespeichert werden, bis ein Verarbeitungsschritt bestimmt, welche Hypothese verwendet wird, um Fahrzeugsysteme zu betätigen. Diese Hypothesen werden verwendet, um die Auswahl einer endgültigen Hypothese zu unterstützen und um eine Fahrzeugsteuerung auszuwählen, welche die Sicherheit der beabsichtigten Funktionalität („safety of the intended functionality“, (SOTIF)) erreicht oder verbessert. Zusätzlich nutzt das Steuerungssystem Informationen über die Datenquellen, wie z.B. Informationen über den Betrieb der Sensoren, um zu verhindern, oder die Wahrscheinlichkeit zu reduzieren, dass Sensoren, die ausfallen oder falsche Informationen liefern, eine probabilistische Bestimmung und den daraus resultierenden Steuerungsvorgang beeinträchtigen.
Die hier beschriebenen Ausführungsformen betreffen allgemein ein Steuerungssystem zur Steuerung eines autonomen oder teilautonomen Fahrzeugs (manchmal einfach als „autonomes“ Fahrzeug bezeichnet).
Eine Ausführungsform stellt ein Verfahren zur Steuerung eines autonomen Fahrzeugs bereit. Das Verfahren umfasst das Empfangen von Sensordaten von mehreren Sensoren, das Bestimmen von mehreren Wahrscheinlichkeitshypothesen auf der Grundlage der Sensordaten, und das Empfangen von Metadaten von mindestens einem Sensor der mehreren Sensoren. Auf der Grundlage der empfangenen Metadaten wird eine Integritätsstufe von wenigstens einer der mehreren Wahrscheinlichkeitshypothesen bestimmt, und auf der Grundlage der bestimmten Integritätsstufe und wenigstens einer Wahrscheinlichkeitshypothese der mehreren Wahrscheinlichkeitshypothesen wird wenigstens eine Maßnahme bestimmt. Anschließend wird die wenigstens eine Maßnahme durch eine elektronische Steuerung oder eine ähnliche Vorrichtung des Fahrzeugs eingeleitet.
Eine weitere Ausführungsform stellt ein Verfahren zur Steuerung eines autonomen Fahrzeugs bereit. Das Verfahren umfasst das Empfangen von Sensordaten von mehreren Sensoren mittels eines elektronischen Prozessors; das Bestimmen mehrerer Wahrscheinlichkeitshypothesen auf der Grundlage der Sensordaten mittels des elektronischen Prozessors; und das Empfangen von Metadaten von wenigstens einem Sensor der mehreren Sensoren mittels des elektronischen Prozessors. Auf der Grundlage der empfangenen Metadaten wird eine Integritätsstufe von wenigstens einer der mehreren Wahrscheinlichkeitshypothesen bestimmt. Das Verfahren umfasst außerdem das Bestimmen wenigstens einer Maßnahme auf der Grundlage der bestimmten Integritätsstufe und wenigstens einer Wahrscheinlichkeitshypothese der mehreren Wahrscheinlichkeitshypothesen mittels des elektronischen Prozessors; und das Einleiten der wenigstens einen Maßnahme mittels des elektronischen Prozessors.
Weitere Aspekte, Merkmale und Ausführungsformen ergeben sich aus der Betrachtung der ausführlichen Beschreibung und der beigefügten Zeichnungen.
Figurenliste

Die 1 veranschaulicht ein Blockdiagramm eines autonomen Fahrzeugs, das mit einem Steuerungssystem gemäß einer Ausführungsform ausgestattet ist.
Die 2 veranschaulicht eine elektronische Steuerung gemäß einer Ausführungsform.
Die 3 veranschaulicht ein Verfahren zur Steuerung eines autonomen Fahrzeugs gemäß einer Ausführungsform.

AUSFÜHRLICHE BESCHREIBUNG
Bevor Ausführungsformen ausführlich erläutert werden, ist anzumerken, dass diese Offenbarung bei ihrer Anwendung nicht auf die in der nachfolgenden Beschreibung dargelegten oder in den nachfolgenden Zeichnungen dargestellten Konstruktionsdetails und die Anordnung von Komponenten beschränkt sein soll. Ausführungsformen können anders ausgestaltet sein und unterschiedlich in die Praxis umgesetzt oder auf unterschiedliche Weise ausgeführt werden.
Zur Umsetzung verschiedener Ausführungsformen können eine Vielzahl von hardware- und softwarebasierten Geräten, sowie eine Vielzahl von unterschiedlichen Strukturkomponenten verwendet werden. Darüber hinaus können Ausführungsformen Hardware, Software und elektronische Komponenten oder Module umfassen, die zur Erörterung eventuell so dargestellt und beschrieben sind, als wäre der Großteil der Komponenten ausschließlich in Hardware umgesetzt. Ein Durchschnittsfachmann auf dem Gebiet erkennt jedoch anhand der Lektüre dieser ausführlichen Beschreibung, dass in mindestens einer Ausführungsform die auf Elektronik basierenden Aspekte der Erfindung in von einer oder mehreren elektronischen Steuerungen oder elektronischen Prozessoren ausführbarer Software (die z.B. auf nichtflüchtigen, computerlesbaren Medien gespeichert sind) umgesetzt sein können. Beispielsweise können in der Beschreibung beschriebene „Steuerungen“ einen oder mehrere elektronische Prozessoren, einen oder mehrere Speicher mit nicht-flüchtigen computerlesbaren Medien, eine oder mehrere Eingabe/Ausgabe-Schnittstellen, eine oder mehrere anwendungsspezifische integrierte Schaltungen (ASICs) und andere Schaltungen und verschiedene Verbindungen (beispielsweise Drähte, gedruckte Leiterbahnen und Busse), welche die verschiedenen Komponenten verbinden, umfassen.
Ebenso versteht es sich, dass, obwohl in bestimmten Zeichnungen Hardware und Software dargestellt ist, die sich innerhalb bestimmter Vorrichtungen befinden, diese Darstellungen nur zum Zwecke der Veranschaulichung dienen. In einigen Ausführungsformen können die dargestellten Komponenten kombiniert sein, oder in separate Software, Firmware und/oder Hardware aufgeteilt sein. Anstatt sich beispielsweise in einem einzigen elektronischen Prozessor zu befinden und von diesem ausgeführt zu werden, können beispielsweise Logik und Verarbeitung auf mehrere elektronische Prozessoren verteilt sein. Unabhängig davon, wie sie kombiniert oder aufgeteilt sind, können sich Hardware- und Softwarekomponenten auf derselben Recheneinrichtung befinden oder auf verschiedene Recheneinrichtungen verteilt sein, die durch ein oder mehrere Netzwerke oder andere geeignete Kommunikationsverbindungen verbunden sind.
Die 1 ist ein Blockdiagram, das ein autonomes Fahrzeug 100 darstellt, das mit einem Steuerungssystem 110 gemäß einer Ausführungsform ausgestattet ist. Das Fahrzeug 100 umfasst ein oder mehrere Räder 115 bis 118, die jeweils über zugehörige Bremsen 120 bis 123 verfügen, die durch ein Bremssystem 125 gesteuert werden. Das Fahrzeug 100 umfasst außerdem ein Lenksystem 130, ein Antriebssystem 135, mehrere Sensoren 140 bis 143 und eine elektronische Steuerung 150. In einigen Ausführungsformen ist das Fahrzeug 100 vollautonom oder teilautonom. Mit anderen Worten, das Fahrzeug 100 wird ganz oder teilweise ohne Eingaben von einem Fahrgast oder einem entfernten Benutzer des Fahrzeugs 100 betrieben.
Das Bremssystem 125 ist dazu eingerichtet, die Bremsen 120 bis 123 zu steuern, indem beispielsweise hydraulische oder elektronische Komponenten betätigt werden, um zum Verlangsamen des Fahrzeugs 100 die Bremsen 120 bis 123 der Räder 115 bis 118 einzurücken oder auszurücken. Das Lenksystem 130 ist dazu eingerichtet, eine Fahrtrichtung des Fahrzeugs 100 zu steuern, indem zumindest die Räder 115 bis 116, in diesem Fall die Vorderräder des Fahrzeugs 100 (ein Vorderradlenksystem), unter Verwendung einer Lenkstange und anderer Lenkkomponenten betätigt werden, um das Fahrzeug 100 in eine gewünschte Richtung zu lenken. In einigen Ausführungsformen ist das Lenksystem 130 dazu eingerichtet, alle Räder 115 bis 118 (ein Vierradlenksystem) zu betätigen, um das Fahrzeug 100 in die gewünschte Richtung zu lenken. Das Antriebssystem 135 umfasst beispielsweise einen Verbrennungsmotor oder einen Elektromotor und ist dazu eingerichtet, das Fahrzeug 100 in die gewünschte Fahrtrichtung anzutreiben.
In einigen Ausführungsformen werden das Bremssystem 125, das Lenksystem 130 und das Antriebssystem 135 durch die elektronische Steuerung 150 gesteuert. In anderen Ausführungsformen umfasst jedes System eine individuelle elektronische Steuerung oder einen elektronischen Prozessor, die bzw. der dazu eingerichtet ist, von der elektronischen Steuerung 150 Anweisungen oder Anforderungen zur Betätigung seiner jeweiligen Systeme zu erhalten.
Die mehreren Sensoren 140 bis 143 sind an verschiedenen Stellen des Fahrzeugs 100 angeordnet und dazu eingerichtet, Daten über die Umgebung des Fahrzeugs 100 zu sammeln. Bei den in der 1 dargestellten Stellen der mehreren Sensoren 140 bis 143 handelt es sich um Beispiele. Die mehreren Sensoren 140 bis 143 können sich an anderen Teilen des Fahrzeugs 100 befinden und es kann eine andere Anzahl von Sensoren verwendet werden. Bei den mehreren Sensoren 140 bis 143 kann es sich um verschiede Sensorarten handeln, wie etwa Radarsensoren, Light detection and ranging (LIDAR)-Sensoren, Kameras, Audiosensoren, Schwingungssensoren, Beschleunigungssensoren, Gyroskope und dergleichen. Vorteilhafterweise sind einzelne Sensoren der mehreren Sensoren 140 bis 143 verschiedene Arten von Sensoren um verschiedene Arten von Daten aus der Umgebung des Fahrzeugs 100 zu sammeln. Die mehreren Sensoren 140 bis 143 senden auch Metadaten über den Betrieb jedes Sensors, wie etwa Betriebsstatus, Fehlercode und andere Daten, an die elektronische Steuerung 150.
Die elektronische Steuerung 150 ist elektrisch mit dem Bremssystem 125, dem Lenksystem 130, dem Antriebssystem 135 und den mehreren Sensoren 140 bis 143 verbunden und dazu eingerichtet, Anweisungen an das Bremssystem 125, das Lenksystem 130, das Antriebssystem 135 und die mehreren Sensoren 140 bis 143 zu senden und Daten von diesen zu empfangen.
Die 2 veranschaulicht die elektronische Steuerung 150 gemäß einer Ausführungsform. In dem gezeigten Beispiel umfasst die elektronische Steuerung 150 eine Eingabe-Ausgabe-Schnittstelle 210, einen elektronischen Prozessor 220 und einen Speicher 230 (beispielsweise einen nichtflüchtigen, maschinenlesbaren Speicher).
Die Eingabe-Ausgabe-Schnittstelle 210 ermöglicht es dem elektronischen Prozessor 220, mit externer Hardware, wie etwa den mehreren Sensoren 140 bis 143, zu kommunizieren. Der elektronische Prozessor 220 ist kommunikativ mit der Eingabe/Ausgabe-Schnittstelle 210 und dem Speicher 230 verbunden. Der elektronische Prozessor 220 ist dazu eingerichtet, auf den Speicher 230 zuzugreifen und unter anderem Anweisungen für das Steuerungssystem 110 auszuführen. Der elektronische Prozessor 220 kann ein Mikroprozessor, eine anwendungsspezifische integrierte Schaltung oder eine ähnliche Verarbeitungsschaltung sein. Der Speicher 230 umfasst außerdem die Sicherheitsarchitektur-Software 240. Die Sicherheitsarchitektursoftware 240 ist dazu eingerichtet, über den elektronischen Prozessor 220 Daten und Metadaten von den mehreren Sensoren 140 bis 143 zu empfangen und unter anderem die hier beschriebenen Funktionen und Verfahren auszuführen.
Die Sicherheitsarchitektur-Software 240 kann auch eine digitale Karte oder ein globales Positionsbestimmungssystem („global positioning system“, GPS) umfassen, damit die elektronische Steuerung 150 den Ort des Fahrzeugs 100 und anderer potenzieller Merkmale (beispielsweise bekannte Straßenschilder, Fahrspuren oder andere Straßenmerkmale oder geografische Merkmale) bestimmen kann, die sich am Ort des Fahrzeugs 100 befinden. In einigen Ausführungsformen ist die digitale Karte eine statische Karte der Fahrumgebung, die verschiedene Merkmale der Fahrumgebung darstellt, und die in dem Speicher 230 getrennt von der Sicherheitsarchitektur-Software 240 gespeichert ist. Die digitale Karte kann unter Verwendung von Sensordaten von den mehreren Sensoren 140 bis 143 in Echtzeit erstellt werden, um eine Lokalisierungskarte zu erstellen, die wahrscheinliche Orte verschiedener statischer Merkmale in der Fahrumgebung anzeigt. In anderen Ausführungsformen wird diese Lokalisierungskarte unter Verwendung einer Kombination aus Sensordaten von den mehreren Sensoren 140 bis 143 und einer vorhandenen bekannten Karte erstellt, wie beispielsweise einer statischen Karte der Fahrumgebung, in der verschiedene Merkmale dargestellt sind, wie beispielsweise Fahrspuren und geographische Merkmale, die die elektronische Steuerung 150 beispielsweise aus einer entfernten Datenquelle erhält.
Die 3 veranschaulicht ein Verfahren 300 zur Steuerung des autonomen Fahrzeugs 100 gemäß einer Ausführungsform. Das Verfahren 300 umfasst (bei Block 310) das Empfangen von Sensordaten von den mehreren Sensoren 140 bis 143 mittels der elektronischen Steuerung 150. Die elektronische Steuerung 150 kann beispielsweise Daten von einem Radarsensor, von einem Mikrofon, von einem LIDAR-Sensor und von einer Kamera empfangen. In einigen Ausführungsformen wird den Sensordaten oder jedem Sensoreingang in die elektronische Steuerung 150 von der elektronischen Steuerung 150 ein Gewichtungsfaktor zugewiesen. Die Sensordaten werden zur Verwendung bei der Bestimmung einer einzuleitenden Maßnahme, wie unten beschrieben, in dem Speicher 230 gespeichert.
Zusätzlich zum Empfangen von Sensordaten empfängt die elektronische Steuerung 150 in einigen Ausführungsformen auch Daten aus anderen Datenquellen, wie der digitalen Karte oder einem GPS. Die elektronische Steuerung 150 kann beispielsweise eine Position des Fahrzeugs 100 bezogen auf bekannte Fahrspuren der Fahr Oberfläche, auf der das Fahrzeug 100 gerade fährt, empfangen (beispielsweise befindet sich das Fahrzeug 100 auf der rechten Spur einer vierspurigen Autobahn).
Nach dem Empfangen der Sensordaten und aller anderen Daten aus anderen Datenquellen ist die elektronische Steuerung 150 (bei Block 320) dazu eingerichtet, auf der Grundlage der empfangenen Daten eine oder mehrere Wahrscheinlichkeitshypothesen zu bestimmen. Die Wahrscheinlichkeitshypothesen sind mehrere Hypothesen über die das Fahrzeug 100 umgebende Fahrumgebung. Die mehreren Hypothesen werden unter Verwendung von Datenfusion erzeugt. Ein oder mehrere Algorithmen, die durch die Sicherheitsarchitektur-Software 240 gesteuert werden, empfangen die Eingänge von den mehreren Sensoren 140 bis 143 und erzeugen auf der Grundlage der verschiedenen Eingänge die mehreren Hypothesen, von denen jede eine Wahrscheinlichkeit für unterschiedliche Szenarien darstellt, die in der Fahrumgebung vorhanden sind.
Beispielsweise kann die elektronische Steuerung 150 auf der Grundlage von Videodaten einer Kamera, Radardaten eines Radarsensors und LIDAR-Daten eines LIDAR-Sensors mehrere Hypothesen bestimmen, die angeben, wie nahe ein Objekt an dem Fahrzeug 100 ist. Ein Algorithmus der Sicherheitsarchitektur-Software 240 kann sich hauptsächlich auf Radardaten stützen, und die resultierende Hypothese kann anzeigen, dass das Objekt fünfzig Fuß entfernt ist. Ein anderer Algorithmus der Sicherheitsarchitektur-Software 240 kann sich hauptsächlich auf Videodaten stützen, und die resultierende Hypothese kann anzeigen, dass das Objekt zwanzig Fuß entfernt ist. Jede der auf der Grundlage der Sensordaten erzeugten Hypothesen wird in dem Speicher 230 gespeichert, sodass relevante Informationen nicht durch Pruning oder Diskretisierung von Hypothesen verloren gehen. Mit anderen Worten, jede Hypothese wird auch dann für eine spätere Verwendung gespeichert, wenn die Hypothese nicht zur Bestimmung einer Maßnahme für das Fahrzeug 100, wie unten beschrieben, herangezogen wird. Dies ermöglicht auch eine Kombination mehrerer Hypothesen, um unter Verwendung aller probabilistischen Kombinationen der Sensordaten eine Endhypothese zu erzeugen.
In dem angegebenen Beispiel umfasst das Verfahren außerdem das Empfangen von Metadaten, die jedem der mehreren Sensoren 140 bis 143 zugeordnet sind, mittels der elektronischen Steuerung 150, wenn die Sensordaten (bei Block 330) an die elektronische Steuerung 150 gesendet werden. Die Metadaten von jedem der mehreren Sensoren 140 bis 143 werden analysiert, um zu bestimmen, ob in den mehreren Sensoren 140 bis 143 etwaige Fehler oder Einschränkungen vorliegen. In einigen Beispielen umfassen die Metadaten einen Betriebsstatus, einen Fehlercode oder andere Diagnoseinformationen, die dem einzelnen Sensor, der die Metadaten sendet, zugeordnet sind.
In einigen Ausführungsformen können auch andere Datenquellen, wie z.B. ein GPS oder eine digitale Karte, Metadaten an die elektronische Steuerung 150 senden. Wenn sich das Fahrzeug 100 beispielsweise in einem Gebiet mit schlechter Signalstärke befindet, könnte das GPS über Metadaten melden, dass alle Ortsabfragen an das GPS möglicherweise ungenau sind. Ähnlich verhält es sich bei der digitalen Karte: Wenn der Ort des Fahrzeugs 100 ungewiss oder unbekannt ist, kann die digitale Karte der elektronischen Steuerung 150 über Metadaten mitteilen, dass Merkmale, auf die normalerweise über die digitale Karte zugegriffen wird, nicht verfügbar oder ungenau sein können, wenn sie zur Bestimmung der mehreren Hypothesen verwendet werden.
Nachdem die Metadaten von den mehreren Sensoren 140 bis 143 empfangen wurden, bestimmt die elektronische Steuerung 150 (bei Block 340) auf der Grundlage der empfangenen Metadaten eine Integritätsstufe von wenigstens einer der mehreren Hypothesen. Wenn beispielsweise die empfangenen Metadaten angeben, dass ein Radarsensor der mehreren Sensoren 140 bis 143 nicht korrekt arbeitet, könnte bestimmt werden, dass Hypothesen, die auf Radardaten basierende Bestimmungen umfassen, eine niedrige Integritätsstufe aufweisen. Außerdem können solche Hypothesen von der Bestimmung einer Endhypothese ausgeschlossen werden. Alternativ können die probabilistischen Eigenschaften auf der Grundlage der falschen Betriebsparameter des Radarsensors neu berechnet werden. Die Bestimmung der Integritätsstufe kann für jede der mehreren Hypothesen durchgeführt werden, um für jede der mehreren Hypothesen eine zugehörige Integritätsstufe zu erzeugen.
Die Bestimmung der Integritätsstufe kann in einigen Ausführungsformen nur bei Hypothesen durchgeführt werden, die den Sensor der mehreren Sensoren 140 bis 143, der den empfangenen Metadaten zugeordnet ist, nicht umfassen. Auf diese Weise beeinträchtigt ein „Single Point of Failure“ nicht die Leistung des gesamten Systems in einem Maße, das zu Problemen bei der Systemsicherheit und der Systemleistung führt.
Die bestimmte Integritätsstufe kann auf der Grundlage einer Anzahl von Sensoren der mehreren Sensoren 140 bis 143, die Metadaten an die elektronische Steuerung 150 gesendet haben, modifiziert werden. Wenn sich beispielsweise eine bestimmte Wahrscheinlichkeitshypothese lediglich auf zwei Sensoren stützt, und einer der Sensoren den Betriebsstatus „nicht funktionsfähig“ oder „fehlerhaft“ an die elektronische Steuerung 150 liefert, kann die Integritätsstufe dieser bestimmten Hypothese reduziert oder heruntergestuft werden, weil die Bestimmung nunmehr nur noch auf einem korrekt funktionierenden Sensor oder einer anderen Datenquelle beruht.
Die Integritätsstufe kann betrachtet werden als ein Konfidenzniveau, dass eine bestimmte Hypothese das richtige Ergebnis für die aktuelle Fahrsituation ist, und kann beispielsweise quantifiziert werden als Prozentsatz, als eine Zahl oder als ein bestimmter Status wie etwa „Zuversichtlich“, „Vorsichtig“ und „Eingeschränkt“. Die Integritätsstufen können dann mit Integritätsschwellen verglichen werden, um auszuwählen: a) welche Maßnahmen auf der Grundlage der Integritätsstufe verschiedener Hypothesen ergriffen werden sollten und/oder b) wie bestimmte Maßnahmen auf der Grundlage der Integritätsstufen begrenzt werden können.
Um diese Integritätsschwellen zu bestimmen, kann die Integritätsstufe mit bestimmten internationalen Normen verglichen werden, wie beispielsweise mit der ISO 26262 der Internationalen Organisation für Normung oder dem „Automotive Safety Integrity Level“ (ASIL), das von der ISO 26262 definiert wird. Unterschiedliche Integritätsschwellen definieren unterschiedliche Risikostufen, die mit Fahrsituationen verbunden sind. Das Risiko wird auf der Grundlage eines erwarteten Verlusts oder des Schweregrads im Falle eines Vorfalls, sowie der Wahrscheinlichkeit des Eintretens eines Vorfalls berechnet.
Die ASIL-Stufe „D“ ist beispielsweise die höchste Klassifizierung der anfänglichen Gefahr (Verletzungsrisiko), die durch ISO 26262 definiert ist, und repräsentiert das Wahrscheinlichkeitspotential für Kollisionen, die zu einer Beschädigung des Fahrzeugs 100 führen. Wenn in diesen Fällen die verglichene Integritätsstufe einer Hypothese die Schwelle einer Gefahr nach ASIL-Risikostufe „D“ erfüllt, können bestimmte Maßnahmen, wie etwa harte Lenkwinkeländerungen oder schnelles Beschleunigen oder Verzögern, ausgewählt werden, um hoch riskante Kollisionen mit Gegenständen oder andere gefährliche Fahrsituationen zu vermeiden. Die elektronische Steuerung 150 ist dazu eingerichtet, auf der Grundlage der berechneten Integritätsstufe der Hypothesen (entweder einer einzelnen, wahrscheinlichsten Hypothese oder einer Endhypothese, die unter Verwendung jeder der mehreren Hypothesen und ihrer zugehörigen Integritätsstufe erzeugt wurde) (bei Block 350) eine Maßnahme zu bestimmen.
Wenn die Integritätsstufe so berechnet wird, dass ein Risiko der ASIL-Stufe „D“ vorhanden ist, können die ergriffenen Maßnahmen eine Beschleunigung, eine Verzögerung oder ein Abbremsen, sowie das Lenken des Fahrzeugs 100 innerhalb der physischen Grenzen des Fahrzeugs 100 umfassen, um das Risiko zu verringern. Liegt die Integritätsstufe unter einem Risiko der ASIL-Stufe D, können die Maßnahmen eingeschränkt werden. Wenn die Integritätsstufe beispielsweise unter einem Risiko der ASIL-Stufe D liegt, kann die elektronische Steuerung 150 nur bestimmen, dass eine Beschleunigung des Fahrzeugs nur bei 3 Meter pro Sekunde zum Quadrat liegen kann, anstatt bei einer maximalen Kapazität des Fahrzeugs 100. Auf ähnliche Weise kann die elektronische Steuerung 150 Verzögerungsmaßnahmen auf-6 Meter pro Sekunde zum Quadrat begrenzen, und kann die Lenkung auf eine Querbeschleunigung von 2 Meter pro Sekunde zum Quadrat begrenzen, da die berechnete Integritätsstufe für die Hypothese nicht angibt, dass ein Risiko besteht, welches drastischere Reaktionen erfordert.
In einigen Ausführungsformen können die ergriffenen Maßnahmen auch das Begrenzen oder Unterbinden von Verhaltensweisen des Fahrzeugs 100 umfassen. Da das Fahrzeug 100 ein autonomes Fahrzeug ist, kann die elektronische Steuerung 150 beispielsweise dazu eingerichtet sein, wenn die gewählte Hypothese oder die Endhypothese angibt, dass ein Objekt neben dem Fahrzeug 100 auf einer angrenzenden Fahrspur fährt, das Fahrzeug 100 solange daran zu hindern, einen Spurwechsel in Richtung des erkannten Objekts vorzunehmen, bis eine neue Hypothese mit einer höheren Integritätsstufe, die angibt, dass das Objekt nicht mehr neben dem Fahrzeug 100 vorhanden ist, ausgewählt wird.
Darüber hinaus kann die elektronische Steuerung 150 auch auf der Grundlage einer oder mehrerer ausgewählter Hypothesen oder einer Endhypothese bestimmte Fahrzeugverhalten zulassen. Wenn die gewählte Hypothese beispielsweise ein Objekt angibt, das sich dem Fahrzeug 100 von einer Seite des Fahrzeugs 100 nähert, kann die elektronische Steuerung 150 andere Hypothesen analysieren und auf der Grundlage einer anderen Hypothese eine zu ergreifende Maßnahme bestimmen, wie etwa: a) Bestimmen, dass die andere Hypothese angibt, dass kein Objekt auf der anderen Seite des Fahrzeugs 100 vorhanden ist und b) Zulassen, dass das Fahrzeug 100 die Fahrspur wechselt, um dem sich nähernden Objekt auszuweichen.
Nach dem Bestimmen, welche Maßnahme als Reaktion auf eine ausgewählte Hypothese der mehreren Hypothesen oder eine auf der Grundlage jeder der mehreren Hypothesen erzeugte Endhypothese zu ergreifen ist, ist die elektronische Steuerung 150 (bei Block 360) dazu eingerichtet, die bestimmte Maßnahme durch Senden eines Signals an ein System des Fahrzeugs 100, das der bestimmten Maßnahme zugeordnet ist, einzuleiten. Wenn beispielsweise aufgrund der Fahrsituation ein Lenkmanöver als die einzuleitende Maßnahme bestimmt wird, kann die elektronische Steuerung 150 ein Signal an das Lenksystem 130 des Fahrzeugs 100 senden, um das Fahrzeug 100 von dem Risiko wegzulenken. Das gesendete Signal kann auch einen durch die elektronische Steuerung 150 bestimmten Grenzwert umfassen.
Verschiedene Merkmale, Vorteile und Ausführungsformen sind in den nachstehenden Ansprüchen dargelegt.
ZITATE ENTHALTEN IN DER BESCHREIBUNG
Diese Liste der vom Anmelder aufgeführten Dokumente wurde automatisiert erzeugt und ist ausschließlich zur besseren Information des Lesers aufgenommen. Die Liste ist nicht Bestandteil der deutschen Patent- bzw. Gebrauchsmusteranmeldung. Das DPMA übernimmt keinerlei Haftung für etwaige Fehler oder Auslassungen.
Zitierte Patentliteratur

US 62/854663 [0001]

Zitierte Nicht-Patentliteratur

ISO 26262 [0030, 0031]

Claims

System zur Steuerung eines autonomen Fahrzeugs, wobei das System Folgendes umfasst: mehrere Sensoren; und einen elektronischen Prozessor, der dazu eingerichtet ist Sensordaten von mehreren Sensoren zu empfangen; auf der Grundlage der Sensordaten mehrere Wahrscheinlichkeitshypothesen zu bestimmen; Metadaten von wenigstens einem Sensor der mehreren Sensoren zu empfangen; auf der Grundlage der empfangenen Metadaten eine Integritätsstufe von wenigstens einer der mehreren Wahrscheinlichkeitshypothesen zu bestimmen; auf der Grundlage der bestimmten Integritätsstufe und wenigstens einer Wahrscheinlichkeitshypothese der mehreren Wahrscheinlichkeitshypothesen wenigstens eine Maßnahme zu bestimmen; und die wenigstens eine Maßnahme einzuleiten.
System nach Anspruch 1, wobei das Bestimmen der Integritätsstufe das Vornehmen einer Veränderung an der wenigstens einen Wahrscheinlichkeitshypothese auf der Grundlage der Metadaten beinhaltet.
System nach Anspruch 2, wobei die Veränderung an der wenigstens einen Wahrscheinlichkeitshypothese das Kombinieren der Wahrscheinlichkeitshypothese und wenigstens einer weiteren Wahrscheinlichkeitshypothese der mehreren Wahrscheinlichkeitshypothesen beinhaltet, um eine Endhypothese zu erzeugen.
System nach Anspruch 3, wobei die Endhypothese verwendet wird, um die wenigstens eine Maßnahme zu bestimmen.
System nach Anspruch 3, wobei die Endhypothese auf der Grundlage von jeder der mehreren Wahrscheinlichkeitshypothesen und einer zugehörigen Integritätsstufe von jeder der mehreren Wahrscheinlichkeitshypothesen bestimmt wird.
System nach Anspruch 2, wobei die Veränderung der wenigstens einen Wahrscheinlichkeitshypothese das Ausschließen der wenigstens einen Wahrscheinlichkeitshypothese beim Bestimmen der wenigstens einen Maßnahme beinhaltet.
System nach Anspruch 1, wobei die eingeleitete Maßnahme wenigstens eine Maßnahme ist, die aus der Gruppe ausgewählt wird, bestehend aus: dem Beschleunigen des autonomen Fahrzeugs, dem Verzögern des autonomen Fahrzeugs, dem Lenken des autonomen Fahrzeugs, dem Zulassen eines Verhaltens des autonomen Fahrzeugs und dem Unterbinden eines Verhaltens des autonomen Fahrzeugs.
System nach Anspruch 1, wobei eine Begrenzung der eingeleiteten Maßnahme auf der Grundlage der bestimmten Integritätsstufe bestimmt wird.
System nach Anspruch 1, wobei die bestimmte Integritätsstufe der wenigstens einen der mehreren Wahrscheinlichkeitshypothesen mit einer Schwellenstufe verglichen wird.
System nach Anspruch 9, wobei die wenigstens eine Maßnahme auf der Grundlage des Vergleichs der bestimmten Integritätsstufe mit der Schwellenstufe bestimmt wird.
Verfahren zur Steuerung eines autonomen Fahrzeugs, wobei das Verfahren Folgendes umfasst: das Empfangen von Sensordaten von mehreren Sensoren mittels eines elektronischen Prozessors; das Bestimmen mehrerer Wahrscheinlichkeitshypothesen auf der Grundlage der Sensordaten mittels des elektronischen Prozessors; das Empfangen von Metadaten von wenigstens einem Sensor der mehreren Sensoren mittels des elektronischen Prozessors; das Bestimmen einer Integritätsstufe von wenigstens einer der mehreren Wahrscheinlichkeitshypothesen auf der Grundlage der empfangenen Metadaten mittels des elektronischen Prozessors; das Bestimmen wenigstens einer Maßnahme auf der Grundlage der bestimmten Integritätsstufe und wenigstens einer Wahrscheinlichkeitshypothese der mehreren Wahrscheinlichkeitshypothesen mittels des elektronischen Prozessors; und das Einleiten der wenigstens einen Maßnahme mittels des elektronischen Prozessors.
Verfahren nach Anspruch 11, wobei das Bestimmen der Integritätsstufe das Vornehmen einer Veränderung an der mindestens einen Wahrscheinlichkeitshypothese auf der Grundlage der Metadaten umfasst.
Verfahren nach Anspruch 12, wobei die Veränderung an der mindestens einen Wahrscheinlichkeitshypothese das Kombinieren der Wahrscheinlichkeitshypothese und mindestens einer weiteren Wahrscheinlichkeitshypothese der mehreren Wahrscheinlichkeitshypothesen beinhaltet, um eine Endhypothese zu erzeugen.
Verfahren nach Anspruch 13, wobei die Endhypothese verwendet wird, um die mindestens eine Maßnahme zu bestimmen.
Verfahren nach Anspruch 13, wobei die Endhypothese auf der Grundlage von jeder der mehreren Wahrscheinlichkeitshypothesen und einer zugehörigen Integritätsstufe von jeder der mehreren Wahrscheinlichkeitshypothesen bestimmt wird.
Verfahren nach Anspruch 12, wobei die Veränderung an der mindestens einen Wahrscheinlichkeitshypothese das Ausschließen der mindestens einen Wahrscheinlichkeitshypothese beim Bestimmen der mindestens einen Maßnahme beinhaltet.
Verfahren nach Anspruch 11, wobei die eingeleitete Maßnahme wenigstens eine Maßnahme ist, die aus der Gruppe ausgewählt wird, bestehend aus: dem Beschleunigen des autonomen Fahrzeugs, dem Verzögern des autonomen Fahrzeugs, dem Lenken des autonomen Fahrzeugs, dem Zulassen eines Verhaltens des autonomen Fahrzeugs und dem Unterbinden eines Verhaltens des autonomen Fahrzeugs.
Verfahren nach Anspruch 11, wobei eine Begrenzung der eingeleiteten Maßnahme auf der Grundlage der bestimmten Integritätsstufe bestimmt wird.
Verfahren nach Anspruch 11, wobei die bestimmte Integritätsstufe der wenigstens einen der mehreren Wahrscheinlichkeitshypothesen mit einer Schwellenstufe verglichen wird.
Verfahren nach Anspruch 19, wobei die wenigstens eine Maßnahme auf der Grundlage des Vergleichs der bestimmten Integritätsstufe mit der Schwellenstufe bestimmt wird.