DE102020207909A1 - Verfahren zum Testen eines Fahrzeugsystems - Google Patents

Abstract

Vorgestellt wird ein computerimplementiertes Verfahren zum Testen eines Fahrzeugsystems mit den Schritten:- Daten einer digitalen Straßenkarte werden eingelesen,- für die digitale Straßenkarte werden Zonen bestimmt,- abhängig von den bestimmten Zonen werden mögliche Abläufe von Fahrten entlang einer Straße der digitalen Straßenkarte ermittelt,- in einer Simulation wird ein Verhalten des Fahrzeugsystems für mindestens einen der möglichen Abläufe ermittelt,- abhängig von einem Vergleich des ermittelten Verhaltens mit mindestens einer vorbestimmten Anforderung wird festgestellt, ob das Fahrzeugsystem einen Fehler oder eine Schwäche aufweist.

Description

• Die Erfindung betrifft computerimplementierte Verfahren zum Testen eines Fahrzeugsystems.
• Stand der Technik
• Ein wichtiger Bestandteil für die Entwicklung hochautomatisierter oder autonomer Fahrzeuge ist die Absicherung der Fahrfunktionen für eine möglichst große Anzahl an Situationen und Szenarien. Die Absicherung soll dabei sicherstellen, dass Fahrzeugsysteme in den jeweiligen Situationen bestimmte Anforderungen, insbesondere Sicherheitsanforderungen, erfüllen und so für ein gewünschtes Sollverhalten des Fahrzeugs sorgen.
• Unter den bisherigen Methoden gibt es beispielsweise starre Szenarienkataloge, welche eine feste Menge von beispielhaften Abläufen, meist länderspezifisch, beschreiben. Auf dieser Grundlage ist auch unter Nutzen von Ontologien allerdings die Bestimmung eines Abdeckungsmaßes für die Absicherung kaum möglich. Auch werden schnell sehr lange Szenarienlisten nötig, um auch nur ein Mindestmaß an Abdeckung erreichen zu können.
• Andere Maßnahmen zur Absicherung umfassen Auswertungen von Unfalldatenbanken oder Dauerläufe mit Sicherheitsfahrer. In beide Verfahren erfolgt eine stark dem Zufall unterworfene Abdeckung, gerade letztere Methode ist zudem sehr aufwendig und kostenintensiv.
• Durch Fuzzing bzw. optimierungsbasiertes Testen (z.B. Search-Based Testing) kann eine Variation von vorranging physikalischen Parametern eines gegebenen Simulationsszenarios erfolgen. Es erfolgt allerdings keine systematische Abstraktion vorliegender Verkehrssituationen, wodurch auch hier ein Abdeckungsmaß nur schwer bestimmt werden kann.
• In der DE 10 2017 207257 A1 sind Verfahren und Vorrichtung zum Erstellen und Bereitstellen einer hochgenauen Karte offenbart. Aus der DE 10 2018 214999 A1 ist eine Vorrichtung zur Absicherung von Diagnosebefehlen an ein Steuergerät bekannt. Die DE 10 2017 216801 A1 offenbart ein Verfahren zum Überwachen mindestens einer Komponente eines Kraftfahrzeugs, die zur Trajektorienplanung eingesetzt wird.
• Offenbarung der Erfindung
• Vorgestellt wird ein computerimplementiertes Verfahren zum Testen eines Fahrzeugsystems, gekennzeichnet durch die Schritte:
• - Daten einer digitalen Straßenkarte werden eingelesen,
• - für die digitale Straßenkarte werden Zonen bestimmt,
• - abhängig von den bestimmten Zonen werden mögliche Abläufe von Fahrten entlang einer Straße der digitalen Straßenkarte ermittelt,
• - in einer Simulation wird ein Verhalten des Fahrzeugsystems für mindestens einen der möglichen Abläufe ermittelt,
• - abhängig von einem Vergleich des ermittelten Verhaltens mit mindestens einer vorbestimmten Anforderung wird festgestellt, ob das Fahrzeugsystem einen Fehler oder eine Schwäche aufweist.
• Die digitale Straßenkarte kann dabei eine detaillierte Straßenkarte sein, aber auch durch Daten eines abstrakten Straßenschemas gegeben sein. Sie kann insbesondere Informationen über mindestens eine Straße oder Freifläche enthalten, beispielsweise über Fahrbahnbreite, Fahrbahnbegrenzungen, Positionen oder Ausdehnungen von Straße oder Freifläche, Kurvenradien, Fahrbahnmarkierungen, Kreuzungen, Ampeln und Verkehrszeichen.
• Die Verfahren werden in einer ersten bevorzugten Ausgestaltung in einem Fahrzeug während eines Fahrbetriebs durchgeführt. Hierdurch ist eine Online-Überwachung von Fahrfunktionen möglich. So kann insbesondere eine Ersatzreaktion ausgeführt werden, auf ein redundantes Fahrzeugsystem umgeschaltet werden oder eine Fahrerwarnung ausgegeben werden, wenn ein Fehler oder eine Schwäche im Fahrzeugsystem festgestellt wird. Hierdurch kann die funktionale Sicherheit der überwachten Fahrzeuge stark erhöht werden.
• Alternativ können die Verfahren auch in einer Entwicklungsumgebung, z.B. in einer Simulationsumgebung oder an einem Prüfstand für ein Fahrzeugsystem durchgeführt werden.
• In bevorzugten Ausgestaltungen umfassen die bestimmten Zonen mindestens eine statische Zone, deren Größe sich aus statischen Elementen der digitalen Straßenkarte ergibt, und mindestens eine dynamische Zone, deren Größe von einer Eigenschaft mindestens eines weiteren Verkehrsteilnehmers, insbesondere von einem dynamischen Zustand des weiteren Verkehrsteilnehmers, oder einer Eigenschaft eines das Fahrzeugsystem umfassenden Fahrzeugs, insbesondere von einem dynamischen Zustand des Fahrzeugs, abhängt. Dabei wird vorzugsweise die Eigenschaft des mindestens eines weiteren Verkehrsteilnehmers aus einem Verhaltensmodell zu dem Verkehrsteilnehmer ermittelt, insbesondere aus einem physikalischen Bewegungsmodell zu dem Verkehrsteilnehmer.
• In bevorzugten Ausgestaltungen werden die bestimmten Zonen von der digitalen Karte abstrahiert als logische Zonen bestimmt und zu den bestimmten Zonen der digitalen Karte wird ein Zonengraph ermittelt, abhängig von welchem die möglichen Abläufe ermittelt werden. Die möglichen Abläufe können dabei in Äquivalenzklassen unterteilt werden, wobei diejenigen der möglichen Abläufe der gleichen Äquivalenzklasse zugeordnet werden, bei denen für das Fahrzeugsystem ein gleiches Sollverhalten gilt. Zudem kann abhängig von dem Zonengraph und den Äquivalenzklassen ein Phasengraph generiert werden, abhängig von welchem die möglichen Abläufe ermittelt werden. Abhängig von der Zuordnung zu den Äquivalenzklassen wird vorzugsweise ein Abdeckungsmaß für den Test des Fahrzeugsystems bestimmt.
• In einer bevorzugten Ausgestaltung werden abhängig von der digitalen Karte, den bestimmten Zonen und den möglichen Abläufen Zonen identifiziert, für die eine Verdeckung kritisch ist. Ein Fehler oder eine Schwäche kann festgestellt werden, wenn für die identifizierten Zonen aus Eingangsgrößen eine mögliche Verdeckung festgestellt wird. Dabei können die Eingangsgrößen Informationen über externe Einflüsse, insbesondere Wetterdaten, Straßeninformationen, insbesondere Bebauungsinformationen, Informationen über weitere Verkehrsteilnehmer, insbesondere deren Größe, Informationen über ein Objekt, welches ein intendiertes Verhalten eines das Fahrzeugsystem umfassenden Fahrzeugs behindert, oder Informationen über Sensoren des Fahrzeugsystems umfassen. Insbesondere können auch abhängig von den identifizierten Zonen Anforderungen für eine Perzeption des Fahrzeugsystems oder eines das Fahrzeugsystem umfassenden Fahrzeugs erstellt werden oder Trainingsdaten oder Testdaten für eine Perzeption des Fahrzeugsystems eines das Fahrzeugsystem umfassenden Fahrzeugs des Fahrzeugsystems erstellt werden oder ein Abdeckungsmaß für Trainingsdaten oder Testdaten für eine Perzeption des Fahrzeugsystems eines das Fahrzeugsystem umfassenden Fahrzeugs des Fahrzeugsystems bestimmt werden.
• In bevorzugten Ausgestaltungen wird eine Fehlernachricht ausgegeben oder das Fahrzeugsystem deaktiviert oder das Fahrzeugsystem in einen sicheren Zustand überführt, wenn ein Fehler oder eine Schwäche im Fahrzeugsystem festgestellt werden. Alternativ oder zusätzlich kann auch das Fahrzeugsystem automatisch verbessert wird, wenn ein Fehler oder eine Schwäche im Fahrzeugsystem festgestellt wird.
• Vorteilhafterweise werden die beschriebenen Verfahren für ein Fahrzeugsystem eingesetzt, welches ein Computerprogramm umfasst, das abhängig von Sensorwerten Aktoreingriffe veranlasst, insbesondere indem es abhängig von den Sensorwerten eine Verhaltensplanung für ein Fahrzeug vornimmt und zu deren Realisierung Aktoreingriffe veranlasst.
• In bevorzugten Ausgestaltungen hängt die Ermittlung der möglichen Abläufe ab von Informationen über mindestens einen weiteren Verkehrsteilnehmer, insbesondere über ein Fahrzeug oder einen Fußgänger, oder von Informationen über ein Objekt, welches ein intendiertes Verhalten eines das Fahrzeugsystem umfassenden Fahrzeugs behindert. Auch kann die Ermittlung von weiteren Eingangsgrößen abhängen, insbesondere von Informationen über äußere Einflüsse, Informationen über weitere Verkehrsteilnehmer, Informationen über eine aktuelle oder geplante Route des Fahrzeugsystems oder eines das Fahrzeugsystem umfassenden Fahrzeugs, oder Informationen über das Fahrzeugsystem oder über ein das Fahrzeugsystem umfassendes Fahrzeug.
• Vorteilhafter umfasst die vorbestimmte Anforderung eine Verkehrsregel, eine Sicherheitsanforderung an ein Bewegungsverhalten des Fahrzeugsystems oder eines das Fahrzeugsystem umfassenden Fahrzeugs oder eine Komfortanforderung gemäß Spezifikation des Fahrzeugsystems oder eines das Fahrzeugsystem umfassenden Fahrzeugs.
• Zur Ermittlung der möglichen Abläufe für eine digitale Karte können in bevorzugten Ausgestaltungen Ergebnisse einer bereits erfolgten Ermittlung für Segmente der digitalen Karte herangezogen werden. Dabei erfolgt insbesondere für einen Übergang zwischen den Segmenten eine neue Ermittlung der möglichen Abläufe.
• Die Verfahren können insbesondere auf Rechnern einer Simulationsumgebung, eines Prüfstands oder online im Fahrzeug durchgeführt werden. Dazu wird ein Computerprogramm abgearbeitet, welches zur Durchführung der Verfahren eingerichtet ist und zur Verarbeitung in einem maschinenlesbaren Speicher abgelegt ist.
• Die beschriebenen Verfahren erlauben eine strukturierte Ableitung von gewünschtem Verhalten und von Testfällen zur Absicherung eines Fahrzeugsystems. Dabei wird insbesondere auch die Garantie einer Vollständigkeit in Bezug auf bekannte Einflussfaktoren möglich, vorzugsweise durch strukturierte Definition von Äquivalenzklassen auf Basis von bekannten Merkmalen und Effekten, die im Straßenverkehr auftreten. Eine automatisierte Redundanz- und Lückenanalyse ist ebenso möglich wie eine Definition und Ermittlung von Abdeckungsmaßen.
• Weiterhin leisten die beschriebenen Verfahren eine erhebliche Reduzierung der Beschreibungskomplexität der abzusichernden Szenarien, der Umfang der Beschreibung kann exponentiell reduziert werden.
• Die beschriebenen Verfahren sind sehr flexibel und modular. Wichtige Einflussfaktoren können additiv hinzugefügt werden, bestehende Szenarien bleiben erhalten, können aber auch automatisch um die neuen Einflussfaktoren erweitert werden. Das modellbasierte Vorgehen erlaubt einfache Übertragbarkeit auf andere Länder. Durch eine Abstraktion von Verkehrssituationen in logische Zonen wird eine modulare Beschreibung der Einzeleffekte ermöglicht, die zu einer komplexen Verhaltensentscheidung beitragen (z.B. Betrachtung eines Fußgängerüberwegs getrennt von der Kreuzung, an der er sich befindet). Dadurch ergibt sich eine hohe Reduktion der Komplexität und ein hoher Grad an Wiederverwendbarkeit.
• Es wird eine strukturierte, weitgehend automatisierte Ableitung vollständiger Testsuiten für autonome Fahrzeuge (Auto, Roboter, autonomes Flurförderfahrzeug etc.) basierend auf generischen Verkehrssegmenten und Subjekt-Populationen erreicht, welche eine Absicherung der HAD-Systeme des Fahrzeugs ermöglichen.
• Nachfolgend werden Ausführungsformen der Erfindung unter Bezugnahme auf die beiliegenden Zeichnungen näher erläutert. In den Zeichnungen zeigen schematisch:
• 1 den beispielhaften Ablauf eines Verfahrens zum Testen eines Fahrzeugsystems,
• 2 einen ersten beispielhaften Ausschnitt aus einer digitalen Straßenkarte mit eingezeichneten Zonen,
• 3 zwei aus Zonen einer digitalen Straßenkarte abgeleitete Zonengraphen,
• 4 ein erstes Verhaltensmodell für ein Verhalten eines Fahrzeugs,
• 5 ein zweites Verhaltensmodell für ein Verhalten eines Fahrzeugs,
• 6 einen zweiten beispielhaften Ausschnitt aus einer digitalen Straßenkarte mit eingezeichneten Zonen,
• 7 einen aus Zonen einer digitalen Straßenkarte abgeleiteten Zonengraphen,
• 8 einen ersten aus einem Zonengraphen abgeleiteten Phasengraphen,
• 9 einen dritten beispielhaften Ausschnitt aus einer digitalen Straßenkarte mit eingezeichneten Zonen,
• 10 einen zweiten aus Zonen einer digitalen Straßenkarte abgeleiteten Zonengraphen,
• 11 einen zweiten aus einem Zonengraphen abgeleiteten Phasengraphen.
• Beschreibung der Ausführungsbeispiele
• Die Verfahren werden im Folgenden anhand eines Fahrzeugsystems eines zumindest teilautonomen bzw. eines hochautomatisierten Fahrzeugs beschrieben. Ein Fahrzeugsystem kann dabei insbesondere ein Teilsystem des Fahrzeugs sein. In besonders bevorzugten Ausgestaltungen umfasst das Fahrzeugsystem zumindest ein Computerprogramm, welches abhängig von Sensorwerten Aktoreingriffe veranlasst, insbesondere indem es abhängig von den Sensorwerten eine Verhaltensplanung für ein Fahrzeug vornimmt und zu deren Realisierung Aktoreingriffe veranlasst. So können beispielsweise Umgebungsinformationen von Sensoren erfasst werden und eine Lenkung, Beschleunigung oder Bremsung abhängig von den erfassten Sensorwerten veranlasst werden.
• Mögliche Fahrzeugsysteme eines solchen Fahrzeugs können eine Perzeptions- oder Sensorschicht, eine Schicht zur Situationsanalyse und Prädiktion, eine Schicht zur Auswahl und / oder Überwachung eines gewünschten Fahrzeugverhaltens aus möglichen Verhaltensmustern und / oder eine Schicht zur Ansteuerung von Aktoren zum Erreichen des gewünschten Fahrzeugverhaltens umfassen.
• Bei der Absicherung eines solchen Fahrzeugsystems kann überprüft werden, ob dieses gewisse Anforderungen, insbesondere Sicherheitsanforderungen erfüllt, insbesondere, ob auf bestimmte Situationsanalysen oder Prädiktionen hin tatsächlich korrektes bzw. sicheres Fahrzeugverhalten veranlasst wird.
• 1 zeigt den beispielhaften Ablauf eines Verfahrens zum Testen eines Fahrzeugsystems.
• In der ersten Spalte des Diagramms sind folgende mögliche Eingangsgrößen 101 bis 106 gezeigt:
• - maschinenlesbare Anforderungen 101 an das System aus verschiedenen Quellen, z.B. abgeleitet aus der Straßenverkehrsordnung (z.B. Abstände zwischen Fahrzeugen etc.), Sicherheitsvorschriften oder Fahrzeug(system)spezifikationen.
• - Daten einer digitalen Straßenkarte 102, insbesondere mit Verzeichnung der Positionen von Fußgängerüberwegen, Schildern, Ampeln, Spuren, Kreuzungen, Kreisverkehren etc.; z.B. im Format Open Drive,
• - Routeninformation 103, beispielsweise mögliche Routen auf einem betrachteten Straßenkartenelement oder eine ausgewählte oder prädizierte Route,
• - Fahrzeuginformation 104, beispielsweise mögliche Fahrzeugzustände oder ein aktueller Fahrzeugzustand, insbesondere jeweils inklusive bestimmter Fahrzeugeigenschaften wie Gewicht, Länge, Höhe etc.,
• - Information über mögliche Subjekte und / oder Objekte 105, insbesondere Verkehrsteilnehmer wie Fahrzeuge (Fahrrad, PKW, Motorrad etc.) oder Fußgänger, vorzugsweise inkl. Verhaltensmodellen, und / oder Objekte, welche ein intendiertes Verhalten eines das Fahrzeugsystem umfassenden Fahrzeugs behindern können,
• - Informationen über externe Einflüsse 106 wie beispielsweise Wetterdaten
• In den weiteren Spalten des Diagramms in 1 sind Verfahrensschritte 111, 121, 131, 132, 141, 151, 152, 161, 162, 171 und 172 gezeigt.
• In Schritt 111 werden auf Basis bestimmter Eingangsgrößen, insbesondere abhängig von der digitalen Karte 102, der Routeninformation 103 und der Fahrzeuginformation 104, beispielsweise der Fahrzeuglänge, statische Zonen für die digitale Karte abgeleitet. Die statischen Zonen lassen sich automatisch aus solchen Informationen berechnen. Die so berechneten logischen Zonen sind insbesondere fest und können auf die entsprechenden physikalischen Elemente der Karte (also die Straßen bzw. Straßenspuren, die Fußgängerwege etc.) abgebildet werden. Die statischen Zonen können zu einem statischen Zonengraph zusammengefügt werden.
• Statische Zonen sind dabei insbesondere Zonen mit einer von der Geschwindigkeit des betrachteten Fahrzeugs unabhängigen Größe, wie z.B. ein gegebener Fußgängerüberweg oder ein Kreuzungsbereich. Sie können automatisch aus der Karte abgeleitet werden.
• In Schritt 121 erfolgt eine Erweiterung um dynamische Zonen, insbesondere kann der statische Zonengraph um die dynamischen Zonen zu einem dynamischen Zonengraph erweitert werden. Dynamische Zonen werden vorzugsweise auf Basis von Modelle der einzelnen Subjekte, auf Basis von Anforderungen zulässigen Manövern des Fahrzeugs und den Fahrzeuginformationen automatisch berechnet. Vorteilhafterweise erweitert sich diese Berechnung automatisch durch die Verwendung von Modellen auf andere zu berücksichtigende Verkehrsteilnehmer und ist auf beliebige Straßenarten anwendbar (urban, Autobahn, ...). Die Modelle wie insbesondere Verhaltensmodelle werden insbesondere dafür verwendet, um zu berechnen, aus welchen Bereichen (Zonen) kommend andere Verkehrsteilnehmer noch für eine (mögliche) spätere Entscheidung des betrachteten Fahrzeugs berücksichtigt werden müssen.
• Dynamische Zonen sind dabei insbesondere Zonen mit geschwindigkeitsabhängiger Größe wie z.B. die Zone vor einer Ampel, in der das betrachtete Fahrzeug bei Umschalten der Ampel auf „Gelb“ mit komfortabler Verzögerung gerade noch oder gerade nicht mehr vor der Haltelinie anhalten kann. Die dynamischen Zonen sind insbesondere abhängig von Position, Geschwindigkeit und Verhaltensmodellen des betrachteten Fahrzeugs und / oder den Positionen, Geschwindigkeiten und Verhaltensmodellen anderer Subjekte bzw. Verkehrsteilnehmer. Dabei handelt es sich bei den Verhaltensmodellen insbesondere um (physikalische) für die jeweiligen Objekte. Die dynamischen Zonen können optionaler Weise auch von äußeren Einflüssen wie z.B. dem Wetter abhängig sein, z.B. aufgrund eines verlängerten Bremswegs bei Eisglätte.
• Es gibt Zonen, deren Lage relativ zur Position des betrachteten Fahrzeugs ist, wie z.B. die notwendige Freifläche vor dem betrachteten Fahrzeug und Zonen, die eine absolute Lage haben, wie z.B. eine gegebene Kreuzungszone in einer realen Karte.
• Die Zonen in den Zonengraphen und damit die Zonengraphen stellen Abstraktionen der jeweiligen Situationen derart dar, dass sie von konkreten Strukturen der digitalen Karte wie Kurvenradien oder Winkel einer Kreuzung unabhängig sind. Diese logischen Zonen können als physikalische Zonen auf die Karte abgebildet sein.
• In einem Schritt 132 können Verdeckungszonen abgeleitet werden. Verdeckungszonen bezeichnen damit insbesondere definierte Zonen, für Sensorik wie Kameras, Radar etc. des betrachteten Fahrzeugs, die ganz oder teilweise verdeckt sind. Das Ermitteln, welche der zuvor identifizierten bzw. abgeleiteten Zonen Verdeckungszonen sind, kann insbesondere abhängig von Informationen der digitalen Karte, von Informationen über externe Einflüsse (Sicht, Schnee auf der Straße und / oder der Fahrzeugposition) abgeleitet werden. Insbesondere kann ein Abgleich zwischen für ein Szenario (potentiell) relevanten Zonen und den in einem Szenario verdeckten Zonen erfolgen, um eine Schwäche des Fahrzeugsystems daraus abzuleiten.
• Eine Verdeckung kann sich dabei beispielweise aus äußeren Einflüssen (z.B. Wetter wie Nebel), Straßenrandbebauung, anderen Verkehrsteilnehmern etc. ergeben.
• In einem Schritt 131 kann nun je identifizierte bzw. abgeleiteter Zone eine Menge möglicher Unterräumen bzw. Zonenzuständen bestimmt werden. Als mögliche Zonenzustände werden vorzugsweise die Zustände frei, belegt und bedroht definiert. Belegt bedeutet insbesondere, dass sich dort ein anderes Subjekt als das betrachtete Fahrzeug befindet, also beispielsweise ein Verkehrsteilnehmer. Bedroht bedeutet insbesondere, dass ein anderes Subjekt, insbesondere ein Verkehrsteilnehmer, auf Basis seines zugeordneten Modells potentiell die Zone belegt, wenn das betrachtete Fahrzeug diese passieren möchte. Frei bedeutet insbesondere, dass die Zone nicht belegt und nicht bedroht ist. Die Menge möglicher Unterräume bzw. Zonenzustände wird vorzugsweise über eine Zwicky-Box bestimmt, welche alle relevanten Eigenschaften der vorhandenen Subjekte und alle für die Eigenschaften zulässigen Ausprägungen zusammenfasst, unter denen die Zone entweder frei oder belegt oder bedroht ist.
• Durch eine Verhaltensanalyse kann nun systematisch und vollständig der Raum der möglichen Szenarien analysiert und vollständig und konsistent in Äquivalenzklassen aufgeteilt werden. Dabei gehören in eine Äquivalenzklasse alle Situationen, in denen das betrachtete Fahrzeug sich gleich verhalten sollte bzw. verhält.
• Hierzu wird in einem Schritt 141 aus dem bestimmten dynamischen Zonengraphen und unter Verwendung der ermittelten Unterräume die vollständige Menge an möglichen Abläufen bzw. Szenarien für die bestehende Kombination aus digitaler Karte, betrachtetem Fahrzeug, Subjektverhalten und weiterer Eingangsgrößen ermittelt und in Äquivalenzklassen unterteilt. Dabei wird jede Kombination aus Einflussfaktoren, unter denen das betrachtete Fahrzeug in einer bestimmten Zone ein bestimmtes gleiches Verhalten zeigen soll oder zeigt, in die gleiche Äquivalenzklasse eingeordnet.
• In einem Schritt 151 werden jeder Äquivalenzklasse die relevanten Anforderungen zugeordnet. Die Anforderung liegt dazu in maschinenlesbarer Form vor. Sie können beispielsweise als „erlaubte Verhaltensweise“, „nicht erlaubte Verhaltensweise“ oder „verpflichtende Verhaltensweise“ vorliegen. Es können auch verpflichtende schadensreduzierende Verhaltensweisen als Anforderungen hinterlegt sein.
• In einem Schritt 161 werden für jede Äquivalenzklasse automatisch Monitore generiert, welche überwachen, ob sich das betrachtete Fahrzeug in der entsprechenden Äquivalenzklasse befindet und ob das Fahrzeugsystem die dieser Äquivalenzklasse zugeordneten Anforderungen erfüllt, also insbesondere sich entsprechend der Testspezifikationen verhält.
• Die Generierung der Monitore kann dabei gezielt zur Überwachung der ODD (Operative Design Domain) erfolgen, d.h. für die Klasse an Szenarien bzw. Anforderungen, für welche das Fahrzeugsystem ausgelegt sein soll bzw. getestet werden soll.
• Dabei können die Monitore in anderer, insbesondere langsamerer Taktung laufen als mögliche Regler im betrachteten Fahrzeugsystem.
  In einem Schritt 152 kann auf Basis des Zonengraphen und der definierten Äquivalenzklassen ein Phasengraph automatisch generiert werden.
• Der Phasengraph ermöglicht nun in Schritt 162 die Ermittlung eines Abdeckungsmaßes für die vorgenommenen Tests durch ein systematisches Erfassen aller möglichen Verhaltensverläufe für das betrachtete Fahrzeug und den Abgleich mit den davon getesteten Varianten.
• Dabei entspricht ein bestimmter Verlauf im Phasengraph einer Abfolge bestimmter Zonen in bestimmter Reihenfolge mit jeweils definierter Äquivalenzklasse je Zone. Dadurch kann unter Verwendung eines Abdeckungsmaßes (z.B. Pfadabdeckung) automatisch sichergestellt werden, dass eine bestimmte, insbesondere vollständige Abdeckung der möglichen Abläufe erfüllt ist.
• In einem Schritt 172 kann nun eine vollständige Testsuite auf Basis des Abdeckungsmaßes und möglicher Subjektpopulationen erzeugt werden. Dabei können die in Schritt 162 aufgezählten Verläufe nochmals mit möglichen Populationen der einzelnen Zonen mit konkreten Subjekten erweitert werden. Dadurch erhält man eine vollständige Testsuite für die Szenarien in der betrachteten digitalen Karte, welche das betrachtete Fahrzeug beherrschen muss. Die Startpunkte und -zustände (d.h. Geschwindigkeiten, etc.) können auf Basis der Modelle und der Definition der Äquivalenzklassen automatisch berechnet werden.
• Zusätzlich leiten sich aus den in den Äquivalenzklassen enthaltenen Informationen über das Fahrzeug und über die anderen Subjekte, insbesondere Verkehrsteilnehmer, automatisch kontinuierliche Parameter ab (sogenannte kontinuierliche Unterräume innerhalb der Äquivalenzklassen), die man potenziell in späteren Testschritten noch variieren kann (z.B. mit strukturierten Testverfahren wie Search-Based Testing). Beispiele für solche kontinuierlichen Parameter sind beispielsweise Reibwerte, Geschwindigkeiten oder Kurvenradien.
• Zusätzlich können hier die zu den Äquivalenzklassen zugeordneten Monitore zu den einzelnen Testfällen der Testsuite assoziiert werden, so dass für jeden Testfall automatisch geprüft werden kann, ob das Fahrzeugsystem den Test bestanden hat.
• Die Ausgabe in Schritt 171 ist dann vorzugsweise eine Testsuite, d.h. eine Menge an definierten Tests für das Fahrzeugsystem, in der jeder Testfall beispielsweise
• - ein Straßensegment einer digitalen Karte referenziert,
• - eine Intention des autonomen Fahrzeugs definiert,
• - eine Menge von anderen Verkehrsteilnehmern mit möglichen Startzuständen beschreibt,
• - eine mögliche Varianz über die Startzustände des autonomen Fahrzeugs definiert,
• - eine Menge von maschinenlesbaren Monitoren enthält, die entscheiden können, ob das Fahrzeugsystem während der Ausführung die relevanten Anforderungen einhält.
• Das Testen des Fahrzeugsystems kann umfassen, dass aus den physikalischen Zonen kritische Sichtbereiche einer Perzeption des Fahrzeugsystems abgeleitet werden und mit der tatsächlichen Perzeption des Fahrzeugsystems verglichen werden. Dazu kann insbesondere ermittelt werden, ob das Einsehen einer bestimmten Zone für die Erfüllung von Anforderungen an das Fahrzeugsystem notwendig ist oder nicht. Hieraus können wiederum Anforderungen an eine Sensorarchitektur des Fahrzeugsystems bzw. des Fahrzeugs abgeleitet werden. Dabei können auch entfernungsabhängige Metriken eingesetzt werden, d.h. die Abhängigkeit einer Perzeption von dem Abstand des betrachteten Fahrzeugs zu einer bestimmten, einzusehenden Zone wird berücksichtigt.
• 2 zeigt schematisch ein einfaches Straßen-Segment einer digitalen Straßenkarte mit zwei Spuren sowie dem betrachteten Fahrzeug 203. Ebenfalls dargestellt ist ein Verkehrszeichen mit Geschwindigkeitsbeschränkung auf 60. Aus dem Verkehrszeichen mit Geschwindigkeitsbegrenzung ergibt sich in der betroffenen Spur eine statische Zone 201, ab welcher die neue Geschwindigkeitsvorgabe gilt, sowie eine statische Zone 200, in welcher die neue Geschwindigkeitsvorgabe noch nicht gilt. Zudem kann abhängig von der Geschwindigkeit des betrachteten Fahrzeugs 203 eine dynamische Zone 202 abgeleitet werden, in welcher das Fahrzeug 203 noch ausreichend vor dem Verkehrsschild auf die erlaubte Geschwindigkeit verzögern kann (d_adapt), insbesondere bei sicherer und vorzugsweise komfortabler Verzögerung.
• In 3 sind nun zwei zu dem in 2 gezeigten Szenario abgeleitete Zonengraphen gezeigt. Dabei entsprechen die Zonengraphen einer Verknüpfung logischer Zonen, welche aus den physikalischen Zonen der Karte abgeleitet werden. Abhängig von der Geschwindigkeit des Fahrzeugs ergeben sich zwei mögliche Zonengraphen. Im ersten Zonengraph ist neben den statischen Zonen 301 und 300 auch die zu 2 erläuterte dynamische Zone 302 enthalten, welche einer noch ausreichenden Verzögerungsstrecke entspricht. Im zweiten Zonengraph ist diese von der Fahrzeuggeschwindigkeit abhängige dynamische Zone nicht enthalten, beispielsweise, weil das Fahrzeug sowieso bereits ausreichend langsam fährt.
• Als Verhaltensraum ergeben sich nun Abläufe, die zum Beispiel von den folgenden Größen und ihren möglichen Ausprägungen abhängig sind:
• - aktuelle Maximalgeschwindigkeit
  • o kleiner Zielgeschwindigkeit ab Verkehrsschild
  • o gleich Zielgeschwindigkeit ab Verkehrsschild
  • o größer Zielgeschwindigkeit ab Verkehrsschild
• - aktuelle Geschwindigkeit
  • ◯ kleiner aktuelle Zielgeschwindigkeit
  • ◯ gleich aktuelle Zielgeschwindigkeit
  • ◯ größer aktuelle Zielgeschwindigkeit
• - Abstand Fahrzeug zu Verkehrsschild
  • ◯ kleiner als Adaptionsdistanz
  • ◯ gleich Adaptionsdistanz
  • ◯ größer Adaptionsdistanz
• Dabei bezeichnet die Adaptionsdistanz die bereits beschriebene Verzögerungsstrecke, in welcher noch eine insbesondere sichere und komfortable Verzögerung möglich ist.
• Auf Basis einer solchen Auflistung können alle möglichen Szenarien systematisch betrachtet werden. Die Komplexität der Szenarien wird durch die Abstraktion in logische Zonen, durch die Auswahl relevanter Parameter und die Aufteilung in relevante Parameterbereiche stark reduziert. Durch die Auswahl der Parameter und Parameterbereiche in gegenseitig ausschließende Alternativen, können voneinander unabhängige Szenarien bestimmt werden, welche den Raum an möglichen Szenarien vollständig abdecken.
• 4 zeigt ein Diagramm zu einem parametrischen Verhaltensmodell des betrachteten Fahrzeugs zugehörig zum ersten Zonengraph aus 3. Dabei ist eine Zielgeschwindigkeit v_target über einer Distanz s aufgetragen. Die statischen Zonen aus 3, hier 400 bzw. ds und 401 bzw. nls, und die dynamische Zone aus 3, hier 402, sind ebenfalls gezeigt. Die maximale Geschwindigkeit der aktuellen Zone v_max(cls) und damit die aktuelle Geschwindigkeit des betrachteten Fahrzeugs liegt über der ab dem Verkehrsschild maximal zulässigen Geschwindigkeit v_max(nls), entsprechend findet innerhalb der dynamischen Zone 402 bzw. d_adapt eine Verzögerung d_decel(AV) von aktueller Geschwindigkeit v_max(cls) auf die dann maximal zulässige Geschwindigkeit v_max(nls) statt.
• 5 zeigt ein Diagramm zu einem parametrischen Verhaltensmodell des betrachteten Fahrzeugs zugehörig zum zweiten Zonengraph aus 3. Dabei ist eine Zielgeschwindigkeit v_target über einer Distanz s aufgetragen. Die statischen Zonen aus 3 sind ebenfalls gezeigt, hier als 500 bzw. ds und 501 bzw. nls. Die maximale Geschwindigkeit der aktuellen Zone v_max(cls) und damit die aktuelle Geschwindigkeit des betrachteten Fahrzeugs liegt unterhalb der ab dem Verkehrsschild maximal zulässigen Geschwindigkeit v_max(nls), entsprechend findet innerhalb der statischen Zone 500 bzw. ds eine Beschleunigung a_accel(AV) von aktueller Geschwindigkeit v_max(cls) auf die dann maximal zulässige Geschwindigkeit v_max(nls) statt.
• Solche Verhaltensmodelle berücksichtigen vorzugsweise Verkehrsregeln, fahrdynamische Einschränkungen, Systemeinschränkungen und Komforteinschränkungen. Die konkrete Form der Modelle ist weitgehend irrelevant. Die anhand der Zonengraphen erfolgende Verhaltensanalyse inklusive der dort verwendeten Konzepte, wie bestimmte Abstände, Geschwindigkeiten, Beschleunigungen und Komfortgrößen wie Fahrruhe, ist vorzugsweise so durchzuführen, dass sie auch bei Verändern der Modellparameter der Verhaltensmodelle in weiten Bereichen stabil bleibt. Dadurch wird die Verhaltensanalyse weitgehend unabhängig von den konkreten Parametern der Verhaltensmodelle und damit auf viele verschieden Situationen anwendbar. Voraussetzung dafür ist die geeignete Wahl der Abstraktionen in der Verhaltensanalyse.
• Das in den 2-5 dargestellte generische Verhalten für „Folgen einer leeren Spur mit statischen Einschränkungen“ ist hierarchisch jedem Verhalten in einer spezifischeren Situation, wie z.B. dem „Rechtsabbiegen in einer Kreuzung mit Lichtzeichenanlage und Fußgängerüberwegen“ untergeordnet.
• Vorzugsweise sind die entsprechenden Verhaltensräume hierarchisch aufgebaut. Das Grundverhalten für jedes Straßensegment ist insbesondere durch das longitudinale Verhalten „Folgen einer leeren Spur mit statischen Einschränkungen“ gegeben. Leer bedeutet hier leer von anderen Subjekten bzw. Verkehrsteilnehmern. Statische Einschränkungen (statische Constraints) können Geschwindigkeitsbeschränkungen, Spurverengungen, Kurven, etc. sein, die zu einer anderen Höchstgeschwindigkeit für das nächste Straßensegment führen. Aufgrund des Abstands zur zukünftigen Einschränkung und der aktuellen Geschwindigkeit muss das betrachtete Fahrzeug gegebenenfalls eine entsprechende Anpassung der Geschwindigkeit vornehmen.
• In 6 ist das Schemabild einer vierarmigen Kreuzung mit Lichtzeichenanlagen, Verkehrsschildern, Fußgängerüberwegen 6011 und 6012, dem betrachteten Fahrzeug 600 sowie weiteren Verkehrsteilnehmern (weitere Fahrzeuge, z.B. 60, und Fußgänger 6) dargestellt, in der das betrachtete Fahrzeug 600 rechts abbiegen soll.
• Eingezeichnet sind auch die relevanten Zonen 600, 602, 603, 604, 605, 606, 607, 608, 609, 610, 611 für die in den nachfolgenden Abbildungen 7 und 8 skizzierte Verhaltensanalyse.
• Dabei ergeben sich die statischen Zonen:
• - Kreuzungsbereich 600
• - Naher Fußgängerüberweg 6011
• - Entfernter Fußgängerüberweg an sich (auf der Straße) 601
• - Entfernter Fußgängerüberweg im weiteren Sinn (z.B. inkl. Wartebereich) 6012
• - Abschnitt nach dem entfernten Fußgängerüberweg 602
• Zudem ergeben sich die dynamischen Zonen:
• - Fahrzeugzone des westlichen Fahrzeugs 603
• - Fahrzeugzone des südlichen Fahrzeugs 604
• - Fahrzeugzone des nördlichen Fahrzeugs 605
• - Zonen für Fußgänger auf beiden Seiten des entfernten Fußgängerüberwegs 609, 610
• - Zone südlich, weit entfernt von der Kreuzung (Zone hinter dem betrachteten Fahrzeug in 6) 608
• - Haltezone vor nahem Fußgängerüberweg 611
• - Gefährdungszonen von Fußgängern, die auf den entfernten Fußgängerüberweg eintreten könnten, auf beiden Seiten des entfernten Fußgängerüberwegs 606, 607
• In der zugehörigen Verhaltensanalyse werden beispielsweise nur die Spezifika des „Rechts-Abbiegen in einer 4-armigen Kreuzung mit Fußgängerüberwegen“ betrachtet. Es wird dann also vorausgesetzt, dass das Verhalten des „Rechts-Abbiegens bei grünem Licht, ohne Fußgänger und ohne weitere andere Verkehrsteilnehmer“, was dem „Folgen einer leeren Spur mit statischen Einschränkungen“ entspricht, bereits beherrscht wird und deswegen nicht mehr explizit beschrieben wird. Die statischen Einschränkungen sind hier im Wesentlichen durch die generell erlaubte Höchstgeschwindigkeit, die Spurweiten, Spurneigungen (längs und quer) und den Kurvenradius der notwendigen Abbiegetrajektorie gegeben.
• In 7 ist ein entsprechender Zonengraph für die in 6 gezeigten Zonen abgebildet.
• Statische Zonen:
• - Kreuzungsbereich 701
• - Naher Fußgängerüberweg 702
• - Entfernter Fußgängerüberweg an sich (auf der Straße) 7022
• - Entfernter Fußgängerüberweg im weiteren Sinn (z.B. inkl. Wartebereich) 7021
• - Abschnitt nach dem entfernten Fußgängerüberweg 703
• Dynamische Zonen:
• - Fahrzeugzone des westlichen Fahrzeugs 704
• - Fahrzeugzone des südlichen Fahrzeugs 705
• - Fahrzeugzone des nördlichen Fahrzeugs 706
• - Zonen für Fußgänger auf beiden Seiten des entfernten Fußgängerüberwegs 710, 711
• - Zone südlich, weit entfernt von der Kreuzung 709
• - Haltezone vor nahem Fußgängerüberweg 712
• - Gefährdungszonen von Fußgängern, die auf den entfernten Fußgängerüberweg eintreten könnten, auf beiden Seiten des entfernten Fußgängerüberwegs 707, 708
• In 8 ist für das Szenario aus den 6 und 7 ein Phasengraph abgebildet. Dabei befindet sich das betrachtete Fahrzeug zunächst in Phase 801 in der Zone (in 6 die Zone südlich, weit entfernt von der Kreuzung), in Phase 802 in der Fahrzeugzone des südlichen Fahrzeugs (in 6 die Zone des betrachteten Fahrzeugs), in Phase 803 in der Zone des Haltebereichs vor dem nahen Fußgängerüberweg, in Phase 804 in einer der Zonen Kreuzungsbereich, naher Fußgängerüberweg oder entfernter Fußgängerüberweg und in Phase 805 in der Zone hinter dem entfernten Fußgängerüberweg. Die möglichen Übergänge sind mit Pfeilen gekennzeichnet. So kann das Fahrzeug je nach Situation im Haltebereich vor dem nahen Fußgängerüberweg zum Halten kommen oder nicht, also ein Phasenübergang von Phase 802 zu Phase 804 direkt oder über Phase 803 erfolgen.
• Als Äquivalenzklassen sind dabei vorzugsweise Parameterkombinationen für Parameter wie Geschwindigkeit, Beschleunigung, Position in der Spur, des betrachteten Fahrzeugs definiert, welche zu einem gleichen Sollverhalten des betrachteten Fahrzeugs führen. Für jede Äquivalenzklasse sind Monitore generierbar, die das in einer Simulation beobachtete Verhalten des betrachteten Fahrzeugs bzw. Fahrzeugsystems daraufhin prüfen, ob die Spezifikationen der Äquivalenzklassen eingehalten werden.
• Eine Projektion der Äquivalenzklassen auf die Zonen für ein betrachtetes analysiertes Straßen-Segment mit einer potentiellen Subjekt-Population und einer vorgegebenen Intention (Mission) des betrachteten Fahrzeugs liefert die Phasen der Bewegung des betrachteten Fahrzeugs durch die Zonen des Straßensegments unter Berücksichtigung des Verhaltens der betrachteten Subjekt-Population.
• Eine Phase wird durch die Teilmenge der Äquivalenzklassen der Verhaltensanalyse des Straßensegments gebildet, die in der betreffenden Zone auftreten können. Je nach Größe der Zone kann das betrachtete Fahrzeug innerhalb der Zone auch zwischen den Äquivalenzklassen der Phase hin und her wechseln, z.B. in einer großen Zone bei Stop-&-Go-Verkehr mehrfacher Wechsel zwischen Anfahren, Rollen, Anhalten, Warten.
• Die Aufeinanderfolge der Phasen beim Durchfahren des Straßensegments bildet einen Phasengraphen. Das betrachtete Fahrzeug befindet sich stets in einer Phase und in jeder Phase in genau einer der Äquivalenzklasse, die diese Phase bilden.
• Komplexere Phasengraphen können dynamisch entstehen, wenn z.B. die intendierte Route des betrachteten Fahrzeugs dauerhaft blockiert ist, z.B. durch einen Unfall. Dann kann eine neue Route berechnet werden, was typisch zu einer lokal anderen Intention des betrachteten Fahrzeugs führt und damit zu neuen Phasen, Zonen etc. Dies kann vom betrachteten Fahrzeug beherrscht werden, sofern die notwendigen Manöver (z.B. Umkehren bzw. Zurücksetzen in der Spur und frühestmögliches Wenden) beherrscht werden und die auf der Ersatzroute zu erwartenden Straßen-Segmente ebenfalls vom betrachteten Fahrzeug beherrscht werden.
• Die Phasen liefern die Grundlage der Kompositionalität für das Verhalten des betrachteten Fahrzeugs. Sofern jede Analyse eines Straßensegments eine Eingangszone und eine Ausgangszone besitzt und damit eine Eingangsphase und eine Ausgangsphase, ist Kompositionalität auf der topologischen Ebene der Straßensegmente und auf der Verhaltensebene der Phasen möglich. Dabei enthält insbesondere die Eingangszone des Folgesegments die Ausgangszone des Vorgängersegments.
• Die Ausgangszone eines Straßen-Segments kann vorzugsweise das betrachtete Fahrzeug vollständig aufnehmen, sollte aber nicht viel größer sein, damit das Verlassen des jeweiligen Segments unter minimalen Bedingungen möglich wird. Die Eingangszone eines Straßensegments ist üblicherweise eine weit vom betrachteten Fahrzeug entfernte Zone bezüglich des relevanten Anteils des Straßensegments (Kreuzung, Kreisverkehr, ...).
• Vorzugsweise werden für bestimmte, generische Straßensegmente (einfache Straßenabschnitte, einfache Kreuzungen, einfacher Kreisverkehr, einfacher Parkplatz etc.) Analysen durchgeführt und als Modelle in einer entsprechenden Modell-Bibliothek abgelegt. Für die Abdeckung eines großen Anteils aller möglichen bzw. real vorkommenden Straßensegmente genügen relativ wenige solcher generischen Modelle. Mit einer Auswahl der relevanten Eigenschaften solcher generischen Straßensegmente kann somit eine kleine, konfigurierbare und parametrierbare Modell-Bibliothek angelegt werden, auf deren Basis dann komplexere Straßenkarten einfach berechnet werden können. So können z.B. aus dem generischen Modell einer vierarmigen Kreuzung durch Weglassen eines Kreuzungsarms T-Kreuzungen unterschiedlicher Art erzeugt werden. Die Winkel zwischen den Kreuzungsarmen, die Spurweiten, die Anzahl der Spuren, die Bestückung mit Vorfahrtszeichen und Lichtzeichenanlagen können insbesondere Parameter in den Modellen sein.
• In 9 sind zwei Straßenkartensegmente in Form von Straßenschematas gezeigt, welche kombiniert werden können. Die Straßenkartensegmente weisen auf:
• - das betrachtete Fahrzeug
• - weitere Verkehrsteilnehmer,
• - Ampeln und Verkehrszeichen,
• - Fußgängerüberwege.
• Intendierte Manöver sind mit Pfeilen gekennzeichnet.
• 10 zeigt einen Zonengraphen zu den Straßenkartensegmenten in 9. Dabei wurden die Zonen auf der linken bzw. die Zonen auf der rechten Seite in 10 zum linken bzw. rechten Straßenkartensegment in 9 ermittelt. Gleichartige Zonen sind mit dem gleichen Bezugszeichen bezeichnet:
• - Kreuzungszone 1001,
• - weit entfernte Zone 1009,
• - naher Fußgängerüberweg 1002,
• - entfernter Fußgängerüberweg mit zugehörigen Zonen für Fußgänger und Gefährdungszonen für Fußgänger (10021, 10022, 1010, 1011, 1007, 1008),
• - Fahrzeugzonen 1004, 1005, 1006,
• - Haltezonen 1012,
• - Zone hinter dem entfernten Fußgängerüberweg 1003.
• 11 zeigt einen Phasengraphen zu den Zonengraphen in 10. Dabei wurden die Phasen 1101-1104 auf der linken bzw. die Phasen 1106-1109 auf der rechten Seite in 11 zum linken bzw. rechten Teil des Zonengraphen in 10 ermittelt. Die Phase 1105 zwischen den beiden Abschnitten stellt den Übergang dar und entspricht einem Übergang zwischen den Zonengraphen in 10 sowie zwischen den Kartensegmenten in 11.
• Sind zwei oder mehrere Straßenkartensegmente bereits getestet, so reicht für eine komplexere Straßenkarte, welche aus den Straßenkartensegmenten mit Übergängen aufgebaut ist, wenn nur die unbekannten Übergänge noch einmal betrachtet werden. Davon abgesehen kann auf die bereits erfolgten Tests zurückgegriffen werden.
• Durch automatische Abstraktion einer gegebenen Karte in einen logischen Zonengraphen für die auf der Karte möglichen Manöver können exakte Informationen darüber ermittelt werden, welche Bestandteile der Karte durch die existierenden mit dem Verfahren erzeugten Testsuites bereits beherrscht werden können und welche noch zusätzlich betrachtet werden müssen.
• Durch die gewählten Abstraktionen (Zonen, Äquivalenzklassen, Phasen) wird eine strukturelle Kompositionalität und eine Verhaltenskompositionalität erreicht. Die strukturelle Kompositionalität ermöglicht das Verbindung mehrerer Basiselemente (z.B. gerade Straße und Kurve) auf der Basis von Zonen. Durch die Verhaltenskompositionalität, ermöglicht durch die Definition von Phasen, erhält man die Sicherheit, dass eine Betrachtung von Einzelelementen in der Analyse hinreichend für korrektes Verhalten auf komplexen Karten ist.
• In einer weiteren, bevorzugten Ausgestaltung der beschriebenen Verfahren werden die Zonen um Attribute der funktionalen Sicherheit (Safety) ergänzt. Hierdurch wird definiert, welche Zonen mit welcher Qualität bzw. Zuverlässigkeit wahrzunehmen sind, um eine sichere Fortbewegung zu gewährleisten.
• Diese Information kann einerseits genutzt werden, um festzulegen, mit welchen und / oder mit wie vielen Sensoren eine bestimmte Zone wahrnehmbar sein muss. Andererseits kann z.B. im Falle einer (partiellen) Verdeckung einer Zone auch definiert werden, inwieweit das geforderte Verhalten des Fahrzeugs bzw. dessen HAD-Systems zu modifizieren ist, um sich an die eingeschränkte Wahrnehmung zu adaptieren. Die Einschränkung der Wahrnehmung kann dabei verschiedene Ursachen haben, z.B. eine Verdeckung einer Zone für einen oder mehrere Sensoren oder ein Ausfall bzw. eine temporäre Störung (z.B. Blendung) eines oder mehrerer Sensoren, etc.
• Diese beiden Anwendungsfälle ermöglichen es, die Struktur sowie die Lösungsansätze für die Perzeption im Rahmen einer Freigabeargumentation einzuordnen und das reaktive (sichere) Verhalten auch bei verschiedenen Einschränkungen zu argumentieren.
• Eine Attributierung von Fahrzonen, Positionszonen für andere Subjekte und / oder Informationszonen (enthalten z.B. Verkehrszeichen, Verkehrsampeln) kann beispielsweise in Abhängigkeit von Position und dynamischem Zustand des Fahrzeugs mit einer Klassifikation erfolgen, die angibt, mit welcher funktionalen Sicherheit, d.h. welcher Sicherheitsintegrität gemäß z.B. ISO 26262 oder ISO 25119 oder ISO 13489, also z.B. ASIL-A, ASIL-B, ASIL-C, ASIL-D,
• - die Existenz und der Belegungszustand / Informationszustand einer statischen Zone erkannt werden muss oder
• - das Vorhandensein bzw. das Nicht-Vorhandensein eines Subjekts / Objekts, ggf. dessen Art und dessen dynamischer Zustand (Geschwindigkeit, Beschleunigung, Bewegungsrichtung) in einer Fahr- oder Positionszone erkannt werden muss oder
• - das Vorhandensein einer (partiellen) Verdeckung für eine Zone erkannt werden muss.
• Eine Attributierung der mit dem Fahrzeug verbundenen Perzeptionszonen, d.h. der Sichtfelder (Field of Views, FoV) kann in Abhängigkeit von Umweltbedingungen wie Wetter, Beleuchtung, etc. und Sensorstatus mit einer Klassifikation erfolgen, die angibt, mit welcher funktionalen Sicherheit, d.h. welcher Sicherheitsintegrität gemäß z.B. ISO 26262 oder ISO 25119 oder ISO 13489, also ASIL -A, ASIL-B, ASIL-C, ASIL-D, Inhalte wahrgenommen werden können. Sofern nicht explizit berücksichtigt, wird vorzugsweise angenommen, dass die betreffenden Zonen und ihre relevanten Inhalte durch die aktuellen Sichtfelder des Fahrzeugs nicht eingeschränkt werden.
• Im Folgenden wird ein erstes Beispiel zur Ergänzung von Zonen um Attribute der funktionalen Sicherheit (Safety) beschrieben, das Szenario eines dem betrachteten Fahrzeug vorausfahrenden anderen Fahrzeugs. Dabei wird die Fahrbahnzone des betrachteten Fahrzeugs durch dynamische Zonierung in Unterzonen aufgeteilt. Z.B. erfolgt eine Aufteilung der Zone, die sich vom betrachteten Fahrzeug bis zum vorausfahrenden Fahrzeug erstreckt, in fünf Unterzonen.
• Für die dem betrachteten Fahrzeug nächste Zone gilt, dass bei gegebener Eigengeschwindigkeit, gegebener Geschwindigkeit des Vorausfahrzeugs und einem realistischen Reibwert ein noch so großer Abstand zum Vorausfahrzeug besteht, dass kein Bremsmanöver zur Kollisionsvermeidung notwendig ist, selbst wenn das Vorausfahrzeug ein Notbremsmanöver ausführt. Für die folgende Unterzone in Richtung vorausfahrendem Fahrzeug gilt, dass ein komfortables Bremsmanöver, für die darauf folgende, dass ein sicheres Bremsmanöver, und für die darauf folgende, dass ein Notbremsmanöver reicht, um eine Kollision zu vermeiden. Für die fünfte Unterzone am nächsten zum vorausfahrenden Fahrzeug gilt entsprechend, dass eine Kollision mit dem Vorausfahrzeug sehr wahrscheinlich ist bzw. nicht sicher vermieden werden kann.
• Auf Basis dieser Analyse kann eine Attributierung der Unterzonen erfolgen, z.B. ASIL-D für die beiden dem vorausfahrenden Fahrzeug nächsten Unterzonen (Kollision, Notbremsung), ASIL-C für die mittlere der fünf Unterzonen (sichere Bremsung), ASIL-B für die dem betrachteten Fahrzeug zweitnächste Unterzone (komfortables Bremsmanöver).
• Im Folgenden wird ein zweites Beispiel zur Ergänzung von Zonen um Attribute der funktionalen Sicherheit (Safety) beschrieben, das Szenario einer Annäherung an einen Fußgängerüberweg durch das betrachtete Fahrzeug. Dabei wird die Fahrbahnzone des betrachteten Fahrzeugs in Unterzonen aufgeteilt. Z.B. erfolgt eine Aufteilung der Zone, die sich vom betrachteten Fahrzeug bis zum Fußgängerüberweg erstreckt, in fünf Unterzonen.
• Die Zone des Fußgängerüberwegs erhält dynamisch das gleiche Sicherheitsattribut wie die Zone, in der sich das Fahrzeug vor dem Fußgängerüberweg befindet. Das bedeutet, dass ein Fußgänger, der sich auf dem Fußgängerüberweg befindet, mit der entsprechenden Sicherheit wahrgenommen werden muss, die das dynamisch sich verändernde Sicherheitsattribut fordert.
• Die beiden Zonen, die den Gehwegbereich auf den beiden Seiten des Fußgängerüberwegs repräsentieren, sind jeweils wieder in drei Unterzonen unterteilt, die einer zunehmenden Entfernung vom Fußgängerüberweg entsprechen.
• Die beiden Unterzonen des Gehwegbereichs, die an die Zone des Fußgängerüberwegs angrenzen, erhalten dynamisch das gleiche Sicherheitsattribut wie die Zone des Fußgängerüberwegs. Sobald sich ein Fußgänger in diesen beiden Unterzonen befindet, auch wenn er sich nicht bewegt, ist er für die Anforderungen an das Verhalten des Fahrzeugs so zu behandeln, als befände er sich auf dem Fußgängerüberweg. Eine ggf. vorhandene und wahrzunehmende, partielle oder vollständige Verdeckung dieser beiden Unterzonen, z.B. durch ein weiteres parkendes Fahrzeug, führt dazu, dass solange die Verdeckung besteht, angenommen wird, dass sich ein Fußgänger dort befindet und entsprechend, dass das betrachtete Fahrzeug sich entsprechend angepasst verhalten muss. Eine Verdeckung einer Zone mit einem dynamisch variablen Sicherheitsattribut muss also dynamisch mit dem gleichen Safety-Attribut wahrgenommen werden können, wie die unverdeckte Zone selbst.
• Für jeden Fußgänger, der sich in den Unterzonen des Gehwegbereichs befindet, die nicht direkt an den Fußgängerüberweg angrenzen, und sich auf den Fußgängerüberweg zubewegen, muss die Erreichbarkeit der an den Fußgängerüberweg angrenzenden Unterzone des Gehwegbereichs ermittelt werden, wenn sich das betrachtete Fahrzeug in der Fahrzone vor dem Fußgängerüberweg befindet. Durch ggf. eine kaskadierte Ermittlung der Erreichbarkeiten kann die notwendige Verzögerung des Fahrzeugs ermittelt werden, in Abhängigkeit von der eigenen Position, der eigenen Geschwindigkeit und Position und Bewegungsmodel für den betreffenden Fußgänger. Beispielhaft kann mit einer Erreichbarkeitsberechnung die Entscheidung getroffen werden, ob sich das Fahrzeug ungebremst weiter bewegen kann. Die Größen der jeweiligen dynamischen Zonen ergeben sich aus den angenommenen Erreichbarkeitsmodellen und damit aus den Bewegungsmodellen und der Position für die jeweiligen Verkehrsteilnehmer.
• Würde sich das Fahrzeug bei ungebremster Fortbewegung zu zumindest einem Zeitpunkt in der Zone des Fußgängerüberwegs befinden, während sich ein Fußgänger ebenfalls in der Zone des Fußgängerüberwegs oder einer angrenzenden Unterzone des Gehwegs befinden kann, muss eine Bremsung erfolgen. In diesem Fall wird die nächste Stufe der Erreichbarkeitsberechnung durchgeführt. Diese Berechnung kann den gleichen Aufbau haben wie die erste Berechnung haben, nur, dass statt dem Bewegungsmodel „ohne Bremsung“ das Bewegungsmodell „komfortable Bremsung“ verwendet wird, das für eine komfortable Verzögerung des Fahrzeugs gilt. In analoger Weise gibt es in weiteren Stufen Berechnungen für ein sicheres Bremsmanöver bzw. ein Notbremsmanöver.
• Es sollte immer vermeidbar sein, dass selbst ein Notbremsmanöver nicht ausreicht, einen möglichen gleichzeitigen Aufenthalt von Fußgängern in der Zone des Fußgängerüberwegs oder angrenzender Unterzonen des Gehwegbereichs und des Fahrzeugs in der Zone des Fußgängerüberwegs zu verhindern, weil sonst ein Unfall oder zumindest ein Beinahe-Unfall mit einem Fußgänger auf dem Fußgängerüberweg möglich ist. Dies kann insbesondere ein ASIL-D-Sicherheitsziel darstellen. Es kann sich daher ergeben, dass die Zone des Fußgängerüberwegs und der beiden an die Zone des Fußgängerüberwegs angrenzenden Unterzonen mit dem Sicherheitsattribut ASIL-D zu versehen sind und die noch weiter entfernt liegenden Unterzonen mit dem Sicherheitsattribut ASIL-C. Analog ergänzbare, noch weiter außen liegende Unterzonen des Gehwegbereichs könnten entsprechend mit dem Sicherheitsattribut ASIL-B zu versehen sein.
• Diese Sicherheitsattributierung wird relevant, sobald sich das betrachtete Fahrzeug in einer Zone vor dem Fußgängerüberweg befindet, in der Sicherheitsattribute des Fußgängerüberwegs zu beachten sind. Diese Zone umfasst beispielsweise die der Zone des Fußgängerüberwegs vier nächsten Unterzonen der Fahrbahnzone, sowie einen Teil der am weitesten entfernten Unterzone, der sich im Wesentlichen aus der maximalen Reaktionszeit des Fahrzeugs auf eine nicht erwartete Haltelinie, hier durch den Beginn des Fußgängerüberwegs in der Spur des Fahrzeugs gegeben, und aus der aufgrund der aktuellen Geschwindigkeit in dieser Zeit zurückgelegten Strecke in der Spur.
• Sobald sich das Fahrzeug in der Zone befindet, in der die Sicherheitsattribute des Fußgängerüberwegs beachtet werden müssen, müssen entsprechend der vorangehenden Beschreibung die Zonen des Fußgängerüberwegs sowie die Unterzonen des Gehwegbereichs jeweils mit der durch das jeweilige Sicherheitsattribut geforderten Sicherheit einsehbar sein. Sollten nun Zonen (teilweise) verdeckt sein, z.B. durch Bäume oder ein parkendes Auto, dann muss das Fahrzeug für diese Zonen eine Standardbedrohung annehmen und diese in die Erreichbarkeitsberechnungen einbeziehen. Für die Zonen um den Fußgängerüberweg herum ist diese Standardbedrohung durch einen Fußgänger mit einem geeignet festzulegenden Standardbedrohungsmodell, d.h. einem Standardbewegungsmodell gegeben. Dieses Modell legt im Wesentlichen fest, wie schnell sich ein Fußgänger maximal bewegen kann. Je nach Lage des Fußgängerüberwegs kann es unterschiedliche Bewegungsmodelle geben, in Abhängigkeit davon welche Fußgängertypen zu erwarten sind, z.B. normale Fußgänger, Jogger oder Personen mit E-Scooter etc.
• Mit Hilfe der vorzugebenden Bewegungsmodelle für die potentiell den Fahrweg des Fahrzeugs bedrohenden Subjekte ergeben sich auch die Größen der Zonen, die vom Fahrzeug mit dem entsprechenden Sicherheitsattribut einzusehen sind.
• Damit kann sich auch eine Forderung an das Fahrzeug ergeben, wenn es kurz vor dem Fußgängerüberweg steht und sicher entscheiden muss, ob es anfahren darf oder nicht. Im Stillstand müssen hier auch die entsprechenden Zonen mit vorgegebenem Sicherheitsattribut eingesehen werden können. Dies kann je nach Auslegung der Sensoren eine entsprechende Wahrnehmungsredundanz bedeuten. Ggf. vorhandene Eigenverdeckungen des Fahrzeugs im Nahbereich sind zu berücksichtigen und durch geeignete Maßnahmen (z.B. Ultraschallsensorik bei Stillstand im Nahbereich nutzen) zu kompensieren.
• Durch Sensorausfall bzw. Sensorstörungen bedingte Einschränkungen müssen durch geeignete Maßnahmen erkannt werden, da sie kritisch für das geforderte Verhalten des Fahrzeugs sind. Im Extremfall kann dies bedeuten, dass das Fahrzeug aufgrund von detektierten Sensorausfällen bzw. Sensorstörungen und der sich daraus ergebenden Reduktion der Sicherheitsstufe für bestimmte notwendige Wahrnehmungen nicht mehr mit der erforderlichen Sicherheit bewegt werden kann.
• Für die ggf. auftretenden Sensorausfälle können je nach Auswirkung der Ausfälle, ausdrückbar durch die Reduktion der Sicherheitsstufe der aktuellen Wahrnehmung für bestimmte Zonen in einer gegebenen Situation, Ausnahme-Zustände für das Fahrzeug vorab definiert werden.
• Randbedingungen wie Wetterphänomene, Rauch / Staub, Beleuchtungsverhältnisse etc. führen typischerweise zu einer Einschränkung der Wahrnehmungsfähigkeit und Wahrnehmungszuverlässigkeit des Fahrzeugs. Dies kann bedeuten, dass sich für gegebene Verkehrssituationen, wie z.B. die hier diskutierte Annäherung an einen Fußgängerüberweg, zusätzliche Einschränkungen ergeben, z.B. eine Reduktion der Zonengröße, die mit einem bestimmten ASIL-Level wahrgenommen werden kann. Auf der anderen Seite ändern sich aber die Bewegungsmodelle der anderen Subjekte dadurch nicht. Dies führt zu ASIL-spezifischen Sichtfeldern in Abhängigkeit von den Umgebungsbedingungen und der Verkehrssituation.
• Schränkt ein solches ASIL-spezifisches Sichtfeld eine Zone ein, die mit gleich hoher oder höherer Sicherheitsstufe wahrgenommen werden muss, so ist an der Grenze des spezifischen Sichtfelds eine Standardbedrohung anzunehmen, sofern die Zone eine Positionszone für andere Subjekte ist. Handelt es sich dagegen um eine Informationszone, die nicht mit dem notwendigen ASIL-Level wahrgenommen werden kann, so ist der ungünstigste Inhalt / Zustand der Informationszone für die Fortbewegung des Fahrzeugs anzunehmen, z.B. eine Halteforderung durch die Informationszone vor der zugeordneten Haltelinie.
• Das abhängig von den Umgebungsbedingungen und der statischen Verkehrssituation sicherheitsattributierte Sichtfeld ist also eine weitere Zone, die die bisherigen Zonen überlagert. Dies führt zu einer Modifikation der Erreichbarkeitsberechnungsformeln und damit direkt zu einer geforderten Verhaltensanpassung des Fahrzeugs an die reduzierten sicherheitsattributierten Sichtfelder.
• In einem dritten Beispiel zur Ergänzung von Zonen um Attribute der funktionalen Sicherheit wird eine Kreuzung mit Verkehrszeichen und Verkehrsampeln sowie einem Fußgängerüberweg betrachtet. In dem entsprechenden Zonengraph können beispielsweise zwei unterschiedliche mit ASIL-C attributierte Sichtfelder als Überlagerungszonen für ein in einer mittleren Unterzone der Fahrzone vor der Kreuzung positioniertes Fahrzeug angegeben sein. Die Ampel und das Verkehrszeichen befinden sich in einer Informationszone. Diese Informationszone und insbesondere der typisch rein optisch angezeigte Zustand der Ampel müssen vom Fahrzeug, das sich in einer der Unterzonen der Fahrzone vor dem Fußgängerüberweg oder in der Zone des Fußgängerwegs befindet, mit entsprechender Sicherheits- bzw. ASIL-Stufe wahrgenommen werden, um sich sicher zu bewegen.
• Da die Halteanforderung durch die Ampel wie eine entsprechende Bedrohung des Fahrwegs des Fahrzeugs durch ein anderes Subjekt aufgefasst werden kann, gelten die bisherigen Überlegungen in analoger Weise. Es werden keine Erreichbarkeitsberechnungen durchgeführt, sondern es reicht eine Erkennung des Ampel-Zustandes mit der entsprechenden Sicherheits- bzw. ASIL-Stufe in Abhängigkeit von der dynamischen Zone, in der sich das Fahrzeug vor der zugeordneten Haltelinie befindet.
• Für die Zone, in der die Sicherheitsattributierungen der Kreuzung zu beachten sind, gelten, sofern sich das Fahrzeug vor der durch die Ampel gesicherten Haltelinie befindet, die gleichen Ausführungen wie für den Fußgängerüberweg. Entsprechend sichere Wahrnehmungen der Informationszone und des Zustandes der Ampel sind daher zu fordern.
• Wird nun angenommen, dass die Informationszone, in der sich die Ampel befindet, nicht vollständig innerhalb des Sichtfelds ASIL-C ist und damit der Zustand der Ampel in der Informationszone nicht sicher mit ASIL-C wahrnehmbar ist, so kann es je nach Ampelsignal vorkommen, dass sich das Fahrzeug in einer der Fahrunterzonen in einem aus Sicherheitssicht (gerade noch) zulässigen oder nicht mehr zulässigen Zustand befindet, wenn eine Wahrnehmung mit der Sicherheitsstufe ASIL-C für das Fahrzeug in dieser Unterzone notwendig ist.
• Ein Sonderfall liegt vor, wenn sich das Fahrzeug in der Zone des Fußgängerüberwegs im Stillstand befindet, obwohl keine Halteanforderung der Ampel vorlag, aber z.B. eine Bedrohung einer Zone mitten in der Kreuzung jenseits des Fußgängerwegs bestand, z.B. durch ein Rettungsfahrzeug. Sobald die Bedrohung durch das Rettungsfahrzeug oder durch ein anderes die Verkehrsregeln brechendes Fahrzeug nicht mehr existiert, kann das Fahrzeug in Abhängigkeit von einer ggf. vorliegenden Verdeckung der Informationszone (Fahrzeug steht hinter der Haltelinie, für die die Informationszone wichtig ist) und der aktuellen Situation auf den anderen Straßen der Kreuzung seine Fahrt fortsetzen oder auch nicht. Im Fall der Verdeckung ist hier besonders vorsichtig zu agieren, da nicht klar ist, in welchem Zustand sich die Ampel befindet.
• Die beschriebenen drei Beispiele zur Ergänzung von Zonen um Sicherheitsattribute können verwendet werden, um ein Fahrzeugsystem auf Schwächen oder Fehler, insbesondere auf sicherheitsrelevante Schwächen oder Fehler, zu testen. Das kann insbesondere mit den folgenden Schritten erreicht werden:
1. 1. Ableitung eines um Sicherheitsattribute ergänzten Sichtfelds für ein gegebenes Sensorset des Fahrzeugsystems in Abhängigkeit von externen Einflüssen und Sensormodellen.
2. 2. Ableitung eines Zonengraphen mit Sicherheitsattributen in Abhängigkeit von Sicherheitsanforderungen an das Fahrzeugsystem, von dem Zonengraph der Verkehrssituation und von dem Sichtfeld aus 1.
3. 3. Ableitung des geforderten Verhaltens des Fahrzeugsystems unter Berücksichtigung
   1. a. des Zonengraphen mit Sicherheitsattributen („Required Perception Range“)
   2. b. des von Sensor-Modellen und externen Einflüssen abhängigen, um Sicherheitsattribute ergänzten Sichtfelds des Sensorsets des Fahrzeugsystems („Safeguarded Perception Range“)
   3. c. der zusätzlichen aktuellen Verdeckungen des Zonengraphen
   4. d. der Standardbedrohungen für die (teilweise) verdeckten Zonen
   5. e. des Verhaltens mit idealer Wahrnehmung aus dem Zonengraph der Verkehrssituation ohne Berücksichtigung von Wahrnehmungsbeschränkungen
4. 4. Ableitung der erweiterten, sicherheitsbezogenen Testsuite für das Fahrzeugsystem
• Die Ergänzung von Zonen um Sicherheitsattribute ermöglicht eine strukturierte, weitgehend automatisierte Ableitung vollständiger, um Sicherheitsbelange erweiterter Testsuiten für Fahrzeugsysteme, insbesondere automatisierter Fahrzeuge (Auto, Roboter, autonomes Flurförderfahrzeug, ...). Zusätzlich kann hierauf basierend eine Ableitung von kritischen Sichtbereichen für die Perzeption erfolgen: Wo muss das autonome Fahrzeug „hinschauen“? In der Entwicklungsphase eines Fahrzeugsystems kann eine Ableitung der notwendigen Anforderungen an die Sensorsetarchitektur unter Verwendung der Anforderungen an die Vereinigungsmenge aller Zonen relativ zum Fahrzeug (welche, wie viele, wohin, welche Redundanz, ...) erfolgen, damit man alle durch den sicherheitsattributierten Zonengraphen definierten Bereiche mit der entsprechenden Redundanz einsehen kann. Es kann zudem eine Berücksichtigung von vordefinierten Standardbedrohungen für (teilweise) verdeckte Zonen und Ableitung des darauf entsprechend angepassten Verhaltens des autonomen Systems erfolgen. Durch die Einführung von Standardbedrohungen, d.h. erwartbare Worst-Case-Bedrohungen, die vom Fahrzeugsystem zu beherrschen sind, kann die Argumentation der Freigabe eines Fahrzeugsystems auf die Festlegung / Abnahme von Standardbedrohungen zurückgeführt werden. Damit kann auch zu beherrschender Fehlgebrauch durch andere Verkehrsteilnehmern in bestimmten Situationen explizit begrenzt werden.
• In der voranstehend beschriebenen weiteren, bevorzugten Ausgestaltung, in welcher Zonen um Attribute der funktionalen Sicherheit (Safety) ergänzt werden, wurde ausgeführt, dass Zonen in Unterzonen unterteilt werden können, für welche beispielsweise bei geplanten Trajektorien unterschiedliche Anforderungen bezüglich Integrität (ASIL) der Perzeption von Objekten und deren dynamischem Zustand bestehen. Während des Betriebs eines Fahrzeugsystems kann damit insbesondere geprüft werden, ob die aktuellen Fähigkeiten zur Perzeption von Objekten diesen Anforderungen entsprechen, so dass eine geplante Trajektorie sicher abfahrbar ist.
• Für die Sicherheit eines Systems kann allerdings nicht nur die erreichte Integrität (ASIL, ISO 26262) von Funktionen relevant sein, sondern auch die erreichte Performanz und Robustheit dieser Funktionen. Dies betrifft bei autonomen Systemen insbesondere Funktionen zur Umfeldwahrnehmung und -interpretation, die üblicherweise auf komplexen Sensoren und Algorithmen aufbauen (SOTIF, ISO/PAS 21448). so kann zum Beispiel die Abdeckung eines Bereichs außerhalb des Fahrzeugs auch mit zwei dafür grundsätzlich geeigneten Sensoren der Sicherheitsstufe ASIL B (2x ASIL-B=ASIL-D) aus Sicherheitssicht unzureichend sein, falls die aktuelle Wahrnehmungsfähigkeit eines oder beider Sensoren durch z.B. Umwelteinflüsse wie Regen oder Dunkelheit) eingeschränkt ist („performance limitation“ bzw. „funktionale Unzulänglichkeit“ gemäß ISO PAS 21448).
• In einer besonders bevorzugten Variante der Ausführung mit einer Sicherheitsattributierung von Zonen wird daher die Sicherheitsattributierung um eine zusätzliche Attributierung der Unterzonen mit Konfidenzmetriken als Maß für eine geforderte Performanz/Robustheit von Mess- und Prädiktionsfunktionen ergänzt.
• Wie zuvor beschrieben, können aus attributierten Zonengraphen während des Betriebs dynamisch Sicherheitsanforderungen an die Wahrnehmung (bezogen auf ein Sichtfeld) abgeleitet werden, in dieser bevorzugten Variante jedoch zusätzlich hinsichtlich einer mindestens geforderten Performanz bzw. (abgesicherten) Konfidenz verschiedener Mess-Funktionen (Objekt-Existenz, -Position, -Dynamik, -Kontur, -Farbe, etc.).
• Falls für ein geplantes Verhalten die geforderte Konfidenz der Umfeldwahrnehmung in einer relevanten Unterzone - insbesondere aufgrund externer Einflüsse und / oder funktionaler Unzulänglichkeiten des Fahrzeugsystems (Sensorik und / oder Algorithmen) - nicht erreicht werden kann, muss der Verhaltensplaner nach einem alternativen Verhalten (z.B. niedrigere Geschwindigkeit) suchen, das unter der aktuell erreichten Konfidenz zulässig ist. Dadurch wird sichergestellt, dass der Planer auch bei Einschränkungen der Umfeldwahrnehmung nur ein sicheres, an diese Einschränkungen angepasstes Verhalten vorgibt.
• Im oben beschriebenen ersten Beispiel („Szenario eines dem betrachteten Fahrzeug vorausfahrenden anderen Fahrzeugs“) kann sich die Ergänzung von Konfidenzmetriken beispielsweise wie folgt auswirken:
1. 1. Die aktuelle (bzw. aktuell maximal mögliche) Konfidenz der für das Fahrzeug-Tracking relevanten Messfunktionen (z.B. „Position“, „Dynamik“, „Intent/Bewegungsmodell“) des betrachteten Fahrzeugs für den Bereich der Zone des vorausfahrenden Fahrzeugs wird bestimmt.
2. 2. Die aktuelle Konfidenz wird mit der Im Zonengraph attributierten Anforderung an die notwendige Konfidenz verglichen.
3. 3. Falls die aktuelle Konfidenz (der Einzel-Messfunktionen und / oder der Fusion aus diesen) zu niedrig ist, wird das Verhalten (z.B. Fahrzeuggeschwindigkeit) angepasst.
• Im oben beschriebenen dritten Beispiel („Szenario einer Kreuzung mit Verkehrszeichen und Verkehrsampeln sowie einem Fußgängerüberweg“) kann sich die Ergänzung von Konfidenzmetriken beispielsweise wie folgt auswirken:
1. 1. Die aktuelle (bzw. aktuell maximal mögliche) Konfidenz der für die Ampelstatuserkennung relevanten Messfunktionen (z.B. „Farbe“, „(relative) Lampenaktivierung“, „Ampelphase“) im Bereich der die Ampel umfassenden Informationszone wird bestimmt.
2. 2. Die aktuelle Konfidenz wird mit der im Zonengraph attributierten Anforderung an die notwendige Konfidenz verglichen.
3. 3. Falls die aktuelle Konfidenz (der Einzel-Messfunktionen und / oder der Fusion aus diesen) zu niedrig ist, wird das Verhalten (z.B. Fahrzeuggeschwindigkeit) angepasst.
• Die Ermittlung und Bewertung der notwendigen Konfidenz von Messfunktionen kann auch kaskadiert erfolgen. Im oben beschriebenen zweiten Beispiel („Szenario einer Annäherung an einen Fußgängerüberweg durch das betrachtete Fahrzeug“) kann sich die Ergänzung von Konfidenzmetriken dann beispielsweise wie folgt auswirken:
1. 1. Prüfung, ob Fußgänger mit ausreichend hoher Konfidenz in z.B. den an die Zone des Fußgängerüberwegs angrenzenden Zonen des Gehwegbereichs erkannt werden können.
2. 2. Prüfung, ob sich Fußgänger in diesen Zonen befinden.
3. 3. Falls nein, dann keine weitere Prüfung.
4. 4. Falls ja, dann Prüfung, ob auch der dynamische Zustand (bzw. die Absicht) von Fußgängern mit ausreichender Konfidenz bestimmt werden kann.
• Hierbei kann sich die betrachtete Zone des Gehwegbereichs auch auf den Gehweg rechts vor dem Fahrzeug, und nicht nur direkt angrenzend an den Fußgängerüberweg erstrecken. Sobald ein Fußgänger auf dem Gehweg erkannt wurde, wird geprüft, ob eine plötzliche gefährliche Bewegung (z.B. ein Rennen auf die Straße vor das Fahrzeug) mit ausreichender Konfidenz (und damit rechtzeitig) erkannt werden könnte - abhängig von externen Einflüssen und internen Zuständen.
• Falls eine erforderliche bzw. attributierte Konfidenz nicht erreicht werden kann, können als alternative Fahrverhalten beispielsweise eine Anpassung der Geschwindigkeit, ein Verbot komplizierter Manöver (z.B. Spurwechsel, Überholvorgang) oder eine Warnung der Umgebung (andere Verkehrsteilnehmer) hinsichtlich der eigenen Einschränkungen erfolgen. Zudem können Maßnahmen zur Erhöhung der Konfidenz als weitere Reaktionsmöglichkeit ergriffen werden, beispielsweise eine gezielte Fahrzeug-Bewegung, um die Konfidenz zu erhöhen (z.B. für bessere Sicht, anderer Annäherungswinkel, Reduzierung von Sonnenblendung), oder eine Priorisierung / Erhöhung von Rechenressourcen für die kritischen Mess- / Prädiktionsfunktionen. Des Weiteren kann auch eine Reduzierung der Konfidenzanforderungen erfolgen. Beispielsweise kann eine sichere Bestimmung des Freiraums hinter dem betrachteten-Fahrzeug erfolgen: Falls selbst eine Notbremsung nicht zu einem Auffahrunfall führt, weil sich kein Fahrzeug in kritischem Abstand hinter dem Fahrzeug befindet, kann die Anforderung an die Konfidenz (zumindest im Fernbereich) reduziert werden. Auch kann die Konfidenzanforderung bei Berücksichtigung von realen und virtuellen Barrieren (Verkehrsregeln, z.B. Ausfahrt aus einem Parkplatz) reduziert werden, wenn durch diese die Bedrohung durch Objekte in einer Zone reduziert wird.
• Die Berechnungsschritte für die bevorzugte Variante unter Ergänzung von Konfidenzattributen können dann insbesondere wie folgt ablaufen:
1. 1. Abhängig von einem dynamischen Zustand des Fahrzeugs werden Konfidenzanforderungen für z.B. die Umfeldwahrnehmung abgeleitet.
2. 2. Abhängig von den abgeleiteten Konfidenzanforderungen und einem aktuellen Zonengraph wird eine (funktionsspezifische) Konfidenzanforderung für z.B. die Umfeldwahrnehmung abgeleitet.
3. 3. Es erfolgt eine Bestimmung der aktuellen (funktionsspezifischen) Konfidenz z.B. im Fahrzeugumfeld.
4. 4. Es erfolgt eine Prüfung, ob die bestimmte aktuelle Konfidenz die abgeleitete Konfidenzanforderung erfüllt.
5. 5. Erfüllt die Konfidenz die Konfidenzanforderung nicht, kann eine Anpassung des Fahrzeugverhaltens erfolgen.
• In einer weiteren, bevorzugten Ausgestaltung der beschriebenen Verfahren werden die Zonen anstelle oder zusätzlich zu Sicherheitsattributen um weitere Attribute ergänzt. Besonders bevorzugt ist dabei eine Attributierung nach mindestens zwei verschiedenen Thematiken. Durch ein solches Attributieren der Zonen eines gegebenen Zonengraphen kann dieser verschiedene Thematiken der Verhaltensplanung eines Fahrzeugsystems unterstützen. Typische Thematiken des Fahrzeugsystems, die durch zusätzliche Attribute unterstützt werden können, werden im Folgenden erläutert.
• Thematik „Fahrdynamik“
• Attributierte Zonen können insbesondere definiert werden durch Bereiche für einen Reibwert, Bereiche von Krümmungswerten oder Bereiche von Steigungs- bzw. Gefällemaßen. Alle diese Größen sind in den für die Fahrstabilität relevanten Modellen enthalten und beeinflussen damit den Arbeitspunkt für die physikalisch sinnvolle Zielgeschwindigkeit des Fahrzeugs auf einer gegebenen Strecke.
• Thematik „Geschwindigkeitsbegrenzungen durch Verkehrszeichen“
• Attributierte Zonen können durch Verkehrszeichen mit Geschwindigkeitsbeschränkungen und den ggf. davor notwendigen (dynamischen) Geschwindigkeitsanpassungsbereichen gebildet werden. Dadurch wird der Arbeitspunkt für die legal erlaubte Höchstgeschwindigkeit des Fahrzeugs festgelegt.
• Thematik „Lokalisierung“
• Attributierte Zonen für die Plausibilisierung oder Synchronisation der Lokalisierung des Fahrzeugs können durch die Positionen von Landmarken festgelegt werden. Im Falle der temporären Unverfügbarkeit von Signalen, wie Signalen des GNSS (Global Navigation Satellite System), können sie auch in Kombination mit odometrischen Verfahren als Ersatz für Satelliten-basierte Lokalisierung dienen.
• Thematik „Feinpositionierung in Spur (Rettungsgassenbildung)“
• Für jede Fahrspur z.B. auf einer Autobahn kann durch attributierte Zonen definiert werden, wie die Positionierung des Fahrzeugs innerhalb der Spur zu erfolgen hat, wenn z.B. in einem Stau die Fortbewegungsgeschwindigkeit unter die Schwelle fällt, für die die Bildung einer Rettungsgasse gefordert ist. Insbesondere kann es hier je nach Spur, in der sich das Fahrzeug bewegt, vier verschiedene Zonen geben, je nachdem ob eine rechte bzw. linke Nachbarspur vorhanden ist oder entsteht bzw. wegfällt.
• Die Zonen selbst haben dann vorzugsweise die Positionierungsanforderungen:
• - rechts-in-der-Spur-bleiben bzw. links-in-der-Spur-bleiben
• - Übergang-von-rechts-nach-links-in-der-Spur bzw. umgekehrt.
• Oberhalb der Schwelle für die Rettungsgassenbildung ist die Standardposition des Fahrzeugs in der Spur vorzugsweise die Spurmitte.
• Thematik „Erlaubtes Kollisions-Risiko“
• Zur Erreichung eines flüssigen Verkehrsflusses kann es sinnvoll sein, nicht in jeder Situation maximal konservativ zu fahren, d.h. z.B. das schlimmstmögliche Verhalten anderer Verkehrsteilnehmer anzunehmen. Zu diesem Zweck kann je Zone mindestens ein maximal zulässiges Risiko für eine (leichte) Kollision annotiert werden. Gegebenenfalls können unterschiedliche Risiken je nach Art des Verkehrsteilnehmers annotiert werden, z.B. kein zulässiges Risiko für Fußgänger, aber ein kleines zulässiges Risiko für Autofahrer.
• Diese kann nach Art der Zone unterschiedlich ausgeprägt werden. Hinweis: Dadurch kann im Ggs. zu anderen Attributierungen eine Erweiterung des Verhaltensraums möglich werden.
• Thematik „Weitere Betriebsbeschränkungen aus StVO- bzw. Betreiber-/Herstellersicht“
• Abhängig z.B. von topographischen Eigenschaften wie Steigungen bzw. Gefälle, von der aktuellen Beladung oder von ggf. weiteren Eigenschaften des Fahrzeugs wie Reifendruck, Vorhandensein eines Anhängers, etc. können Überholverbote oder auch höhere Schwellwerte für die notwendige Geschwindigkeitsdifferenz zum Überholen langsamer Vorausfahrzeuge durch attributierte Zonen festgelegt werden.
• Abhängig von Umgebungsbedingungen (Wetterphänomene, Beleuchtung, ...) und bestimmten Straßeneigenschaften wie Spurrillen, Pfützenbildungsneigung etc. oder baulichen Randbedingungen wie Brücke, Tunneleinfahrt, Tunnelausfahrt bei starkem Gegenlicht etc. können ebenfalls zusätzliche Geschwindigkeitseinschränkungen in attributierte Zonen gefasst werden. Ggf. gelten auf bestimmten Straßentypen nach StVo wetterabhängige Geschwindigkeitsbeschränkungen, die sich ebenfalls in attributierte Zonen fassen lassen.
• Ebenso können spezielle bauliche Kontexte wie Spurwegfall, Auffahrtsspur, Abfahrtsspur in Zusammenhang mit vordefinierten Verkehrsdichten zu attributierten Zonen führen, in denen ein größerer Abstand zu Vorausfahrzeugen einzuhalten ist, insbesondere wegen zu erwartenden, erhöhten Auftretens von einscherenden Fahrzeugen vor dem betrachteten Fahrzeug. Dies kann dann ggf. erfordern, dass das Fahrzeug die aktuelle Geschwindigkeit zu reduzieren hat.
• Ebenso können der Wegfall von Spurmarkierungen und die Reduktion der Spurweite unter bestimmte Schwellen zu atrributierten Zonen führen, in denen das Fahrzeug sich nur mit reduzierter Geschwindigkeit bewegen darf und in denen typischerweise auch ein Überholverbot gesetzt ist.
• Thematik „Fahrstrategievorgaben“
• In Abhängigkeit von unterschiedlichen Fahrstrategien (möglichst ökonomisch, möglichst schnell, komfortabel etc.) kann die Fahrstrecke vorab unterschiedlich in attributierte Zonen aufgeteilt sein, die unterschiedliche Zielgeschwindigkeit, unterschiedliche Schwellen für die notwendige Geschwindigkeitsdifferenz zum Überholen langsamerer Vorausfahrzeuge etc. haben.
• Die oben ausführlich beschriebene Sicherheitsattributierung kann als Thematik Sicherheit und Wahrnehmung aufgefasst werden.
• Verschiedenartige Attributierungen können nun in Zonengraphen abgebildet werden, die spezifisch für die jeweilige Thematik sind. Alle diese Thematiken basieren auf systeminterner Karteninformation für die jeweilige Route und ggf. zusätzlichen aktuellen Wahrnehmungen / Informationen z.B. von Fahrzeug oder Infrastruktur wie Beladungszustand, aktuelle Fahrspur, Verkehrsdichte, Verkehrsstau, Wetterbedingungen etc.
• Als erstes Beispiel der bevorzugten Ausführung mit Zonenattributierungen verschiedener Thematiken betrachtet die einfache Fahrsituation „Folgen einer Spur unter Berücksichtigung einer Geschwindigkeitsbegrenzung durch Verkehrszeichen“. In dieser Fahrsituation wird eine Zone vor dem Verkehrszeichen und eine Zone ab dem Verkehrszeichen betrachtet. Der daraus abgeleitete Zonengraph hängt dann davon ab, ob in der Zone vor dem Verkehrszeichen eine höhere Geschwindigkeit erlaubt ist (Zone für Bremsvorgang), oder eine Geschwindigkeit kleiner oder gleich der Geschwindigkeitsbegrenzung ab dem Verkehrszeichen (Geschwindigkeit halten oder beschleunigen). Prinzipiell sind alle Zonengraphen, die verschiedene Geschwindigkeitsbeschränkungen aus der Betrachtung verschiedener Thematiken liefern, so aufgebaut wie der zuvor diskutierte Zonengraph. Alle Zonengraphen dieser Art besitzen somit die beschriebene Struktur für die gegebene Strecke.
• Soll nun ein Gesamtzonengraph aus den den einzelnen Thematiken zugeordneten Zonengraphen gebildet werden, ist eine Priorisierung oder Auswahl des jeweils verwendeten Teil-Zonengraphs erforderlich. Im beschriebenen Beispiel kann die Komposition verschiedener rein longitudinale Beschränkungen (hier Geschwindigkeitsbeschränkungen) fordernder Zonengraphen zu einem Gesamt-Zonengraph wieder die beschriebene Struktur aufweisen, wobei sich die einzelnen Zonen aus dem Schnitt aller Zonen der elementaren Zonengraphen für eine konkrete Strecke ergeben. In diesem Beispiel gilt vorzugsweise die jeweils am stärksten limitierende Geschwindigkeitsbeschränkung für eine solche sich ergebende Schnittzone des Gesamt-Zonengraphen der Komposition aller longitudinalen Beschränkungen. Im Allgemeinen erfolgt vorzugsweise die Auswahl des Zonengraphs aus den Zonengraphen verschiedener Thematiken zu einem bestimmten Streckenabschnitt, der für diesen Streckenabschnitt in den Gesamtzonengraph eingeht, abhängig davon, welcher Zonengraph die größte Beschränkung beinhaltet bzw. welcher Zonengraph eine höchste Priorität aus Sicherheitssicht hat.
• Andere thematik-spezifische Zonengraphen, die andere Anforderungen als Geschwindigkeitsbeschränkungen liefern, bleiben in diesem Beispiel vorzugsweise als parallel existierende Elementar-Zonengraphen erhalten. Es können auch hier Zonenschnitte mit den sonstigen Zonengraphen gebildet werden, um die feinste Zonierung für jeweils unterschiedliche Constraint-Mengen zu erhalten.
• Das Testen eines Fahrzeugs unter Verwendung einer Attributierung der Zonen für verschiedene Thematiken erfolgt vorzugsweise mit den folgenden Schritten:
1. 1. Ableitung eines statischen Zonengraphen je Route und Thematik aus detaillierten Karten und thematik-bezogenen Anforderungen
2. 2. Ableitung eines dynamischen Zonengraphen je Route und Thematik aus dem betreffenden statischen Zonengraphen und verfügbarer thematikbezogener Informationen
3. 3. Ableitung des geforderten dynamischen Gesamtverhalten unter Berücksichtigung aller themen-bezogenen Requirements aus dem Zonenschnitt der Zonen des Basisverhaltens und aller Zonen der themen-bezogenen Zonengraphen mit Zuordnung aller Constraints zu den entstehenden Schnittzonen
4. 4. Ableitung einer Gesamt-Testsuite, die die Thematiken berücksichtigt, aus dem abgeleiteten Gesamtverhalten
• Somit können basierend beispielsweise auf systeminternen Karten, ggf. zusätzlicher Aktivierungsinformation (Beladungszustand, Verkehrsdichte, Verkehrsstau, Wetterbedingungen etc.) und Lokalisierungsinformation für Anforderungstypen unterschiedlicher Thematik entsprechend attributierte Zonen in themenspezifischen Zonengraphen gebildet werden. Diese Zonengraphen, die je nach Aktivierungsinformation dynamisch relevant werden können oder auch nicht, können als Grundlage einerseits für die Ableitung von Tests bzw. Verhaltensmonitoren eingesetzt werden. Insbesondere wird eine strukturierte, automatisierte Ableitung vollständiger, um spezifische Themen erweiterter Testsuiten für autonome Fahrzeuge (Auto, Roboter, autonomes Flurförderfahrzeug, ...) ermöglicht.
• Ein Gesamt-Zonengraph mit einer feinsten Zonierung, die alle verschiedenen aktuellen Thematiken enthält, entsteht durch den Schnitt der Zonen der einzelnen aktuell aktivierten Zonengraphen. Durch die modulare Struktur der Bildung des Gesamt-Zonengraphen und der Gesamtbeschränkungen aus variabel vielen thematik-bezogenen Zonengraphen und thematik-bezogenen Verhaltensbeschränkungen ist damit die Struktur eines modular erweiterbaren und testbaren Planungsalgorithmus vorgestellt, der die sukzessive Hinzunahme zusätzlicher Verhaltensbeschränkungen ausgehend von Basisbeschränkungen ermöglicht.
• Der Ansatz ist um zusätzliche, hier nicht explizit genannte Thematiken, ohne Veränderung des grundsätzlichen Verfahrens erweiterbar.
• In einer weiteren, bevorzugten Ausgestaltung der beschriebenen Verfahren wird zusätzlich zu den für die digitale Straßenkarte bestimmten Zonen abhängig von externen Informationen, insbesondere empfangen von einem anderen Fahrzeug oder einer Infrastruktur, mindestens eine Zone ergänzt, entfernt oder modifiziert. Die möglichen Abläufe von Fahrten entlang der Straße der digitalen Straßenkarte werden dann abhängig von den bestimmten Zonen und der mindestens einen ergänzten, entfernten oder modifizierten Zone ermittelt.
• In den bisherigen Beschreibungen wurde davon ausgegangen, dass die Größe und das Bestehen von Zonen vorzugsweise nur von geometrischen Informationen eines Straßensegments entsprechend den Informationen aus einer entsprechenden digitalen Karte abhängen, z.B. von der Straßenbreite, einer Position eines Fußgängerüberwegs, dem Vorhandensein von miteinander in Konflikt stehenden Verkehrsflüssen. In dieser weiteren, bevorzugten Ausgestaltung wird nun vorgeschlagen, dass eine Anpassung, Ergänzung oder Entfernung von Zonen und damit eine Anpassung eines entsprechenden Zonengraphs abhängig insbesondere von Informationen über Umweltbedingungen im Gebiet um das Fahrzeug herum (z.B. Nebel, starker Regen) oder abhängig von Informationen über temporäre Zustände oder Änderungen eines Straßenabschnitts (z.B. durch eine Baustelle oder eine kurzfristige Straßensperrung) durchgeführt wird. Die Informationen werden dabei insbesondere über digitale Kommunikation empfangen (z.B. Fahrzeug-zu-Fahrzeug-Kommunikation V2V oder Infrastruktur-zu-Fahrzeug-Kommunikation V2I). Zudem können digitale Karten oder Teile von digitalen Karten, welche relevante Informationen über relevante Zonen bisher unbekannter Straßenabschnitte enthalten, über digitale Kommunikationsmittel kommuniziert werden. In all diesen Fällen werden die Zonen, insbesondere deren Größen, und der Zonengraph im Fahrzeug dynamisch angepasst, was sich auf das Systemverhalten auswirken kann.
• In einem ersten Beispiel zu dieser Ausgestaltung wird der Fall einer Sichtbehinderung durch Nebel betrachtet. Ein erstes, dem betrachteten Fahrzeug vorausfahrendes Fahrzeug detektiert starken Nebel an seiner Position und teilt diese Information über eine V2V- oder V2I-Kommunikation. Das andere Fahrzeug muss nicht notwendigerweise ein auf der gleichen Straße vorausfahrendes oder in die gleiche Richtung fahrendes Fahrzeug sein, je nach Umweltbedingung reicht ein Aufenthalt in der Umgebung des betrachteten Fahrzeugs. Alternativ oder zusätzlich kann auch eine Infrastruktureinheit am Straßenrand den Nebel in einem von ihm überwachten Gebiet detektieren und die Information an Fahrzeuge in dem Gebiet übermitteln. Die übermittelten Informationen können auch Informationen über Änderungen der Straßenreibung, einer Oberflächenqualität, Hindernissen auf der Straße, weitere Wetterbedingungen etc. enthalten. Das betrachtete Fahrzeug kann eine solche ermittelte Information dazu verwenden, die Größe von Zonen anzupassen, z.B. an verkleinerte Sensorreichweiten einer Kamera. Es kann auch zudem erwartete Verdeckungen, welche vom Nebel resultieren, in einem Zonengraphen ergänzen. Diese Anpassungen können eine Verhaltensänderung des Fahrzeugs verursachen, z.B. eine angepasste, insbesondere reduzierte Geschwindigkeit.
• In einem zweiten Beispiel zu dieser Ausgestaltung wird eine temporäre Änderung der Verfügbarkeit eines Straßenabschnitts betrachtet. Ein anderes Fahrzeug oder eine Infrastruktur an der Straße kommuniziert temporäre Änderungen der Verfügbarkeit eines Straßensegments, z.B. in Form eines Updates eines Fahrzeug-Zonengraphs. Beispielsweise kann eine Infrastruktureinheit detektieren, dass eine bevorzugte Straße geschlossen ist oder derzeit keinen Verkehr aufweist und ein Zonenupdate kommunizieren, dass der entsprechende Straßenabschnitt derzeit für das betrachtete Fahrzeug nicht verfügbar bzw. vorhanden ist. Beispielsweise können Zonen blockiert, leer, nicht verfügbar etc. sein, z.B. wegen einer Baustelle, einem Unfall, einer Kundgebung, einer Veranstaltung etc. Eine frühzeitig übertragene Information kann die Verkehrssituation für das betrachtete Fahrzeug signifikant vereinfachen und z.B. kurzfristige Geschwindigkeitsreduzierungen oder Ausweichmanöver vermeiden.
• In einem dritten Beispiel zu dieser Ausgestaltung wird ein Szenario beschrieben, in dem sich das betrachtete Fahrzeug einem unbekannten oder teilweise unbekannten Gebiet mit unvollständigen oder fehlenden Zoneninformationen nähert, z.B. einem Privatgrundstück, einem Parkplatz, einem Industriegrundstück. Eine Infrastruktureinheit an der Straße kann dem betrachteten Fahrzeug in diesem Szenario einen kompletten Zonengraphen zur Verfügung stellen, beispielsweise auch in Kombination mit digitalen Karteninformationen. Das Fahrzeug kann diese Informationen nutzen, beispielsweise auch für seinen internen Verhaltensplaner und damit für das Bestimmen von Fahrbewegungen.
• Es werden somit insbesondere drei Anwendungsfälle vorgestellt.
• Im ersten Anwendungsfall, kann das betrachtete Fahrzeug insbesondere Informationen über Änderungen der Wetterbedingungen (z.B. Nebel, starker Regen, starker Seitenwind), über allgemeine Straßenzustände (z.B. Straßenschäden) oder temporäre Straßenbedingungen (z.B. vereiste oder verschmutzte Straße mit vermindertem Reibwert) erhalten. Diese Informationen können insbesondere von den Sensoren des Fahrzeugs selbst noch nicht ermittelbar sein oder die von diesen Sensoren ermittelten Informationen ergänzen bzw. verbessern. Die zur Verfügung gestellten Daten können auch Informationen über Veranstaltungen oder andere Umstände in der Umgebung umfassen, z.B. einen Hinweis, dass es zu größeren Fußgängerbewegungen aufgrund einer beendeten Sportveranstaltung oder einer stattfindenden Kundgebung kommen kann. Die Informationen werden mittels digitaler Kommunikation, insbesondere von einer Infrastruktureinheit an der Straße (V2I) oder von einem anderen Fahrzeug in dem Gebiet (V2V) übertragen. Die Kommunikation kann dabei insbesondere direkt oder über eine Cloud-Platform erfolgen. Die Informationen werden vom Fahrzeug insbesondere benutzt, um die Größe von Zonen bzw. einen diese Zonen umfassenden Zonengraphen frühzeitig anzupassen, als Reaktion auf eine erwartete Einschränkung, beispielsweise durch eine reduzierte Perzeptionsreichweite oder -qualität oder reduzierte Bremsmöglichkeiten. Daraus resultiert ein veränderter Zonengraph, abhängig von welchem der Verhaltensplaner des Fahrzeugs arbeitet. Zusätzlich zu den beschriebenen Informationen kann von einem anderen Fahrzeug auch die Information übertragen werden, wie dieses mit Umgebungsbedigungen umgegangen oder zurechtgekommen ist, was dem betrachteten Fahrzeug bessere Reaktionsmöglichkeiten eröffnet.
• Im zweiten Anwendungsfall empfängt das Fahrzeug Informationen über temporäre Änderungen des Zonengraphen für ein Straßensegment in diesem Gebiet. Diese Informationen können wieder von einer Infrastruktureinheit an der Straße oder von einem anderen Fahrzeug stammen. Die Daten können beispielsweise Informationen über zeitweise Straßensperrungen oder -blockierungen wie Baustellen oder Demonstrationen umfassen, insbesondere, wenn diese hinter Kurven, Ecken oder Hügeln auftreten. Auch können die Daten Informationen über entgegenkommenden Verkehr umfassen, z.B. bei einem Überholvorgang oder Falschfahrer, sowie über Straßensperrung in einem Notfall oder die Gefahr durch Einsatzfahrzeuge auf Alarmfahrt. Die übermittelte Information kann ebenfalls Informationen umfassen über die Anwesenheit oder Abwesenheit anderer Verkehrsteilnehmer in verdeckten Gebieten (z.B. hinter einer Ecke oder Kurve, einem anderen Objekt oder einem Hügel) oder über die Art eines Verkehrsteilnehmers (z.B., dass ein vermeintlicher Fußgänger ein Inline-Skater ist). Die übermittelten Informationen können mit dem vorhandenen, abhängig von der digitalen Karte ermittelten Zonengraphen kombiniert werden, insbesondere durch das Hinzufügen von Zonen (z.B. bei Auftreten eines bisher unbekannten Verkehrsteilnehmers oder Hindernisses), der Entfernung von Zonen (z.B. wenn ein Fußgängerüberweg temporär gesperrt ist) oder der Anpassung von Zonen (z.B. bei geänderter Art eines Verkehrsteilnehmers). Der entsprechend veränderte Zonengraph erlaubt eine frühzeitige Reaktion und entsprechende Verhaltensanpassung auf Änderungen. Diese Informationen können die Sicherheit des Fahrzeugs verbessern, z.B. im Fall von Informationen über verdeckte Straßenbehinderungen oder Verkehrsteilnehmern, sowie die Performanz des Fahrzeugs, z.B. im Fall einer Information über die temporäre Sperrung eines Fußgängerüberwegs, auf welchen das Fahrzeug dann gegebenenfalls keine Rücksicht mehr nehmen muss.
• Im dritten Anwendungsfall erhält das Fahrzeug über einen relevanten Straßenabschnitt, den es nutzen möchte, aber für den es keine oder nur unvollständige Zoneninformationen hat, einen kompletten Zonengraph, optionaler Weise in Verbindung mit digitalen Karteninformationen. Die Informationen können wieder von einer Infrastruktureinheit an der Straße oder von einem anderen Fahrzeug stammen. Einen gesamten Zonengraphen bereitzustellen, ist besonders vorteilhaft in Situationen, in denen entweder keine digitale Karte verfügbar ist (z.B. beim Befahren eines Parkplatzes, eines Industriegrundstücks, eines Hafengebiets oder eines Privatgrundstücks) oder in denen die aktuelle Straßengeometrie oder die logische Struktur der Verkehrsführung (z.B. Art der Kreuzung) deutlich von der verfügbaren Karte abweicht (z.B. im Fall von Bauarbeiten). In diesem Fall wird der vorhandene Zonengraph entweder komplett durch den über digitale Kommunikation empfangenen Zonengraphen ersetzt oder von diesem ergänzt.
• Die Berechnungsschritte für diese bevorzugte Ausgestaltung können wie folgt ablaufen:
1. 1. Ein Basis-Zonengraph wird abhängig von einer digitalen Karte erzeugt.
2. 2. Informationen über mindestens eine Zone werden von extern, insbesondere einer Infrastruktureinheit oder einem anderen Verkehrsteilnehmer übermittelt.
3. 3. Ein angepasster Zonengraph wird abhängig von den übermittelten Informationen und dem Basis-Zonengraph ermittelt.
4. 4. Eine Verhaltensplanung für das Fahrzeug erfolgt abhängig von dem angepassten Zonengraph.
• Diese Ausführungsform ermöglicht eine verbesserte Sicherheit und Performanz des Fahrzeugsystems. Insbesondere kann das System auf Änderungen reagieren, die es noch nicht selbst wahrnehmen kann, oder es kann die Konfidenz in der eigenen Wahrnehmung durch die zusätzlichen Informationen erhöhen. Der Verhaltensplaner benötigt keine Gründe für die angepassten Zonen, sondern kann die Informationen nutzen, ohne selbst angepasst zu werden. Werden ganze Zonengraphen zur Verfügung gestellt, ermöglicht das dem Fahrzeug, Gebiete zu befahren, für die es nicht über digitale Karteninformationen verfügt, somit kann sich der Betriebsbereich des Fahrzeugs signifikant erhöhen.
• In einer weiteren, bevorzugten Ausgestaltung der bevorzugten Verfahren werden die möglichen Abläufe von Fahrten entlang der Straße abhängig von Informationen über eine statische oder dynamische Verdeckung einer der bestimmten Zonen ermittelt.
• In dieser Ausgestaltung können Verdeckungen, die in Verkehrssituationen statisch und / oder dynamisch auftreten, systematisch behandelt werden. Durch die Verdeckungen bedingtes modifiziertes Verhalten gegenüber den unverdeckten Situationen wird systematisch abgeleitet. Für die systematische Behandlung von Verdeckungen werden statische und dynamische Verdeckungen unterschieden.
• Statische Verdeckungen sind ortsfest und durch Gebäude, sonstige bauliche Einrichtungen (z.B. Wände, Mauern etc.), die Topographie, dichte Vegetation etc. gegeben und unabhängig von anderen Umwelteinflüssen vorhanden. Sie können aus einer entsprechend detaillierten Karte oder einer Streckenanalyse für gegebene Routen vorab ermittelt werden.
• In einem ersten Beispiel zu dieser Ausgestaltung wird der Zonengraph einer Kreuzung betrachtet, die im Normalfall durch Verkehrsampeln geregelt wird und an der das betrachtete Fahrzeug rechts abbiegen soll. Dabei startet das Fahrzeug im Zonengraph unten in einer Zone vor dem Ampelbereich (Zone Y), überquert nach der Ampel einen ersten Fußgängerüberweg (Zone F1), fährt nach rechts abbiegend über den Kreuzungsbereich (Zone G), überquert nach dem Abbiegevorgang einen zweiten Fußgängerüberweg (Zone F2) und führt seine Fahrt dann auf gerader Strecke (Zone H) weiter fort. Der im Zonengraph von links auf die Kreuzung führende Straßenabschnitt ist mit der Zone J, der im Zonengraph von oben auf die Kreuzung führende Straßenabschnitt mit der Zone K bezeichnet. Der Gehwegbereich auf der rechten Seite des ersten Fußgängerüberwegs und der unteren Seite des zweiten Fußgängerüberwegs ist mit Zone M, der Gehwegbereich auf der oberen Seite des zweiten Fußgängerüberwegs mit Zone L bezeichnet.
• Der Fußgängerüberweg F2 ist vor der Haltelinie, die zur Verkehrsampel gehört und die sich vor dem Fußgängerüberweg F1 befindet, durch ein Gebäude verdeckt. Die Zone J ist zumindest partiell durch einen Baum verdeckt, während Zone K und Zone G für ein sich in Y befindliches Fahrzeug einsehbar sind. Auch die Ampel wird hier als statisch unverdeckt aufgefasst, wenn sich das Fahrzeug in Y befindet.
• Bedingt durch die statischen Verdeckungen wird der ursprüngliche Zonengraph in eine verzweigende Folge von partiellen Zonengraphen transformiert. Dabei werden auch zusätzlich neue Haltelinien eingeführt, wie z.B. eine „Sichtlinie (sight line)“ unmittelbar vor der Kreuzungszone G. Die statischen Verdeckungen sind durch entsprechende Overlay-Zonen angegeben.
• Der erste partielle Zonengraph beinhaltet wesentlich die Zone Y und ihre dynamische Subzonierung Y.A ... Y.E vor der der Ampel zugeordneten Haltelinie vor dem ersten Fußgängerüberweg F1. Die durch die verdeckenden Overlay-Zonen maskierten Zonen J, F2, L, M, H des ursprünglichen Zonengraphs sind durch spezielle Verdeckungszonen ersetzt, die beliebige partielle Zonengraphen des ursprünglichen Ausgangsgraphen enthalten können, mindestens aber eine Zone enthalten.
• Es muss Positionen im Fahrweg des Fahrzeugs geben, in denen sich die statischen Verdeckungen des Ausgangsgraphen auflösen. Die für das Fahrzeug frühest erreichbare Position für die Auflösung bestimmter statischer Verdeckungen wird vorzugsweise als Sichtlinie (sight line) für diese Verdeckungen eingefügt. Die Zuordnung zwischen den statischen Verdeckungen und der Sichtlinie, durch die diese Verdeckungen aufgehoben werden, sofern sich das Fahrzeug unmittelbar vor dieser Sichtlinie befindet, erfolgt durch geeignete „Occlusion-nullified“-Kanten zwischen den Verdeckungszonen und der betreffenden Sichtlinie im Zonengraphen.
• Muss das Fahrzeug vor F1 anhalten, so erfolgt, sobald es vor der betreffenden Haltelinie im zulässigen Abstand steht, ein Übergang in einen partiellen Zonengraphen, in dem die Zonen J, F2, L, M, H (zumindest teilweise) verdeckt sind. In diesem Fall bewegt sich das Fahrzeug nicht und der Referenzpunkt des Fahrzeugs (Mitte der vorderen Begrenzung) befindet sich korrekterweise in Y in der statisch definierten Zone direkt vor der Haltelinie. Befindet sich der Referenzpunkt des Fahrzeugs dagegen in Y zu weit entfernt von der Haltelinie für ein reguläres Warten, muss es sich ggf. unter Nutzung eines „Kriech-Modus“ in die Zone direkt vor der Haltelinie bewegen.
• Muss das Fahrzeug dagegen vor F1 nicht anhalten, belegt es die freie Zone F1 und hält unmittelbar vor der Kreuzungszone G, vor der Sichtlinie. Das bedeutet, dass ab jetzt der partielle Zonengraph für das geforderte Verhalten des HAD-Systems relevant ist, in dem die im vorigen Zonengraph verdeckten Zonen J, F2, L, M, H wieder (voll) einsehbar sind. Damit kann das Fahrzeug sein Verhalten, insbesondere die Entscheidung über das Einfahren in die Kreuzung oder das weitere Warten vor der Kreuzung in Abhängigkeit von den Belegungen und Bedrohungen dieser Zonen treffen, so wie es die Verkehrsregeln erfordern.
• Dynamische Verdeckungen von verhaltensrelevanten Verkehrselementen wie Verkehrsampeln und/oder Verkehrszeichen, wichtigen Zonen etc. können insbesondere durch Wetterphänomene (Wind bewegt belaubte Zweige / Äste vor Ampel), Beleuchtungsphänomene (Sonnenblendung behindert in bestimmten Positionen korrekte Wahrnehmung des Status der Verkehrsampel) oder durch andere Verkehrsteilnehmer (LKW verdeckt Fußgängerweg) erfolgen. Um diese zu berücksichtigen, werden die ursprünglichen Verhaltensräume ohne Verdeckungen, die insbesondere durch Zwicky-Boxen repräsentiert werden, formal transformiert.
• Dazu wird jede relevante Wahrnehmungsdimension, die dynamisch verdeckt sein kann, um die Alternative „verdeckt“ erweitert. Zum Beispiel kann der Verhaltensraum für „Status Ampelsignal“ von ursprünglich „grün“, „gelb“, „rot“, „rot auf gelb“, „gelb blinkend“, „aus“ um „verdeckt“ ergänzt werden. Die Alternative „verdeckt“ steht dabei für alle Alternativen der ursprünglich unverdeckten Wahrnehmung plus gegebener Verdeckung, d.h. die ursprüngliche Wahrnehmung ist nicht mehr relevant und die Belegung der Verdeckungsfrage für die ursprüngliche Wahrnehmung ist „ja“.
  Prinzipiell kann so die dynamische Verdeckung beliebiger verhaltensrelevanter Wahrnehmungen ausgedrückt werden. Dies kann sich auf Verkehrszeichen (z.B. mit wechselnden Geschwindigkeitsbeschränkungen, Spurrichtungswechselzeichen, etc.), Verkehrsampeln, kritische Fahrzonen wie Kreuzungszonen oder Fußgängerüberwege, sowie kritische Positionszonen wie z.B. Zonen auf Bürgersteigen in der unmittelbaren Nähe von Fußgängerüberwegen beziehen.
• Die neuen Kombinationen des erweiterten Verhaltensraums, bei denen mindestens eine Wahrnehmungsdimension dynamisch verdeckt ist, führen im Allgemeinen zu neuen Verhaltensweisen. Diese neuen Verhaltensweisen zeichnen sich vorzugsweise dadurch aus, dass sich das Fahrzeug relativ langsam und vorsichtig bewegen muss, solange die Verdeckung besteht. Der dynamische Wegfall der Verdeckung kann ja zu der für die Fortbewegung des Fahrzeugs ungünstigsten Alternative dieser Dimension führen, was meist eine Stopp-Anforderung des Fahrzeugs beinhaltet.
• Grundannahme ist hierbei allerdings, dass spätestens unmittelbar vor der Zone, für welche die unverdeckte Perzeption im schlimmsten Fall ein Stoppen erfordert, wie z.B. der Status „rot“ der Verkehrsampel vor der zugeordneten Haltelinie, die Perzeption unverdeckt ist. Dies ist bei dynamischer Verdeckung durch andere Verkehrsteilnehmer der Fall. Bei bestimmten Wetterphänomenen wie z.B. Blendung durch Gegenlicht kann es aber vorkommen, dass diese Annahme falsch ist.
• In diesem Fall liegt eine Wahrnehmungsausnahme vor, d.h. die Fähigkeiten des Fahrzeugs sind in diesem Fall nicht ausreichend, um eine sichere Weiterfahrt ohne weitere Zusatzeinrichtungen, und / oder -maßnahmen zu gewährleisten.
• Die Berechnungsschritte für diese Ausgestaltung können wie folgt ablaufen:
1. 1) Ein statischer Zonengraph wird abhängig von einer digitalen Karte und von Fahrzeugeigenschaften wie Länge oder Breite erstellt. Diesem zugeordnet ist ein Verhaltensraum ohne Verdeckungen.
2. 2) Statische Verdeckungen z.B. durch Gebäude, Topographie und Vegetation sowie über diese auflösenden Sichtlinien werden ermittelt und im Zonengraph berücksichtigt, insbesondere als Overlay-Zonen.
3. 3) Abhängig von dem statischen Zonengraph und den ermittelten Verdeckungen und Sichtlinien wird eine verzweigende Folge statischer Zonengraphen generiert.
4. 4) Abhängig von der verzweigenden Folge statischer Zonengraphen, dem Fahrzeugzustand und gegebenenfalls Informationen über weitere Verkehrsteilnehmer (inkl. Verhaltensmodellen) wird eine verzweigende Folge dynamischer Zonengraphen generiert.
5. 5) Aus der verzweigenden Folge dynamischer Zonengraphen und dem Verhaltensraum ohne Verdeckungen wird eine Folge von Verhaltensräumen ohne dynamische Verdeckungen generiert.
6. 6) Abhängig von Informationen über dynamisch verdeckte verhaltensrelevante Elemente und abhängig von der Folge von Verhaltensräumen ohne dynamische Verdeckungen wird eine Folge von Verhaltensräumen mit dynamischen Verdeckungen generiert.
7. 7) Abhängig von der Folge von Verhaltensräumen mit dynamischen Verdeckungen wird eine erweiterte Testsuite mit Berücksichtigung statischer und dynamischer Verdeckungen generiert.
• Diese Ausgestaltung ermöglicht das Ableiten eines sicheren Verhaltens für den Fall von Verdeckungen, das z.B. eine Geschwindigkeitsreduzierung oder einen Stopp des Fahrzeugs bedeuten kann. Das umfasst eine automatisierte Erkennung einer Perzeptionsausnahme ausgelöst durch eine Verdeckung. In diesem Fall erkennt das Fahrzeug, dass eine auf Basis des Zonengraphen für die Ableitung des korrekten Verhaltens erforderliche Perzeption aufgrund der Verdeckung nicht möglich ist, und leitet entsprechendes Ersatzverhalten ein.
• ZITATE ENTHALTEN IN DER BESCHREIBUNG
• Diese Liste der vom Anmelder aufgeführten Dokumente wurde automatisiert erzeugt und ist ausschließlich zur besseren Information des Lesers aufgenommen. Die Liste ist nicht Bestandteil der deutschen Patent- bzw. Gebrauchsmusteranmeldung. Das DPMA übernimmt keinerlei Haftung für etwaige Fehler oder Auslassungen.
• Zitierte Patentliteratur
• DE 102017207257 A1 [0006]
• DE 102018214999 A1 [0006]
• DE 102017216801 A1 [0006]
• Zitierte Nicht-Patentliteratur
• ISO 26262 [0090, 0091]
• ISO 25119 [0090, 0091]
• ISO 13489 [0090, 0091]

Claims (30)

1. Computerimplementiertes Verfahren zum Testen eines Fahrzeugsystems, gekennzeichnet durch die Schritte: - Daten einer digitalen Straßenkarte werden eingelesen, - für die digitale Straßenkarte werden Zonen bestimmt, - abhängig von den bestimmten Zonen werden mögliche Abläufe von Fahrten entlang einer Straße der digitalen Straßenkarte ermittelt, - in einer Simulation wird ein Verhalten des Fahrzeugsystems für mindestens einen der möglichen Abläufe ermittelt, - abhängig von einem Vergleich des ermittelten Verhaltens mit mindestens einer vorbestimmten Anforderung wird festgestellt, ob das Fahrzeugsystem einen Fehler oder eine Schwäche aufweist.
2. Verfahren nach Anspruch 1, dadurch gekennzeichnet, dass es in einem Fahrzeug während eines Fahrbetriebs durchgeführt wird.
3. Verfahren nach Anspruch 2, dadurch gekennzeichnet, dass eine Ersatzreaktion ausgeführt wird, auf ein redundantes Fahrzeugsystem umgeschaltet wird oder eine Fahrerwarnung ausgegeben wird, wenn ein Fehler oder eine Schwäche im Fahrzeugsystem festgestellt wird.
4. Verfahren nach einem der vorangegangenen Ansprüche, dadurch gekennzeichnet, dass die bestimmten Zonen mindestens eine statische Zone umfassen, deren Größe sich aus statischen Elementen der digitalen Straßenkarte ergibt, und mindestens eine dynamische Zone umfassen, deren Größe von einer Eigenschaft mindestens eines weiteren Verkehrsteilnehmers, insbesondere von einem dynamischen Zustand des weiteren Verkehrsteilnehmers, oder einer Eigenschaft eines das Fahrzeugsystem umfassenden Fahrzeugs, insbesondere von einem dynamischen Zustand des Fahrzeugs, abhängt.
5. Verfahren nach Anspruch 4, dadurch gekennzeichnet, dass die Eigenschaft des mindestens einen weiteren Verkehrsteilnehmer aus einem Verhaltensmodell zu dem Verkehrsteilnehmer ermittelt wird, insbesondere aus einem physikalischen Bewegungsmodell zu dem Verkehrsteilnehmer.
6. Verfahren nach einem der vorangegangenen Ansprüche, dadurch gekennzeichnet, dass die bestimmten Zonen von der digitalen Karte abstrahiert als logische Zonen bestimmt werden und dass zu den bestimmten Zonen der digitalen Karte ein Zonengraph ermittelt wird, abhängig von welchem die möglichen Abläufe ermittelt werden.
7. Verfahren nach Anspruch 6, dadurch gekennzeichnet, dass die möglichen Abläufe in Äquivalenzklassen unterteilt werden, wobei diejenigen der möglichen Abläufe der gleichen Äquivalenzklasse zugeordnet werden, bei denen für das Fahrzeugsystem ein gleiches Sollverhalten gilt.
8. Verfahren nach Anspruch 7, dadurch gekennzeichnet, dass abhängig von dem Zonengraph und den Äquivalenzklassen ein Phasengraph generiert wird, abhängig von welchem die möglichen Abläufe ermittelt werden.
9. Verfahren nach einem der Ansprüche 7 oder 8, dadurch gekennzeichnet, dass abhängig von der Unterteilung in Äquivalenzklassen ein Abdeckungsmaß für den Test des Fahrzeugsystems bestimmt wird.
10. Verfahren nach einem der vorangegangenen Ansprüche, dadurch gekennzeichnet, dass abhängig von der digitalen Karte, den bestimmten Zonen und den möglichen Abläufen Zonen identifiziert werden, für die eine Verdeckung kritisch ist.
11. Verfahren nach Anspruch 10, dadurch gekennzeichnet, dass ein Fehler oder eine Schwäche festgestellt wird, wenn für die identifizierten Zonen aus Eingangsgrößen eine mögliche Verdeckung festgestellt wird.
12. Verfahren nach Anspruch 11, dadurch gekennzeichnet, dass die Eingangsgrößen Informationen über externe Einflüsse, insbesondere Wetterdaten, Straßeninformationen, insbesondere Bebauungsinformationen, Informationen über weitere Verkehrsteilnehmer, insbesondere deren Größe, oder Informationen über Sensoren des Fahrzeugsystems umfassen.
13. Verfahren nach einem der Ansprüche 10 bis 12, dadurch gekennzeichnet, dass abhängig von den identifizierten Zonen Anforderungen für eine Perzeption des Fahrzeugsystems oder eines das Fahrzeugsystem umfassenden Fahrzeugs erstellt werden oder Trainingsdaten oder Testdaten für eine Perzeption des Fahrzeugsystems eines das Fahrzeugsystem umfassenden Fahrzeugs des Fahrzeugsystems erstellt werden oder ein Abdeckungsmaß für Trainingsdaten oder Testdaten für eine Perzeption des Fahrzeugsystems eines das Fahrzeugsystem umfassenden Fahrzeugs des Fahrzeugsystems bestimmt wird.
14. Verfahren nach einem der vorangegangenen Ansprüche, dadurch gekennzeichnet, dass eine Fehlernachricht ausgegeben wird oder das Fahrzeugsystem deaktiviert wird oder das Fahrzeugsystem in einen sicheren Zustand überführt wird, wenn ein Fehler oder eine Schwäche im Fahrzeugsystem festgestellt wird.
15. Verfahren nach einem der vorangegangenen Ansprüche, dadurch gekennzeichnet, dass das Fahrzeugsystem automatisch verbessert wird, wenn ein Fehler oder eine Schwäche im Fahrzeugsystem festgestellt wird.
16. Verfahren nach einem der vorangegangenen Ansprüche, dadurch gekennzeichnet, dass das Fahrzeugsystem ein Computerprogramm umfasst, welches abhängig von Sensorwerten Aktoreingriffe veranlasst, insbesondere indem es abhängig von den Sensorwerten eine Verhaltensplanung für ein Fahrzeug vornimmt und zu deren Realisierung Aktoreingriffe veranlasst.
17. Verfahren nach einem der vorangegangenen Ansprüche, dadurch, dass die digitale Karte Informationen über mindestens eine Straße und/ oder mindestens eine Freifläche enthält, insbesondere über Fahrbahnbreite, Fahrbahnbegrenzungen, Positionen oder Ausdehnungen von Straße oder Freifläche, Kurvenradien, Fahrbahnmarkierungen, Kreuzungen, Ampeln und Verkehrszeichen.
18. Verfahren nach einem der vorangegangenen Ansprüche, dadurch gekennzeichnet, dass die Ermittlung der möglichen Abläufe abhängt von Informationen über mindestens einen weiteren Verkehrsteilnehmer, insbesondere über ein Fahrzeug oder einen Fußgänger, oder von Informationen über ein Objekt, welches ein intendiertes Verhalten eines das Fahrzeugsystem umfassenden Fahrzeugs behindert.
19. Verfahren nach einem der vorangegangenen Ansprüchen, dadurch gekennzeichnet, dass die möglichen Abläufe abhängig von weiteren Eingangsgrößen ermittelt werden, insbesondere von Informationen über äußere Einflüsse, Informationen über weitere Verkehrsteilnehmer, Informationen über eine aktuelle oder geplante Route des Fahrzeugsystems oder eines das Fahrzeugsystem umfassenden Fahrzeugs, oder Informationen über das Fahrzeugsystem oder über ein das Fahrzeugsystem umfassendes Fahrzeug.
20. Verfahren nach einem der vorangegangenen Ansprüche, dadurch gekennzeichnet, dass die vorbestimmte Anforderung eine Verkehrsregel, eine Sicherheitsanforderung an ein Bewegungsverhalten des Fahrzeugsystems oder eines das Fahrzeugsystem umfassenden Fahrzeugs oder eine Komfortanforderung gemäß Spezifikation des Fahrzeugsystems oder eines das Fahrzeugsystem umfassenden Fahrzeugs umfasst.
21. Verfahren nach einem der vorangegangenen Ansprüche, dadurch gekennzeichnet, dass zur Ermittlung der möglichen Abläufe für eine digitale Karten Ergebnisse einer bereits erfolgten Ermittlung für Segmente der digitalen Karte herangezogen werden.
22. Verfahren nach Anspruch 21, dadurch gekennzeichnet, dass für einen Übergang zwischen den Segmenten eine neue Ermittlung der möglichen Abläufe erfolgt.
23. Verfahren nach einem der vorangegangenen Ansprüche, dadurch gekennzeichnet, dass die bestimmten Zonen um Attribute, insbesondere Sicherheitsattribute, ergänzt werden.
24. Verfahren nach Anspruch 23, dadurch gekennzeichnet, dass die bestimmten Zonen um Attribute ergänzt werden, die Konfidenzmetriken als Maß für eine geforderte Performanz oder Robustheit von Mess- und Prädiktionsfunktionen umfassen.
25. Verfahren nach einem der vorangegangenen Ansprüche, dadurch gekennzeichnet, dass die bestimmten Zonen um Attribute verschiedener Thematiken, insbesondere Sicherheit, Fahrdynamik, Geschwindigkeitsbegrenzung durch Verkehrszeichen, Lokalisierung, Feinjustierung in der Spur, erlaubtes Kollisionsrisiko, Betriebsbeschränkungen, Fahrstrategie, ergänzt werden.
26. Verfahren nach einem der vorangegangenen Ansprüche, dadurch gekennzeichnet, dass zusätzlich zu den für die digitale Straßenkarte bestimmten Zonen abhängig von externen Informationen, insbesondere ermittelt von einem anderen Verkehrsteilnehmer oder einer Infrastruktur, mindestens eine Zone ergänzt, entfernt oder modifiziert wird und dass die möglichen Abläufe von Fahrten entlang der Straße der digitalen Straßenkarte abhängig von den bestimmten Zonen und der mindestens einen ergänzten, entfernten oder modifizierten Zone ermittelt werden.
27. Verfahren nach einem der vorangegangenen Ansprüche, dadurch gekennzeichnet, dass die möglichen Abläufe von Fahrten entlang der Straße abhängig von Informationen über eine statische oder dynamische Verdeckung einer der bestimmten Zonen ermittelt werden.
28. Verfahren nach Anspruch 6, dadurch gekennzeichnet, dass der Zonengraph dynamisch an eine Verdeckung angepasst wird und dass abhängig von dem dynamisch angepassten Zonengraph die möglichen Abläufe ermittelt werden.
29. Computerprogramm, welches dazu eingerichtet ist, ein Verfahren nach einem der vorangegangenen Ansprüche durchzuführen.
30. Maschinenlesbarer Speicher, auf welchem ein Computerprogramm nach Anspruch 29 abgelegt ist.

Images