-
Die Erfindung betrifft ein System zum Ausführen von funktional gleichen Applikationen, ein Verfahren zum Ausführen von funktional gleichen Applikationen, ein Computerprogramm und ein maschinenlesbares Speichermedium.
-
Stand der Technik
-
Die Offenlegungsschrift
US 2021/00274145 A1 offenbart ein System und ein Verfahren zum verteilten Rechnen unter Verwendung von Grafikprozessoren.
-
Die Offenlegungsschrift
WO 2020/121292 A1 offenbart eine Datenverarbeitung in einer serverlosen Umgebung.
-
Die Patentschrift
US 10,698,625 B2 offenbart eine Daten-Pipeline-Architektur.
-
Offenbarung der Erfindung
-
Die der Erfindung zugrunde liegende Aufgabe ist darin zu sehen, ein Konzept zum Ausführen von funktional gleichen Applikationen bereitzustellen.
-
Diese Aufgabe wird mittels des jeweiligen Gegenstands der unabhängigen Ansprüche gelöst. Vorteilhafte Ausgestaltungen der Erfindung sind Gegenstand von jeweils abhängigen Unteransprüchen.
-
Nach einem ersten Aspekt wird ein System zum Ausführen von funktional gleichen Applikationen bereitgestellt, umfassend:
- ein mehrere Cloudinstanzen umfassendes Cloudsystem,
- wobei die mehreren Cloudinstanzen jeweils eingerichtet sind, jeweils eine funktional gleiche Applikation basierend auf gleichen Eingangsdaten auszuführen, wobei das jeweilige Ausführen ein Verarbeiten der Eingangsdaten durch die jeweilige Applikation umfasst, um jeweils ein Applikations-Ergebnis auszugeben, und
- eine Vergleichseinrichtung, welche eingerichtet ist, die jeweiligen Applikations-Ergebnisse zu vergleichen, um ein Vergleichsergebnis zu ermitteln und das ermittelte Vergleichsergebnis auszugeben.
-
Nach einem zweiten Aspekt wird ein Verfahren zum Ausführen von funktional gleichen Applikationen unter Verwendung eines mehrere Cloudinstanzen umfassenden Cloudsystems bereitgestellt, umfassend die folgenden Schritte: jeweiliges Ausführen einer funktional gleichen Applikation basierend auf gleichen Eingangsdaten auf den Cloudinstanzen, wobei das jeweilige Ausführen ein Verarbeiten der Eingangsdaten durch die jeweilige Applikation umfasst, um jeweils ein Applikations-Ergebnis auszugeben,
Vergleichen der jeweiligen Applikations-Ergebnisse, um ein Vergleichsergebnis zu ermitteln, und
Ausgeben des ermittelten Vergleichsergebnisses.
-
Nach einem dritten Aspekt wird ein Computerprogramm bereitgestellt, welches Befehle umfasst, die bei Ausführung des Computerprogramms durch einen Computer, beispielsweise durch das System nach dem ersten Aspekt, diesen veranlassen, ein Verfahren gemäß dem zweiten Aspekt auszuführen.
-
Nach einem vierten Aspekt wird ein maschinenlesbares Speichermedium bereitgestellt, auf dem das Computerprogramm nach dem dritten Aspekt gespeichert ist.
-
Die Erfindung basiert auf der Erkenntnis und schließt diese mit ein, dass die obige Aufgabe dadurch gelöst wird, indem mehrere Cloudinstanzen verwendet werden, um funktional gleiche Applikationen basierend auf den gleichen Eingangsdaten auszuführen. Dadurch wird zum Beispiel der technische Vorteil bewirkt, dass eine Hochverfügbarkeit der der funktional gleichen Applikationen entsprechenden Funktion bewirkt werden kann. Selbst wenn eine Cloudinstanz ausfallen sollte, so stehen immer noch eine oder mehrere weitere Cloudinstanzen zur Verfügung, um die Applikationen ausführen zu können, um so letztlich die Funktion bereitstellen zu können.
-
Dies ist insbesondere für Anwendungen von Vorteil, bei denen es auf Sicherheit und Hochverfügbarkeit ankommt. Ein Beispiel, welches nachfolgend später erläutert wird, ist das zumindest teilautomatisierte Führen eines Kraftfahrzeugs. Hier werden Eingangsdaten, beispielsweise Umfelddaten, welche ein Umfeld des Kraftfahrzeugs beschreiben, verarbeitet, um zum Beispiel Objekte im Umfeld des Kraftfahrzeugs zu detektieren. Basierend auf den detektierten Objekten werden zum Beispiel Steuersignale zum zumindest teilautomatisierten Steuern einer Quer- und/oder Längsführung des Kraftfahrzeugs erzeugt und ausgegeben. Es besteht bei diesem Verarbeiten ein Bedarf an Hochverfügbarkeit.
-
Dadurch, dass mehrere funktional gleiche Applikationen ausgeführt werden, welche die gleichen Eingangsdaten verarbeiten, stehen entsprechend mehrere Applikations-Ergebnisse, also die Ergebnisse der Schritte des Verarbeitens der gleichen Eingangsdaten durch die Applikationen, zur Verfügung. Basierend auf diesen Ergebnissen werden zum Beispiel Entscheidungen getroffen und/oder Maßnahmen durchgeführt und/oder Maschinen gesteuert. Insbesondere in sicherheitskritischen Umgebungen besteht ein Bedarf, dass die Ergebnisse zuverlässig sind, dass ihnen vertraut werden kann, dass sie also korrekt sind.
-
Im Idealfall sollten alle Applikationen zum gleichen Ergebnis gelangen, zumindest im Rahmen von üblichen Toleranzen. Sofern die Ergebnisse zumindest teilweise unterschiedlich sind, kann dies ein Zeichen dafür sein, dass den Ergebnissen zum Beispiel nicht getraut oder nur eingeschränkt getraut werden kann. Zum Beispiel wird in einem solchen Fall eine Sicherheitsmaßnahme durchgeführt: Zum Beispiel wird eine Maschine in einen sicheren Zustand gefahren.
-
Im vorstehenden Beispiel des zumindest teilautomatisierten Führen eines Kraftfahrzeugs kann zum Beispiel vorgesehen sein, dass die Steuersignale derart erzeugt werden, dass bei einem zumindest teilautomatisierten Steuern der Quer- und/oder Längsführung des Kraftfahrzeugs basierend auf den Steuersignalen das Kraftfahrzeug verzögert und zum Beispiel anhält oder zum Beispiel mit einer geringeren Geschwindigkeit weiterfährt als vor der Verzögerung und/oder einen Abstand zu einem vorausfahrenden Verkehrsteilnehmer, beispielsweise einem Kraftfahrzeug oder einem Fahrradfahrer, vergrößert.
-
Dadurch, dass mehrere Applikations-Ergebnisse zur Verfügung stehen, kann zum Beispiel im Rahmen des Vergleichs ermittelt werden, welche Ergebnisse die Mehrheit bilden, sodass das der Mehrheit entsprechende Ergebnis als gültig, also als richtig, angesehen wird. Dadurch können zum Beispiel die hohen Anforderungen, welche an sicherheitskritische Anwendungen gestellt, erfüllt werden. Solche Anforderungen sind zum Beispiel in der ISO 26262 definiert.
-
Zusammenfassend wird ein Konzept zum Ausführen von funktional gleichen Applikationen bereitgestellt, welches eine Hochverfügbarkeit bewirkt und welches hohe Sicherheitsanforderungen erfüllt.
-
Nach einer Ausführungsform des Systems ist vorgesehen, dass in den Cloudinstanzen jeweils eine Kubernetes-basierte Überwachung implementiert ist, welche eingerichtet ist, das Ausführen der Applikation zu überwachen.
-
Dadurch wird zum Beispiel der technische Vorteil bewirkt, dass das Ausführen der Applikation effizient überwacht werden kann. Eine Kubernetes-basierte Überwachung umfasst zum Beispiel eine Kubernetes-Plattform und/oder eine Kubernetes-Infrastruktur. Die Kubernetes-basierte Überwachung kann zum Beispiel in Hardware und/oder in Software implementiert sein.
-
In einer Ausführungsform des Systems ist vorgesehen, dass die Vergleichseinrichtung eingerichtet ist, die jeweiligen Applikations-Ergebnisse Lockstep-basierend zu vergleichen.
-
Dadurch wird zum Beispiel der technische Vorteil bewirkt, dass die Applikations-Ergebnisse effizient verglichen werden können.
-
Gemäß dieser Ausführungsform ist also vorgesehen, dass der Lockstep, wie er bisher bei Mikrocontrollern und Prozessoren angewandt wurde, auf die Cloud übertragen wird. Lockstep-basierend bedeutet also, dass das Verarbeiten der Eingangsdaten durch zwei oder mehr ausführenden Einheiten (Anwendungen) auf jeweils einer Cloud-Infrastruktur verteilt, also mehrfach, ausgeführt wird. Die Applikationen berechnen unabhängig voneinander ein Applikations-Ergebnis. Diese Applikations-Ergebnisse werden zusammengeführt und miteinander verglichen. Ist der Vergleich erfolgreich, wird das Applikations-Ergebnis zur Weiterverarbeitung genutzt und ansonsten verworfen oder als nicht verlässlich gekennzeichnet (Konfidenz).
-
Der Vergleich kann zum Beispiel ein exakter sein und jeweils ein Vergleichen der kompletten Applikations-Ergebnisse umfassen. Der Vergleich kann zum Beispiel auch aus Effizienzgründen nur jeweils eine Prüfsumme und/oder Hash und/oder Fingerprint der Applikations-Ergebnisse vergleichen.
-
Ein fehlerhafter Vergleich führt zum Beispiel bei zwei Cloud-Instanzen zum Verwerfen des Applikations-Ergebnisses. Bei mehreren Cloud-Instanzen kann der Lockstep-Mechanismus zum Beispiel in eine Mehrheitsbewertung mit einer Fehlerkorrektur oder Bewertung des einzelnen Applikationsergebnisses mit einem Grad an Verlässlichkeit übergehen.
-
Die Verteilung kann sich zum Beispiel je nach Fehlerszenarien auf verschiedene Hardware-Instanzen im selben Rechenzentrum beschränken, sich zum Beispiel zusätzlich oder anstelle auf verschiedene netztechnisch getrennte Cloud-Instanzen (auf Englisch: „availability zones“; „Verfügbarkeitszonen“) oder geographisch verteilte Cloud-Instanzen beziehen. Das hängt insbesondere von den Sicherheitsanforderungen und verwendeten Fehlerszenarien ab.
-
Der Berechnung kann zum Beispiel von identischen Anwendungen durchgeführt werden, aber zum Beispiel zusätzlich oder anstelle auch von Anwendungen, die nur funktional identisch sind, ansonsten aber unterschiedliche Algorithmen, Programmiersprachen oder -techniken verwenden, ebenfalls abhängig von den betrachteten Fehlerszenarien.
-
In einer Ausführungsform des Systems ist vorgesehen, dass die Vergleichseinrichtung eingerichtet ist, die jeweiligen Applikations-Ergebnisse zu bewerten, sodass das Vergleichen der jeweiligen Applikations-Ergebnisse ein Vergleichen der bewerteten Applikations-Ergebnisse umfasst.
-
Dadurch wird zum Beispiel der technische Vorteil bewirkt, dass die Applikations-Ergebnisse effizient verglichen werden können.
-
Das Applikations-Ergebnisse werden zum Beispiel verwendet, zum Beispiel bei Gleichheit oder zum Beispiel nach Mehrheitsvotum, oder zum Beispiel verworfen, zum Beispiel bei Ungleichheit, im Fehlerfall und/oder bei Minderheit.
-
Zum Beispiel handelt es sich beim Vergleich um eine Prüfung, dass die Darstellung der Applikations-Ergebnisse als Bitfolge in allen Fällen identisch ist.
-
Gemäß einer Ausführungsform ist vorgesehen, dass der Vergleich umfasst, die Applikations-Ergebnisse jeweils auf eine Prüfsumme und/oder einen Fingerprint und/oder eine komprimierte Darstellung zu reduzieren und diese zu vergleichen.
-
Insbesondere bei einer großen Anzahl von Applikations-Ergebnissen und/oder bei Applikations-Ergebnissen, welche eine Vielzahl an, insbesondere unterschiedlichen, Informationen beschreiben, z.B. Objektlisten von Objekten im Umfeld eines Kraftfahrzeugs, wobei der Zustand jedes Objekts zum Beispiel durch eine Menge Attribute beschrieben wird, ist ein solches Vorgehen effizient und sinnvoll, insofern zum Beispiel weniger Daten für den Vergleich verarbeitet werden müssen, was den Vergleich beschleunigen kann,
-
In einer Ausführungsform ist vorgesehen, dass das Bewerten umfasst, dass festgelegt wird, dass bei Rundungsunterschieden und/oder Reihenfolgen in (Objekt-Listen) und/oder ähnlichen Abweichungen zwischen zwei oder mehr Applikations-Ergebnisse diese dennoch jeweils gleich sind.
-
Wird das Verarbeiten der Eingangsdaten nicht durch identische, sondern nur funktional gleiche Applikationen ermittelt, kann es notwendig und sinnvoll sein, beim Vergleich Rundungsunterschiede und/oder Reihenfolgen in Objekt-Listen und/oder ähnliche Abweichungen zu berücksichtigen und die jeweiligen Applikations-Ergebnisse dennoch als gleich zu bewerten.
-
In einer Ausführungsform des Systems ist vorgesehen, dass die jeweiligen Applikations-Ergebnisse abhängig von der jeweiligen Cloudinstanz zu bewerten, in welcher die entsprechende Applikation ausgeführt wurde.
-
Dadurch wird zum Beispiel der technische Vorteil bewirkt, dass die Applikations-Ergebnisse effizient bewertet werden können.
-
In einer Ausführungsform des Systems ist vorgesehen, dass die Cloudinstanzen jeweils durch eine oder mehrere der folgenden Cloudinstanzattribute charakterisiert sind, wobei die Vergleichseinrichtung eingerichtet ist, die jeweiligen Applikations-Ergebnisse abhängig von einem oder mehrere der Cloudinstanzattribute zu bewerten: Ort, Rechenkapazität, Bandbreite.
-
Dadurch wird zum Beispiel der technische Vorteil bewirkt, dass die jeweiligen Applikations-Ergebnisse effizient bewertet werden können.
-
In einer Ausführungsform des Systems ist vorgesehen, dass die der funktional gleichen Applikationen entsprechende Funktion eine zumindest teilautomatisierte Fahrfunktion, insbesondere eine infrastrukturbasierte zumindest teilautomatisierte Fahrfunktion, umfasst.
-
Dadurch wird zum Beispiel der technische Vorteil bewirkt, dass eine besonders wichtige Funktion zur Verfügung gestellt wird. Insbesondere wird dadurch der technische Vorteil bewirkt, dass Sicherheitsanwendungen, wie sie im Rahmen des zumindest teilautomatisierten Führens eines Kraftfahrzeugs erfüllt sein müssen, effizient erfüllt werden können.
-
In einer Ausführungsform des Systems ist vorgesehen, dass die Eingangsdaten Umfelddaten umfassen, welche ein Umfeld eines Kraftfahrzeugs repräsentieren, wobei das Verarbeiten der Eingangsdaten durch die jeweilige Applikation ein Analysieren der Umfelddaten umfasst, um ein oder mehrere Objekte in dem Umfeld des Kraftfahrzeugs zu detektieren, wobei das jeweilige Applikations-Ergebnis eine Objektliste umfasst, welche das oder die detektierten Objekte in dem Umfeld des Kraftfahrzeugs angibt.
-
Dadurch wird zum Beispiel der technische Vorteil bewirkt, dass die so erstellte Objektliste im Rahmen einer zumindest teilautomatisierten Fahrfunktion effizient und sicher verwendet werden kann.
-
In einer Ausführungsform des Verfahrens ist vorgesehen, dass in den Cloudinstanzen jeweils eine Kubernetes-basierte Überwachung implementiert ist, welche das Ausführen der Applikation überwacht.
-
In einer Ausführungsform des Verfahrens ist vorgesehen, dass die jeweiligen Applikations-Ergebnisse Lockstep-basierend verglichen werden.
-
In einer Ausführungsform des Verfahrens ist vorgesehen, dass die jeweiligen Applikations-Ergebnisse bewertet werden, sodass das Vergleichen der jeweiligen Applikations-Ergebnisse ein Vergleichen der bewerteten Applikations-Ergebnisse umfasst.
-
In einer Ausführungsform des Verfahrens ist vorgesehen, dass die jeweiligen Applikations-Ergebnisse abhängig von der jeweiligen Cloudinstanz bewertet werden, in welcher die entsprechende Applikation ausgeführt wurde.
-
In einer Ausführungsform des Verfahrens ist vorgesehen, dass die Cloudinstanzen jeweils durch eine oder mehrere der folgenden Cloudinstanzattribute charakterisiert sind, wobei die jeweiligen Applikations-Ergebnisse abhängig von einem oder mehrere der Cloudinstanzattribute bewertet werden: Ort, Rechenkapazität, Bandbreite.
-
In einer Ausführungsform des Verfahrens ist vorgesehen, dass die der funktional gleichen Applikationen entsprechende Funktion eine zumindest teilautomatisierte Fahrfunktion, insbesondere eine infrastrukturbasierte zumindest teilautomatisierte Fahrfunktion, umfasst.
-
In einer Ausführungsform des Verfahrens ist vorgesehen, dass die Eingangsdaten Umfelddaten umfassen, welche ein Umfeld eines Kraftfahrzeugs repräsentieren, wobei das Verarbeiten der Eingangsdaten durch die jeweilige Applikation ein Analysieren der Umfelddaten umfasst, um ein oder mehrere Objekte in dem Umfeld des Kraftfahrzeugs zu detektieren, wobei das jeweilige Applikations-Ergebnis eine Objektliste umfasst, welche das oder die detektierten Objekte in dem Umfeld des Kraftfahrzeugs angibt.
-
An dieser Stelle wird angemerkt, dass es bei den Eingangsdaten um beliebige Daten handeln kann. Das hier beschriebene Konzept kann prinzipiell für alle Arten von Cloud-Anwendungen verwendet werden.
-
Gemäß der vorstehenden Ausführungsform können die Eingangsdaten Umfelddaten sein, welche ein Umfeld eines Kraftfahrzeugs beschreiben. Umfelddaten umfassen zum Beispiel Umfeldsensordaten von einem oder von mehreren Umfeldsensoren, zum Beispiel Umfeldsensorrohdaten, beispielsweise in Form von jpeg und/oder Pixelwolken, und/oder vorverarbeitete Umfeldsensorrohdaten, zum Beispiel in Form von Objektlisten von Objekten im Umfeld des Kraftfahrzeugs. Umfelddaten beschreiben insbesondere eine Verkehrssituation einer observierten Örtlichkeit, insbesondere ganz oder in Ausschnitten (räumlich, zeitlich, spektral (Sichtbares Licht, Infrarot, Mikrowelle etc.).
-
Ein Umfeldsensor ist zum Beispiel einer der folgenden Umfeldsensoren: Radarsensor, Videosensor, Lidarsensor, Magnetfeldsensor, Infrarotsensor, Mikrowellensensor, Ultraschallsensor. Ein Umfeldsensor kann zum Beispiel ein Umfeldsensor des Kraftfahrzeugs sein. Ein Umfeldsensor kann zum Bei spiel ein Umfeldsensor einer Infrastruktur sein.
-
Ein Applikationsergebnis umfasst gemäß einer Ausführungsform, insbesondere wenn die Eingangsdaten die vorstehend genannten Umfelddaten umfassen, Objektlisten, die die Verkehrssituation der betrachteten Örtlichkeit beschreiben, sowohl statischer als auch dynamischer Objekte und/oder Steuerinformationen für einzelne Kraftfahrzeug, die deren Fahrkontrolle unterstützen.
-
Applikations-Ergebnisse werden zum Beispiel innerhalb der Cloud-Instanz weiterverarbeitet, und/oder werden zum Beispiel nach außen, zum Beispiel an ein Kraftfahrzeug, gesendet.
-
Ausführungen, die im Zusammenhang mit dem System gemacht sind, gelten analog für das Verfahren und umgekehrt.
-
Nach einer Ausführungsform ist vorgesehen, dass das Verfahren nach dem zweiten Aspekt ein computerimplementiertes Verfahren ist.
-
Eine zumindest teilautomatisierte Fahrfunktion kann das Kraftfahrzeug zumindest teilautomatisiert führen.
-
Die Formulierung „zumindest teilautomatisiertes Führen“ umfasst einen oder mehrere der folgenden Fälle: assistiertes Führen, teilautomatisiertes Führen, hochautomatisiertes Führen, vollautomatisiertes Führen. Die Formulierung „zumindest teilautomatisiert“ umfasst also einen oder mehrere der folgenden Formulierungen: assistiert, teilautomatisiert, hochautomatisiert, vollautomatisiert.
-
Assistiertes Führen bedeutet, dass ein Fahrer des Kraftfahrzeugs dauerhaft entweder die Quer- oder die Längsführung des Kraftfahrzeugs ausführt. Die jeweils andere Fahraufgabe (also ein Steuern der Längs- oder der Querführung des Kraftfahrzeugs) wird automatisch durchgeführt. Das heißt also, dass bei einem assistierten Führen des Kraftfahrzeugs entweder die Quer- oder die Längsführung automatisch gesteuert wird.
-
Teilautomatisiertes Führen bedeutet, dass in einer spezifischen Situation (zum Beispiel: Fahren auf einer Autobahn, Fahren innerhalb eines Parkplatzes, Überholen eines Objekts, Fahren innerhalb einer Fahrspur, die durch Fahrspurmarkierungen festgelegt ist) und/oder für einen gewissen Zeitraum eine Längs- und eine Querführung des Kraftfahrzeugs automatisch gesteuert werden. Ein Fahrer des Kraftfahrzeugs muss selbst nicht manuell die Längs -und Querführung des Kraftfahrzeugs steuern. Der Fahrer muss aber das automatische Steuern der Längs- und Querführung dauerhaft überwachen, um bei Bedarf manuell eingreifen zu können. Der Fahrer muss jederzeit zur vollständigen Übernahme der Kraftfahrzeugführung bereit sein.
-
Hochautomatisiertes Führen bedeutet, dass für einen gewissen Zeitraum in einer spezifischen Situation (zum Beispiel: Fahren auf einer Autobahn, Fahren innerhalb eines Parkplatzes, Überholen eines Objekts, Fahren innerhalb einer Fahrspur, die durch Fahrspurmarkierungen festgelegt ist) eine Längs- und eine Querführung des Kraftfahrzeugs automatisch gesteuert werden. Ein Fahrer des Kraftfahrzeugs muss selbst nicht manuell die Längs -und Querführung des Kraftfahrzeugs steuern. Der Fahrer muss das automatische Steuern der Längs- und Querführung nicht dauerhaft überwachen, um bei Bedarf manuell eingreifen zu können. Bei Bedarf wird automatisch eine Übernahmeaufforderung an den Fahrer zur Übernahme des Steuerns der Längs- und Querführung ausgegeben, insbesondere mit einer ausreichenden Zeitreserve ausgegeben. Der Fahrer muss also potenziell in der Lage sein, das Steuern der Längs- und Querführung zu übernehmen. Grenzen des automatischen Steuerns der Quer- und Längsführung werden automatisch erkannt. Bei einem hochautomatisierten Führen ist es nicht möglich, in jeder Ausgangssituation automatisch einen risikominimalen Zustand herbeizuführen.
-
Vollautomatisiertes Führen bedeutet, dass in einer spezifischen Situation (zum Beispiel: Fahren auf einer Autobahn, Fahren innerhalb eines Parkplatzes, Überholen eines Objekts, Fahren innerhalb einer Fahrspur, die durch Fahrspurmarkierungen festgelegt ist) eine Längs- und eine Querführung des Kraftfahrzeugs automatisch gesteuert werden. Ein Fahrer des Kraftfahrzeugs muss selbst nicht manuell die Längs -und Querführung des Kraftfahrzeugs steuern. Der Fahrer muss das automatische Steuern der Längs- und Querführung nicht überwachen, um bei Bedarf manuell eingreifen zu können. Vor einem Beenden des automatischen Steuerns der Quer- und Längsführung erfolgt automatisch eine Aufforderung an den Fahrer zur Übernahme der Fahraufgabe (Steuern der Quer- und Längsführung des Kraftfahrzeugs), insbesondere mit einer ausreichenden Zeitreserve. Sofern der Fahrer nicht die Fahraufgabe übernimmt, wird automatisch in einen risikominimalen Zustand zurückgeführt. Grenzen des automatischen Steuerns der Quer- und Längsführung werden automatisch erkannt. In allen Situationen ist es möglich, automatisch in einen risikominimalen Systemzustand zurückzuführen.
-
Nach einer Ausführungsform ist vorgesehen, dass das Verfahren gemäß dem zweiten Aspekt mittels des Systems nach dem ersten Aspekt ausgeführt oder durchgeführt wird.
-
Systemmerkmale ergeben sich insbesondere aus entsprechenden Verfahrensmerkmalen und umgekehrt. D. h. also insbesondere, dass sich technische Funktionalitäten des Systems nach dem ersten Aspekt analog aus entsprechenden technischen Funktionalitäten des Verfahrens nach dem zweiten Aspekt und umgekehrt ergeben.
-
Die hier beschriebenen Ausführungsbeispiele und Ausführungsformen können in beliebiger Kombination miteinander kombiniert werden, auch wenn dies nicht explizit beschrieben ist.
-
Eine zumindest teilautomatisierte Fahrfunktion ist gemäß einer Ausführungsform ein Element ausgewählt aus der folgenden Gruppe von zumindest teilautomatisierte Fahrfunktionen: Stauassistenzfunktion, Parkassistenzfunktion, Spurhalteassistenzfunktion, Überholassistenzfunktion, Längsführungsfunktion, Querführungsfunktion, Längs- und Querführungsfunktion.
-
Dadurch wird z. B. der technische Vorteil bewirkt, dass besonders geeignete zumindest teilautomatisierte Fahrfunktionen gewählt werden können.
-
Ein Umfeldsensor im Sinne der Beschreibung ist gemäß einer Ausführungsform einer der folgenden Umfeldsensoren: Radarsensor, LiDAR-Sensor, Ultraschallsensor, Videosensor, Magnetfeldsensor, kapazitativer Sensor, Temperatursensor, Feuchtigkeitssensor, Luftfeuchtigkeitssensor, Audiosensor und Infrarotsensor.
-
In einer Ausführungsform sind die mehreren Cloudinstanzen räumlich verteilt, zum Beispiel auf mehrere Ländern, zum Beispiel auf mehrere Kontinent verteilt.
-
Eine Cloudinstanz ist zum Beispiel wie folgt definiert, umfasst also zum Beispiel folgende Merkmale: Eine Kommunikationsschnittstelle zum Kommunizieren, also insbesondere zum Empfangen der Eingangsdaten und zum Senden des Applikations-Ergebnisses über ein Kommunikationsnetzwerk, und eine Recheneinheit zum Ausführen der Applikation.
-
Eine Cloudinstanz ist zum Beispiel eine Kubernetes-Plattform in der Azure Cloud und stellt zum Beispiel Services auf der Basis von Docker-Container zur Verfügung.
-
Die Cloudinstanz ist zum Beispiel derart eingerichtet, dass die Applikation skalierbar aufgesetzt werden kann und deren Konfiguration und deren Betrieb automatisiert werden kann. Das umfasst zum Beispiel das Aufsetzen von Instanzen, deren Verteilung auf verschiedene (räumlich getrennte, unabhängige) Verfügbarkeitszonen („availability zones“), deren Überwachung und gegebenenfalls Neuinstanziierung ein.
-
Ausführungsbeispiele der Erfindung sind in den Zeichnungen dargestellt und in der nachfolgenden Beschreibung näher erläutert. Es zeigen:
- 1 ein erstes System zum Ausführen von funktional gleichen Applikationen,
- 2 ein Ablaufdiagramm eines Verfahrens zum Ausführen von funktional gleichen Applikationen,
- 3 ein maschinenlesbares Speichermedium,
- 4 mehrere Cloudinstanzen,
- 5 eine Kubernetes-basierte Überwachung und
- 6 ein zweites System zum Ausführen von funktional gleichen Applikationen.
-
1 zeigt ein erstes System 101 zum Ausführen von funktional gleichen Applikationen.
-
Das System 101 umfasst eine erste Cloudinstanz 103, eine zweite Cloudinstanz 105 und eine dritte Cloudinstanz 107. Die erste Cloudinstanz 103 ist eingerichtet, eine erste Applikation 109 auszuführen. Die zweite Cloudinstanz 105 ist eingerichtet, eine zweite Applikation 111 auszuführen. Die dritte Cloudinstanz 107 ist eingerichtet, eine dritte Applikation 113 auszuführen. Bei den drei Applikationen 109, 111, 113 handelt es sich um funktional gleiche Applikationen. Dies bedeutet, dass die drei Applikationen 109, 111, 113 eine gleiche Funktion ausführen. Zum Beispiel können die drei Applikationen 109, 111, 113 identisch sein oder zum Beispiel können Sie sich hinsichtlich ihrer Programmiersprache unterscheiden.
-
Die Cloudinstanzen 103, 105, 107 führen diese funktional gleichen Applikationen 109, 111, 113 basierend auf jeweils gleichen Eingangsdaten aus, wobei das jeweilige Ausführen ein Verarbeiten der Eingangsdaten durch die jeweilige Applikation 109, 111, 113 umfasst, um jeweils ein Applikations-Ergebnis auszugeben.
-
Das erste System 101 umfasst weiter eine Vergleichseinrichtung 115, welche eingerichtet ist, die jeweiligen Applikations-Ergebnisse zu vergleichen, um ein Vergleichsergebnis zu ermitteln und das ermittelte Vergleichsergebnis auszugeben.
-
2 zeigt ein Ablaufdiagramm eines Verfahrens zum Ausführen von funktional gleichen Applikationen unter Verwendung eines mehrere Cloudinstanzen umfassenden Cloudsystems, umfassend die folgenden Schritte: jeweiliges Ausführen 201 einer funktional gleichen Applikation basierend auf gleichen Eingangsdaten auf den Cloudinstanzen, wobei das jeweilige Ausführen 201 ein Verarbeiten 203 der Eingangsdaten durch die jeweilige Applikation umfasst, um jeweils ein Applikations-Ergebnis auszugeben 205, Vergleichen 207 der jeweiligen Applikations-Ergebnisse, um ein Vergleichsergebnis zu ermitteln, und Ausgeben 209 des ermittelten Vergleichsergebnisses.
-
3 zeigt ein maschinenlesbares Speichermedium 301, auf dem ein Computerprogramm 303 gespeichert ist. Das Computerprogramm 303 umfasst Befehle, die bei Ausführung des Computerprogramms 303 durch einen Computer diesen veranlassen, ein Verfahren gemäß dem zweiten Aspekt auszuführen.
-
4 zeigt eine Cloud-Infrastruktur 401, welche verteilt auf eine erste Region 403, eine zweite Region 405 und eine dritte Region 407 implementiert ist, also verteilt ist.
-
Die drei Regionen 403, 405, 407 können sich zum Beispiel sich auf unterschiedlichen Kontinenten befinden.
-
Beispielhaft ist die zweite Region 405 in eine erste Zone 409, eine zweite Zone 411 und eine dritte Zone 413 unterteilt. Beispielhaft befinden sich innerhalb der ersten Zone 409 ein erstes Rechenzentrum 415, ein zweites Rechenzentrum 417 und ein drittes Rechenzentrum 419.
-
Beispielhaft sind in dem dritten Rechenzentrum 419 eine erste Cloudinstanz 421, eine zweite Cloudinstanz 423 und eine dritte Cloudinstanz 425 implementiert, also eingerichtet.
-
Obwohl in 4 nicht gezeigt, können auch für die erste Region 403 und die dritte Region 407 analog zur zweiten Region 405 entsprechende Zonen mit entsprechenden Rechenzentren mit entsprechenden Cloudinstanzen vorgesehen sein. Obwohl nicht gezeigt, können zum Beispiel für die zweite Zone 411 und für die dritte Zone 413 entsprechende Rechenzentren mit entsprechenden implementierten Cloudinstanzen vorgesehen sein. Obwohl nicht gezeigt, können zum Beispiel für das erste Rechenzentrum 415 und für das zweite Rechenzentrum 417 entsprechende Cloudinstanzen implementiert, also eingerichtet, sein.
-
5 zeigt eine Kubernetes-basierte Überwachung 501.
-
Die Kubernetes-basierte Überwachung 501 umfasst einen Kubernetes-Cluster 503. Der Kubernetes-Cluster 503 umfasst eine Cloud-Provider-API 505, über welche Eingangsdaten empfangen und Applikations-Ergebnisse ausgegeben, also zum Beispiel gesendet, werden können.
-
Der Kubernetes-Cluster 503 umfasst eine erste Node 507, eine zweite Node 509 und eine dritte Node 511.
-
Die erste Node 507 umfasst einen ersten Kube-Proxy 513. Die zweite Node 509 umfasst einen zweiten Kube-Proxy 515. Die dritte Node 511 umfasst einen dritten Kube-Proxy 517.
-
Die erste Node 507 umfasst einen ersten Kubelet 519. Die zweite Node 509 umfasst einen zweite Kubelet 521. Die dritte Node 511 umfasst einen dritten Kubelet 523.
-
Die drei Noden 507, 509, 511 sind Kubernetes-Noden, auch Minion, genannt.
-
Der Kubernetes-Cluster 503 umfasst eine Steuerebene 525, innerhalb welcher mehrere Scheduler 527, mehrere Controller-Manager 529, mehrere API Server 531 und mehrere Cloud-Controller-Manager 533 implementiert sind.
-
In der Steuerebene 525 ist weiter ein etcd 535 implementiert.
-
Eine Kubernetes-basierte Überwachung ist zum Beispiel nach der sogenannten Master-Slave-Architektur aufgebaut. Der Control Plane (Master) steuert mit seinen Komponenten die Nodes (Minions), auf welchen die Container, in welchen die Applikationen ausgeführt werden, laufen.
-
Nachfolgend werden verschiedene Merkmale einer Kubernetes-basierten Überwachung erläutert:
- Kubernetes Control Plane (Steuerebene 525):
-
Der Kubernetes Control Plane (ehem. Master) ist die Steuereinheit des Clusters, welcher die Pods und die darin enthaltenen Container auf die Nodes verteilt und verwaltet. Zur Verwaltung dieser Aufgaben existieren mehrere Prozesse. Diese können auf einem einzelnen Control Plane oder - zwecks Hochverfügbarkeit - auf mehreren verteilt sein. Die Prozesse teilen sich auf in:
etcd:
- Der etcd ist eine von CoreOS entwickelte persistente, leichtgewichtige, verteilte Key-Value-Datenbank zur Speicherung der Konfiguration des Kubernetes Clusters. Diese enthält den Gesamtstatus des Clusters und wird vom API-Server unterhalten.
-
API Server:
-
Der API Server ist eine der wichtigsten Komponenten der Architektur. Er versorgt alle anderen Komponenten bzw. Dienste, interne wie externe, mit JSONformatierten Informationen über eine REST-Schnittstelle. Der API Server speichert alle Informationen persistent im etcd. Die Autorisierung kann über verschiedene Mechanismen erfolgen.
-
Scheduler:
-
Der Scheduler entscheidet als eigenständige Komponente, auf welchem Node ein Pod gestartet wird. Dies ist abhängig von den zur Verfügung stehenden Ressourcen. Er verwaltet die Auslastung der Nodes und überwacht deren Last. Dafür muss der Scheduler die Anforderungen an die Ressourcen eines jeden Pods kennen. Berücksichtigt werden dabei Richtlinien wie QoS, Node-Zugehörigkeiten und z. B. Orte der Nodes im Cluster (Rechenzentren).
-
Controller Manager:
-
Der Controller Manager ist jener Prozess, welcher alle Kontrollmechanismen enthält, in dem z. B. ein DaemonSet oder ein Replication Controller laufen. Er kommuniziert mit dem API Server, um alle Status zu lesen und zu schreiben.
-
Kubernetes Node:
-
Der Kubernetes Node, auch Minion genannt, ist ein einzelner Server für Container. Dazu ist auf jedem dieser Nodes eine Container-Laufzeitumgebung installiert (z. B. Docker oder rkt (Rocket)) sowie die unten beschriebenen Komponenten:
-
Kubelet:
-
Der Kubelet ist für den Status jedes Nodes verantwortlich. Er wird vom Controller Manager gesteuert und übernimmt das Starten und Stoppen von Containern. Wenn ein Container nicht mehr läuft, sorgt das Kubelet auch für den Neustart auf dem gleichen Node. Alle paar Sekunden rapportiert er an den Kubernetes Control Plane über seinen Status. Bei einem Fehler oder der Nichterreichbarkeit des Nodes erkennt der Control Plane dies aufgrund des nicht gemeldeten Status'. Der Controller Manager startet dann die Pods auf anderen „gesunden“ Nodes erneut.
-
Kube-Proxy:
-
Der Kube-Proxy ist ein Proxy mit integrierter Lastausgleichsfunktion. Er öffnet die Ports zu den Container-Services und verwaltet die Verbindungen.
-
cAdvisor:
-
Der cAdvisor ist im Kubelet integriert und zeichnet die Ressourcen eines Containers auf (CPU, Memory). Andere Monitoring-Lösungen können diesen Dienst konsultieren, um Langzeitaufzeichnungen anzubieten.
-
6 zeigt ein zweites System 601 zum Ausführen von funktional gleichen Applikationen.
-
Das zweite System 601 umfasst eine erste Cloudinstanz 603, eine zweite Cloudinstanz 605 und weitere mehrere Cloudinstanzen 607.
-
Das zweite System 601 umfasst einen Task-Scheduler 609 und eine Vergleichseinrichtung 611.
-
Der Task-Scheduler 609 nimmt Requests (Aufträge, siehe nachstehende Erläuterungen) entgegen und leitet diese an die Cloudinstanzen 603, 605, 607 weiter, die entsprechend die funktional gleiche Applikation ausführen und entsprechend Applikations-Ergebnisse an die Vergleichseinrichtung 611 ausgeben. Die Vergleichseinrichtung 611 vergleicht die jeweiligen Applikations-Ergebnisse und gibt an den Task-Scheduler 609 ein entsprechendes Vergleichsergebnis aus.
-
Der Task-Scheduler 609 nimmt den Auftrag für ein Verarbeiten von der Eingangsdaten von außerhalb des Systems entgegen und verteilt ihn auf zwei oder mehrere Cloudinstanzen, vorliegend die Cloudinstanzen 603, 605, 607. Dabei kann er den Auftrag zum Beispiel durch Metadaten (z.B. eine Sequenznummer) anreichern und/oder auch die empfangenen Eingangsdaten vorverarbeiten und aufbereiten (z.B. Eingangsdaten dekodieren, an ein inneres Modell adaptieren und/oder umrechnen).
-
Das Vergleichsergebnis wird in der Regel an den Task-Scheduler 609 zurückgeführt, weil dieser das Kommunikationsprotokoll mit einem Auftraggeber des Auftrags terminiert und deshalb die Applikations-Ergebnisse wieder an den Auftraggeber zurückgeben kann.
-
Dieses Zurückführen ist nicht zwingend, insbesondere bei Streaming-Anwendungen, bei denen Eingangsdaten kontinuierlich entgegengenommen werden, ohne dass eine Antwort auf jede Einzelnachricht erwartet wird, kann auch die Vergleichseinrichtung 611 die Applikations-Ergebnisse weitergeben und/oder zurückstreamen.
-
Das hier beschriebene Konzept bewirkt in vorteilhafter Weise zum Beispiel die Gewährleistung von „safety“ durch das Cloudsystem. Safety meint hier die Sicherheit, dass keine Fehler durch das Cloudsystem verursacht werden. Dies wird zum Beispiel dadurch erreicht, dass unter Nutzung der durch die Cloudprovider angebotenen Redundanzlösungen (auch regional oder sogar kontinental verteilt) auf mehr als eine laufende Cloudinstanz zurückgegriffen werden kann. Um abzusichern, dass die gewünschte Applikation auf allen Cloudinstanzen jeweils verlässlich läuft, wird sie dort zum Beispiel in einer überwachten Umgebung (z.B. Kubernetes) betrieben. Dies bietet den Nutzen, dass eine „degradierte“ oder inaktive Applikation erkannt, beendet und neugestartet wird.
-
Dies bewirkt in vorteilhafter Weise, dass immer mehr als eine Applikation gleichzeitig verfügbar ist.
-
Weiter ist vorgesehen, die Applikations-Ergebnisse der einzelnen Applikationen miteinander zu vergleichen, um sicherzustellen, dass die auch im vorgegebenen Rahmen gleich sind, bzw. bei Abweichungen entsprechend zu reagieren. Dies erfolgt zum Beispiel durch eine Überwachung (=Vergleich der Ergebnisse) mittels des Lockstepmechanismus.
-
Das hier beschriebene Konzept basiert also insbesondere auf einer Verbindung von vorhandenen Möglichkeiten wie „Hochverfügbarkeit der Applikation“ durch den Cloudprovider mit der Möglichkeit, die einzelne Applikation ständig zu überwachen und ggf. neu starten zu können, und einem Lösungsansatz, wie die einzelnen Applikations-Ergebnisse miteinander verglichen und bewertet werden können (Lockstep), um zu einem Ergebnis zu kommen, welches den hohen Anforderungen seitens Safety (z.B. ISO 26262) genügt.
-
Diesbezüglich zeigt 4, wie verschiedene Anwendungsinstanzen (Cloudinstanzen) an unterschiedlichen geographischen Stellen verteilt werden können (bis hin zu kontinentaler Verteilung). Hiervon werden mindestens 2 Cloudinstanzen verwendet. Auf jeder dieser Cloudinstanzen wird die gewünschte Applikation dann, wie zum Beispiel in 5 gezeigt, zum Beispiel im Rahmen eines Kubernetes-Clusters gestartet und überwacht. Über die Cloudprovider API werden die bearbeiteten Daten (Applikations-Ergebnisse) an die Vergleichseinrichtung (siehe 6) weitergegeben und dort mit den Applikations-Ergebnissen von den anderen Cloudinstanzen verglichen und bewertet. Die Summe dieser Schritte führt in vorteilhafter Weise dazu, dass die für eine akzeptierte Safety-Argumentation notwendige Redundanz gegeben ist und garantiert werden kann.
-
Ist für eine Safety Argumentation eine diversitäre Redundanz erforderlich, so muss dieser Systemaufbau nicht geändert werden. Erreicht wird die Diversität zum Beispiel durch unterschiedliche Algorithmik in den Applikationen, welche in den einzelnen Kubernetes-Clustern laufen.
-
ZITATE ENTHALTEN IN DER BESCHREIBUNG
-
Diese Liste der vom Anmelder aufgeführten Dokumente wurde automatisiert erzeugt und ist ausschließlich zur besseren Information des Lesers aufgenommen. Die Liste ist nicht Bestandteil der deutschen Patent- bzw. Gebrauchsmusteranmeldung. Das DPMA übernimmt keinerlei Haftung für etwaige Fehler oder Auslassungen.
-
Zitierte Patentliteratur
-
- US 202100274145 A1 [0002]
- WO 2020121292 A1 [0003]
- US 10698625 B2 [0004]
