-
Die vorliegende Erfindung betrifft ein Verfahren für ein (Ego-) Fahrzeug, welches die Funktionalität zumindest eines Assistenzsystems oder einer Assistenzfunktion des Fahrzeuges steuern kann, sowie ein entsprechendes Assistenzsystem für ein Fahrzeug, ein Computerprogrammprodukt, welches dazu ausgelegt ist, ein erfindungsgemäßes Verfahren auszuführen und ein (Ego-) Fahrzeug, welches ein erfindungsgemäßes Assistenzsystem oder ein erfindungsgemäßes Computerprogrammprodukt aufweist.
-
Technologischer Hintergrund
-
Gattungsgemäße Fortbewegungsmittel, wie z. B. Personenkraftfahrzeuge (PKW), Lastkraftwägen (LKW) oder Motorräder, werden zunehmend mit Fahrerassistenzsystemen ausgerüstet, welche mit Hilfe von Sensorsystemen die Umgebung erfassen, Verkehrssituationen erkennen und den Fahrer unterstützen können, z. B. durch einen Brems- oder Lenkeingriff oder durch die Ausgabe einer optischen, haptischen oder akustischen Warnung. Als Sensorsysteme zur Umgebungserfassung werden regelmäßig Radarsensoren, Lidarsensoren, Kamerasensoren oder dergleichen eingesetzt. Aus den durch die Sensoren ermittelten Sensordaten können anschließend Rückschlüsse auf die Umgebung gezogen werden, um darauf basierend Anweisungen zur Fahrerwarnung/-information oder zum geregelten Lenken, Bremsen und Beschleunigen des Ego-Fahrzeuges auszugeben. Durch die Sensor- und Umfelddaten verarbeitende Assistenzfunktionen können dann z. B. Unfälle mit anderen Verkehrsteilnehmern vermieden oder komplizierte Fahrmanöver erleichtert werden, indem die Fahraufgabe bzw. die Fahrzeugführung unterstützt oder sogar komplett übernommen wird (teil- / vollautomatisieret). Beispielsweise kann das Fahrzeug z. B. durch einen Notbremsassistenten (EBA, Emergency Brake Assist) eine autonome Notbremsung (AEB, Automatic Emergency Brake), durch eine Geschwindigkeitsfolgeregelung (ACC, Adaptive Cruise Control bzw. ACC-System) eine Folgefahrt und Geschwindigkeitsregelung oder durch einen aktiven Spurhalteassistenten mit Lenkunterstützung in der Spur gehalten werden (LKA, Lane Keeping Assist). Zudem können auch mehrere dieser Funktionen in einem System vereint werden.
-
Heutige Fahrerassistenz Systeme basieren in der Regel auf singulären Wirkketten, insbesondere nach dem Prinzip „Messen-Planen-Agieren“ („Sense-Plan-Act“), wobei zunächst die Umgebung des Fahrzeuges erfasst und ggf. interpretiert wird, situationsadäquate Fahrmanöver des Fahrzeuges geplant und anschließend umgesetzt bzw. ausgeführt werden. Fällt entlang dieser Wirkkette eine Komponente aus, steht ggf. das komplette System nicht mehr zur Verfügung bzw. es kann nur eine Degradation mit eingeschränkter Restfunktionalität erfolgen. Fällt zum Beispiel in einem Assistenzsystem, welches einen Radarsensor und eine Kamera aufweist, die Kamera aus, fällt die Klassifizierung von erkannten Objekten mittels Kamera aus, so dass z. B. ein Notbremsassistent nicht mehr auf Fußgänger reagieren könnte. Je nach Ausführung, kann ein Verlust der Kamera somit auch zum Komplettausfall des gesamten Notbremsassistenten führen, wodurch der Fahrer mit keiner Funktion mehr unterstützt werden kann. Das hat eine eingeschränkte Verfügbarkeit zur Folge und damit auch eine niedrige Akzeptanz beim Fahrer, da dieser sich auf ein regelmäßig funktionierendes System verlassen möchte. Ferner unterstützt dieser Ansatz in der Erhöhung der Performance (z. B. Verringerung der Fehleingriffe), da unterschiedlich entwickelte Redundanzen sich entsprechend ergänzen können. Zudem steht der Fahrer z. B. bei hochautomatisierten Systemen nicht (sofort) als „Rückfallebene“ zur Verfügung, da das System in der Verantwortung ist, das Fahrzeug auch im Fehlerfall, in einen sicheren Zustand zu überführen. Daher besteht ein notwendiges Interesse, für eine vollständige Redundanz innerhalb des Systems zu sorgen, so dass jeder Einzelfehler vom System selbst übernommen werden kann (mindestens so lange bis der Fahrer aktiv übernommen hat). Im Stand der Technik haben sich hierbei Ansätze durchgesetzt, bei denen die Wirkketten komplett redundant dargestellt wird, sozusagen als eine Art „Binärkonzept“, bei dem die Wirkkette in einem Hauptpfad und einen Redundanzpfad bzw. Nebenpfad dargestellt wird. Sofern im Hauptpfad an einer Stelle ein Fehler auftritt, kann der Hauptpfad deaktiviert und der Nebenpfad vollständig genutzt werden. Der Hauptpfad bietet in der Regel die umfangreichste Funktionalität sowie die größtmögliche Performance. Die Wirkkette Redundanzpfades bietet demgegenüber in der Regel den geringsten Funktionsumfang und die geringste Performance.
-
Druckschriftlicher Stand der Technik
-
Aus der
DE 10 2020 121 244 A1 betrifft ein Fail-Operational-System für ein Fahrzeug, welches eine Mehrzahl von redundanten Komponentenpaarungen umfasst, wobei jede Komponentenpaarung eine Hauptkomponente in einer Hauptsystemebene und eine Ersatzkomponente in einer Ersatzsystemebene umfasst. Die Hauptkomponenten sind dabei zur Regelung einer Fahrzeugfunktion in einem Normalbetrieb eingerichtet und die Ersatzkomponenten zur Regelung der Fahrzeugfunktion in einem Fehlerbetrieb, wobei die Hauptkomponenten und die Ersatzkomponenten jeweils eine kaskadierte Regelung der Fahrzeugfunktion bereitstellen. Die Komponentenpaarungen sind durch eine redundante Kommunikationsverbindung miteinander verbunden, wobei zumindest eine der Komponentenpaarungen als eigenständige Komponentenpaarung ausgebildet ist und eine redundante interne Kommunikationsverbindung zwischen der Hauptkomponente und der Ersatzkomponente aufweist. Ferner ist die zumindest eine eigenständige Komponentenpaarung dazu eingerichtet, anhand der redundanten internen Kommunikationsverbindung eine Funktionsfähigkeit der Hauptkomponente und der Ersatzkomponente zu erkennen und anhand der erkannten Funktionsfähigkeit eine Aktivierung der Hauptkomponente oder der Ersatzkomponente zu bestimmen wobei die Ersatzkomponente aktiviert wird, wenn die Hauptkomponente ausfällt.
-
Aus der
DE 10 2017 218 395 A1 ist ein Verfahren zur fehlerrobusten Regelung von hochautomatisierten Fahrzeugen bekannt, umfassend zumindest zwei funktional redundante Fahrzeugsteuerungscluster bzw. Ausfallcluster, umfassend jeweils einen Haupt-Auftraggeber und zumindest einen Neben-Auftraggeber und einen Haupt-Auftragnehmer und zumindest einen Neben-Auftragnehmer, die miteinander und untereinander in Wirkverbindung stehen, wobei für jede von einem der Auftraggeber an einen der Auftragnehmer übermittelte auszuführende Aufgabe eine Priorisierung der Wirkverbindungen zur Ausführung der Aufgabe vorgesehen ist, wobei jede der in jeder der Wirkketten vorgesehenen Komponenten des zumindest einen Auftraggebers und jede der in jeder der Wirkketten vorgesehenen Komponenten des zumindest einen Auftragnehmers ihren eigenen Verfügbarkeits-Zustand erfasst und anderen Komponenten zur Verfügung stellt, und wobei im Falle des Verfügbarkeits-Zustands der Nicht-Verfügbarkeit einer der Komponenten eine Auswahl einer Wirkkette zur Durchführung der auszuführenden Aufgabe basierend auf der Priorisierung der Wirkverbindung erfolgt und diese ausgewählte Wirkkette aktiviert wird.
-
Die
DE 10 2021 120 719 A1 beschreibt ein Steuerungssystem für ein autonomes Fahrzeug aufweisend ein primäres Steuerungssystem, ein redundantes Steuerungssystem und; ein tertiäres Steuerungssystem, wobei das primäre Steuerungssystem und/oder das redundante Steuerungssystem und/oder das tertiäre Steuerungssystem programmiert sind, ihren eigenen Gesundheitszustand oder ihre eigene Degradation entweder direkt oder indirekt an wenigstens eines der weiteren Steuerungssysteme selbst zu berichten.
-
Ferner offenbart die
DE 10 2018 121 960 A1 eine Vorrichtung zur Entkopplung und/oder zum Schutz vor Ausgleichsströmen zur Verwendung bei gemeinsamer Nutzung zumindest eines elektrischen Aktuators durch eine Mehrzahl von unabhängig spannungsversorgten Steuergeräteinrichtungen in redundanten Systemen für autonomes Fahren.
-
Aufgabe
-
Ausgehend vom Stand der Technik liegt der Erfindung die Aufgabe zugrunde, ein Verfahren sowie ein entsprechendes Assistenzsystem zur Verfügung zu stellen, mit dem die Sicherheit und Verfügbarkeit des Assistenzsystems verbessert wird.
-
Lösung der Aufgabe
-
Die vorstehende Aufgabe wird durch die gesamte Lehre des Anspruchs 1 sowie der nebengeordneten Ansprüche gelöst. Zweckmäßige Ausgestaltungen der Erfindung sind in den Unteransprüchen beansprucht.
-
Das erfindungsgemäße Verfahren für ein Fahrzeug, welches die Funktionalität zumindest eines Assistenzsystems oder einer Assistenzfunktion des Fahrzeuges steuern kann, umfasst die Wirkkettenglieder bzw. Verfahrensschritte Erfassen, bei dem das Umfeld des Ego-Fahrzeuges anhand von Umfelddaten erfasst wird, Planen, wobei mindestens ein Fahrmanöver des Fahrzeuges ermittelt wird, und Handeln bzw. Agieren, wobei das Fahrzeuges das ermittelte Fahrmanöver durch die Steuerung von Aktoren des Fahrzeuges durchführt, wobei die Wirkkettenglieder bzw. Verfahrensschritte über einen Hauptpfad im Falle einer auftretenden Einschränkung im Hauptpfad bzw. des Hauptpfades über einen Redundanzpfad ausgeführt werden, und der Hauptpfad und der Redundanzpfad jeweils die Wirkkettenglieder bzw. Verfahrensschritte Erfassen, Planen, Agieren aufweisen. Im Falle einer Einschränkung des Hauptpfades wird ermittelt, welcher der Verfahrensschritte bzw. welches der Wirkkettenglieder (z. B. Erfassen, Planen, Agieren/Handeln) von der Einschränkung betroffen ist und nur die betroffenen Wirkkettenglieder bzw. Verfahrensschritte durch den Redundanzpfad ausgeführt werden (d. h. deren Funktion wird durch Wirkkettenglieder des Redundanzpfades übernommen), wobei natürlich auch betroffene Wirkkettenglieder zur Folge haben können, dass nachfolgende eigentlich nicht betroffene Wirkkettenglieder betroffen sein können. Die Auswahl, welche Wirkkettenglieder durch den Redundanzpfad ausgeführt werden, erfolgt vorzugsweise unter der Berücksichtigung einer größtmöglich Restperformance und Restfunktionalität des Gesamtsystems. Der Hauptpfad bietet hierbei vorzugsweise die umfangreichste Funktionalität sowie die größtmögliche Performance, während die Wirkkette des Redundanzpfades den geringsten Funktionsumfang und die geringste Performance bereitstellt. Dadurch, dass z. B. nur Teile des Hauptpfades von Teilen des Nebenpfades bzw. Redundanzpfades genutzt werden, ergibt sich die Möglichkeit auf einzelne Fehler individueller reagieren zu können. Zudem ergibt sich eine deutlich höhere Performance des Gesamtsystems, da noch mehr Teile aus dem leistungsfähigeren Hauptpfad genutzt werden können. Im Idealfall kann auch die volle Performance und Funktionalität trotz vorliegendem Fehlerfall innerhalb des Gesamtsystems zur Verfügung gestellt werden. Dadurch kann die Sicherheit des Gesamtsystems bzw. Assistenzsystems oder der jeweiligen Assistenzfunktion in besonderem Maße verbessert werden.
-
Vorzugsweise weist der Redundanzpfad alle Wirkkettenglieder des Hauptpfades auf, d. h. Messen-Planen-Agieren/Aktion (Sense, Plan und Act). Beispielsweise können diese Wirkkettenglieder jeweils durch eine Technologie (z. B. ein Bauteil, wie Aktor, Sensor oder dergleichen, oder ein Modul bzw. auch Softwaremodul, usw.) ausgeführt bzw. realisiert sein oder weiter dekomponiert sein bzw. durch mehrere Technologien realisiert werden: Beispielsweise könnte das Wirkkettenglied „Sense“ des Hauptpfades aus einer Kamera und zwei Radarsensoren bestehen, wobei das Wirkkettenglied „Sense“ des Redundanzpfad es aus einem Radarsensor und zwei Lidarsensoren bestehen kann. In vorteilhafter Weise kann dabei auch vorgesehen sein, dass der Hauptpfad, vorzugsweise im fehlerfreien Zustand, zusätzlich auch auf die Funktion von Wirkkettengliedern des Redundanzpfades zugreifen kann, um die Gesamtperformance zu erhöhen (z. B. ein zusätzliches Nutzen von Sensorinformationen des Redundanzpfades).
-
Zweckmäßigerweise besitzen die Wirkkettenglieder des Redundanzpfades zumindest teilweise eine geringere Performance als die Wirkkettenglieder des Hauptpfades. Dadurch können Speicher und Ressourcen gespart werden, da der Redundanzpfad in der Regel dazu dient, das Fahrzeug in einen sicheren Zustand zu überführen.
-
Gemäß einer vorteilhaften Ausgestaltung der Erfindung können Kommunikationskanäle vorgesehen sein, welche die Wirkkettenglieder bzw. die funktionalen Blöcke des Hauptpfades und des Redundanzpfades untereinander und miteinander verbinden.
-
Vorzugsweise erfolgt die Verbindung der Wirkkettenglieder über die Kommunikationskanäle derart, dass ein Wirkkettenglied einer Wirkkette jeweils mit dem vorausgehenden Wirkkettenglied von Haupt- und Redundanzpfad und/oder jeweils mit dem darauffolgenden Wirkkettenglied von Haupt- und Redundanzpfad verbunden ist. Beispielsweise ist demnach Sense1 jeweils über einen Kommunikationskanal verbunden mit Plan1 sowie Plan2. In gleicher Weise kann somit Sense2 jeweils über einen Kommunikationskanal mit Plan1 sowie Plan2 verbunden sein. Ferner kann Plan1 und Plan 2 jeweils über einen Kommunikationskanal verbunden sein mit Sense1, Sense2, Act1 sowie Act2. Zudem kann Act1 über jeweils einen Kommunikationskanal mit Plan1 sowie Plan2 verbunden sein und Act2 jeweils über einen Kommunikationskanal mit Plan1 sowie Plan2. durch diese Art der kommunikativen Verbindung zwischen den einzelnen strukturellen Blöcken bzw. Wirkkettengliedern wird es ermöglicht, die Wirkkettenglieder im Falle eines auftretenden Fehlers im Hauptpfad beliebig mit den Wirkkettengliedern des Redundanzpfades auszutauschen.
-
Gemäß einer besonderen Ausgestaltung des vorgestellten Verfahrens kann ein Kommunikationskanal zwischen den Wirkkettengliedern „Agieren“ („Act“ bzw. Handeln) von Haupt- und Redundanzpfad vorgesehen sein, mit dem eine Abstimmung zwischen den Wirkkettengliedern „Agieren“ erfolgen kann, welches Wirkkettenglied die Steuerung des Fahrzeuges durchführt bzw. übernimmt. In praktischer Weise kann hierbei vorgesehen sein, dass das Wirrkettenglied des Hauptpfades stets Vorrang hat vor dem wir Kettenglied des Redundanzpfades. In praktischer Weise können auch Kommunikationen nicht nur direkt über die Kommunikationskanäle erfolgen, sondern auch über die Wirkkettenglieder, welche somit auch Teil eines Kommunikationsvaters darstellen können.
-
Vorzugsweise ist zumindest eine Degradationsüberwachung vorgesehen, welche die Funktionalität der Wirkketten von Haupt- und/oder Redundanzpfad und/oder der Wirkkettenglieder überwacht. Die Deklarationsüberwachung kann dabei als eigenständiges Modul oder Software Modul ausgestaltet sein oder Teil einer Steuereinrichtung.
-
Gemäß einer besonderen Ausgestaltung der vorliegenden Erfindung kann eine zentrale Degradationsüberwachung vorgesehen sein, welche über Kommunikationskanäle zwischen der zentralen Degradationsüberwachung und den jeweiligen Wirkketten und/oder Wirkkettengliedern die Funktionalität des Hauptpfades und/oder des Redundanzpfades und/oder deren Wirkkettenglieder überwacht.
-
Alternativ oder zusätzlich kann für den Hauptpfad und den Redundanzpfad auch jeweils eine Degradationsüberwachung vorgesehen sein, welche über Kommunikationskanäle zwischen den Degradationsüberwachungen und den jeweiligen Wirkketten und/oder Wirkkettengliedern die Funktionalität des Hauptpfades und des Redundanzpfades und/oder deren Wirkkettenglieder überwachen. Dadurch wird eine weitere strukturelle Trennung bzw. Separation der Deklarationsüberwachung von Hauptpfad und Redundanzpfad bereitgestellt. Diese Ausgestaltung erweist sich gerade in weiterführenden Redundanzkonzepten als vorteilhaft, da diese in besonderem Maße geeignet ist, die Ausfallsicherheit zu erhöhen.
-
Ferner kann auch jedes Wirkkettenglied eine eigene Degradationsüberwachung aufweisen, welche jeweils die Funktionalität des Wirkkettengliedes überwacht, und die jeweilige Funktionalität über die ohnehin bestehenden Kommunikationskanäle den anderen Wirkkettengliedern mitgeteilt wird. Dadurch kann ein dezentrales die Degradationsüberwachungskonzept zur Verfügung gestellt werden.
-
Erfindungsgemäß sind mindestens zwei Spannungsversorgungen (bzw. Energie- oder Stromversorgungen) vorgesehen, wobei eine Spannungsversorgung jeweils Wirkkettenglieder des Hauptpfades und Wirkkettenglieder des Redundanzpfades versorgt und die andere Spannungsversorgung somit die übrigen Wirkkettenglieder von Haupt- und Redundanzpfad. Beispielsweise kann eine Spannungsversorgung die Wirkkettenglieder Messen (Sense) und Agieren (Act) des Hauptpfades und Planen (Plan) des Redundanzpfades und eine Spannungsversorgung die Wirkkettenglieder Messen (Sense) und Agieren (Act) des Redundanzpfades und Planen (Plan) des Hauptpfades mit Energie versorgen. Durch diese Ausgestaltung wird auch eine funktionsfähige Redundanz gewährleistet, sofern ein Ausfall oder eine Einschränkung im Bereich der Strom- und/oder Spannungsversorgung auftritt. Ferner können natürlich auch der Hauptpfad und der Redundanzpfad jeweils eine eigene Spannungsversorgung (PS; Power Supply) bzw. Stromversorgung aufweisen.
-
Neben- oder untergeordnet beansprucht die vorliegende Erfindung ein Fahrerassistenzsystem, insbesondere ein System zum automatisierten bzw. autonomen Fahrens, für ein Fahrzeug, das mindestens einen Sensor zur Umfelderfassung umfasst, der dazu hergerichtet ist, Sensordaten zu erzeugen. Bei dem Sensor kann es sich z. B. um einen Radar-, Lidar-, Kamera- oder Ultraschallsensor handeln. Darüber hinaus umfasst das Fahrerassistenzsystem eine Steuervorrichtung, die aus den Sensordaten einen Abstand zu einem vorausfahrenden Fahrzeug bestimmt und regelt. Vorzugsweise ist die Steuereinrichtung oder ein anderer Computer dabei dazu hergerichtet, eine das erfindungsgemäße Verfahren auszuführen.
-
Ferner kann es sich bei dem Fahrerassistenzsystem um ein System handeln, welches neben einem Sensor zur Umfelderfassung einen Computer, Prozessor, Controller, Rechner oder dergleichen umfasst, um das erfindungsgemäße Verfahren durchzuführen. Beispielsweise kann es sich bei dem Computer um einen Mikrocontroller, Prozessor oder eine Recheneinheit der Steuereinrichtung oder um die Steuereinrichtung selbst handeln. Dabei kann ein Computerprogramm mit Programmcode zur Durchführung des erfindungsgemäßen Verfahrens vorgesehen sein, dass wenn das Computerprogramm auf einem Computer oder einem sonstigen aus dem Stand der Technik bekannten programmierbaren Rechner ausgeführt wird. Dementsprechend kann das Verfahren auch als rein computerimplementiertes Verfahren ausgeführt sein oder in bestehenden Systemen nachgerüstet werden. Der Begriff „computerimplementiertes Verfahren“ im Sinne der Erfindung beschreibt dabei die Ablaufplanung oder Vorgehensweise, welche anhand des Computers verwirklicht bzw. durchgeführt wird. Der Computer kann dabei mittels programmierbarer Rechenvorschriften die Daten verarbeiten. In Bezug auf das Verfahren können somit auch wesentliche Eigenschaften z. B. durch ein neues Programm, neue Programme, einen Algorithmus oder dergleichen nachträglich implementiert werden. Zudem umfasst die vorliegende Erfindung ein computerlesbares Speichermedium, das Anweisungen umfasst, welche den Computer, auf dem sie ausgeführt werden, veranlassen, ein erfindungsgemäßes Verfahren durchzuführen.
-
Darüber hinaus beansprucht die vorliegende Erfindung ein (Ego-) Fahrzeug, welches ein erfindungsgemäßes Fahrerassistenzsystem aufweist bzw. ein Assistenzsystem, welches mit dem erfindungsgemäßen Verfahren betrieben wird bzw. die Funktionalität des Assistenzsystems oder einer Assistenzfunktion des Fahrzeuges anhand des erfindungsgemäßen Verfahrens steuert.
-
Beschreibung der Erfindung anhand von Ausführungsbeispielen
-
Im Folgenden wird die Erfindung anhand von zweckmäßigen Ausführungsbeispielen näher erläutert. Es zeigen:
- 1 eine vereinfachte schematische Darstellung eines Fahrzeuges, welches ein erfindungsgemäßes Assistenzsystem aufweist;
- 2 eine vereinfachte schematische Darstellung einer Ausgestaltung der Wirkketten eines erfindungsgemäßen Verfahrens;
- 3 eine vereinfachte schematische Darstellung der Wirkketten aus 2 bei ausgefallener/eingeschränkter Spannungsversorgung PS1;
- 4 eine vereinfachte schematische Darstellung der Wirkketten aus 2 bei ausgefallener/eingeschränkter Spannungsversorgung PS2;
- 5 eine vereinfachte schematische Darstellung der Wirkketten aus 2 bei ausgefallenem/eingeschränktem Wirkkettenglied Sense1;
- 6 eine vereinfachte schematische Darstellung der Wirkketten aus 2 bei Fehlerfall an Sense2 und/oder Plan2 und/oder Act2 und/oder Com1 und/oder Com2 und/oder Com3 und/oder Com4;
- 7 eine vereinfachte schematische Darstellung der Wirkketten aus 2 bei ausgefallenem/eingeschränktem Wirkkettenglied Act1;
- 8 eine vereinfachte schematische Darstellung der Wirkketten aus 2 bei Fehlerfall an Plan1 und/oder Com5 und/oder Com6;
- 9 eine vereinfachte schematische Darstellung einer Ausgestaltung der Wirkketten eines erfindungsgemäßen Verfahrens mit zentraler Degradationsüberwachung DegZ;
- 10 eine vereinfachte schematische Darstellung einer Ausgestaltung der Wirkketten eines erfindungsgemäßen Verfahrens mit zwei Degradationsüberwachungen Deg1 für den Hauptpfad und Deg2 für den Redundanzpfad;
- 11 eine vereinfachte schematische Darstellung einer Ausgestaltung der Wirkketten eines erfindungsgemäßen Verfahrens mit dezentraler Degradationsüberwachung;
- 12 eine vereinfachte schematische Darstellung einer Ausgestaltung der Wirkketten eines erfindungsgemäßen Verfahrens mit dezentraler Degradationsüberwachung und einem Kommunikationskanal Com13 zwischen den Wirkkettengliedern Act1 und Act2, sowie
- 13 eine vereinfachte schematische Darstellung einer weiteren Ausgestaltung des erfindungsgemäßen Verfahrens anhand eines L2-Systems mit zentraler Degradationsüberwachung.
-
Bezugsziffer 1 in 1 bezeichnet nunmehr ein erfindungsgemäßes (Ego-) Fahrzeug, welches eine Steuereinrichtung 2 (z. B. ECU, Electronic Control Unit oder ADCU, Assisted and Automated Driving Control Unit) verschiedene Aktoren (Lenkung 3, Motor 4, Bremse 5) sowie Sensoren zur Umfelderfassung bzw. Umfeldsensorik (Kamera 6, Lidarsensor 7, Radarsensor 8 sowie Ultraschallsensoren 9a-9d) aufweist. Das Fahrzeug 1 kann dabei (teil-) automatisiert gesteuert werden, indem die Steuereinrichtung 2 auf die Aktoren und die Sensoren bzw. deren Sensordaten zugreifen kann. Im Bereich des assistierten bzw. (teil-) automatisierten Fahrens können die Sensordaten zur Umfeld- und Objekterkennung genutzt werden, sodass verschiedene Assistenzfunktionen, wie z. B. Zeitlücken- oder Abstandsfolgeregelung (ACC, Adaptive Cruise Control), Notbremsassistent (EBA, Electronic Brake Assist), Spurhalteregelung bzw. ein Spurhalteassistent (LKA, Lane Keep Assist), Parkassistent oder dergleichen, über ein Assistenzsystem bzw. die Steuereinrichtung 2 und dem dort hinterlegten Algorithmus realisierbar sind. Die Steuereinrichtung 2 ist dabei dazu hergerichtet, das erfindungsgemäße Verfahren auszuführen.
-
Das Fahrzeug 1 wird im Verkehr bzw. in einer bestimmten Verkehrssituation nach dem Prinzip „Messen-Planen-Agieren“ („Sense-Plan-Act“) betrieben. Hierbei erfolgt in der Regel zunächst eine Umfelderfassung („Sense“) anhand geeigneter Sensorik (z. B. Kamera 6, Lidarsensor 7, Radarsensor 8 sowie Ultraschallsensoren 9a-9d). Infolge davon kann die Umgebung bzw. das Umfeld erkannt und ggf. modelliert werden (Umfeldmodell) wobei anschließend eine Bewegungsführung bzw. eine oder mehrere Trajektorien geplant werden können („Plan“), die zur Steuerung des Fahrzeuges 1 und/oder zur Auflösung einer bestimmten Verkehrssituation dienen. Anschließend kann das geplante Fahrmanöver bzw. die geplante(n) Trajektorie(n) umgesetzt werden („Act“), z. B. durch eine Lenkbewegung und/oder Lenkunterdrückung und/oder Verzögerung/Bremsung und/oder Warnung (optische/akustische/haptische Warnung des Fahrers des Fahrzeuges 1 oder andere Verkehrsteilnehmer).
-
Das vorgestellte Verfahren beschreibt ein funktionales Redundanzkonzept, das es ermöglicht eine größtmögliche Funktionalität einer Wirkkette auch im Fehlerfall/in Degradation zu erhalten. Die funktionalen Blöcke können zu unterschiedlichen technischen Komponenten allokiert werden (z. B. Radar, Kamera, Zentralsteuergerät bzw. Steuereinrichtung 2, Bremsensteuergerät bzw. Bremse 5 oder dergleichen). Das Verfahren ist dabei derart ausgelegt, dass es skalierbar in der Funktion, als auch auf dem jeweiligen Level der Automatisierung (L1: Assistiertes Fahren; L2: Teilautomatisiertes Fahren; L3: Hochautomatisiertes Fahren; L4: Vollautomatisiertes Fahren; L5: Autonomes Fahren). 2 zeigt den generischen Aufbau des Verfahrens bzw. Redundanzkonzepts, das im Rahmen eines Assistenzsystems umgesetzt werden soll. Entsprechend der Wirkkette (Sense-Plan-Act), gibt es für jeden Block bzw. jedes Wirkkettenglied Sense1, Plan1, Act1 eine Redundanz (Sense2, Plan2, Act2), die mittels Kommunikationskanälen (COMx) miteinander interagieren bzw. kommunizieren können. Zudem ist die Spannungsversorgung (PowerSupply) vorzugsweise ebenfalls redundant aufgebaut und entsprechend verteilt (PS1 und PS2). Der Hauptpfad ist dabei die Wirkkette Sense1-Plan1-Act1. Der Redundanzpfad bzw. Nebenpfad ist die Wirkkette Sense2-Plan2-Act2. Verschiedene andere Nebenpfade wie z. B. Sense1-Plan2-Act1 sind dabei auch möglich, je nachdem welcher Fehlerfall vorliegt. Die Wirkkette des Hauptpfades (Sense1-Plan1-Act1) bietet hierbei vorzugsweise die umfangreichste Funktionalität sowie die größtmögliche Performance, während die Wirkkette des Redundanzpfades (Sense2-Plan2-Act2) den geringsten Funktionsumfang und die geringste Performance bereitstellt. Der Hauptpfad hat dabei stets eine höhere Priorität als der Redundanzpfad.
-
Die 3-8 zeigen alle verschiedenen Pfade mit den verschiedenen Fehlerfällen auf. Schwarz ausgefüllt bedeutet dabei, dass dieses Wirkkettenglied bzw. diese Kommunikation bzw. diese Spannungsversorgung ausgefallen ist. Die dick umrandete Markierung/Linie zeigt dabei die aktuell gültige Wirkkette an, über die die Funktion ausgeführt wird. Aufgrund der Ausgestaltung, dass der Hauptpfad die umfangreichste Funktionalität sowie die größtmögliche Performance bietet, während die Wirkkette des Redundanzpfades den geringsten Funktionsumfang und die geringste Performance bereitstellt, liegt die Wirkkette Sense1-Plan2-Act1 als Beispiel, wie in 3 anhand eines Ausfalls der Spannungsversorgung PS1 dargestellt, von der Performance somit zwischen Hauptpfad und Redundanzpfad und bietet somit noch eine größere Perfomance im Vergleich zu einem kompletten Umschalten auf den Redundanzpfad.
-
In 4 ist ein Fehlerfall gezeigt, bei dem die Spannungsversorgung PS2 ausgefallen ist, und die Wirkkette nunmehr über Sense1, Plan2 und Act1 sowie den dazwischen befindlichen Kommunikationskanälen Com1 und Com2 verläuft. 5 beschreibt einen Fehlerfall, bei dem Sense1 (zum Beispiel ein Sensor des Fahrzeuges 1) ausgefallen ist. Zur Behebung des Ausfalls nutzt dieses System nunmehr Sense2, Plan1 sowie Act1. Ferner zeigt 6 einen Fehlerfall bei dem Sense2 und/oder Plan2 und/oder Act2 und/oder Com1 und/oder Com2 und/oder Com3 und/oder Com4 ausgefallen oder in er Kommunikation eingeschränkt ist. In praktischer Weise kann die Wirkkette weiterhin über den Hauptpfad betrieben werden. In gleicher Weise wie in 5 kann auch ein anderes Wirkkettenglied des Hauptpfades durch ein Wirkkettenglied des Redundanzpfades ersetzt werden, wie beispielsweise anhand eines Ausfalls von Act1 gemäß 7 oder Plan1 gemäß 8.
-
Ferner können die Wirkkettenglieder noch weiter dekomponiert sein bzw. durch mehrere verschiedene Technologiearten realisiert werden, wie z. B. verschiedene Sensortechnologien, wobei z. B. Sense1 eine Kamera und mehrere Radarsensoren umfasst und Sense2 einen Radarsensor und zwei Lidarsensoren umfasst. Hierdurch werden dann verschiedene Vorteile der Sensortechnologien kombiniert - z. B. sind Kameras sehr gut geeignet, um einen lateralen Versatz zu ermitteln oder Klassifizierungen von Objekten durchzuführen, wohingegen Radarsensoren sehr gut geeignet sind, Tiefen bzw. einen longitudinalen Abstand zu anderen Verkehrsteilnehmern zu messen. Durch eine vorteilhafte Kombination der verschiedenen Sensortechnologien ist es möglich, die Gesamt-Performance bzw. Gesamtfunktionalität des Hauptpfades noch weiter zu erhöhen, da der Hauptpfad dann nicht nur Sense1, Plan1 und Act1 umfasst, sondern zusätzlich auch auf Sense2 zurückgreifen kann.
-
Die 9 zeigt eine Ausprägung des Redundanzkonzepts mit zentraler Degradation. Hierbei kommuniziert jeder Wirkketten-Block mit dem Degradationsblock. Dieser überwacht und schaltet auf Basis der Verfügbarkeit der Einzelblöcke die jeweiligen Pfade entsprechend, wie in den 3-8 beschrieben.
-
10 zeigt eine Maximalskalierung entsprechend ASIL D (höchste Klassifikation des Automotive Safety Integrity Level (ASIL) gemäß ISO 26262), um mittels Dekomposition ASIL D in beiden Pfaden (Hauptpfad und Redundanzpfad) sicherzustellen. Somit kann eine ASIL D fähige Wirkkette für hochautomatisiertes Fahren (ohne Fahrer als Rückfall-Ebene) dargestellt werden. Hierzu wird ebenfalls die zentrale Degradation redundant ausgeführt durch die beiden Degradationsüberwachungsblöcke Deg1 und Deg2. Die gestrichelte Linie in 10 beschreibt dabei die Trennung der strukturellen Degradationsüberwachung, insbesondere durch die voneinander unabhängige Energie- bzw. Stromversorgung.
-
Ferner zeigt 11 eine Ausgestaltung des Redundanzkonzepts mit dezentraler Degradation. Ein zentraler Block für die Degradation wird hierbei nicht benötigt, da sich jeder Einzelblock selbst überwacht und entsprechend Ausgangsseitig die Information seiner Verfügbarkeit an die nachfolgenden Blöcke kommuniziert. Auf Basis dieser Information können die nachfolgenden Blöcke „selbstständig entscheiden“, ob sie Bestandteil des aktuellen Pfads (wie in den Skizzen 3-8 beschrieben) sind oder nicht. Eine Ausnahme können hierbei die Blöcke bzw. Wirkkettenglieder Act1 und Act2 bilden, da diese unabhängig voneinander ausgeführt sein sollten, aber gleichzeitig von Plan1 die Information der Verfügbarkeit erhalten können. Das könnte im Zweifel zu einer gleichzeitigen und damit ungewollten Aktivierung von Act1 und Act2 führen. Um dieses Problem zu umgehen, kann eine zusätzliche Kommunikation über Com13 eingeführt sein über die sich Act1 und Act2 arbitrieren können. Ungewollte parallele Aktivierungen, sofern Act1 und Act2 beide von Plan1 die Verfügbarkeitsinformation erhalten, können somit vermieden werden. Zusätzlich ist es in diesem Fall möglich (sofern gewünscht), die Hauptwirkkette Sense1-Plan1-Act1 auch beim Ausfall von Com6 aufrecht zu erhalten, da die Information von Plan1 zu Act1 aufgrund von Com13 über Act2 gesteuert bzw. geroutet werden kann. Im Falle eines reinen Kommunikationsverlusts, bietet die Ausgestaltung gemäß 12 aufgrund der Verschaltung über Com13 die Möglichkeit, eine Kommunikation geroutet über eine dritte Komponente aufrecht zu halten. Beispielsweise kann die Kommunikation von Plan1 zu Act1 entfallen, somit kommuniziert Plan1 über Act2 zu Act1, was zur Folge hat, dass weiterhin die maximale Funktion und Performance möglich sind, da weiterhin Plan1 und Act1 aus dem Hauptpfad aktiv bleiben.
-
Die in 11 und 12 gezeigte Ausgestaltung, dezentralem Ansatz zur Degradationsüberwachung kann zu einem ASIL D fähigen Redundanzkonzept skaliert werden kann. Durch die Tatsache, dass die Degradation (ASIL D) in jedem Sense-Plan-Act-Block (ASIL B(D)) vorhanden ist, sollte bzw. muss pauschal jedes Wirkkettenglied bzw. jeder Block ASIL D sicherstellen, auch wenn für die reine Funktionswirkkette ASIL B (D) ausreichen würde.
-
Darüber hinaus zeigt 13 eine skalierte Ausprägung eines L2-Systems bzw. weitere Ausgestaltung des Redundanzkonzepts mit zentraler Degradation, bei dem keine redundante Aktuatorik notwendig ist, so dass diese auch entfallen kann. Gleiches gilt hierbei für die Redundanz der Spannungsversorgung. Auch diese ist im L2-Sytem Kontext nicht unbedingt notwendig, da der Fahrer stets als Rückfallebene bzw. überwachendes Element zur Verfügung steht. Als Sense1 ist hierbei die Kamera vorgesehen. Als Redundanz hierzu ist der Radar vorgesehen, sozusagen als Sense2. Die Berechnung der Funktion erfolgt über EBA1, welche auf der zentralen Steuereinrichtung (z. B. Steuereinrichtung 2) berechnet wird (Plan) und gleichzeitig noch eine Sensorfusion (von Radar und Kamera) umfasst (und somit performanter als die redundante Notbremsung EBA2, welche vorzugsweise auf einer separaten Einheit, wie der Kamera selbst oder einem anderen Steuermodul, berechnet wird). Die Funktionskontrolle erfolgt über die Steuereinrichtung (FCU; Function Control Unit), die auch auf das Bremssystem (EBS; Electronic Brake System z. B. Bremse 5) zugreifen kann, um die Bremsung des Fahrzeuges durchzuführen („Act1“). Alle funktionalen Blöcke bzw. Wirkkettenglieder kommunizieren hierbei ihren Status bzw. ihre Verfügbarkeit an die Degradation DegZ über die Kommunikationskanäle Com7-Com11. Die Degradation gibt dann entsprechend die Verfügbarkeiten zentral an die FCU Über den Kommunikationskanal Com11 weiter. Auf Basis dieser Informationen kann dann die FCU (bzw. Steuereinrichtung 2) die Degradation umsetzen (z. B. durch eine Teilabschaltung des Systems). In praktischer Weise sind die Notbremsungen EBA1 und EBA2 hierbei auf Basis unterschiedlicher Ansätze ausgestaltet (z. B. EBA1 auf Basis Objektliste und EBA2 auf Basis Optischer Fluss), welche sich hierbei auch ergänzen können. Mit Hilfe der Arbitrierung in der Steuereinrichtung (FCU) kann hierbei eine Reduktion der Falsch-Positiven-Funktionseingriffe erreicht werden, da nur bei entsprechender Bestätigung beider Ansätze vom System eingegriffen wird. Somit kann neben der Erhöhung der (Teil-)Verfügbarkeit durch dieses Konzept auch eine Erhöhung der Wirkkettenperformance erreicht werden.
