EP4096980A1

EP4096980A1 - Asymmetrische ausfallsichere systemarchitektur

Info

Publication number: EP4096980A1
Application number: EP20704436.3A
Authority: EP
Inventors: Oliver WULF; Andreas Goers; Thomas Dieckmann
Original assignee: ZF CV Systems Global GmbH
Current assignee: ZF CV Systems Global GmbH
Priority date: 2020-01-31
Filing date: 2020-01-31
Publication date: 2022-12-07
Also published as: US12589756B2; WO2021151501A1; CN115023380B; US20220363276A1; CN115023380A

Abstract

Die Erfindung betrifft ein Verfahren (1) zur Steuerung eines Fahrzeugs (2) mit einem autonomen Fahrzeugsystem (5), das ein autonomes Betriebs- Fahrsystem (9), das zum Durchführen einer dynamischen Fahraufgabe (FA) in einem fehlerfreien Betrieb des autonomen Betriebs-Fahrsystems (9) ausgebildet ist, und ein Redundanz-Fahrsystem (11), das zum Durchführen einer reduzierten Fahraufgabe (FAR) ausgebildet ist, aufweist. Das autonome Betriebs- Fahrsystem (9) führt eine Trajektorienplanung durch und stellt eine geplante Trajektorie (TR) für die reduzierte Fahraufgabe (FAR) an dem Redundanz- Fahrsystem (11) bereit. Wird ein Fehler (E1) des Betriebs-Fahrsystems (9) ermittelt, steuert das Redundanz-Fahrsystem (11) wenigstens einen Fahrzeugaktuator (7) an, um die reduzierte Fahraufgabe (FAR) unter Verwendung der geplanten Trajektorie (TR) durchzuführen. Ferner betrifft die Erfindung ein autonomes Fahrzeugsystem (5) und ein Fahrzeug (2) mit einem autonomen Fahrzeugsystem (5).

Description

ASYMMETRISCHE AUSFALLSICHERE SYSTEMARCHITEKTUR

Die Erfindung betrifft ein Verfahren zum Steuern eines Fahrzeugs, insbesonde re Nutzfahrzeugs, mit einem autonomen Fahrzeugsystem, das dazu ausgebil det ist, das Fahrzeug mittels mehrerer Fahrzeugaktuatoren zu steuern, wobei das Fahrzeugsystem aufweist: Ein autonomes Betriebs-Fahrsystem, das zum Durchführen einer dynamischen Fahraufgabe in einem fehlerfreien Betrieb des autonomen Betriebs-Fahrsystems ausgebildet ist, wobei das autonome Be- triebs- Fahrsystem im fehlerfreien Betrieb wenigstens einen der Fahrzeugaktua toren zum Durchführen der dynamischen Fahraufgabe ansteuert, und ein Re dundanz-Fahrsystem. Ferner betrifft die Erfindung ein autonomes Fahrzeugsys tem.

Autonome Fahrzeugsysteme sind dazu ausgebildet, einen oder mehrere Aktua toren eines Fahrzeugs derart anzusteuern, dass eine Fahraufgabe des Fahr zeugs ausgeführt wird. Dabei regeln autonome Fahrzeugsysteme die Quer- und Längsbeschleunigung von Fahrzeugen teilweise oder vollständig unabhängig von einem menschlichen Benutzer. Um ein Fahrzeug fahrerlos zu betreiben werden viele unterschiedliche Sensoren zur Umwelterfassung sowie große Re chenleistungen zur Auswertung der Sensordatenströme benötigt. Basierend auf Sensordaten ermittelt das autonome Fahrzeugsystem eine Trajektorie für die Fahraufgabe des Fahrzeugs. Während das Fahrzeug der Trajektorie folgt, überwacht das autonome Fahrzeugsystem die Umgebung und modifiziert ge gebenenfalls die Trajektorie.

Ein gängiges fünfstufiges Schema zur Einordnung des Automatisierungsgrades von Fahrzeugen, die mittels eines autonomen Fahrzeugsystems gesteuert wer den, wurde durch die Society of Automotive Engineers (SAE) entwickelt. Das Fahrzeug muss auch im Fehlerfall noch soweit sicher weiter betrieben werden können, bis keine Gefahr mehr von ihm ausgehen kann. In den Autonomiestu fen 3 bis 5 erfolgt die Überwachung des Fahrumfeldes durch das autonome Fahrsystem, wobei in Stufe 3 der menschliche Benutzer im Falle eines Fehlers des autonomen Fahrsystems die Fahrzeugsteuerung vollständig übernimmt. In den Autonomiestufen 4 und 5 sind Redundanzsysteme vorgesehen, die im Fal le eines Ausfalls eines autonomen Betriebs-Fahrsystems die Fahraufgabe zu mindest teilweise ausführen. Derartige Redundanzsysteme sind notwendig, um im Falle eines Fehlers eines Systems Kollisionen mit anderen Fahrzeugen, Personen oder der Fahrzeugumgebung zu vermeiden und gegebenenfalls ein sicheres Abbremsen des Fahrzeugs bis zum Stillstand durchzuführen.

Obwohl das Redundanzsystem im Verlauf eines Fahrzeuglebens nur äußerst selten oder möglicherweise niemals genutzt wird, sind Redundanzsysteme in einigen Fällen als vollständige Duplikate des autonomen Fahrsystems inklusive der hochkomplexen Sensorik ausgeführt, woraus hohe Kosten für das Gesamt system resultieren. Um die hohen Kosten für ein vollständig redundantes Sys tem zu vermeiden, sind verschiedene Ansätze bekannt. Beispielsweise ist aus DE 102015206496 A1 eine Steuervorrichtung für ein Fahrzeug mit einer An zahl von Fahrerassistenzsystem und einer Überwachungseinrichtung bekannt, wobei die Fahrerassistenzsysteme dazu ausgebildet sind, das Fahrzeug mittels einer Anzahl von Fahrzeugaktuatoren zu steuern. In einer Ausführungsform der Steuereinrichtung kann ferner eine Kontrolleinrichtung vorgesehen sein, welche ausgebildet ist, eine Recheneinrichtung und/oder die Überwachungseinrichtung auf Fehler zu überwachen. Wird ein Fehler erkannt kann die Kontrolleinrichtung ein Warnsignal zumindest an die Fahrerassistenzsysteme ausgeben und eine Begrenzung der Steuersignale durch die Überwachungseinrichtung unterbin den. In einer weiteren Ausführungsform können die Fahrerassistenzsysteme ausgebildet sein, bei Erhalten des Warnsignals eine Notlauf-Trajektorie zum sicheren Abbremsen des Fahrzeugs in den Stillstand zu berechnen und die Fahrzeugaktuatoren entsprechend der berechneten Notlauf-Trajektorie anzu steuern. Hierbei offenbart das System jedoch keine Redundanz des Systems für den Fall eines Ausfalls der Fahrerassistenzsysteme und/oder der damit ver bundenen Sensorik. Weiterhin wird die Überwachungsfunktion permanent aus geführt, woraus ein erhöhter Energiebedarf resultiert. DE 10 2018 126 270 A1 offenbart ein Fahrzeug mit einem virtuellen Fahrzeug führersystem mit mehreren Plattformsteuerungen für Fahrzeugaktuatoren. Ein Fahrzeugcomputer ist dazu programmiert, im Falle eines Fehlers, von den Platt formsteuerungen Empfehlungen für eine minimale Risikobedingung zu erhalten und aus den erhaltenen Empfehlungen ein Ereignis auszuwählen, welches da raufhin ausgeführt wird. Für den Fall, dass einer oder mehrerer Sensoren aus- fallen, wird die minimale Risikobedingung unter Verwendung der noch vorhan denen Sensorik ausgeführt. Eine Redundanz der Sensorik selbst wird nicht of fenbart.

US 2019 0171205 A1 offenbart ein Verfahren zum Betreiben eines Fahrzeug steuerungssystems, das mindestens ein stromabwärts gelegenes System mit zumindest einem Aktuator beinhaltet. Das stromabwärts gelegene System emp fängt Signale von einem stromaufwärts gelegenen System und wirkt unter Ver wendung der Signale auf eine Bewegung des Fahrzeugs ein. Das Verfahren umfasst die Schritte: Übertragen von Signalen von dem stromaufwärts gelege nen System an das stromabwärts gelegene System in Echtzeit; bestimmen, dass stromaufwärts des stromabwärts gelegenen Systems ein Fehler aufgetre ten ist; und Verwendung eines Reaktionsplans für das stromabwärts gelegene System, der eine Funktionssequenz des mindestens einen Aktuators des stromabwärts gelegenen Systems definiert und der zuvor in einem dem strom abwärts gelegenen System zugänglichen Speicher gespeichert wurde. Da der Reaktionsplan bereits vorgespeichert ist, kann das Redundanzsystem nicht auf geänderte Umweltbedingungen reagieren. Ferner sind das stromaufwärts gele gene System und das stromabwärts gelegene System in einem gemeinsamen Kreis angeordnet, wobei keine Redundanz für einen Ausfall des stromabwärts gelegenen Systems bereitgestellt wird.

Nachteilig bei den genannten Lösungen ist, dass keine ausreichende Redun danz bereitgestellt wird. Beispielsweise bieten die Systeme keine ausreichende Redundanz im Falle eines Ausfalls der hochkomplexen Sensorik des Flauptsys- tems, der Flauptrecheneinheit und/oder eines oder mehrerer Aktuatoren. Hier- durch kann eine Sicherheit bei einem Ausfall des Hauptsystems nicht immer ausreichend gewährleistet werden.

Es besteht daher Bedarf nach Verfahren zum Steuern eines Fahrzeugs sowie autonomen Fahrzeugsystemen, die kostengünstig sind bzw. kostengünstige Komponenten verwenden und eine ausreichende Sicherheit bei einem Fehler des autonomen Betriebs-Fahrsystems gewährleisten.

Die vorliegende Erfindung löst die Aufgabe in einem ersten Aspekt bei einem Verfahren zum Steuern eines Fahrzeugs mit einem autonomen Fahrzeugsys tem dadurch, dass das Redundanz-Fahrsystem zum Durchführen einer redu zierten Fahraufgabe ausgebildet ist, wobei das autonome Betriebs-Fahrsystem dazu ausgebildet ist, eine Trajektorienplanung durchzuführen, um eine geplante Trajektorie für die reduzierte Fahraufgabe durchzuführen und an dem Redun danz-Fahrsystem bereitzustellen, wobei das autonome Betriebs-Fahrsystem und das Redundanz-Fahrsystem miteinander verbunden sind und ermitteln, ob ein Fehler des jeweils anderen Systems vorliegt, und wobei das Redundanz- Fahrsystem nach Ermitteln eines Fehlers des autonomen Betriebs-Fahrsystems wenigstens einen der Fahrzeugaktuatoren ansteuert, um die reduzierte Fahr aufgabe unter Verwendung der geplanten Trajektorie durchzuführen.

Die Erfindung macht sich die Erkenntnis zunutze, dass eine reduzierte Fahrauf gabe mit Hilfe eines vereinfachten Redundanz-Fahrsystems durchgeführt wer den kann, welches deutlich kostengünstiger ist als das autonome Betriebs- Fahrsystem. Sowohl das autonome Betriebs-Fahrsystem als auch das Redun danz-Fahrsystem sind dazu ausgebildet, Fahrzeugaktuatoren anzusteuern. Im fehlerfreien Fall führt das autonome Betriebs-Fahrsystem die dynamische Fahr aufgabe bevorzugt vollkommen unabhängig von dem Redundanz-Fahrsystem aus. Die dynamische Fahraufgabe umfasst im Allgemeinen ein Lenken, Brem sen und Beschleunigen des Fahrzeugs unter Berücksichtigung der Umweltbe dingungen sowie das Bestimmen von Zwischenzielen und Wegpunkten. Im Rahmen der dynamischen Fahraufgabe muss das autonome Betriebs- Fahrsystem zumindest auf andere Verkehrsteilnehmer, Signale und Zeichen, Umwelteinflüsse sowie Wegebedingungen reagieren. Beispielsweise kann die dynamische Fahraufgabe ein autonomes Fahren des Fahrzeugs auf einer öf fentlichen Straße von einem ersten Ort zu einem zweiten Ort sein, wobei der zweite Ort mehrere Kilometer von dem ersten Ort entfernt ist. Die reduzierte Fahraufgabe weist einen relativ zur dynamischen Fahraufgabe reduzierten Funktionsumfang auf.

Die geplante Trajektorie für die reduzierte Fahraufgabe beschreibt den geplan ten Bewegungspfad des Fahrzeugs und wird im Rahmen einer Trajektorienpla- nung ermittelt. Bevorzugt erfolgt die Trajektorienplanung unter Berücksichtigung des Fahrzeugzustands, insbesondere der Geschwindigkeit, der Masse und der Querbeschleunigung, sowie weiterer Umgebungsbedingungen und Umweltein flüsse. Solche Umgebungsbedingungen und Umwelteinflüsse können bei spielsweise Umgebungstemperatur, Straßentemperatur, Straßenverhältnisse, Spurbreiten, Spurverlauf und Verkehrsaufkommen sein. Da die geplante Trajek torie für die reduzierte Fahraufgabe von dem autonomen Betriebs-Fahrsystem an dem Redundanz-Fahrsystem bereitgestellt wird, muss das Redundanz- Fahrsystem keine eigene Trajektorienplanung für die reduzierte Fahraufgabe durchführen. Flierdurch kann eine Verfügbarkeit der geplanten Trajektorie für den Fehlerfall erhöht werden. Bevorzugt ist das Redundanz-Fahrsystem dazu ausgebildet, in einem nicht autonomen Betriebsfall eine Fahrassistenzfunktion durchzuführen. Besonders bevorzugt führt das Redundanz-Fahrsystem im nicht autonomen Betriebsfall des Fahrzeugs eine Notbremsfunktion, eine Spurhalte- assistenzfunktion oder Abstandshalteassistenzfunktion aus. Vorzugsweise weist das Redundanz-Fahrsystem einen Redundanzspeicher zum Speichern der geplanten Trajektorie auf.

Gemäß einer ersten bevorzugten Ausführungsform ist das Redundanz- Fahrsystem dazu ausgebildet, eine reduzierte Trajektorienplanung durchzufüh ren, um eine reduzierte Trajektorie für die reduzierte Fahraufgabe zu erhalten, wenn keine gültige geplante Trajektorie von dem autonomen Betriebs- Fahrsystem bereitgestellt wird, wobei das Redundanz-Fahrsystem nach Ermit teln eines Fehlers des autonomen Betriebs-Fahrsystems wenigstens einen der Fahrzeugaktuatoren ansteuert, um die reduzierte Fahraufgabe unter Verwen dung der reduzierten Trajektorie durchzuführen. Bei besonders schwerwiegen den Fehlern kann das autonome Betriebs-Fahrsystem keine Trajektorienpla- nung durchführen und keine geplante Trajektorie für das Redundanz- Fahrsystem bereitstellen. Ferner kann die geplante Trajektorie, beispielsweise aufgrund eines Übertragungsfehlers oder des Ablaufs eines Zeitstempels, un gültig sein. Um die reduzierte Fahraufgabe dennoch durchführen zu können, kann das Redundanz-Fahrsystem eine reduzierte Trajektorienplanung durch führen, deren Funktionsumfang gegenüber der Trajektorienplanung einge schränkt ist. Beispielsweise kann bei der reduzierten Trajektorienplanung ein gegenüber der Trajektorienplanung reduzierter Parametersatz verwendet wer den. Weiterhin kann die reduzierte Trajektorienplanung im Vergleich zur Trajek torienplanung basierend auf qualitativ und/oder quantitativ reduzierten Daten durchgeführt werden. Ferner kann die reduzierte Trajektorie gegenüber der ge planten Trajektorie beschränkt sein. Beispielsweis kann die maximale Länge der reduzierten Trajektorie gegenüber der geplanten Trajektorie reduziert sein. Ferner ist bevorzugt eine maximale Länge der Trajektorie und/oder eine maxi male Zeitdauer, die ein Fahrzeug zum Abfahren der Trajektorie benötigt, be schränkt.

Bevorzugt ist das Redundanz-Fahrsystem dazu ausgebildet, zu ermitteln, ob eine von dem autonomen Betriebs-Fahrsystem bereitgestellte geplante Trajek torie zum Durchführen der reduzierten Fahraufgabe geeignet ist. Weiterhin be vorzugt ist das Redundanz-Fahrsystem dazu ausgebildet in Antwort auf ein Er mitteln einer Ungültigkeit der geplanten Trajektorie, die reduzierte Trajektorien planung durchzuführen, um eine reduzierte Trajektorie für die reduzierte Fahr aufgabe zu erhalten.

Vorzugsweise führt das autonome Betriebs-Fahrsystem die Trajektorienplanung zyklisch durch, um eine geplante Trajektorie zu erhalten, und stellt jeweils die geplante Trajektorie an dem Redundanz-Fahrsystem bereit. Das Redundanz- Fahrsystem verwendet jeweils die letzte bereitgestellte geplante Trajektorie zum Durchführen der reduzierten Fahraufgabe. Durch ein zyklisches durchfüh- ren der Trajektorienplanung kann die geplante Trajektorie an veränderte Bedin gungen des Fahrzeugs oder der Fahrzeugumgebung angepasst werden. Dies ist beispielsweise von Vorteil, wenn nach dem Durchführen einer Trajektorien planung ein anderes Fahrzeug eine Fahrspur wechselt und die geplante Trajek torie dadurch blockiert. Besonders bevorzugt hat eine Zykluszeit zwischen zwei aufeinanderfolgenden Trajektorienplanungen einen Bereich von 1 ms bis 10 Sekunden, bevorzugt 1 ms bis 1 Sekunde, bevorzugt 1 ms bis 500 ms, weiter hin bevorzugt 1 ms bis 20 ms, besonders bevorzugt etwa 10 ms.

Je kürzer die Zykluszeit zwischen zwei aufeinanderfolgenden Trajektorienpla nung ist, desto geringer ist die Wahrscheinlichkeit, dass die geplante Trajektorie für die reduzierte Fahraufgabe aufgrund veränderter Bedingungen unsicher ist. Im Allgemeinen steigt mit einer abnehmenden Zykluszeit jedoch ein Energiebe darf des autonomen Betriebs-Fahrsystems.

In einerweiteren bevorzugten Ausführungsform weist das autonome Betriebs- Fahrsystem einen oder mehrere Primärsensoren auf, die Sensordaten an einer zentralen Steuereinheit des autonomen Betriebs-Fahrsystems bereitstellen, wobei die zentrale Steuereinheit die Trajektorienplanung unter Verwendung der Sensordaten ausführt. Vorzugsweise weisen die Primärsensoren hochkomplexe Sensoren auf, wie z.B. zumindest einen 3D-Lidar-Scanner, ein Imaging-Radar, eine Stereokamera, eine Mono-Kamera, ein Empfänger für V2X-Daten, ein Empfänger für GPS-lnformationen, eine Umfeldfusion bildgebender Sensoren, einen Beschleunigungssensor, einen Gierratensensor, einen Radgeschwindig keitssensor und/oder einen Lenkradwinkelsensor.

Die zentrale Steuereinheit ist dazu ausgebildet die Sensordaten auszuwerten, und daraus Informationen über einen Fahrzeugzustand und/oder die Fahr zeugumgebung zu generieren. Beispielsweise kann die zentrale Steuereinheit unter Verwendung der Sensordaten den Verlauf einer Fahrspur ermitteln, auf der sich das Fahrzeug befindet. Die Primärsensoren erlauben eine besonders exakte Bestimmung des Fahrzeugzustandes und/oder der Fahrzeugumgebung. Durch die Verwendung der Sensordaten für die Trajektorienplanung kann eine hohe Genauigkeit und/oder Sicherheit der geplanten Trajektorie sichergestellt werden.

Gemäß einer weiteren bevorzugten Ausführungsform weist das Redundanz- Fahrsystem einen oder mehrere einfache Redundanzsensoren auf, die Redun danzsensordaten an einer zentralen Redundanzsteuereinheit bereitstellen, wo bei die zentrale Redundanzsteuereinheit unter Verwendung der Redundanz sensordaten ermittelt ob sich ein Hindernis auf der geplanten Trajektorie oder der reduzierten Trajektorie befindet und die geplante Trajektorie oder die redu zierte Trajektorie unter Verwendung der Redundanzsensordaten modifiziert, wenn ein Hindernis auf der geplanten Trajektorie oder der reduzierten Trajekto rie ermittelt wird. Im Vergleich zu den insbesondere hochkomplexen Pri märsensoren sind die Redundanzsensoren vorzugsweise einfache und kosten günstige Sensoren, wobei eine Qualität der von den Redundanzsensoren be reitgestellten Redundanzsensordaten im Vergleich zu den Sensordaten gerin ger ist. So kann beispielsweise eine Auflösung der Fahrzeugumgebung einge schränkt sein. Vorzugsweise weisen die Redundanzsensoren ein Radar und/oder eine Kamera auf. Besonders bevorzugt sind die Redundanzsensoren Sensoren, die in gängigen Fahrassistenzsystemen, wie beispielsweise einem Spurhalte-Assistenzsystem oder einem Notbrems-Assistenzsystem, verwendet werden. Sensoren gängiger Assistenzsysteme werden vielfach eingesetzt und sind deshalb vergleichsweise kostengünstig. Vorzugsweise ist ein Funktionsum fang der zentralen Redundanzsteuereinheit im Vergleich zur zentralen Steuer einheit eingeschränkt. Beispielsweise kann eine Rechenleistung und/oder eine Speicherkapazität eines Speichers geringer ausgeführt sein. Dies ermöglicht das Einsparen von Finanzmitteln im Rahmen der Erstausstattung sowie einen reduzierten Energiebedarf. Da das Redundanz-Fahrsystem eigene Redundanz sensoren aufweist, ist ein sicheres Durchführen der reduzierten Fahraufgabe auch dann möglich, wenn ein Fehler der hochkomplexen Primärsensoren vor liegt. Ferner kann das Redundanz-Fahrsystem bei einem vollständigen Ausfall des Betriebs-Fahrsystem ein sicheres Durchführen der reduzierten Aufgabe auch dann gewährleisten, wenn nach der Trajektorienplanung oder der redu zierten Trajektorienplanung ein Hindernis entlang der geplanten Trajektorie und/oder der reduzierten Trajektorie auftritt. Beispielsweise kann eine geplante Trajektorie für ein moderates Abbremsen des Fahrzeugs zur Trajektorie einer Vollbremsung des Fahrzeugs modifiziert werden, wenn die zentrale Redun danzsteuereinheit unter Verwendung der Redundanzensensordaten ermittelt, dass sich ein Hindernis auf der geplanten Trajektorie befindet.

Gemäß einer bevorzugten Ausführungsform wird das Redundanz-Fahrsystem von einer von dem Betriebs-Fahrsystem unabhängigen Redundanzspannungs versorgung versorgt. Durch eine derartige Ausgestaltung kann eine weitere po tentielle Fehlerquelle, die einen sicheren Betrieb des autonomen Fahrzeugsys tems gefährdet, ausgeschlossen werden. Auch wenn aufgrund eines Ausfalls einer Flauptspannungsversorgung ein Fehler des autonomen Betriebs- Fahrsystems vorliegt, kann das Redundanz-Fahrsystem durch die Redundanz spannungsversorgung mit Spannung versorgt werden und die reduzierte Fahr aufgabe ausführen. Bevorzugt weist die Redundanzspannungsversorgung eine geringere Kapazität als eine Flauptspannungsversorgung auf. Dadurch können die Kosten für die Redundanzspannungsversorgung im Vergleich zu den Kos ten der Flauptspannungsversorgung reduziert werden. Aufgrund des geringeren Funktionsumfangs des Redundanz-Fahrsystems ist dessen Energieverbrauch im Vergleich zum autonomen Betriebs-Fahrsystem reduziert, sodass die Ver sorgung auch mit einer Redundanz-Spannungsversorgung mit geringerer Ka pazität möglich ist.

Vorzugsweise stellen die Redundanzsensoren die Redundanzsensordaten auch an der zentralen Steuereinheit bereit. Somit kann erreicht werden, dass die zentrale Steuereinheit beim Durchführen der Trajektorienplanung auch die Redundanzsensordaten verwenden kann. Somit kann vorzugsweise eine Quali tät der Trajektorienplanung und der daraus erhaltenen geplanten Trajektorie weiter verbessert werden. Vorzugsweise ist die zentrale Steuereinheit dazu ausgebildet, zumindest einen Teil der Sensordaten der Primärsensoren mittels der Redundanzsensordaten zu verifizieren. Vorzugsweise ist die reduzierte Fahraufgabe ein kontrolliertes Bremsmanöver, bei dem das Redundanz-Fahrsystem ein Blockieren der Räder einer Achse des Fahrzeugs verhindert. Ein Blockieren der Räder des Fahrzeugs kann zu einer unkontrollierten Bewegung des Fahrzeugs führen, sodass die geplante Trajek- torie oder die reduzierte Trajektorie gegebenenfalls nicht eingehalten werden kann. Darüber hinaus ist ein Bremsweg des Fahrzeugs beim Blockieren der Räder verlängert. Vorzugsweise ist die geplante Trajektorie und/oder die redu zierte Trajektorie für das kontrollierte Bremsmanöver derart ausgebildet, dass das Fahrzeug mit moderaten Beschleunigungswerten verzögert und somit ein zur Verfügung stehender Bremsweg ausgenutzt wird. Durch moderate Werte der Beschleunigung kann ein Ausbrechen des Fahrzeugs oder eines Anhä ngers, ein Auffahren nachfolgender Fahrzeuge und/oder eine Beschädigung von Fahrzeugladung vermieden werden. Es soll jedoch Verstanden werden, dass das kontrollierte Bremsmanöver gegebenenfalls auch eine Vollbremsung des Fahrzeugs sein kann. Dies ist beispielsweise der Fall, wenn kein für eine moderate Bremsung ausreichender Bremsweg zur Verfügung steht. Durch das kontrollierte Bremsmanöver kann ein sicheres Abbremsen des Fahrzeugs bis zum Stillstand sichergestellt werden. Beim Ausfall des autonomen Betriebs- Fahrsystems wird das Fahrzeug durch das Redundanz-Fahrsystem sicher zum Stillstand gebracht, wobei Kollisionen mit anderen Fahrzeugen und/oder Hin dernissen in der Fahrzeugumgebung durch das Redundanz-Fahrsystem ver mieden werden.

Vorzugsweise ist das kontrollierte Bremsmanöver ein Spurhalte- Bremsmanöver, bei dem das Fahrzeug eine Fahrspur beibehält, und/oder ein Spurwechsel-Bremsmanöver, bei dem das Fahrzeug auf eine vorhandene be fahrbare alternative Fahrspur, bevorzugt einen Seitenstreifen, gelenkt und ver zögert wird, wobei die zentrale Redundanzsteuereinheit das Einhalten der ge planten Trajektorie oder der reduzierten Trajektorie unter Verwendung der Re dundanzsensordaten überwacht. Bei einem Spurhalte-Bremsmanöver, welches auch als stop-in-lane-Bremsmanöver bezeichnet wird, verläuft die geplante Trajektorie und/oder die reduzierte Trajektorie entlang einer Fahrspur, auf der sich das Fahrzeug befindet. Es soll verstanden werden, dass die Fahrspur auch gekrümmt sein kann bzw. eine Kurve aufweisen kann. Bevorzugt wird das Spurhalte-Bremsmanöver ausgeführt, wenn keine befahrbare alternative Fahr spur vorhanden ist. Dies ist beispielsweise der Fall, wenn das Fahrzeug eine einspurige Straße befährt oder wenn ein Seitenstreifen durch ein defektes Fahrzeug blockiert ist. Die geplante Trajektorie und/oder die reduzierte Trajek- torie für ein Spurwechsel-Bremsmanöver verläuft von einer ersten Fahrspur, auf der sich das Fahrzeug befindet, zu einer weiteren Fahrspur, die befahrbar ist.

Es soll verstanden werden, dass die geplante Trajektorie und/oder die reduzier te Trajektorie für das Spurwechsel-Bremsmanöver auch über mehr als zwei Fahrspuren verlaufen kann. Die zentrale Redundanzsteuereinheit ist vorzugs weise dazu ausgebildet, die geplante Trajektorie oder die reduzierte Trajektorie unter Verwendung der Redundanzsensordaten zu modifizieren. Vorzugsweise wird das Spurwechsel-Bremsmanöver, das auch als Stop-on-hard-shoulder- Bremsmanöver bezeichnet wird, durchgeführt. Besonders bevorzugt ist das Redundanz-Fahrsystem dazu ausgebildet, zu ermitteln, ob eine Spurwechsel- Bremsmanöver möglich ist. Vorzugsweise ist die Redundanzsteuereinheit dazu ausgebildet, unter Verwendung der Redundanzsensordaten zu ermitteln, ob sich ein Hindernis auf der Fahrspur, auf der sich das Fahrzeug befindet, oder auf der alternativen Fahrspur befindet.

In einer bevorzugten Ausführungsform führt die zentrale Steuereinheit, wenn kein Fehler vorliegt, eine Betriebs-Trajektorienplanung durch, um eine Betriebs- Trajektorie zu erhalten, und stellt die Betriebs-Trajektorie an einem Betriebskon troller und einem Rendundanzkontroller bereit, wobei der Betriebskontroller und/oder der Redundanzkontroller zumindest einen der Fahrzeugaktuatoren ansteuern, um das Fahrzeug auf der vorgeplanten Betriebs-Trajektorie zu hal ten. Hier erfolgt die Planung der Betriebs-Trajektorie durch die zentrale Steuer einheit des autonomen Betriebs-Fahrsystem, wobei der Betriebskontroller die Fahrzeugaktuatoren unter Verwendung der von der zentralen Steuereinheit be reitgestellten Betriebs-Trajektorie derart angesteuert, dass das Fahrzeug auf der vorgeplanten Betriebs-Trajektorie gehalten wird. Vorzugsweise ist das au tonome Betriebs-Fahrsystem modular aufgebaut, wobei die zentrale Steuerein heit die Planung durchführt und der Betriebskontroller die geplante Fahraufgabe ausführt. Der Redundanzkontroller stellt eine Redundanzebene für den Be triebskontroller dar. Bei einem Fehler des Betriebskontrollers wird die geplante Betriebs-Trajektorie von der zentralen Steuereinheit an dem Redundanzkontrol ler bereitgestellt, sodass zumindest ein Teil der Fahrzeugaktuatoren weiterhin angesteuert werden kann. Vorzugsweise ist der Betriebskontroller und/oder der Redundanzkontroller dazu ausgebildet, zu ermitteln, ob ein Fehler eines Fahr zeugaktuators vorliegt. Besonders bevorzugt ist der Betriebskontroller und/oder der Redundanzkontroller dazu ausgebildet, einen ermittelten Fehler eines Fahr zeugaktuators an der zentralen Steuereinheit und/oder der Redundanzsteuer einheit bereitzustellen.

Ferner ist bevorzugt, dass die Fahrzeugaktuatoren zumindest einen Fahrzeug aktuator aus der Gruppe: Getriebe, Motor, Flauptbremssystem, Redundanz bremssystem oder Lenkaktuator aufweisen. Vorzugsweise ist das Getriebe ein Automatikgetriebe. Das Flauptbremssystem und/oder das Redundanzbremssys tems ist bevorzugt als pneumatisches Bremssystem ausgebildet. Ferner bevor zugt ist das Flauptbremssystem und/oder das Redundanzbremssystem ein elektronisches Bremssystem. Weiterhin bevorzugt regelt das Flauptbremssys tem und/oder das Redundanzbremssystem einen Bremsdruck von Bremszylin dern der Räder individuell.

Gemäß einer weiteren bevorzugten Ausführungsform stellt die zentrale Redun danzsteuereinheit die geplante Trajektorie oder die reduzierte Trajektorie der reduzierten Fahraufgabe an dem Betriebskontroller und dem Redundanzkon troller bereit, wobei der Betriebskontroller und/oder der Redundanzkontroller zumindest einen der Fahrzeugaktuatoren ansteuern, um das Fahrzeug auf der Trajektorie der reduzierten Fahraufgabe zu halten, wenn in einem Fehlerfall des Betriebs-Fahrsystems keine Betriebs-Trajektorie vorliegt. Die Trajektorie der reduzierten Fahraufgabe kann die geplante Trajektorie oder die reduzierte Trajektorie sein. Vorzugsweise sind der Betriebskontroller und der Redundanz kontroller dazu ausgebildet, die geplante Trajektorie oder die reduzierte Trajek torie der reduzierten Fahraufgabe nur dann zu akzeptieren, wenn keine Be triebs-Trajektorie von der zentralen Steuereinheit des autonomen Betriebs- Fahrsystems bereitgestellt wird. Vorzugsweise ist die zentrale Steuereinheit mit dem Betriebskontroller und dem Redundanzkontroller verbunden und die zent rale Redundanzsteuereinheit ist ebenfalls mit dem Betriebskontroller und dem Redundanzkontroller verbunden. Somit kann ein sicherer Betrieb des Fahr zeugs auch dann sichergestellt werden, wenn beispielsweise die zentrale Steu ereinheit und der Redundanzkontroller zeitgleich ausfallen. Flierdurch kann die Sicherheit des Systems vorteilhaft verbessert werden. Ferner wird ein sicherer Betrieb des Fahrzeugs auch dann sichergestellt, wenn das autonome Betriebs- Fahrsystem oder das Redundanz-Fahrsystem vollständig ausfallen.

Vorzugsweise überwacht der Betriebskontroller einen Fehlerstatus des Redun danzkontrollers und der Redundanzkontroller einen Fehlerstatus des Betriebs kontrollers. Besonders bevorzugt sind der Betriebskontroller und der Redun danzkontroller dazu ausgebildet einen Fehlerstatus der jeweils anderen Kom ponente an der zentralen Steuereinheit und/oder der Redundanzsteuereinheit bereitzustellen, wenn ein Fehler der jeweils anderen Komponente vorliegt. Be vorzugt führt die zentrale Steuereinheit die Trajektorienplanung und/oder die Betriebs-Trajektorienplanung unter Verwendung des Fehlerstatus des Betriebs kontrollers und/oder des Redundanzkontrollers durch. Ebenso führt die zentrale Redundanzsteuereinheit die reduzierte Trajektorienplanung bevorzugt unter Verwendung des Fehlerstatus des Betriebskontrollers und/oder des Redun danzkontrollers durch. Mit einer derartigen Ausgestaltung ist es möglich, im Rahmen der Betriebs-Trajektorienplanung, der Trajektorienplanung und/oder der reduzierten Trajektorienplanung zu berücksichtigen, wenn einer oder meh rere Fahrzeugaktuatoren aufgrund eines Fehlers des Betriebskontrollers und/oder des Redundanzkontrollers nicht angesteuert werden können.

In einer bevorzugten Ausführungsform wird für den Fall, dass ein Hauptbrems system des Betriebs-Fahrsystems ausfällt, das Fahrzeug mittels eines Redun danzbremssystems gebremst wird, das von einer Hauptspannungsversorgung des Betriebs-Fahrsystems unabhängig ist. Jedoch kann vorteilhafter weise er reicht werden, dass selbst beim Ausfall des Hauptbremssystems das Fahrzeug sicher bis zum Stillstand abgebremst werden kann. Die Ansteuerung des Re- dundanzbremssystems kann sowohl vom Betriebskontroller als auch vom Re dundanzkontroller erfolgen. Es soll jedoch verstanden werden, dass das Haupt bremssystem von der Redundanzspannungsversorgung versorgt und das Re dundanzbremssystem von der Hauptspannungsversorgung versorgt werden kann.

Gemäß einerweiteren bevorzugten Ausführungsform erfolgt ein Lenken des Fahrzeugs mittels eines Lenkaktuators, der von dem Redundanzkontroller an gesteuert wird und von einer Hauptspannungsversorgung des Betriebs- Fahrsystems unabhängig ist. Somit ist ein Lenken des Fahrzeugs auch für den Fall möglich, dass die Hauptspannungsversorgung des Betriebs-Fahrsystems ausfällt. Besonders bevorzugt werden das Hauptbremssystem und der Lenkak tuator von verschiedenen Spannungsversorgungen versorgt. Es soll verstanden werden, dass der Lenkaktuator in einem fehlerfreien Betrieb unter Verwendung der von der zentralen Steuereinheit bereitgestellten Betriebs-Trajektorie von dem Redundanzkontroller oder dem Betriebskontroller angesteuert wird.

Vorzugsweise wird für den Fall, dass ein Lenkaktuator des Betriebs- Fahrsystems ausfällt, ein Not-Lenken des Fahrzeugs mittels eines Haupt bremssystems ausgeführt, wobei das Hauptbremssystem vorzugsweise von dem Redundanzkontroller angesteuert wird. Ebenso bevorzugt kann das Hauptbremssystem auch von dem Betriebskontroller angesteuert werden. Be vorzugt wird das Hauptbremssystem von der Hauptspannungsversorgung ver sorgt. Es kann jedoch auch vorgesehen sein, dass das Hauptbremssystem von der Hauptspannungsversorgung unabhängig ist, und mittels der Redundanz spannungsversorgung versorgt wird. Vorzugsweise erfolgt das Not-Lenken durch selektives Anbremsen einzelner Räder, bevorzugt einzelner Vorderräder, des Fahrzeugs. Wird beispielsweise das linke Vorderrad eines Nutzfahrzeugs gebremst, kann aufgrund der besonderen Achskinematik von Nutzfahrzeugen, eine Linksdrehung des Lenkrads des Nutzfahrzeugs erreicht werden. Das Not- Lenken ermöglicht, dass das Fahrzeug auch bei einem Fehler des Lenkaktua tors, des autonomen Betriebs-Fahrsystems und/oder der mit dem Lenkaktuator verbundenen Spannungsversorgung auf einer Fahrspur gehalten werden kann. Vorzugsweise ermöglicht das Not-Lenken ferner einen Spurwechsel des Fahr zeugs.

Gemäß einem zweiten Aspekt löst die Erfindung die eingangs gestellte Aufgabe mit einem autonomen Fahrzeugsystem zum Steuern eines Fahrzeugs, insbe sondere Nutzfahrzeugs, aufweisend: Ein autonomes Betriebs-Fahrsystem, das zum Ansteuern wenigstens eines Fahrzeugaktuators des Fahrzeugs zum Durchführen einer dynamischen Fahraufgabe in einem fehlerfreien Betrieb des autonomen Betriebs-Fahrsystems ausgebildet ist, ein Redundanz-Fahrsystem, das zum Durchführen einer reduzierten Fahraufgabe ausgebildet ist, wobei das autonome Betriebs-Fahrsystem dazu ausgebildet ist, zum Erhalten einer ge planten Trajektorie für die reduzierte Fahraufgabe eine Trajektorienplanung durchzuführen und die geplante Trajektorie an dem Redundanz-Fahrsystem bereitzustellen, wobei das autonome Betriebs-Fahrsystem und das Redundanz- Fahrsystem miteinander verbunden und dazu ausgebildet sind, zu ermitteln, ob ein Fehler des jeweils anderen Systems vorliegt, wobei das Redundanz- Fahrsystem zum Ansteuern wenigstens eines Fahrzeugaktuators ausgebildet ist, um die reduzierte Fahraufgabe beim Ermitteln eines Fehlers des autonomen Betriebs-Fahrsystems unter Verwendung der geplanten Trajektorie durchzufüh ren.

In einem fehlerfreien Betrieb wird die Fahraufgabe durch das autonome Be- triebs- Fahrsystem übernommen, während das Redundanz-Fahrsystem als Rückfallebene für den Fall eines Fehlers des autonomen Betriebs-Fahrsystems vorgesehen ist. Es soll jedoch verstanden werden, dass das autonome Be- triebs- Fahrsystem zum Durchführen der autonomen Fahraufgabe vorzugsweise auch eine oder mehrere Subkomponenten des Redundanz-Fahrsystems an steuern kann und/oder eine Betriebs-Trajektorie an Subkomponenten des Re dundanz-Fahrsystems bereitstellen kann. Vorzugsweise steuert das autonome Betriebs-Fahrsystem eine größere Anzahl der Fahrzeugaktuatoren an als das Redundanz-Fahrsystem. Gemäß einer ersten bevorzugten Ausführungsform ist das Redundanz- Fahrsystem dazu ausgebildet, eine reduzierte Trajektorienplanung durchzufüh ren, um eine reduzierte Trajektorie für die reduzierte Fahraufgabe zu erhalten, wenn keine gültige geplante Trajektorie von dem autonomen Betriebs- Fahrsystem bereitgestellt wird, und wobei das Redundanz-Fahrsystem zum Ansteuern wenigstens eines Fahrzeugaktuators ausgebildet ist, um die redu zierte Fahraufgabe beim Ermitteln eines Fehlers des autonomen Betriebs- Fahrsystems unter Verwendung der reduzierten Trajektorie durchzuführen.

Gemäß einer bevorzugten Weiterbildung weist das Betriebs-Fahrsystem einen oder mehrere Primärsensoren zum Ermitteln von Sensordaten, eine mit den Sensoren verbundene zentrale Steuereinheit und eine Flauptspannungsversor- gung für das Betriebs-Fahrsystem auf, wobei die zentrale Steuereinheit dazu ausgebildet ist, eine Trajektorienplanung zum Erhalten einer geplanten Trajek torie unter Verwendung der Sensordaten durchzuführen, wenn kein Fehler vor liegt. Vorzugsweise ist für die Primärsensoren keine Redundanz vorhanden, wodurch Beschaffungskosten und/oder Fierstellungskosten des autonomen Fahrzeugsystems reduziert werden können.

Vorzugsweise weist das Betriebs-Fahrsystem ferner einen mit der zentralen Steuereinheit verbundenen Betriebskontroller auf, der zum Ansteuern zumin dest eines Fahrzeugaktuators und/oder einer ersten Gruppe von Fahrzeugaktu atoren des Fahrzeugsystems ausgebildet ist. Die zentrale Steuereinheit führt bevorzugt eine Trajektorienplanung und eine Betriebs-Trajektorienplanung durch, und stellt die geplante Trajektorie und die Betriebs-Trajektorie an dem Betriebskontroller bereit. Der Betriebskontroller steuert zumindest einen Fahr zeugaktuator und/oder die erste Gruppe von Fahrzeugaktuatoren an, sodass das Fahrzeug der geplanten Trajektorie oder der Betriebs-Trajektorie folgt. Vor zugsweise weist das autonome Fahrzeugsystem mehrere Gruppen von Fahr zeugaktuatoren auf.

Vorzugsweise umfasst eine erste Gruppe von Fahrzeugaktuatoren ein Getriebe, einen Motor und/oder ein Flauptbremssystem, wobei der oder die Fahrzeugak tuatoren mit der Flauptspannungsversorgung des Betriebs-Fahrsystems ver- bunden sind. Es soll verstanden werden, dass die erste Gruppe von Fahrzeug aktuatoren auch nur einen oder zwei der genannten Fahrzeugaktuatoren auf weisen kann. Vorzugsweise ist jedenfalls ein Flauptbremssystem vorgesehen. Vorzugsweise sind der ersten Gruppe von Fahrzeugaktuatoren diejenigen Fahrzeugaktuatoren zugeordnet, die eine Längsbeschleunigung des Fahrzeugs beeinflussen. Es kann jedoch auch vorgesehen sein, dass der ersten Gruppe von Fahrzeugaktuatoren auch oder ausschließlich einer oder mehrere Fahr zeugaktuatoren zugeordnet sind, die eine Querbeschleunigung des Fahrzeugs beeinflussen. Es soll verstanden werden, dass ein Fahrzeugaktuator sowohl die Längsbeschleunigung als auch die Querbeschleunigung des Fahrzeugs beein flussen kann. Beispielsweise ist dies der Fall, wenn Räder des Fahrzeugs asymmetrisch gebremst werden.

Alternativ kann die erste Gruppe von Fahrzeugaktuatoren einen Lenkaktuator und/oder ein Redundanzbremssystem umfassen, wobei der oder die Fahrzeug aktuatoren mit der Hauptspannungsversorgung des Betriebs-Fahrsystems ver bunden sind. Die genannten Alternativen unterscheiden sich darin, welche Fahrzeugaktuatoren von dem Betriebskontroller angesteuert werden.

Vorzugsweise weist das Redundanz-Fahrsystem einen oder mehrere einfache Redundanzsensoren zum Ermitteln von Redundanzsensordaten auf, die mit der zentralen Steuereinheit des Betriebs-Fahrsystems und mit einer zentralen Re dundanzsteuereinheit des Redundanz-Fahrsystems verbunden sind. Vorzugs weise ist die Verwendung der Redundanzsensordaten also im Rahmen der Be- triebs-Trajektorienplanung, der reduzierten Trajektorienplanung, der Trajektori- enplanung und/oder einer Überwachung der Fahraufgabe oder der reduzierten Fahraufgabe möglich. Im fehlerfreien Betrieb führt die zentrale Steuereinheit des Betriebs-Fahrsystems die Betriebs-Trajektorienplanung vorzugsweise unter Verwendung der Sensordaten der Primärsensoren und der Redundanzsensor daten der Redundanzsensoren durch. Im Falle eines Fehlers des autonomen Betriebs-Fahrsystems kann die Redundanzsteuereinheit eine reduzierte Trajek torienplanung für die reduzierte Fahraufgabe durchführen und/oder die redu zierte Fahraufgabe entlang der geplanten Trajektorie oder der reduzierten Trajektorie unter Verwendung der Redundanzsensordaten überwachen. Die Redundanzsensoren bilden also eine Redundanzebene für die Primärsensoren. Die Redundanzsensoren weisen einen gegenüber den Primärsensoren redu zierten Funktionsumfang auf und sind kostengünstiger. Beispielsweise kann eine Datenerfassungsfrequenz, eine Auflösung, eine Genauigkeit oder ein Messprinzip der Redundanzsensoren einfacher ausgeführt sein, als entspre chende Vergleichswerte der Primärsensoren. Ferner bevorzugt ist eine Ge samtzahl der Primärsensoren größer als eine Anzahl der Redundanzsensoren.

Gemäß einer bevorzugten Weiterbildung weist das Redundanz-Fahrsystem ferner eine Redundanzspannungsversorgung zum Versorgen des Redundanz- Fahrsystems und einen Redundanzkontroller auf, der zum Ansteuern eines Fahrzeugaktuators und/oder einer zweiten Gruppe von Fahrzeugaktuatoren des Fahrzeugsystems ausgebildet ist. Vorzugsweise stellt die zentrale Steuereinheit des Betriebs-Fahrsystems die Betriebs-Trajektorie auch an dem Redundanz kontroller bereit. Somit kann der Redundanzkontroller im Rahmen der autono men Fahraufgabe zum Ansteuern der zweiten Gruppe von Fahrzeugaktuatoren vorgesehen sein. Vorzugsweise ist der Redundanzkontroller dazu ausgebildet, die zweite Gruppe von Fahrzeugaktuatoren nur dann unter Verwendung der geplanten Trajektorie der reduzierten Fahraufgabe anzusteuern, wenn keine Betriebs-Trajektorie der autonomen Fahraufgabe von der zentralen Steuerein heit bereitgestellt wird. Die zweite Gruppe von Fahrzeugaktuatoren wird folglich auch zum Durchführen der autonomen Fahraufgabe im fehlerfreien Betrieb an gesteuert. Wird aufgrund eines Fehlers des Betriebs-Fahrsystems keine Be triebs-Trajektorie von der zentralen Steuereinheit bereitgestellt, steuert der Re dundanzkontroller die zweite Gruppe von Fahrzeugaktuatoren gemäß der redu zierten Fahraufgabe an.

Vorzugsweise umfasst die zweite Gruppe von Fahrzeugaktuatoren einen Lenkaktuator und/oder ein Redundanzbremssystem, die mit der Redundanz spannungsversorgung des Redundanz-Fahrsystems verbunden sind. Alternativ kann die zweite Gruppe von Fahrzeugaktuatoren ein Getriebe und/oder einen Motor und/oder ein Flauptbremssystem umfassen, wobei der oder die Fahr- zeugaktuatoren mit der Redundanzspannungsversorgung des Redundanz- Fahrsystems verbunden sind. Bevorzugt ist jedenfalls ein Hauptbremssystem vorgehsehen. Vorzugsweise sind der Lenkaktuator und das Hauptbremssystem des autonomen Fahrsystems verschiedenen Gruppen von Fahrzeugaktuatoren zugeordnet, die von verschiedenen Spannungsversorgungen des autonomen Fahrzeugsystems versorgt werden. Somit kann sichergestellt werden, dass bei einem Fehler der Hauptspannungsversorgung oder der Redundanzspannungs versorgung weiterhin das Lenken des Fahrzeugs mittels des Lenkaktuators o- der das Not-Lenken des Fahrzeugs mittels des Hauptbremssystems möglich ist. Weiterhin bevorzugt sind das Hauptbremssystem und das Redundanzbrems system verschiedenen Gruppen von Fahrzeugaktuatoren zugeordnet, die von verschiedenen Spannungsversorgung des autonomen Fahrzeugsystems ver sorgt werden. Somit kann im Falle eines Fehlers der Hauptspannungsversor gung oder der Redundanzspannungsversorgung ein Bremsen des Fahrzeugs mittels des Redundanzbremssystems oder des Hauptbremssystems sicherge stellt werden. Es soll verstanden werden, dass auch andere Zuordnungen der Fahrzeugaktuatoren zu den Gruppen von Fahrzeugaktuatoren bevorzugt sind.

In einer bevorzugten Ausführungsform weisen die Redundanzsensoren einen Fahrzeugseitensensor, insbesondere ein Seitenradar, einen Seitenultraschall und/oder einen Seitenlidarsensor auf, der dazu ausgebildet ist, einen Abstand zu einer seitlichen Fahrbahnbegrenzung zu ermitteln. Ferner kann der Fahr zeugseitensensor auch dazu ausgebildet sein, zu ermitteln, ob sich ein Hinder nis in einem Seitenbereich des Fahrzeugs befindet. Besonders bevorzugt ist der Fahrzeugsensor dazu ausgebildet, einen toten Winkel eines Fahrzeugs zu überwachen. Der Fahrzeugseitensensor ermöglicht und/oder verbessert eine Überwachung eines Spurhaltevermögens des Fahrzeugs, wenn dieses die re duzierte Fahraufgabe unter Verwendung der geplanten Trajektorie und/oder der reduzierten Trajektorie durchführt. Ferner bevorzugt erfolgt die Trajektorienpla- nung, die Betriebs-Trajektorienplanung und/oder die reduzierte Trajektorienpla- nung unter Verwendung von Seitensensordaten des Fahrzeugseitensensors.

Es soll verstanden werden, dass die Primärsensoren vorzugsweise einen oder mehrere primäre Seitensensoren umfassen können. Vorzugsweise umfassen die Redundanzsensoren ein kurzreichweiten Frontra dar und/oder einen Weitwinkel-Lidar-Sensor, die zum Ermitteln eines befahrba ren Raums bis zu Fahrzeugkanten ausgebildet sind. Der befahrbare Raum ist derjenige Bereich um das Fahrzeug, der sicher durch das Fahrzeug befahren werden kann. Die Erfassung bis zu Fahrzeugkanten, beispielsweise Front-, Rück- und/oder Seitenflächen, des Fahrzeugs stellt sicher, dass auch Hinder nisse im Nahbereich des Fahrzeugs erfasst werden. Es soll verstanden werden, dass die Primärsensoren vorzugsweise dazu ausgebildet sind, einen befahrba ren Raum bis zu Fahrzeugkanten zu ermitteln.

Gemäß einer bevorzugten Weiterbildung ist der Betriebskontroller dazu ausge bildet, einen Fehlerstatus der ersten Gruppe von Fahrzeugaktuatoren zu ermit teln und an der zentralen Steuereinheit bereitzustellen. Vorzugsweise ist die zentrale Steuereinheit dazu ausgebildet, unter Verwendung des Fehlerstatus der ersten Gruppe von Fahrzeugaktuatoren zu ermitteln, ob ein Fehler eines oder mehrerer der Fahrzeugaktuatoren der ersten Gruppe vorliegt, und beson ders bevorzugt zu ermitteln, welcher der Fahrzeugaktuatoren einen Fehler auf weist. Vorzugsweise ist die zentrale Steuereinheit ferner dazu ausgebildet, die Trajektorienplanung und/oder die Betriebs-Trajektorienplanung unter Verwen dung des ermittelten Fehlerstatus der ersten Gruppe von Fahrzeugaktuatoren durchzuführen.

Weiterhin bevorzugt ist der Redundanzkontroller dazu ausgebildet, einen Feh lerstatus der zweiten Gruppe von Fahrzeugaktuatoren zu ermitteln und an der zentralen Redundanzsteuereinheit und/oder an der zentralen Steuereinheit be reitzustellen. Die zentrale Steuereinheit und/oder die Redundanzsteuereinheit sind vorzugsweise dazu ausgebildet, unter Verwendung des Fehlerstatus der zweiten Gruppe von Fahrzeugaktuatoren zu ermitteln, ob ein Fehler eines oder mehrerer der Fahrzeugaktuatoren der zweiten Gruppe vorliegt, und besonders bevorzugt zu ermitteln, welcher der Fahrzeugaktuatoren einen Fehler aufweist. Vorzugsweise ist die zentrale Steuereinheit dazu ausgebildet, die Trajektorien planung und/oder die Betriebs-Trajektorienplanung unter Verwendung des er- mittelten Fehlerstatus der zweiten Gruppe von Fahrzeugaktuatoren durchzufüh ren. Ebenso kann auch die Redundanzsteuereinheit dazu ausgebildet sein, die reduzierte Trajektorienplanung unter Verwendung des Fehlerstatus der zweiten Gruppe von Fahrzeugaktuatoren durchzuführen.

In einem dritten Aspekt der Erfindung wird die eingangs genannte Aufgabe ge löst durch ein Fahrzeug, insbesondere Nutzfahrzeug, aufweisend ein Fahr zeugsystem nach einer der vorstehend beschriebenen bevorzugten Ausfüh rungsformen eines autonomen Fahrzeugsystems gemäß dem zweiten Aspekt der Erfindung, das zum Ausführen eines Verfahrens gemäß einer der vorste hend beschriebenen bevorzugten Ausführungsformen des Verfahrens gemäß dem ersten Aspekt der Erfindung ausgebildet ist. Es soll verstanden werden, dass das Verfahren zur Steuerung eines Fahrzeugs gemäß dem ersten Aspekt der Erfindung, das autonome Fahrzeugsystem gemäß dem zweiten Aspekt der Erfindung sowie das Fahrzeug gemäß dem dritten Aspekt der Erfindung gleiche oder ähnliche Unteraspekte aufweisen, wie sie insbesondere in den abhängigen Ansprüchen niedergelegt sind. Insofern wird für diese Aspekte vollumfänglich auf die obige Beschreibung Bezug genommen.

Ausführungsformen der Erfindung werden nun nachfolgend anhand der Zeich nungen beschrieben. Diese sollen die Ausführungsformen nicht notwendiger weise maßstäblich darstellen, vielmehr sind die Zeichnungen, wenn dies zur Erläuterung dienlich ist, in schematisierter und/oder leicht verzerrter Form aus geführt. Im Hinblick auf Ergänzungen der aus den Zeichnungen unmittelbar er kennbaren Lehren wird auf den einschlägigen Stand der Technik verwiesen. Dabei ist zu berücksichtigen, dass vielfältige Modifikationen und Änderungen betreffend die Form und das Detail einer Ausführungsform vorgenommen wer den können, ohne von der allgemeinen Idee der Erfindung abzuweichen. Die in der Beschreibung, in den Zeichnungen sowie in den Ansprüchen offenbarten Merkmale der Erfindung können sowohl einzeln als auch in beliebiger Kombina tion für die Weiterbildung der Erfindung wesentlich sein. Zudem fallen in den Rahmen der Erfindung alle Kombinationen aus zumindest zwei der in der Be schreibung, den Zeichnungen und/oder den Ansprüchen offenbarten Merkmale. Die allgemeine Idee der Erfindung ist nicht beschränkt auf die exakte Form oder das Detail der im Folgenden gezeigten und beschriebenen bevorzugten Ausfüh rungsformen oder beschränkt auf einen Gegenstand, der eingeschränkt wäre im Vergleich zu dem in den Ansprüchen beanspruchten Gegenstand. Bei ange gebenen Bemessungsbereichen sollen auch innerhalb der genannten Grenzen liegende Werte als Grenzwerte offenbart und beliebig einsetzbar und bean spruchbar sein. Der Einfachheit halber sind nachfolgend für identische oder ähnliche Teile oder Teile mit identischer oder ähnlicher Funktion gleiche Be zugszeichen verwendet.

Weitere Vorteile, Merkmale und Einzelheiten der Erfindung ergeben sich aus der nachfolgenden Beschreibung der bevorzugten Ausführungsformen sowie anhand der Zeichnungen; diese zeigen in:

Figur 1 eine schematische Darstellung eines Fahrzeugs mit einem auto nomen Fahrzeugsystem gemäß einem ersten Ausführungsbei spiel;

Figur 2 eine schematische Darstellung des autonomen Fahrzeugsystems gemäß dem ersten Ausführungsbeispiel;

Figur 3 eine schematische Darstellung des autonomen Fahrzeugsystems gemäß dem ersten Ausführungsbeispiel, die ein Bereitstellen von Steuerbefehlen, Trajektorien und Fehlerinformationen verdeutlicht;

Figur 4 eine schematische Darstellung des autonomen Fahrzeugsystems gemäß einem zweiten Ausführungsbeispiel, die ein Bereitstellen von Steuerbefehlen, Trajektorien und Fehlerinformationen ver deutlicht;

Figur 5 eine schematische Darstellung eines autonomen Fahrzeugsys tems gemäß einem dritten Ausführungsbeispiel; Figur 6 eine schematische Darstellung eines Fahrzeugs mit einem auto nomen Fahrzeugsystem, wobei das Fahrzeug ein Spurhalte- Bremsmanöver ausführt;

Figur 7 eine schematische Darstellung eines Fahrzeugs mit einem auto nomen Fahrzeugsystem, wobei das Fahrzeug ein Spurwechsel- Bremsmanöver ausführt;

Figur 8 eine schematische Darstellung eines Fahrzeugs mit einem auto nomen Fahrzeugsystem, wobei das Fahrzeug eine autonome Fahraufgabe ausführt;

Figur 9 ein schematisches Ablaufdiagramm für ein bevorzugtes Ausfüh rungsbeispiel des Verfahrens, wenn kein Fehler des autonomen Betriebs-Fahrsystems vorliegt; und

Figur 10 ein schematisches Ablaufdiagramm für ein weiteres bevorzugtes Ausführungsbeispiel des Verfahrens, wenn ein Fehler des auto nomen Betriebs-Fahrsystems vorliegt.

Ein Fahrzeug 2, insbesondere Nutzfahrzeug 3, weist ein autonomes Fahrzeug system 5 mit einem Betriebs-Fahrsystem 9 und ein Redundanz-Fahrsystem 11 auf (vgl. Figuren 1 , 2 und 5). Das Fahrzeug 2 ist hier als ein Nutzfahrzeug 3 mit einer ersten Flinterachse HA1 , einer zweiten Hinterachse HA2 und einer Vor derachse VA dargestellt. Vorderräder 100.1 , 100.2 der Vorderachse VA sind lenkbar ausgeführt. Hinterräder 102.1 , 102.2, 102.3, 102.4 der ersten Hinter achse HA1 und zweiten Hinterachse HA2 sind hier als nicht lenkbare Räder ausgeführt. Es kann jedoch auch vorgesehen sein, dass die Hinterräder 102.1 ,

102.2 der ersten Hinterachse HA1 und/oder die Hinterräder 102.3, 102.4 der zweiten Hinterachse HA2 lenkbar ausgeführt sind. Hierfür können erste und zweite Hinterachs-Lenkaktuatoren vorgesehen sein (nicht dargestellt). Wie durch die in Figur 1 dargestellten Pfeile verdeutlich, stellen Primärsensoren 13 des autonomen Betriebs-Fahrsystems 9 Sensordaten SD an einer zentralen Steuereinheit 15 des Betriebs-Fahrsystems 9 bereit. Ferner stellen auch Re dundanzsensoren 17 Redundanzsensordaten SDR an der zentralen Steuerein heit 15 bereit. Darüber hinaus stellen die Redundanzsensoren 17 die Redun danzsensordaten SDR auch an einer zentralen Redundanzsteuereinheit 19 be reit. Die Sensordaten und/oder die Redundanzsensordaten SDR können Infor mationen über einen Fahrzeugzustand und/oder die Fahrzeugumgebung reprä sentieren.

Vorzugsweise ist eine Zahl der einzelnen Primärsensoren 13.1 , 13.2, 13.3 grö ßer als eine Zahl der einzelnen Redundanzsensoren 17.1 , 17.2. Die Pri märsensoren 13 weisen einen im Vergleich zu den Redundanzsensoren 17 er höhten Funktionsumfang auf, und können als hochkomplexe Sensoren be zeichnet werden. Vorzugsweise ist eine Datenmenge der Primärsensordaten SD größer als eine Datenmenge der Redundanzsensordaten SDR. Ferner kann eine Frequenz des Bereitstellens der Primärsensordaten SD an der zentralen Steuereinheit 15 größer sein als eine Frequenz des Bereitstellens der Redun danzsensordaten SDR an der zentralen Steuereinheit 15 und der Redundanz steuereinheit 19. Da die Redundanzsensordaten SDR sowohl an der zentralen Steuereinheit 15 des Betriebs-Fahrsystems 9 als auch an der zentralen Redun danzsteuereinheit 19 bereitgestellt werden, ist eine an der zentralen Steuerein heit 15 bereitgestellte Datenmenge größer als eine an der Redundanzsteuer einheit 19 bereitgestellte Datenmenge. Daher kann die Redundanzsteuereinheit 19 des Redundanz-Fahrsystems 11 mit einem geringeren Funktionsumfang ausgeführt sein, als die zentrale Steuereinheit 15 des Betriebs-Fahrsystems 9. Beispielsweise kann die Redundanzsteuereinheit 15 eine im Vergleich zur zent ralen Steuereinheit 15 geringere Rechenleistung oder einen eingeschränkten Umfang ausführbarer Operationen aufweisen. Hier sind ein erster Primärsensor 13.1 als 3D-Lidar-Scanner, ein zweiter Primärsensor 13.2 als Stereokamera und ein dritter Primärsensor 13.3 als Imaging-Radar ausgeführt. Die in Figur 1 dargestellten Primärsensoren 13 sind hier als Sensoren ausgebildet, die zum Erfassen von Daten über eine Fahrzeugumgebung 24 ausgebildet sind. Ferner können die Primärsensoren 13 auch Informationen über einen Fahrzeugzu stand, wie beispielsweise eine Fahrzeuggeschwindigkeit, erfassen. Ein erster Redundanzsensor 17.1 ist hier als Radar ausgebildet, während ein zweiter Re dundanzsensor 17.2 eine Monokamera ist.

Wie durch den in Figur 1 zwischen der zentralen Steuereinheit 15 und der Re dundanzsteuereinheit 19 angeordneten Doppelpfeil verdeutlicht wird, ist die zentrale Steuereinheit 15 dazu ausgebildet, zu ermitteln, ob ein Fehler E2 (vgl. Figuren 3, 4) der Redundanzsteuereinheit 19 vorliegt. In analoger Weise ist die Redundanzsteuereinheit 19 dazu ausgebildet, zu ermitteln, ob ein Fehler E1 der zentralen Steuereinheit 15 vorliegt. Es soll verstanden werden, dass das Ermit teln eines Fehlers E1 , E2 auch basierend auf einem Ausbleiben eines Signals und/oder basierend auf einem Time-out-Signal der zentralen Steuereinheit 15 und/oder der Redundanzsteuereinheit 19 erfolgen kann. Ferner können die zentrale Steuereinheit 15 und/oder die Redundanzsteuereinheit 19 dazu aus gebildet sein, direkt ein Fehlersignal E1 , E2 auszugeben.

Die zentrale Steuereinheit 15 ist hier dazu ausgebildet, eine Betriebs- Trajektorienplanung durchzuführen, um eine Betriebs-Trajektorie TRB für eine autonome Fahraufgabe FA zu erhalten. Die Betriebs-Trajektorienplanung erfolgt unter Verwendung der von den Primärsensoren 13 bereitgestellten Sensorda ten SD und/oder der von den Redundanzsensoren 17 bereitgestellten Redun danzsensordaten SDR. Ferner ist die zentrale Steuereinheit 15 dazu ausgebil det, eine Trajektorienplanung für eine reduzierte Fahraufgabe FAR durchzufüh ren, um eine reduzierte Trajektorie TR zu erhalten. Die reduzierte Fahraufgabe FAR wird bevorzugt dann ausgeführt, wenn ein Fehler E1 des autonomen Be- triebs- Fahrsystems 9 vorliegt, sodass die autonome Fahraufgabe FA nicht durch das Betriebs-Fahrsystem 9 durchgeführt werden kann. Vorzugsweise führt die zentrale Steuereinheit 15 die Betriebs-Trajektorienplanung zyklisch, bevorzugt mit einer Frequenz in einem Bereich von 0,1 bis 1000 Hz, weiter be vorzugt 1 bis 1000 Hz, weiter bevorzugt 2 bis 1000 Hz, weiter bevorzugt 10 bis 1000 Hz, weiter bevorzugt 50 bis 1000 Hz, besonders bevorzugt 100 Hz durch. Besonders bevorzugt entspricht eine Zykluszeit ZT der Trajektorienplanung ei- ner Zykluszeit ZTB der Betriebs-Trajektorienplanung. Es kann jedoch auch vor gesehen sein, dass eine Zykluszeit ZT der Trajektorienplanung größer ist, als die Zykluszeit ZTB der Betriebs-Trajektorienplanung. Dies kann insbesondere wünschenswert sein, um einen Energieverbrauch, einen Speicherbedarf eines Speichers 23 der zentralen Steuereinheit 15 und/oder eine Rechenleistung der zentralen Steuereinheit 15 zu reduzieren. Die Trajektorie TR für die reduzierte Fahraufgabe FAR wird an der Redundanzsteuereinheit 19 bereitgestellt. Wird aufgrund eines Fehlers der zentralen Steuereinheit 15 keine Trajektorie TR an der Redundanzsteuereinheit 19 bereitgestellt, kann die Redundanzsteuereinheit 19 eine reduzierte Trajektorienplanung durchführen, um eine reduzierte Trajek torie TRR zu erhalten. Es soll verstanden werden, dass die Redundanzsteuer einheit 15 die reduzierte Trajektorienplanung auch zyklisch durchführen kann. Vorzugsweise weist eine Zykluszeit ZTR der reduzierten Trajektorienplanung, gemessen zwischen dem bereitstellen zweier aufeinanderfolgender reduzierte Trajektorien TRR, einen Bereich von 0,1 bis 1000 Hz, weiter bevorzugt 1 bis 1000 Hz, weiter bevorzugt 2 bis 1000 Hz, weiter bevorzugt 10 bis 1000 Hz, wei ter bevorzugt 50 bis 1000 Hz, besonders bevorzugt 100 Hz auf. Ferner bevor zugt kann auch vorgesehen sein, dass die reduzierte Trajektorienplanung nur dann durchgeführt wird, wenn die Redundanzsteuereinheit 15 ermittelt, dass ein Fehler E1 der zentralen Steuereinheit 15 vorliegt.

Ein Fehler E1 der zentralen Steuereinheit 15 kann beispielsweise vorliegen, wenn eine Flauptspannungsversorgung 21 des autonomen Betriebs- Fahrsystems 9 ausfällt und die zentrale Steuereinheit 15 nicht mit Spannung versorgt wird. Um im Falle eines Ausfalls der Flauptspannungsversorgung 21 einen Ausfall des gesamten autonomen Fahrzeugsystems 5 zu verhindern, weist das Redundanz-Fahrsystem 11 eine Redundanzspannungsversorgung 22 auf (vgl. Figuren 1 und 2), sodass zumindest das Redundanz-Fahrsystem 11 einsatzbereit bleibt. Aufgrund des eingeschränkten Funktionsumfangs der zent ralen Redundanzsteuereinheit 19 weist diese im Vergleich zur zentralen Steu ereinheit 15 einen geringeren Energiebedarf auf, sodass die Redundanzspan nungsversorgung 22 kleiner und/oder kostengünstiger ausgeführt sein kann, als die Flauptspannungsversorgung 21. Die Flauptspannungsversorgung 21 des autonomen Betriebs-Fahrsystem 9 versorgt, wie durch in Figur 1 dargestellte Strichlinien verdeutlicht, ferner einen Betriebskontroller 29 und eine erste Grup pe 41 von Fahrzeugaktuatoren 7.1 , 7.2, 7.3. In analoger Weise umfasst das Redundanz-Fahrsystem 11 einen Redundanzkontroller 31 und eine zweite Gruppe 53 von Fahrzeugaktuatoren 7.4, 7.5, die von der Redundanzspan nungsversorgung 22 versorgt werden.

Der Betriebskontroller 29 ist dazu ausgebildet, einen Fehlerstatus ES2 des Re dundanzkontrollers 31 zu überwachen. In analoger Weise ist der Redundanz kontroller 31 dazu ausgebildet, einen Fehlerstatus ES1 des Betriebskontrollers 29 zu überwachen (vgl. Figuren 3 und 4). Das Überwachen kann vorzugsweise durch Senden eines Fehlerstatus ES1 , ES2, durch Abfragen eines Fehlerstatus ES1 , ES2 und/oder durch Empfangen eines Time-Out-Signals des jeweils an deren Kontrollers 29, 31 erfolgen. Vorzugsweise sind der Betriebskontroller 29 und/oder der Redundanzkontroller 31 dazu ausgebildet, den Fehlerstatus ES2 des Redundanzkontrollers 31 bzw. den Fehlerstatus ES1 des Betriebskontrol lers 29 an der zentrale Steuereinheit 15 und/oder der Redundanzsteuereinheit 19 bereitzustellen.

Im fehlerfreien Betrieb stellt die zentrale Steuereinheit 15 die Betriebs- Trajektorie TRB an dem Betriebskontroller 29 und dem Redundanzkontroller 31 bereit. Ferner stellt die Redundanzsteuereinheit 19 parallel die Trajektorie TR oder die reduzierte Trajektorie TRR an dem Betriebskontroller 29 und dem Re dundanzkontroller 31 bereit. Es kann jedoch auch vorgesehen sein, dass die Redundanzsteuereinheit 19 dazu ausgebildet ist, die Trajektorie TR oder die reduzierte Trajektorie TRR nur dann bereitzustellen, wenn ein Fehler E1 der zentralen Steuereinheit 15 ermittelt wird. Der Betriebskontroller 29 und der Re dundanzkontroller 31 sind dazu ausgebildet, die Trajektorie TR oder die redu zierte Trajektorie TR nur zu verwenden, wenn keine gültige Betriebs-Trajektorie TRB von der zentralen Steuereinheit 15 bereitgestellt wird. Flierzu sind der Be triebskontroller 29 und/oder der Redundanzkontroller 31 vorzugsweise dazu ausgebildet, eine Trajektorien-Priorisierung durchzuführen. Ferner kann die zentrale Steuereinheit 15 auch dazu ausgebildet sein, die Betriebs-Trajektorie TRB mit einer höheren Priorität an dem Betriebskontroller 29 und dem Redun danzkontroller 31 bereitzustellen, als eine Priorität der von der Redundanzsteu ereinheit 19 bereitgestellten Trajektorie TR oder reduzierten Trajektorie TRR. Somit wird vorzugsweise sichergestellt, dass in einem fehlerfreien Betrieb die autonome Fahraufgabe FA unter Verwendung der Betriebs-Trajektorie TRB durchgeführt wird, und die Trajektorie TR und die reduzierte Trajektorie TRR für das Durchführen der autonomen Fahraufgabe FA nicht berücksichtigt werden. Wird aufgrund eines Fehlers des autonomen Betriebs-Fahrsystems 9 von der zentralen Steuereinheit 15 keine Betriebs-Trajektorie TRB bereitgestellt, erfolgt das Durchführen der reduzierten Fahraufgabe FAR vorzugsweise unter Ver wendung der Trajektorie TR oder der reduzierten Trajektorie TRR, die von der Redundanzsteuereinheit 19 bereitgestellt werden.

Der Betriebskontroller 29 ist dazu ausgebildet, die erste Gruppe 41 von Fahr zeugaktuatoren 7.1 , 7.2, 7.3 anzusteuern, um die autonome Fahraufgabe FA oder die reduzierte Fahraufgabe FAR durchzuführen. Dabei steuert der Be triebskontroller 29 wenigstens einen der Fahrzeugaktuatoren 7.1 , 7.2, 7.3 der ersten Gruppe 41 derart an, dass das Fahrzeug 2 entlang der Betriebs- Trajektorie TRB, der Trajektorie TR oder der reduzierten Trajektorie TRR be wegt wird. Vorzugsweise ist der Betriebskontroller 29 dazu angepasst, eine Stabilitätsregelung für das Fahrzeug 2 unabhängig von der zentralen Steuer einheit 15 durchzuführen, um das Fahrzeug 2 stabil auf der Betriebs-Trajektorie TRB, der Trajektorie TR oder der reduzierten Trajektorie TRR zu halten. In ana loger Weise ist der Redundanzkontroller 31 dazu ausgebildet, die zweite Grup pe 53 von Fahrzeugaktuatoren 7.4, 7.5 anzusteuern, um die autonome Fahr aufgabe FA oder die reduzierte Fahraufgabe FAR durchzuführen. Dabei steuert der Redundanzkontroller zumindest einen der Fahrzeugaktuatoren 7.4, 7.5 der zweiten Gruppe 53 derart an, dass das Fahrzeug 2 entlang der Betriebs- Trajektorie TRB, der Trajektorie TR oder der reduzierten Trajektorie TRR be wegt wird. Vorzugsweise ist der Redundanzkontroller 31 dazu angepasst eine Stabilitätsregelung für das Fahrzeug 2 unabhängig von der Redundanzsteuer einheit 19 durchzuführen. Vorzugsweise wirken der Betriebskontroller 29 und der Redundanzkontroller 31 zur Stabilitätsregelung des Fahrzeugs 2 zusam- men. Es soll verstanden werden, dass in einem fehlerfreien Betrieb vorzugs weise sowohl Fahrzeugaktuatoren 7.1 , 7.2, 7.3 der ersten Gruppe 41 als auch Fahrzeugaktuatoren 7.4, 7.5 der zweiten Gruppe 53 angesteuert werden kön nen, um die autonome Fahraufgabe FA durchzuführen. Die Redundanz wird dadurch sichergestellt, dass bei einem Ausfall des autonomen Betriebs- Fahrsystem 9 zumindest die zweite Gruppe 53 von Fahrzeugaktuatoren 7.4, 7.5 angesteuert werden kann, um die reduzierte Fahraufgabe FAR durchzuführen. Liegt nur ein Fehler E1 der zentralen Steuereinheit 15 vor, kann die reduzierte Fahraufgabe FAR auch durch den Betriebskontroller 29 und/oder den Redun danzkontroller 31 durchgeführt werden, wobei die Trajektorie TR oder die redu zierte Trajektorie TRR von der Redundanzsteuereinheit 19 an dem Betriebskon troller 29 und dem Redundanzkontroller 31 bereitgestellt wird. Vorzugsweise ist auch das autonome Betriebs-Fahrsystem 9 dazu ausgebildet die reduzierte Fahraufgabe FAR durchzuführen, wenn ermittelt wird, dass ein Fehler E2 des Redundanz-Fahrsystems 11 vorliegt. Flierdurch wird erreicht, dass unmittelbar nach dem Ermitteln eines Fehlers E1 , E2 des autonomen Betriebs- Fahrsystems 9 oder des Redundanz-Fahrsystems 11 die reduzierte Fahraufga be FAR durchgeführt wird. Vorzugsweise stellt die zentrale Steuereinheit 15 die reduzierte Trajektorie TRR auch an dem Betriebskontroller 29 bereit.

Gemäß diesem Ausführungsbeispiel kann ein Fehlerstatus ES3 der ersten Gruppe 41 von Fahrzeugaktuatoren 7 von dem Betriebskontroller 29 ermittelt und besonders bevorzugt an der zentralen Steuereinheit 15 und/oder der Re dundanzsteuereinheit 19 bereitgestellt werden. In analoger Weise kann ein Fehlerstatus ES4 der zweiten Gruppe 53 von Fahrzeugaktuatoren 7 von dem Redundanzkontroller 31 ermittelt, und besonders bevorzugt an der zentralen Steuereinheit 15 und/oder der Redundanzsteuereinheit 19 bereitgestellt wer den. Somit kann die zentrale Steuereinheit 15 die Betriebs-Trajektorienplanung und/oder die Trajektorienplanung unter Verwendung des Fehlerstatus ES3 der ersten Gruppe 41 von Fahrzeugaktuatoren 7 durchführen. Vorzugsweise ist die zentrale Steuereinheit 15 dazu ausgebildet, in Abhängigkeit des ermittelten Fehlerstatus ES3 der ersten Gruppe 41 von Fahrzeugaktuatoren 7 und/oder des ermittelten Fehlerstatus ES4 der zweiten Gruppe 53 von Fahrzeugaktua- toren 7 zu entscheiden, ob die reduzierte Fahraufgabe FAR oder die autonome Fahraufgabe FA durchgeführt wird. Auch die Redundanzsteuereinheit 19 kann vorzugsweise dazu angepasst sein, den Fehlerstatus ES3 der ersten Gruppe 41 und/oder den Fehlerstatus ES4 der zweiten Gruppe 53 von Fahrzeugaktua toren 7 bei der reduzierten Trajektorienplanung zu berücksichtigen.

Gemäß dem ersten Ausführungsbeispiel (Figur 1 , 2, 3) umfasst die erste Grup pe von Fahrzeugaktuatoren 41 einen Motor 7.1 , ein Getriebe 7.2 und ein Flauptbremssystem 7.3 des Fahrzeugs 2. Die zweite Gruppe von Fahrzeugak tuatoren 53 umfasst dann vorzugsweise ein Redundanzbremssystem 7.4 und einen Lenkaktuator 7.5. Das Redundanzbremssystem 7.4 ist dazu ausgebildet, beim Ausfall des Flauptbremssystems 7.3 ein Verzögern des Fahrzeugs 2 zu ermöglichen. Vorzugsweise ist ein Funktionsumfang des Redundanzbremssys tems 7.4 im Vergleich zum Flauptbremssystem 7.3 reduziert. Somit kann das Redundanzbremssystem 7.4 kostengünstiger ausgeführt werden. Beispielswei se kann eine Stellgenauigkeit des Redundanzbremssystems 7.4 geringer sein als eine korrespondierende Stellgenauigkeit des Flauptbremssystems 7.3. Fer ner kann ein individuelles Ansteuern einzelner Räder 100.1 , 100.2, 100.3,

100.4, 100.5, 100.6 jeweiliger Achsen VA, FIA1 , FIA2 nur mittels des Flaupt bremssystems 7.3 möglich sein. Vorzugsweise sind das Flauptbremssystem 7.3 und das Redundanzbremssystem 7.4 derart verbunden, dass ein Bremsen des Fahrzeugs 2 jeweils nur mit einem der Bremssysteme 7.3, 7.4 durchgeführt werden kann. Flierzu kann vorgesehen sein, dass das Flauptbremssystem 7.3 und das Redundanzbremssystem 7.4 derart pneumatisch verschaltet sind, dass das Bremsen des Fahrzeugs 2 mittels des Redundanzbremssystems 7.4 nur dann möglich ist, wenn das Flauptbremssystem 7.3 ausfällt. Gemäß dem ersten Ausführungsbeispiel des autonomen Fahrzeugsystems 5 wird die reduzierte Fahraufgabe FAR durch die zweite Gruppe 53 von Fahrzeugaktuatoren durch geführt, wenn Aufgrund eines Fehlers E1 des Betriebs-Fahrsystems 9 kein An steuern der ersten Gruppe 41 von Fahrzeugaktuatoren 7 möglich ist. Da in solch einem Fall das Bremsen mittels des Flauptbremssystems 7.3 nicht mög lich ist, erfolgt das Bremsen des Fahrzeugs 2 mittels des Redundanzbremssys- tems 7.4, während das Fahrzeug 2 mittels des Lenkaktuators 7.5 gelenkt wer den kann.

Gemäß einem zweiten Ausführungsbeispiel (Figur 4) umfasst die erste Gruppe 41 von Fahrzeugaktuatoren 7 das Redundanzbremssystem 7.4 und den Lenkaktuator 7.5. Die zweite Gruppe 53 von Fahrzeugaktuatoren 7 umfasst dann den Motor 7.1 , das Getriebe 7.2 und das Hauptbremssystem 7.3. Bezüg lich der Ausgestaltung des Hauptbremssystems 7.3 und des Redundanzbrems systems 7.4 wird vollumfänglich auf obenstehende Beschreibung zum ersten Ausführungsbeispiel Bezug genommen. Liegt bei einem autonomen Fahrzeug system 5 gemäß dem zweiten Ausführungsbeispiel ein Fehler E1 des autono men Betriebs-Fahrsystems 9 vor, kann das Fahrzeug 2 mittels des Haupt bremssystems 7.3 gebremst werden. Ist aufgrund des Fehlers E1 des Betriebs- Fahrsystems 9 kein Ansteuern des Lenkaktuators 7.5 möglich, kann ein Not- Lenken des Fahrzeugs 2 unter Verwendung des Hauptbremssystems 7.4 durchgeführt werden. Beim Not-Lenken werden einzelne Räder 100 des Fahr zeugs 2, insbesondere Vorderräder 100.1 , 100.2 der Vorderachse VA, unter Verwendung des Hauptbremssystem 7.3 individuell gebremst, sodass das Fahrzeug 2 auf einer Fahrspur 25 gehalten werden kann. Ebenso bevorzugt kann das Hauptbremssystem 7.3 dazu ausgebildet sein, im Rahmen des Not- Lenkens einen Spurwechsel und/oder eine Kurvenfahrt des Fahrzeugs 2 zu ermöglichen.

Es soll verstanden werden, dass das Not-Lenken im Rahmen der reduzierten Fahraufgabe FAR nur erfolgt, wenn der Lenkaktuator 7.5 nicht angesteuert werden kann.

Das autonome Fahrsystem 5 gemäß einem dritten Ausführungsbeispiel (Figur 5) ist im Wesentlichen analog zum autonomen Fahrsystem 5 gemäß dem ers ten Ausführungsbeispiel ausgebildet. Das autonome Fahrsystem 5 kann in Gliederungsebenen gegliedert werden: Die Primärsensoren 13 und die Redun danzsensoren 17 sind der Gliederungsebene „detect“ zugeordnet. Die zentrale Steuereinheit 15 und die Redundanzsteuereinheit 19 gehören der Gliederungs- ebene „control“ an, während die Fahrzeugaktuatoren 7 der Gliederungsebene „activate“ zugeordnet sind. Ferner umfasst die Gliederungsebene „detect“ ge mäß diesem Ausführungsbeispiel manuelle Steuereinrichtungen 54, die das Vorgeben einer manuellen Fahraufgabe FAM durch einen Benutzer ermögli chen. Manuelle Steuerbefehle eines Benutzers werden an dem Betriebskontrol ler 29 und dem Redundanzkontroller 31 bereitgestellt, die zwischen den Gliede rungsebenen „control“ und „activate“ angeordnet sind und die Fahrzeugaktua toren 7 unter Verwendung der manuellen Steuerbefehle ansteuern.

Die vom Flauptbremssystem 7.3 ausgehende Strichlinie 83, verdeutlicht das Not-Lenken im Falle eines Fehlers des Lenkaktuators 7.5, während die von dem Redundanzbremssystem 7.4 ausgehende Strichlinie 85 ein Verzögern des Fahrzeugs mittels des Redundanzbremssystems 7.4 verdeutlicht. Vorzugswei se weist das autonome Fahrzeugsystem 5 ferner eine Kommunikationseinheit 51 auf. Diese ist hier der Gliederungsebene „connect“ zugeordnet und dazu ausgebildet, eine Kommunikation mit anderen Verkehrsteilnehmern (nicht dar gestellt) und/oder Gegenständen in der Fahrzeugumgebung 24 und/oder mit einem zentralen Verkehrssteuerungssystem (nicht dargestellt) zu ermöglichen. Beispielsweise können über die Kommunikationseinheit 51 Informationen emp fangen werden, die ein Verkehrsaufkommen auf einer geplanten Route be schreiben und von der zentralen Steuereinheit 15 im Rahmen der Betriebs- Trajektorienplanung verwendet werden. Ferner kann mittels der Kommunikati onseinheit 51 ein Warnsignal an sich in der Fahrzeugumgebung 24 befindende Fahrzeuge gesendet werden, wenn das reduzierte Fahraufgabe FAR ausge führt wird.

Vorzugsweise ist die reduzierte Fahraufgabe FAR ein in Figur 6 verdeutlichtes Spurhalte-Bremsmanöver BMSFI oder ein in Figur 7 verdeutlichtes Spurwech sel-Bremsmanöver MBSW. Figur 6 zeigt ein Fahrzeug 2, das hier als Nutzfahr zeug 3 ausgebildet ist, und sich entlang einer Fahrspur 25 einer Straße 28 be wegt. Die Straße 28 weist hier keinen Seitenstreifen 57 auf. Wird ein Fehler E1 des autonomen Betriebs-Fahrsystems 9 ermittelt, führt das autonome Fahrsys tem 5 die reduzierte Fahraufgabe FAR unter Verwendung der reduzierten Trajektorie TRR oder der Trajektorie TR aus. Vorzugsweise ist die zentrale Steuereinheit 15 dazu ausgebildet, das Spurhalte-Bremsmanöver BMSH durch zuführen, wenn keine alternative Fahrspur 26 zur Verfügung steht. Die alterna tive Fahrspur 26 kann beispielsweise nicht zur Verfügung stehen, wenn nur ei ne Fahrspur 25 vorhanden ist, oder weitere vorhandene Fahrspuren, aufgrund eines anderen Fahrzeugs oder eines Flindernisses, nicht befahrbar sind. Vor zugsweise das Redundanz-Fahrsystem 11 dazu ausgebildet, das Spurwechsel- Bremsmanöver BMSW durchzuführen. Vorzugsweise wird das Spurhalte- Bremsmanöver BMSFI also nur dann durchgeführt, wenn das Spurwechsel- Bremsmanöver MBSW nicht oder nicht vollständig möglich ist. Wie die sich in Figur 6 von einer Fahrzeugfront 65 des Fahrzeugs 2 nach vorne, d.h. in Figur 6 nach oben, erstreckenden Pfeile verdeutlichen, wird das Fahrzeug 2 auf der Fahrspur 25 gehalten und bis zum Stillstand verzögert. Gemäß diesem Ausfüh rungsbeispiel ist die Fahrspur 25 in Fahrtrichtung des Fahrzeugs 2 frei, so dass eine moderate Verzögerung des Fahrzeugs 2 bis zum Stillstand möglich ist. Es soll verstanden werden, dass das Spurhalte-Bremsmanöver BMSFI auch eine Vollbremsung des Fahrzeugs 2 sein kann. Dies ist insbesondere der Fall, wenn aufgrund eines Flindernisses, das auf der Fahrspur 25 angeordnet ist, kein aus reichender Bremsweg für eine moderate Verzögerung des Fahrzeugs 2 zur Ver fügung steht.

Die reduzierte Fahraufgabe FAR, die von dem in Figur 7 dargestellten Fahrzeug 2, das hier als Nutzfahrzeug 3 ausgebildet ist, ausgeführt wird, ist ein Spur wechsel-Bremsmanöver BMSW. In einer Position P1 zu Beginn der Trajektorie ist das Fahrzeug 2 auf der Fahrspur 25 angeordnet. Am Ende der Trajektorie TR befindet sich das Fahrzeug 2 auf dem Seitenstreifen 27 im Stillstand. Die Verzögerung des Fahrzeugs 2 wird durch die ausgehend von der Position P1 zur Position P2 des Fahrzeugs 2 abnehmende Länge der die Trajektorie TR darstellenden Pfeile verdeutlicht. Es soll verstanden werden, dass die reduzier te Fahraufgabe FAR auch unter Verwendung der reduzierten Trajektorie TRR, die von der Redundanzsteuereinheit 19 bereitgestellt wird, durchgeführt werden kann. Das Spurwechsel-Bremsmanöver BMSW wird durchgeführt, da der Sei tenstreifen 27 vorhanden und befahrbar ist. Es soll verstanden werden, dass das Spurwechsel-Bremsmanöver BMSW auch den Spurwechsel auf eine alter native Fahrspur 26 umfassen kann, die kein Seitenstreifen 27 ist. Vorzugsweise kann das Spurwechsel-Bremsmanöver BMSW und/oder das Spurhalte- Bremsmanöver BMSH auch eine kurzzeitige Beschleunigung des Fahrzeugs 2 beinhalten. Ferner bevorzugt wird die reduzierte Fahraufgabe FAR durch das Betriebs-Fahrsystem 9 durchgeführt, wenn ein Fehler E2 des Redundanz- Fahrsystem 11 ermittelt wird.

Die autonome Fahraufgabe FA kann in der Bewältigung vielfältiger Fahrsituati onen im normalen Straßenverkehr oder im Gelände bestehen. Beispielhaft für eine autonome Fahraufgabe ist in Figur 8 ein Überholmanöver des Fahrzeugs 2 dargestellt. Dabei steuert das autonome Fahrsystem 5 das Fahrzeug 2, das hier als Nutzfahrzeug 3 dargestellt ist, mit konstanter Geschwindigkeit entlang der Betriebs-Trajektorie TRB von einer Dritten Position P3 über eine vierte Position P4 bis zu einer fünften Position P5. Zu Beginn der autonomen Fahraufgabe FA fährt das Fahrzeug 2 mit konstanter Geschwindigkeit auf der Fahrspur 25. Unter Verwendung der Sensordaten SD der Primärsensoren 13 und/oder der Redun danzsensordaten SDR der Redundanzsensoren 17 ermittelt die zentrale Steu ereinheit 15, dass sich ein zweites Fahrzeug 67 mit einer zum Fahrzeug 2 ge ringeren Geschwindigkeit auf der Fahrspur 25 bewegt, sodass sich ein Abstand zwischen der Fahrzeugfront 65 und dem vorausfahrenden zweiten Fahrzeug 67 verringert. Unter Verwendung der Sensordaten SD und/oder der Redundanz sensordaten SDR führt die zentrale Steuereinheit 15 eine Betriebs- Trajektorienplanung durch, um die Betriebs-Trajektorie TRB zu erhalten. Die Betriebs-Trajektorie TRB wird an dem Betriebskontroller 29 und dem Redun danzkontroller 31 bereitgestellt. Der Betriebskontroller 29 und/oder der Redun danzkontroller 31 steuern die Fahrzeugaktuatoren 7 derart an, dass das Fahr zeug 2 auf eine freie zweite Fahrspur 28 gelenkt wird. Nachdem das zweite Fahrzeug 67 überholt wurde, werden die Fahrzeugaktuatoren 7 derart ange steuert, dass das Fahrzeug 2 zurück auf die Fahrspur 25 gelenkt wird. Es soll verstanden werden, dass das autonome Betriebs-Fahrsystem 9 dabei eine Fahrzeugumgebung 24 überwacht um gegebenenfalls die Betriebs-Trajektorie TRB anpassen zu können. In diesem Ausführungsbeispiel (Figur 6) weist das Fahrzeug 2 einen Seiten sensor 55 auf, der hier ein Seitenradar 56 ist. Vorzugsweise ist das Seitenradar 56 dazu ausgebildet, einen Abstand A zwischen einer seitlich Fahrbahnbegren zung 57 und einer seitlichen Fahrzeugkante 63 zu ermitteln und an der zentra len Steuereinheit 15 und/oder der Redundanzsteuereinheit 19 bereitzustellen. Es soll verstanden werden, dass der Seitensensor 55 auch nur Seitensensorda ten SDSS bereitstellen kann, und dass ein Ermitteln des Abstands A dann durch die zentrale Steuereinheit 15 und/oder die Redundanzsteuereinheit 19 erfolgt. Es kann auch vorgesehen sein, dass das autonome Fahrzeugsystem 5 mehrere Seitensensoren 55 aufweist. Ferner kann der Seitensensor 55 auch dazu ausgebildet sein, zu erkennen, ob sich ein zweites Fahrzeug 67, ein Hin dernis und/oder ein nicht befahrbarer Abschnitt neben dem Fahrzeug 2 befin det. Ein nicht befahrbarer Abschnitt kann beispielsweise ein Straßengraben o- der eine Böschung sein. Vorzugsweise ist die zentrale Steuereinheit 15 und/oder die Redundanzsteuereinheit 19 dazu ausgebildet, für die Trajektorien- planung, die Betriebs-Trajektorienplanung und/oder die reduzierte Trajektorien- planung Fahrzeugparameter des Fahrzeugs 2 zu berücksichtigen. Fahrzeugpa rameter können beispielsweise Abmessungen des Fahrzeugs 2, Gewicht des Fahrzeugs 2, Gewicht einer Ladung des Fahrzeugs 2 und/oder Beschleuni gungsvermögen des Fahrzeugs 2 sein. Es soll verstanden werden, dass die Fahrzeugparameter eine Vielzahl weiterer Parameter enthalten können und nicht auf die genannten Parameter festgelegt sind. Vorzugsweise sind die Fahr zeugparameter in einem Speicher 23 der zentralen Steuereinheit 15 und/oder in einem Redundanzspeicher 33 der Redundanzsteuereinheit 19 vorgespeichert. Es kann jedoch auch vorgesehen sein, dass die zentrale Steuereinheit 15 und/oder die Redundanzsteuereinheit 19 die Fahrzeugparameter unter Ver wendung von an der zentralen Steuereinheit 15 oder der Redundanzsteuerein heit 19 bereitgestellten Fahrzeugparameterdaten ermittelt.

Ferner weisen die Redundanzsensordaten 17 hier ein Kurzreichweiten- Frontradar 59, ein Kurzreichweiten-Fleckradar 60 sowie zwei Weitwinkel-Lidar- Sensoren 61 auf, wobei die Weitwinkel-Lidar-Sensoren 61 an seitlichen Fahr zeugkanten 63 angeordnet sind. Das Kurzreichweiten-Frontradar 59 ist an der Fahrzeugfront 65 angeordnet, während das Kurzreichweiten-Heckradar 60 an einem Fahrzeugheck 66 des Fahrzeugs 2 angeordnet ist. Das Kurzreichweiten- Frontradar 59, das Kurzreichweiten-Fleckradar 60 sowie die Weitwinkel-Lidar- Sensoren 61 sind dazu ausgebildet, eine Fahrzeugumgebung 24, die hier schematisch dargestellt ist, bis zu den Fahrzeugkanten 62, die die seitlichen Fahrzeugkanten 63, die Fahrzeugfront 65 und das Fahrzeugheck 66 umfassen, zu überwachen. Ferner können die Redundanzsensordaten 17 auch einen Hö- hensensor (nicht dargestellt) aufweisen, der dazu ausgebildet ist eine befahrba re Flöhe der Fahrzeugumgebung 24 zu ermitteln. Es soll verstanden werden, dass auch die Primärsensoren 13 dazu ausgebildet sein können, die Fahr zeugumgebung 24 bis zur Fahrzeugfront 65, zum Fahrzeugheck 66 und den seitlichen Fahrzeugkanten 63 zu überwachen.

Figur 9 verdeutlicht einen Ablauf einer bevorzugten Ausführungsform des Ver fahrens 1 zur Steuerung eines Fahrzeugs 2 mittels einem autonomen Fahr zeugsystem 5. In einem ersten Schritt S1 stellen Primärsensoren 13 und Re dundanzsensoren 17 Sensordaten SD und Redundanzsensordaten SDR an der zentralen Steuereinheit 15 des autonomen Betriebs-Fahrsystems 9 bereit. Un ter Verwendung der Sensordaten SD und der Redundanzsensordaten SDR führt die zentrale Steuereinheit 15 eine Trajektorienplanung S2 und eine Be- triebs-Trajektorienplanung S3 durch, um eine geplante Trajektorie TR und eine Betriebs-Trajektorie TRB zu erhalten. Hier werden die Trajektorienplanung S2 mit der Zykluszeit ZT und die Betriebs-Trajektorienplanung S3 mit der Zyklus zeit TZB zyklisch wiederholt. In einem Schritt S4 stellt die zentrale Steuereinheit 15 die geplante Trajektorie TR an der zentralen Redundanzsteuereinheit 19 des Redundanz-Fahrsystems 11 bereit. Ferner stellt die zentrale Steuereinheit 15 sowohl die geplante Trajektorie TR als auch die Betriebs-Trajektorie TRB an dem Betriebskontroller 29 und an dem Redundanzkontroller 31 bereit (Schritt S5). Zeitgleich stellt die zentrale Redundanzsteuereinheit 19 in einem Schritt S6 die geplante Trajektorie TR an dem Betriebskontroller 29 und dem Redundanz kontroller 31 bereit. Der Betriebskontroller 29 und der Redundanzkontroller 31 ermitteln in einem Schritt S7, dass eine Betriebs-Trajektorie TRB bereitgestellt wird und steuern Fahrzeugaktuatoren 7 an, um die autonome Fahraufgabe FA durchzuführen (Schritt S8). Es soll verstanden werden, dass das autonome Be triebs- Fahrsystem 9 und das Redundanz-Fahrsystem 11 parallel zu den Schrit ten S1 bis S8 überwachen, ob ein Fehler E1 des Betriebs-Fahrsystem 9 vorliegt (Schritt S9) und/oder ob ein Fehler E2 des Redundanz-Fahrsystem 11 vorliegt (Schritt S10).

Figur 10 verdeutlicht den Ablauf einer bevorzugten Ausführungsform des Ver fahrens 1 , wenn das Betriebs-Fahrsystem 9 aufgrund eines Fehlers E1 ausfällt und keine Trajektorie TR bereitstellt. Im Schritt S11 ermittelt das Redundanz- Fahrsystem 11 , dass ein Fehler E1 vorliegt und keine gültige Trajektorie TR von der zentralen Steuereinheit 15 bereitgestellt wird. Unter Verwendung von Re dundanzsensordaten SDR, die in Schritt S12 von Redundanzsensoren 17 be reitgestellten werden, führt die zentrale Redundanzsteuereinheit 19 in einem Schritt S13 eine reduzierte Trajektorienplanung durch, um eine reduzierte Trajektorie TRR für die reduzierte Fahraufgabe FAR zu erhalten. Die reduzierte Trajektorie TRR wird anschließend an dem Betriebskontroller 29 und an dem Redundanzkontroller 31 bereitgestellt (Schritt S14). Der Redundanzkontroller 31 ermittelt unter Verwendung des Fehlerstatus ES1 des Betriebskontrollers 29, dass der Betriebskontroller 29 ausgefallen ist. Ferner ermittelt der Redundanz kontroller 31 , dass keine gültige Trajektorie TR oder Betriebs-Trajektorie TRB vorliegt. Es soll verstanden werden, dass der Schritt S15 auch parallel zu oder vor den Schritten S11 bis S14 durchgeführt werden kann. Anschließend steuert der Redundanzkontroller 31 die zweite Gruppe 53 von Fahrzeugaktuatoren 7 an, um die reduzierte Fahraufgabe FAR auszuführen (Schritt S17). Parallel zum Durchführen der reduzierten Fahraufgabe FAR (Schritt S17) überwacht die zentrale Redundanzsteuereinheit 19 mittels von den Redundanzsensoren 17 bereitgestellter Redundanzsensordaten SDR die Fahrzeugumgebung 24 (Schritt S18). Wird eine Unmöglichkeit der reduzierten Fahraufgabe FAR ermit telt, wird die reduzierte Trajektorienplanung (Schritt S13) erneut durchgeführt. Die reduzierte Fahraufgabe FAR wird beispielsweise unmöglich, wenn ein Hin dernis im Verlauf der reduzierten Trajektorie TRR ermittelt wird. Es soll verstanden werden, dass die in den Figuren 9 und 10 dargestellten Ver fahren 1 oder Schritte S1 bis S18 der Verfahren bevorzugt zyklisch widerholt werden.

Bezugszeichenliste (Teil der Beschreibung):

1 Verfahren

2 Fahrzeug

3 Nutzfahrzeug

5 Autonomes Fahrzeugsystem

7 Fahrzeugaktuatoren

7.1 Motor

7.2 Getriebe

7.3 Flauptbremssystem

7.4 Redundanzbremssystem

7.5 Lenkaktuator 9 Betriebs-Fahrsystem 11 Redundanz-Fahrsystem 13 Primärsensoren

13.1 Erster Primärsensor

13.2 Zweiter Primärsensor

13.3 Dritter Primärsensor 15 Zentrale Steuereinheit 17 Redundanzsensoren

17.1 Erster Redundanzsensor

17.2 Zweiter Redundanzsensor 19 Zentrale Redundanzsteuereinheit 21 Flauptspannungsversorgung 22 Redundanzspannungsversorgung

23 Speicher

24 Fahrzeugumgebung

25 Fahrspur

26 alternative Fahrspur

27 Seitenstreifen

28 Zweite Fahrspur 29 Betriebskontroller 31 Redundanzkontroller

33 Redundanzspeicher

41 Erste Gruppe von Fahrzeugaktuatoren

53 Zweite Gruppe von Fahrzeugaktua toren

54 Manuelle Steuereinrichtung

55 Seitensensor

56 Seitenradar

57 Seitliche Fahrbahnbegrenzung

59 Kurzreichweiten-Frontradar

60 Kurzreichweiten-Fleckradar 61 Weitwinkel-Lidar-Sensor 62 Fahrzeugkanten 63 Seitliche Fahrzeugkanten

65 Fahrzeugfront

66 Fahrzeugheck 67 Zweites Fahrzeug 83 Strichlinie 85 Strichlinie

100.1 , 100.2 Vorderräder

102.1 , 102.2, 102.3, 102.4 Flinterräder A Abstand

BMSH Spurhalte-Bremsmanöver

BMSW Spurwechsel-Bremsmanöver

ES1 Fehlerstatus Betriebskontroller

ES2 Fehlerstatus Redundanzkontroller

ES3 Fehlerstatus der ersten Gruppe von

Fahrzeugaktuatoren

ES4 Fehlerstatus der zweiten Gruppe von

Fahrzeugaktuatoren

FA Fahraufgabe

FAM Manuelle Fahraufgabe FAR Reduzierte Fahraufgabe

HA1 Erste Flinterachse

HA2 Zweite Hinterachse

SD Sensordaten

SDR Redundanzsensordaten

SDSS Seitensensordaten

S1 - S18 Schritte

TR Trajektorie

TRB Betriebs-Trajektorie

TRR Reduzierte Trajektorie

VA Vorderachse

ZT Zykluszeit Trajektorienplanung

ZTB Zykluszeit Betriebs- T rajektorienplanung

Claims

Patentansprüche

1. Verfahren (1) zum Steuern eines Fahrzeugs (2), insbesondere Nutzfahr zeugs (3), mit einem autonomen Fahrzeugsystem (5), das dazu ausgebildet ist, das Fahrzeug (2) mittels mehrerer Fahrzeugaktuatoren (7) zu steuern, wobei das Fahrzeugsystem (5) aufweist: ein autonomes Betriebs-Fahrsystem (9), das zum Durchführen einer dy namischen Fahraufgabe (FA) in einem fehlerfreien Betrieb des autonomen Be- triebs- Fahrsystems (9) ausgebildet ist, wobei das autonome Betriebs- Fahrsystem (9) im fehlerfreien Betrieb wenigstens einen der Fahrzeugaktua toren (7) zum Durchführen der dynamischen Fahraufgabe (FA) ansteuert, und ein Redundanz-Fahrsystem (11), das zum Durchführen einer reduzierten Fahraufgabe (FAR) ausgebildet ist, wobei das autonome Betriebs-Fahrsystem (9) dazu ausgebildet ist, eine Trajektorienplanung durchzuführen, um zusätzlich zur Betriebs-Trajektorie (TRB) eine geplante reduzierte Trajektorie (TRR) für die reduzierte Fahraufgabe (FAR) durchzuführen und an dem Redundanz-Fahrsystem (11) bereitzustellen, wobei das autonome Betriebs-Fahrsystem (9) und das Redundanz- Fahrsystem (11 ) miteinander verbunden sind und ermitteln, ob ein Fehler (E1 , E2) des jeweils anderen Systems (9, 11) vorliegt, und wobei das Redundanz-Fahrsystem (11) nach Ermitteln eines Fehlers (E1) des autonomen Betriebs-Fahrsystems (9) wenigstens einen der Fahrzeug aktuatoren (7) ansteuert, um die reduzierte Fahraufgabe (FAR) unter Verwen dung der geplanten Trajektorie (TR) durchzuführen.

2. Verfahren (1) nach Anspruch 1 , wobei das Redundanz-Fahrsystem (11) dazu ausgebildet ist, eine reduzierte Trajektorienplanung durchzuführen, um eine reduzierte Trajektorie (TRR) für die reduzierte Fahraufgabe (FAR) zu er halten, wenn keine gültige geplante Trajektorie (TR) von dem autonomen Be- triebs- Fahrsystem (9) bereitgestellt wird, und wobei das Redundanz- Fahrsystem (11) nach Ermitteln eines Fehlers (E1) des autonomen Betriebs- Fahrsystems (9) wenigstens einen der Fahrzeugaktuatoren (7) ansteuert, um die reduzierte Fahraufgabe (FAR) unter Verwendung der reduzierten Trajektorie (TRR) durchzuführen.

3. Verfahren (1) nach Anspruch 1 oder 2, wobei das autonome Betriebs- Fahrsystem (9) die Trajektorienplanung zyklisch durchführt, um eine geplante Trajektorie (TR) zu erhalten, und jeweils die geplante Trajektorie (TR) an dem Redundanz-Fahrsystem (11) bereitstellt.

4. Verfahren (1 ) nach einem der vorstehenden Ansprüche, wobei das auto nome Betriebs-Fahrsystem (9) einen oder mehrere Primärsensoren (13, 13.1, 13.2, 13.3) aufweist, die Sensordaten (SD) an einer zentralen Steuereinheit (15) des autonomen Betriebs-Fahrsystems (9) bereitstellen, und wobei die zentrale Steuereinheit (15) die Trajektorienplanung (TR) unter Verwendung der Sensor daten (SD) ausführt.

5. Verfahren (1 ) nach einem der vorstehenden Ansprüche, wobei das Re dundanz-Fahrsystem (9) einen oder mehrere einfache Redundanzsensoren (17, 17.1 , 17.2) aufweist, die Redundanzsensordaten (SDR) an einer zentralen Redundanzsteuereinheit (19) bereitstellen, wobei die zentrale Redundanzsteu ereinheit (19) unter Verwendung der Redundanzsensordaten (SDR) ermittelt ob sich ein Hindernis auf der geplanten Trajektorie (TR) oder der reduzierten Trajektorie (TRR) befindet und die geplante Trajektorie (TR) oder die reduzierte Trajektorie (TRR) unter Verwendung der Redundanzsensordaten (SDR) modifi ziert, wenn ein Hindernis auf der geplanten Trajektorie (TR) oder der reduzier ten Trajektorie (TRR) ermittelt wird.

6. Verfahren (1) nach Anspruch 5, wobei das Redundanz-Fahrsystem (11) von einer von dem Betriebs-Fahrsystem (9) unabhängigen Redundanzspan nungsversorgung (21) versorgt wird.

7. Verfahren (1) nach Anspruch 5 oder 6, wobei die Redundanzsensoren (17, 17.1 , 17.2) die Redundanzsensordaten (SDR) auch an der zentralen Steu ereinheit (15) bereitstellen. 8. Verfahren (1 ) nach einem der vorstehenden Ansprüche, wobei die redu zierte Fahraufgabe (FAR) ein kontrolliertes Bremsmanöver (BM) ist, bei dem das Redundanz-Fahrsystem (11) ein Blockieren der Räder (100.1 ,100.2, 102.1 ,

102.2, 102.3, 102.4) einer Achse (VA, HA1 , FIA2) des Fahrzeugs (2) verhindert.

9. Verfahren (1 ) nach einem der Ansprüche 5 bis 7 und 8, wobei das kon trollierte Bremsmanöver (BM) ein Spurhalte-Bremsmanöver (SFI-BM) ist, bei dem das Fahrzeug (1) eine Fahrspur (25) beibehält , und/oder ein Spurwechsel- Bremsmanöver (SW-BM) ist, bei dem das Fahrzeug (1) auf eine vorhandene befahrbare alternative Fahrspur (26), bevorzugt einen Seitenstreifen (27), ge lenkt und verzögert wird, wobei die zentrale Redundanzsteuereinheit (19) das Einhalten der ge planten Trajektorie (TR) oder der reduzierten Trajektorie (TRR) unter Verwen dung der Redundanzsensordaten (RSD) überwacht.

10. Verfahren (1 ) nach einem der Ansprüche 4 bis 9, wobei die zentrale Steuereinheit (15) wenn kein Fehler (E1) vorliegt eine Betriebs- Trajektorienplanung durchführt, um eine Betriebs-Trajektorie (TR-B) zu erhal ten, und die Betriebs-Trajektorie (TR-B) an einem Betriebskontroller (29) und einem Redundanzkontroller (31) bereitstellt, wobei der Betriebskontroller (29) und/oder der Redundanzkontroller (31) zumindest einen der Fahrzeugaktua toren (7) ansteuern, um das Fahrzeug (1) auf der vorgeplanten Betriebs- Trajektorie (TR-B) zu halten.

11. Verfahren (1 ) nach Anspruch 10, wobei die Fahrzeugaktuatoren (7) zu mindest einen Fahrzeugaktuator (7) aus der Gruppe: Getriebe (7.1), Motor (7.2), Flauptbremssystem (7.3), Redundanzbremssystem (4) oder Lenkaktuator (7.5) aufweisen.

12. Verfahren (1 ) nach Anspruch 10 oder 11 , wobei die zentrale Redundanz steuereinheit (19) die geplante Trajektorie (TR) oder die reduzierte Trajektorie (TRR) der reduzierten Fahraufgabe (FAR) an dem Betriebskontroller (29) und dem Redundanzkontroller (31 ) bereitstellt, wobei der Betriebskontroller (29) und/oder der Redundanzkontroller (31 ) zumindest einen der Fahrzeugaktua toren (7) ansteuern, um das Fahrzeug (1 ) auf der reduziertenTrajektorie (TRR) der reduzierten Fahraufgabe (FAR) zu halten, wenn in einem Fehlerfall des Be- triebs- Fahrsystems (9) keine Betriebs-Trajektorie (TRB) vorliegt.

13. Verfahren nach Anspruch 10 oder 11 , wobei der Betriebskontroller (29) einen Fehlerstatus (ES2) des Redundanzkontrollers (31 ) überwacht, und wobei der Redundanzkontroller (31 ) einen Fehlerstatus (ES1 ) des Betriebskontrollers (29) überwacht.

14. Verfahren (1 ) nach einem der vorstehenden Ansprüche, wobei für den Fall, dass ein Flauptbremssystem (7.3) des Betriebs-Fahrsystems (9) ausfällt, das Fahrzeug (2) mittels eines Redundanzbremssystems (7.4) gebremst wird, das von einer Flauptspannungsversorgung (37) des Betriebs-Fahrsystems (9) unabhängig ist.

15. Verfahren (1 ) nach Anspruch 14, wobei ein Lenken des Fahrzeugs (2) mittels eines Lenkaktuators (39) erfolgt, der von dem Redundanzkontroller (31 ) angesteuert wird und von einer Hauptspannungsversorgung (37) des Betriebs- Fahrsystems (9) unabhängig ist.

16. Verfahren (1 ) nach einem der Ansprüche 1 bis 12, wobei für den Fall, dass ein Lenkaktuator (39) des Betriebs-Fahrsystems (9) ausfällt, ein Not- Lenken des Fahrzeugs (1 ) mittels eines Hauptbremssystems (7.3) erfolgt, das vorzugsweise von dem Redundanzkontroller (31 ) angesteuert wird.

17. Autonomes Fahrzeugsystem (5) zum Steuern eines Fahrzeugs (2), ins besondere Nutzfahrzeugs (3), aufweisend: ein autonomes Betriebs-Fahrsystem (9), das zum Ansteuern wenigstens eines Fahrzeugaktuators (7) des Fahrzeugs (2) zum Durchführen einer dynami schen Fahraufgabe (FA) in einem fehlerfreien Betrieb des autonomen Betriebs- Fahrsystems (9) ausgebildet ist, ein Redundanz-Fahrsystem (11), das zum Durchführen einer reduzierten Fahraufgabe (FAR) ausgebildet ist, wobei das autonome Betriebs-Fahrsystem (9) dazu ausgebildet ist, zum Erhalten einer geplanten Trajektorie (TR) für die reduzierte Fahraufgabe (FAR) eine Trajektorienplanung durchzuführen und die geplante Trajektorie (TR) an dem Redundanz-Fahrsystem (11) bereitzustellen, wobei das autonome Betriebs-Fahrsystem (9) und das Redundanz- Fahrsystem (11) miteinander verbunden und dazu ausgebildet sind, zu ermit teln, ob ein Fehler (E1 , E2) des jeweils anderen Systems (9, 11) vorliegt, wobei das Redundanz-Fahrsystem (11) zum Ansteuern wenigstens eines Fahrzeugaktuators (7) ausgebildet ist, um die reduzierte Fahraufgabe (FAR) beim Ermitteln eines Fehlers (E1) des autonomen Betriebs-Fahrsystems (9) unter Verwendung der geplanten Trajektorie (TR) durchzuführen.

18. Autonomes Fahrzeugsystem (5) nach Anspruch 17, wobei das Redun danz-Fahrsystem (11) dazu ausgebildet ist, eine reduzierte Trajektorienplanung durchzuführen, um eine reduzierte Trajektorie (TRR) für die reduzierte Fahrauf gabe (FAR) zu erhalten, wenn keine gültige geplante Trajektorie (TR) von dem autonomen Betriebs-Fahrsystem (9) bereitgestellt wird, und wobei das Redun danz-Fahrsystem (11) zum Ansteuern wenigstens eines Fahrzeugaktuators (7) ausgebildet ist, um die reduzierte Fahraufgabe (FAR) beim Ermitteln eines Feh lers (E1) des autonomen Betriebs-Fahrsystems (9) unter Verwendung der redu zierten Trajektorie (TRR) durchzuführen.

19. Autonomes Fahrzeugsystem (5) nach Anspruch 17 oder 18, wobei das Betriebs-Fahrsystem (9) einen oder mehrere Primärsensoren (13, 13.1 , 13.2) zum Ermitteln von Sensordaten (SD), eine mit den Primärsensoren (13, 13.1 , 13.2) verbundene zentrale Steuereinheit (15) und eine Flauptspannungsversor- gung (37) für das Betriebs-Fahrsystem (9) aufweist, wobei die zentrale Steuer einheit (15) dazu ausgebildet ist, eine Trajektorienplanung zum Erhalten einer geplanten Trajektorie (TR) unter Verwendung der Sensordaten (SD) durchzu führen wenn kein Fehler (E1) vorliegt.

20. Autonomes Fahrzeugsystem (5) nach Anspruch 19, wobei das Betriebs- Fahrsystem (9) ferner einen mit der zentralen Steuereinheit (15) verbundenen Betriebskontroller (29) aufweist, der zum Ansteuern zumindest eines Fahrzeug aktuators (7) und/oder einer ersten Gruppe (41) von Fahrzeugaktuatoren (7) des Fahrzeugsystems (2) ausgebildet ist.

21. Autonomes Fahrzeugsystem (5) nach Anspruch 20, wobei die erste Gruppe (41) von Fahrzeugaktuatoren (7) ein Getriebe (7.1), einen Motor (7.2) und/oder ein Flauptbremssystem (7.3) umfasst, die mit der Flauptspannungs- versorgung (37) des Betriebs-Fahrsystems (9) verbunden sind.

22. Autonomes Fahrzeugsystem (5) nach Anspruch 20, wobei die erste Gruppe (41) von Fahrzeugaktuatoren (7) einen Lenkaktuator (7.5) und/oder ein Redundanzbremssystem (7.4) umfasst, die mit der Flauptspannungsversorgung (37) des Betriebs-Fahrsystems (9) verbunden sind.

23. Autonomes Fahrzeugsystem (5) nach einem der Ansprüche 19 bis 22, wobei das Redundanz-Fahrsystem (11) einen oder mehrere einfache Redun danzsensoren (17) zum Ermitteln von Redundanzsensordaten (SDR) aufweist, die mit der zentralen Steuereinheit (15) des Betriebs-Fahrsystems (9) und mit einer zentralen Redundanzsteuereinheit (19) des Redundanz-Fahrsystems (11) verbunden sind.

24. Autonomes Fahrzeugsystem (5) nach Anspruch 23, wobei das Redun danz-Fahrsystem (11) ferner eine Redundanzspannungsversorgung (51) zum Versorgen des Redundanz-Fahrsystems (11) und einen Redundanzkontroller (31) aufweist, der zum Ansteuern eines Fahrzeugaktuators (7) und/oder einer zweiten Gruppe (53) von Fahrzeugaktuatoren (7) des Fahrzeugsystems (5) ausgebildet ist.

25. Autonomes Fahrzeugsystem (5) nach Anspruch 21 und 24, wobei die zweite Gruppe (53) von Fahrzeugaktuatoren (7) einen Lenkaktuator (7.5) und/oder ein Redundanzbremssystem (7.4) umfasst, die mit der Redundanz spannungsversorgung (51) des Redundanz-Fahrsystems (11) verbunden sind.

26. Autonomes Fahrzeugsystem (5) nach Anspruch 22 und 24, wobei die zweite Gruppe (53) von Fahrzeugaktuatoren (7) ein Getriebe (7.1), einen Motor (7.2) und/oder ein Flauptbremssystem (7.3) umfasst, die mit der Redundanz spannungsversorgung (51) des Redundanz-Fahrsystems (11) verbunden sind.

27. Autonomes Fahrzeugsystem (5) nach einem der Ansprüche 23 bis 26, wobei die Redundanzsensoren (17) einen Fahrzeugseitensensor (55), insbe sondere ein Seitenradar, einen Seitenultraschall und/oder einen Seitenlidar- sensor, aufweisen, der dazu ausgebildet ist, einen Abstand (A) zu einer seitli chen Fahrbahnbegrenzung (57) zu ermitteln.

28. Autonomes Fahrzeugsystem (5) nach einem der Ansprüche 23 bis 27, wobei die Redundanzsensoren (177) ein kurzreichweiten Frontradar (59) und/oder einen Weitwinkel-Lidar-Sensor (61) umfassen, die zum Ermitteln eines befahrbaren Raums bis zu Fahrzeugkanten (62) ausgebildet sind.

29. Autonomes Fahrzeugsystem (5) nach Anspruch 20, wobei der Betriebs kontroller (29) dazu ausgebildet ist, einen Fehlerstatus (ES3) der ersten Grup pe (41) von Fahrzeugaktuatoren (7) zu ermitteln und an der zentralen Steuer einheit (15) bereitzustellen.

30. Autonomes Fahrzeugsystem (5) nach Anspruch 24, wobei der Redun danzkontroller (31) dazu ausgebildet ist, einen Fehlerstatus (E4) der zweiten Gruppe (53) von Fahrzeugaktuatoren (7) zu ermitteln und an der zentralen Re dundanzsteuereinheit (19) und/oder an der zentralen Steuereinheit (15) bereit zustellen.

31. Fahrzeug (2), insbesondere Nutzfahrzeug (3), aufweisend ein autonomes Fahrzeugsystem (5) gemäß einem der Ansprüche 17 bis 30, das zum Ausfüh ren eines Verfahrens (1) gemäß einem der Ansprüche 1 bis 16 ausgebildet ist.