EP4429928A1

EP4429928A1 - Fahrzeugsteuersystem mit schnittstelleneinheit

Info

Publication number: EP4429928A1
Application number: EP22812590.2A
Authority: EP
Inventors: Christoph Barth; Malte Berroth; Otmar Struwe; Oliver WULF
Original assignee: ZF CV Systems Global GmbH
Current assignee: ZF CV Systems Global GmbH
Priority date: 2021-11-10
Filing date: 2022-11-01
Publication date: 2024-09-18
Also published as: DE102021129193A1; WO2023083643A1; CN118201833A; US20240294192A1

Abstract

Die Erfindung betrifft ein Fahrzeugsteuersystem (1) zum Steuern eines Fahrzeugs (200), insbesondere Nutzfahrzeugs (202), in einem autonomen Betriebsfall (105). Das Fahrzeugsteuersystem (1) weist einen virtuellen Fahrer (2) auf, der dazu angepasst ist, eine Trajektorienplanung (101) zum Erzeugen einer Trajektorie (103) durchzuführen. Das Fahrzeugsteuersystem (1) ist dazu angepasst, das Fahrzeug (200) unter Verwendung der Trajektorie (103) zu steuern und wird gekennzeichnet durch eine Schnittstelleneinheit (4), die dazu angepasst ist, die Trajektorie (103) vom virtuellen Fahrer (2) zu erhalten und zumindest einen Fahrzeugaktuator (6, 6.1, 6.2, 6.3, 6.4, 6.5) des Fahrzeugsteuersystems (1) zum Steuern des Fahrzeugs (200) unter Verwendung der Trajektorie (103) anzusteuern, wobei die Schnittstelleneinheit (4) den virtuellen Fahrer (2) und den zumindest einen Fahrzeugaktuator (6, 6.1, 6.2, 6.3, 6.4, 6.5) funktional verbindet. Ferner betrifft die Erfindung ein Verfahren (400) zum Steuern eines Fahrzeugs (200), eine Verwendung des Fahrzeugsteuersystems (1) und ein Fahrzeug (200), das ein Fahrzeugsteuersystem (1) aufweist.

Description

Fahrzeugsteuersystem mit Schnittstelleneinheit

Die Erfindung betrifft ein Fahrzeugsteuersystem zum Steuern eines Fahrzeugs, insbesondere Nutzfahrzeugs, in einem autonomen Betriebsfall. Das Fahrzeugsteuersystem weist einen virtuellen Fahrer auf, der dazu angepasst ist, eine Trajektorienplanung zum Erzeugen einer Trajektorie durchzuführen; wobei das Fahrzeugsteuersystem dazu angepasst ist, das Fahrzeug unter Verwendung der Trajektorie zu steuern. Ferner betrifft die Erfindung ein Verfahren zum Steuern eines Fahrzeugs, die Verwendung eines Fahrzeugsteuersystems und ein Fahrzeug.

Fahrzeugsteuersysteme sind dazu ausgebildet, einen oder mehrere Aktuatoren eines Fahrzeugs derart anzusteuern, dass eine Fahraufgabe des Fahrzeugs ausgeführt wird. Dabei regeln Fahrzeugsteuersysteme die Quer- und Längsbe- schleunigung von Fahrzeugen teilweise oder vollständig unabhängig von einem menschlichen Benutzer. Eine vollkommen nutzerunabhängige Steuerung wird als vollautonomer Betrieb bezeichnet, während in einem teilautonomen Betrieb nur einige Fahraufgaben von dem Fahrzeugsteuersystem übernommen werden. Der Begriff autonomer Betriebsfall umfasst sowohl das vollautonome Steuern des Fahrzeugs als auch das teilautonome Steuern.

Um ein Fahrzeug fahrerlos zu betreiben werden viele unterschiedliche Sensoren zur Umwelterfassung sowie große Rechenleistungen zur Auswertung der Sensordatenströme benötigt. Basierend auf Sensordaten führt ein virtueller Fahrer des autonomen Fahrzeugsteuersystems eine Trajektorienplanung durch und erhält eine Trajektorie, die zum Erfüllen einer Fahraufgabe, wie beispielsweise einer autonomen Fahrt von Punkt A zu Punkt B, vorgesehen ist. Um die Fahraufgabe zu erfüllen bzw. das Fahrzeug entlang der Trajektorie zu bewegen, steuert das Fahrzeugsteuersystem einen oder mehrere Fahrzeugaktuatoren des Fahrzeugs an. Beispielsweise steuert das Fahrzeugsteuersystem ein Lenksystem, einen Antriebsmotor und ein Bremssystem derart an, dass sich das Fahrzeug mit einer in der Trajektorie vorgesehenen Bahngeschwindigkeit entlang eines vordefinierten Wegs bewegt. Während das Fahrzeug die Trajektorie ausführt, überwacht das autonome Fahrzeugsteuersystem die Umgebung und modifiziert gegebenenfalls die Trajektorie.

Ein gängiges fünfstufiges Schema zur Einordnung des Automatisierungsgrades von Fahrzeugen, die mittels eines autonomen Fahrzeugsteuersystems gesteuert werden, wurde durch die Society of Automotive Engineers (SAE) entwickelt. Das Fahrzeug muss auch im Fehlerfall noch soweit sicher weiterbetrieben werden können, bis keine Gefahr mehr von ihm ausgehen kann. In den Autonomiestufen 3 bis 5 erfolgt die Überwachung des Fahrumfeldes durch das autonome Fahrsystem, wobei in Stufe 3 der menschliche Benutzer im Falle eines Fehlers des autonomen Fahrsystems die Fahrzeugsteuerung vollständig übernimmt. In den Autonomiestufen 4 und 5 ist keine Überwachung durch den menschlichen Benutzer mehr vorgesehen. Fehler des Fahrzeugsteuersystems, beispielsweise des virtuellen Fahrers, dürfen dann nicht zu Unfällen oder Gefahrensituationen führen.

In der Fahrzeugindustrie sind lange Lieferketten und der Zukauf teils vollständiger Baugruppen von Zulieferern durch die Originalausrüstungshersteller (OEM) weit verbreitet, da andernfalls aufgrund von oftmals kurzen Produktzyklen die Entwicklung von hochkomplexen modernen Fahrzeugen nicht oder nur kaum möglich wäre. So kaufen Nutzfahrzeug-OEM beispielsweise häufig vollständige Bremssysteme von Zulieferern wie der hiesigen Anmelderin ein und verbauen diese in Ihren Nutzfahrzeugen. Insbesondere bei komplexen Fahrzeugsteuersystemen für das autonome oder teilautonome Fahren ist eine sichere und einfache Integration von zugekauften Fahrzeugsubsystemen wichtig. So muss beispielsweise eine korrekte Interkation eines vom Nutzfahrzeug-OEM bereitgestellten virtuellen Fahrers mit einem von einem Zulieferer bereitgestellten Bremssystem unter allen Umständen sichergestellt sein, um mögliche Gefahrensituationen und Unfälle zu verhindern.

US 10,61 1 ,381 B2 offenbart ein autonomes Fahrzeug mit einem virtuellen Fahrer und mehreren Fahrzeugaktuatoren. Kontrollmodule der Fahrzeugaktuatoren stellen Empfehlungen für sichere Fahrmanöver (sog. minimal rise maneuver) an einer MRC-Steuerung bereit. Im Fehlerfall wählt die MRC-Steuerung eine dieser Empfehlungen aus und befiehlt dem virtuellen Fahrer das Fahrzeug bzw. die Fahrzeugaktuatoren basierend auf der ausgewählten Empfehlung zu steuern. Der virtuelle Fahrer ist hierzu unmittelbar mit den Fahrzeugaktuatoren verbunden und steuert die Aktuatoren an. Nachteilig ist hieran, dass im Falle eines Fehlers des virtuellen Fahrers ein Zugriff des virtuellen Fahrers auf die Fahrzeugaktuatoren nicht unterbunden werden kann. Ferner wird ein Zugriff des virtuellen Fahrers auch bei einem Wechsel in einen autonomen Betriebsmodus nicht gesondert überwacht.

Es besteht daher Bedarf nach Fahrzeugsteuersystemen zum Steuern eines Fahrzeugs, Verfahren zum Steuern eines Fahrzeugs und Fahrzeugen, die kostengünstig sind bzw. kostengünstige Komponenten verwenden, eine erhöhte Sicherheit gewährleisten und einfach zu integrieren sind.

Die vorliegende Erfindung löst die Aufgabe in einem ersten Aspekt bei einem Fahrzeugsteuersystem der vorgenannten Art durch eine Schnittstelleneinheit, die dazu angepasst ist, die Trajektorie vom virtuellen Fahrer zu erhalten und zumindest einen Fahrzeugaktuator des Fahrzeugsteuersystems zum Steuern des Fahrzeugs unter Verwendung der Trajektorie anzusteuern, wobei die Schnittstelleneinheit den virtuellen Fahrer und den zumindest einen Fahrzeugaktuator funktional verbindet. Erfindungsgemäß ist also eine Trennung von Teilfunktionen vorgesehen. Im Betrieb führt der virtuelle Fahrer die Trajektorienpla- nung durch und erzeugt so die Trajektorie, während das Ansteuern des zumindest einen Fahrzeugaktuators durch die Schnittstelleneinheit erfolgt. Die Schnittstelleneinheit übersetzt die Trajektorie in spezifische Anforderungen der Fahrzeugaktuatoren und steuert diese entsprechend an. Betrifft die Trajektorie beispielsweise eine Geradeausfahrt des Fahrzeugs mit konstanter Geschwindigkeit an einer Steigung, steuert die Schnittstelleneinheit einen Antrieb des Fahrzeugs (bzw. ein entsprechendes Steuergerät des Antriebs) derart an, dass die Geschwindigkeit konstant gehalten wird.

An der Aufteilung von Trajektorienplanung und Ansteuerung der Fahrzeugaktuatoren ist insbesondere vorteilhaft, dass im Falle eines Fehlers des virtuellen Fahrers ein Ansteuern des zumindest einen Fahrzeugaktuators weiterhin möglich ist. Ein Fehler des virtuellen Fahrers führt dann nicht automatisch zu einem Totalausfall des Systems. Ferner ermöglicht die Schnittstelle eine einfache Integration bzw. Kombination von verschiedenen Fahrzeugsubsystemen. So kann die Schnittstelle vorzugsweise dazu angepasst sein, die Trajektorie in einem gängigen Daten-Format zu empfangen. Der virtuelle Fahrer braucht die Trajektorie dann nur in einem gängigen Daten-Format bereitzustellen und muss nicht auf alle Subsysteme des Fahrzeugs abgestimmt werden. Die Schnittstelle kann so in vorteilhafter Weise einfach mit virtuellen Fahrern verschiedener Hersteller kombiniert werden.

Die Schnittstelleneinheit verbindet den virtuellen Fahrer funktional mit dem zumindest einen Fahrzeugaktuator. Das heißt der virtuelle Fahrer und der zumindest eine Fahrzeugaktuator sind nur mittelbar, über die Schnittstelleneinheit, miteinander verbunden. Während der Fahrt des Fahrzeugs wirken der virtuelle Fahrer, die Schnittstelleneinheit und der zumindest eine Fahrzeugaktuator so zusammen, dass das Fahrzeug entlang der Trajektorie bewegt wird. Ein Verarbeiten bzw. Übersetzen der Trajektorie in Aktuatoranforderungen und/oder Aktuatorsteuerbefehle erfolgt vorzugsweise ausschließlich durch die Schnittstelleneinheit. Es soll verstanden werden, dass die Schnittstelleneinheit im Rahmen dieser Anmeldung mehr ist als ein reines Leitungselement zwischen dem virtuellen Fahrer und dem zumindest einen Fahrzeugaktuator. Die Schnittstelleneinheit übernimmt vielmehr funktionale Aufgabe, wie insbesondere ein Weiterverarbeiten und/oder Übersetzen der Trajektorie in Steuerbefehle für einen oder mehrere Fahrzeugaktuatoren. So kann die Schnittstelleneinheit beispielsweise Steuerbefehle für einzelne Fahrzeugaktuatoren aus der Trajektorie extrahieren. Vorzugsweise kann auch vorgesehen sein, dass die Schnittstelleneinheit den virtuellen Fahrer mit einem ersten Fahrzeugaktuator funktional verbindet und dass der virtuelle Fahrer mit einem zweiten Fahrzeugaktuator unmittelbar verbunden ist.

In einer ersten bevorzugten Ausführungsform ist der virtuelle Fahrer ausschließlich durch eine oder mehrere Schnittstelleneinheiten mit dem zumindest einen Fahrzeugaktuator funktional verbunden. Es besteht dann keine funktionale Verbindung zwischen dem virtuellen Fahrer und dem zumindest einen Fahrzeugaktuator über weitere Komponenten, die keine Schnittstelleneinheiten zum Ansteuern der Fahrzeugaktuatoren sind. In dieser Ausführungsform ist (sind) insbesondere allein die Schnittstelleneinheit(en) dazu vorgesehen, den zumindest einen Fahrzeugaktuator unter Verwendung der Trajektorie anzusteuern. Eine Systemintegration wird so erleichtert. Ferner kann sichergestellt werden, dass der virtuelle Fahrer nur mittels der Schnittstelleneinheit auf die Fahrzeugaktuatoren zugreifen kann. Eine Fähigkeit zum Ansteuern der Fahrzeugaktuatoren bleibt auch im Falle eines Fehlers des virtuellen Fahrers erhalten und die Sicherheit des Fahrzeugsteuersystems wird erhöht.

Vorzugsweise sind der virtuelle Fahrer und die Schnittstelleneinheit virtuelle Subsysteme einer Steuereinheit. So können die Schnittstelleneinheit und der virtuelle Fahrer beispielsweise voneinander unabhängige Programme sein, die auf einer Steuereinheit ausgeführt werden. Virtuelle Subsystem erlauben eine Trennung der Funktion und ermöglichen dennoch eine einfache und kompakte Bauweise. Ferner können vorzugsweise bereits bekannte Steuereinheiten zum Umsetzen der Erfindung weiterentwickelt werden.

Alternativ können die Schnittstelleneinheit und der virtuelle Fahrer auch getrennte Systeme sein. So kann der virtuelle Fahrer vorzugsweise ein erster Rechenkern einer Steuereinheit sein während ein zweiter Rechenkern der Steuereinheit die Schnittstelleneinheit bildet. Weiterhin bevorzugt kann der virtuelle Fahrer eine erste ECU einer Steuereinheit und die Schnittstelleneinheit eine zweite ECU derselben Steuereinheit sein. Es kann aber alternativ und bevor- zugt auch vorgesehen sein, dass der virtuelle Fahrer und die Schnittstelleneinheit als vollständig physisch getrennte Systeme ausgeführt sind. Beispielsweise können der virtuelle Fahrer und die Schnittstelleneinheit bevorzugt als separate Module ausgeführt sein, die besonders bevorzugt in getrennten Gehäusen angeordnet sind. Eine vollständige Trennung von Schnittstelleneinheit und virtuellem Fahrer erlaubt eine besonders einfache Integration des Fahrzeugsteuersystems in ein Fahrzeug.

In einer weiteren bevorzugten Ausgestaltung weist der virtuelle Fahrer zum Durchführen der Trajektorienplanung eine Planungssteuereinheit auf, wobei die Schnittstelleneinheit eine elektronische Schnittstellensteuereinheit aufweist, die von der Planungssteuereinheit unabhängig ausgeführt und zum Verarbeiten der Trajektorie ausgebildet ist. Durch die unabhängige Ausführung von Planungssteuereinheit und Schnittstellensteuereinheit ist eine besondere Ausfallsicherheit gewährleistet. Ein Ausfall der Planungssteuereinheit bewirkt dann nicht automatisch auch einen fehlenden Zugriff auf Fahrzeugaktuatoren.

Vorzugsweise weist das Fahrzeugsteuersystem ein erstes Bussystem und ein zweites Bussystem auf, wobei der virtuelle Fahrer mit dem ersten Bussystem verbunden ist, der zumindest eine Fahrzeugaktuator mit dem zweiten Bussystem verbunden ist, und wobei die Schnittstelleneinheit mit dem ersten Bussystem und dem zweiten Bussystem verbunden ist. Das erste und/oder zweite Bussystem ist vorzugsweise ein Ethernet-Bussystem, ein CAN-Bussystem, ein CAN-FD-Bussystem, ein LIN-Bussystem, ein MOST-Bussystem, ein FlexRay- Bussystem und/oder ein TTCAN-Bussystem. Da der virtuelle Fahrer und der zumindest eine Fahrzeugaktuator in getrennten Bussysteme angeordnet sind, kann eine Kommunikation bzw. eine funktionale Interaktion dieser Einheiten nur über die Schnittstelleneinheit erfolgen. Die Trennung von virtuellem Fahrer und Fahrzeugaktuatoren wird so erleichtert.

In einer bevorzugten Weiterbildung ist die Schnittstelleneinheit dazu angepasst, eine oder mehrere Sicherheitsfunktionen des Fahrzeugsteuersystems auszuführen. Die Schnittstelleneinheit übernimmt dann zumindest zwei Funktionen: das Ansteuern des zumindest einen Fahrzeugaktuators unter Verwendung der Trajektorie und die Sicherheitsfunktion.

Bevorzugt ist die Sicherheitsfunktion eine Zulässigkeitsprüfung, die dazu vorgesehen ist, zu ermitteln, ob die Trajektorie eine oder mehrere vordefinierte Beschränkungen, vorzugsweise für das Fahrzeug vordefinierte fahrdynamische Beschränkungen, einhält. Fahrdynamische Beschränkungen sind vorzugsweise ausgewählt aus einer maximalen Querbeschleunigung des Fahrzeugs, einem minimalen Bremsweg des Fahrzeugs, einem minimalen Kurvenradius des Fahrzeugs, einer maximal vom Fahrzeug befahrbaren Steigung (und/oder Gefälle), eine minimale Wegbreite, die von dem Fahrzeug befahren werden kann, und/oder eine minimale Weghöhe, die von dem Fahrzeug befahren werden kann. Weitere Beschränkungen können vorzugsweise Statusinformationen von Fahrzeugteilsystemen sein. Die Schnittstelleneinheit ist dazu angepasst, als Sicherheitsfunktion zu ermitteln, ob die von dem virtuellen Fahrer generierte Trajektorie eine oder mehrere Beschränkungen einhält. Wenn dies nicht der Fall ist, wird dies von der Schnittstelleneinheit erkannt. Wenn der virtuelle Fahrer beispielsweise eine Trajektorie erzeugt, die eine Kurvenfahrt des Fahrzeugs enthält, bei der eine maximale Querbeschleunigung des Fahrzeugs überschritten wird (Gefahr des Kippens), so wird das von der Schnittstelleneinheit erkannt. Bevorzugt kann die Schnittstelleneinheit ermitteln, ob die Trajektorie basierend auf einem voll funktionsfähigen Bremssystem erzeugt wurde, obwohl aufgrund einer Fehlfunkton nur eine Notbremsfunktion zur Verfügung steht.

In einer bevorzugten Ausgestaltung ist die Schnittstelleneinheit dazu angepasst, den zumindest einen Fahrzeugaktuator nur dann unter Verwendung der Trajektorie anzusteuern, wenn die Trajektorie alle vordefinierten Beschränkungen einhält. Die Schnittstelleneinheit verhindert so vorzugsweise das Ansteuern des Fahrzeugs unter Verwendung einer fehlerhaften Trajektorie. Beispielsweise kann so ein Kippen des Fahrzeugs verhindert werden, dass durch eine Kurvenfahrt mit zu hoher Querbeschleunigung verursacht würde. Bevorzugt ist die Sicherheitsfunktion eine Fehlerüberwachung, die dazu vorgesehen ist, zu ermitteln, ob ein Fehler des Fahrzeugsteuersystems, des Fahrzeugs und/oder eines Fahrzeugsubsystems vorliegt. Es soll verstanden werden, dass die Sicherheitsfunktion sowohl die Fehlerüberwachung als auch die Zulässigkeitsprüfung enthalten kann. Im Rahmen der Fehlerüberwachung kann die Schnittstelleneinheit beispielsweise dazu ausgebildet sein, zu ermitteln, ob ein Bremssystem des Fahrzeugs voll funktionsfähig ist bzw. die maximale Bremsleistung zur Verfügung stellen kann. Vorzugsweise kann die Schnittstelleneinheit so als Redundanzebene zu einer von einer Hauptsteuereinheit des Fahrzeugs durchgeführten Fehlerüberwachung dienen. Die Schnittstelleneinheit kann aber auch die einzige Fehlerüberwachung eines Fahrzeugs durchführen.

Gemäß einer bevorzugten Ausführungsform ist die Schnittstelleneinheit dazu angepasst, in Antwort auf ein Ermitteln eines Fehlers des Fahrzeugsteuersystems, des Fahrzeugs und/oder des Fahrzeugsubsystems zu ermitteln, ob die Trajektorie durchführbar ist. Eine Trajektorie ist durchführbar, solange das Fahrzeug trotz des Fehlers dazu eingerichtet ist, der Trajektorie zu folgen. Beispielsweise kann in einem Fall, in dem ein Bremssystem des Fahrzeugs fehlerhaft ist und nur eine Notbremsfunktion verfügbar ist, die Trajektorie dennoch ausführbar sein, wenn im Rahmen der Trajektorie durchzuführende Bremsmanöver eine ausreichend geringe Verzögerung beinhalten. Ferner kann beispielsweise eine reine Geradeausfahrt auch dann realisiert werden, wenn ein Lenksystem des Fahrzeugs funktionsunfähig ist.

In einer bevorzugten Weiterbildung ist die Schnittstelleneinheit dazu angepasst, als Sicherheitsfunktion den zumindest einen Fahrzeugaktuator des Fahrzeugsteuersystems zum Steuern des Fahrzeugs unter Verwendung einer Sicher- heits-Trajektorie anzusteuern. Die Schnittstelleneinheit kann den Fahrzeugaktuator so unter Verwendung der Trajektorie oder unter Verwendung der Sicher- heits-Trajektorie ansteuern. Die Sicherheits-Trajektorie weist vorzugsweise einen relativ zur Trajektorie reduzierten Funktionsumfang auf. Die Sicherheits- Trajektorie beschreibt vorzugsweise den geplanten Bewegungspfad des Fahr- zeugs mitsamt den fahrdynamischen Größen, wie Geschwindigkeit, Verzögerung und/oder Querbeschleunigung des Fahrzeugs.

Vorzugsweise ist die Schnittstelleneinheit dazu angepasst ist, den zumindest einen Fahrzeugaktuator des Fahrzeugsteuersystems zum Steuern des Fahrzeugs unter Verwendung der Sicherheits-Trajektorie anzusteuern, falls die Trajektorie zumindest eine vordefinierte Beschränkung verletzt. Die Schnittstelleneinheit ist vorzugsweise dazu angepasst selbstständig zwischen der Trajektorie und der Sicherheits-Trajektorie zu wählen. Wenn die von dem virtuellen Fahrer erzeugte Trajektorie eine vordefinierte Beschränkung verletzt, dann steuert die Schnittstelleneinheit den zumindest einen Fahrzeugaktuator unter Verwendung der Sicherheits-Trajektorie an. Wenn die Trajektorie hingegen keine Beschränkung verletzt, verwendet die Schnittstelleneinheit die Trajektorie zum Ansteuern des Fahrzeugaktuators. Es soll verstanden werden, dass die Schnittstelleneinheit beim Wählen zwischen Trajektorie und Sicherheits- Trajektorie auch weitere Faktoren, wie vorzugsweise ein Ergebnis der Fehlerüberwachung, berücksichtigen kann. Bevorzugt ist die Schnittstelleneinheit dazu angepasst, den zumindest einen Fahrzeugaktuator des Fahrzeugsteuersystems zum Steuern des Fahrzeugs unter Verwendung der Sicherheits- Trajektorie anzusteuern, falls die Trajektorie nicht oder nicht korrekt durchführbar ist.

Vorzugsweise ist oder umfasst die Sicherheits-Trajektorie eines der folgenden Manöver: Notbremsmanöver, Stop-in-Lane Manöver, Stop-on-Hard-Shoulder Manöver, Limp-home Manöver, Mission-Complete Manöver. Ein Notbremsmanöver entspricht einer maximalen Bremsung des Fahrzeugs ohne Lenkbewegung. Ein Stop-in-Lane Manöver, das auch als Spurhalte-Bremsmanöver bezeichnet wird, folgt das Fahrzeug weiter einer Fahrspur, auf der sich das Fahrzeug beim Einleiten des Manövers befindet. Es soll verstanden werden, dass die Fahrspur auch gekrümmt sein kann bzw. eine Kurve aufweisen kann. Bevorzugt wird das Stop-in-Lane Manöver ausgeführt, wenn keine befahrbare alternative Fahrspur vorhanden ist. Dies ist beispielsweise der Fall, wenn das Fahrzeug eine einspurige Straße befährt oder wenn ein Seitenstreifen durch ein defektes Fahrzeug blockiert ist. Bei einem Stop-on-Hard-Shoulder Manöver, das auch als Spurwechsel-Bremsmanöver bezeichnet wird, wechselt das Fahrzeug von einer ersten Fahrspur, die es beim Einleiten des Manövers befährt, auf eine andere befahrbare Fahrspur. Die andere Fahrspur ist üblicherweise eine zweite freie Fahrspur, insbesondere ein Seitenstreifen. Im Rahmen eines Stop-on-Hard-Shoulder Manövers kann das Fahrzeug auch mehrmals die Fahrspur wechseln. Ein Limp-home Manöver betrifft eine kurzfristige Weiterfahrt des Fahrzeugs unter bestimmten Bedingungen, beispielsweise mit eingeschränkter Maximalgeschwindigkeit. Bei einem Mission-Complete Manöver wird das geplante Fahrziel angesteuert. Mission-Complete Manöver werden vorzugsweise dann durchgeführt, wenn ein nicht sicherheitsrelevantes System einen Fehler aufweist.

Vorzugsweise ist die Sicherheitsfunktion ein Durchführen einer Sicherheitsplanung zum Erhalten einer Sicherheits-Trajektorie. Indem die Schnittstelleneinheit eine Sicherheitsplanung durchführt kann sichergestellt werden, dass auch dann eine Sicherheits-Trajektorie zum Ansteuern des zumindest einen Fahrzeugaktuators zur Verfügung steht, wenn der virtuelle Fahrer aufgrund eines Fehlers funktionsunfähig ist.

Bevorzugt ist die Schnittstelleneinheit dazu angepasst, einen ermittelten Fehler des Fahrzeugsteuersystems, des Fahrzeugs und/oder des Fahrzeugsubsystems bei der Sicherheitsplanung zu berücksichtigen. Bevorzugt erfolgt die Sicherheitsplanung unter Berücksichtigung des Fahrzeugzustands, insbesondere der Geschwindigkeit, der Masse und der Querbeschleunigung, sowie weiterer Umgebungsbedingungen und Umwelteinflüsse. Solche Umgebungsbedingungen und Umwelteinflüsse können beispielsweise Umgebungstemperatur, Straßentemperatur, Straßenverhältnisse, Spurbreiten, Spurverlauf und Verkehrsaufkommen sein.

Gemäß einer bevorzugten Weiterbildung ist die Schnittstelleneinheit dazu angepasst, die Sicherheitsplanung parallel zur Trajektorienplanung des virtuellen Fahrers, und vorzugsweise kontinuierlich, durchzuführen. Das kontinuierliche Durchführen der Sicherheitsplanung stellt sicher, dass im Falle eines Fehlers eines Fahrzeugsystems oder des virtuellen Fahrers immer eine aktuelle Sicher- heits-Trajektorie verfügbar ist. Es soll verstanden werden, dass ein kontinuierliches Durchführen ein kontinuierliches Anpassen der Sicherheits-Trajektorie sein kann. Ebenso kann das kontinuierliche Durchführen der Sicherheitsplanung aber auch umfassen, dass unmittelbar nach Abschluss einer Sicherheitsplanung eine erneute Sicherheitsplanung gestartet wird. Bevorzugt ist die Schnittstelleneinheit dazu angepasst, die Sicherheitsplanung unabhängig davon durchzuführen, ob die Trajektorie durchführbar ist oder nicht. Dadurch wird erreicht, dass auch für den Fall, dass die Trajektorie nachträglich undurchführbar wird, eine aktuelle Sicherheits-Trajektorie verfügbar ist.

In einer Ausführungsform ist die Schnittstelleneinheit dazu angepasst, zwischen dem autonomen Betriebsfall und einem manuellen Betriebsfall des Fahrzeugsteuersystems zu schalten, wobei die Schnittstelleneinheit den zumindest einen Fahrzeugaktuator nur ansteuert, wenn der autonome Betriebsfall aktiviert ist. Im manuellen Betriebsfall erfolgt das Ansteuern des zumindest einen Fahrzeugaktuators manuell durch einen Fahrer des Fahrzeugs. So kann der Fahrer im manuellen Betriebsfall beispielsweise ein Bremspedal des Fahrzeugs betätigen, um das Fahrzeug zu bremsen. Es kann aber auch vorgesehen sein, dass die Schnittstelleneinheit den zumindest einen Fahrzeugaktuator im manuellen Betriebsfall in Abhängigkeit einer manuellen Nutzervorgabe ansteuert. Beispielsweise kann der Fahrer mittels eines elektronischen Bremspedals eine manuelle Bremsanforderung an der Schnittstelleneinheit bereitstellen, die wiederum einen oder mehrere Bremszylinder entsprechend der manuellen Bremsanforderung ansteuert. Das Ansteuern erfolgt dann aber nicht unter Verwendung einer Trajektorie.

Vorzugsweise weist das Fahrzeugsteuersystem einen Aktivierungsschalter auf, wobei die Schnittstelleneinheit dazu angepasst ist, nur dann in den autonomen Betriebsfall zu schalten, wenn der Aktivierungsschalter betätigt ist. Wenn der Aktivierungsschalter nicht betätigt ist, kann die Schnittstelleneinheit nicht in den autonomen Betriebsfall schalten. Ein selbsttätiges Aktivieren des autonomen Betriebsfalls ohne entsprechenden Nutzerwunsch wird so verhindert. Der Aktivierungsschalter dient zusammen mit der Schnittstelleneinheit als Sicherheitseinrichtung. Es soll verstanden werden, dass der Aktivierungsschalter nicht durchgängig physisch betätigt sein muss. Der Aktivierungsschalter kann auch ein einfacher Taster sein, der durch einmaliges Drücken betätigt ist und in diesem betätigten Zustand verbleibt. Vorzugsweise ist der Aktivierungsschalter ein Taster, ein Schlüsselschalter, ein Kippschalter, ein Fingerabdruckscanner und/oder eine Pineingabeeinrichtung. Ein Fingerabdruckscanner schaltet durch Einscannen eines Fingerabdrucks eines Berechtigten in eine betätigte Stellung. Analog erfolgt das Schalten bei einer Pineingabeeinrichtung durch Eingabe einer korrekten Zeichenfolge (Pin). Vorzugsweise kann der Aktivierungsschalter auch eine Spracherkennungseinrichtung sein. Vorzugsweise ist der Aktivierungsschalter dazu angepasst, nach dem Betätigen betätigt zu bleiben, bis ein Zurücksetzen erfolgt. Ein Zurücksetzen erfolgt beispielsweise durch ein erneutes Betätigen oder ein Deaktivieren des Fahrzeugs.

In einer bevorzugten Ausgestaltung ist die Schnittstelleneinheit dazu angepasst, nur dann in den autonomen Betriebsfall zu schalten, wenn der Aktivierungsschalter betätigt ist und ein Bestätigungssignal an der Schnittstelleneinheit bereitgestellt wird. Das Aktivieren des autonomen Betriebsfalls erfolgt dann nur in Antwort auf eine mehrstufige Prüfung. Zunächst muss der Aktivierungsschalter betätigt sein. Ist der Aktivierungsschalter betätigt, schaltet die Schnittstelleneinheit vorzugsweise in einen Bereitschaftsmodus, in dem ein Aktivieren des autonomen Betriebsfalls prinzipiell möglich ist. Erst wenn aber auch das Betätigungssignal an der Schnittstelleneinheit bereitgestellt wird, schaltet die Schnittstelleneinheit in den autonomen Betriebsfall. So kann beispielsweise ein als Schlüsselschalter ausgebildeter Aktivierungsschalter ganztägig aktiviert sein und die Schnittstelleneinheit schaltet dennoch nur dann in dem den autonomen Betriebsfall, wenn das Betätigungssignal, beispielsweise durch Betätigen eines gesonderten Tasters, bereitgestellt wird. Das Fahrzeugsteuersystem ist so besonders gegen unbeabsichtigtes Aktivieren des autonomen Betriebsfalls abgesichert. Bevorzugt ist ein Bestätigungssignal nur dann an der Schnittstelleneinheit bereitstellbar, wenn die Schnittstelleneinheit eine Freigabe erteilt, wobei die Schnittstelle dazu angepasst ist, zu ermitteln, ob vordefinierte Aktivierungsbedingungen erfüllt sind, und die Freigabe nur dann zu erteilen, wenn die vordefinierten Aktivierungsbedingungen erfüllt sind. Der autonome Betriebsfall wird dann nicht in jedem Fall durch Betätigen des Aktivierungsschalters und durch Bereitstellen des Bestätigungssignals aktiviert, sondern nur dann, wenn auch die vordefinierten Aktivierungsbedingungen erfüllt sind. Beispielsweise kann eine Aktivierungsbedingung sein, dass das Bremssystem des Fahrzeugs voll funktionsfähig ist. Ein Aktivieren des autonomen Betriebsfalls trotz eines Fehlers des Bremssystems wird so bevorzugt verhindert.

Vorzugsweise ist die dazu angepasst, Aktuatorstatusdaten von dem zumindest einen Fahrzeugaktuator und/oder Fahrzeugstatusdaten zu erfassen und/oder zu empfangen und dem virtuellen Fahrer bereitzustellen. Die Schnittstelleneinheit vereinfacht so eine Integration des autonomen Fahrers mit dem zumindest einen Fahrzeugaktuator. So kann die Schnittstelleneinheit auf eine Kommunikation mit den Fahrzeugaktuatoren und dem virtuellen Fahrer abgestimmt sein, und eine gesonderte Abstimmung des virtuellen Fahrers auf alle Fahrzeugaktuatoren ist nicht notwendig.

Gemäß einer bevorzugten Ausführungsform ist die Schnittstelleneinheit ein virtuelles Subsystem einer Steuereinheit. Vorzugsweise ist diese Steuereinheit eine Bremssteuereinheit eines Bremssystems, eine Lenksteuereinheit eines Lenksystems, eine Getriebesteuereinheit, ein Motorsteuergerät und/oder eine Hauptsteuereinheit eines Fahrzeugs. Diese bevorzugte Ausführungsform ermöglicht eine vorteilhafte Doppelnutzung einer ohnehin vorhandenen Steuereinheit, wodurch eine Komplexität des Fahrzeugsteuersystems sowie Kosten für Montage, Beschaffung und Wartung reduziert werden können. Ferner sind Bremssteuereinheiten, Lenksteuereinheiten, Getriebesteuereinheiten, Motorsteuergeräte und/oder Hauptsteuereinheiten bereits heute sehr ausfallsicher und eignen sich besonders für eine Teilnutzung als Schnittstelleneinheit. Bevorzugt ist die Schnittstelleneinheit eine Bremssteuereinheit eines Bremssystems, eine Lenksteuereinheit eines Lenksystems, eine Getriebesteuereinheit, ein Motorsteuergerät und/oder eine Hauptsteuereinheit eines Fahrzeugs oder ist in eine Bremssteuereinheit eines Bremssystems, eine Lenksteuereinheit eines Lenksystems, eine Getriebesteuereinheit, ein Motorsteuergerät und/oder eine Hauptsteuereinheit eines Fahrzeugs integriert. Die Schnittstelleneinheit ist dann vorzugsweise eine gesonderte Recheneinheit in einer der vorgenannten Einheiten. Es kann aber auch vorgesehen sein, dass die Schnittstelleneinheit nur als gesonderter Rechenkern oder virtuelles Subsystem einer der vorgenannten Einheiten ausgebildet ist.

In einer bevorzugten Weiterbildung weist das Fahrzeugsteuersystem ferner einen Redundanzfahrer und/oder eine Redundanzschnittstelleneinheit auf, wobei der virtuelle Fahrer und/oder die Schnittstelleneinheit von einer Betriebsspannungsversorgung versorgt werden und wobei der Redundanzfahrer und/oder die Redundanzschnittstelleneinheit von einer von der Betriebsspannungsversorgung unabhängigen Redundanzspannungsversorgung versorgt werden. Sowohl der Schnittstelle als auch die Redundanzschnittstelleneinheit sind dazu ausgebildet, Fahrzeugaktuatoren anzusteuern. Im fehlerfreien Fall funktionieren der virtuelle Fahrer und/oder die Schnittstelleneinheit bevorzugt vollkommen unabhängig von dem Redundanzfahrer und/oder der Redundanzschnittstelle.

Der Redundanzfahrer und/oder die Redundanzschnittstelle greifen nur ein, wenn der virtuelle Fahrer und/oder die Schnittstelle aufgrund eines Fehlers teilweise oder vollständig funktionslos sind.

Bevorzugt weist der Redundanzfahrer eine zum virtuellen Fahrer reduzierte Funktionalität auf und/oder weist die Redundanzschnittstelleneinheit eine zur Schnittstelleneinheit reduzierte Funktionalität aufweist. Eine vereinfachte Si- cherheitstrajektorie ist auch mit Hilfe eines vereinfachten Redundanzfahrers und/oder einer Redundanzschnittstelleneinheit durchführbar, welche deutlich kostengünstiger sind als der virtuelle Fahrer und/oder die Schnittstelleneinheit. So benötigt beispielsweise die Planung eines Stop-in-Lane Manöver einen weniger komplexen virtuellen Fahrer als die Planung einer komplexen Fahraufga- be über eine Strecke von mehreren Kilometern auf öffentlichen Straßen. Ferner müssen für Redundanztrajektorien vorzugsweise nur wenige Fahrzeugaktuatoren angesteuert werden, sodass die Redundanzschnittstelleneinheit im Vergleich zur Schnittstelleneinheit eine verringerte Komplexität bzw. reduzierte Funktionalität aufweisen kann.

In einem zweiten Aspekt löst die eingangs gestellte Aufgabe mit einem Verfahren zum Steuern eines Fahrzeugs, insbesondere Nutzfahrzeugs, mit einem Fahrzeugsteuersystem, vorzugsweise einem Fahrzeugsteuersystem gemäß einer der Ausführungsformen des ersten Aspekts der Erfindung, aufweisend: Durchführen einer Trajektorienplanung zum Erhalten einer Trajektorie mittels eines virtuellen Fahrers, wenn ein autonomer Betriebsfall aktiviert ist; Bereitstellen der Trajektorie an einer Schnittstelleneinheit; Verarbeiten der Trajektorie durch die Schnittstelleneinheit, die von dem virtuellen Fahrer unabhängig ausgeführt ist; und Ansteuern zumindest eines Fahrzeugaktuators des Fahrzeugsteuersystems zum Steuern des Fahrzeugs durch die Schnittstelleneinheit unter Verwendung der Trajektorie. Es soll verstanden werden, dass das Verfahren zum Steuern eines Fahrzeugs gemäß dem zweiten Aspekt der Erfindung, und das Fahrzeugsteuersystem gemäß dem ersten Aspekt der Erfindung gleiche oder ähnliche Unteraspekte aufweisen, wie sie insbesondere in den abhängigen Ansprüchen niedergelegt sind. Insofern wird für diese Aspekte vollumfänglich auf die obige Beschreibung Bezug genommen.

Die Trajektorienplanung wird mittels des virtuellen Fahrers durchgeführt, der die damit erhaltene Trajektorie dann an der Schnittstelleneinheit bereitstellt. Die Schnittstelleneinheit verarbeitet die Trajektorie. Das Überarbeiten ist vorzugsweise ein Überführen der komplexen Trajektorie in einzelne Steuerbefehle für den zumindest einen Fahrzeugaktuator. Wenn beispielsweise die Trajektorie eine Kurvenfahrt des Fahrzeugs bei zeitgleicher Verzögerung des Fahrzeugs betrifft, dann übersetzt die Schnittstelleneinheit diese Trajektorie in eine entsprechende Lenkanforderung für ein Lenksystem des Fahrzeugs und in eine Bremsanforderung für das Bremssystem des Fahrzeugs. Hierfür ist die Schnittstelleneinheit unabhängig von dem virtuellen Fahrer ausgeführt, sodass eine Komplexität des virtuellen Fahrers reduziert werden kann. Ferner wird eine Integration des virtuellen Fahrers mit Fahrzeugsubsystemen verschiedener Zulieferer vereinfacht.

Vorzugsweise werden Daten und/oder Signale ausschließlich mittels der Schnittstelleneinheit zwischen dem virtuellen Fahrer und dem zumindest einen Fahrzeugaktuator übertragen. Ein Ansteuern des zumindest einen Fahrzeugaktuators durch den virtuellen Fahrer unter Umgehung der Schnittstelleneinheit ist in diesem Fall unmöglich. Bevorzugt weist das Verfahren ferner auf: Durchführen einer Sicherheitsfunktion durch die die Schnittstelleneinheit. Die Schnittstelleneinheit ist vorzugsweise dazu angepasst, eine oder mehrere Sicherheitsfunktionen des Fahrzeugsteuersystems auszuführen.

Gemäß einer bevorzugten Ausgestaltung weist das Durchführen einer Sicherheitsfunktion auf: Fehlerüberwachen des Fahrzeugsteuersystems, des Fahrzeugs und/oder eines Fahrzeugsubsystems zum Ermitteln von Fehlern. Die Schnittstelleneinheit überwacht das Fahrzeugsteuersystem, das Fahrzeug und/oder zumindest ein Fahrzeugsubsystem und ermittelt ob ein Fehler eines dieser Systeme vorliegt. Wenn ein solcher Fehler vorliegt, wird das von der Schnittstelleneinheit ermittelt, sodass gegebenenfalls weitere Schritte durchgeführt werden können.

Vorzugsweist weist das Durchführen einer Sicherheitsfunktion ferner auf: Ermitteln, ob die Trajektorie durchführbar ist, falls ein Fehler des Fahrzeugsteuersystems, des Fahrzeugs und/oder eines Fahrzeugsubsystems ermittelt wird. So überprüft die Schnittstelleneinheit beispielsweise, ob eine im Rahmen einer Trajektorie geforderte Verzögerung des Fahrzeugs überhaupt bereitgestellt werden kann, wenn ein Bremssystem des Fahrzeugs einen Fehler aufweist.

Bevorzugt weist das Durchführen einer Sicherheitsfunktion ferner auf: Ansteuern zumindest eines Fahrzeugaktuators des Fahrzeugsteuersystems unter Verwendung einer Sicherheits-Trajektorie, vorzugsweise in Antwort auf ein Ermitteln, dass die Trajektorie nicht oder nicht korrekt durchführbar ist. Das An- steuern des zumindest einen Fahrzeugaktuators unter Verwendung der Sicher- heits-Trajektorie wird vorzugsweise anstelle des Ansteuerns zumindest eines Fahrzeugaktuators unter Verwendung der Trajektorie durchgeführt. So wird bevorzugt sichergestellt, dass das Fahrzeug bzw. der zumindest eine Fahrzeugaktuator immer unter Verwendung einer durchführbaren Trajektorie gesteuert wird.

In einer bevorzugten Weiterbildung weist das Verfahren ferner auf: Durchführen einer Sicherheitsplanung zum Erhalten einer Sicherheits-Trajektorie. Das Durchführen der Sicherheitsplanung wird vorzugsweise parallel zu weiteren Schritten durchgeführt. Besonders bevorzugt wird die Sicherheitsplanung parallel zur Trajektorienplanung durchgeführt. Weiterhin bevorzugt wird die Sicherheitsplanung zyklisch wiederholt oder kontinuierlich durchgeführt.

Vorzugsweise weist das Verfahren ferner auf: Erfassen von Sensordaten und/oder Sensorsignalen mittels der Schnittstelleneinheit; und Bereitstellen der Sensordaten und/oder Sensorsignale an dem virtuellen Fahrer durch die Schnittstelleneinheit und/oder Abfragen der Sensordaten und/oder Sensorsignale von der Schnittstelleneinheit durch den virtuellen Fahrer. Besonders bevorzugt weist das Erfassen und Bereitstellen von Sensordaten und/oder Sensorsignalen auf: Auswerten der Sensordaten und/oder Sensorsignale durch die Schnittstelleneinheit und Bereitstellen einer Sensorauswertung an dem virtuellen Fahrer bzw. Abfragen der Sensorauswertung von der Schnittstelleneinheit durch den virtuellen Fahrer. Die Schnittstelleneinheit fungiert so nicht nur als Schnittstelle zwischen dem virtuellen Fahrer und dem zumindest einen Fahrzeugaktuator sondern bevorzugt auch als Schnittstelle zwischen Sensoren und dem virtuellen Fahrer.

In einer bevorzugten Ausgestaltung weist das Verfahren ferner auf: Aktivieren des autonomen Betriebsfalls durch die Schnittstelleneinheit. Vorzugsweise weist das Verfahren ferner auf: Betätigen eines Aktivierungsschalters, wobei das Aktivieren des autonomen Betriebsfalls nur dann durchgeführt wird, wenn der Aktivierungsschalter betätigt ist. Das Betätigen des Aktivierungsschalters ist notwendige Voraussetzung für das Aktivieren des autonomen Betriebsfalls. Es kann aber auch vorgesehen sein, dass weitere Voraussetzungen erfüllt sein müssen, bevor die Schnittstelleneinheit den autonomen Betriebsfall aktiviert.

Bevorzugt weist das Verfahren ferner auf: Bereitstellen eines Bestätigungssignals, wobei das Aktivieren des autonomen Betriebsfalls nur dann durchgeführt wird, wenn der Aktivierungsschalter betätigt ist und das Bestätigungssignal bereitgestellt wird. Der Aktivierungsschalter bleibt bevorzugt betätigt, bis dieser zurückgesetzt wird. Das Betätigen des Aktivierungsschalters und das Bestätigungssignal können vorzugsweise auch zeitlich getrennt voneinander durchgeführt werden. Beispielsweise kann ein als Pineingabeeinrichtung ausgeführter Aktivierungsschalter beim Starten des Fahrzeugs durch Eingabe einer vordefinierten Zeichenfolge betätigt werden, während das Bestätigungssignal erst mehrere Stunden später, beispielsweise durch Drücken eines Tasters, bereitgestellt wird.

Gemäß einer bevorzugten Weiterbildung umfasst das Verfahren ferner: Überprüfen, ob vordefinierte Aktivierungsbedingungen erfüllt sind durch die Schnittstelleneinheit, wobei das Bereitstellen des Bestätigungssignals nur dann möglich ist, wenn alle vordefinierten Aktivierungsbedingungen erfüllt sind. So kann die Schnittstelleneinheit beispielsweise prüfen, ob alle zum Ausführen des autonomen Betriebs benötigten Sensoren des Fahrzeugs einsatzbereit sind, bevor diese den autonomen Betriebsfall aktiviert.

Vorzugsweise weist das Verfahren ferner auf: Ermitteln, ob die Trajektorie eine oder mehrere vordefinierte Beschränkungen, vorzugsweise für das Fahrzeug vordefinierte fahrdynamische Beschränkungen, einhält, wobei das Ansteuern zumindest eines Fahrzeugaktuators des Fahrzeugsteuersystems zum Steuern des Fahrzeugs durch die Schnittstelleneinheit unter Verwendung der Trajektorie nur dann durchgeführt wird, wenn die Trajektorie alle vordefinierten Beschränkungen einhält. Die vorliegende Erfindung löst die Aufgabe in einem dritten Aspekt durch die Verwendung eines Fahrzeugsteuersystems gemäß dem ersten Aspekt der Erfindung zum Steuer eines Fahrzeugs, vorzugsweise mittels eines Verfahrens gemäß dem zweiten Aspekt der Erfindung.

In einem vierten Aspekt löst die Erfindung die eingangs genannte Aufgabe durch ein Fahrzeug, insbesondere Nutzfahrzeug, aufweisend ein Fahrzeugsteuersystem gemäß dem ersten Aspekt der Erfindung.

Es soll verstanden werden, dass die Verwendung eines Fahrzeugsteuersystems gemäß dem dritten Aspekt der Erfindung und das Fahrzeug gemäß dem vierten Aspekt der Erfindung gleiche oder ähnliche Unteraspekte aufweisen wie das Fahrzeugsteuersystem gemäß dem ersten Aspekt der Erfindung und das Verfahren gemäß dem zweiten Aspekt der Erfindung. Solche Aspekte sind insbesondere in den abhängigen Ansprüchen niedergelegt. Insofern wird für diese Aspekte vollumfänglich auf die obige Beschreibung Bezug genommen.

Ausführungsformen der Erfindung werden nun nachfolgend anhand der Zeichnungen beschrieben. Diese sollen die Ausführungsformen nicht notwendigerweise maßstäblich darstellen, vielmehr sind die Zeichnungen, wenn dies zur Erläuterung dienlich ist, in schematisierter und/oder leicht verzerrter Form ausgeführt. Im Hinblick auf Ergänzungen der aus den Zeichnungen unmittelbar erkennbaren Lehren wird auf den einschlägigen Stand der Technik verwiesen. Dabei ist zu berücksichtigen, dass vielfältige Modifikationen und Änderungen betreffend die Form und das Detail einer Ausführungsform vorgenommen werden können, ohne von der allgemeinen Idee der Erfindung abzuweichen. Die in der Beschreibung, in den Zeichnungen sowie in den Ansprüchen offenbarten Merkmale der Erfindung können sowohl einzeln als auch in beliebiger Kombination für die Weiterbildung der Erfindung wesentlich sein. Zudem fallen in den Rahmen der Erfindung alle Kombinationen aus zumindest zwei der in der Beschreibung, den Zeichnungen und/oder den Ansprüchen offenbarten Merkmale. Die allgemeine Idee der Erfindung ist nicht beschränkt auf die exakte Form oder das Detail der im Folgenden gezeigten und beschriebenen bevorzugten Ausfüh- rungsformen oder beschränkt auf einen Gegenstand, der eingeschränkt wäre im Vergleich zu dem in den Ansprüchen beanspruchten Gegenstand. Bei angegebenen Bemessungsbereichen sollen auch innerhalb der genannten Grenzen liegende Werte als Grenzwerte offenbart und beliebig einsetzbar und beanspruchbar sein. Der Einfachheit halber sind nachfolgend für identische oder ähnliche Teile oder Teile mit identischer oder ähnlicher Funktion gleiche Bezugszeichen verwendet.

Weitere Vorteile, Merkmale und Einzelheiten der Erfindung ergeben sich aus der nachfolgenden Beschreibung der bevorzugten Ausführungsformen sowie anhand der Zeichnungen; diese zeigen in:

Figur 1 eine schematische Darstellung eines Fahrzeugsteuersystems gemäß einem ersten Ausführungsbeispiel;

Figur 2 eine schematische Darstellung einer Trajektorie;

Figur 3 eine schematische Darstellung eines Fahrzeugsteuersystems gemäß einem zweiten Ausführungsbeispiel;

Figur 4 ein Stop-in-Lane Manöver eines Fahrzeugs;

Figur 5 ein Stop-on-Hard-Shoulder Manöver eines Fahrzeugs;

Figur 6 eine schematisches Ablaufdiagramm für ein Schalten in einen autonomen Betriebszustand;

Figur 7 eine schematische Darstellung eines Fahrzeugsteuersystems gemäß einem dritten Ausführungsbeispiel;

Figur 8 ein schematisches Ablaufdiagramm für ein bevorzugtes Ausführungsbeispiel des Verfahrens; und in Figur 9 ein Fahrzeug.

Figur 1 illustriert ein Fahrzeugsteuersystem 1 , das einen virtuellen Fahrer 2, eine Schnittstelleneinheit 4 und mehrere Fahrzeugaktuatoren 6 aufweist. Die Fahrzeugaktuatoren 6 umfassen in diesem Ausführungsbeispiel ein Bremssystem 6.1 mit einer Bremssteuereinheit 8, ein Lenksystem 6.2 mit einer Lenksteuereinheit 10, eine Getriebesteuereinheit 6.3, ein Motorsteuergerät 6.4 und eine Hauptsteuereinheit 6.5.

Der virtuelle Fahrer 2 weist eine Planungssteuereinheit 12 auf, die in einem ersten Gehäuse 14 angeordnet ist. Der virtuelle Fahrer 2 ist dazu ausgebildet, eine Trajektorienplanung 101 durchzuführen, um eine Trajektorie 103 zu erzeugen, wobei die Trajektorienplanung 101 in diesem Ausführungsbeispiel nur dann von dem virtuellen Fahrer 2 durchgeführt wird, wenn ein autonomer Betriebsfall 105 aktiviert ist.

Die Schnittstelleneinheit 4 umfasst eine Schnittstellensteuereinheit 16, die in einem zweiten Gehäuse 18 angeordnet ist. Der virtuelle Fahrer 2 und die Schnittstelleneinheit 4 sind hier als separate Elemente, also physisch voneinander getrennt, ausgeführt. Der virtuelle Fahrer 2 ist über eine erste Verbindung 20, die hier ein erstes Bussystem 22 ist, mit der Schnittstelleneinheit 4 verbunden. Das erste Bussystem 22 ist vorzugsweise ein CAN-Bus, ein LIN- Bus, ein FlexRay-Bus, ein MOST-Bus, ein K-Line Bus, ein SAE J1850-Bus oder eine Ethernet-Verbindung. Über das erste Bussystem 22 stellt der virtuelle Fahrer 2 die Trajektorie 103, die im Rahmen der Trajektorienplanung 101 ermittelt wurde, an der Schnittstelleneinheit 4 bereit. Es kann aber auch vorgesehen sein, dass die Schnittstelleneinheit 4 die Trajektorie 103 an dem virtuellen Fahrer 2 abfragt.

Die Schnittstelleneinheit 4 verarbeitet die von dem virtuellen Fahrer über das erste Bussystem 22 bereitgestellte Trajektorie 103 in ihrer Schnittstellensteuereinheit 16 weiter und steuert die Fahrzeugaktuatoren 6 unter Verwendung der Trajektorie 103 an. Figur 2 illustriert eine Trajektorie 103, die hier eine Kurvenfahrt eines Fahrzeugs 200 entlang einer gekrümmten Fahrbahn 302 ist. Die Trajektorie 103 beinhaltet hier neben einer Information über die geplante Wegstrecke, die durch den Pfeil 304 illustriert wird, auch Geschwindigkeitsinformationen. Die von dem virtuellen Fahrer 2 bereitgestellte Trajektorie 103 gibt vor, mit welcher (gegebenenfalls variablen) Geschwindigkeit das Fahrzeug 200 die geplante Wegstrecke 304 abfahren soll. Hier soll die Geschwindigkeit des Fahrzeugs 200 entlang der geplanten Wegstrecke 304 konstant bleiben. Ein Motor 218 des Fahrzeugs 200 (in Figur 1 nicht dargestellt) muss dann durch das Motorsteuergerät 6.4 so angesteuert werden, dass die Geschwindigkeit des Fahrzeugs 200 konstant bleibt. Zudem muss ein Lenkeinschlag des Lenksystems 6.2 so eingestellt werden, dass das Fahrzeug 200 der geplanten Wegstrecke 304 folgt. Aus der Trajektorie 103 ergeben sich also individuelle Anforderungen an die Fahrzeugaktuatoren 6.

Die Schnittstelleneinheit 4 empfängt die Trajektorie 103 und ermittelt daraus Steuerbefehle 124 für die einzelnen Fahrzeugaktuatoren 6. Diese Steuerbefehle 124 stellt die Schnittstelleneinheit 4 dann an den Fahrzeugaktuatoren 6 bereit. Zu diesem Zweck sind die Fahrzeugaktuatoren 6 und die Schnittstelleneinheit 4 mittels einer zweiten Verbindung 26 verbunden, die hier als zweites Bussystem 28 ausgebildet ist. Das erste Bussystem 22 und das zweite Bussystem 28 können dabei prinzipiell identisch ausgebildet sein. Beispielsweise können sowohl das erste Bussystem 22 als auch das zweite Bussystem 28 ein CAN- Bus sein.

Die Schnittstelle 4 verbindet den virtuellen Fahrer 2 funktional mit den Fahrzeugaktuatoren 6. Die von dem virtuellen Fahrer 2 erzeugte Trajektorie 103 wird von den Fahrzeugaktuatoren 6 umgesetzt, sodass das Fahrzeug 200 der Trajektorie 103 folgt. Die Schnittstelleneinheit 4 ist zwischen dem virtuellen Fahrer 2 und den Fahrzeugaktuatoren 6 angeordnet. Der virtuelle Fahrer 2 und die Fahrzeugaktuatoren 6 sind ausschließlich durch die Schnittstelleneinheit 4 funktional verbunden. Hier ist die Trennung von virtuellem Fahrer 2 und Fahrzeug- aktuatoren 6 physischer Natur, da der virtuelle Fahrer 2 und die Fahrzeugaktuatoren 6 in voneinander getrennten Bussystemen 22, 28 angeordnet sind. Die Schnittstelleneinheit 4 ist sowohl mit dem ersten Bussystem 22 als auch mit dem zweiten Bussystem 28 verbunden, sodass diese die Trajektorie 103 von dem ersten Bussystem 22 empfängt und die Fahrzeugaktuatoren 6 unter Verwendung der Trajektorie 103 durch Bereitstellen entsprechender Steuerbefehle 124 auf dem zweiten Bussystem 28 ansteuert. Es kann aber auch vorgesehen sein, dass die ausschließliche Verbindung von virtuellem Fahrer 2 und den Fahrzeugaktuatoren 6 durch eine virtuelle Trennung erfolgt. So können beispielsweise die Fahrzeugaktuatoren softwareseitig dazu ausgebildet sein, nur Steuerbefehle 124 zu empfangen, die von der Schnittstelleneinheit 4 bereitgestellt werden.

Figur 3 illustriert eine zweite alternative Ausgestaltung des Fahrzeugsteuersystems 1 . In dieser Variante sind der virtuelle Fahrer 2 und die Schnittstelleneinheit 4 als virtuelle Subsysteme 30 einer Steuereinheit 32 ausgebildet. Die Verbindung 20 zwischen virtuellem Fahrer 2 und Schnittstelleneinheit 4 erfolgt ebenfalls auf Datenebene (bzw. virtuell). Den Fahrzeugsteuersystemen 1 gemäß dem ersten Ausführungsbeispiel (Figur 1 ) und gemäß dem zweiten Ausführungsbeispiel (Figur 3) ist aber gemein, dass der virtuelle Fahrer 2 auch in dem zweiten Ausführungsbeispiel ausschließlich über die Schnittstelleneinheit 4 funktional mit den Fahrzeugaktuatoren 6 verbunden ist. Zum Übermitteln der Steuerbefehle 124 ist die Steuereinheit 32 über das zweite Bussystem 28 mit den Fahrzeugaktuatoren 6 verbunden.

Neben dem Ansteuern der Fahrzeugaktuatoren 6 ist die Schnittstelleneinheit 4 zusätzlich dazu angepasst, eine Sicherheitsfunktion 107 auszuführen. In den in Ein Teil der Sicherheitsfunktion 107 der in den Figuren 1 und 3 illustrierten Ausführungsbeispielen ist, dass die Schnittstelleneinheit 4 im Rahmen einer Zulässigkeitsprüfung 109 ermittelt, ob die Trajektorie 103 vordefinierte Beschränkungen 1 1 1 einhält, die hier fahrdynamische Beschränkungen 113 des Fahrzeugs 200 sind. Eine maximal zulässige Querbeschleunigung 1 15 des Fahrzeugs 200 für die in Figur 2 dargestellte Kurvenfahrt, ist durch den Pfeil 306 illustriert. Die fahrdynamischen Beschränkungen 113 werden vorzugsweise unter Berücksichtigung verschiedener Parameter, wie Fahrzeugmasse, Fahrzeugschwerpunkt, Zuladung, Witterungsbedingungen, etc., vordefiniert. Wenn das Fahrzeug 200 beim Befahren der Trajektorie 103 eine der vordefinierten Beschränkungen 1 1 1 überschreitet (d.h. nicht einhält), dann wird dies von der Schnittstelleneinheit 4 im Rahmen der Zulässigkeitsprüfung 109 ermittelt. Ist dies der Fall, steuert die Schnittstelleneinheit 4 die Fahrzeugaktuatoren 6 nicht unter Verwendung der Trajektorie 103 an.

Weiter ist die Schnittstelleneinheit 4 hier dazu ausgebildet eine Fehlerüberwachung 1 17 durchzuführen. Im Rahmen der Fehlerüberwachung 1 17 ermittelt die Schnittstelleneinheit 4, ob ein Fehler vorliegt. In dem Ausführungsbeispiel gemäß Figur 3, weist das Lenksystem 6.2 einen Fehler 119 auf, der bedingt, dass ein Lenken des Fahrzeugs 200 nur noch eingeschränkt bzw. mit großen Kurvenradien möglich ist. Die Schnittstelleneinheit 4 ermittelt diesen Fehler 1 19 indem es auf dem zweiten Bussystem 28 bereitgestellte Lenksystemstatusinformationen 121 auswertet, die eine Fehlermeldung 123 enthalten. In Antwort auf dieses Ermitteln 125 eines Fehlers 1 19 ermittelt die Schnittstelleneinheit 4, ob die Trajektorie 103 weiterhin durchführbar ist. In dem dargestellten Ausführungsbeispiel ist die Krümmung der Fahrbahn 302 so gering, dass das Fahrzeug 200 die geplante Wegstrecke 304 auch bei eingeschränkter Lenkfähigkeit befahren kann. Die Schnittstelleneinheit 4 ermittelt daher, dass die Trajektorie 103 weiterhin durchführbar ist.

Wenn die Trajektorie 103 hingegen nicht durchführbar ist, beispielsweise, weil die Krümmung der Fahrbahn 302 und die im Rahmen der Trajektorie 103 vorgesehene Geschwindigkeit zu groß sind, als dass das Fahrzeug 200 die geplante Wegstrecke 304 ohne Überschreiten der maximal zulässigen Querbeschleunigung 1 15 befahren könnte, dann wird dies von der Schnittstelleneinheit 4 ermittelt. Die Schnittstelleneinheit 4 steuert die Fahrzeugaktuatoren 6 in diesem Fall (als Sicherheitsfunktion 107) unter Verwendung einer Sicherheits- Trajektorie 127 anstelle der Trajektorie 103 an. Zum Erhalten der Sicherheits- Trajektorie 127 führt die Schnittstelleneinheit 4 eine Sicherheitsplanung 129 durch, wobei die Sicherheitsplanung 129 eine weitere Unterkomponente der Sicherheitsfunktion 107 ist. Bei der Sicherheitsplanung 129 berücksichtigt die Schnittstelleneinheit 4 die vordefinierten Beschränkungen 11 1 sowie unter Umständen vorhandene Fehler 1 19 des Fahrzeugs 200, eines Fahrzeugaktuators 6 oder des virtuellen Fahrers 2.

Die Figuren 4 und 5 illustrieren zwei mögliche Sicherheits-Trajektorien. Figur 4 verdeutlicht ein Stop-in-Lane Manöver 131 , während Figur 5 ein Stop-on-Hard- Shoulder Manöver 133 illustriert. In Figur 4 bewegt sich das Fahrzeug 200 entlang einer geraden Fahrspur 308 einer Fahrbahn 302, die keinen Seitenstreifen 310 aufweist. Wenn nun die Schnittstelleneinheit 4 ermittelt, dass die Trajekto- rie 103 nicht durchführbar ist, steuert diese die Fahrzeugaktuatoren 6 unter Verwendung der Sicherheits-Trajektorie 127 an, die hier das Stop-in-Lane Manöver 131 ist. Vorzugsweise ist die Schnittstelleneinheit 4 dazu ausgebildet, das Stop-in-Lane Manöver 131 durchzuführen, wenn keine alternative Fahrspur 312 zur Verfügung steht. Die alternative Fahrspur 312 kann beispielsweise nicht zur Verfügung stehen, wenn nur eine Fahrspur 308 vorhanden ist, oder weitere vorhandene Fahrspuren, aufgrund eines anderen Fahrzeugs oder eines Hindernisses, nicht befahrbar sind. Vorzugsweise ist die Schnittstelleneinheit 4 dazu ausgebildet, das Stop-on-Hard-Shoulder Manöver 133 bevorzugt zum Stop- in-Lane Manöver 131 durchzuführen. Vorzugsweise wird das Stop-in-Lane Manöver 131 also nur dann durchgeführt, wenn das Stop-on-Hard-Shoulder Manöver nicht oder nicht vollständig möglich ist. Wie die sich in Figur 4 von einer Fahrzeugfront 202 des Fahrzeugs 200 nach vorne (d.h. mit Bezug zu Figur 4 nach oben) erstreckenden Pfeile verdeutlichen, wird das Fahrzeug 200 auf der Fahrspur 308 gehalten und bis zum Stillstand verzögert. Gemäß diesem Ausführungsbeispiel ist die Fahrspur 308 in Fahrtrichtung des Fahrzeugs 200 frei, sodass eine moderate Verzögerung des Fahrzeugs 200 bis zum Stillstand möglich ist. Es soll verstanden werden, dass alternativ zum Stop-in-Lane Manöver 131 auch ein Notbremsmanöver 135, d.h. eine schnellstmögliche Verzögerung des Fahrzeugs 200, durchgeführt werden kann. Dies ist insbesondere der Fall, wenn aufgrund eines Hindernisses, das auf der Fahrspur 308 angeordnet ist, kein ausreichender Bremsweg für eine moderate Verzögerung des Fahrzeugs 200 zur Verfügung steht.

Die Sicherheits-Trajektorie 127, die von dem in Figur 6 dargestellten Fahrzeug 200, das hier als Nutzfahrzeug 204 ausgebildet ist, ausgeführt wird, ist das Stop-on-Hard-Shoulder Manöver 133. In einer Position P1 zu Beginn der Sicherheits-Trajektorie 127 ist das Fahrzeug 200 auf der Fahrspur 308 angeordnet. Am Ende der Sicherheits-Trajektorie 127 befindet sich das Fahrzeug 200 auf dem Seitenstreifen 310 im Stillstand. Die Verzögerung des Fahrzeugs 200 wird durch die ausgehend von der Position P1 zur Position P2 des Fahrzeugs 200 abnehmende Länge, der die Sicherheits-Trajektorie 127 darstellenden Pfeile verdeutlicht. Das Stop-on-Hard-Shoulder Manöver 133 wird durchgeführt, da der Seitenstreifen 310 vorhanden und befahrbar ist. Es soll verstanden werden, dass das Stop-on-Hard-Shoulder Manöver 133 auch den Spurwechsel auf eine alternative Fahrspur 312 umfassen kann, die kein Seitenstreifen 310 ist. Vorzugsweise kann das Stop-on-Hard-Shoulder Manöver 133 und/oder das Stop- in-Lane Manöver 131 auch eine kurzzeitige Beschleunigung des Fahrzeugs 200 beinhalten.

Die Sicherheits-Trajektorie 127 wird von der Schnittstelleneinheit 4 immer dann zum Steuern des Fahrzeugs 200 verwendet, wenn die Trajektorie 103, die vom virtuellen Fahrer 2 erzeugt wird, nicht durchführbar ist. Um im Falle eines Fehlers 1 19, der ein Durchführen der Trajektorie 103 unmöglich macht, eine schnelle Reaktion des Fahrzeugsteuersystems 1 zu ermöglichen, führt die Schnittstelleneinheit 4 die Sicherheitsplanung 129 kontinuierlich und unabhängig von der Trajektorienplanung 101 durch. So steht für den Fall, dass die Trajektorie 13 nicht durchführbar ist, oder dass der virtuelle Fahrer 2 aufgrund eines Fehlers 119 keine Trajektorie 103 bereitstellt, immer eine Sicherheits-Trajektorie 127 zur Verfügung. Im Fehlerfall kann die Schnittstelleneinheit 4 das Fahrzeug 200 stets in einen sicheren Zustand, wie beispielsweise einen Stopp des Fahrzeugs 200 auf dem Seitenstreifen 310, überführen. Das Fahrzeugsteuersystem 1 gemäß Figur 1 weist ferner mehrere Sensoren 34, die hier ein Radarsensor 34.1 , ein LIDAR-Sensor 34.2 und eine Stereokamera 34.3 sind. Es soll verstanden werden, dass die Sensoren 34 hier nur exemplarisch aufgeführt sind, und dass das Fahrzeugsteuersystem 1 eine Vielzahl weiterer Sensoren, wie Regensensoren, Raddrehzahlsensoren, Ultraschallsensoren, etc. aufweisen kann. Die Sensoren 34.1 , 34.2, 34.3 dienen der Umwelterfassung und stellen entsprechende Sensordaten 136 bereit, die dann im Rahmen der Trajektorienplanung 101 und/oder der Sicherheitsplanung 129 berücksichtigt werden. Zum Bereitstellen der Sensordaten 136 sind die Sensoren 34 mittels einer Sensorleitung 36 mit der Schnittstelleneinheit 4 verbunden. Es kann aber auch vorgesehen sein, dass einer oder mehrere Sensoren mit dem zweiten Bussystem 28 verbunden sind und die Sensordaten 136 auf dem zweiten Bussystem 28 bereitstellen. Die Schnittstelleneinheit 4 übermittelt die Sensordaten 136 über das erste Bussystem 22 an den virtuellen Fahrer 2, der die Sensordaten 136 dann im Rahmen der Trajektorienplanung 101 berücksichtigt. Alternativ kann der virtuelle Fahrer 2 die Sensordaten 136 aber auch an der Schnittstelleneinheit 4 abfragen.

In dem ersten Ausführungsbeispiel sind die Sensoren 34 ausschließlich über die Schnittstelleneinheit 4 mit dem virtuellen Fahrer 2 verbunden. Die Schnittstelleneinheit 4 führt eine Plausibilitätsprüfung 137 durch und übermittelt die Sensordaten 136 nur dann an den virtuellen Fahrer 2, wenn die Sensordaten 136 plausibel sind. Für den Fall, dass die Sensordaten 136 unplausibel sind, beispielsweise, weil der Radarsensor 34.1 ein Hindernis erkennt, während die Stereokamera 34.3 kein Hindernis detektiert, führt die Schnittstelleneinheit 4 eine Folgeoperation durch. Die Folgeoperation kann beispielsweise ein Blockieren (nicht Weiterleiten) von als unplausibel beurteilten Sensordaten 136 durch die Schnittstelleneinheit 4, das Durchführen des Stop-in-Lane Manövers 131 und/oder das Durchführen des Stop-on-Hard-Shoulder Manövers 133 sein.

Im Fahrzeugsteuersystem 1 gemäß dem zweiten Ausführungsbeispiel (Figur 3) sind die Sensoren 34 über die Sensorleitung 36 unmittelbar mit dem virtuellen Fahrer 2 verbunden. Der virtuelle Fahrer 2 stellt die Sensordaten 136 auf dem ersten Bussystem 22 bereit, sodass die Sensordaten 136 von der Schnittstelleneinheit 4 für die Sicherheitsplanung 129 verwendet werden können. Bedingt durch die unmittelbare Verbindung der Sensoren 34 zum virtuellen Fahrer 2 können die Sensordaten 136 besonders schnell am virtuellen Fahrer 2 bereitgestellt werden. Die Plausibilitätsprüfung 137 kann dennoch durch die Schnittstelleneinheit 4 erfolgen, da diese die Sensordaten 136 ebenfalls empfängt. Für den Fall, dass Sensordaten 136 unplausibel sind, übermittelt die Schnittstelleneinheit 4 eine entsprechende Sensorfehlermeldung 138 an den virtuellen Fahrer 2 bzw. stellt die Sensorfehlermeldung 138 auf dem ersten Bussystem 22 bereit. Ein Blockieren fehlerhafter Sensordaten 136 durch die Schnittstelleneinheit 4 ist hingegen nicht möglich. Es soll verstanden werden, dass die Sensoren 34 auch bei einer physischen Trennung von virtuellem Fahrer 2 mit Planungssteuereinheit 12 und Schnittstelleneinheit 4 mit Schnittstellensteuereinheit 16 direkt mit dem virtuellen Fahrer 2 verbunden sein können. Ebenso können die Sensoren 34 auch bei einer Ausgestaltung des virtuellen Fahrers 2 und der Schnittstelleneinheit 4 als virtuelle Subsysteme 30 mit der Schnittstelleneinheit 4 anstelle des virtuellen Fahrers 2 verbunden sein. Ferner können ein oder mehrere Sensoren 34 sowohl mit dem virtuellen Fahrer 2 als auch mit der Schnittstelleneinheit 4 verbunden sein.

Die in den Figuren 1 und 3 dargestellten Fahrzeugsteuersysteme 1 sind teilautonome Fahrzeugsteuersystem 1 , die sowohl in dem autonomen Betriebsfall 105 als auch in einem manuellen Betriebsfall 140 betrieben werden können. Im manuellen Betriebsfall 140 wird das Fahrzeug 200 gemäß Nutzervorgaben 140 gesteuert, die von einem Fahrzeugführer an den Fahrzeugaktuatoren 6 bereitgestellt werden. Beispielhaft weist das Bremssystem 6.1 ein Bremspedal 38 auf, durch das der Fahrzeugführer (nicht dargestellt) eine gewünschte Bremsung des Fahrzeugs 200 manuell vorgeben kann. Im manuellen Betriebsfall 140 werden die Fahrzeugaktuatoren 6 nur aufgrund von Nutzervorgaben 140 und nicht durch die Schnittstelleneinheit 4 unter Verwendung der Trajektorie 103 angesteuert. Es kann aber auch vorgesehen sein, dass die Nutzervorgaben 140 an der Schnittstelleneinheit 4 bereitgestellt werden, und dass die Schnittstelleneinheit 4 dazu angepasst ist, im manuellen Betriebsfall 140 zumindest einen Fahrzeugaktuator 6 unter Verwendung der Nutzervorgabe 140 anzusteuern. Dies ist beispielsweise möglich, wenn das Bremspedal 38 ein elektrisches Bremspedal (nicht dargestellt) ist, dass ein der Nutzervorgabe 140 entsprechendes Steuersignal an der Schnittstelleneinheit 4 bereitstellt. Vorzugsweise kann die Schnittstelleneinheit 4 auch dazu angepasst sein, den zumindest einen Fahrzeugaktuator 6 in einem teilautonomen Betriebsfall unter Verwendung der Trajektorie 103 und unter Verwendung der Nutzervorgabe 140 anzusteuern. Beispielsweise kann ein Lenken des Fahrzeugs 200 basierend auf Nutzervorgaben 140 erfolgen, während die Schnittstelleneinheit 4 das Bremssystem 6.1 autonom ansteuert.

Ein Umschalten des Fahrzeugsteuersystems 1 von dem manuellen Betriebsfall 140 in den autonomen Betriebsfall 105 erfolgt durch die Schnittstelleneinheit 4. Figur 6 verdeutlicht diese Schaltfunktionalität des Fahrzeugsteuersystems 1 . Zum Schalten des Fahrzeugsteuersystems 1 in den autonomen Betriebsfall 105 prüft die Schnittstelleneinheit 4 zunächst ob vordefinierte Aktivierungsbedingungen 144 erfüllt sind. In diesem Ausführungsbeispiel prüft die Schnittstelleneinheit 4 konkret, ob ein Fehler 1 19 vorliegt. Wenn alle Aktivierungsbedingungen 144 erfüllt sind (d.h. wenn in diesem Ausführungsbeispiel kein Fehler 119 vorliegt), schaltet die Schnittstelleneinheit 4 das Fahrzeugsteuersystem 1 in einen gesperrten Zustand 146. Wenn von der Schnittstelleneinheit 4 ein Fehler 119 detektiert wird, während sich das Fahrzeugsteuersystem 1 in dem gesperrten Zustand 146 befindet, dann schaltet das Fahrzeugsteuersystem 1 in einen Fehlerzustand 148, der hier dem manuellen Betriebsfall 140 entspricht.

Um das Fahrzeugsteuersystem 1 nun von dem gesperrten Zustand 146 in einen freigegebenen Zustand 150 zu schalten, muss an der Schnittstelleneinheit 4 ein Aktivierungssignal 152 bereitgestellt werden. Hierfür weist das Fahrzeugsteuersystem 1 einen Aktivierungsschalter 40 auf, der in dem in Figur 1 gezeigten Ausführungsbeispiel ein Kippschalter 42 ist. Der Kippschalter 42 ist über eine Aktivierungssignalleitung 44 mit der Schnittstelleneinheit 4 verbunden und stellt das Aktivierungssignal 152 bereit. In dem in Figur 3 gezeigten Ausführungsbeispiel ist der Aktivierungsschalter 40 eine Pineingabeeinrichtung 46. Die Pineingabeeinrichtung 46 stellt nach korrekter Eingabe einer Zeichenkombination solange das Aktivierungssignal 152 an der Schnittstelleneinheit 4 bereit, bis die Schnittstelleneinheit 4 das Fahrzeugsteuersystem 1 in den gesperrten Zustand 146 schaltet oder die Pineingabeeinrichtung 46 anderweitig zurückgesetzt wird.

Das Fahrzeugsteuersystem 1 verbleibt in dem freigegebenen Zustand 150 bis entweder ein Fehler 119 detektiert wird oder der Aktivierungsschalter 40 deaktiviert wird. Im Falle einer Fehlerdetektion schaltet die Schnittstelleneinheit 4 das Fahrzeugsteuersystem 1 zurück in den Fehlerzustand 148. Für den Fall einer Deaktivierung 154 des Aktivierungsschalters 40, schaltet die Schnittstelleneinheit 4 das Fahrzeugsteuersystem 1 von dem freigegebenen Zustand 150 zurück in den gesperrten Zustand 146. Nach dem Schalten in den freigegebenen Zustand 150 ist das Fahrzeugsteuersystem 1 zunächst in einem passiven Zustand 156, indem der autonome Betriebsfall 105 noch nicht aktiv ist. Um nun in den autonomen Betriebsfall 105 zu schalten, muss zunächst noch ein Bestätigungssignal 158 bereitgestellt werden. Zum Bereitstellen dieses Bestätigungssignals 158 weist das Fahrzeugsteuersystem 1 ferner einen Bestätigungsschalter 48 auf, der mittels einer Bestätigungssignalleitung 50 mit der Schnittstelleneinheit 4 verbunden ist. Hier ist der Bestätigungsschalter 48 ein Taster 52, der als Reaktion auf einen Tastendruck das Bestätigungssignal 158 bereitstellt.

Wenn alle Aktivierungsbedingungen 144 erfüllt sind, der Aktivierungsschalter 40 betätigt ist und die Schnittstelleneinheit 4 das Bestätigungssignal 158 empfängt, dann schaltet die Schnittstelleneinheit 4 das Fahrzeugsteuersystem 1 von dem passiven Zustand 156 in den autonomen Betriebsfall 105. Das Fahrzeug 200 kann nun von der Schnittstelleneinheit 4 unter Verwendung der T rajektorie 103 gesteuert werden.

Der autonome Betriebsfall 105 des Fahrzeugsteuersystems 1 kann auf mehrere Arten beendet werden. So kann durch erneutes Drücken des Tasters 52 ein Deaktivierungssignal 160 an der Schnittstelleneinheit 4 bereitgestellt werden, die in Antwort auf ein Empfangen dieses Deaktivierungssignal 160 den auto- nomen Betriebsfall 105 beendet und das Fahrzeugsteuersystem 1 in den passiven Zustand 156 schaltet. Eine weitere Möglichkeit den autonomen Betriebsfall zu beenden besteht darin, den Aktivierungsschalter 40 zu deaktivieren, sodass dieser das Aktivierungssignal 152 nicht mehr bereitstellt. Die Schnittstelleneinheit 4 schaltet das Fahrzeugsteuersystem 1 dann in den gesperrten Zustand 146.

Die Schnittstelleneinheit 4 ist dazu angepasst, mit verschiedenen Handlungsoptionen auf das Ermitteln eines Fehler 1 19 zu reagieren. Für den Fall, dass ein schwerer Fehler 162, der den autonomen Betriebsfall 105 unmöglich macht, detektiert wird, schaltet die Schnittstelleneinheit 4 das Fahrzeugsteuersystem 1 in den manuellen Betriebsfall 140. Ist der Fehler 1 19 hingegen nur ein leichter Fehler 164, behält die Schnittstelleneinheit 4 den autonomen Betriebsfall 105 bei und steuert das Fahrzeug 200 unter Verwendung der Trajektorie 103 oder unter Verwendung der Sicherheits-Trajektorie 127 an.

Das Fahrzeugsteuersystem 1 ist ferner dazu angepasst, ein Notbremsung 166 des Fahrzeugs 200 zu detektieren, die auch im Rahmen des Notbremsmanövers 135 durch die Schnittstelleneinheit 4 ausgeführt werden kann. Beispielsweise kann die Schnittstelleneinheit 4 zum Detektieren der Notbremsung 166 mit einem Verzögerungssensor (nicht dargestellt) verbunden sein. In Antwort auf das Detektieren einer Notbremsung 166 beendet die Schnittstelleneinheit 4 den autonomen Betriebsfall 105 und schaltet in den Fehlerzustand 148. Wenn nach der Notbremsung 166 weiterhin alle Aktivierungsbedingungen 144 erfüllt sind, schaltet die Schnittstelleneinheit 4 das Fahrzeugsteuersystem 1 wieder in den gesperrten Zustand 146 und wenn zusätzlich auch das Aktivierungssignal 152 bereitgestellt wird, in den passiven Zustand. Ein automatisches Reaktivieren des autonomen Betriebsfalls 105 wird dadurch verhindert, dass manuell das Bestätigungssignal 158 bereitgestellt werden muss. Dadurch, dass das Fahrzeugsteuersystem 1 nach dem Detektieren einer Notbremsung 166 in den Fehlerzustand 148 schaltet, wird sichergestellt, dass der autonome Betriebsfall 105 nur dann aktiviert werden kann, wenn weiterhin alle Aktivierungsbedingungen 144 erfüllt sind. Ein Schalten in den autonomen Betriebsfall 105 trotz eines Fahrzeugsystems des Fahrzeugs 200, das durch die Notbremsung 166 oder einen auf die Notbremsung 166 folgenden Unfall des Fahrzeugs 200 beschädigt wurde, wird verhindert.

Insbesondere nach einer Notbremsung 166 aber auch im allgemeinen autonomen Betriebsfall 105 benötigt der virtuelle Fahrer 2 Aktuatorstatusdaten 168, die den aktuellen Status der Fahrzeugaktuatoren 6 kennzeichnen, um diese in der Trajektorienplanung 103 zu berücksichtigen. Beispielsweise kann die maximal von dem Bremssystem 6.1 bereitstellbare Bremskraft durch Überhitzung von Bremsbelägen (nicht dargestellt) in Folge der Notbremsung 166 reduziert sein. Die Schnittstelleneinheit 4 ist dazu angepasst, die Aktuatorstatusdaten 168 der Fahrzeugaktuatoren 6 mittels des zweiten Bussystems 28 zu erfassen und/oder zu empfangen und stellt diese über das erste Bussystem 22 an dem virtuellen Fahrer 2 bereit. Der virtuelle Fahrer 2 berücksichtigt die Aktuatorstatusdaten 168 dann in der Trajektorienplanung 103 und passt beispielsweise einen Bremsweg des Fahrzeugs 200 der maximal verfügbaren Bremskraft an. Neben den Aktuatorstatusdaten 168 kann die Schnittstelleneinheit 4 auch Fahrzeugstatusdaten 170 erfassen und für den virtuellen Fahrer 2 bereitstellen. Beispielsweise kann das Fahrzeugsteuersystem 1 einen mit der Schnittstelleneinheit 4 verbundenen Achslastsensor 34.4, der eine Achslast und/oder eine Zuladung des Fahrzeugs 200 ermittelt, die der virtuelle Fahrer 2 im Rahmen der Trajekotrienplanung 101 berücksichtigt. Fahrzeugstatusdaten 170 können aber beispielsweise auch Temperaturdaten und/oder Kraftstofffüllstandsdaten sein, die einen Füllstand von Kraftstoff in einem Tank des Fahrzeugs 200 repräsentieren. Vorzugsweise berücksichtigt die Schnittstelleneinheit 4 die Aktuatorstatusdaten 168 und/oder die Fahrzeugstatusdaten 170 ebenfalls im Rahmen der Sicherheitsplanung 129. Wenn das Fahrzeugsteuersystem 1 ein vollautonomes Fahrzeugsteuersystem ist, dann Schaltet die Schnittstelleneinheit 4 nicht von einem manuellen Betriebsfall 140 in den autonomen Betriebsfall 105 sondern von einem Ausgangszustand, der nach dem Starten des vollautonomen Fahrzeugsteuersystems vorliegt. Das Schalten in den autonomen Betriebsfall 105 erfolgt dabei im Wesentlichen analog zum Schalten vom manuellen Betriebsfall 140 in den autonomen Betriebsfall 105. Figur 7 zeigt ein drittes Ausführungsbeispiel eines Fahrzeugsteuersystems 1 , das neben dem virtuellen Fahrer 2 und der Schnittstelleneinheit 4 zusätzlich einen Redundanzfahrer 54 mit einer Redundanzplanungssteuereinheit 56 und eine Redundanzschnittstelleneinheit 58 mit einer Redundanzschnittstellensteuereinheit 60 aufweist. Der virtuelle Fahrer 2 und die Schnittstelleneinheit 4 sind mittels elektrischer Leitungen 62 mit einer Betriebsspannungsversorgung 64 verbunden, die den virtuellen Fahrer 2 und die Schnittstelleneinheit 4 mit elektrischer Energie versorgt. Der Redundanzfahrer 54 und die Redundanzschnittstelleneinheit 58 werden in analoger Weise von einer Redundanzspannungsversorgung 66, die von der Betriebsspannungsversorgung 64 unabhängig ist, über weitere elektrische Leitungen 62 mit elektrischer Energie versorgt. Der virtuelle Fahrer 2, die Schnittstelleneinheit 4 und die Betriebsspannungsversorgung 64 bilden gemeinsam ein Betriebssteuersystem 68. In analoger Weise bilden der Redundanzfahrer 54, die Redundanzschnittstelleneinheit 58 und die Redundanzspannungsversorgung 66 gemeinsam ein Redundanzsteuersystem 70. Es soll verstanden werden, dass sowohl das Betriebssteuersystem 68 als auch das Redundanzsteuersystem 70 weitere Komponenten, wie insbesondere in Figur 7 nicht dargestellte Sensoren, aufweisen können. Im normalen autonomen Fährbetrieb 105 steuert die Schnittstelleneinheit 4 die Fahrzeugaktuatoren 6 unter Verwendung der Trajektorie 103 an.

Wenn hingegen das Betriebssteuersystem 68 aufgrund eines Betriebssteuersystemfehlers 171 unfähig ist, das Fahrzeug zu steuern, wird das Steuern des Fahrzeugs von dem Redundanzsteuersystem 70 übernommen. Ein Betriebssteuersystemfehler 171 kann beispielsweise vorliegen, wenn die Betriebsspannungsversorgung 64 ausfällt und der virtuelle Fahrer 2 und/oder die Schnittstelleneinheit 4 nicht mit elektrischer Energie versorgt werden. Um im Falle eines Ausfalls der Betriebsspannungsversorgung 64 einen Ausfall des gesamten Fahrzeugsteuersystems 1 zu verhindern, weist das Redundanzsteuersystem 70 die Redundanzspannungsversorgung 66 auf, sodass zumindest das Redundanzsteuersystem 70 einsatzbereit bleibt. Das Redundanzsteuersystem 70 kann eine im Vergleich zum Betriebssteuersystem 68 reduzierte Funktionalität aufweisen. So ist das Redundanzfahrsystem 70 in diesem Ausführungsbeispiel nur dazu ausgebildet, Manöver auszuführen, die eine geringere Komplexität aufweisen, als Mission-Complete Manöver. Das Redundanzsteuersystem 70 kann aber prinzipiell identisch oder gleichwertig zum Betriebssteuersystem 68 ausgebildet sein. Der Redundanzfahrer 54 ist dazu angepasst, mittels der Redundanzplanungssteuereinheit 56 eine Redundanzplanung 172 durchzuführen, um eine Redundanz-Trajektorie 174 zu erhalten. Analog zum Betriebssteuersystem 68 empfängt die Redundanzschnittstelleneinheit 58 die Redundanz-Trajektorie 174 und steuert die Fahrzeugaktuatoren 6 unter Verwendung dieser Redundanz-Trajektorie 174 an. Hierfür ist die Redundanzschnittstelleneinheit 58 ebenfalls über das zweite Bussystem 28 mit den Fahrzeugaktuatoren 6 verbunden und kann darüber Redundanzsteuerbefehle 176 an den Fahrzeugaktuatoren 6 bereitstellen.

Das Redundanzsteuersystem 70 ist dazu angepasst, das Betriebssteuersystem 68 auf Betriebssteuersystemfehler 171 zu überwachen. Die Redundanzschnittstelleneinheit 58 des Redundanzsteuersystems 70 überwacht, ob die Schnittstelleneinheit 4 korrekte Steuerbefehle 124 bereitstellt. So überprüft die Redundanzschnittstelleneinheit 58 hier beispielsweise ob die Steuerbefehle 124 mit den von der Redundanzschnittstelleneinheit 58 aus der Redundanz-Trajektorie 174 abgeleiteten Redundanzsteuerbefehlen 176 übereinstimmen. Alternativ oder ergänzend kann aber auch vorgesehen sein, dass die Redundanzschnittstelleneinheit 58 und/oder der Redundanzfahrer 54 die Trajektorie 103 empfangen und ermitteln, ob die Trajektorie 103 durchführbar ist. Hierfür kann ein drittes Bussystem 72 des Redundanzsteuersystems 70 mit dem ersten Bussystem 22 verbunden sein (nicht dargestellt). Wenn das Betriebssteuersystem 68 einen Betriebssteuersystemfehler 171 aufweist, übernimmt das Redundanzsteuersystem 70 das Steuern des Fahrzeugs 200.

Figur 8 illustriert ein schematisches Ablaufdiagramm für ein bevorzugtes Ausführungsbeispiel des Verfahrens 400 zum Steuern eines Fahrzeugs 200 mit einem Fahrzeugsteuersystem 1 . In einem ersten Schritt S1 überprüft die Schnittstelleneinheit 4, ob alle vordefinierten Aktivierungsbedingungen 144 erfüllt sind. Ist dies der Fall, erteilt die Schnittstelleneinheit eine Freigabe 145. In einem zweiten Schritt S2, der hier auf den ersten Schritt S1 folgt, wird der Aktivierungsschalter 40 des Fahrzeugsteuersystems 1 betätigt und so das Aktivierungssignal 152 an der Schnittstelleneinheit 4 bereitgestellt. In einem dritten Schritt S3, der in diesem Ausführungsbeispiel auf den zweiten Schritt S2 folgt, wird durch Drücken des Tasters 52 ein Bestätigungssignal 158 an der Schnittstelleneinheit 4 bereitgestellt. Die Schritte S1 und S2 können vorzugsweise auch in umgekehrter Reihenfolge oder parallel durchgeführt werden. Der dritte Schritt S3, also das Bereitstellen des Bestätigungssignals 158 an der Schnittstelleneinheit 4, kann aber bevorzugt nur dann durchgeführt werden, wenn der Aktivierungsschalter 40 betätigt ist und alle vordefinierten Aktivierungsbedingungen 144 erfüllt sind.

In einem vierten Schritt S4 aktiviert die Schnittstelleneinheit 4 den autonomen Betriebsfall 105. Wie aus der Abfolge der Schritte S1 bis S4 ersichtlich ist, wird das Aktivieren des autonomen Betriebsfalls (Schritt S4) nur dann durchgeführt, wenn alle vordefinierten Aktivierungsbedingungen 144 erfüllt sind, der Aktivierungsschalter betätigt ist (Schritt S2) und das Bestätigungssignal 158 bereitgestellt wird (Schritt S3).

Nach dem Aktivieren (Schritt S4) des autonomen Betriebsfalls 105 erfasst die Schnittstelleneinheit 4 Sensordaten 136 der Sensoren 34 (Schritt S5) und stellt diese Sensordaten 136 anschließend an dem virtuellen Fahrer 2 bereit (Schritt S6). Alternativ kann der virtuelle Fahrer 2 die Sensordaten 136 auch von der Schnittstelleneinheit 4 abfragen. Der virtuelle Fahrer 2 führt anschließend unter Verwendung der Sensordaten 136 in einem siebten Schritt S7 die Trajektorien- planung 101 durch, um die Trajektorie 103 zu erhalten. Nach dem Durchführen der Trajektorienplanung 101 (Schritt S7) wird die Trajektorie 103 in einem achten Schritt S8 an der Schnittstelleneinheit 4 bereitgestellt, die diese Trajektorie 103 in einem darauffolgenden neunten Schritt S9 verarbeitet. Im Rahmen des Verarbeitens (Schritt S9) erzeugt die Schnittstelleneinheit 4 zur Trajektorie 103 korrespondierende Steuerbefehle 124 für die Fahrzeugaktuatoren 6. Diese Steuerbefehle 124 stellt die Schnittstelleneinheit 4 an den Fahrzeugaktuatoren 6 bereit und steuert die Fahrzeugaktuatoren 6 so in einem zehnten Schritt S10 zum Steuern des Fahrzeugs 200 unter Verwendung der Trajektorie 103 an. Die Wiederholungspfeile 178 verdeutlichen, dass die Schritte S5 bis S10 kontinuierlich durchgeführt werden.

Weiterhin führt die Schnittstelleneinheit 4 nach dem Aktivieren (Schritt S4) des autonomen Betriebsfalls 105 und bevorzugt parallel zu einem oder mehreren der Schritte S5 bis S10 eine Sicherheitsfunktion 107 durch (Schritt S11 ). Die Strichlinie verdeutlicht, dass das Durchführen der Sicherheitsfunktion 107 durch die Schnittstelleneinheit 4 (Schritt S11 ) in diesem Ausführungsbeispiel mehrere Teilfunktionen aufweist. So führt die Schnittstelleneinheit 4 in einem zwölften Schritt S12 die Fehlerüberwachung 117 des Fahrzeugsteuersystems 1 , des Fahrzeugs 200 und/oder eines Fahrzeugsubsystems zum Ermitteln von Fehlern 119 durch. Nach dem Übermitteln (Schritt S8) der Trajektorie 103 an die Schnittstelleneinheit 4 und vorzugsweise parallel zum Fehlerüberwachen (Schritt S12) ermittelt die Schnittstelleneinheit 4, ob die T rajektorie 103 die vordefinierte Beschränkungen 111 , insbesondere die fahrdynamischen Beschränkungen 113, einhält (Schritt S13).

Im Anschluss an die Schritte S12 und S13 wird in einem vierzehnten Schritt S14 ermittelt, ob die Trajektorie 103 durchführbar ist oder nicht. Es soll verstanden werden, dass die Trajektorie 103 auch durchführbar sein kann, wenn fahrdynamische Beschränkungen 113 überschritten werden und/oder wenn ein leichter 164 vorliegt. Wenn beispielsweise nur ein einzelner von mehreren Frontscheinwerfern des Fahrzeugs 200 ausfällt (einen Fehler 119 aufweist) oder eine maximale Querbeschleunigung des Fahrzeugs 200, die üblicherweise mit Sicherheitsmargen vordefiniert wird, nur minimal überschritten wird, kann die Trajektorie 103 dennoch durchführbar sein. Allerdings kann die Trajektorie 103 auch undurchführbar sein, wenn diese beispielsweise ein starkes Lenkmanöver des Fahrzeugs 200 erfordert während das Lenksystem 6.2 einen Fehler 119 aufweist. Wenn im vierzehnten Schritt S14 ermittelt wird, dass die Trajektorie weiterhin durchführbar ist, werden die Schritte S9 und S10 weiter ausgeführt.

Wenn das Ermitteln (Schritt S14) hingegen ergibt, dass die Trajektorie 103 undurchführbar ist, dann kann das Fahrzeugsteuersystem 1 entweder in einem fünfzehnten Schritt S15 den manuellen Betriebsfall 140 aktivieren und die Steuerung des Fahrzeugs 200 so an einen Fahrer übergeben oder zumindest einen Fahrzeugaktuator 6 unter Verwendung der Sicherheits-Trajektorie 127 ansteuern (sechzehnter Schritt S16). Zum Erhalten der Sicherheits-Trajektorie 127 erfasst die Schnittstelleneinheit 4 in einem siebzehnten Schritt S17 Sensordaten 136, die identisch oder verschieden zu den im Schritt S6 erfassten Sensordaten 136 sein können. Anschließend führt das Fahrzeugsteuersystem S1 die Sicherheitsplanung 129 durch (achtzehnter Schritt S18) um die Sicherheits- trajektorie 127 zu erhalten. In diesem Ausführungsbeispiel führt die Schnittstelleneinheit 4 den achtzehnten Schritt S18 aus und verarbeitet in einem neunzehnten Schritt S19 die Sicherheitstrajektorie 127 weiter, um wiederum auf der Sicherheitstrajektorie 127 basierende Steuerbefehle 124 zu erhalten und damit im sechzehnten Schritt S16 die Fahrzeugaktuatoren 6 anzusteuern.

Auch die Schritte S1 1 , S12, S13, S14, S17, S18 und S19 werden vorzugsweise kontinuierlich durchgeführt und sind durch Wiederholungspfeile 178 gekennzeichnet.

Figur 9 illustriert das Fahrzeug 200 weiter, das hier als Nutzfahrzeug 204 mit einer ersten Hinterachse 206, einer zweiten Hinterachse 208 und einer Vorderachse 210 dargestellt ist. Vorderräder 212.1 , 212.2 der Vorderachse 210 sind lenkbar ausgeführt während Hinterräder 214.1 , 214.2, 214.3, 214.4 der ersten Hinterachse 206 und zweiten Hinterachse 208 als nicht lenkbare Räder ausgebildet sind. Zum Steuern des Fahrzeugs 200 ist das Fahrzeugsteuersystem 1 vorgesehen, das hier das Bremssystem 6.1 , das Lenksystem 6.2, die mit einem Getriebe 216 verbundene Getriebesteuereinheit 6.3, das einem Motor 218 zugeordnete Motorsteuergerät 6.4 und eine Hauptsteuereinheit 6.5 umfasst. Zur Vereinfachung weist das zum Verzögern des Fahrzeugs 200 vorgesehene Bremssystem 6.1 hier nur zwei Bremszylinder 220.1 , 220.2 auf, die den Hinter- rädern 214.3, 214.4 der zweiten Hinterachse 208 zugeordnet sind. Die Bremszylinder sind mit einem Bremsmodulator 215 verbunden, der über Bremsleitungen 217 einen Bremsdruck für die Bremszylinder 220.1 , 220.2 bereitstellt. In der Regel sind aber zumindest auch die Vorderräder 212.1 , 212.2 mit Bremszylindern versehen.

Das Lenksystem 6.2 dient zum Lenken des Fahrzeugs 200. Die Lenksteuereinheit 10 ist mit Lenkaktuatoren 222 zum Lenken der Vorderräder 212.1 , 212.2 verbunden, die hier nur schematisch dargestellt sind. Der Motor 218 ist zum Beschleunigen des Fahrzeugs 200 bzw. zum Halten des Fahrzeugs 200 bei einer gewünschten Geschwindigkeit vorgesehen. Zum Übertragen der von dem Motor 218 bereitgestellten Antriebsenergie auf die Fahrbahn 302, ist der Motor 218 über eine Antriebswelle 224, das Getriebe 216 und eine Abtriebswelle 226 mit der zweiten Hinterachse 208 des Fahrzeugs 200 verbunden. Das Getriebe 216 stellt, gesteuert von der Getriebesteuereinheit 6.3 eine Übersetzung zwischen der Antriebswelle 224 und der Abtriebswelle 226 bereit. Die Hauptsteuereinheit 6.5 steuert wesentliche Fahrzeugfunktionen des Fahrzeugs 200, wie beispielsweise ein Kühlsystem (nicht dargestellt).

Das Bremssystem 6.1 , das Lenksystem 6.2, die Getriebesteuereinheit 6.3, das Motorsteuergerät 6.4 und die Hauptsteuereinheit 6.5 sind mittels des zweiten Bussystems 28 mit der Schnittstelleneinheit 4 des Fahrzeugs 200 verbunden. Die Schnittstelleneinheit 4 ist weiter mehreren Sensoren 34, die die Fahrzeugumgebung erfassen und zur erfassten Umgebung entsprechende Sensordaten 136 an der Schnittstelleneinheit 4 bereitstellen. Die Schnittstelleneinheit 4 stellt die Sensordaten 136 über das erste Bussystem 22 an dem virtuellen Fahrer 2 bereit, der diese im Rahmen der Trajektorienplanung 101 berücksichtigt. Die erzeugte Trajektorie 103 stellt der virtuelle Fahrer 2 für die Schnittstelleneinheit 4 bereit, die diese zum Steuern der Fahrzeugaktuatoren 6 verwendet. Hierfür verarbeitet die Schnittstelleneinheit 4 die T rajektorie 103 und stellt zur Trajektorie 103 korrespondierende Steuerbefehle 24 an den Fahrzeugaktuatoren 6 bereit. Bezugszeichenliste (Teil der Beschreibung)

1 Fahrzeugsteuersystem

2 virtueller Fahrer

4 Schnittstelleneinheit

6 Fahrzeugaktuatoren

6.1 Bremssystem

6.2 Lenksystem

6.3 Getriebesteuereinheit

6.4 Motorsteuergerät

6.5 Hauptsteuereinheit

8 Bremssteuereinheit

10 Lenksteuereinheit

12 Planungssteuereinheit

14 erstes Gehäuse

16 Schnittstellensteuereinheit

18 zweites Gehäuse

20 Verbindung

22 erstes Bussystem

26 zweite Verbindung

28 zweites Bussystem

30 virtuelles Subsystem

32 Steuereinheit

34 Sensoren

34.1 Radarsensor

34.2 LIDAR-Sensor

34.3 Stereokamera

34.4 Achslastsensor

36 Sensorleitung

38 Bremspedal

40 Aktivierungsschalter

42 Kippschalter

44 Aktivierungssignalleitung Pineingabeeinrichtung Bestätigungsschalter Bestätigungssignalleitung Taster

Redundanzfahrer

Redundanzplanungssteuereinheit Redundanzschnittstelleneinheit Redundanzschnittstellensteuereinheit elektrische Leitungen

Betriebsspannungsversorgung Redundanzspannungsversorgung Betriebssteuersystem Redundanzsteuersystem drittes Bussystem Trajektorienplanung

Trajektorie autonomer Betriebsfall Sicherheitsfunktion Zulässigkeitsprüfung vordefinierte Beschränkungen fahrdynamische Beschränkungen zulässige Querbeschleunigung Fehlerüberwachung

Fehler

Lenksystemstatusinformationen Fehlermeldung

Steuerbefehle

Ermitteln eines Fehlers Sicherheits-T rajektorie Sicherheitsplanung Stop-in-Lane Manöver Stop-on-Hard-Shoulder Manöver Notbremsmanöver Sensordaten Plausibilitätsprüfung Sensorfehlermeldung manueller Betriebsfall Nutzervorgaben Aktivierungsbedingungen Freigabe gesperrter Zustand Fehlerzustand freigegebener Zustand Aktivierungssignal Deaktivierung passiver Zustand Bestätigungssignal Deaktivierungssignal schwerer Fehler leichter Fehler Notbremsung Aktu ato rstatu sdate n Fahrzeugstatusdaten Betriebssteuersystemfehler Redundanzplanung Redundanz-T rajektorie Redundanzsteuerbefehle Wiederholungspfeile Fahrzeug Fahrzeugfront Nutzfahrzeug erste Hinterachse zweite Hinterachse Vorderachse Vorderräder 214.1 , 214.2 Hinterräder

214.3, 214.4

215 Bremsmodulator

216 Getriebe

217 Bremsleitungen

218 Motor

220.1 , 220.2 Bremszylinder

222 Lenkaktuatoren

224 Antriebswelle

226 Abtriebswelle

302 Fahrbahn

304 geplante Wegstrecke

306 Pfeil

308 Fahrspur

310 Seitenstreifen

312 alternative Fahrspur

400 Verfahren

S1 erster Schritt: Überprüfen ob Aktivierungsbedingungen erfüllt sind

S2 zweiter Schritt: Betätigen eines Aktivierungsschalters

S3 dritter Schritt: Bereitstellen eines Bestätigungssignals

S4 vierter Schritt: Aktivieren eines autonomen Betriebsfalls

S5 fünfter Schritt: Erfassen von Sensordaten

S6 sechster Schritt: Bereitstellen von Sensordaten

S7 siebter Schritt: Durchführen einer Trajektorienplanung

S8 achter Schritt: Bereitstellen der Trajektorie

S9 neunter Schritt: Verarbeiten der Trajektorie

S10 zehnter Schritt: Ansteuern von Fahrzeugaktuatoren zum Steuern des Fahrzeugs unter Verwendung der Trajektorie

S1 1 elfter Schritt: Durchführen einer Sicherheitsfunktion

S12 zwölfter Schritt: Fehlerüberwachen

S13 dreizehnter Schritt: Ermitteln, ob die Trajektorie vordefinierte Beschränkungen einhält vierzehnter Schritt: Ermitteln, ob die Trajektorie durchführbar ist fünfzehnter Schritt: Aktivieren eines manuellen Betriebsfalls sechzehnter Schritt: Ansteuern von Fahrzeugaktuatoren unter Verwendung einer Sicherheits-Trajektorie siebzehnter Schritt: Erfassen von Sensordaten achtzehnter Schritt: Durchführen einer Sicherheitsplanung neunzehnter Schritt: Verarbeiten der Sicherheits-T rajektorie

Claims

- 44 - Ansprüche

1. Fahrzeugsteuersystem (1 ) zum Steuern eines Fahrzeugs (200), insbesondere Nutzfahrzeugs (204), in einem autonomen Betriebsfall (105), aufweisend: einen virtuellen Fahrer (2), der dazu angepasst ist, eine Trajektorienpla- nung (101 ) zum Erzeugen einer Trajektorie (103) durchzuführen; wobei das Fahrzeugsteuersystem (1 ) dazu angepasst ist, das Fahrzeug (200) unter Verwendung der Trajektorie (103) zu steuern; gekennzeichnet durch eine Schnittstelleneinheit (4), die dazu angepasst ist, die Trajektorie (103) vom virtuellen Fahrer (5) zu erhalten und zumindest einen Fahrzeugaktuator (6, 6.1 , 6.2, 6.3, 6.4, 6.5) des Fahrzeugsteuersystems (1 ) zum Steuern des Fahrzeugs (200) unter Verwendung der Trajektorie (103) anzusteuern, wobei die Schnittstelleneinheit (4) den virtuellen Fahrer (2) und den zumindest einen Fahrzeugaktuator (6, 6.1 , 6.2, 6.3, 6.4, 6.5) funktional verbindet.

2. Fahrzeugsteuersystem (1 ) nach Anspruch 1 , wobei der virtuelle Fahrer (2) zum Durchführen der Trajektorienplanung (101 ) eine Planungssteuereinheit (12) aufweist, und wobei die Schnittstelleneinheit (4) eine elektronische Schnittstellensteuereinheit (16) aufweist, die von der Planungssteuereinheit (12) unabhängig ausgeführt und zum Verarbeiten der Trajektorie (103) ausgebildet ist.

3. Fahrzeugsteuersystem (1 ) nach Anspruch 2, ferner aufweisend ein erstes Bussystem (22) und ein zweites Bussystem (28), wobei der virtuelle Fahrer (2) mit dem ersten Bussystem (22) verbunden ist, der zumindest eine Fahrzeugaktuator (6, 6.1 , 6.2, 6.3, 6.4, 6.5) mit dem zweiten Bussystem (28) verbunden ist, und wobei die Schnittstelleneinheit (4) mit dem ersten Bussystem (22) und dem zweiten Bussystem (28) verbunden ist.

4. Fahrzeugsteuersystem (1 ) nach einem der vorstehenden Ansprüche, wobei die Schnittstelleneinheit (4) dazu angepasst ist eine oder mehrere Sicherheitsfunktionen des Fahrzeugsteuersystems auszuführen, wobei die Si- - 45 - cherheitsfunktion (107) eine Zulässigkeitsprüfung (109) ist, die dazu vorgesehen ist, zu ermitteln, ob die Trajektorie (103) eine oder mehrere vordefinierte Beschränkungen (111 ), vorzugsweise für das Fahrzeug (200) vordefinierte fahrdynamische Beschränkungen (113), einhält.

5. Fahrzeugsteuersystem (1 ) nach einem der vorstehenden Ansprüche, wobei die Sicherheitsfunktion (107) eine Fehlerüberwachung (117) ist, die dazu vorgesehen ist, zu ermitteln, ob ein Fehler (119) des Fahrzeugsteuersystems (1 ), des Fahrzeugs (200) und/oder eines Fahrzeugsubsystems vorliegt und wobei die Schnittstelleneinheit (4) dazu angepasst ist, in Antwort auf ein Ermitteln (125) eines Fehlers (119) des Fahrzeugsteuersystems (1 ), des Fahrzeugs (200) und/oder des Fahrzeugsubsystems zu ermitteln, ob die Trajektorie (103) durchführbar ist.

6. Fahrzeugsteuersystem (1 ) nach einem der vorstehenden Ansprüche, wobei die Schnittstelleneinheit (4) dazu angepasst ist, den zumindest einen Fahrzeugaktuator (6, 6.1 , 6.2, 6.3, 6.4, 6.5) des Fahrzeugsteuersystems (1 ) zum Steuern des Fahrzeugs (200) unter Verwendung einer mit der Sicherheitsfunktion, die ein Durchführen einer Sicherheitsplanung beinhaltet, berechneten Sicherheits-Trajektorie (127) anzusteuern, falls die Trajektorie (103) eine oder mehrere vordefinierte Beschränkungen, vorzugsweise für ein Fahrzeug (200) vordefinierte fahrdynamische Beschränkungen, (111 ) verletzt.

7. Fahrzeugsteuersystem (1 ) nach Anspruch 6, wobei die Sicherheits- Trajektorie (127) eines der folgenden Manöver beschreibt oder umfasst: Notbremsmanöver (135), Stop-in-Lane Manöver (131 ), Stop-on-Hard-Shoulder Manöver (133), Limp-home Manöver, Mission-Complete Manöver.

8. Fahrzeugsteuersystem (1 ) nach Anspruch 6 oder 7, wobei die Schnittstelleneinheit (4) dazu angepasst ist, einen ermittelten Fehler (119) des Fahrzeugsteuersystems (1 ), des Fahrzeugs (200) und/oder des Fahrzeugsubsystems bei der Sicherheitsplanung (129) zu berücksichtigen. - 46 -

9. Fahrzeugsteuersystem (1 ) nach einem der Ansprüche 6 bis 8, wobei die Schnittstelleneinheit (4) dazu angepasst ist, die Sicherheitsplanung (129) unabhängig davon durchzuführen, ob die Trajektorie (103) durchführbar ist oder nicht.

10. Fahrzeugsteuersystem (1 ) nach einem der vorstehenden Ansprüche, wobei die Schnittstelleneinheit (4) dazu angepasst ist, zwischen dem autonomen Betriebsfall (105) und einem manuellen Betriebsfall (140) des Fahrzeugsteuersystems (1 ) zu schalten, wobei die Schnittstelleneinheit (4) den zumindest einen Fahrzeugaktuator (6, 6.1 , 6.2, 6.3, 6.4, 6.5) nur ansteuert, wenn der autonome Betriebsfall (105) aktiviert ist.

11 . Fahrzeugsteuersystem (1 ) nach Anspruch 10, ferner aufweisend einen Aktivierungsschalter (40), wobei die Schnittstelleneinheit (4) dazu angepasst ist, nur dann in den autonomen Betriebsfall (105) zu schalten, wenn der Aktivierungsschalter (40) betätigt ist.

12. Fahrzeugsteuersystem (1 ) nach Anspruch 11 , wobei die Schnittstelleneinheit (4) dazu angepasst ist, nur dann in den autonomen Betriebsfall (105) zu schalten, wenn der Aktivierungsschalter (40) betätigt ist und ein Bestätigungssignal (158) an der Schnittstelleneinheit (4) bereitgestellt wird.

13. Fahrzeugsteuersystem (1 ) nach Anspruch 12, wobei ein Bestätigungssignal (158) nur dann an der Schnittstelleneinheit (4) bereitstellbar ist, wenn die Schnittstelleneinheit (4) eine Freigabe (145) erteilt, wobei die Schnittstelleneinheit (4) dazu angepasst ist, zu ermitteln, ob vordefinierte Aktivierungsbedingungen (144) erfüllt sind, und die Freigabe (145) nur dann zu erteilen, wenn die vordefinierten Aktivierungsbedingungen (144) erfüllt sind.

14. Fahrzeugsteuersystem (1 ) nach einem der vorstehenden Ansprüche, wobei die Schnittstelleneinheit (4) dazu angepasst ist, Aktuatorstatusdaten (168) von dem zumindest einen Fahrzeugaktuator (6, 6.1 , 6.2, 6.3, 6.4, 6.5) und/oder Fahrzeugstatusdaten (170) zu erfassen und/oder zu empfangen und dem virtuellen Fahrer (2) bereitzustellen.

15. Fahrzeugsteuersystem (1 ) nach einem der vorstehenden Ansprüche, wobei die Schnittstelleneinheit (4) ein virtuelles Subsystem (40) einer Bremssteuereinheit (8) eines Bremssystems (6.1 ), einer Lenksteuereinheit (10) eines Lenksystems (6.2), einer Getriebesteuereinheit (6.3), eines Motorsteuergeräts (6.4) und/oder einer Hauptsteuereinheit (6.5) eines Fahrzeugs (200) ist.

16. Fahrzeugsteuersystem (1 ) nach einem der vorstehenden Ansprüche, ferner aufweisend einen Redundanzfahrer (54) und/oder eine Redundanzschnittstelleneinheit (58), wobei der virtuelle Fahrer (2) und/oder die Schnittstelleneinheit (4) von einer Betriebsspannungsversorgung (64) versorgt werden und wobei der Redundanzfahrer (54) und/oder die Redundanzschnittstelleneinheit (56) von einer von der Betriebsspannungsversorgung (64) unabhängigen Redundanzspannungsversorgung (66) versorgt werden und, wobei der Redundanzfahrer (54) eine zum virtuellen-Fahrer (2) reduzierte Funktionalität aufweist und/oder wobei die Redundanzschnittstelleneinheit (56) eine zur Schnittstelleneinheit (4) reduzierte Funktionalität aufweist.

17. Verfahren (400) zum Steuern eines Fahrzeugs (200), mit einem Fahrzeugsteuersystem (1 ), vorzugsweise einem Fahrzeugsteuersystem (1 ) nach einem der vorstehenden Ansprüche, aufweisend:

Durchführen (S7) einer Trajektorienplanung (101 ) zum Erhalten einer Trajektorie (103) mittels eines virtuellen Fahrers (2), wenn ein autonomer Betriebsfall (105) aktiviert ist;

Bereitstellen (S8) der Trajektorie (103) an einer Schnittstelleneinheit (4);

Verarbeiten (S9) der Trajektorie (103) durch die Schnittstelleneinheit (4), die von dem virtuellen Fahrer (2) unabhängig ausgeführt ist; und

Ansteuern (S10) zumindest eines Fahrzeugaktuators (6, 6.1 , 6.2, 6.3, 6.4, 6.5) des Fahrzeugsteuersystems (1 ) zum Steuern des Fahrzeugs (200) durch die Schnittstelleneinheit (4) unter Verwendung der Trajektorie (103).

18. Verfahren (400) nach Anspruch 17, wobei Daten und/oder Signale ausschließlich mittels der Schnittstelleneinheit (4) zwischen dem virtuelle- Fahrer (2) und dem zumindest einen Fahrzeugaktuator (6, 6.1 , 6.2, 6.3, 6.4, 6.5) übertragen werden.

19. Verfahren (400) nach einem der vorstehenden Ansprüche 17 oder 18, ferner aufweisend:

Durchführen (S11 ) einer Sicherheitsfunktion (107) durch die Schnittstelleneinheit (4).

20. Verfahren (400) nach Anspruch 19, wobei das Durchführen (S1 1 ) einer Sicherheitsfunktion (107) aufweist:

Fehlerüberwachen (S12) des Fahrzeugsteuersystems (1 ), des Fahrzeugs (200) und/oder eines Fahrzeugsubsystems zum Ermitteln (125) von Fehlern (1 19).

21 . Verfahren (400) nach Anspruch 20, wobei das Durchführen (S1 1 ) einer Sicherheitsfunktion (107) ferner aufweist:

Ermitteln (S14), ob die Trajektorie (103) durchführbar ist, falls ein Fehler (1 19) des Fahrzeugsteuersystems (1 ), des Fahrzeugs (200) und/oder eines Fahrzeugsubsystems ermittelt wird.

22. Verfahren (400) nach einem der vorstehenden Ansprüche 19 bis 21 , wobei das Durchführen (S1 1 ) einer Sicherheitsfunktion (107) aufweist:

Durchführen (S18) einer Sicherheitsplanung (129) zum Erhalten einer Sicherheits-Trajektorie (127),

Ansteuern (S16) zumindest eines Fahrzeugaktuators (1 1.1 , 11 .2, 11.3, 11 .4, 1 1 .5) des Fahrzeugsteuersystems (1 ) unter Verwendung der Sicherheits-Trajektorie (127), vorzugsweise in Antwort - 49 - auf ein Ermitteln (S14), dass die Trajektorie (103) nicht oder nicht korrekt durchführbar ist.

23. Verfahren (400) nach einem der vorstehenden Ansprüche 19 bis 22 ferner aufweisend:

Erfassen (S5, S17) von Sensordaten (136) und/oder Sensorsignalen mittels der Schnittstelleneinheit (4); und

Bereitstellen der Sensordaten (136) und/oder Sensorsignale an dem virtuellen Fahrer (2) durch die Schnittstelleneinheit (4) und/oder Abfragen der Sensordaten (136) und/oder Sensorsignale von der Schnittstelleneinheit (2) durch den virtuellen Fahrer (4).

24. Verfahren (400) nach einem der vorstehenden Ansprüche 19 bis 23, ferner aufweisend:

Aktivieren (S4) des autonomen Betriebsfalls (105) durch die Schnittstelleneinheit (4).

25. Verfahren (400) nach Anspruch 24, ferner aufweisend:

Betätigen (S2) eines Aktivierungsschalters (40), wobei das Aktivieren des autonomen Betriebsfalls (105) nur dann durchgeführt wird, wenn der Aktivierungsschalter (40) betätigt ist.

26. Verfahren (400) nach Anspruch 25, ferner aufweisend:

Bereitstellen (S3) eines Bestätigungssignals (158), wobei das Aktivieren (S4) des autonomen Betriebsfalls (105) nur dann durchgeführt wird, wenn der Aktivierungsschalter (40) betätigt ist und das Bestätigungssignal (158) bereitgestellt wird.

27. Verfahren (400) nach Anspruch 26, ferner aufweisend:

Überprüfen (S1 ), ob vordefinierte Aktivierungsbedingungen (144) erfüllt sind durch die Schnittstelleneinheit (4), wobei das Bereitstellen (S3) des Bestätigungssignals (158) nur dann möglich ist, wenn alle vordefinierten Aktivierungsbedingungen (144) erfüllt sind. - 50 -

28. Verfahren (400) nach einem der Ansprüche 17 bis 27, ferner aufweisend:

Ermitteln (S13), ob die Trajektorie (103) eine oder mehrere vordefinierte Beschränkungen (111 ), vorzugsweise für das Fahrzeug (200) vordefinierte fahrdynamische Beschränkungen (113), einhält, wobei das Ansteuern (S10) zumindest eines Fahrzeugaktuators (6, 6.1 , 6.2,

6.3, 6.4, 6.5) des Fahrzeugsteuersystems (1 ) zum Steuern des Fahrzeugs (200) durch die Schnittstelleneinheit (4) unter Verwendung der Trajektorie (103) nur dann durchgeführt wird, wenn die Trajektorie (103) alle vordefinierten Beschränkungen (111 ) einhält.

29. Fahrzeug (200), aufweisend ein Fahrzeugsteuersystem (1) gemäß einem der vorstehenden Ansprüche 1 bis 16.