EP4434845A1

EP4434845A1 - Computer-implementiertes verfahren für ein autonomes fahrzeug mit einem remote-operator

Info

Publication number: EP4434845A1
Application number: EP24163325.4A
Authority: EP
Inventors: Kai Höfig; Jürgen Kazmeier; Cornel Klein; Thomas Waschulzik; Kristian Weiß; Marc Zeller; Sonja Zillner
Original assignee: Siemens AG; Siemens Mobility GmbH; Siemens Corp
Current assignee: Siemens Mobility GmbH
Priority date: 2023-03-24
Filing date: 2024-03-13
Publication date: 2024-09-25

Abstract

Die Erfindung betrifft Computer-implementiertes Verfahren für ein autonomes Fahrzeug mit einem Remote-Operator; aufweisend die Schritte: a. Bereitstellen einer Mehrzahl von Funktionen für das autonome Fahrzeug (S1); wobei die Mehrzahl der Funktionen mindestens eine rollen-spezifische Funktion aufweist; b. Zuordnen der mindestens einen rollen-spezifischen Funktion zu dem Remote-Operator durch ein technisches System (S2); wobei der Remote-Operator dazu eingerichtet ist sich remote mit dem technischen System zu verbinden; wobei der Remote-Operator dazu eingerichtet ist die mindestens eine rollen-spezifische Funktion remote von dem technischen System zu empfangen; wobei der Remote-Operator dazu eingerichtet ist die mindestens eine rollen-spezifische Funktion remote auszuführen; und c. Zuordnen der mindestens einen anderen restlichen Funktion der Mehrzahl der Funktionen zu dem autonomen Fahrzeug durch das technische System (S3); wobei das autonome Fahrzeug dazu eingerichtet ist die mindestens eine andere restliche Funktion unter Berücksichtigung mindestens einer Bedingung auszuführen.

Ferner betrifft die Erfindung einen Remote-Operator und ein technisches System.

Description

Unabhängig vom grammatikalischen Geschlecht eines bestimmten Begriffes sind Personen mit männlicher, weiblicher oder anderer Geschlechteridentität mit umfasst.

1. Technisches Gebiet

Die Erfindung betrifft ein computer-implementiertes Verfahren für ein autonomes Fahrzeug mit einem Remote-Operator. Ferner ist die Erfindung auf einen entsprechenden Remote-Operator und ein technisches System gerichtet.

2. Stand der Technik

Das autonome Fahren gewinnt zunehmend an Bedeutung. Diverse autonome Fahrzeuge, wie Autos und Züge, sind in diesem Zusammenhang aus dem Stand der Technik bekannt. Der Automatisierungsgrad nimmt ebenfalls erblich zu.
Die autonomen Fahrzeuge sind dazu eingerichtet fahrerlos betrieben zu werden. Sie sind folglich selbst-fahrend.
Im Zuge der Weiterentwicklung der autonomen Züge und deren Steuerungssysteme wird die Steuerung des Zuges Schritt für Schritt vom Triebfahrzeugführer (auch Zugführer genannt) auf ein technisches System mit automatisierter Steuerung (auch Zugsteuerung genannt) übertragen.
Hindernisse im Gleisbett von Zügen stellen bis heute schwerwiegende Risiken im Zugverkehr dar. Die Triebfahrzeugführer müssen mitunter sehr schnell reagieren, um einen größeren Schaden von Zug und Passagieren abzuwenden. Hindernisse können Teile von durch Unwetter beschädigter Streckeneinrichtung wie Oberleitungen oder Masten sein, aber auch umgefallene Bäume oder Personen.
Bei autonomen Fahrzeugen ist daher eine zuverlässige und effiziente automatisierte Hinderniserkennung sowie die Einleitung entsprechender Gegenmaßnahmen, wie eine Schnellbremsung oder Notbremsung im Gleisbett, entscheidend.
Die Zugsteuerung, die dazu eingerichtet ist, den autonomen Zug im Falle eines erkannten Hindernisses im Gleisbett ohne Eingreifen des Triebfahrzeugführers anzuhalten ist sicherheitskritisch und somit herkömmlicherweise konservativ ausgelegt. Das bedeutet, dass der autonome Zug öfter anhalten wird als tatsächlich benötigt ("false positives"). Mit anderen Worten halten die autonomem Züge häufig ohne Grund an und leiten automatische Schnellbremsungen oder Notbremsungen ein, um jegliche Kollisionen zu vermeiden. Dadurch wird allerdings die Verfügbarkeit der autonomen Züge erheblich reduziert.
Auf vielen Strecken befinden sich immer wieder Gegenstände, die gar nicht zu einer Bremsung führen sollten, da entweder das Risiko einer Bremsung und die damit verbundenen Risiken für die Fahrgäste höher wiegen oder das Hindernis gänzlich zu vernachlässigen ist. Beispiele für solche Hindernisse sind Müll, wie zum Beispiel Kartons, Verpackungsfolie, Tüten, Hausmüll oder andere leichte und überfahrbare Gegenstände. Auch kleinere verwehte Zweige oder Laub stellen keine Gefahr für einen Zug dar und erfordern keine Schnellbremsung oder Notbremsung.
Im regulären Fahrbetrieb kann der Triebfahrzeugführer ein überfahrbares Hindernis leicht selbst erkennen und die Bremsung gegebenenfalls verhindern. Dadurch wird die Anzahl der Schnellbremsungen signifikant reduziert und vorteilhafterweise die Verfügbarkeit des autonomen Zuges erhöht. Autonome Züge ohne Triebfahrzeugführer oder anderweitige menschliche Interkation haben diese Rückfallebene hingegen nicht.
Daher werden gemäß dem Stand der Technik Remote-Triebfahrzeugführer (RTF) eingesetzt, die den autonomen Zug fernsteuern können. Beispielsweise stellen die RTFs weitere Informationen über den Streckenzustand zur Verfügung, die eine manuelle ferngesteuerte Weiterfahrt ermöglichen bzw. rechtfertigen.
Ein solches Fernsteuerungssystem mittels RTFs hat jedoch bis heute viele Nachteile. Meist besteht hoher Personalbedarf. Weiterhin müssen die RTFs mindestens in gleicher Weise ausgebildet sein wie reguläre Triebfahrzeugführer. Weiterhin muss dem RTF die Interaktion mit allen Bedienelementen eines Zugsteuerungssystems ermöglicht werden. Dies stellt gewisse technische Voraussetzungen an den Arbeitsplatz eines RTFs (z.B. Bereitstellen von speziellen Bedienelementen).
Die vorliegende Erfindung stellt sich daher die Aufgabe ein computer-implementiertes Verfahren für ein autonomes Fahrzeug mit einem Remote-Operator bereitzustellen, welches effizienter und zuverlässiger ist sowie fähig ist sich dynamisch seiner aktuellen Umgebung, wie Fahrstrecke oder Straße anzupassen.

3. Zusammenfassung der Erfindung

Die oben genannte Aufgabe wird erfindungsgemäß durch ein computer-implementiertes Verfahren für ein autonomes Fahrzeug mit einem Remote-Operator gelöst; aufweisend die Schritte:

a. Bereitstellen einer Mehrzahl von Funktionen für das autonome Fahrzeug; wobei
die Mehrzahl der Funktionen mindestens eine rollen-spezifische Funktion aufweist;
b. Zuordnen der mindestens einen rollen-spezifischen Funktion zu dem Remote-Operator durch ein technisches System; wobei
- der Remote-Operator dazu eingerichtet ist sich remote mit dem technischen System zu verbinden; wobei
- der Remote-Operator dazu eingerichtet ist die mindestens eine rollen-spezifische Funktion remote von dem technischen System zu empfangen; wobei
- der Remote-Operator dazu eingerichtet ist die mindestens eine rollen-spezifische Funktion remote auszuführen; und
c. Zuordnen der mindestens einen anderen restlichen Funktion der Mehrzahl der Funktionen zu dem autonomen Fahrzeug durch das technische System; wobei
das autonome Fahrzeug dazu eingerichtet ist die mindestens eine andere restliche Funktion unter Berücksichtigung mindestens einer Bedingung auszuführen.

Dementsprechend ist die vorliegende Erfindung auf ein computer-implementiertes Verfahren für ein autonomes Fahrzeug gerichtet. Das autonome Fahrzeug umfasst einen Remote-Operator. Bevorzugt ist das autonome Fahrzeug ein autonomer Zug.
Der Remote-Operator ist für eine bestimmte ihm zugeordnete Rolle verantwortlich. Der Remote-Operator kann eine bestimmte spezifische Rolle ausüben, wie Evakuierungsmanager.
Der Remote-Operator ist als eine Person oder ein technisches System auszulegen. Der Remote-Operator kann sich beispielsweise als Person an seiner Recheneinheit befinden und sich remote mittels der Recheneinheit oder eines technischen Systems mit einem technischen System verbinden und interagieren. Beim Remote-Operator kann es sich alternativ auch um ein technisches System oder künstliche Intelligenz handeln ohne eine Person.
Im ersten Verfahrensschritt werden die Eingabedaten bereitgestellt, nämlich die Mehrzahl der Funktionen für das autonome Fahrzeug. Die Eingabedaten können über einer oder mehrere Eingabeschnittstellen empfangen werden. Zusätzlich oder alternativ können die Ausgabedaten, wie die rollen-spezifische Funktion, auch über eine oder mehrere Ausgabeschnittstellen gesendet werden, bevorzugt von dem technischen System an den Remote-Operator. Die Schnittstellen können als serielle oder parallele Schnittstellen ausgebildet sein. Die Schnittstellen stellen vorteilhafterweise eine effiziente und reibungslose Datenübertragung zwischen Recheneinheiten sicher. Daten können bidirektional ausgetauscht werden ohne Datenstau.
Die Mehrzahl der Funktionen umfasst zumindest zwei Funktionen. Diese Funktionen werden jeweils dem autonomen Fahrzeug und dem Remote-Operator zugewiesen. Die rollen-spezifische Funktion wird dabei dem Remote-Operator zugewiesen. Die restlichen verbleibenden Funktionen werden dem autonomen Fahrzeug zugewiesen.
Nach der Zuordnung der jeweiligen Funktion kann sich der Remote-Operator remote mit dem technischen System verbinden, die zugeordnete rollen-spezifische Funktion empfangen und auch ausführen. Dies kann mittels einer Recheneinheit für den Remote-Operator umgesetzt werden, wie weiter oben ausgeführt. Alternativ kann ein technisches System als Remote-Operator eingesetzt werden.
Somit kann der Remote-Operator beispielsweise in seiner Rolle als "Evakuierungsmanager" die rollen-spezifische Funktion "Evakuieren" zugeordnet bekommen und ausführen. Hierbei muss sich der Remote-Operator vorteilhafterweise nicht im autonomen Fahrzeug oder in seiner Nähe befinden. Die mindestens eine andere restliche Funktion ist dem Remote-Operator nicht zugeordnet, sondern dem autonomen Fahrzeug.
Nach der Zuordnung der jeweiligen Funktion kann das autonome Fahrzeug die mindestens eine andere restliche Funktion unter Berücksichtigung der mindestens einen Bedingung ausführen. Die Bedingung wird bevorzugt eingehalten und somit nicht verletzt, um die Sicherheit des autonomen Fahrens zu garantieren. Der Remote-Operator hingegen kann eine Bedingung auch verletzen.
Mit anderen Worten ist der Remote-Operator für eine bestimmte Rolle ausgebildet und verantwortlich, wie für die sichere Evakuierung der Fahrgäste des autonomen Fahrzeugs. Das autonome Fahrzeug kann weiterhin für eine zuverlässige autonome Fahrt verantwortlich sein. Folglich werden die Funktionen aufgeteilt unter dem Remote-Operator und dem autonomen Fahrzeug. Ein Teil der Funktionen wird dem Remote-Operator zugeordnet und ein anderer Teil der Funktionen verbleibt beim autonomen Fahrzeug.
Die vorliegende Erfindung stellt damit sicher, dass nicht mehr die Gesamtkontrolle über das autonome Fahrzeug an einen RTF abgegeben wird, sondern nur ein Teil der Kontrolle bzw. ein Teil der Funktionen.
Die vorliegende Erfindung ermöglicht dadurch, dass der Personalbedarf für manuelle Eingriffe in die autonome Fahrt eines autonomen Fahrzeugs erheblich verringert wird. Ferner ist nicht mehr erforderlich, dass jede Person, die in die autonome Fahrt eines Fahrzeugsystems eingreift in gleicher Weise ausgebildet ist wie ein Triebfahrzeugführer und die Komplexität der einzelnen Remote-Arbeitsplätze wird stark reduziert.
In einer Ausgestaltung ändert sich durch Ausführung einer Funktion ein Zustand des autonomen Fahrzeugs, wobei der Zustand durch einen Wert eines Betriebsparameters beschrieben wird. Dementsprechend führt die Ausführung der zugeordneten Funktion zu einer Zustandsänderung bzw. zu einem Zustandswechsel. Beispielsweise ändert sich ein Zustand "Türe offen" in einen anderen Zustand "Türe geschlossen" durch die Ausführung der rollen-spezifischen Funktion durch den Remote-Operator "Evakuierungsmanager".
In einer Ausgestaltung weist das Verfahren weiterhin auf

Ausführen der mindestens einen anderen restlichen Funktion unter Berücksichtigung der mindestens einen Bedingung durch das autonome Fahrzeug;
Bereitstellen der mindestens einen rollen-spezifischen Funktion durch das technische System; und/oder
Übertragen der mindestens einen rollen-spezifischen Funktion durch das technische System von dem technischen System an den Remote-Operator zum Ausführen der mindestens einen rollen-spezifischen Funktion.

Dementsprechend nimmt das technische System die Zuordnung der jeweiligen Funktionen vor. Weiterhin kann das autonome Fahrzeug seine zugeordnete andere restliche Funktion auch unmittelbar ausführen. Somit kann die Zuordnung während der autonomen Fahrt erfolgen ohne, dass die Fahrt bzw. Weiterfahrt durch die Zuordnung beeinträchtigt wird. Damit wird eine ungestörte und reibungslose autonome Fahrt durch das autonome Fahrzeug sichergestellt. Weiterhin kann das technische System auch die rollen-spezifische Funktion bereitstellen, wie auf einer Anzeigeeinheit anzeigen oder auf einer Datenverarbeitungseinheit überprüfen bevor diese durch den Remote-Operator ausgeführt werden darf. Mit anderen Worten kann die rollen-spezifische Funktion vor ihrer Ausführung überprüft und freigeben werden. Weiterhin kann das technische System die rollen-spezifische Funktion auch dem Remote-Operator bereitstellen indem er diesem die Funktion unmittelbar zur Ausführung durch den Remote-Operator überträgt ohne Überprüfung und/oder Freigabe.
In einer Ausgestaltung ist die rollen-spezifische Funktion sicherheits-kritisch, bevorzugt eine Funktion zum Evakuieren des autonomen Fahrzeugs. Dementsprechend kann der Remote-Operator in seinen unterschiedlichen Rollen auch unterschiedliche rollen-spezifische Funktionen ausüben. Der Remote-Operator in seiner Rolle als "Evakuierungsmanager" kann die rollen-spezifische Funktion "Evakuieren" ausführen. Der Vorteil liegt darin, dass die Evakuierung des autonomen Fahrzeugs zuverlässig und effizient erfolgt ohne dass sich der TF im autonomen Fahrzeug befinden muss.
In einer Ausgestaltung umfasst die Funktion zum Evakuieren des autonomen Fahrzeugs das Steuern mindestens einer Türe des autonomen Fahrzeugs und/oder das Steuern mindestens eines Lautsprechers oder eines Lautsprechersystems des autonomen Fahrzeugs. Dementsprechend können unterschiedliche Aktionen oder Maßnahmen bei einer Funktion eingeleitet werden. Diese Aktionen oder Maßnahmen können auch als Unterfunktionen oder Teilfunktionen verstanden werden. Zunächst können die Fahrgäste über die bevorstehende Evakuierung informiert werden, beispielsweise mittels einer Lautsprecherdurchsage. Danach kann die Evakuierung eingeleitet werden, indem eine oder mehrere Türen des autonomen Fahrzeugs geöffnet werden. Der Evakuierungsmanager ist dabei nicht für das Anhalten, den Stillstand oder die Weiterfahrt des autonomen Fahrzeugs verantwortlich gemäß dieser Ausgestaltung. Der Remote-Operator nimmt lediglich in seiner Rolle als "Evakuierungsmanager" die Evakuierung remote automatisch vor. Nach der Evakuierung können zusätzlich oder alternativ auch weitere Lautsprecherdurchsagen erfolgen.
Die Erfindung betrifft ferner einen Remote-Operator; wobei

der Remote-Operator dazu eingerichtet ist sich remote mit einem technischen System zu verbinden; wobei
der Remote-Operator dazu eingerichtet ist mindestens eine rollen-spezifische Funktion von dem technischen System remote zu empfangen; wobei
die mindestens eine rollen-spezifische Funktion dem Remote-Operator durch das technische System zugeordnet wird; und wobei
der Remote-Operator dazu eingerichtet ist die mindestens eine zugeordnete rollen-spezifische Funktion remote auszuführen.

Der Remote-Operator ist als eine Person oder ein technisches System auszulegen. Der Remote-Operator kann sich beispielsweise als Person remote mittels einer Recheneinheit oder eines technischen Systems mit dem technischen System verbinden und interagieren. Folglich interagieren zwei Recheneinheiten oder zwei technische Systeme miteinander. Beim Remote-Operator kann es sich alternativ auch um ein technisches System oder künstliche Intelligenz handeln.
Dementsprechend ist der Remote-Operator als eine Recheneinheit, ein technisches System oder eine sonstige Komponente eines technischen Systems ausgebildet.
Die Erfindung betrifft ferner ein technisches System zum Durchführen des obigen Verfahrens.
Bevorzugt ist das technische System ein autonomes Fahrzeug mit einem Remote-Operator; wobei

das autonome Fahrzeug zum Bereitstellen einer Mehrzahl von Funktionen für das autonome Fahrzeug eingerichtet ist; wobei
die Mehrzahl der Funktionen mindestens eine rollen-spezifische Funktion aufweist; wobei
das autonome Fahrzeug zum Zuordnen der mindestens einen rollen-spezifischen Funktion zu dem Remote-Operator eingerichtet ist; wobei
das autonome Fahrzeug zum Ausführen der mindestens einen anderen restlichen Funktion der Mehrzahl der Funktionen unter Berücksichtigung mindestens einer Bedingung eingerichtet ist.

Alternativ kann das technische System auch als eine Recheneinheit des autonomen Fahrzeugs, eine Steuereinheit des autonomen Fahrzeugs, eine sonstige Recheneinheit oder ein sonstiges technisches System ausgebildet sein.

4. Kurze Beschreibung der Zeichnungen

In der folgenden detaillierten Beschreibung werden vorliegend bevorzugte Ausführungsformen der Erfindung weiter beschrieben mit Bezug auf die folgenden Figuren.

FIG 1: zeigt ein schematisches Ablaufdiagramm des erfindungsgemäßen Verfahrens.

5. Beschreibung der bevorzugten Ausführungsformen

Im Folgenden werden bevorzugte Ausführungsformen der vorliegenden Erfindung in Bezug auf die Figuren beschrieben.
Figur 1 stellt ein Ablaufdiagramm des erfindungsgemäßen Verfahrens mit den Verfahrensschritten S1 bis S3 schematisch dar.
Ein einfaches Anwendungsbeispiel ist ein benötigter automatischer Halt eines autonomen Zuges auf Grund eines Hindernisses auf der Fahrstrecke, etwa einem umgestürzten Baum. Der autonome Zug steht weiterhin unter der Kontrolle des automatischen Fahrsystems und steht still auf der Fahrstrecke.
Der Triebfahrzeugführer (auch Zugführer genannt, abgekürzt TF) entscheidet sich dazu, dass erstens eine Weiterfahrt unmöglich ist und zweitens es sicher ist den autonomen Zug an dieser Stelle zu verlassen.
Der Remote-Operator verbindet sich als TF digital mit dem autonomen Zug und übernimmt gemäß einer Ausführungsform in seiner Rolle als Evakuierungsmanager die Kontrolle über die Türen des autonomen Zuges und die Kontrolle über das Lautsprechersystem.
Das automatische Fahrsystem des autonomen Zuges hat weiterhin die Kontrolle über den Rest des autonomen Fahrzeugsystems, bspw. den Antrieb und das Bremssystem des autonomen Zuges. Die Funktionen der Türsteuerung und des Lautsprechersystems wurden allerdings an den Remote-Operator abgegeben. Dabei muss das automatische Fahrsystem weiterhin dafür sorgen, dass alle Randbedingungen für einen sicheren Betrieb des autonomen Zuges gewährleistet sind. Beispielsweise darf ein autonomer Zug nicht fahren während die Türen geöffnet sind.
Der autonome Zug muss bei der voll-autonomen Fahrt normalerweise sicherstellen, die Türen vor Fahrtantritt zu schließen. Nun muss der autonome Zug in umgekehrter Weise bei der Evakuierung dafür sorgen, dass die Fahrt nicht fortgesetzt wird, solange der Remote-Operator die Türen geöffnet hat.
Dadurch verringert sich die Komplexität für den Remote-Operator in dieser Situation. Er muss lediglich dafür ausgebildet sein, ob eine Evakuierung eingeleitet werden kann und diese dann durchführen. Er kann hierzu entscheiden, ob er die Türen an dieser Stelle der Fahrstrecke öffnen darf, welche Ankündigung er vorher oder nachher an die Fahrgäste machen muss und wie die einzelnen Türen des autonomen Zuges zu bedienen sind. Die Komplexität über die richtige Bedienung des Systems und Aspekte wie Energieversorgung, Klimaanlage und Antrieb werden weiterhin von der automatischen Fahrzeugsteuerung durch den autonomen Zug übernommen. Die Rolle verändert sich von einem Remote-Triebfahrzeugführer hin zu einem Remote-Evakuierungsmanager. Außerdem werden für den Arbeitsplatz in diesem Beispiel für den Remote-Evakuierungsmanager keine speziellen Bedienelemente mehr benötigt. Eine reguläre Recheneinheit wie PC reicht dazu aus.
Für die technische Umsetzung und die Einhaltung der Randbedingungen kann die Menge der Funktionen F = f₁, ..., f_n betrachtet werden. Das Ausführen einer Funktion führt dazu, dass sich der Zustand des Systems verändert gemäß einer Ausführungsform. Der Zustand eines Systems kann durch die Werte seiner Betriebsparameter bestimmt werden mit P = p₁, ..., p_n. Eine Belegung der Betriebsberater P kann ferner als State Vektor S bezeichnet werden. Dieser Zustandsvektor kann auch Zustandsinformationen über den Zustand des Zuges enthalten. Dieser externe Kontext kann über zusätzliche Sensoren ermittelt werden. Die Kontextinformation wirkt sich auf die Berechtigungen der Rollen aus. Diese Abhängigkeiten können mittels Knowledgegraph und Decisiontree analysiert werden.
Ein Beispiel für eine solche Sensorik ist die Notruftaste oder weitere Informationen wie Temperatur oder Luftfeuchtigkeit. Die Zustandsinformation kann auch aus einer Quelle außerhalb des Zuges kommen, wie beispielsweise einer digitalen Karte.
Beispielsweise ermittelt der Zug, dass er nicht am Bahngleis steht oder noch rollt und verhindert das Öffnen der Türen. Oder ein Feuer wurde an Bord durch einen Fahrgast oder eine Sensorik erkannt, dann fährt der Zug außerhalb des aktuellen Gefahrenbereichs (Tunnel) auch wenn andere Safety Argumente dagegensprechen. Die Sensorik ermittelt dabei den Zustand "Zug im Gefahrenbereich" bzw. " Zug im Tunnel".
Beispielsweise führt die Funktion öffne alle Türen dazu, dass sich der Parameter Türe n geschlossen verändert zu Türe n geöffnet. Die anderen Parameter des State Vektors verändern sich nicht. Nun werden für den sicheren Betrieb Rahmenbedingungen auf den Betriebsparametern beschrieben.
Beispielsweise ist die Geschwindigkeit gleich 0 bei geöffneten Türen, wie folgt: WENN Türe n offen DANN Geschwindigkeit=0. Für die Einhaltung der Sicherheit ist das automatische Fahrsystem des autonomen Zuges verantwortlich. Es darf die Funktionen nur so ausführen, dass keine Rahmenbedingung verletzt ist. Wenn eine Rolle die Funktionen f_i, . . ., f_j zugewiesen bekommt, und die Rolle aktiviert wird, stehen dem automatischen Fahrsystem nur noch die anderen restlichen Funktionen zur Verfügung. Verändert ein Remote-Operator durch eine ihm zugewiesene rollen-spezifische Funktion den State Vektor des autonomen Fahrzeugs, muss das automatische Fahrzeugsystem mit den verbliebenen restlichen Funktionen dafür sorgen, dass die Rahmenbedingungen eingehalten bleiben.
Folglich können auch unterschiedliche Rollentypen bzw. Rollen für den Remote-Operator definiert werden, wie "Safe-Role".
Der Remote-Operator in seiner Rolle "Safe-Role" kann durch das Ausführen der ihm zugewiesenen einen oder mehreren rollen-spezifischen Funktionen den State Vektor nicht so verändern, dass sicherheitsrelevante Randbedingungen verletzt werden.
Der Remote-Operator in seiner Rolle "Remote Kundenservice" kann nur Durchsagen machen und Informationen auf den Informationsdisplays einblenden. Allerdings beispielsweise keine Türen bedienen, wie öffnen und schließen.
Der Remote-Operator in seiner Rolle "Reactive Safe" bekommt rollen-spezifische Funktionen zugeordnet, die prinzipiell den State Vektor so verändern können, das sicherheitsrelevante Rahmenbedingungen verletzt werden. Allerdings ist dabei sichergestellt, dass der autonome Zug darauf immer sicher reagieren kann.
Das ist zum Beispiel der Fall für die obige Rolle "Evakuierungsmanager". Dem Evakuierungsmanager wird die Möglichkeit gegeben die Türen des autonomen Zuges zu öffnen. Die Fahrzeugsteuerung sorgt allerdings weiterhin dafür, dass der autonome Zug sicher stehen bleibt.
Eine weiterer Rollentyp ist die Rolle "Override", der es freisteht im Bedarfsfall sichere Randbedingungen wissentlich zu verletzen. Diese Rolle erfordert eine bedarfsbezogene spezielle Ausbildung des Remote-Operators und hat eine höhere Verantwortung als die anderen Rollentypen. Beispielsweise kann es nötig sein mit langsamer Geschwindigkeit gegen ein Hindernis zu fahren, um es beiseitezuräumen. Dieses Vorgehen steht einem Remote-Triebfahrzeugführer zur Verfügung, einer autonomen Fahrzeugsteuerung womöglich nicht.
Die sicherheitsrelevanten Rahmenbedingungen und die damit verbundenen Wenn..dann Bedingungen können für die Umsetzung der Rollen als Implikationen abgebildet werden. Auf beiden Seiten einer solche Implikation lassen sich zum Beispiel Attribute des State Vektors adressieren als folgende aussagenlogische Formel $Φ (p_{i}, \dots, p_{j}) \to Φ (p_{g}, \dots, p_{h}), p_{k} \in P .$
Die Menge aller solchen sicherheitsrelevanten Funktionen sei I = {i₁, . . ., i_n} und für eine Implikation i E I mit $Φ (p_{i}, \dots, p_{j}) \to Φ (p_{g}, \dots, p_{h}), p_{k} \in P$
ist $leftparam (i) = p_{i}, \dots, p_{j}$
die von der linken Seite der Implikation adressierten Betriebsparameter, $rightparam (i) = p_{g}, \dots, p_{h}$
die von der rechten Seite der Implikation adressierten Betriebsparameter und $param (i) = leftparam (i) \cup rightparam (i)$
die von beiden Seiten der Implikation adressierten Betriebsparameter.
Zu jeder Funktion f E F gibt es eine Funktion param, die f auf die Menge der Betriebsparameter aus P abbildet, die diese Funktion sicher beeinflussen kann. $param (f) : F \to P (P)$
Nun gibt es eine Rolle R, der bestimmte Funktionen zugeordnet sind. Die Menge F_R ist die Menge der R zugeordneten Funktionen aus F $F_{R} \subseteq F .$
Die Funktionen, die der automatischen Fahrzeugsteuerung zugeordnet bleiben sind $F \ F_{R} .$
Eine Rolle R mit den Funktionen F_R kann der Klasse "saferole" zugeordnet werden, wenn diese keine Parameter von sicherheitsrelevanten Rahmenbedingungen verändern können, wenn also für alle f E F_R gilt: $\underset{f \in F_{R}}{\cup} param (f) \cap \underset{i \in I}{\cup} param (i) = \emptyset$
Eine Rolle R mit den Funktionen F_R kann der Klasse "reactive safe" zugeordnet werden, wenn für alle sicherheitsrelevanten Rahmenbedingungen i E I gilt, dass entweder die Parameter der linken Seite vollständig den Funktionen der automatischen Fahrzeugsteuerung zugeordnet werden können, oder die der rechten Seite: $\forall_{i \in I} ((leftparam) (i) \subseteq \underset{f \in F \ F_{R}}{\cup} f) \lor (rightparam (i) \subseteq \underset{f \in F \ F_{R}}{\cup} f))$
Eine Rolle R mit den Funktionen F_R kann in allen anderen Fällen der Klasse "override" zugeordnet werden.
Mit Hilfe der technischen Umsetzung der Implikationen, also der Rahmenbedingungen und der Abbildung von Funktionen auf Betriebsparameter und Rollen, kann ein solches System immer sicher entscheiden, ob eine Rolle mit einer Menge zugeordneter Funktionen prinzipiell in der Lage ist einen unsicheren Zustand zu erreichen. Damit verringern sich die Anforderungen an die Ausbildung und die Arbeitsplatzausstattung des Remote Bedienpersonals und es können Kosten eingespart sowie die Verfügbarkeit des Betriebs verbessert werden. Außerdem ist es möglich Rollen bedarfsgerechter zu gestalten. Statt Personal einer universellen Ausbildung zu unterziehen, ist es mit Hilfe dieses Systems möglich auch Streckenbezogene Rollen zu definieren. So kann eine Person oder ein Team für bestimmte Streckenabschnitte zuständig sein und mit Hilfe des speziellen Wissens und der Erfahrung den Betrieb auf dieser Fahrstrecke verbessern.
Weiterhin können auch Rollen definiert werden, die in speziellen Betriebssituationen, wie zum Beispiel einem Volksfest, einem Sportereignis oder Unfallsituationen, bestimmte Stationen betreuen und die autonome Kontrolle des autonomen Fahrzeugs übernehmen,
um besser auf die jeweilige Situation zu reagieren und mit besonders hoher Qualität auf die speziellen Kundenanforderungen in solchen Situationen einzugehen. Alternativ oder zusätzlich können auch andere Situationen wie Wetter, Umweltkatastrophen oder dergleichen berücksichtigt werden.
Durch die spezifischere Ausbildung können auch Personen dynamisch von anderen Aufgaben abgezogen werden und im Bedarfsfall woanders aushelfen.

Claims

Computer-implementiertes Verfahren für ein autonomes Fahrzeug mit einem Remote-Operator; aufweisend die Schritte:
a. Bereitstellen einer Mehrzahl von Funktionen für das autonome Fahrzeug (S1); wobei
die Mehrzahl der Funktionen mindestens eine rollen-spezifische Funktion aufweist;

b. Zuordnen der mindestens einen rollen-spezifischen Funktion zu dem Remote-Operator durch ein technisches System (S2); wobei
der Remote-Operator dazu eingerichtet ist sich remote mit dem technischen System zu verbinden; wobei

der Remote-Operator dazu eingerichtet ist die mindestens eine rollen-spezifische Funktion remote von dem technischen System zu empfangen; wobei

der Remote-Operator dazu eingerichtet ist die mindestens eine rollen-spezifische Funktion remote auszuführen; und

c. Zuordnen der mindestens einen anderen restlichen Funktion der Mehrzahl der Funktionen zu dem autonomen Fahrzeug durch das technische System (S3); wobei
das autonome Fahrzeug dazu eingerichtet ist die mindestens eine andere restliche Funktion unter Berücksichtigung mindestens einer Bedingung auszuführen.
Computer-implementiertes Verfahren nach Anspruch 1, wobei sich durch Ausführung einer Funktion ein Zustand des autonomen Fahrzeugs ändert, wobei der Zustand bevorzugt durch einen Wert eines Betriebsparameters beschrieben wird.
Computer-implementiertes Verfahren nach Anspruch 1 oder Anspruch 2, weiterhin aufweisend
- Ausführen der mindestens einen anderen restlichen Funktion unter Berücksichtigung der mindestens einen Bedingung durch das autonome Fahrzeug;

- Bereitstellen der mindestens einen rollen-spezifischen Funktion durch das technische System; und/oder

- Übertragen der mindestens einen rollen-spezifischen Funktion durch das technische System von dem technischen System an den Remote-Operator zum Ausführen der mindestens einen rollen-spezifischen Funktion.
Computer-implementiertes Verfahren nach einem der vorhergehenden Ansprüche, wobei die rollen-spezifische Funktion sicherheits-kritisch ist, bevorzugt eine Funktion zum Evakuieren des autonomen Zuges ist.
Computer-implementiertes Verfahren nach Anspruch 4, wobei die Funktion zum Evakuieren des autonomen Fahrzeugs das Steuern mindestens einer Türe des autonomen Fahrzeugs und/oder das Steuern mindestens eines Lautsprechers oder eines Lautsprechersystems des autonomen Fahrzeugs umfasst.
Remote-Operator; wobei
der Remote-Operator dazu eingerichtet ist sich remote mit einem technischen System zu verbinden; wobei

der Remote-Operator dazu eingerichtet ist mindestens eine rollen-spezifische Funktion von dem technischen System remote zu empfangen; wobei

die mindestens eine rollen-spezifische Funktion dem Remote-Operator durch das technische System zugeordnet wird; und wobei

der Remote-Operator dazu eingerichtet ist die mindestens eine zugeordnete rollen-spezifische Funktion remote auszuführen.
Technisches System zum Durchführen des Verfahrens nach einem der Ansprüche 1 bis 5, wobei das technische System bevorzugt ein autonomes Fahrzeug ist.