WO2020160901A1 - Messdatenauswertung für fahrdynamische systeme mit absicherung der beabsichtigten funktion - Google Patents

Messdatenauswertung für fahrdynamische systeme mit absicherung der beabsichtigten funktion Download PDF

Info

Publication number
WO2020160901A1
WO2020160901A1 PCT/EP2020/051477 EP2020051477W WO2020160901A1 WO 2020160901 A1 WO2020160901 A1 WO 2020160901A1 EP 2020051477 W EP2020051477 W EP 2020051477W WO 2020160901 A1 WO2020160901 A1 WO 2020160901A1
Authority
WO
WIPO (PCT)
Prior art keywords
vehicle
signal
safety
evaluation module
group
Prior art date
Application number
PCT/EP2020/051477
Other languages
English (en)
French (fr)
Inventor
Michael Hering
Bernd Mueller
Ingmar Berger
Original Assignee
Robert Bosch Gmbh
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Robert Bosch Gmbh filed Critical Robert Bosch Gmbh
Priority to US17/419,201 priority Critical patent/US20220063601A1/en
Priority to CN202080013098.8A priority patent/CN113412455A/zh
Publication of WO2020160901A1 publication Critical patent/WO2020160901A1/de

Links

Classifications

    • G—PHYSICS
    • G05—CONTROLLING; REGULATING
    • G05B—CONTROL OR REGULATING SYSTEMS IN GENERAL; FUNCTIONAL ELEMENTS OF SUCH SYSTEMS; MONITORING OR TESTING ARRANGEMENTS FOR SUCH SYSTEMS OR ELEMENTS
    • G05B19/00—Programme-control systems
    • G05B19/02—Programme-control systems electric
    • G05B19/04—Programme control other than numerical control, i.e. in sequence controllers or logic controllers
    • G05B19/042—Programme control other than numerical control, i.e. in sequence controllers or logic controllers using digital processors
    • G05B19/0423—Input/output
    • G05B19/0425—Safety, monitoring
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60W—CONJOINT CONTROL OF VEHICLE SUB-UNITS OF DIFFERENT TYPE OR DIFFERENT FUNCTION; CONTROL SYSTEMS SPECIALLY ADAPTED FOR HYBRID VEHICLES; ROAD VEHICLE DRIVE CONTROL SYSTEMS FOR PURPOSES NOT RELATED TO THE CONTROL OF A PARTICULAR SUB-UNIT
    • B60W30/00—Purposes of road vehicle drive control systems not related to the control of a particular sub-unit, e.g. of systems using conjoint control of vehicle sub-units
    • B60W30/08—Active safety systems predicting or avoiding probable or impending collision or attempting to minimise its consequences
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60R—VEHICLES, VEHICLE FITTINGS, OR VEHICLE PARTS, NOT OTHERWISE PROVIDED FOR
    • B60R21/00—Arrangements or fittings on vehicles for protecting or preventing injuries to occupants or pedestrians in case of accidents or other traffic risks
    • B60R21/01—Electrical circuits for triggering passive safety arrangements, e.g. airbags, safety belt tighteners, in case of vehicle accidents or impending vehicle accidents
    • B60R21/013—Electrical circuits for triggering passive safety arrangements, e.g. airbags, safety belt tighteners, in case of vehicle accidents or impending vehicle accidents including means for detecting collisions, impending collisions or roll-over
    • B60R21/0134—Electrical circuits for triggering passive safety arrangements, e.g. airbags, safety belt tighteners, in case of vehicle accidents or impending vehicle accidents including means for detecting collisions, impending collisions or roll-over responsive to imminent contact with an obstacle, e.g. using radar systems
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60W—CONJOINT CONTROL OF VEHICLE SUB-UNITS OF DIFFERENT TYPE OR DIFFERENT FUNCTION; CONTROL SYSTEMS SPECIALLY ADAPTED FOR HYBRID VEHICLES; ROAD VEHICLE DRIVE CONTROL SYSTEMS FOR PURPOSES NOT RELATED TO THE CONTROL OF A PARTICULAR SUB-UNIT
    • B60W30/00—Purposes of road vehicle drive control systems not related to the control of a particular sub-unit, e.g. of systems using conjoint control of vehicle sub-units
    • B60W30/18—Propelling the vehicle
    • B60W30/18009—Propelling the vehicle related to particular drive situations
    • B60W30/18109—Braking
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60W—CONJOINT CONTROL OF VEHICLE SUB-UNITS OF DIFFERENT TYPE OR DIFFERENT FUNCTION; CONTROL SYSTEMS SPECIALLY ADAPTED FOR HYBRID VEHICLES; ROAD VEHICLE DRIVE CONTROL SYSTEMS FOR PURPOSES NOT RELATED TO THE CONTROL OF A PARTICULAR SUB-UNIT
    • B60W40/00—Estimation or calculation of non-directly measurable driving parameters for road vehicle drive control systems not related to the control of a particular sub unit, e.g. by using mathematical models
    • B60W40/10—Estimation or calculation of non-directly measurable driving parameters for road vehicle drive control systems not related to the control of a particular sub unit, e.g. by using mathematical models related to vehicle motion
    • B60W40/105—Speed

Definitions

  • the present invention relates to the evaluation of measurement data from the physical observation of a vehicle environment for further processing in the control of a vehicle dynamics system.
  • Approval specification may, for example, require proof that such a probability is below a target value of, for example, 10 7 / h. As the complexity of the vehicle dynamics system increases, it becomes more and more time-consuming to provide such evidence.
  • a method for evaluating measurement data which is obtained by a plurality of sensors through physical observation of the surroundings and / or one or more operating states of a vehicle were obtained.
  • This evaluation serves the purposes of a driving dynamics system which is designed to carry out at least one predetermined driving task at least partially automatically by controlling at least one actuator of the vehicle.
  • This function signal is such that, when it is fed to the driving dynamics system, it causes the driving dynamics system to carry out the driving task.
  • the first group can in particular include, for example, all sensors present on the vehicle whose measurement data are relevant for carrying out the driving task.
  • the driving task can, for example, consist of automatically moving the vehicle in a traffic jam, for example as part of a traffic jam pilot that corresponds to level 3 of the SAE standard J3016.
  • the measurement data originating from sensors of a second group are processed at least by a first safety evaluation module to form a first safety signal.
  • This safety signal is such that, when it is fed to the vehicle dynamics system, it causes the vehicle dynamics system to avert a predetermined undesired event from the vehicle.
  • the second group of sensors contains a real subset of the first group. This means that there is an intersection of sensors that belong to both the first group and the second group, but without the second group being congruent with the first group.
  • the undesired event to be averted can advantageously, for example, be a frontal impact of the vehicle, a rear impact on the vehicle, and / or the vehicle leaving its lane and / or a
  • the second group can, for example, also contain additional sensors that are not included in the first group. These sensors can be used, for example, to monitor the status of actuators or other vehicle systems that are used in specific vehicle dynamics measures to avert the undesired event. For example, it may be necessary to brake the vehicle to avert a frontal collision.
  • the security evaluation module can then, for example, check whether the
  • Brakes are fully functional or whether there are any signs that the braking effect is impaired. Such signs can be, for example, a low level of the brake fluid, a low pressure in the brake system, high brake pad wear, an increased water content in the brake fluid or an increased temperature of the brake. If there are signs of a possible impairment of the braking effect, the safety evaluation module can, for example, trigger braking earlier than the function evaluation module, which is based on an observation of the traffic situation while the brakes are fully functional.
  • the function signal is aggregated with the safety signal or signals to form a control signal that can be output to the dynamic vehicle system.
  • This aggregation can, for example, be designed in any way that priority is given to security in case of doubt.
  • Improvements in the implementation of the primary driving task often go hand in hand with a higher complexity of the evaluation of measurement data that are used for this driving task.
  • improvements are often achieved in that measurement data from more sensors are taken into account and / or more detailed information is derived from the measurement data.
  • the traffic jam pilot it is desirable, for example, for the journey to be as calm and uniform as possible in the interests of maximum driving comfort.
  • the vehicle should also behave well enough to prevent a collision with one of the
  • Vehicles in front are avoided and the traffic behind is not brought to a halt more than necessary. If, for example, the vehicle reacts too late to the braking of the vehicle in front and accordingly has to brake heavily, a following vehicle may only be able to react to this after the reaction time of a human driver has expired and has to brake even more. This effect is passed on in increased form from vehicle to vehicle until at some point all following vehicles have to brake to a standstill. This not only makes an existing traffic jam worse. The minimal occasion in the form of the delayed and therefore increased braking can even build up into a so-called "traffic jam out of nowhere".
  • Ultrasonic sensor cannot be detected in time because the fur coat absorbs the ultrasonic waves. The probability of such unexpected situations increases with the number of sensors whose measurement data the function evaluation module uses. Regardless of the complexity associated with the given driving task, the safety evaluation module can devote itself solely to the task of avoiding a given undesired event. Very often the signals from significantly fewer sensors are sufficient for this, and the
  • Evaluation can accordingly also be made simpler. A reduced observation area is often sufficient. This means that the complexity of the safety evaluation module is decoupled from the complexity of the actual driving task. In turn, the simpler the security evaluation module is constructed, the easier it is to provide evidence that the security evaluation module allows the undesired event to occur at most with a predetermined probability. This proof can take the place of the proof that the much more complex function evaluation module intercepts this undesired event.
  • the advantage achieved for the overall system is that the said more easily manageable evidence for the security evaluation module (s) is sufficient to be able to promise overall a predetermined maximum probability for the occurrence of the undesired event.
  • the measurement data originating from sensors of a third group are additionally processed by a second safety evaluation module to form a second safety signal.
  • This second safety signal is such that, when it is fed to the vehicle dynamics system, it causes the vehicle dynamics system to avert a predetermined undesired event from the vehicle.
  • the third group is different from the second group, i.e. not congruent.
  • the first and the second security evaluation module can serve to avert one and the same undesired event. If, for example, the groups of sensors whose measurement data the two safety evaluation modules access are disjoint, then the two safety evaluation modules are fully redundant with one another. A requirement for a maximum probability for the adverse event can then be made with significantly less effort can be met or proven. In the case of two fully redundant modules, it is sufficient to prove that each of the two modules alone only allows the undesired event to occur with a probability of 10 3.5 / h, and a maximum probability of 10 7 / h for the occurrence of the undesired event in total to be able to promise.
  • the second, or a further, security evaluation module can also serve, for example, to avert a different undesired event than the first security evaluation module. This is particularly advantageous when the required maximum probabilities for the respective adverse events are different. So can
  • a maximum probability of 10 7 / h may be required for a frontal collision, since such an accident has comparatively serious consequences, while a rear impact on the vehicle, which often only results in sheet metal damage, a probability of 10 5 / h can be permitted.
  • the third group is disjoint from the second group. In this way, it can be particularly reliably prevented that a single faulty sensor influences both safety signals at the same time.
  • the aggregation includes a check as to whether at least one dynamic driving intervention that takes place when the dynamic driving system is activated with the safety signal (s) also takes place when the dynamic driving system is activated with the function signal. If this is the case, there is evidence that the the relevant situation the function evaluation module is working correctly.
  • the function signal can then, for example, be switched through directly to the driving dynamics system as a control signal so that the driving dynamics system can carry out the driving task unhindered.
  • the control signal is influenced in such a way that when the driving dynamics system is controlled with the control signal, the driving dynamics intervention proposed according to the safety signal actually takes place. This can be done, for example, by using the
  • Safety signal is switched through to the driving dynamics system as a control signal.
  • the control signal can, however, also be influenced in other ways in such a way that the driving dynamics intervention takes place. For example, in response to the safety signal suggesting a specific vehicle dynamics intervention instead of the
  • Safety signal is a preset for triggering this intervention
  • Signal curve can be impressed on the control signal.
  • the role of the safety evaluation module or modules is comparable to the role of a driving instructor in an advanced one
  • the driving instructor constantly monitors whether the learner driver has recognized a potentially dangerous situation in time and reacts to it appropriately. If the learner driver does not react or has not recognized the situation at all, for example because he is not looking into a privileged road at all, the driving instructor intervenes, usually by applying the brake.
  • the aggregation can include a check as to whether all of the information required for the definition of a driving dynamic Intervention are used and which are present in the safety signal or signals are also present in the function signal. In this way an even larger class of defects can be detected.
  • the function signal can, for example, be defective in such a way that although it orders the vehicle to be braked, only the brakes on one side of the vehicle are used for this and the brakes are also not controlled on the other side.
  • the control signal in response to the finding that not all of the information present in the safety signal (s) for determining a dynamic driving intervention is also present in the function signal, the control signal is influenced to the effect that all contains this information.
  • the driving dynamics system is controlled with the control signal, all relevant information is then taken into account.
  • this can mean that the control signal is supplemented by the lack of control of the brakes on the other side of the vehicle.
  • the relevant information for the definition of a dynamic driving intervention can, for example, also contain an evaluation of objects that form a reason for the subsequently selected dynamic driving intervention.
  • areas in the vehicle environment can be determined that are relevant to the collision and that are not free from certain types of objects.
  • This common denominator offers a particularly organic possibility for aggregation.
  • Overload of a sensor can be triggered by an unexpected situation (e.g. the low sun or an unknown constellation of road users or their behavior). An accumulation of such situations can, however, indicate that there is a fault in the vehicle.
  • an unexpected situation e.g. the low sun or an unknown constellation of road users or their behavior.
  • a sensor can be defective, dirty or misaligned, or a line can be interrupted, for example. Therefore, in another In a particularly advantageous embodiment, the influencing of the control signal is noted in an event memory. In response to the fact that the number and / or the time sequence of the marked events meets a predefined criterion, an error is output in an error memory of the vehicle.
  • the preregistration of the event and / or the output of the error in the error memory can in turn entail any measures to encourage the user of the vehicle to remedy the error.
  • an optical and / or acoustic warning device can indicate the error. But it can also be, for example
  • Escalation level can be blocked, if necessary, after a waiting period or waiting period, the continued journey or the restart of the vehicle.
  • the event and / or the error can be sent online to a central evaluation point of the vehicle manufacturer or other points via a suitable connection. These places can use the information for a quality statistic or
  • boundary conditions with regard to the control signal are derived from or from the safety signals, and the function signal can be used in accordance with this
  • Boundary conditions are included in the control signal.
  • the safety evaluation module (s) can enter into a constant division of labor with the function evaluation module.
  • a first safety evaluation module can specify that the vehicle is to be braked with a certain minimum deceleration in order to avoid a frontal collision with the vehicle. At the same time can
  • a second safety evaluation module can specify that the vehicle is only to be braked up to a certain maximum deceleration so that a following vehicle does not drive up. In this way, a corridor of possible delay values is created within which the function evaluation module can then act independently.
  • both in the function evaluation module and in at least one safety evaluation module areas in the vehicle environment are determined that are free of certain types of objects.
  • This common denominator offers a particularly organic possibility for aggregation. For example, only those areas that are recognized by the function evaluation module and all existing safety evaluation modules as being free of the objects can be reported to the driving dynamics system as being available for driving with the control signal.
  • areas in the vehicle environment that are occupied by certain types of objects can be determined both in the function evaluation module and in at least one safety evaluation module. For example, it only makes sense to drive over a ferry dock in the direction of the water when there is currently a ferry at the ferry dock.
  • the control signal includes a spatial representation of the surroundings of the vehicle. For example, (only) objects in the collision-relevant area around the vehicle can be evaluated. Again, this is an organic common denominator that makes aggregating easier.
  • the spatial representation can be populated with the union of all objects that are recognized by the function evaluation module and by all safety evaluation modules in the vicinity of the vehicle.
  • the second group and / or the third group contains at most a limited number of, for example, five sensors. In this way, the complexity of the security evaluation module (s) remains in a range in which the evidence that the undesired event is at most with the predetermined
  • At least one safety evaluation module in comparison to the function evaluation module, at least one safety evaluation module
  • Evaluation of the security evaluation module (s) is limited to that portion of the measured data whose reliability is particularly high, facilitates the proof that a security evaluation module only allows the respective undesired event to happen with the required probability at most.
  • the function evaluation module can determine the proportions of the measurement data, the reliability of which is no longer quite as high, for the
  • the method can be carried out in whole or in part on a computer and / or on a control unit, but also, for example, on an embedded system, which is via a CAN bus or another
  • Vehicle bus retrieves the data from the sensors and forwards the received control signal, for example via the same vehicle bus, to the driving dynamics system.
  • the method can then be implemented in software.
  • This software brings about the immediate customer benefit that, given the vehicle is equipped with sensor hardware, more reliable statements can be made about the probabilities with which certain undesired events occur in the vehicle's dynamic driving system.
  • the software can, for example, be sold as an update or upgrade to an existing computer, control unit or embedded system and is therefore an independent product.
  • the invention therefore also relates to a computer program with machine-readable instructions which, when they are on one or more computers, and / or one or more control devices, and / or on one or more
  • Embedded systems are executed, cause the computer (s), the control device (s), and / or the embedded system (s) to carry out the method described.
  • the invention also relates to a machine-readable data carrier or a download product with the computer program.
  • the invention also relates to a computer, a control device and / or an embedded system with the described computer program, machine-readable data carrier and / or download product.
  • the computer, the control device or the embedded system can also be specifically designed in any other way to carry out the described method.
  • Such a specific design can for example take place by means of field-programmable gate arrangements (FPGAs) and / or application-specific integrated circuits (ASICs).
  • FPGAs field-programmable gate arrangements
  • ASICs application-specific integrated circuits
  • FIG. 2 Exemplary integration of the method 100 into a vehicle 50.
  • each provide measurement data 3a-3f.
  • the measurement data 3a-3f from the first group 4a of sensors 2a-2f which here includes all sensors 2a-2f, are processed by a function evaluation module to form a function signal 5a that is used to control a
  • driving dynamics system 51 of a vehicle 50 is provided.
  • areas in the vicinity of vehicle 50 can be determined that are free of certain types of objects, such as other road users or objects delimiting the roadway.
  • areas in the surroundings of the vehicle 50 can be determined according to block 111b which are occupied by certain types of objects.
  • the function signal 5a is not passed on to the vehicle dynamics system 51 without looking. Instead, a first security evaluation module 61 and a second security evaluation module 62 are provided.
  • the first safety evaluation module 61 receives the measurement data 3a, 3c, 3e from a second group 4b of sensors, which here includes sensors 2a, 2c and 2e. From this, according to block 121a
  • areas in the vicinity of the vehicle 50 that are free of certain objects can be determined, and / or areas that are occupied with certain objects can be determined according to block 121b.
  • Safety evaluation module 62 receives the measurement data 3b, 3d, 3f of a third group 4c of sensors, which here includes sensors 2b, 2d and 2f. From this, according to block 126a, areas in the vicinity of the Vehicle 50 can be determined that are free of certain objects, and / or areas can be determined according to block 126b that are occupied by certain objects.
  • the two security evaluation modules 61 and 62 can search for the same objects in the vicinity of the vehicle 50, for example, so that a certain redundancy arises during the detection.
  • the two security evaluation modules 61 and 62 can, however, also each specialize, for example, in the detection of different types of objects. For example, module 61 can search for vehicles and module 62 for pedestrians.
  • the two safety evaluation modules 61 and 62 can each
  • step 120 the first safety evaluation module 61 generates a first safety signal 61a.
  • step 125 the second safety evaluation module 62 forms a second safety signal 62a.
  • step 130 the function signal 5a, the first safety signal 61a and the second safety signal 62a are aggregated to form the final control signal 7 for the driving dynamics system 51 of the vehicle 50.
  • Driving dynamics intervention that takes place when the driving dynamics system 51 is activated with the safety signal (s) 61a, 62a, also at
  • the driving dynamics system 51 is controlled with the function signal 5a. Specifically, it can therefore be checked, for example, whether the function evaluation module 5 recognized one in accordance with the safety signals 61a, 62a Also recognizes the point at which the vehicle 50 is required to wait and outputs a function signal 5a which causes the vehicle 50 to be braked accordingly. Analogously, it can be checked in accordance with block 131b whether all
  • the function signal 5a can be used from the point of view of safety and is output as a control signal 7 to the vehicle dynamics system 51. Otherwise (truth value 0), according to block 132a, 132b, the corresponding safety signal 61a, 62a, which brings about the dynamic driving intervention or contains the complete information for its determination, is output as control signal 7. This can happen in particular if both tests 131a and 131b are carried out and only one of these tests 131a,
  • the safety evaluation modules 61, 62 then virtually take on the function of driving instructors, who normally allow the function evaluation module 5 to act independently as a “learner driver” and only intervene in critical situations.
  • Control signal 7 derived.
  • the first safety signal 61a can have a minimum value for a deceleration of the vehicle 50 as the first
  • the second safety signal 62a can dictate a maximum value for the deceleration as a second boundary condition 72 so that a tram approaching from behind does not hit the vehicle 50.
  • the function signal 5a goes in accordance with both boundary conditions 71,
  • a delay requested in accordance with function signal 5a which lies between the minimum delay and the maximum delay, can be switched through directly into the control signal 7. If the requested delay is less than the minimum delay, the control signal 7 is set according to the minimum delay. If the requested delay is higher than the maximum delay, the control signal 7 is set according to the maximum delay.
  • FIG. 2 shows, by way of example, the integration of the method 100 into a vehicle 50.
  • the control signal 7 formed in the context of the method 100 is output to a vehicle dynamics system 51.
  • the driving dynamics system 51 for its part translates the control signal 7 into a manipulated variable 51 a, which acts on at least one actuator 52 of the vehicle 50 and in this way physically acts on the driving dynamics of the vehicle 50.
  • the manipulated variable 51a can, for example, be a drive torque, a steering torque or a
  • an error 53a is output in the error memory 53 of the vehicle 50 as part of the method 100 in order to enable the user of the vehicle 50 to rectify it of the problem.

Landscapes

  • Engineering & Computer Science (AREA)
  • Automation & Control Theory (AREA)
  • Mechanical Engineering (AREA)
  • Transportation (AREA)
  • Physics & Mathematics (AREA)
  • Mathematical Physics (AREA)
  • Radar, Positioning & Navigation (AREA)
  • Remote Sensing (AREA)
  • General Physics & Mathematics (AREA)
  • Traffic Control Systems (AREA)

Abstract

Verfahren (100) und Computerprogramm zur Auswertung von Messdaten (3a-3f), die durch eine Mehrzahl von Sensoren (2a-2f) durch physikalische Beobachtung des Umfelds, und/oder eines oder mehrerer Betriebszustände, eines Fahrzeugs (50) gewonnen wurden, für die Zwecke eines fahrdynamischen Systems (51), welches dazu ausgebildet ist, mindestens eine vorgegebene Fahraufgabe durch Ansteuerung mindestens eines Aktors (52) des Fahrzeugs (50) zumindest teilweise automatisiert durchzuführen, mit den Schritten: • die von Sensoren (2a-2f) einer ersten Gruppe (4a) stammenden Messdaten (3a-3c) werden durch ein Funktions-Auswertungsmodul (5) zu einem Funktions-Signal (5a) verarbeitet (110), welches, wenn es dem fahrdynamischen System (51) zugeführt wird, das fahrdynamische System (51) zur Durchführung der Fahraufgabe veranlasst; • die von Sensoren (2a, 2c, 2e) einer zweiten Gruppe (4b) stammenden Messdaten (3a, 3c, 3e) werden mindestens durch ein erstes Sicherheits-Auswertungsmodul (61) zu einem ersten Sicherheits-Signal (61a) verarbeitet (120), welches, wenn es dem fahrdynamischen System (51) zugeführt wird, das fahrdynamische System (51) zur Abwendung eines vorgegebenen unerwünschten Ereignisses von dem Fahrzeug (50) veranlasst, wobei die zweite Gruppe (4b) eine echte Teilmenge der ersten Gruppe (4a) beinhaltet; • das Funktions-Signal (5a) wird mit dem oder den Sicherheits-Signalen (61a, 62a) zu einem an das fahrdynamische System (51) ausgebbaren Ansteuer-Signal (7) aggregiert (130).

Description

Beschreibung
Titel:
Messdatenauswertung für fahrdynamische Systeme mit Absicherung der beabsichtigten Funktion
Die vorliegende Erfindung betrifft die Auswertung von Messdaten aus der physikalischen Beobachtung eines Fahrzeugumfelds zur Weiterverarbeitung bei der Kontrolle eines fahrdynamischen Systems eines Fahrzeugs.
Stand der Technik
Die Sicherheit von fahrdynamischen Systemen für Fahrzeuge, die vorgegebene Fahraufgaben ganz oder teilweise automatisiert durchführen, wird unter anderem in der Wahrscheinlichkeit für das Auftreten unerwünschter Ereignisse gemessen. Im Rahmen einer Kundenspezifikation oder einer behördlichen
Zulassungsvorgabe kann beispielsweise ein Nachweis dafür gefordert sein, dass eine derartige Wahrscheinlichkeit unterhalb eines Zielwerts von beispielsweise 10 7/h liegt. Mit steigender Komplexität des fahrdynamischen Systems wird es zunehmend aufwändiger, einen derartigen Nachweis zu führen.
Die DE 102 20 811 B4 offenbart, ein zu überwachendes sicherheitskritisches System in Abhängigkeit von der Komplexität der jeweils auszuführenden
Funktion hierarchisch zu unterteilen. Auf diese Weise wird die Überwachung klarer und verständlicher.
Offenbarung der Erfindung
Im Rahmen der Erfindung wurde ein Verfahren zur Auswertung von Messdaten, die durch eine Mehrzahl von Sensoren durch physikalische Beobachtung des Umfelds, und/oder eines oder mehrerer Betriebszustände, eines Fahrzeugs gewonnen wurden, entwickelt. Diese Auswertung dient den Zwecken eines fahrdynamischen Systems, welches dazu ausgebildet ist, mindestens eine vorgegebene Fahraufgabe durch Ansteuerung mindestens eines Aktors des Fahrzeugs zumindest teilweise automatisiert durchzuführen.
Bei diesem Verfahren werden die von Sensoren einer ersten Gruppe
stammenden Messdaten durch ein Funktions-Auswertungsmodul zu einem Funktions-Signal verarbeitet. Dieses Funktions-Signal ist so beschaffen, dass es, wenn es dem fahrdynamischen System zugeführt wird, das fahrdynamische System zur Durchführung der Fahraufgabe veranlasst.
Die erste Gruppe kann insbesondere beispielsweise alle am Fahrzeug vorhandenen Sensoren umfassen, deren Messdaten für die Durchführung der Fahraufgabe relevant sind. Die Fahraufgabe kann beispielsweise darin bestehen, das Fahrzeug in einem Stau automatisch zu bewegen, etwa im Rahmen eines Staupiloten, der der Stufe 3 der SAE-Norm J3016 entspricht.
Die von Sensoren einer zweiten Gruppe stammenden Messdaten werden mindestens durch ein erstes Sicherheits-Auswertungsmodul zu einem ersten Sicherheits-Signal verarbeitet. Dieses Sicherheits-Signal ist so beschaffen, dass es, wenn es dem fahrdynamischen System zugeführt wird, das fahrdynamische System zur Abwendung eines vorgegebenen unerwünschten Ereignisses von dem Fahrzeug veranlasst.
Dabei beinhaltet die zweite Gruppe von Sensoren eine echte Teilmenge der ersten Gruppe. Das bedeutet, dass es eine Schnittmenge von Sensoren gibt, die sowohl zur ersten Gruppe als auch zur zweiten Gruppe gehören, ohne dass jedoch die zweite Gruppe mit der ersten Gruppe deckungsgleich ist.
Das abzuwendende unerwünschte Ereignis kann vorteilhaft beispielsweise einen Frontalaufprall des Fahrzeugs, einen Heckaufprall auf das Fahrzeug, und/oder ein Abkommen des Fahrzeugs von seiner Fahrspur, und/oder einen
Seitenaufprall, beinhalten. Diese Ereignisse sind Hauptursachen für Unfälle. Mit Blick auf das konkret abzuwendende unerwünschte Ereignis kann die zweite Gruppe beispielsweise auch zusätzliche Sensoren beinhalten, die in der ersten Gruppe nicht enthalten sind. Diese Sensoren können beispielsweise der Zustandsüberwachung von Aktoren oder anderen Fahrzeugsystemen dienen, die bei konkreten fahrdynamischen Maßnahmen zur Abwendung des unerwünschten Ereignisses zum Einsatz kommen. So kann es beispielsweise zur Abwendung eines Frontalaufpralls erforderlich werden, das Fahrzeug abzubremsen. Das Sicherheits-Auswertungsmodul kann dann beispielsweise prüfen, ob die
Bremsen voll funktionsfähig sind oder ob Anzeichen dafür vorliegen, dass die Bremswirkung beeinträchtigt ist. Solche Anzeichen können etwa ein niedriger Füllstand der Bremsflüssigkeit, ein niedriger Druck im Bremssystem, ein hoher Bremsbelagverschleiß, ein erhöhter Wassergehalt der Bremsflüssigkeit oder eine erhöhte Temperatur der Bremse sein. Liegen Anzeichen für eine mögliche Beeinträchtigung der Bremswirkung vor, so kann das Sicherheits- Auswertungsmodul beispielsweise eine Bremsung früher auslösen als das Funktions-Auswertungsmodul, das von einer Beobachtung der Verkehrssituation bei gleichzeitig voll funktionsfähigen Bremsen ausgeht.
Das Funktions-Signal wird mit dem oder den Sicherheits-Signalen zu einem an das fahrdynamische System ausgebbaren Ansteuer-Signal aggregiert. Dieses Aggregieren kann beispielsweise in beliebiger Weise so ausgestaltet sein, dass der Sicherheit im Zweifel Priorität eingeräumt wird.
Es wurde erkannt, dass durch die Aufgabenteilung zwischen dem Funktions- Auswertungsmodul und dem Sicherheits-Auswertungsmodul ein grundlegender Zielkonflikt zwischen einer möglichst guten Verfügbarkeit und Durchführung der Fahraufgabe einerseits und der Gewährleistung der Sicherheit andererseits gemildert wird.
Verbesserungen bei der Durchführung der primären Fahraufgabe Aufgabe gehen häufig mit einer höheren Komplexität der Auswertung von Messdaten einher, die für diese Fahraufgabe herangezogen werden. Insbesondere werden derartige Verbesserungen häufig dadurch erreicht, dass Messdaten von mehr Sensoren berücksichtigt werden, und/oder dass detailliertere Informationen aus den Messdaten abgeleitet werden. In dem zuvor genannten Beispiel des Staupiloten ist es beispielsweise wünschenswert, dass die Fahrt im Interesse eines maximalen Fahrkomforts möglichst ruhig und gleichmäßig verläuft. Zugleich soll sich das Fahrzeug auch dahingehend gutartig verhalten, dass eine Kollision mit einem der
vorausfahrenden Fahrzeuge vermieden wird sowie der nachfolgende Verkehr nicht mehr als nötig ins Stocken gebracht wird. Reagiert das Fahrzeug beispielsweise zu spät auf ein Abbremsen des vorausfahrenden Fahrzeugs und muss dementsprechend stark abbremsen, kann ein nachfolgendes Fahrzeug hierauf möglicherweise erst nach Ablauf der Reaktionszeit eines menschlichen Fahrers reagieren und muss noch stärker abbremsen. Dieser Effekt wird in verstärkter Form von Fahrzeug zu Fahrzeug durchgereicht, bis irgendwann alle nachfolgenden Fahrzeuge bis zum Stillstand abbremsen müssen. Damit kann nicht nur ein bestehender Stau verschlimmert werden. Der minimale Anlass in Form des verspäteten und dafür verstärkten Abbremsens kann sich sogar zu einem sogenannten„Stau aus dem Nichts“ aufschaukeln.
Um derartigen Effekten entgegenzuwirken, können beispielsweise zusätzliche Sensoren oder zusätzliche Auswertungsmethoden zum Einsatz kommen mit dem Ziel, eine Absicht des vorausfahrenden Fahrzeugs möglichst früh zu erkennen. Dadurch wird es allerdings zunehmend schwerer, die Wahrscheinlichkeit für eventuelle Fehlfunktionen zu überblicken. Fehlfunktionen des Gesamtsystems können nämlich nicht nur durch Fehlfunktionen der eingesetzten Sensoren oder Algorithmen im engeren Sinne entstehen, sondern auch schon durch das Auftreten unerwarteter Situationen, die bestimmungsgemäß funktionierende Sensoren dennoch überfordern. So werden beispielsweise die meisten Kameras übersteuert, wenn die tiefstehende Sonne direkt auf den Bildsensor einstrahlt. Auch wird beispielsweise ein Fußgänger, der in einem Pelzmantel zwischen den im Stau gebundenen Fahrzeugen die Fahrbahn überquert, von einem
Ultraschallsensor nicht rechtzeitig erkannt werden, weil der Pelzmantel die Ultraschallwellen absorbiert. Die Wahrscheinlichkeit für solche unerwarteten Situationen steigt mit der Anzahl der Sensoren, deren Messdaten das Funktions- Auswertungsmodul heranzieht. Das Sicherheits-Auswertungsmodul kann sich unabhängig von der Komplexität, die mit der vorgegebenen Fahraufgabe einhergeht, einzig und allein der Aufgabe widmen, ein vorgegebenes unerwünschtes Ereignis zu vermeiden. Hierfür genügen sehr häufig die Signale von deutlich weniger Sensoren, und die
Auswertung kann dementsprechend auch einfacher gestaltet werden. Häufig ist auch ein reduzierter Beobachtungsbereich ausreichend. Das bedeutet, dass die Komplexität des Sicherheits-Auswertungsmoduls von der Komplexität der eigentlichen Fahraufgabe entkoppelt ist. Je einfacher aber wiederum das Sicherheits-Auswertungsmodul aufgebaut ist, desto einfacher ist der Nachweis zu führen, dass das Sicherheits-Auswertungsmodul das unerwünschte Ereignis höchstens mit einer vorgegebenen Wahrscheinlichkeit geschehen lässt. Diese Nachweis kann an die Stelle des Nachweises treten, dass das wesentlich komplexere Funktions-Auswertungsmodul dieses unerwünschte Ereignis abfängt.
Somit ist der für das Gesamtsystem erzielte Vorteil, dass der besagte einfacher führbare Nachweis für das oder die Sicherheits-Auswertungsmodule genügt, um insgesamt eine vorgegebene Höchst-Wahrscheinlichkeit für das Auftreten des unerwünschten Ereignisses versprechen zu können.
In einer besonders vorteilhaften Ausgestaltung werden zusätzlich die von Sensoren einer dritten Gruppe stammenden Messdaten durch ein zweites Sicherheits-Auswertungsmodul zu einem zweiten Sicherheits-Signal verarbeitet werden. Dieses zweite Sicherheits-Signal ist so beschaffen, dass es, wenn es dem fahrdynamischen System zugeführt wird, das fahrdynamische System zur Abwendung eines vorgegebenen unerwünschten Ereignisses von dem Fahrzeug veranlasst. Dabei ist die dritte Gruppe von der zweiten Gruppe verschieden, d.h., nicht deckungsgleich.
Beispielsweise können das erste und das zweite Sicherheits-Auswertungsmodul dazu dienen, ein und dasselbe unerwünschte Ereignis abzuwenden. Sind dann etwa die Gruppen von Sensoren, auf deren Messdaten die beiden Sicherheits- Auswertungsmodule zurückgreifen, disjunkt, dann sind die beiden Sicherheits- Auswertungsmodule untereinander vollredundant. Eine Anforderung einer maximalen Wahrscheinlichkeit für das unerwünschte Ereignis kann dann mit deutlich weniger Aufwand erfüllt bzw. nachgewiesen werden. So genügt bei zwei vollredundanten Modulen der Nachweis, dass jedes der beiden Module für sich genommen das unerwünschte Ereignis nur mit einer Wahrscheinlichkeit von 103,5/h geschehen lässt, um eine Wahrscheinlichkeit von höchstens 10 7/h für das Auftreten des unerwünschten Ereignisses insgesamt versprechen zu können.
Das zweite, bzw. ein weiteres, Sicherheits-Auswertungsmodul kann aber auch beispielsweise dazu dienen, ein anderes unerwünschtes Ereignis abzuwenden als das erste Sicherheits-Auswertungsmodul. Dies ist insbesondere dann vorteilhaft, wenn die geforderten maximalen Wahrscheinlichkeiten für die jeweiligen unerwünschten Ereignisse unterschiedlich sind. So kann
beispielsweise für einen Frontalaufprall eine Wahrscheinlichkeit von höchstens 10 7/h gefordert sein, da ein derartiger Unfall vergleichsweise folgenschwer ist, während für einen Heckaufprall auf das Fahrzeug, der häufig nur Blechschaden nach sich zieht, eine Wahrscheinlichkeit von 10 5/h zugelassen werden kann. Ist ein Sicherheits-Auswertungsmodul jeweils auf die Abwendung eines
unerwünschten Ereignisses spezialisiert, können die Nachweise der maximalen Wahrscheinlichkeiten dafür, dass das jeweilige unerwünschte Ereignis dennoch eintritt, voneinander entkoppelt werden.
Der Ansatz, mehrere Sicherheitsmodule zu verwenden, kann aber auch dazu eingesetzt werden, die Komplexität der einzelnen Sicherheitsmodule möglichst klein und damit überschaubar und beherrschbar zu halten.
In einer besonders vorteilhaften Ausgestaltung ist die dritte Gruppe von der zweiten Gruppe disjunkt. Auf diese Weise kann besonders zuverlässig verhindert werden, dass ein einzelner fehlerhaft arbeitender Sensor beide Sicherheits- Signale zugleich beeinflusst.
In einer besonders vorteilhaften Ausgestaltung beinhaltet das Aggregieren eine Prüfung, ob mindestens ein fahrdynamischer Eingriff, der bei Ansteuerung des fahrdynamischen Systems mit dem oder den Sicherheits-Signalen stattfindet, auch bei Ansteuerung des fahrdynamischen Systems mit dem Funktions-Signal stattfindet. Wenn dies der Fall ist, dann ist der Nachweis geführt, dass in der betreffenden Situation das Funktions-Auswertungsmodul korrekt funktioniert. Das Funktions-Signal kann dann beispielsweise direkt als Ansteuer-Signal an das fahrdynamische System durchgeschaltet werden, damit das fahrdynamische System die Fahraufgabe ungehindert durchführen kann.
Wird bei dieser Prüfung hingegen festgestellt, dass ein fahrdynamischer Eingriff bei Ansteuerung des fahrdynamischen Systems mit dem oder den Sicherheits- Signalen stattfindet, bei Ansteuerung des fahrdynamischen Systems mit dem Funktions-Signal jedoch unterbleibt, dann zeigt dies an, dass das Funktions- Auswertungsmodul in der betreffenden Situation nicht richtig funktioniert und das drohende Eintreten des unerwünschten Ereignisses nicht erkennt. In diesem Fall wird das Ansteuer-Signal dahingehend beeinflusst, dass bei Ansteuerung des fahrdynamischen Systems mit dem Ansteuer-Signal der gemäß Sicherheits- Signal vorgeschlagene fahrdynamische Eingriff tatsächlich stattfindet. Dies kann beispielsweise geschehen, indem an Stelle des Funktions-Signals das
Sicherheits-Signal als Ansteuer-Signal an das fahrdynamische System durchgeschaltet wird. Das Ansteuer-Signal kann aber auch auf andere Weise dahingehend beeinflusst werden, dass der fahrdynamische Eingriff stattfindet. Beispielsweise kann in Antwort darauf, dass gemäß Sicherheits-Signal ein bestimmter fahrdynamischer Eingriff vorgeschlagen wird, an Stelle des
Sicherheits-Signals ein für die Auslösung dieses Eingriffs vorgegebener
Signalverlauf auf das Ansteuer-Signal aufgeprägt werden.
In dieser Ausgestaltung ist die Rolle des oder der Sicherheits-Auswertungsmodu- le vergleichbar mit der Rolle eines Fahrlehrers in einem fortgeschrittenen
Stadium der Fahrausbildung. Der Fahrschüler fährt den größten Teil der Zeit eigenverantwortlich, um seine Fähigkeiten progressiv zu trainieren. Der
Fahrlehrer beobachtet jedoch ständig, ob der Fahrschüler eine potentiell gefährliche Situation rechtzeitig erkannt hat und hierauf angemessen reagiert. Reagiert der Fahrschüler nicht oder hat er die Situation überhaupt nicht erkannt, weil er beispielsweise überhaupt nicht in eine bevorrechtigte Straße schaut, greift der Fahrlehrer ein, meistens durch Betätigung der Bremse.
Alternativ oder in Kombination hierzu kann das Aggregieren eine Prüfung beinhalten, ob alle Informationen, die für die Festlegung eines fahrdynamischen Eingriffs verwendet werden und die in dem oder den Sicherheits-Signalen vorhanden sind, auch im Funktions-Signal vorhanden sind. Auf diese Weise kann eine noch größere Klasse von Fehlern erkannt werden. Das Funktions-Signal kann beispielsweise in der Weise fehlerhaft sein, dass es zwar ein Abbremsen des Fahrzeugs anordnet, aber hierfür nur die Bremsen auf einer Seite des Fahrzeugs genutzt werden und eine Ansteuerung der Bremsen auch auf der anderen Seite fehlt.
Dementsprechend wird in einer weiteren vorteilhaften Ausgestaltung in Antwort auf die Feststellung, dass nicht alle in den dem oder den Sicherheits-Signalen vorhandenen Informationen für die Festlegung eines fahrdynamischen Eingriffs auch im Funktions-Signal vorhanden sind, das Ansteuer-Signal dahingehend beeinflusst, dass es all diese Informationen enthält. Bei Ansteuerung des fahrdynamischen Systems mit dem Ansteuer-Signal werden dann somit alle relevanten Informationen berücksichtigt. In dem genannten Beispiel kann dies etwa bedeuten, dass das Ansteuer-Signal um die fehlende Ansteuerung der Bremsen auf der anderen Seite des Fahrzeugs ergänzt wird.
Die relevanten Informationen für die Festlegung eines fahrdynamischen Eingriffs können beispielsweise auch eine Bewertung von Objekten beinhalten, die einen Anlass für den anschließend gewählten fahrdynamischen Eingriff bilden.
Beispielsweise können jeweils Bereiche im Fahrzeugumfeld ermittelt werden, die kollisionsrelevant sind und die nicht frei von bestimmten Arten von Objekten sind. Dieser gemeinsame Nenner bietet eine besonders organische Möglichkeit für das Aggregieren.
Wie zuvor erläutert, muss eine Situation, in der das Ansteuer-Signal in der beschriebenen Weise zu beeinflussen ist, nicht zwangsläufig auf eine technische Fehlfunktion hindeuten, sondern kann beispielsweise auch durch eine
Überforderung eines Sensors durch eine unerwartete Situation (etwa die tiefstehende Sonne oder eine unbekannte Konstellation an Verkehrsteilnehmern bzw. deren Verhalten) ausgelöst werden. Eine Häufung derartiger Situationen kann jedoch darauf hindeuten, dass im Fahrzeug ein Fehler vorliegt.
Beispielsweise kann ein Sensor defekt, verschmutzt oder dejustiert sein, oder es kann beispielsweise eine Leitung unterbrochen sein. Daher wird in einer weiteren besonders vorteilhaften Ausgestaltung das Beeinflussen des Ansteuer-Signals in einem Ereignis-Speicher vorgemerkt. In Antwort darauf, dass die Anzahl, und/oder die zeitliche Abfolge, der vorgemerkten Ereignisse ein vorgegebenes Kriterium erfüllt, wird ein Fehler in einen Fehlerspeicher des Fahrzeugs ausgegeben.
Die Vormerkung des Ereignisses, und/oder die Ausgabe des Fehlers in den Fehlerspeicher, können wiederum beliebige Maßnahmen nach sich ziehen, um eine Behebung des Fehlers durch den Nutzer des Fahrzeugs anzuregen.
Beispielsweise kann eine optische und/oder akustische Warneinrichtung auf den Fehler hinweisen. Es können aber auch beispielsweise das
Beschleunigungsvermögen oder andere für den Fahrkomfort relevante
Funktionen bzw. Parameter eingeschränkt werden, damit der Nutzer mit dem Fahrzeug zwar aus eigener Kraft eine Werkstatt aufsuchen kann, ihm die Weiternutzung ohne Reparatur jedoch vergällt wird. In der höchsten
Eskalationsstufe kann, ggfs, nach einer Karenzzeit oder Karenzstrecke, die Weiterfahrt oder der Wiederstart des Fahrzeugs gesperrt werden. Diese oder auch andere Maßnahmen des Reparaturzwangs bewirken, dass das Fahrzeug so schnell wie möglich wieder in einen Zustand überführt wird, in dem die geforderten Sicherheitsniveaus für die Vermeidung der vorgegebenen unerwünschten Ereignisse wieder gegeben sind.
Alternativ oder auch in Kombination hierzu können das Ereignis, und/oder der Fehler, über eine geeignete Verbindung online an eine zentrale Auswertstelle des Fahrzeugherstellers oder anderer Stellen gegeben werden. Diese Stellen können die Information beispielsweise für eine Qualitäts-Statistik bzw.
Verbesserung verwenden.
In einer weiteren vorteilhaften Ausgestaltung werden aus dem oder aus den Sicherheits-Signalen Randbedingungen bezüglich des Ansteuer-Signals abgeleitet, und das Funktions-Signal kann nach Maßgabe dieser
Randbedingungen in das Ansteuer-Signal eingehen. Auf diese Weise können das oder die Sicherheits-Auswertungsmodule eine ständige Arbeitsteilung mit dem Funktions-Auswertungsmodul eingehen. So kann beispielsweise ein erstes Sicherheits-Auswertungsmodul vorgeben, dass das Fahrzeug mit einer bestimmten Mindest-Verzögerung abzubremsen ist, um einen Frontalaufprall des Fahrzeugs zu vermeiden. Zugleich kann
beispielsweise ein zweites Sicherheits-Auswertungsmodul vorgeben, dass das Fahrzeug nur bis zu einer bestimmten Höchst-Verzögerung abzubremsen ist, damit ein nachfolgendes Fahrzeug nicht auffährt. Auf diese Weise entsteht ein Korridor an möglichen Verzögerungswerten, innerhalb dessen das Funktions- Auswertungsmodul dann eigenverantwortlich handeln kann.
In einer besonders vorteilhaften Ausgestaltung werden sowohl im Funktions- Auswertungsmodul als auch in mindestens einem Sicherheits-Auswertungsmodul jeweils Bereiche im Fahrzeugumfeld ermittelt, die frei von bestimmten Arten von Objekten sind. Dieser gemeinsame Nenner bietet eine besonders organische Möglichkeit für das Aggregieren. Beispielsweise können mit dem Ansteuer-Signal nur solche Bereiche, die sowohl vom Funktions-Auswertungsmodul als auch von allen vorhandenen Sicherheits-Auswertungsmodulen als frei von den Objekten erkannt werden, als für das Befahren verfügbar an das fahrdynamische System gemeldet werden.
Alternativ oder auch in Kombination hierzu können sowohl im Funktions- Auswertungsmodul als auch in mindestens einem Sicherheits-Auswertungsmodul jeweils Bereiche im Fahrzeugumfeld ermittelt werden, die von bestimmten Arten von Objekten belegt sind. So ist es beispielsweise nur dann sinnvoll, über einen Fähranleger hinaus in Richtung Wasser zu fahren, wenn an dem Fähranleger gerade eine Fähre liegt.
Allgemein umfasst in einer weiteren besonders vorteilhaften Ausgestaltung das Ansteuer-Signal eine räumliche Repräsentation des Umfelds des Fahrzeugs. Beispielsweise können (nur) Objekte im kollisionsrelevanten Bereich um das Fahrzeug bewertet werden. Auch dies ist ein organischer gemeinsamer Nenner, der ein Aggregieren vereinfacht. So kann die räumliche Repräsentation beispielsweise mit der Vereinigungsmenge aller Objekte populiert werden, die vom Funktions-Auswertungsmodul und von allen Sicherheits- Auswertungsmodulen jeweils im Umfeld des Fahrzeugs erkannt werden. In einer weiteren besonders vorteilhaften Ausgestaltung enthält die zweite Gruppe, und/oder die dritte Gruppe, höchstens eine limitierte Anzahl von beispielsweise fünf Sensoren. Auf diese Weise bleibt die Komplexität des oder der Sicherheits-Auswertungsmodule in einem Bereich, in dem der Nachweis, dass das unerwünschte Ereignis höchstens mit der vorgegebenen
Wahrscheinlichkeit eintritt, noch mit nicht zu großem Aufwand führbar ist.
In einer weiteren besonders vorteilhaften Ausgestaltung werden in mindestens einem Sicherheits-Auswertungsmodul im Vergleich zum Funktions- Auswertungsmodul
• Messdaten aus einem kleineren räumlichen Gebiet ausgewertet werden; und/oder
• die Messdaten im Hinblick auf das Vorhandensein einer eingeschränkten Klasse von Objekten ausgewertet werden; und/oder
• in den Messdaten erkannte Objekte in Bezug auf eine eingeschränkte Klasse von Merkmalen ausgewertet.
Es wurde erkannt, dass die von einem gegebenen physischen Sensor gelieferten Messdaten
• bis zu einer bestimmten Größe des beobachteten räumlichen Gebiets, d.h., bis zu einer bestimmten lateralen und/oder longitudinalen Entfernung des beobachteten Gebiets vom Sensor;
• bis zu einer bestimmten Anzahl der voneinander zu unterscheidenden Objekte; bzw.
• bis zu einem bestimmten Detaillierungsgrad der ausgewerteten Merkmale eine Auswertung mit besonders hoher Verlässlichkeit ermöglichen, während jenseits der jeweiligen Grenze die Verlässlichkeit abnimmt. Dass nun die
Auswertung des oder der Sicherheits-Auswertungsmodule auf denjenigen Anteil der Messdaten beschränkt wird, dessen Verlässlichkeit besonders hoch ist, erleichtert den Nachweis, dass ein Sicherheits-Auswertungsmodul das jeweilige unerwünschte Ereignis nur höchstens mit der geforderten Wahrscheinlichkeit geschehen lässt. Zugleich kann das Funktions-Auswertungsmodul die Anteile der Messdaten, deren Verlässlichkeit nicht mehr ganz so hoch ist, für die
Durchführung der vorgegebenen Fahraufgabe nutzen. Damit werden insgesamt die Fähigkeiten des physischen Sensors bestmöglich ausgenutzt. Das Verfahren kann ganz oder teilweise auf einem Computer, und/oder auf einem Steuergerät, durchgeführt werden, aber auch beispielsweise auf einem Embedded-System, welches über einen CAN-Bus oder einen anderen
Fahrzeugbus die Daten von den Sensoren abruft und das erhaltene Ansteuer- Signal, beispielsweise über den gleichen Fahrzeugbus, an das fahrdynamische System weiterleitet. Das Verfahren kann dann jeweils in einer Software implementiert sein. Diese Software bewirkt den unmittelbaren Kundennutzen, dass bei vorgegebener Ausstattung des Fahrzeugs mit Sensor-Hardware verlässlichere Aussagen über Wahrscheinlichkeiten gemacht werden können, mit der in dem fahrdynamischen System des Fahrzeugs bestimmte unterwünschte Ereignisse auftreten. Die Software kann beispielsweise als Update oder Upgrade zu einem bestehenden Computer, Steuergerät oder Embedded-System vertrieben werden und ist insofern ein eigenständiges Produkt. Daher bezieht sich die Erfindung auch auf ein Computerprogramm mit maschinenlesbaren Anweisungen, die, wenn sie auf einem oder mehreren Computern, und/oder einem oder mehreren Steuergeräten, und/oder auf einem oder mehreren
Embedded-Systemen, ausgeführt werden, den oder die Computer, das oder die Steuergeräte, und/oder das oder die Embedded-Systeme, dazu veranlassen, das beschriebene Verfahren auszuführen. Ebenso bezieht sich die Erfindung auch auf einen maschinenlesbaren Datenträger oder ein Downloadprodukt mit dem Computerprogramm.
Die Erfindung bezieht sich weiterhin auch auf einen Computer, ein Steuergerät und/oder ein Embedded-System mit dem beschriebenen Computerprogramm, maschinenlesbaren Datenträger und/oder Download produkt. Alternativ oder auch in Kombination kann der Computer, das Steuergerät bzw. das Embedded- System auch in beliebiger sonstiger Weise spezifisch dazu ausgebildet sein, das beschriebene Verfahren auszuführen. Eine solche spezifische Ausbildung kann beispielsweise mittels feldprogrammierbaren Gatteranordnungen (FPGAs) und/oder anwendungsspezifischen integrierten Schaltkreisen (ASICs) erfolgen.
Weitere, die Erfindung verbessernde Maßnahmen werden nachstehend gemeinsam mit der Beschreibung der bevorzugten Ausführungsbeispiele der Erfindung anhand von Figuren näher dargestellt. Ausführungsbeispiele Es zeigt:
Figur 1 Ausführungsbeispiel des Verfahrens 100;
Figur 2 Beispielhafte Einbindung des Verfahrens 100 in ein Fahrzeug 50.
Nach Figur 1 stellen sechs beispielhaft eingezeichnete Sensoren 2a-2f jeweils Messdaten 3a-3f zur Verfügung. Gemäß Schritt 110 des Verfahrens 100 werden die Messdaten 3a-3f aus der ersten Gruppe 4a von Sensoren 2a-2f, die hier alle Sensoren 2a-2f umfasst, durch ein Funktions-Auswertungsmodul zu einem Funktions-Signal 5a verarbeitet, das für die Ansteuerung eines in Figur 1 nicht eingezeichneten fahrdynamischen Systems 51 eines Fahrzeugs 50 vorgesehen ist. Dabei können insbesondere gemäß Block lila Bereiche im Umfeld des Fahrzeugs 50 ermittelt werden, die frei von bestimmten Arten von Objekten, wie beispielsweise anderen Verkehrsteilnehmern oder die Fahrbahn begrenzenden Objekten, sind. Alternativ oder auch in Kombination können gemäß Block 111b Bereiche im Umfeld des Fahrzeugs 50 ermittelt werden, die von bestimmten Arten von Objekten belegt sind.
Das Funktions-Signal 5a wird nicht unbesehen an das fahrdynamische System 51 weitergegeben. Stattdessen sind ein erstes Sicherheits-Auswertungsmodul 61 und ein zweites Sicherheits-Auswertungsmodul 62 vorgesehen. In dem in Figur 1 gezeigten Beispiel erhält das erste Sicherheits-Auswertungsmodul 61 die Messdaten 3a, 3c, 3e einer zweiten Gruppe 4b von Sensoren, die hier die Sensoren 2a, 2c und 2e umfasst. Hieraus können gemäß Block 121a
insbesondere Bereiche im Umfeld des Fahrzeugs 50 ermittelt werden, die frei von bestimmten Objekten sind, und/oder es können gemäß Block 121b Bereiche ermittelt werden, die mit bestimmten Objekten belegt sind. Das zweite
Sicherheits-Auswertungsmodul 62 erhält die Messdaten 3b, 3d, 3f einer dritten Gruppe 4c von Sensoren, die hier die Sensoren 2b, 2d und 2f umfasst. Hieraus können gemäß Block 126a insbesondere wiederum Bereiche im Umfeld des Fahrzeugs 50 ermittelt werden, die frei von bestimmten Objekten sind, und/oder es können gemäß Block 126b Bereiche ermittelt werden, die mit bestimmten Objekten belegt sind. Dabei können die beiden Sicherheits-Auswertungsmodule 61 und 62 im Umfeld des Fahrzeugs 50 beispielsweise nach den gleichen Objekten suchen, so dass bei der Erkennung eine gewisse Redundanz entsteht. Die beiden Sicherheits-Auswertungsmodule 61 und 62 können aber auch beispielsweise jeweils auf die Erkennung unterschiedlicher Arten von Objekten spezialisiert sein. So kann beispielsweise das Modul 61 nach Fahrzeugen und das Modul 62 nach Fußgängern suchen.
Im Vergleich zum Funktions-Auswertungsmodul 5 können die beiden Sicherheits- Auswertungsmodule 61 und 62 jeweils
• gemäß Block 122 Messdaten 3a-3f aus einem kleineren räumlichen
Gebiet auswerten,
• gemäß Block 123 nach einer eingeschränkten Klasse von Objekten
suchen, und/oder
• gemäß Block 124 die Merkmale erkannter Objekte weniger detailliert auswerten.
In Schritt 120 wird vom ersten Sicherheits-Auswertungsmodul 61 ein erstes Sicherheits-Signal 61a gebildet. In Schritt 125 wird vom zweiten Sicherheits- Auswertungsmodul 62 ein zweites Sicherheits-Signal 62a gebildet. In Schritt 130 werden das Funktions-Signal 5a, das erste Sicherheits-Signal 61a und das zweite Sicherheits-Signal 62a zum letztendlichen Ansteuersignal 7 für das fahrdynamische System 51 des Fahrzeugs 50 aggregiert.
Innerhalb des Kastens 130 sind beispielhaft zwei Möglichkeiten illustriert, wie das Aggregieren erfolgen kann.
Gemäß einer ersten Möglichkeit wird in Block 131a geprüft, ob ein
fahrdynamischer Eingriff, der bei Ansteuerung des fahrdynamischen Systems 51 mit dem oder den Sicherheits-Signalen 61a, 62a stattfindet, auch bei
Ansteuerung des fahrdynamischen Systems 51 mit dem Funktions-Signal 5a stattfindet. Konkret kann also beispielsweise geprüft werden, ob das Funktions- Auswertemodul 5 eine gemäß den Sicherheits-Signalen 61a, 62a erkannte Stelle, an der das Fahrzeug 50 wartepflichtig ist, ebenfalls erkennt und ein Funktions-Signal 5a ausgibt, das ein entsprechendes Abbremsen des Fahrzeugs 50 veranlasst. Analog kann gemäß Block 131b geprüft werden, ob alle
Informationen für die Festlegung eines fahrdynamischen Eingriffs, die in den Sicherheits-Signalen 61a, 62a vorhanden sind, auch im Funktionssignal 5a vorhanden sind.
Verläuft die jeweilige Prüfung positiv (Wahrheitswert 1 in Block 131a, 131b), dann ist das Funktions-Signal 5a vom Standpunkt der Sicherheit her brauchbar und wird als Ansteuersignal 7 an das fahrdynamische System 51 ausgegeben. Andernfalls (Wahrheitswert 0) wird gemäß Block 132a, 132b das entsprechende Sicherheits-Signal 61a, 62a, das den fahrdynamischen Eingriff bewirkt bzw. die vollständige Information für dessen Festlegung enthält, als Ansteuersignal 7 ausgegeben. Dies kann insbesondere dann geschehen, wenn beide Prüfungen 131a und 131b ausgeführt werden und hiervon auch nur eine Prüfung 131a,
131b nicht bestanden wird.
Wie zuvor erläutert, übernehmen die Sicherheits-Auswertungsmodule 61, 62 dann quasi die Funktion von Fahrlehrern, die das Funktions-Auswertungsmodul 5 als„Fahrschüler“ im Normalfall eigenverantwortlich handeln lassen und nur in kritischen Situationen eingreifen.
Wie zuvor erläutert, können auch bei technisch einwandfreien Sensoren 2a-2f und einem technisch einwandfreien Funktions-Auswertungsmodul 5 Situationen eintreten, in denen das Eingreifen mit den Sicherheits-Signalen 61a, 62a nötig ist. Um ein sporadisches Auftreten solcher Situationen von systematischen Fehlern, wie etwa Sensorausfällen, zu unterscheiden, wird gemäß Block 133 das Beeinflussen des Ansteuer-Signals 7 in einem Ereignis-Speicher 8 vorgemerkt. Gemäß Block 134 wird geprüft, ob die Anzahl, und/oder die zeitliche Abfolge, der in dem Ereignis-Speicher 8 vorgemerkten Ereignisse 8a ein vorgegebenes Kriterium erfüllt, wie beispielsweise eine ständig wiederkehrende Notwendigkeit gleichartiger Eingriffe über einen bestimmten Zeitraum. Ist dies der Fall
(Wahrheitswert 1), wird gemäß Block 135 ein Fehler 53a in einen Fehlerspeicher 53 des Fahrzeugs 50 ausgegeben. Damit wird der Nutzer des Fahrzeugs 50 aufgefordert, sich um das Problem zu kümmern. Gemäß einer zweiten Möglichkeit werden in Block 136 aus den Sicherheits- Signalen 61a, 62a jeweils Randbedingungen 71, 72 für das letztendliche
Ansteuersignal 7 abgeleitet. Beispielsweise kann das erste Sicherheits-Signal 61a einen Mindestwert für eine Verzögerung des Fahrzeugs 50 als erste
Randbedingung 71 gebieten, damit es nicht auf ein vorausfahrendes Fahrzeug auffährt. Zugleich kann das zweite Sicherheits-Signal 62a einen Höchstwert für die Verzögerung als zweite Randbedingung 72 gebieten, damit eine sich von hinten nähernde Straßenbahn nicht auf das Fahrzeug 50 auffährt. Gemäß Block 137 geht das Funktions-Signal 5a nach Maßgabe beider Randbedingungen 71,
72 in das letztendliche Ansteuersignal 7 ein. In dem genannten Beispiel kann also eine gemäß Funktions-Signal 5a angeforderte Verzögerung, die zwischen der Mindest-Verzögerung und der Höchst-Verzögerung liegt, direkt in das Ansteuersignal 7 durchgeschaltet werden. Ist die angeforderte Verzögerung geringer als die Mindest-Verzögerung, wird das Ansteuersignal 7 entsprechend der Mindest-Verzögerung gesetzt. Ist die angeforderte Verzögerung höher als die Höchst-Verzögerung, wird das Ansteuersignal 7 entsprechend der Höchst- Verzögerung gesetzt.
Figur 2 zeigt beispielhaft die Integration des Verfahrens 100 in ein Fahrzeug 50. Das im Rahmen des Verfahrens 100 gebildete Ansteuer-Signal 7 wird an ein fahrdynamisches System 51 ausgegeben. Das fahrdynamische System 51 übersetzt das Ansteuer-Signal 7 seinerseits in eine Stellgröße 51a, die auf mindestens einen Aktor 52 des Fahrzeugs 50 wirkt und auf diesem Wege physikalisch auf die Fahrdynamik des Fahrzeugs 50 einwirkt. Die Stellgröße 51a kann beispielsweise ein Antriebsmoment, ein Lenkmoment oder einen
Bremszylinderdruck repräsentieren.
Sollte es beständig erforderlich sein, dass das Funktions-Auswertungsmodul 5 von den Sicherheits-Auswertungsmodulen 51, 52 überstimmt wird, wird im Rahmen des Verfahrens 100 ein Fehler 53a in den Fehlerspeicher 53 des Fahrzeugs 50 ausgegeben, um den Nutzer des Fahrzeugs 50 zu einer Behebung des Problems aufzufordern.

Claims

Ansprüche
1. Verfahren (100) zur Auswertung von Messdaten (3a-3f), die durch eine Mehrzahl von Sensoren (2a-2f) durch physikalische Beobachtung des Umfelds, und/oder eines oder mehrerer Betriebszustände, eines Fahrzeugs (50) gewonnen wurden, für die Zwecke eines fahrdynamischen Systems (51), welches dazu ausgebildet ist, mindestens eine vorgegebene Fahraufgabe durch Ansteuerung mindestens eines Aktors (52) des Fahrzeugs (50) zumindest teilweise automatisiert durchzuführen, mit den Schritten:
• die von Sensoren (2a-2f) einer ersten Gruppe (4a) stammenden
Messdaten (3a-3f) werden durch ein Funktions-Auswertungsmodul (5) zu einem Funktions-Signal (5a) verarbeitet (110), welches, wenn es dem fahrdynamischen System (51) zugeführt wird, das fahrdynamische System (51) zur Durchführung der Fahraufgabe veranlasst;
• die von Sensoren (2a, 2c, 2e) einer zweiten Gruppe (4b) stammenden Messdaten (3a, 3c, 3e) werden mindestens durch ein erstes Sicherheits- Auswertungsmodul (61) zu einem ersten Sicherheits-Signal (61a) verarbeitet (120), welches, wenn es dem fahrdynamischen System (51) zugeführt wird, das fahrdynamische System (51) zur Abwendung eines vorgegebenen unerwünschten Ereignisses von dem Fahrzeug (50) veranlasst, wobei die zweite Gruppe (4b) eine echte Teilmenge der ersten Gruppe (4a) beinhaltet;
• das Funktions-Signal (5a) wird mit dem ersten Sicherheits-Signal (61a) zu einem an das fahrdynamische System (51) ausgebbaren Ansteuer-Signal (7) aggregiert (130).
2. Verfahren (100) nach Anspruch 1, wobei zusätzlich die von Sensoren (2b, 2d, 2f) einer dritten Gruppe (4c) stammenden Messdaten (3b, 3d, 3f) durch ein zweites Sicherheits-Auswertungsmodul (62) zu einem zweiten Sicherheits- Signal (62a) verarbeitet werden (125), welches, wenn es dem fahrdynamischen System (51) zugeführt wird, das fahrdynamische System (51) zur Abwendung eines vorgegebenen unerwünschten Ereignisses von dem Fahrzeug (50) veranlasst, wobei die dritte Gruppe (4c) von der zweiten Gruppe (4b)
verschieden ist und wobei das Funktions-Signal (5a) mit dem ersten Sicherheits- Signal (61a) und dem zweiten Sicherheits-Signal (62a) zu einem an das fahrdynamische System (51) ausgebbaren Ansteuer-Signal (7) aggregiert wird (130).
3. Verfahren (100) nach Anspruch 2, wobei die dritte Gruppe (4c) von der zweiten Gruppe (4b) disjunkt ist.
4. Verfahren (100) nach einem der Ansprüche 1 bis 3, wobei das
Aggregieren (130) eine Prüfung (131a) beinhaltet, ob mindestens ein
fahrdynamischer Eingriff, der bei Ansteuerung des fahrdynamischen Systems (51) mit dem oder den Sicherheits-Signalen (61a, 62a) stattfindet, auch bei Ansteuerung des fahrdynamischen Systems (51) mit dem Funktions-Signal (5a) stattfindet.
5. Verfahren (100) nach Anspruch 3, wobei in Antwort auf die Feststellung (131a), dass ein fahrdynamischer Eingriff bei Ansteuerung des fahrdynamischen Systems (51) mit dem oder den Sicherheits-Signalen (61a, 62a) stattfindet, bei Ansteuerung des fahrdynamischen Systems (51) mit dem Funktions-Signal (5a) jedoch unterbleibt, das Ansteuer-Signal (7) dahingehend beeinflusst wird (132a), dass bei Ansteuerung des fahrdynamischen Systems (51) mit dem Ansteuer- Signal (7) dieser fahrdynamische Eingriff stattfindet.
6. Verfahren (100) nach einem der Ansprüche 1 bis 5, wobei das
Aggregieren (130) eine Prüfung (131b) beinhaltet, ob alle Informationen, die für die Festlegung eines fahrdynamischen Eingriffs verwendet werden und die in dem oder den Sicherheits-Signalen (61a, 62a) vorhanden sind, auch im
Funktions-Signal (5a) vorhanden sind.
7. Verfahren (100) nach Anspruch 6, wobei in Antwort auf die Feststellung (131b), dass nicht alle in den dem oder den Sicherheits-Signalen (61a, 62a) vorhandenen Informationen für die Festlegung eines fahrdynamischen Eingriffs auch im Funktions-Signal (5a) vorhanden sind, das Ansteuer-Signal (7) dahingehend beeinflusst wird (132b), dass es all diese Informationen enthält.
8. Verfahren (100) nach Anspruch 5 oder 7, wobei das Beeinflussen des Ansteuer-Signals (7) in einem Ereignis-Speicher (8) vorgemerkt wird (133) und wobei in Antwort darauf, dass die Anzahl, und/oder die zeitliche Abfolge, der vorgemerkten Ereignisse (8a) ein vorgegebenes Kriterium erfüllt (134), ein Fehler (53a) in einen Fehlerspeicher (53) des Fahrzeugs (50) ausgegeben wird (135).
9. Verfahren (100) nach einem der Ansprüche 1 bis 8, wobei das
Aggregieren (130) beinhaltet, dass aus dem oder den Sicherheits-Signalen (61a, 62a) Randbedingungen (71, 72) bezüglich des Ansteuer-Signals (7) abgeleitet werden (136) und dass das Funktions-Signal (5a) nach Maßgabe dieser
Randbedingungen (71, 72) in das Ansteuer-Signal (7) eingeht (137).
10. Verfahren (100) nach einem der Ansprüche 1 bis 9, wobei sowohl im Funktions-Auswertungsmodul (5) als auch in mindestens einem Sicherheits- Auswertungsmodul (61, 62) jeweils Bereiche im Fahrzeugumfeld ermittelt werden (lila, 121a, 126a), die frei von bestimmten Arten von Objekten sind.
11. Verfahren (100) nach einem der Ansprüche 1 bis 10, wobei sowohl im Funktions-Auswertungsmodul (5) als auch in mindestens einem Sicherheits- Auswertungsmodul (61, 62) jeweils Bereiche im Fahrzeugumfeld ermittelt werden (111b, 121b, 126b), die von bestimmten Arten von Objekten belegt sind.
12. Verfahren (100) nach einem der Ansprüche 1 bis 11, wobei das
Ansteuer-Signal (7) eine räumliche Repräsentation des Umfeldes des Fahrzeugs (50) beinhaltet.
13. Verfahren (100) nach einem der Ansprüche 1 bis 12, wobei die zweite Gruppe (4b), und/oder die dritte Gruppe (4b), höchstens fünf Sensoren (2a-2f) enthält.
14. Verfahren (100) nach einem der Ansprüche 1 bis 3, wobei das unerwünschte Ereignis einen Frontalaufprall des Fahrzeugs (50), einen Heckaufprall auf das Fahrzeug (50), und/oder ein Abkommen des Fahrzeugs (50) von seiner Fahrspur, und/oder einen Seitenaufprall, beinhaltet.
15. Verfahren (100) nach einem der Ansprüche 1 bis 14, wobei in mindestens einem Sicherheits-Auswertungsmodul (61, 62) im Vergleich zum Funktions-Auswertungsmodul (5)
• Messdaten (3a-3f) aus einem kleineren räumlichen Gebiet ausgewertet werden (122); und/oder
• die Messdaten (3a-3f) im Hinblick auf das Vorhandensein einer
eingeschränkten Klasse von Objekten ausgewertet werden (123);
und/oder
• in den Messdaten (3a-3f) erkannte Objekte in Bezug auf eine
eingeschränkte Klasse von Merkmalen ausgewertet werden (124).
16. Computerprogramm, enthaltend maschinenlesbare Anweisungen, die, wenn sie auf einem oder mehreren Computern, und/oder einem oder mehreren Steuergeräten, und/oder auf einem oder mehreren Embedded-Systemen, ausgeführt werden, den oder die Computer, das oder die Steuergeräte, und/oder das oder die Embedded-Systeme, dazu veranlassen, ein Verfahren nach einem der Ansprüche 1 bis 15 auszuführen.
17. Maschinenlesbarer Datenträger und/oder Downloadprodukt mit dem Computerprogramm nach Anspruch 16.
18. Computer, Steuergerät und/oder Embedded-System mit dem
Computerprogramm nach Anspruch 16 und/oder mit dem maschinenlesbaren Datenträger und/oder Downloadprodukt nach Anspruch 17, und/oder in sonstiger Weise spezifisch dazu ausgebildet, ein Verfahren nach einem der Ansprüche 1 bis 15 auszuführen.
PCT/EP2020/051477 2019-02-06 2020-01-22 Messdatenauswertung für fahrdynamische systeme mit absicherung der beabsichtigten funktion WO2020160901A1 (de)

Priority Applications (2)

Application Number Priority Date Filing Date Title
US17/419,201 US20220063601A1 (en) 2019-02-06 2020-01-22 Measurement data evaluation for vehicle-dynamics systems having protection of the intended function
CN202080013098.8A CN113412455A (zh) 2019-02-06 2020-01-22 具有预期功能的保障的行驶动态系统的测量数据分析评价

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
DE102019201491.7 2019-02-06
DE102019201491.7A DE102019201491A1 (de) 2019-02-06 2019-02-06 Messdatenauswertung für fahrdynamische Systeme mit Absicherung der beabsichtigten Funktion

Publications (1)

Publication Number Publication Date
WO2020160901A1 true WO2020160901A1 (de) 2020-08-13

Family

ID=69187797

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/EP2020/051477 WO2020160901A1 (de) 2019-02-06 2020-01-22 Messdatenauswertung für fahrdynamische systeme mit absicherung der beabsichtigten funktion

Country Status (4)

Country Link
US (1) US20220063601A1 (de)
CN (1) CN113412455A (de)
DE (1) DE102019201491A1 (de)
WO (1) WO2020160901A1 (de)

Families Citing this family (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN112883500B (zh) * 2021-03-26 2022-04-26 吉林大学 一种基于故障注入的智能车辆系统早期功能安全评估方法
DE102021206133A1 (de) 2021-06-16 2022-12-22 Robert Bosch Gesellschaft mit beschränkter Haftung Steuerungssystem für mindestens ein empfangendes Gerät in sicherheitskritischen Anwendungen

Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
EP1479581A1 (de) * 2003-02-26 2004-11-24 Ford Global Technologies, LLC Integriertes Erfassungssystem für Kraftfahrzeug
DE10220811B4 (de) 2001-06-27 2016-09-15 Robert Bosch Gmbh Verfahren und Vorrichtung zur Überwachung der Funktionsweise eines Systems

Family Cites Families (11)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
GB2344178B (en) * 1998-11-27 2003-03-26 Lucas Ind Plc Detection and identification of pressure-sensor faults in electro-hydraulic (EHB) braking systems
DE102014210485A1 (de) * 2014-06-03 2015-12-03 Robert Bosch Gmbh Verfahren und Vorrichtung zum Überwachen eines eine zumindest teilautomatisierte Fahrfunktion bereitstellendes System eines Fahrzeugs
KR102209794B1 (ko) * 2014-07-16 2021-01-29 주식회사 만도 보행자 보호용 긴급 제동 시스템 및 그의 제어 방법
CN105774803A (zh) * 2014-12-18 2016-07-20 财团法人车辆研究测试中心 行车控制系统及其动态决策控制方法
DE102015215674A1 (de) * 2015-08-18 2017-02-23 Robert Bosch Gmbh Sicherheitsvorrichtung für ein Fahrzeug
JP6803657B2 (ja) * 2015-08-31 2020-12-23 日立オートモティブシステムズ株式会社 車両制御装置および車両制御システム
DE102015220355A1 (de) * 2015-10-20 2017-04-20 Robert Bosch Gmbh Substitution von Sensormessdaten
DE102015220600A1 (de) * 2015-10-22 2017-04-27 Robert Bosch Gmbh Verfahren und Vorrichtung zur Ansteuerung eines Antriebsaggregates
EP3196089B1 (de) * 2016-01-21 2021-10-13 Volvo Car Corporation Fahrzeugsicherheitsunterstützungssystem, fahrzeug mit einem fahrzeugsicherheitsunterstützungssystem und verfahren zur bereitstellung einer fahrerwarnung oder zur durchführung einer autonomen bremsung
US10054947B2 (en) * 2016-08-17 2018-08-21 Omnitracs, Llc Emergency stopping for autonomous commercial vehicles
DE102017206485A1 (de) * 2017-04-18 2018-10-18 Robert Bosch Gmbh Vorrichtung und Verfahren zur Steuerung eines Fahrzeugs

Patent Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
DE10220811B4 (de) 2001-06-27 2016-09-15 Robert Bosch Gmbh Verfahren und Vorrichtung zur Überwachung der Funktionsweise eines Systems
EP1479581A1 (de) * 2003-02-26 2004-11-24 Ford Global Technologies, LLC Integriertes Erfassungssystem für Kraftfahrzeug

Also Published As

Publication number Publication date
DE102019201491A1 (de) 2020-08-06
US20220063601A1 (en) 2022-03-03
CN113412455A (zh) 2021-09-17

Similar Documents

Publication Publication Date Title
DE102013216444B4 (de) Aktive Sicherheitssysteme von Fahrzeugen mit Graphikmikroprozessoren
DE102015110968B4 (de) Fahrzeugparksystem-Ausfallmanagement
DE102011084669B4 (de) Verfahren zur Überwachung und Steuerung eines pneumatischen Niveauregelsystems eines Fahrwerksystems
EP1868851B1 (de) Plausibilisierung von sensorsignalen im falle einer kollision
DE102018118744A1 (de) Verfahren zum Einstellen einer Fahrzeug-Verzögerung eines Fahrzeuges in einem Platoon sowie Platooning-Regelsystem und Fahrzeug
DE102010017659A1 (de) Verfahren und Vorrichtung zur Bereitstellung von Bremsunterstützung in einem Kraftfahrzeug nach einer Erstkollision
DE102018118568A1 (de) Redundante aktive steuerungssystemkoordination
WO2020160901A1 (de) Messdatenauswertung für fahrdynamische systeme mit absicherung der beabsichtigten funktion
DE102015110386A1 (de) Verfahren und Vorrichtung zum Betreiben eines Bremssystems für ein Fahrzeug und Bremssystem
DE102017214531A1 (de) Verfahren und Vorrichtung zum Betreiben eines Kraftfahrzeugs in einem automatisierten Fahrbetrieb sowie Kraftfahrzeug
DE102014221007A1 (de) Vorrichtung und Verfahren zum Betreiben eines Fahrzeugs
EP3945338A2 (de) Signalverarbeitungspfad, vorrichtung zur umfelderkennung und verfahren zur validierung eines automatisiert betreibbaren fahrsystems
DE102018205011A1 (de) Verfahren und System zum kontrollierten Überführen von Fahrzeugen einer Fahrzeugflotte in einen sicheren Zustand
DE102015116469A1 (de) Abschwächung von fahrzeugvorwärtsbewegung nach einem aufprall
DE102017221891B4 (de) Verfahren zum Bestimmen eines Schadens, der bei einem Unfall zwischen einem Fahrzeug und einem Stoßpartner an dem Fahrzeug auftritt
DE102018209108A1 (de) Schnelle Fehleranalyse für technische Vorrichtungen mit maschinellem Lernen
DE102014220427B3 (de) Modellbasierter Abbruch einer automatischen Bremsung
DE102019218082A1 (de) Vorrichtung und Verfahren zum Erzeugen eines sicheren Zustands in einem Fahrzeug
DE102006031766A1 (de) Verfahren und Vorrichtung zum Begrenzen von Stelleingriffen eines Fahrzeugreglers
WO2023012243A1 (de) System, verfahren und software zum betreiben eines fahrerassistenzsystems
DE102006053559B4 (de) Inbetriebnahme eines Notbremssystems in einer Werkstatt
DE102021210000A1 (de) Verfahren zum Beurteilen eines Beschleunigungsvorgangs eines Fahrzeugs, sowie Beschleunigungssystem und Fahrzeug
DE102007046731B4 (de) Verfahren zur Ansteuerung eines Aktuators in einem Kraftfahrzeug
WO2022214148A1 (de) Verfahren zum betrieb eines assistenzsystems sowie assistenzsystem
DE102017109175A1 (de) Steuereinrichtung, Fahrerassistenzsystem, Kraftfahrzeug und Verfahren zum Steuern einer Fahrerassistenzfunktion

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 20701595

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 20701595

Country of ref document: EP

Kind code of ref document: A1