DE102018220752B3

DE102018220752B3 - Verfahren, computerprogramm und vorrichtung zur bewertung der kritikalität einer menschlichen steuerungsmöglichkeit eines fahrzeugs, das über ein automatisiertes steuerungssystem verfügt

Info

Publication number: DE102018220752B3
Application number: DE102018220752.6A
Authority: DE
Inventors: Miriam RUF; Manuel Martin; Jens ZIEHN
Original assignee: Fraunhofer Gesellschaft zur Forderung der Angewandten Forschung eV
Current assignee: Fraunhofer Gesellschaft zur Forderung der Angewandten Forschung eV
Priority date: 2018-11-30
Filing date: 2018-11-30
Publication date: 2020-03-12
Anticipated expiration: 2038-12-01
Also published as: WO2020109136A1

Abstract

Ein Verfahren und eine Vorrichtung werden beschrieben, um die Kritikalität einer menschlichen Steuerungsmöglichkeit eines Fahrzeugs zu bewerten, das über ein automatisiertes Steuerungssystem verfügt, und das sich zu einem aktuellen Zeitpunkt (T0) in einem aktuellen Zustand (z) befindet. Das Verfahren umfasst das Bestimmen (102) eines ersten Zustandsraums (Z') von einem oder mehreren ersten Zuständen, in die das Fahrzeug während eines dem aktuellen Zeitpunkt (T0) folgenden ersten Zeitintervalls (T1) durch eine menschliche Steuerung ausgehend von dem aktuellen Zustand (z) überführbar ist, das Bestimmen (104) eines zweiten Zustandsraums (Z") von einem oder mehreren zweiten Zuständen, in die das Fahrzeug (200) während eines dem ersten Zeitintervall (T1) folgenden zweiten Zeitintervalls (T2) durch das automatisierte Steuerungssystem ausgehend von den ersten Zuständen des ersten Zustandsraum (Z') überführbar ist, das Bestimmen (106), ob zumindest ein Kriterium (K) erfüllt ist, basierend auf dem zweiten Zustandsraum (Z") und/oder dem ersten Zustandsraum (Z'), falls das Kriterium (K) erfüllt ist, das Nicht-Verbieten (108) der menschlichen Steuerung des Fahrzeugs zumindest für das erste Zeitintervall (T1), und falls das Kriterium (K) nicht erfüllt ist, das Verbieten (110) der menschlichen Steuerung des Fahrzeugs zumindest für das erste Zeitintervall (T1). Ferner wird ein Fahrzeug mit der Vorrichtung zur Bewertung der Kritikalität beschrieben.

Description

Die vorliegende Erfindung bezieht sich auf das Gebiet der automatisierten Steuerung von Fahrzeugen. Ausführungsbeispiele der vorliegenden Erfindung schaffen ein Verfahren, ein Computerprogramm und eine Vorrichtung zur Bewertung der Kritikalität einer menschlichen Steuerungsmöglichkeit eines Fahrzeugs, das über ein automatisiertes Steuerungssystem (AST) verfügt, und das sich zu einem aktuellen Zeitpunkt (T0) in einem aktuellen Zustand (z) befindet. Weitere Ausführungsbeispiele der Erfindung schaffen einen Ansatz zur Ermöglichung des manuellen Steuerns eines Fahrzeugs unter den Sicherheitsgarantien des vollautomatisierten Fahrens.
Gegenwärtig bekannte Ansätze zum Betreiben eines Fahrzeugs verwenden Fahrerassistenzsysteme und ermöglichen ein sogenanntes assistiertes Fahren, das als Vorläufer zum autonomen oder vollautomatisierten Fahren zu sehen ist. Das assistierte Fahren stellt lediglich eine Erweiterung des manuellen bzw. menschlichen Fahrens dar, um den Fahrer in bestimmten Fahrsituationen zu unterstützen, und somit die Sicherheit oder den Komfort zu verbessern. Hierbei handelt es sich jedoch nicht um ein vollautomatisiertes oder autonomes Fahren, vielmehr dient das assistierte Fahren dazu, den Fahrer zu unterstützen. Ziel ist hierbei nicht, verbindliche Sicherheitsgarantien zu erfüllen, die z.B. per se über das Vermögen des menschlichen Fahrers hinausgehen, oder darum, durch das assistierte Fahren die volle Verantwortung für Fahrfehler des menschlichen Fahrers zu übernehmen. Tatsächlich gehen derzeit bekannte Systeme davon aus, dass der menschliche Fahrer Fehlfunktionen des Systems erkennen und ggf. übersteuern muss.
Die DE 10 2016 202 590 A1 beschreibt einen Ansatz zur Umsetzung eines sogenannten Fahrschulmodus in einem vollautomatisierten Kraftfahrzeug, gemäß dem ein Fahrschüler das automatisierte Kraftfahrzeug während der Fahrausbildung manuell steuert. Während der manuellen Steuerung erfolgt im Hintergrund weiterhin eine Berechnung der automatisierten Fahrparameter, und die manuelle Steuerung des Fahrzeugs allein durch den Fahrschüler wird zugelassen, solange es zu keinen kritischen Situationen kommt. Kommt es hingegen zu einer kritischen Situation, so wird dem Fahrschüler die Kontrolle über das Kraftfahrzeug entzogen und das Kraftfahrzeug wird anschließend automatisiert, d. h. teilautonom bzw. autonom betrieben, bis die kritische Situation überwunden ist, ohne dass ein Eingreifen des Fahrlehrers erforderlich ist. Dieser Ansatz bietet somit einem Benutzer eines vollautomatisierten Fahrzeugs die Möglichkeit, das Fahrzeug selbst, d. h. manuell zu steuern, wobei in kritischen Situationen auf das automatisierte System zurückgegriffen wird. Allerdings wird nur rudimentär darstellt, wie die kritische Situation tatsächlich erkannt werden könnte.
Dieser Ansatz ist jedoch dahin gehend nachteilhaft, dass das Kraftfahrzeug dann die Kontrolle übernimmt, also das manuelle Steuern beendet, wenn aufgrund der im Hintergrund berechneten Parameter festgestellt wird, dass eine kritische Fahrsituation vorliegt, ohne dass das tatsächliche Verhalten des manuellen Fahrers berücksichtigt wird, so dass die vollautomatisierte Steuerung aufgrund der zu erfüllenden Sicherheitsvorschriften zu häufig die manuelle Steuerung unterbricht und/oder auch in Situationen, in denen ein Verhalten des Fahrers eine kritische Situation noch verhindern kann. Es wird ferner angenommen, dass eine kritische Fahrsituation entweder durch vorhandene Fahrerassistenzsysteme identifiziert wird, oder durch eine Abweichung zwischen Fahrereingabe und dem vom automatisierten Steuerungssystem berechneten Manöver. Dies erlaubt einerseits nur einen Betrieb, in dem der Fahrer das geplante Verhalten des automatisierten Steuerungssystems eindeutig nachahmen soll, im Gegensatz zu einem freien Fahrverhalten, in dem verschiedenste Manöver sicher und zulässig sein können. Andererseits ermöglicht dies gleichwohl keine unmittelbare Ableitung von Sicherheitsgarantien für das Gesamtsystem, da rein die Kritikalität der Situation an sich als Maßstab verwendet wird, nicht aber die Handlungsmöglichkeiten des menschlichen Fahrers und deren Konsequenzen. So ist es beispielsweise möglich, dass selbst in einer grundsätzlich sicheren Situation (etwa dem Fahren nah am Gegenverkehr) eine menschliche Steuerung kritisch zu bewerten ist, weil problematische Eingaben (etwa das Lenken in Richtung Gegenverkehr) womöglich nicht rechtzeitig unterbunden werden können. Gleichzeitig kann auch in kritischen Situationen ein menschliches Steuern zulässig sein, wenn das System für jeden denkbaren menschlichen Eingriff eine sichere Auflösung findet.
Die DE 10 2016 117 743 A1 beschreibt ein Verfahren zum Bewerten eines Fahrverhaltens eines Fahrers eines Kraftfahrzeugs, bei welchem während eines manuellen Fahrmanövers, welches von dem Fahrer durchgeführt wird, mit Sensoren eines Fahrerassistenzsystems des Kraftfahrzeugs Sensordaten bestimmt werden. Anhand der Sensordaten wird eine Bewegung des Kraftfahrzeugs während des manuellen Fahrmanövers bestimmt und dem Fahrer wird eine Ausgabe zur Bewertung des Fahrverhaltens in Abhängigkeit von der bestimmten Bewegung bereitgestellt, wobei während eines Parkmanövers, welches von dem Fahrer als das manuelle Fahrmanöver durchgeführt wird, mit einem Fahrerassistenzsystem zum Unterstützen des Fahrers beim Parken eine Referenzbewegung für das Parkmanöver bestimmt wird und mit der bestimmten Bewegung während des Parkmanövers verglichen wird und die Ausgabe in Abhängigkeit von dem Vergleich bereitgestellt wird.
Die DE 10 2007 007 640 A1 beschreibt ein Verfahren zum Erkennen von unfallkritischen Situationen und ein dieses Verfahren anwendendes Kollisionsvermeidungssystem, bei dem die Umgebung eines Fahrzeugs erfasst wird, um einen befahrbaren Raum sowie Objekte zu erkennen, und bei dem eine Situationsbewertung vorgenommen wird, indem eine virtuelle Fahrspur anhand von wenigen virtuellen Stützpunkten derart bestimmt wird, dass sie im befahrbaren Raum liegt, und beurteilt wird, ob und ggf. wann die erkannten Objekte eine auf der virtuellen Fahrspur liegende Position einnehmen werden. Basierend auf dieser Beurteilung wird eine zur Kollisionsvermeidung erforderliche Beschleunigung ermittelt und hieraus sowie aus der Krümmung der virtuellen Fahrspur eine Bewertung der Kritikalität für eine Fahrzeugführung entlang der virtuellen Fahrspur vorgenommen. Die virtuelle Fahrspur wird durch Verschiebung der virtuellen Stützpunkte hinsichtlich der Minimierung der Kritikalität optimiert, und die Situation wird als unfallkritisch bewertet, wenn die Kritikalität nach der Optimierung einen vorgegebenen Schwellwert überschreitet.
Die DE 10 2016 210 560 A1 beschreibt ein Verfahren zum Steuern eines Kraftfahrzeugs umfassend die Schritte des Bestimmens eines bevorstehenden Fahrmanövers; des Abtastens eines fahrergesteuerten Steuereingriffs in die Bewegung des Kraftfahrzeugs; und des Bestimmens eines automatischen Steuereingriffs, um das Fahrmanöver durchzuführen. Dabei wird ein Vitalitätsparameter des Fahrers abgetastet; und der fahrergesteuerte Steuereingriff wird in Abhängigkeit des bestimmten Vitalitätsparameters mit dem automatischen Steuereingriff überlagert.
Die DE 10 2016 205 508 A1 beschreibt ein längsführendes Fahrerassistenzsystem in einem Kraftfahrzeug zur Steuerung oder Regelung einer Antriebs- und/oder Bremseinheit unter Berücksichtigung einer vorgegebenen maximal zulässigen Höchstgeschwindigkeit, mit einem Erfassungssystem zum Erkennen vorausliegender relevanter Ereignisse, die eine Anpassung der vorgegebenen maximal zulässigen Höchstgeschwindigkeit erfordern, einer Funktionseinheit, die eingerichtet ist, bei Erkennen eines vorausliegenden relevanten Ereignisses basierend auf dem Ort des relevanten Ereignisses einen ersten Ort oder ersten Zeitpunkt zu ermitteln, bei dessen Erreichen ein Hinweis zur bevorstehenden automatischen Anpassung der maximal zulässigen Höchstgeschwindigkeit an den Fahrer ausgegeben wird, und einen nach dem ersten Ort oder ersten Zeitpunkt zu erreichenden zweiten Ort oder Zeitpunkt zu ermitteln, bei dessen Erreichen ein Eingriff in die Längsführung des Kraftfahrzeugs in Richtung der neuen maximal zulässigen Höchstgeschwindigkeit am vorausliegenden Ort des relevanten Ereignisses erfolgt, wenn keine durch den Fahrer initiierte Ablehnung der automatischen Anpassung der maximal zulässigen Höchstgeschwindigkeit vorliegt.
Ausgehend von dem oben beschriebenen Stand der Technik liegt der vorliegenden Erfindung die Aufgabe zugrunde, einen Ansatz zu schaffen, bei dem die Übernahme der Steuerung eines Fahrzeugs durch ein automatisiertes Steuersystem im Falle einer manuellen Steuerung durch einen Fahrer verbessert wird.
Ausführungsbeispiele schaffen ein Prinzip, nach dem einerseits mehrere verschiedene Handlungen des Fahrers gleichwertig zulässig sein können, und gleichzeitig untere Schranken für die Sicherheit des Gesamtsystems definiert werden können, die unter allen als relevant identifizierten Handlungsmöglichkeiten des Fahrers funktional abgesichert werden können. Somit wird ein System realisiert, das eine flexible und direkte menschliche Steuerung erlaubt, gleichzeitig aber verbindliche Sicherheitsgarantien bieten kann, die denen eines rein automatisierten Systems ohne Möglichkeit der menschlichen Steuerung entsprechen.
Diese Aufgabe wird durch den Gegenstand der unabhängigen Patentansprüche gelöst, und bevorzugte Ausgestaltungen sind in den Unteransprüchen definiert.
Ausführungsbeispiele der vorliegenden Erfindung werden nachfolgend unter Bezugnahme auf die beiliegenden Zeichnungen näher erläutert:

1 zeigt ein Flussdiagramm, welches ein erstes Ausführungsbeispiel des erfindungsgemäßen Verfahrens darstellt;
2 ist eine abstrakte Darstellung eines Zustandsraums eines Fahrzeugs zur Veranschaulichung des erfindungsgemäßen Ansatzes;
3 illustriert Beispiele für eine kritische (3(a)) bzw. für eine unkritische (3(b)) Situation;
4 zeigt ein Beispiel für den Einsatz des erfindungsgemäßen Ansatzes in einer ersten Verkehrssituation;
5 zeigt ein Beispiel für den Einsatz des erfindungsgemäßen Ansatzes in einer zweiten Verkehrssituation;
6 zeigt ein Beispiel für den Einsatz des erfindungsgemäßen Ansatzes in einer dritten Verkehrssituation; und
7 zeigt ein schematisches Blockdiagramm eines Ausführungsbeispiels der erfindungsgemäßen Vorrichtung zur Erzeugung von Steuersignalen zum Ansteuern von Aktoren eines Fahrzeugs zum Steuern des Fahrzeugs
8 zeigt eine schematische Darstellung eines Fahrzeugs, welches die erfindungsgemäße Vorrichtung aus 2 umfasst;
9 zeigt ein Beispiel eines Computersystems, um die in den verschiedenen Ausführungsbeispielen beschriebenen Einheiten oder Module zu implementieren und um die durch diese Einheiten/Module durchgeführten Verfahrensschritte auszuführen.

In der nachfolgenden Beschreibung der bevorzugten Ausführungsbeispiele der vorliegenden Erfindung werden gleiche oder gleichwirkende Elemente mit den gleichen Bezugszeichen versehen.
Die vorliegende Erfindung schafft gemäß Ausführungsbeispielen einen Ansatz zur Ermöglichung des manuellen Steuerns eines Fahrzeugs unter den Sicherheitsgarantien des vollautomatisierten Fahrens, wobei das Fahrzeug die Verantwortung für die Sicherheit übernehmen und eingreifen kann, sobald ein Risiko besteht, dass der menschliche Fahrer kritische Fehler begeht, oder in einem nächsten oder späteren Moment durch die eigenen Handlungsoptionen in eine kritische Situation geraten könnte. Erfindungsgemäß wird durch das vollautomatisierte Steuerungssystem des Fahrzeugs sichergestellt, dass mindestens ein Teil von Handlungen des menschlichen Fahrers verhindert wird, die das Fahrzeug in einen Zustand, z.B. einen unzulässigen oder unsicheren Zustand, im Folgenden auch als Fahrsituation bezeichnet, bringen oder überführen könnten. Die angesprochenen Handlungen umfassen insbesondere durchgeführte oder unterlassene Handlungen des menschlichen Fahrers, die dazu führen würden, dass das Fahrzeug z.B. innerhalb der Reaktionszeit des automatisierten Steuersystems bzw. Computersystems in einen Zustand oder eine Fahrsituation überführt würde, die durch das automatisierte System nicht mehr rechtzeitig dahingehend aufgelöst werden könnten, dass ein sicherer Zustand gewährleistet ist. Das System verhindert aber nicht nur unsichere Zustände sondern auch solche Zustände, in die ein Fahrzeug durch den Fahrer gebracht werden können und ausgehend von denen bei einem weiteren Eingriff durch den Fahrer unsichere Zustände erreichbar sind, die durch das automatisierte Steuersystem bzw. Computersystem nicht mehr aufgelöst werden können. Beispielsweise könnte es sein, dass das System den menschlichen Fahrer nur auf 50 cm an die Gegenspur fahren lassen würde, weil ansonsten, z.B. ab 49 cm, wenn der Fahrer versehentlich nach links lenkt, er in den Gegenverkehr fahren könnte bevor das System eingreifen kann. Der Abstand von 49 cm von der Gegenspur ist also nicht per se ein unsicherer/unzulässiger Zustand, aber ein Zustand ausgehend von dem ein weiterer Eingriff des Fahrers zu einem unsicheren Zustand führen könnte.
Ausführungsbeispiele der vorliegenden Erfindung gehen aus von einem Fahrzeug, einem menschlichen Fahrer, sowie einem automatisierten Steuerungs-System für das Fahrzeug. Bekannt ist ferner ein für die Fahraufgabe relevanter Zustand z des Fahrzeugs, möglicherweise einschließlich seiner Umwelt, der in einem Zustandsraum Z liegt; ein Modell M dessen, wie der menschliche Fahrer diesen Zustandsraum beeinflussen kann, z.B. in Form einer Wahrscheinlichkeitsverteilung über Steuerbefehle, die auch durch eine Umgebungswahrnehmung oder Innenraumbeobachtung des Fahrzeugs bedingt sein kann; sowie ein Modell A dessen, wie das automatisierte Steuerungs-System den Fahrzeugzustand beeinflussen kann. Schließlich ist ein Modell G gegeben, mithilfe dessen sich, ggf. basierend auf weiteren Merkmalen, wie etwa der Umgebungswahrnehmung, die Güte von Zuständen oder Zustandsräumen in Z bewerten lässt, beispielsweise in Form von Unfallrisiken. Während der Fahrt, möglicherweise aber nicht notwendigerweise mit dem menschlichen Fahrer in der Fahraufgabe, überwacht das erfindungsgemäße System stets den aktuellen Zustand z des Fahrzeugs, und nutzt das menschliche Verhaltensmodell M, um einen Folgezustand z' oder eine Menge an Folgezuständen Z' zu bestimmen, in die der menschliche Fahrer das Fahrzeug im nächsten Zeitschritt oder Takt oder den nächsten Zeitschritten oder Takten bringen kann. Nun betrachtet das erfindungsgemäße System den oder die Zustandsräume Z", die das automatisierte System gemäß Modell A von z' bzw. einem oder mehreren Zuständen in Z' erreichen könnte. Sollte gemäß des Güte-Modells G der Zustandsraum Z" keine hinreichende Güte aufweisen, z.B. weil eine sichere Auflösung der Situation unwahrscheinlich ist, beurteilt das erfindungsgemäße System, dass die Kontrolle des Fahrzeugs von dem automatisierten Steuerungs-System übernommen werden sollte. In einer denkbaren Umsetzung wird daraufhin die Kontrolle des Fahrzeugs dem Fahrer technisch entzogen, und auf das automatisierte Steuerungs-System übertragen. Ebenfalls denkbar, aber weniger vorteilhaft, ist etwa ein Warnhinweis an den menschlichen Fahrer, die Kontrolle über das Fahrzeug freiwillig abzugeben.
Gemäß weiteren Ausführungsbeispielen ist der Einsatz des erfindungsgemäßen Systems auch möglich während das automatisierte System in der Fahraufgabe befindlich ist. Hier gilt, dass das erfindungsgemäße System dem menschlichen Fahrer die Möglichkeit zur Übernahme der Fahraufgabe gewährt, wenn die beschriebene Güteanforderung an Z" erfüllt ist. Mit anderen Worten verbleibt die Verantwortung, gemäß Ausführungsbeispielen der Erfindung, beim Fahrzeug, obwohl der Mensch steuert - also das Fahrzeug die Verantwortung übernimmt, den Menschen notfalls zu überstimmen.
Gemäß Ausführungsbeispielen der vorliegenden Erfindung überprüft das automatisierte System zu festgelegten Zeitpunkten eine aktuelle Situation. Das System kann mit einem festgelegten Takt arbeiten, und getaktet, z.B. bei oder nach einem oder mehreren Takten oder Taktzyklen, die Situation überprüfen. Falls die Prüfung ergibt, dass eine manuelle Steuerung nicht möglich ist, wird die automatisierte Steuerung beibehalten und etwaige Handlungen durch den menschlichen Fahrer werden übersteuert. Sofern das Fahrzeug im Zeitpunkt der Prüfung manuell gesteuert wird, so wird die manuelle Steuerung beendet und das automatisierte System übernimmt die Kontrolle des das Fahrzeugs und übersteuert den menschlichen Fahrer. Der menschliche Fahrer kann beispielsweise durch längeres Handeln oder Nicht-Handeln einen sicheren Zustandsraum, also einen Zustandsraum, der sichere Fahrsituationen umfasst, verlassen. In diesem Fall übernimmt das Fahrzeug die Steuerung. Anders als bei bekannten Ansätzen wird entsprechend den Lehren der vorliegenden Anmeldung somit zusätzlich zu den von dem Fahrzeug erfassten Parametern auch das Verhalten des Fahrers berücksichtigt, welcher das Fahrzeug manuell führen könnte, und basierend auf Handlungen oder Nicht-Handlungen des Fahrers wird abgeschätzt, ob eine kritische Fahrsituation erreicht wird, d. h. ob ein sicherer Zustandsraum verlassen wird, der ein Eingreifen des Systems erfordert. Das erfindungsgemäße System kann also auch eingesetzt werden um, während das Fahrzeug automatisiert fährt, den Fahrer zu informieren, dass er zurzeit selbst fahren dürfte.
Gemäß Ausführungsbeispielen der vorliegenden Erfindung ist vorgesehen, dass in Situationen, in denen sich die aktuell sichere Fahrsituation bzw. der aktuell sichere Zustand unvermittelt ändert, das vollautomatisierte System unmittelbar bzw. sofort die Steuerung übernimmt, beispielsweise in Situationen, in denen unvermittelt Hindernisse vor dem Fahrzeug auftreten, beispielsweise in Form von auf die Fahrbahn tretenden Personen oder dergleichen.
1 ist ein Flussdiagramm, welches ein erstes Ausführungsbeispiel des erfindungsgemäßen Verfahrens darstellt. Das Verfahren dient zur Bewertung der Kritikalität einer menschlichen Steuerungsmöglichkeit eines Fahrzeugs, das über ein automatisiertes Steuerungssystem verfügt, also die Bewertung des menschlichen Steuerungsvermögens des Fahrzeugs dahin gehend, inwieweit eine menschliche Steuerung des Fahrzeugs eine existenzielle Gefährdung des menschlichen Fahrers, ggf. weiteren Personen in dem Fahrzeug, des Fahrzeugs oder von Objekten/Personen in der Umgebung des Fahrzeugs darstellen würde. Das Verfahren geht von einer Situation 100 aus, in der sich das Fahrzeug, welches das autonomische Steuerungssystem aufweist, in einem aktuellen Zustand z befindet. Die Situation 100 wird auch als aktueller Zeitpunkt T0 bezeichnet, in dem sich das Fahrzeug in den aktuellen Zustand z befindet.
Gemäß Ausführungsbeispielen wird das Fahrzeug im Zeitpunkt T0 durch das automatisierte Steuerungssystem gesteuert, wobei zum Zeitpunkt T0 und im Zustand z ein Eingriff des menschlichen Fahrers zur manuellen Steuerung des Fahrzeugs zugelassen bzw. ermöglicht wird. Falls der menschliche Fahrer von dieser Möglichkeit Gebrauch macht, werden ansprechend auf das Erfassen eines Eingriffs des menschlichen Fahrers die nachfolgend beschriebenen Schritte des Verfahrens durchgeführt. Bei den gerade genannten Eingriffen des Fahrers, die erfasst werden, um die nachfolgend beschriebenen Schritte anzustoßen, kann es sich um einen oder mehrere Eingriffe handeln, die Teil einer Mehrzahl von möglichen Eingriffen sind, die einem Fahrer zur Verfügung stehen, um in die Steuerung einzugreifen. Gemäß Ausführungsbeispielen kann vorgesehen sein, dass aus der Gesamtzahl von Eingriffen, die dem Fahrer grundsätzlich zur Verfügung stünden, um in die Steuerung des Fahrzeugs einzugreifen, nur ein Teilsatz in die Liste der möglichen Eingriffe aufgenommen wird, so dass ansprechend auf die Erfassung eines Eingriffs, der Teil dieser Liste ist, das erfindungsgemäße Verfahren durchgeführt wird.
Gemäß anderen Ausführungsbeispielen wird das Fahrzeug im aktuellen Zeitpunkt T0 durch den menschlichen Fahrer gesteuert und durch die nachfolgend näher erläuterten Schritte wird festgestellt, ob ein Steuern des Fahrzeugs durch den menschlichen Fahrer weiterhin zugelassen wird oder unterbunden werden soll.
Im aktuellen Zeitpunkt T0 wird im Block 102 in 1 ein Zustandsraum Z' (erster Zustandsraum) bestimmt, der einen oder mehrere Zustände z' (erster Zustand) aufweisen kann. Die Zustände z' im ersten Zustandsraum Z' sind diejenigen Zustände, die das Fahrzeug durch eine menschliche Steuerung ausgehend von dem aktuellen Zustand z während eines Zeitintervalls T1, das dem aktuellen Zeitpunkt T0 folgt, erreichen kann. Ferner wird, wie im Block 104 dargestellt ist, ein Zustandsraum Z" (zweiter Zustandsraum) bestimmt, der einen oder mehrere Zustände z" (zweiter Zustand) aufweisen kann. Die zweiten Zustände z" sind diejenigen Zustände, die das Fahrzeug ausgehend von einem Zustand z', also ausgehend von einem ersten Zustand, während eines Zeitintervalls T2, das dem Zeitintervall T1 folgt, erreichen kann, wenn das Fahrzeug durch eine automatisierte Steuerung gesteuert wird. Im Block 106 wird bestimmt, basierend auf dem zweiten Zustandsraum Z" und/oder dem ersten Zustandsraum Z', ob zumindest ein Kriterium K erfüllt ist. Ist das Kriterium K erfüllt, so wird die menschliche Steuerung des Fahrzeugs zumindest für das erste Zeitintervall T1 nicht verboten, wie es bei 108 gezeigt ist. Falls das Kriterium K nicht erfüllt ist, wird, wie im Block 110 dargestellt ist, die menschliche Steuerung des Fahrzeugs mindestens für das Zeitintervall T1 verboten.
Gemäß Ausführungsbeispielen der vorliegenden Erfindung wird zur Bestimmung des ersten Zustandsraums Z' ein erstes Modell M verwendet, welches die Möglichkeiten angibt, die ein menschlicher Fahrer hat, um den Fahrzeugzustand ausgehend von dem aktuellen Zustand z zu beeinflussen. Im Block 104 wird ein Modell A verwendet, um den zweiten Zustandsraum Z" zu bestimmen, wobei das zweite Modell die Möglichkeiten angibt, die das automatisierte Steuerungssystem hat, um den Fahrzeugzustand ausgehend von den ersten Zuständen z' zu beeinflussen. Mit anderen Worten beschreiben die oben genannten Modelle die Möglichkeiten des menschlichen Fahrers bzw. des automatisierten Steuerungssystems, um auf das Fahrzeug zur Steuerung desselben einzuwirken, beispielsweise um ein Lenken des Fahrzeugs in eine erste Richtung oder eine zweite Richtung zu ermöglichen.
Gemäß Ausführungsbeispielen kann das im Block 106 erwähnte vorbestimmte Kriterium K ein Kriterium oder mehrere Kriterien umfassen, und das eine Kriterium bzw. die mehreren Kriterien können aus einer Gruppe ausgewählt sein, die Folgendes umfasst:

(a) Die Güte und/oder die Wahrscheinlichkeit eines oder mehrerer der Zustände des ersten und zweiten Zustandsraums, wobei die Zustände im zweiten Zustandsraum beispielsweise im Hinblick auf Sicherheit, z. B. Kollisionsfreiheit, Verkehrsregelkonformität und Ähnlichem bewertet werden können. Die Wahrscheinlichkeit der Zustände basiert darauf, mit welcher Wahrscheinlichkeit eine Situation herbeigeführt wird. Bei der herbeigeführten Situationen handelt es sich z.B. um eine unerwünschte oder kritische Situation oder um eine. erwünschte oder unkritische Situation. Betrachtet man beispielsweise eine Situation, in der ein Fahrer mit einer Grundwahrscheinlichkeit x nach rechts lenkt, und ausgehend von dort das Fahrzeug mit einer Wahrscheinlichkeit von 80% unaufhaltsam in einen Graben fährt, so ergäbe sich für den zweiten Zustand eine Wahrscheinlichkeit von nur 20%., dass das automatisierte Steuerungssystem die Situation erfolgreich auflösen kann, also die Fahrt in den Graben verhindert. In diesem Fall besteht zwar grundsätzlich die Möglichkeit, die Situation durch das automatisierte System aufzulösen, nämlich die Fahrt in den Graben zu verhindern, wofür eine hohe Güte gegeben ist, allerdings nur mit einer relativ geringen Wahrscheinlichkeit von 20%. Mit überwiegender Wahrscheinlichkeit wird auch das automatisierte System, aufgrund der anfänglichen Steuerung durch den Fahrer, nicht verhindern können, dass das Fahrzeug in den Graben fährt. Die Gesamtwahrscheinlichkeit für einen entsprechenden Unfall ergibt sich aus x multipliziert mit 80%.
(b) Die Verkehrskonformität der Zustände gibt an, ob aktuell geltende Verkehrsregeln im Umfeld, in dem sich das Fahrzeug bewegt, eingehalten werden oder nicht. Wird ein Fahrzeug beispielsweise bereits am Tempolimit bewegt und beträgt die Wahrscheinlichkeit, dass der Fahrzeugführer das Fahrzeug weiter beschleunigt z.B. 5%, so hat bereits der erste Zustand z' eine geringe Güte, da die Verkehrsregel verletzt wird, obwohl das automatisierte Steuersystem in der Lage ist, das Fahrzeug wieder abzubremsen. Aufgrund der bereits im ersten Zustand festgestellten Regelverletzung wird das erfindungsgemäße Verfahren die Steuerung dem manuellen Fahrer entziehen, um die Beschleunigung über das Tempolimit hinaus zu unterbinden. Bei anderen Ausführungsbeispielen kann aber auch vorgesehen sein, eine kurze Tempoüberschreitung zu tolerieren.
(c) Die Sicherheit der Zustände der ersten und zweiten Zustandsräume bedeutet, dass von dem Fahrzeug in diesen Zuständen keine Gefährdung ausgeht, so dass beispielsweise eine Unversehrtheit von Personen, Tieren und Objekten in der Umgebung des Fahrzeugs sichergestellt ist.
(d) Die Vorhersagbarkeit der Güte der Zustände beschreibt die Erkennbarkeit bestimmter Situationen. Betrachtet man nochmals das oben erwähnte Beispiel betreffend die Fahrt in Richtung des Grabens, und nimmt an, dass der Straßenrand nicht klar erkennbar ist, so ist schwer vorhersagbar, wie ungünstig der Zustand z' nach dem anfänglichen Rechts-Lenken des Fahrers ist. Auch das automatisierte Steuersystem kann nicht erkennen, ob der bei einer weiteren Lenkung nach rechts erreichbare Zustand z" ein ungünstiger Zustand oder ein günstiger Zustand ist, der Straßenrand nicht klar erkennbar ist.
(e) Die minimale Güte der Zustände der Zustandsräume ist die kleinste Güte aller Zustände in dem jeweiligen Zustandsraum. Beispielsweise wird die manuelle Steuerung oder Kontrolle unterbunden, sobald ein möglicher erster Zustand z' anzeigt, dass eine Person angefahren wird, was auch dann gilt, wenn andere mögliche Zustände im ersten Zustandsraum existieren, in denen niemand zu Schaden kommt. Mit anderen Worten wird gemäß Ausführungsbeispielen der Fahrereingriff nur dann erlaubt, wenn unter allen möglichen Eingriffsfolgen, also unter allen möglichen Zuständen im ersten oder zweiten Zustandsraum, auch der schlimmste Zustand hinreichend unkritisch ist, wobei Zustände mit den schlimmsten Folgen eine minimale Güte aufweisen.
(f) Die Eignung oder Unterschiedlichkeit der ersten Zustände hinsichtlich ihrer Behandlung aus Ausgangspunkt für die automatisierte Steuerung. Die Eignung oder Unterschiedlichkeit der Zustände bedeutet, dass unterschiedliche Zustände im ersten Zustandsraum unterschiedlich gut für die Planung der weiteren Schritte geeignet sein können. Falls bestimmte Zustände ungeeignet sind, wird eine Planung ab bzw. ausgehend von diesem Zustand gar nicht erst versucht. Beispielsweise eignet sich im Fall des oben dargelegten Graben-Beispiels der Straßenrand, der nicht klar erkennbar ist, nicht gut für die nachfolgende Planung, aber ein anderer Parameter, der besser erkennbar ist, ist gut geeignet. Ferner können unterschiedliche aber ähnliche Zustände z' zu unterschiedlichen Reaktionen führen. Beispielsweise kann vor einer gelben Ampel ein Bremsen oder ein Beschleunigen bewirkt werden. Wenn das Fahrzeug erkennt, dass je nach menschlichem Verhalten zwei Zustände möglich sind, die völlig anders aufgelöst werden müssten, und die Unterscheidung zwischen den zwei Zuständen kompliziert ist, kann das Fahrzeug rechtzeitig, zum Beispiel bei Ampel-Gelb, die Steuerung übernehmen und bremsen, um zu vermeiden, sich mit der Differenzierung der Zustände beschäftigen zu müssen.

Gemäß Ausführungsbeispielen kann zur Bestimmung der Güte, wie sie oben erläutert wurde, ein Gütemodell herangezogen werden, und abhängig von der durch das Gütemodell erhaltenen Güte wird bestimmt, ob die menschliche Steuerung zugelassen wird oder verboten wird.
Gemäß Ausführungsbeispielen wird der zweite Zustandsraum als hinreichend sicher angesehen, falls das Kriterium erfüllt ist, und als kritisch, falls das Kriterium nicht erfüllt ist. Im Fall einer kritischen Situation kann im Block 108 vorgesehen sein, die menschliche Steuerung des Fahrzeugs über ein Zeitintervall zu verbieten, welches über das erste Zeitintervall hinausgeht, und zwar so lange, bis die kritische Fahrsituation durch das automatisierte Steuerungssystem aufgelöst ist. Gemäß Ausführungsbeispielen bedeutet dies, dass die kritische Fahrsituation durch das automatisierte Steuerungssystem endgültig oder abschließend aufgelöst ist. Das System gibt die Steuerung z.B. erst dann an den Fahrer zurück, wenn sich die Fahrsituation normalisiert hat. Beispielsweise sei eine Situation angenommen, in der das erfindungsgemäße System einen Auffahrunfall vermeidet, indem es auf die Gegenspur ausweicht. In diesem Fall ist der unmittelbare Anlass, die Kollision mit dem Vorderfahrzeug, aufgelöst, aber jetzt befindet sich das Fahrzeug auf der Gegenspur, so dass der menschliche Fahrer gegebenenfalls verwirrt und daher umso anfälliger für Fehlentscheidungen ist, und daher verbleibt das System so lange in der Kontrolle, bis zu es zur Einschätzung gelangt, dass jetzt wieder eine normale Fahrsituation vorliegt, beispielsweise wenn das Fahrzeug angehalten wurde oder eine andere definierte Fahrsituation eingenommen hat.
Gemäß anderen Ausführungsbeispielen kann vorgesehen sein, die automatisierte Steuerung grundsätzlich für einen über den ersten Zeitraum T1 hinausgehenden Zeitraum beizubehalten, und erst nach Ablauf einer verlängerten Zeitdauer die menschliche Steuerung wieder zuzulassen, um z.B. kurzfristige, theoretisch mögliche Steuerungseinwirkungen durch den Fahrer zu vermeiden, so dass über definierte Zeiträume entweder die manuelle Steuerung oder die automatisierte Steuerung zugelassen ist.
Anhand der 1 wurde in Bezug auf den Block 106 beschrieben, dass die Bestimmung, ob das Kriterium erfüllt ist, auf dem zweiten Zustandsraum und/oder dem ersten Zustandsraum basiert. Mit anderen Worten bedeutet dies, dass gemäß ersten Ausführungsbeispielen der Erfindung im Block 106 nur basierend auf dem ersten Zustandsraum bestimmt wird, ob das zumindest eine Kriterium erfüllt ist oder nicht, gemäß zweiten Ausführungsbeispielen erfolgt die Bestimmung, ob das Kriterium erfüllt ist oder nicht, ausschließlich aufgrund des zweiten Zustandsraums, und gemäß dritten Ausführungsbeispielen erfolgt die Bestimmung, ob das Kriterium erfüllt ist oder nicht, auf dem ersten Zustandsraum und auf dem zweiten Zustandsraum. Die gerade erwähnten Ausführungsbeispiele werden nachfolgend anhand von Beispielen näher erläutert.
Beurteilung nur basierend auf dem ersten Zustandsraum
Gemäß den ersten Ausführungsbeispielen erfolgt die Beurteilung, ob das Kriterium erfüllt ist oder nicht, ausschließlich in Abhängigkeit von dem ersten Zustandsraum Z'. Dies kann z.B. dann erfolgen, wenn der Schaden bereits unmittelbar durch die Handlung des menschlichen Fahrers im Zeitpunkt T0 entstehen kann, selbst wenn dieser Schaden durch das automatisierte Steuerungssystem anschließend auflösbar wäre.
Betrachtet man als ein Szenario eine Folgefahrt, gemäß der ein weiteres Fahrzeug F dem erfindungsgemäßen Fahrzeug E dicht folgt, so ist im Zustandsraum Z' die Möglichkeit enthalten, dass ein menschlicher Fahrer bremst. Aufgrund des Abstands des folgenden Fahrzeugs F kann der Eingriff verboten werden, weil der Fahrer des folgenden Fahrzeugs F erschrecken und deshalb verunfallen könnte. Obwohl kein reales Risiko für einen Auffahrunfall bestand, weil das automatisierte Steuerungssystem auch im Fall des Bremsens schnell genug reagieren und das Fahrzeug E wieder beschleunigen könnte, ist schon die Möglichkeit, dass der Fahrer im nachfolgenden Fahrzeug F erschreckt und verunfallt, ausreichend, um ein Bremsen als inakzeptabel zu klassifizieren, unabhängig davon, wie die Auflösungsmöglichkeiten des automatisierten Steuerungssystems sind.
Ein weiteres Szenario ist eine Geschwindigkeitsbegrenzung und es sei angenommen, dass das erfindungsgemäße Fahrzeug E am aktuellen Tempolimit von 50 km/h fährt. Besteht die Möglichkeit, dass der menschliche Fahrer auf 55 km/h beschleunigen kann, wenn z. B. kein eine Beschleunigung verhindernder Mechanismus (Limit-Schalter) aktiviert ist, existiert im ersten Zustandsraum Z' ein Zustand z', der eine Tempolimit-Überschreitung darstellt. Auch in einem solchen Szenario kann dem Fahrer die Kontrolle entzogen werden, unabhängig davon, ob das automatisierte Steuerungssystem in der Lage ist, bis zum nächsten Zeitpunkt bzw. im nächsten Takt wieder auf 50 km/h abzubremsen. Der Schaden besteht bereits in der ersten Verletzung des Tempolimits.
Ferner kann das Kriterium in solchen Situationen ausschließlich aufgrund der Zustände im ersten Zustandsraum beurteilt werden, in denen ein Schaden durch die Handlung trivial erkennbar unausweichlich ist, ohne dass es erforderlich ist, die Handlungsoptionen des automatisierten Steuerungssystems zu prüfen. In einem Szenario fährt das erfindungsgemäße Fahrzeug E z.B. dicht am rechten Fahrbahnrand. Direkt hinter dem Fahrbahnrand befindet sich ein Graben. Enthält der Zustandsraum Z' eine Zustand z', in dem das Fahrzeug ansprechend auch ein starkes Lenken durch den Fahrer nach rechts in Richtung in den Graben gesteuert wird, so führt dieser Umstand bereits dazu, dass weitere menschliche Eingriffe verboten werden. Aufgrund der Gegebenheiten, beispielsweise des Abstands zum Graben, ist ohne Weiteres klar ist, dass der dieser Eingriff, das mögliche starke Lenken nach rechts, fatal wäre, ohne dass es erforderlich ist, die Auflösungsmöglichkeiten des automatisierten Steuerungssystems durchzuspielen und so beispielsweise festzustellen, dass keine Auflösungsmöglichkeit besteht.
Wiederum ein weiteres Szenario betrifft den Gegenverkehr, beispielsweise wenn das erfindungsgemäße Fahrzeug E nahe am dichten und schnellen Gegenverkehr entlangfährt. Wenn die Möglichkeit besteht, dass der Fahrer in den Gegenverkehr lenken kann, bevor das automatisierte Steuerungssystem eingreifen kann (z.B. wenn die Reaktionszeit des automatisierten Systems nicht ausreicht, die Situation zu verhindern oder aufzulösen weil der Abstand zum Gegenverkehr zu gering ist), wird der Lenkeingriff nach links verboten, da ein Unfall extrem wahrscheinlich ist und die Wahrscheinlichkeit, dass das automatisierte Steuerungssystem die Situation überhaupt auflösen könnte, extrem unwahrscheinlich wäre.
Beurteilung nur basierend auf dem zweiten Zustandsraum
Gemäß den zweiten Ausführungsbeispielen erfolgt die Beurteilung, ob das Kriterium K erfüllt ist, ausschließlich basierend auf den Zuständen im zweiten Zustandsraum Z".
Die Beurteilung kann ausschließlich abhängig von dem zweiten Zustandsraum durchgeführt werden, wenn eine Eingriffsmöglichkeit z.B. nicht ausreichend gut aufgelöst werden kann. Betrachtet man wiederum das Szenario einer Folgefahrt, bei der dem erfindungsgemäßen Fahrzeug E ein vollautomatisiertes Fahrzeug F mit geringem Abstand folgt, in dem beispielsweise kein menschlicher Fahrer sitzt, so enthält der erste Zustandsraum zwar die Möglichkeit, dass der Fahrer von E plötzlich bremst, allerdings errechnet das Fahrzeug in diesem Fall die erreichbaren Zustände im zweiten Zustandsraum, um zu bestimmen, ob es unter Berücksichtigung aller möglichen Bremsstärken und Bremszeitpunkte das Fahrzeug E noch rechtzeitig beschleunigen könnte, um einen Auffahrunfall zu vermeiden.
Diese Beurteilung kann ergeben, dass mindestens ein Zustand im zweiten Zustandsraum einen Auffahrunfall angibt, so dass die Situation also ggf. nicht aufgelöst werden kann. Daher wird der menschlicher Eingriff verboten. Mit anderen Worten wird erkannt, dass mindestens ein Zustand im zweiten Zustandsraum ein Worst-Case-Szenario (Auffahrunfall) bedeutet, so dass die menschliche Steuerung unterbunden wird. Gemäß anderen Ausführungsbeispielen kann der menschliche Eingriff verboten werden, wenn dem mindestens einen Zustand im zweiten Zustandsraum ein Risiko zugeordnet ist, dass einen vorbestimmten Grenzwert überschreitet. Das Risiko kann beispielsweise basierend auf dem Produkt aus Unfallkosten und Eintretenswahrscheinlichkeit bestimmt werden. Sofern keinerlei Anzeichen vorliegen, die für ein Abbremsen des Fahrzeugs sprechen, wird der mögliche Eingriff als extrem unwahrscheinlich eingestuft, und von einem Verbot wird abgesehen, obwohl die Möglichkeit erkannt wurde.
Ein weiteres Beispielsszenario, bei dem ausschließlich die Zustände im zweiten Zustandsraum betrachtet werden, betrifft das Verhalten an einer Stopp-Linie, auf die ein erfindungsgemäßes Fahrzeug E zufährt. Während das Fahrzeug auf die Stopp-Linie an einer Kreuzung zufährt, wird in jedem Zeitpunkt durch das System geprüft, ob unter Berücksichtigung aller möglichen Aktionen des menschlichen Fahrers auch weiterhin ein Stopp vor/auf der Stopp-Linie erreicht werden kann. Für das Worst-Case-Szenario gilt dann: Gibt es eine Handlung, die der menschliche Fahrer vornehmen könnte, z. B. ein erneutes Beschleunigen, die nicht zu einem Stopp vor/auf der Stopplinie aufgelöst werden kann, d.h. es existiert eine bestmögliche Auflösung in dem zweiten Zustandsraum, bei der das Fahrzeug E dennoch die Haltelinie überfahren hat, so wird der menschliche Eingriff verboten und das automatisierte Steuersystem übernimmt das Anhalten.
Beurteilung basierend auf dem ersten Zustandsraum und dem zweiten Zustandsraum
Gemäß den dritten Ausführungsbeispielen erfolgt die Beurteilung, ob das Kriterium erfüllt ist oder nicht abhängig von dem ersten Zustandsraum und von dem zweiten Zustandsraum.
Die Zustände in den zwei Zustandsräumen können beispielsweise, jeweils einzeln betrachtet, unproblematisch sein und erst in Kombination eine kritische Folge haben. Betrachtet man als Beispielsszenario wiederum eine Geschwindigkeitsbegrenzung und nimmt an, dass das erfindungsgemäße Fahrzeug E am aktuellen Tempolimit von beispielsweise 50 km/h fährt, so mag eine Überschreitung des Limits für ein Zeitintervall oder einen Takt akzeptabel sein, aber nicht für zwei Takte oder zwei Zeitintervalle hintereinander. Sollte sich im ersten Zustandsraum ein Zustand z' befinden, in dem der menschliche Fahrer auf 51 km/h beschleunigen kann, aber sich im zweiten Zustandsraum kein Zustand befindet, in dem das automatisierte Steuerungssystem das Fahrzeug wieder auf 50 km/h abbremsen kann, z. B. weil ein Gefälle herrscht, dann wird der Eingriff unterbunden, obwohl die jeweiligen Limit-Verletzungen in den zwei Zustandsräumen jeweils einzeln vertretbar wären.
Bei einem anderen Beispielsszenario sei wieder eine Folgefahrt, jetzt mit einem kritischem Reibwert zwischen Fahrzeug und Fahrbahn, z.B. aufgrund einer regennassen Fahrbahn. Erneut sei angenommen, dass dem erfindungsgemäßen Fahrzeug E ein Fahrzeug F dicht folgt, jetzt aber auf nasser Fahrbahn. Enthält der erste Zustandsraum Z' die Möglichkeit, dass der Fahrer von E plötzlich bremst, so muss das automatisierte Steuerungssystem im nächsten Zeitpunkt oder Takt die Steuerung übernehmen und schnell beschleunigen, um den Sicherheitsabstand wiederherzustellen. Der Zustand im ersten Zustandsraum Z' ist unkritisch, weil er keinen Unfall zur Folge hat, und im zweiten Zustandsraum Z" ist ein unkritischer Zustand erreichbar, in dem der Sicherheitsabstand wiederhergestellt ist, allerdings erhöht die Kombination aus plötzlicher Bremsung und Beschleunigung auf nasser Fahrbahn das Risiko, dass die Reifen den Grip auf der nassen Fahrbahn verlieren, so dass im Zustandsraum Z" die Beschleunigung kein Zustand mit ausreichendem Sicherheitsabstand erreicht werden kann, zumindest nicht innerhalb des erwünschten Takts bzw. Zeitintervalls.
Gemäß Ausführungsbeispielen kann der zweite Zustandsraum Z" auch Informationen über den Vorgänger-Zustand im ersten Zustandsraum Z' beinhalten, so dass beispielsweise im gerade erwähnten Beispiel betreffend die Folgefahrt mit kritischem Reibwert im zweiten Zustandsraum bereits vermerkt sein könnte, dass ein Haftungsverlust der Räder vorliegen kann.
Gemäß weiteren Ausführungsbeispielen kann die Kombination der zwei Zustandsräume herangezogen werden, wenn die Zustände in den einzelnen Zustandsräumen ggf. problematisch sind, aber jeweils noch unterhalb eines vorbestimmten Grenzwerts liegen, aber die Kombination zu eine Überschreitung des vorbestimmten Grenzwerts führt. Betrachtet man wiederum das oben erwähnte Beispiel der Folgefahrt mit kritischem Reibwert, so kann eine Modellierung über Schadens-Erwartungswerte verwendet werden. Ferner kann im zweiten Zustandsraum bereits die Möglichkeit des Haftungsverlusts der Räder beinhaltet sein. Im ersten Zustandsraum sei ein Zustand enthalten, in dem der Fahrer bremst und der menschliche Fahrer im Folgefahrzeug verunfallt, was beispielsweise einen Schaden am Folgefahrzeug von z.B. 20.000 Euro verursachen könnte, allerdings mit einer angenommenen bzw. modellierten Wahrscheinlichkeit von 1/40.000 (Schreck-Unfall). Die erwarteten Kosten sind somit 50 Cent. Ferner müsste, um den tatsächlichen Auffahrunfall zu vermeiden, das automatisierte Steuerungssystem wieder beschleunigen, wobei das Risiko eines Haftungsverlusts entsteht und wiederum das Risiko eines Unfalls. Der Schaden am erfindungsgemäßen Fahrzeug wäre z.B. 50.000 Euro, mit einer angenommenen bzw. modellierten Wahrscheinlichkeit aber 1/100.000 (Haftungsverlust-Unfall). Die erwarteten Kosten sind somit auch 50 Cent. Als Sicherheitskriterium sei vorgesehen, dass Risiken ab 1 Euro Schadenserwartungswert unterbunden werden müssen. Die Risiken des Schreck-Unfalls und des Haftungsverlust-Unfalls wären separat jeweils unter der 1-Euro-Schwelle, so dass der menschliche Eingriff zugelassen würde, wenn nur an einer von beiden Stellen ein Unfallrisiko entstünde. Dadurch, dass aber sowohl im ersten Schritt als auch im zweiten Schritt Unfallrisiken entstehen, die insgesamt die Grenze überschreiten (die erwarteten Kosten sind 1 Euro), wird das Manöver verboten.
Gemäß Ausführungsbeispielen ist vorgesehen, dass im Gegensatz zum bekannten, assistierten oder automatisierten Fahren, bei dem die Verantwortung zwischen Mensch und Assistenzsystem wechselt, die Verantwortung beim automatisierten System des Fahrzeugs liegt, der menschliche Fahrer also nicht mehr eine Fehlfunktion des Assistenzsystems abfangen muss. Erfindungsgemäß wird somit ermöglicht, dass der menschliche Fahrer unter den Sicherheitsgarantien des vollautomatisierten Fahrens das Fahrzeug steuern kann, und das System in der Lage ist, kurzfristig menschliche Fehler, aufgrund der durchgeführten Handlungen oder der nicht durchgeführten Handlungen abzufangen, wodurch ermöglicht wird, dass ein durchschnittlicher menschlicher Fahrer nahezu ohne Systemeingriffe fahren kann.
Gemäß Ausführungsbeispielen ist vorgesehen, die Eingriffe des automatisierten Steuersystems des Fahrzeugs zu protokollieren, so dass dem Fahrer, beispielsweise nach Abschluss der Fahrt, die Eingriffe direkt dargestellt werden können. Ferner kann die Protokollierung dazu dienen, einem Fahrer, abhängig von seiner aktuellen Fahrpraxis und abhängig von der Anzahl der Systemeingriffe einen Führerschein auszustellen, und diesen ggf. auf eine vorbestimmte Zeit zu befristen, beispielsweise auf eine kürzere Zeitdauer für Fahrer, die eine hohe Anzahl von Systemeingriffen bewirken, oder auf eine längere Zeit für Fahrer, die eine geringe Anzahl von Systemeingriffen bewirken. Somit wird erfindungsgemäß eine Möglichkeit geschaffen, dass der menschliche Fahrer auch beim vollautomatisierten Fahren Fahrpraxis sammeln kann.
Gemäß weiteren Ausführungsbeispielen ist vorgesehen, dass das vollautomatisierte System durch den menschlichen Fahrer nicht übersteuert werden kann.
2 veranschaulicht den erfindungsgemäßen Ansatz basierend auf einer abstrakten Darstellung eines Zustandsraums eines Fahrzeugs. Der gestreifte Bereich C ist der Bereich des Zustandsraums mit unzulässigen bzw. unsicheren Zuständen oder Fahrsituationen. Der Bereich D zeigt die möglichen Handlungen des menschlichen Fahrers an, bevor das Steuerungssystem des Fahrzeugs aufgrund dessen Reaktionszeit auf die Handlung ggf. reagieren und entsprechend eingreifen muss. Der weiße Bereich A zeigt den Bereich an, in dem der menschliche Fahrer das Fahrzeug noch frei steuern kann. Der schwarze Bereich B zeigt den Bereich an, bei dessen Betreten das vollautomatisierte System dem menschlichen Fahrer die Steuerung bzw. Kontrolle abnimmt.
In 2 sind zwei Beispielszustände D1, D2 des Fahrzeugs angegeben, wobei die Zustände D1, D2 durch entsprechende Kreise mit einem Mittelpunkt dargestellt sind. Befindet sich das Fahrzeug im Zentrum der Zustände D1, D2, so handelt es sich hierbei um eine Position innerhalb des Bereichs A, das Fahrzeug befindet sich also in einem aktuell sicheren Fahrzustand oder einer aktuell sicheren Fahrsituation und wird durch den Fahrer gesteuert. Durch den Radius des Kreises wird verdeutlicht, wie ein Verhalten des Fahrers, beispielsweise eine Reaktion des Fahrers in einer gegenwärtigen, sicheren Fahrsituation, den Zustand des Fahrzeugs verändern könnte. Betrachtet man den Zustand D1, so erkennt das System, dass das Verhalten des Fahrers, beispielsweise jede mögliche Reaktion, das Fahrzeug ausgehend von dem aktuellen, sicheren Fahrzustand in einen neuen Fahrzustand überführt, der im Bereich A liegt, also ebenfalls ein sicherer Fahrzustand ist, so dass im Falle des Zustands D1 unabhängig von einer Reaktion des Fahrers kein kritischer Zustand erreicht wird und damit kein Eingriff des automatisierten Systems erforderlich ist. Auf der anderen Seite zeigt der Zustand D2, dass eine oder mehrere der möglichen Reaktionen oder Handlungen bzw. Nicht-Handlungen des Fahrers das Fahrzeug in den Zustand B überführen kann, in dem ein Fehler des menschlichen Fahrers möglicherweise nicht mehr rechtzeitig abgefangen werden kann, so dass ein Eingriff des automatisierten Systems erforderlich ist.
Somit wird gemäß Ausführungsbeispielen der Erfindung bei Erkennen der Situation D1 eine Fortführung des manuellen Steuerns zugelassen, aber bei Erkennen der Situation D2 wird die manuelle Steuerung durch den menschlichen Fahrer beendet und das Fahrzeug übernimmt die Steuerung bzw. Kontrolle, genauer gesagt das automatisierte Steuersystem des Fahrzeugs übernimmt die Steuerung, so dass die neue Situation sicher im Bereich der Zustände A liegt, also in einem sicheren Zustand ist. Gemäß Ausführungsbeispielen kann vorgesehen sein, dass nach Beenden der manuellen Steuerung und nach Durchführen der automatisierten Steuerung bei Erreichen einer neuen, sicheren Position dem Fahrer ermöglicht wird, wieder manuell zu steuern.
Anhand der 3 werden nachfolgend Beispiele für eine kritische (siehe 3(a)) bzw. für eine unkritische (siehe 3(b)) Situation erläutert. 3 zeigt insgesamt den Bereich der möglichen Zustände an, wobei der dunkle Bereich einen unsicheren Bereich darstellt und der weiße Bereich einen sicheren Bereich. Ein aktueller Zustand zum Zeitpunkt T0 ist dargestellt sowie ein erster Zustandsraum Z' mit einer Mehrzahl von ersten Zuständen z', die durch eine menschliche Steuerung des Fahrzeugs vom aktuellen Zustand z erreichbar sind. In 3 sind beispielhaft die Zustände z₁ , z₂ und z₃ als erste Zustände z' dargestellt. Ferner sind beispielhaft von den ersten Zuständen z₁ , z₂ und z₃ erreichbare zweite Zustandsräume Z₁", Z₂" und Z₃" mit den jeweiligen zweiten Zuständen z" dargestellt.
In 3(a) ist eine kritische Situation dargestellt. Im aktuellen Zustand z befindet sich das Fahrzeug im sicheren Bereich und anhand des Modells M für die menschliche Steuerung werden die in dem ersten Zustandsraum Z' erreichbaren Zustände z₁ , z₂ und z₃ bestimmt. Ausgehend von den Zuständen z₁ , z₂ und z₃ werden unter Verwendung des Modells A für die automatisierte Steuerung die erreichbaren zweiten Zustandsräume Z₁", Z₂" und Z₃" bestimmt. Die in 3(a) dargestellte Situation ist kritisch, weil der menschliche Fahrer im aktuellen Zustand z einen Zustand z₁ im ersten Zustandsraum Z' ansteuern könnte, ausgehend von dem das automatisierte System nicht in der Lage ist, in jedem der zweiten Zustandsräume Z₁", Z₂" und Z₃" mindestens einen sicheren Zustand zu erreichen. Dies ist nur ausgehend von den Zuständen z₂' und z₃'möglich. Ausgehend von dem Zustand z₁ sind nur im unsicheren Bereich liegende Zustände des zweiten Zustandsraums Z₁" erreichbar. Folglich wird in einer Situation, wie sie in 3(a) dargestellt ist, dem menschlichen Fahrer die Kontrolle entzogen, und das automatisierte Steuerungssystem übernimmt im Zeitpunkt T0 ausgehend von dem Zustand z die Steuerung des Fahrzeugs bzw. die Übernahme der Kontrolle durch den menschlichen Fahrer wird verhindert. Wesentlich ist also, dass dem Menschen die Kontrolle im Zustand z abgenommen wird, obwohl zu diesem Zeitpunkt durchaus menschliche und automatische Möglichkeiten bestehen, das Fahrzeug im nächsten Zeitpunkt im sicheren Bereich zu halten.
3(b) zeigt eine unkritische Situation, da ausgehend von jedem Zustand im ersten Zustandsraum Z' mindestens ein Zustand a* in den zweiten Zustandsräumen Z₁" bis Z₃" erreichbar ist, der innerhalb des sicheren Bereichs liegt. Die Situation ist also unkritisch, da alle Zustände im ersten Zustandsraum Z' durch das automatisierte System sicher aufgelöst werden können. Dem menschlichen Fahrer kann daher in der in 3(b) dargestellten Situation die Kontrolle des Fahrzeugs überlassen werden bzw. die Übernahme der Kontrolle durch den menschlichen Fahrer kann zugelassen werden.
4 zeigt ein Beispiel für den Einsatz des erfindungsgemäßen Ansatzes in einer Situation, in der sich das mit dem erfindungsgemäßen System ausgestattete Fahrzeug 200, welches derzeit durch einen Fahrer manuell gesteuert wird, einem Stauende nähert, wobei in 4 schematisch das sich nähernde Fahrzeug 200 sowie die am Steuerende befindlichen Fahrzeuge 202 bis 206 dargestellt sind. 4 zeigt somit ein typisches Szenario, bei dem ein Auffahrunfall an einem Stauende droht. In 4 zeigt der weiße Bereich A denjenigen Bereich an, in dem der menschliche Fahrer typischerweise bremsen würde. Das Fahrzeug 200 erkennt mittels der Sensoren 200a bis 200d die Umgebung und das am Stauende befindliche Fahrzeug 202. Diese Parameter, zusammen mit den derzeitigen Fahrzeugparametern, werden der erfindungsgemäßen Vorrichtung 150 eingegeben, wie dies in 3 schematisch dargestellt ist. Bremst der manuell steuernde Fahrer das Fahrzeug 200 ab, so wird dies über die entsprechenden Fahrzeugparameter erkannt, und das erfindungsgemäße System kann bestimmen, ob die von dem Fahrer eingeleitete Bremsaktion dazu führt, dass sich das Fahrzeug aus der in 4 dargestellten Situation in eine neue, unkritische Fahrsituation innerhalb des Bereichs A bewegt bzw. in diese überführt wird, genauer gesagt dort zum Stehen kommt. Ist dies der Fall, so erlaubt das erfindungsgemäße System die Fortführung des manuellen Steuerns. Erkennt das System allerdings, dass der menschliche Fahrer nicht reagiert oder nicht ausreichend, beispielsweise aufgrund der Tatsache, dass keinerlei Parameter betreffend die Einleitung einer Bremsaktion erfasst werden, so dass das Fahrzeug in den schwarzen Bereich B eintreten würde, so übernimmt das Fahrzeug erfindungsgemäß die Steuerung, um das Fahrzeug rechtzeitig zum Stillstand zu bringen. Dieser Bereich stellt die späteste Gelegenheit dar, in der das vollautomatisierte Steuerungssystem das Fahrzeug rechtzeitig zum Stillstand bringen kann. Der erfindungsgemäße Ansatz stellt somit sicher, dass das Fahrzeug die Steuerung bzw. die Kontrolle übernimmt, bevor das Fahrzeug den gestreiften Bereich C erreicht, in dem das vollautomatisierte System nicht mehr in der Lage wäre, das Fahrzeug 200 rechtzeig zum Stillstand zu bringen. Mit anderen Worten ist relevant, ob das AST noch stoppen kann, selbst wenn der Mensch vielleicht in C noch stoppen könnte, das bestenfalls spekulativ wäre - das erfindungsgemäße System plant gemäß Ausführungsbeispielen stets so, dass es nur seine eigenen Auflösungsmöglichkeiten zugrunde legt, die möglicherweise sogar schlechter sein können als der beste denkbare menschliche Fahrer.
5 zeigt ein weiteres Beispiel für eine Situation, in der der erfindungsgemäße Ansatz die manuelle Steuerung des Fahrers beenden und übernehmen kann. In 5 ist eine Situation dargestellt, in der das Fahrzeug 200 mit einer bestimmten Geschwindigkeit entlang einer Straße 208 bewegt wird, die im Bereich 210 scharf abknickt, so dass eine Reduzierung der Geschwindigkeit des Fahrzeugs 200 erforderlich ist, um zu verhindern, dass das Fahrzeug aus der Kurve 210 hinausgetragen wird. Erfindungsgemäß wird durch das System die Umgebung des Fahrzeugs überwacht, z.B. der Straßenverlauf basierend auf Sensordaten, beispielsweise optisch erkannte Straßenschildern oder elektronisch ausgelesene Informationen von Einheiten am Straßenrand, oder basierend auf Karteninformationen. Ferner wird überwacht, ob der manuell steuernde Fahrer das Fahrzeug 200 ausreichend abbremst. Sofern bestimmt wird, dass das Abbremsen des Fahrzeugs 200 zu einer ausreichenden Geschwindigkeitsreduzierung führt, sich also im Zustand A befindet, wird die Fortführung des manuellen Steuerns zugelassen. Wird allerdings festgestellt, dass der Fahrer keine ausreichende oder gar keine Abbremsung einleitet, so dass also eine neue Situation im Bereich B läge, wird vor dem Erreichen des Zustands B die manuelle Steuerung beendet, und das Fahrzeug bzw. dessen vollautomatisiertes Steuersystem übernimmt die Steuerung und bremst das Fahrzeug vor dem Erreichen des Bereichs C ab und bewirkt ggf. eine entsprechende Lenkung, um so sicher die Kurve 210 zu durchfahren.
6 zeigt ein wiederum weiteres Beispiel für einen Einsatz des erfindungsgemäßen Ansatzes an einer Einmündung, der sich das Fahrzeug 200 beispielsweise mit einer bestimmten Geschwindigkeit nähert, wobei die in 6 dargestellte Situation als sichere Fahrsituation beurteilt wird. Die Einmündung 212 kann beispielsweise nicht beschildert sein, so dass rechts vor links gilt, also dass in 6 gezeigte Fahrzeug 202 Vorrang hat. Alternativ kann die Vorfahrtsregelung durch ein entsprechendes Verkehrszeichen 214, beispielsweise ein Stopp-Zeichen, oder eine Lichtzeichenanlage 216, eine Ampel, geregelt sein. Das Fahrzeug 200 erfasst im Falle einer Rechts-vor-Links-Regelung das Fahrzeug 202, welches sich auf der vorfahrtsberechtigten Straße in Richtung der Einmündung 212 bewegt, beispielsweise durch eine V2V-Kommunikation (Fahrzeug-zu-Fahrzeug-Kommunikation) mit dem Fahrzeug 202 oder durch entsprechende Sensorik. Ferner bestimmt das Fahrzeug 200, ob der Fahrer reagiert, so dass das Fahrzeug sich aufgrund der Reaktion noch im sicheren Bereich A befindet. Ist dies der Fall, beispielsweise wenn der Fahrer das Fahrzeug 200 ausreichend verlangsamt, so dass das Fahrzeug 202 die Einmündung 212 sicher passieren kann, so wird die manuelle Steuerung beibehalten. Wird allerdings erkannt, dass die Reaktion bzw. Nicht-Reaktion des Fahrers dazu führt, dass der Bereich B erreicht wird, in dem weder das menschliche Verhalten noch das automatisierte System das Erreichen des Bereichs C und damit einen Zusammenstoß mit dem Fahrzeug 202 verhindern können, wird die manuelle Steuerung beendet, und das Fahrzeug 202 wird mittels seiner automatisierten Steuerung bewegt, so dass die kritische Situation, also ein Zusammenprall mit dem Fahrzeug 202 vermieden wird. Ist die Einmündung 212 beschildert, kann zusätzlich oder alternativ zur Erfassung der Präsenz des Fahrzeugs 202 die Steuerung die erfassten Verkehrszeichen bei der Überprüfung einbeziehen, um beispielsweise im Falle eines Stopp-Zeichens 214 oder einer roten Ampel 216 sicherzustellen, dass das Fahrzeug 200 vor der Einmündung 212 angehalten wird, entweder durch die manuelle Steuerung des Fahrers, der entsprechend reagiert, oder durch Beenden der manuellen Steuerung und Anhalten des Fahrzeugs durch die autonome bzw. automatisierte Steuerung des Fahrzeugs.
Gemäß Ausführungsbeispielen der vorliegenden Erfindung kann das Verbieten der menschlichen Steuerung im Block 108 in 1 unterschiedlich ausgestaltet sein, abhängig davon, ob das Fahrzeug im aktuellen Zeitpunkt, also in der Situation 100, durch einen menschlichen Fahrer gesteuert wird oder durch das automatisierte Steuerungssystem. Wird das Fahrzeug im aktuellen Zeitpunkt 100 durch den menschlichen Fahrer gesteuert, so kann dem menschlichen Fahrer die Kontrolle des Fahrzeugs entzogen werden und mindestens für das erste Zeitintervall T1 oder länger an das automatisierte Steuerungssystem übertragen werden. Gemäß anderen Ausführungsbeispielen kann in einer solchen Situation zumindest für die erste Zeitdauer T1 oder darüber hinaus ein oder mehrere Steuerungsbefehle, die durch den menschlichen Fahrer angegeben wurden, nicht durchgeführt werden und die Steuerung wird an das automatisierte Steuerungssystem übertragen. Gemäß einem anderen Ausführungsbeispiel kann der menschliche Fahrer informiert werden, dass die Kontrolle über das Fahrzeug abzugeben ist, und die Steuerung wird nachfolgend zur Benachrichtigung mindestens für die Zeitdauer des ersten Zeitintervalls T1 oder länger an das automatisierte Steuerungssystem übergeben. Gemäß Ausführungsbeispielen kann die oben erwähnte Benachrichtigung des Fahrers die Ausgabe eines hörbaren, sichtbaren und/oder fühlbaren Warnhinweises an den menschlichen Fahrer umfassen, beispielsweise ein akustisches Signal, eine Anzeige im Display oder im Head-Up-Display oder ein Vibrieren des Lenkrads.
Falls das Fahrzeug sich im aktuellen Zeitpunkt bereits im automatisierten Modus befindet, also durch das automatisierte Steuerungssystem gesteuert wird, so wird im Block 108 diese automatisierte Steuerung beibehalten.
Gemäß weiteren Ausführungsbeispielen können im Block 102 ein oder mehrere Fahrzeugparameter und/oder der Fahrzeuginnenraum überwacht werden, um eine oder mehrere durchgeführte und/oder unterlassene Handlungen des menschlichen Fahrers festzustellen. Folgende Parameter können überwacht werden:

(a) Beschleunigung des Fahrzeugs, Abbremsung des Fahrzeugs, Lenkung des Fahrzeugs, Betätigung der Kupplung oder Gangwechsel, Aussendung von Signalen, beispielsweise Lichtsignalen, wie Blinker, Lichthupe, oder Funknachrichten, Geschwindigkeit des Fahrzeugs, Stellung des Lenkrads, Motoreinstellungen , Vorhersage der Position des Fahrzeugs in der Umgebung, Fahrstabilität des Fahrzeugs, Raddrehgeschwindigkeiten des Fahrzeugs, Beschleunigung des Fahrzeugs, Lenkraddrehgeschwindigkeit des Fahrzeugs, Gierrate des Fahrzeugs,
(b) Pose des Fahrers, Blickrichtung des Fahrers, Gesten oder Mimik des Fahrers, Verhalten oder Tätigkeiten des Fahrers, physiologische oder psychologische Daten des Fahrers (bspw. Konzentration, Müdigkeit, Nervosität basierend auf bspw. Elektrokardiogramm, Elektromyogramm und/oder Hautleitwert), Gesten und Mimik anderer Fahrzeuginsassen, Verhalten oder Tätigkeiten anderer Fahrzeuginsassen, Zustand der Innenraumelektronik des Fahrzeugs (bspw. Kommunikations- oder Unterhaltungselektron ik), Fahrzeuginnentemperatur,
(c) eine Abschätzung der Genauigkeit der genannten Parameter.

Bei weiteren Ausführungsbeispielen wird die Fahrzeugumgebung überwacht, und es können beispielsweise folgende Parameter erfasst werden:

(a) Position eines oder mehrerer stationärer oder sich bewegender Objekte in der Umgebung des Fahrzeugs, Geschwindigkeit und Bewegungsrichtung eines sich bewegenden Objekts in der Umgebung des Fahrzeugs, Vorhersage der Position des sich bewegenden Objekts in der Umgebung des Fahrzeugs, Vorhersage der Geschwindigkeit des sich bewegenden Objekts in der Umgebung des Fahrzeugs, Vorhersage der Orientierung des sich bewegenden Objekts in der Umgebung des Fahrzeugs, geltende Verkehrsregeln, Beschaffenheit der Straßenoberfläche, Sichtverhältnisse,
(b) eine Abschätzung der Genauigkeit der genannten Parameter.

7 zeigt ein schematisches Blockdiagramm eines Ausführungsbeispiels der erfindungsgemäßen Vorrichtung zur Bewertung der Kritikalität einer menschlichen Steuerungsmöglichkeit eines Fahrzeugs, das über ein automatisiertes Steuerungssystem verfügt, und die Steuersignale zum Ansteuern von Aktoren eines Fahrzeugs zum Steuern des Fahrzeugs erzeugen kann,. Die Vorrichtung 150 umfasst eine Signalverarbeitungseinrichtung 152, die ihrerseits eine Mehrzahl von Modulen umfasst. Ein erstes Modul 154 der Signalverarbeitungseinrichtung 152 bestimmt, ob ein oder mehrere Kriterien für eine manuellen Steuerung des Fahrzeugs durch den Fahrer erfüllt sind, basierend auf dem zweiten Zustandsraum (Z") und/oder dem ersten Zustandsraum (Z'), wie es ober anhand der 1 erläutert wurde. Wird festgestellt, dass ein manuelles Steuern möglich ist, so wird im Modul 156 das manuelle Steuern des Fahrzeugs durch den Fahrer zugelassen. Wird andererseits im Modul 154 festgestellt, dass das manuelle Steuern nicht möglich ist, so bewirkt das Modul 158 die Steuerung des Fahrzeugs durch die automatisierte Steuerung und entsprechende Steuersignale 160 zum automatisierten Steuern des Fahrzeugs werden erzeugt. Die Vorrichtung 150 gibt die Steuersignale 160 aus, beispielsweise an bestimmte Aktoren 162 des Fahrzeugs, um beispielsweise ein Beschleunigen oder Abbremsen oder Lenken des Fahrzeugs zu bewirken, beispielsweise um das Fahrzeug entlang einer bestimmten Trajektorie zu bewegen, die eine kritische Fahrsituation verhindert.
8 zeigt eine schematische Darstellung eines Fahrzeugs, beispielsweise eines Kraftfahrzeugs 200, welches die erfindungsgemäße Vorrichtung 150 umfasst, und welches entsprechend den erfindungsgemäßen Lehren eine manuelle Steuerung durch einen menschlichen Fahrer zulässt, die, falls eine kritische Fahrsituation eintritt, entsprechend den Lehren der vorliegenden Anmeldung beendet wird. Die weitere Steuerung erfolgt dann durch das automatisierte Steuersystem 201 des Kraftfahrzeugs 200. Das Kraftfahrzeug 200 umfasst eine Mehrzahl von Sensoren, von denen in 8 schematisch lediglich vier Sensoren 200a bis 200d gezeigt sind, die an unterschiedlichen Positionen des Fahrzeugs 200 angeordnet sind. Die Sensoren 200a-200d dienen z.B. dazu, das Fahrzeug und die Umgebung des Fahrzeugs 200 zu erfassen, beispielsweise Objekte in der Umgebung und deren Bewegung, Geschwindigkeit und Bewegungsrichtung. Die Steuerung 150 bestimmt basierend auf den Umgebungsbedingungen und den Fahrparametern des Fahrzeugs 200 ob ein bestimmtes Handeln/Nicht-Handeln des Fahrers, der das Fahrzeug gegenwärtig manuell führt, das Fahrzeug 200 ausgehend von einer aktuellen Situation in eine kritische Situation oder in eine unkritische Situation überführt.
Ein Fachmann wird basierend auf den obigen Beschreibungen der verschiedenen Situationen ohne Weiteres viele weitere mögliche Anwendungsfälle für den erfindungsgemäßen Ansatz erkennen, und die vorliegende Erfindung ist somit nicht auf die oben, im Detail beschriebenen Ausführungsbeispiele beschränkt.
Ausführungsbeispiele wurden oben anhand eines PKWs erläutert. Die vorliegende Erfindung ist allerdings nicht hierauf beschränkt, vielmehr kann der oben beschriebene erfindungsgemäße Ansatz gemäß weiteren Ausführungsbeispielen bei beliebigen anderen Landfahrzeugen eingesetzt werden. Weiterhin ist die vorliegende Erfindung auch nicht auf Landfahrzeuge beschränkt, sondern kann gemäß wiederum weiteren Ausführungsbeispielen auch bei Wasserfahrzeugen oder Luftfahrzeugen eingesetzt werden.
Obwohl manche Aspekte im Zusammenhang mit einer Vorrichtung beschrieben wurden, versteht es sich, dass diese Aspekte auch eine Beschreibung des entsprechenden Verfahrens darstellen, sodass ein Block oder ein Bauelement einer Vorrichtung auch als ein entsprechender Verfahrensschritt oder als ein Merkmal eines Verfahrensschrittes zu verstehen ist. Analog dazu stellen Aspekte, die im Zusammenhang mit einem oder als ein Verfahrensschritt beschrieben wurden, auch eine Beschreibung eines entsprechenden Blocks oder Details oder Merkmals einer entsprechenden Vorrichtung dar.
Die 9 zeigt ein Beispiel eines Computersystems 300, und die oben im Zusammenhang mit den verschiedenen Ausführungsbeispielen beschriebenen Einheiten oder Module sowie die durch diese Einheiten/Module durchgeführten Verfahrensschritte können unter Verwendung eines oder mehrerer solcher Computersysteme 300 ausgeführt werden. Das Computersystem 300 umfasst einen oder mehrere Prozessoren 302, beispielsweise einen speziellen oder allgemeinen digitalen Signalprozessor, DSP, der mit einer Kommunikationsinfrastruktur 304, beispielsweise einem Bus oder einem Netzwerk gekoppelt ist. Das Computersystem 300 umfasst einen Hauptspeicher 306, beispielsweise einen Speicher mit wahlfreiem Zugriff, Random Access Memory, RAM, und einen sekundären Speicher 308, beispielsweise ein Festplattenlaufwerk und/oder einen entfernbaren Speicher. Der sekundäre Speicher kann vorgesehen sein, um zu ermöglichen, Computerprogramme oder andere Befehle in das Computersystem zu laden. Das Computersystem 300 kann ferner eine Kommunikationsschnittstelle 310 aufweisen, um die Übertragung von Software und Daten zwischen dem Computersystem 300 und externen Geräten zu ermöglichen. Die Kommunikation kann in Form elektrischer, elektronischer, elektromagnetischer, optischer oder anderer Signale sein, die durch die Kommunikationsschnittstelle verarbeitet werden können. Die Kommunikation kann drahtgebunden oder drahtlos sein, z.B. über einen Draht, ein Kabel, eine Glasfaser oder eine Telefonleitung, oder drahtlos sein, z.B. über eine Funkverbindung, eine HF-Verbindung oder einen anderen Kommunikationskanal 312.
Die Begriffe „Computerprogrammmedium“ und „computerlesbares Medium“ werden verwendet, um ein Speichermedium, beispielsweise eine entfernbare Speichereinheit oder eine Festplatte, zu bezeichnen. Das Computerprogrammprodukt dient dazu, Software dem System 300 bereitzustellen. Das Computerprogramm, welches auch als Computerlogik bezeichnet wird, wird im Hauptspeicher 306 und/oder im sekundären Speicher 308 gespeichert. Das Computerprogramm kann auch über die Kommunikationsschnittstelle 310 empfangen werden. Das Computerprogramm bewirkt, wenn es ausgeführt wird, dass das Computersystem 300 die vorliegende Erfindung ausführt. Insbesondere ermöglicht das Computerprogramm bei dessen Ausführung, dass der Prozessor 302 die hierin beschriebenen Prozesse, wie beispielsweise die erfindungsgemäßen Verfahren implementiert. Folglich kann ein solches Computerprogramm als eine Steuerung des Computersystems 300 bezeichnet werden. Wird der erfindungsgemäße Ansatz in Form von Software implementiert, so kann diese Software in einem Computerprogrammprodukt gespeichert werden und in das Computersystem 300 geladen werden, beispielsweise unter Verwendung eines entfernbaren Speichermediums oder einer Schnittstelle, wie beispielsweise der Kommunikationsschnittstelle 310.
Je nach bestimmten Implementierungsanforderungen können Ausführungsbeispiele der Erfindung in Hardware oder in Software implementiert sein. Die Implementierung kann unter Verwendung eines digitalen Speichermediums, beispielsweise einer Floppy-Disk, einer DVD, einer Blu-ray Disc, einer CD, eines ROM, eines PROM, eines EPROM, eines EEPROM oder eines FLASH-Speichers, einer Festplatte oder eines anderen magnetischen oder optischen Speichers durchgeführt werden, auf dem elektronisch lesbare Steuersignale gespeichert sind, die mit einem programmierbaren Computersystem derart zusammenwirken können oder zusammenwirken, dass das jeweilige Verfahren durchgeführt wird. Deshalb kann das digitale Speichermedium computerlesbar sein. Manche Ausführungsbeispiele gemäß der Erfindung umfassen also einen Datenträger, der elektronisch lesbare Steuersignale aufweist, die in der Lage sind, mit einem programmierbaren Computersystem derart zusammenzuwirken, dass eines der hierin beschriebenen Verfahren durchgeführt wird.
Allgemein können Ausführungsbeispiele der vorliegenden Erfindung als Computerprogrammprodukt mit einem Programmcode implementiert sein, wobei der Programmcode dahingehend wirksam ist, eines der Verfahren durchzuführen, wenn das Computerprogrammprodukt auf einem Computer abläuft. Der Programmcode kann beispielsweise auch auf einem maschinenlesbaren Träger gespeichert sein.
Andere Ausführungsbeispiele umfassen das Computerprogramm zum Durchführen eines der hierin beschriebenen Verfahren, wobei das Computerprogramm auf einem maschinenlesbaren Träger gespeichert ist.
Mit anderen Worten ist ein Ausführungsbeispiel des erfindungsgemäßen Verfahrens somit ein Computerprogramm, das einen Programmcode zum Durchführen eines der hierin beschriebenen Verfahren aufweist, wenn das Computerprogramm auf einem Computer abläuft. Ein weiteres Ausführungsbeispiel der erfindungsgemäßen Verfahren ist somit ein Datenträger (oder ein digitales Speichermedium oder ein computerlesbares Medium), auf dem das Computerprogramm zum Durchführen eines der hierin beschriebenen Verfahren aufgezeichnet ist.
Ein weiteres Ausführungsbeispiel des erfindungsgemäßen Verfahrens ist somit ein Datenstrom oder eine Sequenz von Signalen, der bzw. die das Computerprogramm zum Durchführen eines der hierin beschriebenen Verfahren darstellt bzw. darstellen. Der Datenstrom oder die Sequenz von Signalen kann bzw. können beispielsweise dahin gehend konfiguriert sein, über eine Datenkommunikationsverbindung, beispielsweise über das Internet, transferiert zu werden.
Ein weiteres Ausführungsbeispiel umfasst eine Verarbeitungseinrichtung, beispielsweise einen Computer oder ein programmierbares Logikbauelement, die dahin gehend konfiguriert oder angepasst ist, eines der hierin beschriebenen Verfahren durchzuführen.
Ein weiteres Ausführungsbeispiel umfasst einen Computer, auf dem das Computerprogramm zum Durchführen eines der hierin beschriebenen Verfahren installiert ist.
Bei manchen Ausführungsbeispielen kann ein programmierbares Logikbauelement (beispielsweise ein feldprogrammierbares Gatterarray, ein FPGA) dazu verwendet werden, manche oder alle Funktionalitäten der hierin beschriebenen Verfahren durchzuführen. Bei manchen Ausführungsbeispielen kann ein feldprogrammierbares Gatterarray mit einem Mikroprozessor zusammenwirken, um eines der hierin beschriebenen Verfahren durchzuführen. Allgemein werden die Verfahren bei einigen Ausführungsbeispielen seitens einer beliebigen Hardwarevorrichtung durchgeführt. Diese kann eine universell einsetzbare Hardware wie ein Computerprozessor (CPU) sein oder für das Verfahren spezifische Hardware, wie beispielsweise ein ASIC.
Die oben beschriebenen Ausführungsbeispiele stellen lediglich eine Veranschaulichung der Prinzipien der vorliegenden Erfindung dar. Es versteht sich, dass Modifikationen und Variationen der hierin beschriebenen Anordnungen und Einzelheiten anderen Fachleuten einleuchten werden. Deshalb ist beabsichtigt, dass die Erfindung lediglich durch den Schutzumfang der nachstehenden Patentansprüche und nicht durch die spezifischen Einzelheiten, die anhand der Beschreibung und der Erläuterung der Ausführungsbeispiele hierin präsentiert wurden, beschränkt sei.

Claims

Verfahren zur Bewertung der Kritikalität einer menschlichen Steuerungsmöglichkeit eines Fahrzeugs (200), das über ein automatisiertes Steuerungssystem (201), AST, verfügt, und das sich zu einem aktuellen Zeitpunkt (T0) in einem aktuellen Zustand (z) befindet, wobei das Verfahren folgende Schritte aufweist: (a) Bestimmen (102) eines ersten Zustandsraums (Z') von einem oder mehreren ersten Zuständen, in die das Fahrzeug (200) während eines dem aktuellen Zeitpunkt (T0) folgenden ersten Zeitintervalls (T1) durch eine menschliche Steuerung ausgehend von dem aktuellen Zustand (z) überführbar ist, (b) Bestimmen (104) eines zweiten Zustandsraums (Z") von einem oder mehreren zweiten Zuständen, in die das Fahrzeug (200) während eines dem ersten Zeitintervall (T1) folgenden zweiten Zeitintervalls (T2) durch das automatisierte Steuerungssystem (201) ausgehend von den ersten Zuständen des ersten Zustandsraum (Z') überführbar ist, (c) Bestimmen (106), ob zumindest ein Kriterium (K) erfüllt ist, basierend auf dem zweiten Zustandsraum (Z") und/oder dem ersten Zustandsraum (Z'), (d) falls das Kriterium (K) erfüllt ist, Nicht-Verbieten (108) der menschlichen Steuerung des Fahrzeugs (200) zumindest für das erste Zeitintervall (T1), und (e) falls das Kriterium (K) nicht erfüllt ist, Verbieten (110) der menschlichen Steuerung des Fahrzeugs (200) zumindest für das erste Zeitintervall (T1).
Verfahren nach Anspruch 1, bei dem - der Schritt (a) das Bestimmen des ersten Zustandsraums (Z') unter Verwendung eines ersten Modells (M) umfasst, wobei das erste Modell (M) die Möglichkeiten angibt, die der menschliche Fahrer hat, um einen Fahrzeugzustand ausgehend von dem aktuellen Zustand (z) zu beeinflussen, und - der Schritt (b) das Bestimmen des zweiten Zustandsraums (Z") unter Verwendung eines zweiten Modells (A) umfasst, wobei das zweite Modell (A) die Möglichkeiten angibt, die das automatisierte Steuerungssystem (201) hat, um einen Fahrzeugzustand ausgehend von den ersten Zuständen (z') zu beeinflussen.
Verfahren nach einem der vorhergehenden Ansprüche, bei dem das Kriterium (K) ein oder mehrere Kriterien umfasst, die aus einer Gruppe ausgewählt sind, die folgendes umfasst: - eine Güte eines oder mehrerer der zweiten Zustände (z") des zweiten Zustandsraums (Z"); - eine Wahrscheinlichkeit eines oder mehrerer der zweiten Zustände (z") des zweiten Zustandsraums (Z"); - eine Güte eines oder mehrerer der Zustände (z') des ersten Zustandsraums (Z'); - eine Wahrscheinlichkeit eines oder mehrerer der Zustände (z') des ersten Zustandsraums (Z'); - eine Verkehrsregelkonformität eines oder mehrerer der Zustände (z', z") des ersten oder zweiten Zustandsraums (Z', Z"); - eine Sicherheit eines oder mehrerer der Zustände (z', z") des ersten oder zweiten Zustandsraums (Z', Z"); - eine Vorhersagbarkeit der Güte der Zustände (z', z") des ersten oder zweiten Zustandsraums (Z', Z"); - eine minimale Güte eines oder mehrerer der ersten Zustände (z') des ersten Zustandsraums (Z'); - eine minimale Güte eines oder mehrerer der zweiten Zustände (z") des zweiten Zustandsraums (Z"); - eine Eignung oder Unterschiedlichkeit eines oder mehrerer der ersten Zustände (z') des ersten Zustandsraums (Z') hinsichtlich ihrer Behandlung als Ausgangspunkt für die automatisierte Steuerung.
Verfahren nach einem der vorhergehenden Ansprüche, bei dem das Kriterium (K) eine Güte des Zustands (z") des zweiten Zustandsraums (Z") umfasst, wobei - der Schritt (c) ein Gütemodell (G) verwendet, um die Güte mindestens eines Zustands des ersten und/oder zweiten Zustandsraums (Z', Z") zu bestimmen, wobei - im Schritt (d) die menschliche Steuerung des Fahrzeugs (200) nicht verboten wird, falls diese Bewertung gemäß dem Gütemodell (G) eine ausreichende Güte aufweist, und - im Schritt (e) die menschliche Steuerung des Fahrzeugs (200) verboten wird, falls diese Bewertung gemäß dem Gütemodell (G) keine ausreichende Güte aufweist.
Verfahren nach einem der vorhergehenden Ansprüche, bei dem im Schritt (e) das Verbieten der menschlichen Steuerung des Fahrzeugs (200) folgendes umfasst: falls das Fahrzeug (200) im aktuellen Zeitpunkt (T0) durch einen menschlichen Fahrer gesteuert wird, - Entziehen der Kontrolle des Fahrzeugs (200) dem menschlichen Fahrer und Übertragen der Steuerung an das automatisierte Steuerungssystem (201) für das erste Zeitintervall (T1), oder - Nicht-Durchführen der durch den menschlichen Fahrer eingegebenen Steuerungsbefehle und Übertragen der Steuerung an das automatisierte Steuerungssystem (201) für das erste Zeitintervall (T1), oder - Benachrichtigen des menschlichen Fahrers, dass die Kontrolle über das Fahrzeug (200) abzugeben ist, und Übertragen der Steuerung an das automatisierte Steuerungssystem (201) für das erste Zeitintervall (T1), und falls das Fahrzeug (200) im aktuellen Zeitpunkt (T0) durch das automatisierte Steuerungssystem (201) gesteuert wird, Beibehalten der automatisierten Steuerung.
Verfahren nach Anspruch 5, bei dem das Benachrichtigen des Fahrers die Ausgabe eines hörbaren, sichtbaren und/oder fühlbaren Warnhinweises an den menschlichen Fahrer umfasst.
Verfahren nach einem der vorhergehenden Ansprüche, bei dem - falls das Kriterium (K) erfüllt ist, der zweite Zustandsraum (Z") hinreichend sichere Fahrsituationen darstellt, und - falls das Kriterium (K) nicht erfüllt ist, der zweite Zustandsraums (Z") zu kritische Fahrsituationen darstellt.
Verfahren nach Anspruch 7, bei dem im Schritt (e) die menschliche Steuerung des Fahrzeugs (200) für ein über das erste Zeitintervall (T1) hinausgehendes Zeitintervall verboten wird, bis die kritische Fahrsituation durch das automatisierte Steuerungssystem (201) aufgelöst ist.
Verfahren nach einem der vorhergehenden Ansprüche, bei dem der Schritt (a) das Überwachen eines oder mehrerer Fahrzeugparameter und/oder das Überwachen des Fahrzeuginnenraums umfasst, um eine oder mehrere durchgeführte und/oder unterlassene Handlungen des menschlichen Fahrers festzustellen.
Verfahren nach Anspruch 9, bei dem der Fahrzeugparameter und/oder der Parameter des Fahrzeuginnenraums einen oder mehrere der folgenden Parameter umfasst: - Beschleunigung des Fahrzeugs (200), Abbremsung des Fahrzeugs (200), Lenkung des Fahrzeugs (200), Betätigung der Kupplung oder Gangwechsel, Aussendung von Signalen, beispielsweise Lichtsignalen, wie Blinker, Lichthupe, oder Funknachrichten, Geschwindigkeit des Fahrzeugs (200), Stellung des Lenkrads, oder mehrere Motoreinstellungen, Vorhersage der Position des Fahrzeugs (200) in der Umgebung, Fahrstabilität des Fahrzeugs (200), Raddrehgeschwindigkeit des Fahrzeugs (200), Beschleunigung des Fahrzeugs (200), Lenkraddrehgeschwindigkeit des Fahrzeugs (200), Gierrate des Fahrzeugs (200), und/oder - Pose des Fahrers, Blickrichtung des Fahrers, Gesten oder Mimik des Fahrers, Verhalten oder Tätigkeiten des Fahrers, physiologische oder psychologische Daten des Fahrers (bspw. Konzentration, Müdigkeit, Nervosität basierend auf bspw. Elektrokardiogramm, Elektromyogramm und/oder Hautleitwert), Gesten und Mimik anderer Fahrzeuginsassen (200), Verhalten oder Tätigkeiten anderer Fahrzeuginsassen (200), Zustand der Innenraumelektronik des Fahrzeugs (200), z.B. Kommunikations- oder Unterhaltungselektronik, Fahrzeuginnentemperatur, und/oder - eine Abschätzung der Genauigkeit der genannten Parameter.
Verfahren nach einem der vorhergehenden Ansprüche, bei dem der Schritt (a) das Überwachen eines oder mehrerer Fahrzeugumgebungsparameter umfasst.
Verfahren nach Anspruch 11, bei dem der Fahrzeugumgebungsparameter einen oder mehrere der folgenden Parameter umfasst: - Position eines oder mehrerer stationärer oder sich bewegender Objekte in der Umgebung des Fahrzeugs (200), Geschwindigkeit und Bewegungsrichtung eines sich bewegenden Objekts in der Umgebung des Fahrzeugs (200), Vorhersage der Position des sich bewegenden Objekts in der Umgebung des Fahrzeugs (200), Vorhersage der Geschwindigkeit des sich bewegenden Objekts in der Umgebung des Fahrzeugs (200), Vorhersage der Orientierung des sich bewegenden Objekts in der Umgebung des Fahrzeugs (200), geltende Verkehrsregeln, Beschaffenheit der Straßenoberfläche, Sichtverhältnisse, und/oder - eine Abschätzung der Genauigkeit der genannten Parameter.
Verfahren nach einem der vorhergehenden Ansprüche, bei dem der erste Zustandsraum (Z') eine Mehrzahl von ersten Zuständen (z') umfasst, und/oder der zweite Zustandsraum (Z") eine Mehrzahl von zweiten Zuständen (z") umfasst.
Verfahren nach einem der vorhergehenden Ansprüche, bei dem das Fahrzeug (200) im aktuellen Zeitpunkt (T0) durch das automatisierte Steuerungssystem (201) gesteuert wird und ein Eingriff des menschlichen Fahrers zur manuellen Steuerung des Fahrzeugs (200) zugelassen ist, wobei ansprechend auf das Erfassen eines Eingriffs aus einer Mehrzahl von möglichen Eingriffen des menschlichen Fahrers die Schritte (a) bis (e) durchgeführt werden.
Verfahren nach einem der Ansprüche 1 bis 13, bei dem das Fahrzeug (200) im aktuellen Zeitpunkt (T0) durch den menschlichen Fahrer gesteuert wird.
Verfahren nach einem der vorhergehenden Ansprüche, mit folgendem Schritt: Protokollieren der Eingriffe des automatisierten Steuerungssystems (201) des Fahrzeugs (200).
Computerprogramm, umfassend Befehle, die bei der Ausführung des Programms durch einen Computer diesen veranlassen, das Verfahren nach einem der Ansprüche 1 bis 16 auszuführen.
Vorrichtung (150) zur Bewertung der Kritikalität einer menschlichen Steuerungsmöglichkeit eines Fahrzeugs (200), das über ein automatisiertes Steuerungssystem (201), AST, verfügt, und das sich zu einem aktuellen Zeitpunkt (T0) in einem Zustand (z) befindet, mit: einer Signalverarbeitungseinrichtung (152), die konfiguriert ist, um einen ersten Zustandsraum (Z') zu bestimmen (102), in den das Fahrzeug (200) während eines dem aktuellen Zeitpunkt (T0) folgenden ersten Zeitintervalls (T1) durch eine menschliche Steuerung ausgehend von dem Zustand (z) überführbar ist, einen zweiten Zustandsraum (Z") zu bestimmen (104), in den das Fahrzeug (200) während eines dem ersten Zeitintervall (T1) folgenden ersten Zeitintervalls (T2) durch das automatisierte Steuerungssystem (201) ausgehend von mindestens einem Zustand (z') des ersten Zustandsraum (Z') überführbar ist, zu bestimmen (106, 154), basierend auf dem zweiten Zustandsraum (Z") und/oder dem ersten Zustandsraum (Z'), ob zumindest ein Kriterium (K) erfüllt ist, falls das Kriterium (K) erfüllt ist, die menschlichen Steuerung des Fahrzeugs (200) zumindest für das erste Zeitintervall (T1) nicht zu verbieten (108, 156), und falls das Kriterium (K) nicht erfüllt ist, die menschlichen Steuerung des Fahrzeugs (200) zumindest für das erste Zeitintervall (T1) zu verbieten (110, 158).
Vorrichtung (150) nach Anspruch 18, bei der die Signalverarbeitungseinrichtung (152) konfiguriert ist, um Steuerungssignale (160) zum Ansteuern von Aktuatoren (162) des Fahrzeugs (200) zu erzeugen, zum Steuern des Fahrzeugs (200) durch das automatisierte Steuerungssystem (201).
Fahrzeug (200), mit einem automatisierten Steuerungssystem (201), AST; und einer Vorrichtung (150) gemäß Anspruch 18 oder 19.
Fahrzeug (200) nach Anspruch 20, bei dem das Fahrzeug ein Landfahrzeug, ein Wasserfahrzeug oder ein Luftfahrzeug umfasst.