DE102019201491A1

DE102019201491A1 - Messdatenauswertung für fahrdynamische Systeme mit Absicherung der beabsichtigten Funktion

Info

Publication number: DE102019201491A1
Application number: DE102019201491.7A
Authority: DE
Inventors: Michael Hering; Bernd Mueller; Ingmar Berger
Original assignee: Robert Bosch GmbH
Current assignee: Robert Bosch GmbH
Priority date: 2019-02-06
Filing date: 2019-02-06
Publication date: 2020-08-06
Also published as: US12017644B2; WO2020160901A1; US20220063601A1; CN113412455A

Abstract

Verfahren (100) zur Auswertung von Messdaten (3a-3f), die durch eine Mehrzahl von Sensoren (2a-2f) durch physikalische Beobachtung des Umfelds, und/oder eines oder mehrerer Betriebszustände, eines Fahrzeugs (50) gewonnen wurden, für die Zwecke eines fahrdynamischen Systems (51), welches dazu ausgebildet ist, mindestens eine vorgegebene Fahraufgabe durch Ansteuerung mindestens eines Aktors (52) des Fahrzeugs (50) zumindest teilweise automatisiert durchzuführen, mit den Schritten:• die von Sensoren (2a-2f) einer ersten Gruppe (4a) stammenden Messdaten (3a-3c) werden durch ein Funktions-Auswertungsmodul (5) zu einem Funktions-Signal (5a) verarbeitet (110), welches, wenn es dem fahrdynamischen System (51) zugeführt wird, das fahrdynamische System (51) zur Durchführung der Fahraufgabe veranlasst;• die von Sensoren (2a, 2c, 2e) einer zweiten Gruppe (4b) stammenden Messdaten (3a, 3c, 3e) werden mindestens durch ein erstes Sicherheits-Auswertungsmodul (61) zu einem ersten Sicherheits-Signal (61a) verarbeitet (120), welches, wenn es dem fahrdynamischen System (51) zugeführt wird, das fahrdynamische System (51) zur Abwendung eines vorgegebenen unerwünschten Ereignisses von dem Fahrzeug (50) veranlasst, wobei die zweite Gruppe (4b) eine echte Teilmenge der ersten Gruppe (4a) beinhaltet;• das Funktions-Signal (5a) wird mit dem oder den Sicherheits-Signalen (61a, 62a) zu einem an das fahrdynamische System (51) ausgebbaren Ansteuer-Signal (7) aggregiert (130).

Description

Die vorliegende Erfindung betrifft die Auswertung von Messdaten aus der physikalischen Beobachtung eines Fahrzeugumfelds zur Weiterverarbeitung bei der Kontrolle eines fahrdynamischen Systems eines Fahrzeugs.
Stand der Technik
Die Sicherheit von fahrdynamischen Systemen für Fahrzeuge, die vorgegebene Fahraufgaben ganz oder teilweise automatisiert durchführen, wird unter anderem in der Wahrscheinlichkeit für das Auftreten unerwünschter Ereignisse gemessen. Im Rahmen einer Kundenspezifikation oder einer behördlichen Zulassungsvorgabe kann beispielsweise ein Nachweis dafür gefordert sein, dass eine derartige Wahrscheinlichkeit unterhalb eines Zielwerts von beispielsweise 10^-7/h liegt. Mit steigender Komplexität des fahrdynamischen Systems wird es zunehmend aufwändiger, einen derartigen Nachweis zu führen.
Die DE 102 20 811 B4 offenbart, ein zu überwachendes sicherheitskritisches System in Abhängigkeit von der Komplexität der jeweils auszuführenden Funktion hierarchisch zu unterteilen. Auf diese Weise wird die Überwachung klarer und verständlicher.
Offenbarung der Erfindung
Im Rahmen der Erfindung wurde ein Verfahren zur Auswertung von Messdaten, die durch eine Mehrzahl von Sensoren durch physikalische Beobachtung des Umfelds, und/oder eines oder mehrerer Betriebszustände, eines Fahrzeugs gewonnen wurden, entwickelt. Diese Auswertung dient den Zwecken eines fahrdynamischen Systems, welches dazu ausgebildet ist, mindestens eine vorgegebene Fahraufgabe durch Ansteuerung mindestens eines Aktors des Fahrzeugs zumindest teilweise automatisiert durchzuführen.
Bei diesem Verfahren werden die von Sensoren einer ersten Gruppe stammenden Messdaten durch ein Funktions-Auswertungsmodul zu einem Funktions-Signal verarbeitet. Dieses Funktions-Signal ist so beschaffen, dass es, wenn es dem fahrdynamischen System zugeführt wird, das fahrdynamische System zur Durchführung der Fahraufgabe veranlasst.
Die erste Gruppe kann insbesondere beispielsweise alle am Fahrzeug vorhandenen Sensoren umfassen, deren Messdaten für die Durchführung der Fahraufgabe relevant sind. Die Fahraufgabe kann beispielsweise darin bestehen, das Fahrzeug in einem Stau automatisch zu bewegen, etwa im Rahmen eines Staupiloten, der der Stufe 3 der SAE-Norm J3016 entspricht.
Die von Sensoren einer zweiten Gruppe stammenden Messdaten werden mindestens durch ein erstes Sicherheits-Auswertungsmodul zu einem ersten Sicherheits-Signal verarbeitet. Dieses Sicherheits-Signal ist so beschaffen, dass es, wenn es dem fahrdynamischen System zugeführt wird, das fahrdynamische System zur Abwendung eines vorgegebenen unerwünschten Ereignisses von dem Fahrzeug veranlasst.
Dabei beinhaltet die zweite Gruppe von Sensoren eine echte Teilmenge der ersten Gruppe. Das bedeutet, dass es eine Schnittmenge von Sensoren gibt, die sowohl zur ersten Gruppe als auch zur zweiten Gruppe gehören, ohne dass jedoch die zweite Gruppe mit der ersten Gruppe deckungsgleich ist.
Das abzuwendende unerwünschte Ereignis kann vorteilhaft beispielsweise einen Frontalaufprall des Fahrzeugs, einen Heckaufprall auf das Fahrzeug, und/oder ein Abkommen des Fahrzeugs von seiner Fahrspur, und/oder einen Seitenaufprall, beinhalten. Diese Ereignisse sind Hauptursachen für Unfälle.
Mit Blick auf das konkret abzuwendende unerwünschte Ereignis kann die zweite Gruppe beispielsweise auch zusätzliche Sensoren beinhalten, die in der ersten Gruppe nicht enthalten sind. Diese Sensoren können beispielsweise der Zustandsüberwachung von Aktoren oder anderen Fahrzeugsystemen dienen, die bei konkreten fahrdynamischen Maßnahmen zur Abwendung des unerwünschten Ereignisses zum Einsatz kommen. So kann es beispielsweise zur Abwendung eines Frontalaufpralls erforderlich werden, das Fahrzeug abzubremsen. Das Sicherheits-Auswertungsmodul kann dann beispielsweise prüfen, ob die Bremsen voll funktionsfähig sind oder ob Anzeichen dafür vorliegen, dass die Bremswirkung beeinträchtigt ist. Solche Anzeichen können etwa ein niedriger Füllstand der Bremsflüssigkeit, ein niedriger Druck im Bremssystem, ein hoher Bremsbelagverschleiß, ein erhöhter Wassergehalt der Bremsflüssigkeit oder eine erhöhte Temperatur der Bremse sein. Liegen Anzeichen für eine mögliche Beeinträchtigung der Bremswirkung vor, so kann das Sicherheits-Auswertungsmodul beispielsweise eine Bremsung früher auslösen als das Funktions-Auswertungsmodul, das von einer Beobachtung der Verkehrssituation bei gleichzeitig voll funktionsfähigen Bremsen ausgeht.
Das Funktions-Signal wird mit dem oder den Sicherheits-Signalen zu einem an das fahrdynamische System ausgebbaren Ansteuer-Signal aggregiert. Dieses Aggregieren kann beispielsweise in beliebiger Weise so ausgestaltet sein, dass der Sicherheit im Zweifel Priorität eingeräumt wird.
Es wurde erkannt, dass durch die Aufgabenteilung zwischen dem Funktions-Auswertungsmodul und dem Sicherheits-Auswertungsmodul ein grundlegender Zielkonflikt zwischen einer möglichst guten Verfügbarkeit und Durchführung der Fahraufgabe einerseits und der Gewährleistung der Sicherheit andererseits gemildert wird.
Verbesserungen bei der Durchführung der primären Fahraufgabe Aufgabe gehen häufig mit einer höheren Komplexität der Auswertung von Messdaten einher, die für diese Fahraufgabe herangezogen werden. Insbesondere werden derartige Verbesserungen häufig dadurch erreicht, dass Messdaten von mehr Sensoren berücksichtigt werden, und/oder dass detailliertere Informationen aus den Messdaten abgeleitet werden.
In dem zuvor genannten Beispiel des Staupiloten ist es beispielsweise wünschenswert, dass die Fahrt im Interesse eines maximalen Fahrkomforts möglichst ruhig und gleichmäßig verläuft. Zugleich soll sich das Fahrzeug auch dahingehend gutartig verhalten, dass eine Kollision mit einem der vorausfahrenden Fahrzeuge vermieden wird sowie der nachfolgende Verkehr nicht mehr als nötig ins Stocken gebracht wird. Reagiert das Fahrzeug beispielsweise zu spät auf ein Abbremsen des vorausfahrenden Fahrzeugs und muss dementsprechend stark abbremsen, kann ein nachfolgendes Fahrzeug hierauf möglicherweise erst nach Ablauf der Reaktionszeit eines menschlichen Fahrers reagieren und muss noch stärker abbremsen. Dieser Effekt wird in verstärkter Form von Fahrzeug zu Fahrzeug durchgereicht, bis irgendwann alle nachfolgenden Fahrzeuge bis zum Stillstand abbremsen müssen. Damit kann nicht nur ein bestehender Stau verschlimmert werden. Der minimale Anlass in Form des verspäteten und dafür verstärkten Abbremsens kann sich sogar zu einem sogenannten „Stau aus dem Nichts“ aufschaukeln.
Um derartigen Effekten entgegenzuwirken, können beispielsweise zusätzliche Sensoren oder zusätzliche Auswertungsmethoden zum Einsatz kommen mit dem Ziel, eine Absicht des vorausfahrenden Fahrzeugs möglichst früh zu erkennen. Dadurch wird es allerdings zunehmend schwerer, die Wahrscheinlichkeit für eventuelle Fehlfunktionen zu überblicken. Fehlfunktionen des Gesamtsystems können nämlich nicht nur durch Fehlfunktionen der eingesetzten Sensoren oder Algorithmen im engeren Sinne entstehen, sondern auch schon durch das Auftreten unerwarteter Situationen, die bestimmungsgemäß funktionierende Sensoren dennoch überfordern. So werden beispielsweise die meisten Kameras übersteuert, wenn die tiefstehende Sonne direkt auf den Bildsensor einstrahlt. Auch wird beispielsweise ein Fußgänger, der in einem Pelzmantel zwischen den im Stau gebundenen Fahrzeugen die Fahrbahn überquert, von einem Ultraschallsensor nicht rechtzeitig erkannt werden, weil der Pelzmantel die Ultraschallwellen absorbiert. Die Wahrscheinlichkeit für solche unerwarteten Situationen steigt mit der Anzahl der Sensoren, deren Messdaten das Funktions-Auswertungsmodul heranzieht.
Das Sicherheits-Auswertungsmodul kann sich unabhängig von der Komplexität, die mit der vorgegebenen Fahraufgabe einhergeht, einzig und allein der Aufgabe widmen, ein vorgegebenes unerwünschtes Ereignis zu vermeiden. Hierfür genügen sehr häufig die Signale von deutlich weniger Sensoren, und die Auswertung kann dementsprechend auch einfacher gestaltet werden. Häufig ist auch ein reduzierter Beobachtungsbereich ausreichend. Das bedeutet, dass die Komplexität des Sicherheits-Auswertungsmoduls von der Komplexität der eigentlichen Fahraufgabe entkoppelt ist. Je einfacher aber wiederum das Sicherheits-Auswertungsmodul aufgebaut ist, desto einfacher ist der Nachweis zu führen, dass das Sicherheits-Auswertungsmodul das unerwünschte Ereignis höchstens mit einer vorgegebenen Wahrscheinlichkeit geschehen lässt. Diese Nachweis kann an die Stelle des Nachweises treten, dass das wesentlich komplexere Funktions-Auswertungsmodul dieses unerwünschte Ereignis abfängt.
Somit ist der für das Gesamtsystem erzielte Vorteil, dass der besagte einfacher führbare Nachweis für das oder die Sicherheits-Auswertungsmodule genügt, um insgesamt eine vorgegebene Höchst-Wahrscheinlichkeit für das Auftreten des unerwünschten Ereignisses versprechen zu können.
In einer besonders vorteilhaften Ausgestaltung werden zusätzlich die von Sensoren einer dritten Gruppe stammenden Messdaten durch ein zweites Sicherheits-Auswertungsmodul zu einem zweiten Sicherheits-Signal verarbeitet werden. Dieses zweite Sicherheits-Signal ist so beschaffen, dass es, wenn es dem fahrdynamischen System zugeführt wird, das fahrdynamische System zur Abwendung eines vorgegebenen unerwünschten Ereignisses von dem Fahrzeug veranlasst. Dabei ist die dritte Gruppe von der zweiten Gruppe verschieden, d.h., nicht deckungsgleich.
Beispielsweise können das erste und das zweite Sicherheits-Auswertungsmodul dazu dienen, ein und dasselbe unerwünschte Ereignis abzuwenden. Sind dann etwa die Gruppen von Sensoren, auf deren Messdaten die beiden Sicherheits-Auswertungsmodule zurückgreifen, disjunkt, dann sind die beiden Sicherheits-Auswertungsmodule untereinander vollredundant. Eine Anforderung einer maximalen Wahrscheinlichkeit für das unerwünschte Ereignis kann dann mit deutlich weniger Aufwand erfüllt bzw. nachgewiesen werden. So genügt bei zwei vollredundanten Modulen der Nachweis, dass jedes der beiden Module für sich genommen das unerwünschte Ereignis nur mit einer Wahrscheinlichkeit von 10^-3,5/h geschehen lässt, um eine Wahrscheinlichkeit von höchstens 10^-7/h für das Auftreten des unerwünschten Ereignisses insgesamt versprechen zu können.
Das zweite, bzw. ein weiteres, Sicherheits-Auswertungsmodul kann aber auch beispielsweise dazu dienen, ein anderes unerwünschtes Ereignis abzuwenden als das erste Sicherheits-Auswertungsmodul. Dies ist insbesondere dann vorteilhaft, wenn die geforderten maximalen Wahrscheinlichkeiten für die jeweiligen unerwünschten Ereignisse unterschiedlich sind. So kann beispielsweise für einen Frontalaufprall eine Wahrscheinlichkeit von höchstens 10^-7/h gefordert sein, da ein derartiger Unfall vergleichsweise folgenschwer ist, während für einen Heckaufprall auf das Fahrzeug, der häufig nur Blechschaden nach sich zieht, eine Wahrscheinlichkeit von 10^-5/h zugelassen werden kann. Ist ein Sicherheits-Auswertungsmodul jeweils auf die Abwendung eines unerwünschten Ereignisses spezialisiert, können die Nachweise der maximalen Wahrscheinlichkeiten dafür, dass das jeweilige unerwünschte Ereignis dennoch eintritt, voneinander entkoppelt werden.
Der Ansatz, mehrere Sicherheitsmodule zu verwenden, kann aber auch dazu eingesetzt werden, die Komplexität der einzelnen Sicherheitsmodule möglichst klein und damit überschaubar und beherrschbar zu halten.
In einer besonders vorteilhaften Ausgestaltung ist die dritte Gruppe von der zweiten Gruppe disjunkt. Auf diese Weise kann besonders zuverlässig verhindert werden, dass ein einzelner fehlerhaft arbeitender Sensor beide Sicherheits-Signale zugleich beeinflusst.
In einer besonders vorteilhaften Ausgestaltung beinhaltet das Aggregieren eine Prüfung, ob mindestens ein fahrdynamischer Eingriff, der bei Ansteuerung des fahrdynamischen Systems mit dem oder den Sicherheits-Signalen stattfindet, auch bei Ansteuerung des fahrdynamischen Systems mit dem Funktions-Signal stattfindet. Wenn dies der Fall ist, dann ist der Nachweis geführt, dass in der betreffenden Situation das Funktions-Auswertungsmodul korrekt funktioniert. Das Funktions-Signal kann dann beispielsweise direkt als Ansteuer-Signal an das fahrdynamische System durchgeschaltet werden, damit das fahrdynamische System die Fahraufgabe ungehindert durchführen kann.
Wird bei dieser Prüfung hingegen festgestellt, dass ein fahrdynamischer Eingriff bei Ansteuerung des fahrdynamischen Systems mit dem oder den Sicherheits-Signalen stattfindet, bei Ansteuerung des fahrdynamischen Systems mit dem Funktions-Signal jedoch unterbleibt, dann zeigt dies an, dass das Funktions-Auswertungsmodul in der betreffenden Situation nicht richtig funktioniert und das drohende Eintreten des unerwünschten Ereignisses nicht erkennt. In diesem Fall wird das Ansteuer-Signal dahingehend beeinflusst, dass bei Ansteuerung des fahrdynamischen Systems mit dem Ansteuer-Signal der gemäß Sicherheits-Signal vorgeschlagene fahrdynamische Eingriff tatsächlich stattfindet. Dies kann beispielsweise geschehen, indem an Stelle des Funktions-Signals das Sicherheits-Signal als Ansteuer-Signal an das fahrdynamische System durchgeschaltet wird. Das Ansteuer-Signal kann aber auch auf andere Weise dahingehend beeinflusst werden, dass der fahrdynamische Eingriff stattfindet. Beispielsweise kann in Antwort darauf, dass gemäß Sicherheits-Signal ein bestimmter fahrdynamischer Eingriff vorgeschlagen wird, an Stelle des Sicherheits-Signals ein für die Auslösung dieses Eingriffs vorgegebener Signalverlauf auf das Ansteuer-Signal aufgeprägt werden.
In dieser Ausgestaltung ist die Rolle des oder der Sicherheits-Auswertungsmodule vergleichbar mit der Rolle eines Fahrlehrers in einem fortgeschrittenen Stadium der Fahrausbildung. Der Fahrschüler fährt den größten Teil der Zeit eigenverantwortlich, um seine Fähigkeiten progressiv zu trainieren. Der Fahrlehrer beobachtet jedoch ständig, ob der Fahrschüler eine potentiell gefährliche Situation rechtzeitig erkannt hat und hierauf angemessen reagiert. Reagiert der Fahrschüler nicht oder hat er die Situation überhaupt nicht erkannt, weil er beispielsweise überhaupt nicht in eine bevorrechtigte Straße schaut, greift der Fahrlehrer ein, meistens durch Betätigung der Bremse.
Alternativ oder in Kombination hierzu kann das Aggregieren eine Prüfung beinhalten, ob alle Informationen, die für die Festlegung eines fahrdynamischen Eingriffs verwendet werden und die in dem oder den Sicherheits-Signalen vorhanden sind, auch im Funktions-Signal vorhanden sind. Auf diese Weise kann eine noch größere Klasse von Fehlern erkannt werden. Das Funktions-Signal kann beispielsweise in der Weise fehlerhaft sein, dass es zwar ein Abbremsen des Fahrzeugs anordnet, aber hierfür nur die Bremsen auf einer Seite des Fahrzeugs genutzt werden und eine Ansteuerung der Bremsen auch auf der anderen Seite fehlt.
Dementsprechend wird in einer weiteren vorteilhaften Ausgestaltung in Antwort auf die Feststellung, dass nicht alle in den dem oder den Sicherheits-Signalen vorhandenen Informationen für die Festlegung eines fahrdynamischen Eingriffs auch im Funktions-Signal vorhanden sind, das Ansteuer-Signal dahingehend beeinflusst, dass es all diese Informationen enthält. Bei Ansteuerung des fahrdynamischen Systems mit dem Ansteuer-Signal werden dann somit alle relevanten Informationen berücksichtigt. In dem genannten Beispiel kann dies etwa bedeuten, dass das Ansteuer-Signal um die fehlende Ansteuerung der Bremsen auf der anderen Seite des Fahrzeugs ergänzt wird.
Die relevanten Informationen für die Festlegung eines fahrdynamischen Eingriffs können beispielsweise auch eine Bewertung von Objekten beinhalten, die einen Anlass für den anschließend gewählten fahrdynamischen Eingriff bilden. Beispielsweise können jeweils Bereiche im Fahrzeugumfeld ermittelt werden, die kollisionsrelevant sind und die nicht frei von bestimmten Arten von Objekten sind. Dieser gemeinsame Nenner bietet eine besonders organische Möglichkeit für das Aggregieren.
Wie zuvor erläutert, muss eine Situation, in der das Ansteuer-Signal in der beschriebenen Weise zu beeinflussen ist, nicht zwangsläufig auf eine technische Fehlfunktion hindeuten, sondern kann beispielsweise auch durch eine Überforderung eines Sensors durch eine unerwartete Situation (etwa die tiefstehende Sonne oder eine unbekannte Konstellation an Verkehrsteilnehmern bzw. deren Verhalten) ausgelöst werden. Eine Häufung derartiger Situationen kann jedoch darauf hindeuten, dass im Fahrzeug ein Fehler vorliegt. Beispielsweise kann ein Sensor defekt, verschmutzt oder dejustiert sein, oder es kann beispielsweise eine Leitung unterbrochen sein. Daher wird in einer weiteren besonders vorteilhaften Ausgestaltung das Beeinflussen des Ansteuer-Signals in einem Ereignis-Speicher vorgemerkt. In Antwort darauf, dass die Anzahl, und/oder die zeitliche Abfolge, der vorgemerkten Ereignisse ein vorgegebenes Kriterium erfüllt, wird ein Fehler in einen Fehlerspeicher des Fahrzeugs ausgegeben.
Die Vormerkung des Ereignisses, und/oder die Ausgabe des Fehlers in den Fehlerspeicher, können wiederum beliebige Maßnahmen nach sich ziehen, um eine Behebung des Fehlers durch den Nutzer des Fahrzeugs anzuregen. Beispielsweise kann eine optische und/oder akustische Warneinrichtung auf den Fehler hinweisen. Es können aber auch beispielsweise das Beschleunigungsvermögen oder andere für den Fahrkomfort relevante Funktionen bzw. Parameter eingeschränkt werden, damit der Nutzer mit dem Fahrzeug zwar aus eigener Kraft eine Werkstatt aufsuchen kann, ihm die Weiternutzung ohne Reparatur jedoch vergällt wird. In der höchsten Eskalationsstufe kann, ggfs. nach einer Karenzzeit oder Karenzstrecke, die Weiterfahrt oder der Wiederstart des Fahrzeugs gesperrt werden. Diese oder auch andere Maßnahmen des Reparaturzwangs bewirken, dass das Fahrzeug so schnell wie möglich wieder in einen Zustand überführt wird, in dem die geforderten Sicherheitsniveaus für die Vermeidung der vorgegebenen unerwünschten Ereignisse wieder gegeben sind.
Alternativ oder auch in Kombination hierzu können das Ereignis, und/oder der Fehler, über eine geeignete Verbindung online an eine zentrale Auswertstelle des Fahrzeugherstellers oder anderer Stellen gegeben werden. Diese Stellen können die Information beispielsweise für eine Qualitäts-Statistik bzw. Verbesserung verwenden.
In einer weiteren vorteilhaften Ausgestaltung werden aus dem oder aus den Sicherheits-Signalen Randbedingungen bezüglich des Ansteuer-Signals abgeleitet, und das Funktions-Signal kann nach Maßgabe dieser Randbedingungen in das Ansteuer-Signal eingehen. Auf diese Weise können das oder die Sicherheits-Auswertungsmodule eine ständige Arbeitsteilung mit dem Funktions-Auswertungsmodul eingehen.
So kann beispielsweise ein erstes Sicherheits-Auswertungsmodul vorgeben, dass das Fahrzeug mit einer bestimmten Mindest-Verzögerung abzubremsen ist, um einen Frontalaufprall des Fahrzeugs zu vermeiden. Zugleich kann beispielsweise ein zweites Sicherheits-Auswertungsmodul vorgeben, dass das Fahrzeug nur bis zu einer bestimmten Höchst-Verzögerung abzubremsen ist, damit ein nachfolgendes Fahrzeug nicht auffährt. Auf diese Weise entsteht ein Korridor an möglichen Verzögerungswerten, innerhalb dessen das Funktions-Auswertungsmodul dann eigenverantwortlich handeln kann.
In einer besonders vorteilhaften Ausgestaltung werden sowohl im Funktions-Auswertungsmodul als auch in mindestens einem Sicherheits-Auswertungsmodul jeweils Bereiche im Fahrzeugumfeld ermittelt, die frei von bestimmten Arten von Objekten sind. Dieser gemeinsame Nenner bietet eine besonders organische Möglichkeit für das Aggregieren. Beispielsweise können mit dem Ansteuer-Signal nur solche Bereiche, die sowohl vom Funktions-Auswertungsmodul als auch von allen vorhandenen Sicherheits-Auswertungsmodulen als frei von den Objekten erkannt werden, als für das Befahren verfügbar an das fahrdynamische System gemeldet werden.
Alternativ oder auch in Kombination hierzu können sowohl im Funktions-Auswertungsmodul als auch in mindestens einem Sicherheits-Auswertungsmodul jeweils Bereiche im Fahrzeugumfeld ermittelt werden, die von bestimmten Arten von Objekten belegt sind. So ist es beispielsweise nur dann sinnvoll, über einen Fähranleger hinaus in Richtung Wasser zu fahren, wenn an dem Fähranleger gerade eine Fähre liegt.
Allgemein umfasst in einer weiteren besonders vorteilhaften Ausgestaltung das Ansteuer-Signal eine räumliche Repräsentation des Umfelds des Fahrzeugs. Beispielsweise können (nur) Objekte im kollisionsrelevanten Bereich um das Fahrzeug bewertet werden. Auch dies ist ein organischer gemeinsamer Nenner, der ein Aggregieren vereinfacht. So kann die räumliche Repräsentation beispielsweise mit der Vereinigungsmenge aller Objekte populiert werden, die vom Funktions-Auswertungsmodul und von allen Sicherheits-Auswertungsmodulen jeweils im Umfeld des Fahrzeugs erkannt werden.
In einer weiteren besonders vorteilhaften Ausgestaltung enthält die zweite Gruppe, und/oder die dritte Gruppe, höchstens eine limitierte Anzahl von beispielsweise fünf Sensoren. Auf diese Weise bleibt die Komplexität des oder der Sicherheits-Auswertungsmodule in einem Bereich, in dem der Nachweis, dass das unerwünschte Ereignis höchstens mit der vorgegebenen Wahrscheinlichkeit eintritt, noch mit nicht zu großem Aufwand führbar ist.
In einer weiteren besonders vorteilhaften Ausgestaltung werden in mindestens einem Sicherheits-Auswertungsmodul im Vergleich zum Funktions-Auswertungsmodul

• Messdaten aus einem kleineren räumlichen Gebiet ausgewertet werden; und/oder
• die Messdaten im Hinblick auf das Vorhandensein einer eingeschränkten Klasse von Objekten ausgewertet werden; und/oder
• in den Messdaten erkannte Objekte in Bezug auf eine eingeschränkte Klasse von Merkmalen ausgewertet.

Es wurde erkannt, dass die von einem gegebenen physischen Sensor gelieferten Messdaten

• bis zu einer bestimmten Größe des beobachteten räumlichen Gebiets, d.h., bis zu einer bestimmten lateralen und/oder longitudinalen Entfernung des beobachteten Gebiets vom Sensor;
• bis zu einer bestimmten Anzahl der voneinander zu unterscheidenden Objekte; bzw.
• bis zu einem bestimmten Detaillierungsgrad der ausgewerteten Merkmale eine Auswertung mit besonders hoher Verlässlichkeit ermöglichen, während jenseits der jeweiligen Grenze die Verlässlichkeit abnimmt. Dass nun die Auswertung des oder der Sicherheits-Auswertungsmodule auf denjenigen Anteil der Messdaten beschränkt wird, dessen Verlässlichkeit besonders hoch ist, erleichtert den Nachweis, dass ein Sicherheits-Auswertungsmodul das jeweilige unerwünschte Ereignis nur höchstens mit der geforderten Wahrscheinlichkeit geschehen lässt. Zugleich kann das Funktions-Auswertungsmodul die Anteile der Messdaten, deren Verlässlichkeit nicht mehr ganz so hoch ist, für die Durchführung der vorgegebenen Fahraufgabe nutzen. Damit werden insgesamt die Fähigkeiten des physischen Sensors bestmöglich ausgenutzt.

Das Verfahren kann ganz oder teilweise auf einem Computer, und/oder auf einem Steuergerät, durchgeführt werden, aber auch beispielsweise auf einem Embedded-System, welches über einen CAN-Bus oder einen anderen Fahrzeugbus die Daten von den Sensoren abruft und das erhaltene Ansteuer-Signal, beispielsweise über den gleichen Fahrzeugbus, an das fahrdynamische System weiterleitet. Das Verfahren kann dann jeweils in einer Software implementiert sein. Diese Software bewirkt den unmittelbaren Kundennutzen, dass bei vorgegebener Ausstattung des Fahrzeugs mit Sensor-Hardware verlässlichere Aussagen über Wahrscheinlichkeiten gemacht werden können, mit der in dem fahrdynamischen System des Fahrzeugs bestimmte unterwünschte Ereignisse auftreten. Die Software kann beispielsweise als Update oder Upgrade zu einem bestehenden Computer, Steuergerät oder Embedded-System vertrieben werden und ist insofern ein eigenständiges Produkt. Daher bezieht sich die Erfindung auch auf ein Computerprogramm mit maschinenlesbaren Anweisungen, die, wenn sie auf einem oder mehreren Computern, und/oder einem oder mehreren Steuergeräten, und/oder auf einem oder mehreren Embedded-Systemen, ausgeführt werden, den oder die Computer, das oder die Steuergeräte, und/oder das oder die Embedded-Systeme, dazu veranlassen, das beschriebene Verfahren auszuführen. Ebenso bezieht sich die Erfindung auch auf einen maschinenlesbaren Datenträger oder ein Downloadprodukt mit dem Computerprogramm.
Die Erfindung bezieht sich weiterhin auch auf einen Computer, ein Steuergerät und/oder ein Embedded-System mit dem beschriebenen Computerprogramm, maschinenlesbaren Datenträger und/oder Downloadprodukt. Alternativ oder auch in Kombination kann der Computer, das Steuergerät bzw. das Embedded-System auch in beliebiger sonstiger Weise spezifisch dazu ausgebildet sein, das beschriebene Verfahren auszuführen. Eine solche spezifische Ausbildung kann beispielsweise mittels feldprogrammierbaren Gatteranordnungen (FPGAs) und/oder anwendungsspezifischen integrierten Schaltkreisen (ASICs) erfolgen.
Weitere, die Erfindung verbessernde Maßnahmen werden nachstehend gemeinsam mit der Beschreibung der bevorzugten Ausführungsbeispiele der Erfindung anhand von Figuren näher dargestellt.
Ausführungsbeispiele
Es zeigt:

1 Ausführungsbeispiel des Verfahrens 100;
2 Beispielhafte Einbindung des Verfahrens 100 in ein Fahrzeug 50.

Nach 1 stellen sechs beispielhaft eingezeichnete Sensoren 2a-2f jeweils Messdaten 3a-3f zur Verfügung. Gemäß Schritt 110 des Verfahrens 100 werden die Messdaten 3a-3f aus der ersten Gruppe 4a von Sensoren 2a-2f, die hier alle Sensoren 2a-2f umfasst, durch ein Funktions-Auswertungsmodul zu einem Funktions-Signal 5a verarbeitet, das für die Ansteuerung eines in 1 nicht eingezeichneten fahrdynamischen Systems 51 eines Fahrzeugs 50 vorgesehen ist. Dabei können insbesondere gemäß Block lila Bereiche im Umfeld des Fahrzeugs 50 ermittelt werden, die frei von bestimmten Arten von Objekten, wie beispielsweise anderen Verkehrsteilnehmern oder die Fahrbahn begrenzenden Objekten, sind. Alternativ oder auch in Kombination können gemäß Block 111b Bereiche im Umfeld des Fahrzeugs 50 ermittelt werden, die von bestimmten Arten von Objekten belegt sind.
Das Funktions-Signal 5a wird nicht unbesehen an das fahrdynamische System 51 weitergegeben. Stattdessen sind ein erstes Sicherheits-Auswertungsmodul 61 und ein zweites Sicherheits-Auswertungsmodul 62 vorgesehen. In dem in 1 gezeigten Beispiel erhält das erste Sicherheits-Auswertungsmodul 61 die Messdaten 3a, 3c, 3e einer zweiten Gruppe 4b von Sensoren, die hier die Sensoren 2a, 2c und 2e umfasst. Hieraus können gemäß Block 121a insbesondere Bereiche im Umfeld des Fahrzeugs 50 ermittelt werden, die frei von bestimmten Objekten sind, und/oder es können gemäß Block 121b Bereiche ermittelt werden, die mit bestimmten Objekten belegt sind. Das zweite Sicherheits-Auswertungsmodul 62 erhält die Messdaten 3b, 3d, 3f einer dritten Gruppe 4c von Sensoren, die hier die Sensoren 2b, 2d und 2f umfasst. Hieraus können gemäß Block 126a insbesondere wiederum Bereiche im Umfeld des Fahrzeugs 50 ermittelt werden, die frei von bestimmten Objekten sind, und/oder es können gemäß Block 126b Bereiche ermittelt werden, die mit bestimmten Objekten belegt sind. Dabei können die beiden Sicherheits-Auswertungsmodule 61 und 62 im Umfeld des Fahrzeugs 50 beispielsweise nach den gleichen Objekten suchen, so dass bei der Erkennung eine gewisse Redundanz entsteht. Die beiden Sicherheits-Auswertungsmodule 61 und 62 können aber auch beispielsweise jeweils auf die Erkennung unterschiedlicher Arten von Objekten spezialisiert sein. So kann beispielsweise das Modul 61 nach Fahrzeugen und das Modul 62 nach Fußgängern suchen.
Im Vergleich zum Funktions-Auswertungsmodul 5 können die beiden Sicherheits-Auswertungsmodule 61 und 62 jeweils

• gemäß Block 122 Messdaten 3a-3f aus einem kleineren räumlichen Gebiet auswerten,
• gemäß Block 123 nach einer eingeschränkten Klasse von Objekten suchen, und/oder
• gemäß Block 124 die Merkmale erkannter Objekte weniger detailliert auswerten.

In Schritt 120 wird vom ersten Sicherheits-Auswertungsmodul 61 ein erstes Sicherheits-Signal 61a gebildet. In Schritt 125 wird vom zweiten Sicherheits-Auswertungsmodul 62 ein zweites Sicherheits-Signal 62a gebildet. In Schritt 130 werden das Funktions-Signal 5a, das erste Sicherheits-Signal 61a und das zweite Sicherheits-Signal 62a zum letztendlichen Ansteuersignal 7 für das fahrdynamische System 51 des Fahrzeugs 50 aggregiert.
Innerhalb des Kastens 130 sind beispielhaft zwei Möglichkeiten illustriert, wie das Aggregieren erfolgen kann.
Gemäß einer ersten Möglichkeit wird in Block 131a geprüft, ob ein fahrdynamischer Eingriff, der bei Ansteuerung des fahrdynamischen Systems 51 mit dem oder den Sicherheits-Signalen 61a, 62a stattfindet, auch bei Ansteuerung des fahrdynamischen Systems 51 mit dem Funktions-Signal 5a stattfindet. Konkret kann also beispielsweise geprüft werden, ob das Funktions-Auswertemodul 5 eine gemäß den Sicherheits-Signalen 61a, 62a erkannte Stelle, an der das Fahrzeug 50 wartepflichtig ist, ebenfalls erkennt und ein Funktions-Signal 5a ausgibt, das ein entsprechendes Abbremsen des Fahrzeugs 50 veranlasst. Analog kann gemäß Block 131b geprüft werden, ob alle Informationen für die Festlegung eines fahrdynamischen Eingriffs, die in den Sicherheits-Signalen 61a, 62a vorhanden sind, auch im Funktionssignal 5a vorhanden sind.
Verläuft die jeweilige Prüfung positiv (Wahrheitswert 1 in Block 131a, 131b), dann ist das Funktions-Signal 5a vom Standpunkt der Sicherheit her brauchbar und wird als Ansteuersignal 7 an das fahrdynamische System 51 ausgegeben. Andernfalls (Wahrheitswert 0) wird gemäß Block 132a, 132b das entsprechende Sicherheits-Signal 61a, 62a, das den fahrdynamischen Eingriff bewirkt bzw. die vollständige Information für dessen Festlegung enthält, als Ansteuersignal 7 ausgegeben. Dies kann insbesondere dann geschehen, wenn beide Prüfungen 131a und 131b ausgeführt werden und hiervon auch nur eine Prüfung 131a, 131b nicht bestanden wird.
Wie zuvor erläutert, übernehmen die Sicherheits-Auswertungsmodule 61, 62 dann quasi die Funktion von Fahrlehrern, die das Funktions-Auswertungsmodul 5 als „Fahrschüler“ im Normalfall eigenverantwortlich handeln lassen und nur in kritischen Situationen eingreifen.
Wie zuvor erläutert, können auch bei technisch einwandfreien Sensoren 2a-2f und einem technisch einwandfreien Funktions-Auswertungsmodul 5 Situationen eintreten, in denen das Eingreifen mit den Sicherheits-Signalen 61a, 62a nötig ist. Um ein sporadisches Auftreten solcher Situationen von systematischen Fehlern, wie etwa Sensorausfällen, zu unterscheiden, wird gemäß Block 133 das Beeinflussen des Ansteuer-Signals 7 in einem Ereignis-Speicher 8 vorgemerkt. Gemäß Block 134 wird geprüft, ob die Anzahl, und/oder die zeitliche Abfolge, der in dem Ereignis-Speicher 8 vorgemerkten Ereignisse 8a ein vorgegebenes Kriterium erfüllt, wie beispielsweise eine ständig wiederkehrende Notwendigkeit gleichartiger Eingriffe über einen bestimmten Zeitraum. Ist dies der Fall (Wahrheitswert 1), wird gemäß Block 135 ein Fehler 53a in einen Fehlerspeicher 53 des Fahrzeugs 50 ausgegeben. Damit wird der Nutzer des Fahrzeugs 50 aufgefordert, sich um das Problem zu kümmern.
Gemäß einer zweiten Möglichkeit werden in Block 136 aus den Sicherheits-Signalen 61a, 62a jeweils Randbedingungen 71, 72 für das letztendliche Ansteuersignal 7 abgeleitet. Beispielsweise kann das erste Sicherheits-Signal 61a einen Mindestwert für eine Verzögerung des Fahrzeugs 50 als erste Randbedingung 71 gebieten, damit es nicht auf ein vorausfahrendes Fahrzeug auffährt. Zugleich kann das zweite Sicherheits-Signal 62a einen Höchstwert für die Verzögerung als zweite Randbedingung 72 gebieten, damit eine sich von hinten nähernde Straßenbahn nicht auf das Fahrzeug 50 auffährt. Gemäß Block 137 geht das Funktions-Signal 5a nach Maßgabe beider Randbedingungen 71, 72 in das letztendliche Ansteuersignal 7 ein. In dem genannten Beispiel kann also eine gemäß Funktions-Signal 5a angeforderte Verzögerung, die zwischen der Mindest-Verzögerung und der Höchst-Verzögerung liegt, direkt in das Ansteuersignal 7 durchgeschaltet werden. Ist die angeforderte Verzögerung geringer als die Mindest-Verzögerung, wird das Ansteuersignal 7 entsprechend der Mindest-Verzögerung gesetzt. Ist die angeforderte Verzögerung höher als die Höchst-Verzögerung, wird das Ansteuersignal 7 entsprechend der Höchst-Verzögerung gesetzt.
2 zeigt beispielhaft die Integration des Verfahrens 100 in ein Fahrzeug 50. Das im Rahmen des Verfahrens 100 gebildete Ansteuer-Signal 7 wird an ein fahrdynamisches System 51 ausgegeben. Das fahrdynamische System 51 übersetzt das Ansteuer-Signal 7 seinerseits in eine Stellgröße 51a, die auf mindestens einen Aktor 52 des Fahrzeugs 50 wirkt und auf diesem Wege physikalisch auf die Fahrdynamik des Fahrzeugs 50 einwirkt. Die Stellgröße 51a kann beispielsweise ein Antriebsmoment, ein Lenkmoment oder einen Bremszylinderdruck repräsentieren.
Sollte es beständig erforderlich sein, dass das Funktions-Auswertungsmodul 5 von den Sicherheits-Auswertungsmodulen 51, 52 überstimmt wird, wird im Rahmen des Verfahrens 100 ein Fehler 53a in den Fehlerspeicher 53 des Fahrzeugs 50 ausgegeben, um den Nutzer des Fahrzeugs 50 zu einer Behebung des Problems aufzufordern.
ZITATE ENTHALTEN IN DER BESCHREIBUNG
Diese Liste der vom Anmelder aufgeführten Dokumente wurde automatisiert erzeugt und ist ausschließlich zur besseren Information des Lesers aufgenommen. Die Liste ist nicht Bestandteil der deutschen Patent- bzw. Gebrauchsmusteranmeldung. Das DPMA übernimmt keinerlei Haftung für etwaige Fehler oder Auslassungen.
Zitierte Patentliteratur

DE 10220811 B4 [0003]

Claims

Verfahren (100) zur Auswertung von Messdaten (3a-3f), die durch eine Mehrzahl von Sensoren (2a-2f) durch physikalische Beobachtung des Umfelds, und/oder eines oder mehrerer Betriebszustände, eines Fahrzeugs (50) gewonnen wurden, für die Zwecke eines fahrdynamischen Systems (51), welches dazu ausgebildet ist, mindestens eine vorgegebene Fahraufgabe durch Ansteuerung mindestens eines Aktors (52) des Fahrzeugs (50) zumindest teilweise automatisiert durchzuführen, mit den Schritten: • die von Sensoren (2a-2f) einer ersten Gruppe (4a) stammenden Messdaten (3a-3f) werden durch ein Funktions-Auswertungsmodul (5) zu einem Funktions-Signal (5a) verarbeitet (110), welches, wenn es dem fahrdynamischen System (51) zugeführt wird, das fahrdynamische System (51) zur Durchführung der Fahraufgabe veranlasst; • die von Sensoren (2a, 2c, 2e) einer zweiten Gruppe (4b) stammenden Messdaten (3a, 3c, 3e) werden mindestens durch ein erstes Sicherheits-Auswertungsmodul (61) zu einem ersten Sicherheits-Signal (61a) verarbeitet (120), welches, wenn es dem fahrdynamischen System (51) zugeführt wird, das fahrdynamische System (51) zur Abwendung eines vorgegebenen unerwünschten Ereignisses von dem Fahrzeug (50) veranlasst, wobei die zweite Gruppe (4b) eine echte Teilmenge der ersten Gruppe (4a) beinhaltet; • das Funktions-Signal (5a) wird mit dem ersten Sicherheits-Signal (61a) zu einem an das fahrdynamische System (51) ausgebbaren Ansteuer-Signal (7) aggregiert (130).
Verfahren (100) nach Anspruch 1, wobei zusätzlich die von Sensoren (2b, 2d, 2f) einer dritten Gruppe (4c) stammenden Messdaten (3b, 3d, 3f) durch ein zweites Sicherheits-Auswertungsmodul (62) zu einem zweiten Sicherheits-Signal (62a) verarbeitet werden (125), welches, wenn es dem fahrdynamischen System (51) zugeführt wird, das fahrdynamische System (51) zur Abwendung eines vorgegebenen unerwünschten Ereignisses von dem Fahrzeug (50) veranlasst, wobei die dritte Gruppe (4c) von der zweiten Gruppe (4b) verschieden ist und wobei das Funktions-Signal (5a) mit dem ersten Sicherheits-Signal (61a) und dem zweiten Sicherheits-Signal (62a) zu einem an das fahrdynamische System (51) ausgebbaren Ansteuer-Signal (7) aggregiert wird (130).
Verfahren (100) nach Anspruch 2, wobei die dritte Gruppe (4c) von der zweiten Gruppe (4b) disjunkt ist.
Verfahren (100) nach einem der Ansprüche 1 bis 3, wobei das Aggregieren (130) eine Prüfung (131a) beinhaltet, ob mindestens ein fahrdynamischer Eingriff, der bei Ansteuerung des fahrdynamischen Systems (51) mit dem oder den Sicherheits-Signalen (61a, 62a) stattfindet, auch bei Ansteuerung des fahrdynamischen Systems (51) mit dem Funktions-Signal (5a) stattfindet.
Verfahren (100) nach Anspruch 3, wobei in Antwort auf die Feststellung (131a), dass ein fahrdynamischer Eingriff bei Ansteuerung des fahrdynamischen Systems (51) mit dem oder den Sicherheits-Signalen (61a, 62a) stattfindet, bei Ansteuerung des fahrdynamischen Systems (51) mit dem Funktions-Signal (5a) jedoch unterbleibt, das Ansteuer-Signal (7) dahingehend beeinflusst wird (132a), dass bei Ansteuerung des fahrdynamischen Systems (51) mit dem Ansteuer-Signal (7) dieser fahrdynamische Eingriff stattfindet.
Verfahren (100) nach einem der Ansprüche 1 bis 5, wobei das Aggregieren (130) eine Prüfung (131b) beinhaltet, ob alle Informationen, die für die Festlegung eines fahrdynamischen Eingriffs verwendet werden und die in dem oder den Sicherheits-Signalen (61a, 62a) vorhanden sind, auch im Funktions-Signal (5a) vorhanden sind.
Verfahren (100) nach Anspruch 6, wobei in Antwort auf die Feststellung (131b), dass nicht alle in den dem oder den Sicherheits-Signalen (61a, 62a) vorhandenen Informationen für die Festlegung eines fahrdynamischen Eingriffs auch im Funktions-Signal (5a) vorhanden sind, das Ansteuer-Signal (7) dahingehend beeinflusst wird (132b), dass es all diese Informationen enthält.
Verfahren (100) nach Anspruch 5 oder 7, wobei das Beeinflussen des Ansteuer-Signals (7) in einem Ereignis-Speicher (8) vorgemerkt wird (133) und wobei in Antwort darauf, dass die Anzahl, und/oder die zeitliche Abfolge, der vorgemerkten Ereignisse (8a) ein vorgegebenes Kriterium erfüllt (134), ein Fehler (53a) in einen Fehlerspeicher (53) des Fahrzeugs (50) ausgegeben wird (135).
Verfahren (100) nach einem der Ansprüche 1 bis 8, wobei das Aggregieren (130) beinhaltet, dass aus dem oder den Sicherheits-Signalen (61a, 62a) Randbedingungen (71, 72) bezüglich des Ansteuer-Signals (7) abgeleitet werden (136) und dass das Funktions-Signal (5a) nach Maßgabe dieser Randbedingungen (71, 72) in das Ansteuer-Signal (7) eingeht (137).
Verfahren (100) nach einem der Ansprüche 1 bis 9, wobei sowohl im Funktions-Auswertungsmodul (5) als auch in mindestens einem Sicherheits-Auswertungsmodul (61, 62) jeweils Bereiche im Fahrzeugumfeld ermittelt werden (111a, 121a, 126a), die frei von bestimmten Arten von Objekten sind.
Verfahren (100) nach einem der Ansprüche 1 bis 10, wobei sowohl im Funktions-Auswertungsmodul (5) als auch in mindestens einem Sicherheits-Auswertungsmodul (61, 62) jeweils Bereiche im Fahrzeugumfeld ermittelt werden (111b, 121b, 126b), die von bestimmten Arten von Objekten belegt sind.
Verfahren (100) nach einem der Ansprüche 1 bis 11, wobei das Ansteuer-Signal (7) eine räumliche Repräsentation des Umfeldes des Fahrzeugs (50) beinhaltet.
Verfahren (100) nach einem der Ansprüche 1 bis 12, wobei die zweite Gruppe (4b), und/oder die dritte Gruppe (4b), höchstens fünf Sensoren (2a-2f) enthält.
Verfahren (100) nach einem der Ansprüche 1 bis 3, wobei das unerwünschte Ereignis einen Frontalaufprall des Fahrzeugs (50), einen Heckaufprall auf das Fahrzeug (50), und/oder ein Abkommen des Fahrzeugs (50) von seiner Fahrspur, und/oder einen Seitenaufprall, beinhaltet.
Verfahren (100) nach einem der Ansprüche 1 bis 14, wobei in mindestens einem Sicherheits-Auswertungsmodul (61, 62) im Vergleich zum Funktions-Auswertungsmodul (5) • Messdaten (3a-3f) aus einem kleineren räumlichen Gebiet ausgewertet werden (122); und/oder • die Messdaten (3a-3f) im Hinblick auf das Vorhandensein einer eingeschränkten Klasse von Objekten ausgewertet werden (123); und/oder • in den Messdaten (3a-3f) erkannte Objekte in Bezug auf eine eingeschränkte Klasse von Merkmalen ausgewertet werden (124).
Computerprogramm, enthaltend maschinenlesbare Anweisungen, die, wenn sie auf einem oder mehreren Computern, und/oder einem oder mehreren Steuergeräten, und/oder auf einem oder mehreren Embedded-Systemen, ausgeführt werden, den oder die Computer, das oder die Steuergeräte, und/oder das oder die Embedded-Systeme, dazu veranlassen, ein Verfahren nach einem der Ansprüche 1 bis 15 auszuführen.
Maschinenlesbarer Datenträger und/oder Downloadprodukt mit dem Computerprogramm nach Anspruch 16.
Computer, Steuergerät und/oder Embedded-System mit dem Computerprogramm nach Anspruch 16 und/oder mit dem maschinenlesbaren Datenträger und/oder Downloadprodukt nach Anspruch 17, und/oder in sonstiger Weise spezifisch dazu ausgebildet, ein Verfahren nach einem der Ansprüche 1 bis 15 auszuführen.