-
Die Erfindung betrifft ein Verfahren zum Testen einer automatisierten Fahrfunktion.
-
In der
DE 10 2018 004 429 A1 der Anmelderin, deren vollständiger Inhalt hiermit durch Referenz in diese Anmeldung aufgenommen wird, wird ein Verfahren zum Testen eines Bremsassistenzsystems für ein Fahrzeug beschrieben. Es wird eine clusteranalytische Charakterisierung von Fahrsituationen basierend auf erfassten Sensorsignalen zur Umfelderfassung und deren Systemreaktionen im Fahrbetrieb des Fahrzeugs ermittelt.
-
Der Erfindung liegt die Aufgabe zu Grunde, ein gegenüber dem Stand der Technik verbessertes Verfahren zum Testen einer automatisierten Fahrfunktion anzugeben.
-
Die Aufgabe wird erfindungsgemäß gelöst durch ein Verfahren zum Testen einer automatisierten Fahrfunktion mit den Merkmalen des Anspruchs 1.
-
In einem Verfahren zum Testen einer automatisierten Fahrfunktion, insbesondere einer Notbremsfunktion, wird erfindungsgemäß eine Konfidenz für existierende Feldtests und ein Vertrauensmaß für die zu testenden Fahrfunktion über den gesamten Wirkbereich des sogenannten Operational Design Domains bestimmt. Eine Vorrichtung zur Durchführung des Verfahrens umfasst ein Rechenmodul, das eingerichtet ist, um eine Zuverlässigkeit für die automatisierte Fahrfunktion, insbesondere die eines automatischen Notbremssystems, zu bestimmen. Hierzu werden Messdaten aus länderspezifischen Feldversuchen aufgezeichnet und zentral in einer Datenbank gespeichert. Anschließend wird das Wissen aus dieser Datenbank mittels einer ereignisgesteuerten Zeitreihenanalyse mit einer Clusterbildung extrahiert. Die extrahierten Cluster und ihr Parameterraum definieren die Eintrittswahrscheinlichkeit jedes logischen Szenarios und die Wahrscheinlichkeitsverteilung der zugehörigen Parameter. Dann identifiziert eine Sensitivitäts- und Zuverlässigkeitsanalyse den Versagensbereich im Parameterraum, um die Versagenswahrscheinlichkeit für jedes logische Szenario mit Hilfe von Stichprobenverfahren vorherzusagen. Dabei werden Verkehrshotspotkatagorien von falsch-positiven (Sensor erkennt Objekt, welches in der Realität nicht existiert) und falsch-negativen Ereignissen (Sensor erkennt ein in der Realität existierendes Objekt nicht) aus den verschiedenen Informationsquellen in den clusteranalytisch charakterisierten Fahrsituationen mithilfe einer Datenbank für zu testenden Szenarien transformiert.
-
Darüber hinaus ermöglicht das Verfahren eine gesamtheitliche Testentscheidungsgrundlage für das Testen einer zu testenden automatisierten Fahrfunktion.
-
Somit wird ein aussagekräftiges Abbruchkriterium für das Testen geliefert, welches anhand der Qualitätsbewertung der Optimierung des Algorithmus in den einzelnen Komponenten sowie im Gesamtsystem definiert wird.
-
Ausgehend von der prospektiven Risikobeurteilung beruht das Abbruchkriterium auf verschiedenen Entscheidungen. Entweder die Funktion ist sicher genug und kundentauglich, die Funktion muss mit weiteren Fahr- und Simulationsläufen abgesichert werden, oder die Funktion ist nicht sicher genug, dann mit einer Empfehlung zur Weiterentwicklung der zu testenden automatisierten Funktion.
-
Ausführungsbeispiele der Erfindung werden im Folgenden anhand von Zeichnungen näher erläutert.
-
Dabei zeigen:
- 1 eine schematische Darstellung der Integration zwischen digitalen und physikalischen Erprobungen zur kundenorientierten Absicherung von automatischen Fahrfunktionen,
- 2 eine schematische Darstellung der Datenverarbeitungsstruktur des Datenerfassungssystems im Fahrzeug mit seinen Hauptelementen,
- 3 eine schematische Darstellung einer Korrelationsanalyse zwischen digitalen und physikalischen Erprobungen, sowie die Bestimmung
als quantifizierbarer Fehlerindikator von Umfeldwahrnehmung,
ist das Zeitintervall zwischen
und
- 4 eine schematische Darstellung der Zeitreihen für die Erfassungsdaten aus dem Erfassungssystem für ein logisches Szenario mit einem sich vor dem Fahrzeug befindlichen, stationären Objekt in einer linken Kurveneingangssituation, auch als Verbundkurve nach links bezeichnet,
- 5 eine schematische Darstellung eines logischen Szenarios in einer Ontologie mit einem sich vor dem Fahrzeug befindlichen, stationären Objekt in einer linken Kurveneingangssituation, auch als Verbundkurve nach links bezeichnet,
- 6 eine schematische Darstellung der kumulativen Verteilungsfunktion CDF und Wahrscheinlichkeitsdichtefunktion PDF für die Zufallsvariable
mit einem Parameter a = -0.318, Parameter b = 1.90614 und Parameter c = 1.9614 als Ausgang für den Zufallgenerator der gemeinsamen Dichte der Zufallsvariablen der vom Ersatzmodell zu selektierenden Daten aus dem Cluster C1,
- 7 eine schematische Darstellung der kumulativen Verteilungsfunktion CDF und Wahrscheinlichkeitsdichtefunktion PDF für die Zufallsvariable
mit folgenden Parametern (µ = -0.451483, σ = 0.36633, a = -1.45, b = 0.143) als Eingang für den Zufallsgenerator der gemeinsamen Dichte der Zufallsvariablen der vom Ersatzmodell zu selektierenden Daten aus dem Cluster C1 und die Zufallsvariable υx [km/h] mit folgenden Paramatern (a = 7.94651, b = 59.5984, c = 83.3891),
- 8 eine schematische Darstellung der kumulativen Verteilungsfunktion CDF und Wahrscheinlichkeitsdichtefunktion PDF für die Zufallsvariable Kego[1/km] mit folgenden Parametern (µ = 0.268827, σ = 1.1418, a = -4.5, b = 3.88) als Eingang für den Zufallsgenerator der gemeinsamen Dichte der Zufallsvariablen der vom Ersatzmodell zu selektierenden Daten aus dem Cluster C1 und die Zufallsvariable dy[m] mit folgenden Parametern (µ = -0.2987, σ = 0.564, a = - 2.6, b = 0.8),
- 9 eine schematische Darstellung der geschätzten Versagenswahrscheinlichkeit der Schwere der Ereignisse
mit Hilfe Monte-Carlo-Simulation (Stichprobenzahl Nmc = 1000 mit Standardfehler eP̅
f = 0.0094 und geschätzter Versagenswahrscheinlichkeit P̅f = 0.1),
- 10 eine schematische Darstellung der geschätzten Versagenswahrscheinlichkeit der Schwere der Ereignisse
mit Hilfe Monte-Carlo-Simulation (Stichprobenzahl Nmc = 1800 mit Standardfehler eP̅
f = 0.0092 und geschätzter Versagenswahrscheinlichkeit P̅f= 0.19),
- 11 eine schematische Darstellung der geschätzten Versagenswahrscheinlichkeit der Schwere der Ereignisse
mit Hilfe Monte-Carlo-Simulation (Stichprobenzahl Nmc = 500 mit Standardfehler eP̅f= 0.022 und geschätzter Versagenswahrscheinlichkeit P̅f = 0.51),
- 12 eine schematische Darstellung der geschätzten Versagenswahrscheinlichkeit der Schwere der Ereignisse
mit Hilfe Monte-Carlo-Simulation (Stichprobenzahl Nmc = 1600 mit StandardfehlereP̅
f = 0.01 und geschätzter Versagenswahrscheinlichkeit P̅f = 0.2),
- 13 eine schematische Darstellung der geschätzten Versagenswahrscheinlichkeit der Schwere der Ereignisse
mit Hilfe Adaptiven Samplings mit 4 Iterationen (Stichprobenzahl Nas = 800 mit Standardfehler eP̅
f = 0.0088 und geschätzter Versagenswahrscheinlichkeit P̅f = 0.1),
- 14 eine schematische Darstellung der geschätzten Versagenswahrscheinlichkeit der Schwere der Ereignisse
mit Hilfe Adaptiven Samplings mit 5 Iterationen (Stichprobenzahl Nas = 900 mit Standardfehler eP̅
f = 0.0088 und geschätzter Versagenswahrscheinlichkeit P̅f= 0.18),
- 15 eine schematische Darstellung der geschätzten Versagenswahrscheinlichkeit der Schwere der Ereignisse
mit Hilfe Adaptiven Samplings mit 4 Iterationen (Stichprobenzahl Nas= 800 mit Standardfehler eP̅
f = 0.036 und geschätzter Versagenswahrscheinlichkeit P̅f = 0.52), und
- 16 eine schematische Darstellung der geschätzten Versagenswahrscheinlichkeit der Schwere der Ereignisse
Adaptiven Samplings mit 4 Iterationen (Stichprobenzahl Nas = 800 mit Standardfehler eP̅
f = 0.084 und geschätzter Versagenswahrscheinlichkeit P̅f = 0.26).
-
Einander entsprechende Teile sind in allen Figuren mit den gleichen Bezugszeichen versehen.
-
Anhand der 1 bis 16 wird im Folgenden ein Verfahren zum Testen einer automatisierten Fahrfunktion, insbesondere einer Notbremsfunktion, eines Fahrzeugs beschrieben.
-
Die Ausgangssituation für dieses Verfahren ist wie folgt:
- Alle automatisierten Fahrfunktionen müssen die ISO Norm 26262 zur funktionalen Sicherheit erfüllen und dürfen sich nicht gegeneinander negativ beeinflussen.
-
Bei Einsatz automatisierter Fahrfunktionen spielen das Treffen sicherer Entscheidungen und die Planung kollisionsfreier Trajektorien eine entscheidende Rolle.
-
Um die Anforderungen der funktionalen Sicherheit nach ISO 26262 für eine automatische Fahrfunktion, insbesondere für eine Notbremsfunktion, sicherstellen zu können und insbesondere bei einem automatischen Notbremssystem einen ungewollten automatischen Bremseingriff sicher zu verhindern, müssen die Funktionen in ausreichender Weise durch Fahr- und Simulationsläufe abgesichert werden.
-
Die Gefährdungs- und Risikoanalyse der ISO Norm 26262 definiert das Risiko als Kombination der Wahrscheinlichkeit des Auftretens eines Schadens und des Schweregrades dieses Schadens durch Herleitung aus der Norm ISO 14971 für die Anwendung des Risikomanagements auf Medizinprodukte.
-
In der
DE 10 2018 004 429 A1 , deren vollständiger Inhalt hiermit durch Referenz aufgenommen wird, werden ein Verfahren und eine Vorrichtung zum Testen eines Bremsassistenzsystems für ein Fahrzeug, insbesondere für einen Lastkraftwagen, beschrieben. In diesem Verfahren wird eine clusteranalytische Charakterisierung von Fahrsituationen basierend auf erfassten Sensorsignalen zur Umfelderfassung und deren Systemreaktionen im Fahrbetrieb des Fahrzeugs ermittelt.
-
Ausgehend hiervon wird in dem hier beschriebenen Verfahren zum Testen einer automatisierten Fahrfunktion, insbesondere einer Notbremsfunktion, eine Konfidenz für existierende Feldtests und ein Vertrauensmaß für die zu testenden Fahrfunktion über den gesamten Wirkbereich des sogenannten Operational Design Domains bestimmt. Eine Vorrichtung zur Durchführung des Verfahrens umfasst ein Rechenmodul, das eingerichtet ist, um eine Zuverlässigkeit für die automatisierte Fahrfunktion, insbesondere die eines automatischen Notbremssystem, zu bestimmen. Hierzu werden Messdaten aus länderspezifischen Feldversuchen aufgezeichnet und zentral in einer Datenbank gespeichert. Anschließend wird das Wissen aus dieser Datenbank mittels einer ereignisgesteuerten Zeitreihenanalyse mit einer Clusterbildung extrahiert. Die extrahierten Cluster und ihr Parameterraum definieren die Eintrittswahrscheinlichkeit jedes logischen Szenarios und die Wahrscheinlichkeitsverteilung der zugehörigen Parameter. Dann identifiziert eine Sensitivitäts- und Zuverlässigkeitsanalyse den Versagensbereich im Parameterraum, um die Versagenswahrscheinlichkeit für jedes logische Szenario mit Hilfe von Stichprobenverfahren vorherzusagen. Dabei werden Verkehrshotspotkatagorien von falsch-positiven (Sensor erkennt Objekt, welches in der Realität nicht existiert) und falsch-negativen Ereignissen (Sensor erkennt ein in der Realität existierendes Objekt nicht) aus den verschiedenen Informationsquellen in den clusteranalytisch charakterisierten Fahrsituationen mithilfe einer Datenbank für zu testenden Szenarien transformiert.
-
Darüber hinaus ermöglicht das Verfahren eine gesamtheitliche Testentscheidungsgrundlage für das Testen einer zu testenden automatisierten Fahrfunktion.
-
Somit wird ein aussagekräftiges Abbruchkriterium für das Testen geliefert, welches anhand der Qualitätsbewertung der Optimierung des Algorithmus in den einzelnen Komponenten sowie im Gesamtsystem definiert wird.
-
Ausgehend von der prospektiven Risikobeurteilung beruht das Abbruchkriterium auf verschiedenen Entscheidungen. Entweder die Funktion ist sicher genug und kundentauglich, die Funktion muss mit weiteren Fahr- und Simulationsläufen abgesichert werden, oder die Funktion ist nicht sicher genug, dann mit einer Empfehlung zur Weiterentwicklung der zu testenden automatisierten Funktion.
-
1 zeigt eine schematische Darstellung der Integration digitaler Erprobungen 1 und physikalischer Erprobungen 2 zur kundenorientierten Absicherung von automatischen Fahrfunktionen.
-
Hierzu werden eine wissensbasierte Testmethode 3, umfassend die digitale Erprobung 1, insbesondere ein anforderungsbasiertes Testen, und eine datengetriebene Testmethode 4, umfassend die physikalische Erprobung 2, insbesondere ein szenariobasiertes Testen, durchgeführt.
-
Im Verfahren werden obligatorisch beispielsweise die Verfahrensschritte I bis VIII durchgeführt, wobei deren Reihenfolge veränderbar ist.
-
Verfahrensschritt I: Ausschluss von logischen Fehlern durch eine Verifikation der automatischen Fahrfunktion mit Hilfe einer sogenannten Hardware-in-the-Loop Plattform entsprechend den wissensbasierten Anforderungen.
-
Der logische Fehler stellt einen Fehler im Algorithmus gemäß wissensbasiertem Entwurf dar.
-
Verfahrensschritt II: Identifizierung von statistischen Fehlern in einer automatisierten Fahrfunktion durch das szenariobasierte Testen, insbesondere für eine Notbremsfunktion, mit Hilfe einer sogenannten Clusteranalyse in einer Cloud-Datenbank.
-
Der statistische Fehler stellt einen Fehler im Betrieb aus Umwelteinflüssen dar.
-
Die Warnereignisse eines existierenden Assistenzsystems, insbesondere eines Bremsassistenzsystems, werden als Disengagement-Ereignisse, d. h. Abschaltereignisse, für ein Abschaltkriterium im autonomen Modus einer zukünftigen automatisierten Fahrfunktion angenommen.
-
Die Clusteranalyse ist ein Verfahren, mit dem Fälle (Fußgänger, Objekte) anhand von vorgegebenen Kriterien gruppiert werden können. Die so gefundenen Gruppen - auch Cluster genannt - enthalten dann jeweils Fälle, die sich ähnlich sind. Die Fälle in verschiedenen Clustern unterscheiden sich dagegen mehr.
-
Verfahrensschritt III: Identifizierung von Kritikalitätsmetriken für die zu testende Fahrfunktion durch eine Korrelationsanalyse zwischen der Kritikalitätsschwelle aus synthetischen Fahrszenarien und Ereignissen aus den einzelnen gruppierten naturalistischen Fahrsituationen.
-
Durchführung von Simulationsrechnungen für definierte Testszenarien auf der Hardware-in-the-Loop Plattform, und Ableitung der Kritikalitätsschwelle aus den Simulationsergebnissen unter Verwendung einer geeigneten Regressionsfunktion. Eine Kritikalitätsmetrik ist beispielsweise der Zeitabstand zwischen vorausfahrendem und folgendem Fahrzeug, um die Kritikalität einer gegebenen Situation zu bewerten. Verfahrensschritt IV: Testausführung auf der Hardware-in-the-Loop Plattform für die einzelnen gruppierten logischen Szenarien mit einem sogenannten ontologiebasierten Szenariomanagement 5, umfassend insbesondere eine Partitionierung von Äquivalenzklassen.
-
Eine Ontologie ist ein Wissensmodell, das im Wissensmanagement im sogenannten Semantic Web für die Bereitstellung von Wissenstrukturen genutzt wird. Diese Informationen, ihre Eigenschaften und Beziehungen zueinander werden formal repräsentiert und sind von Maschinen und Menschen ablesbar.
-
Die Ontologie mithilfe der charakteristischen Signalverläufe aus den einzelnen gruppierten logischen Szenarien verwendet die Konvertierungsregeln zwischen Erfassungsdaten mit offenem Regelkreis und Steuerungsdaten mit geschlossenem Regelkreis, um die Testabdeckung über den gesamten Wirkbereich des sogenannten Operational Design Domains zu erweitern. Zu einer solchen Operational Design Domain Abdeckung 6 gehört neben dem ontologiebasierten Szenariomanagement 5 auch eine im Folgenden noch beschriebene Exploration des Parameterraums 7, umfassend eine Korrelations- und Sensitivitätsanalyse.
-
Verfahrensschritt V: Exploration des Parameterraums 7 für die einzelnen gruppierten logischen Szenarien mit Hilfe der sogenannten Sensitivitätsanalyse, um ein Approximationsmodell der betrachteten Parameter zu erzeugen.
-
Die Sensitivitätsanalyse befasst sich mit der Propagation von Unsicherheiten bei der Erzeugung des Approximationsmodells für die betrachteten Parameter.
-
Die Aufgabe besteht in der systematischen Quantifizierung der Einflüsse, die mit Unsicherheiten behaftete Modellparameter auf die Ausgaben eines Modells haben.
-
Die Parametersensitivitäten erlauben unter anderem Rückschlüsse über die Robustheit der Modellprognosen gegenüber Störeinflüssen und liefern somit ein Vertrauensmaß für die gewonnenen Resultate.
-
Verfahrensschritt VI: Abschätzung der Versagenswahrscheinlichkeit für die einzelnen gruppierten logischen Szenarien. Ermittlung des Versagensbereichs im Parameterraum. Vorhersage der Sicherheitswahrscheinlichkeit durch prospektive Risikobewertung für eine messbare Sicherheit mit Hilfe einer sogenannten Zuverlässigkeitsanalyse.
-
Definition der Kurve des tolerierbaren Risikos als Konfidenzniveau zur Abschätzung der Wahrscheinlichkeit der Überschreitung der Sicherheitsmarge unter Verwendung verschiedener Stichprobenverfahren.
-
Es erfolgt somit eine messbare Sicherheitsbewertung 8 mit Referenzwerten der Risikoakzeptanzschwelle 9, umfassend eine Zuverlässigkeitsanalyse.
-
Das in dieser messbaren Sicherheitsbewertung 8 dargestellte Diagramm für die Risikobewertungsmatrix weist eine mit Schweregrad SG bezeichnete x-Achse, die von „gering“ bis „katastrophal“ reicht, und eine mit Häufigkeit H bezeichnete y-Achse, die von „unvorstellbar“ bis „häufig“ reicht, auf.
-
Die Risikoakzeptanzschwelle 10 ist durch eine Line von links oben (hohe Frequenz, d. h. hohe Häufigkeit H, geringer Schweregrad SG) bis rechts unten (niedrige Frequenz, d. h. geringe Häufigkeit H, katastrophaler Schweregrad SG) angenommen. Der Bereich unterhalb dieser Linie kennzeichnet ein vertretbares Risiko VR und der Bereich oberhalb dieser Linie kennzeichnet ein nicht vertretbares Risiko NVR.
-
Im Falle eines Auftretens eines inakzeptablen Risikos, d. h. eines nicht vertretbaren Risikos NVR, soll das Restrisiko unterhalb der Risikoakzeptanzschwelle 10 liegen, indem die zu testende Fahrfunktion durch Fallback-Lösungen mit der so genannten Minimal Risk Condition (MRC) optimiert wird und die ASIL-Klassifizierung der betroffenen Komponente über den gesamten Wirkbereich der so genannten Operational Design Domain angepasst wird.
-
Verfahrensschritt VII: Definition und Anwendung der Testabbruchkriterien auf der Basis der generierten tolerierbaren Risikokurve als Referenzsicherheitsschwelle für eine Weiterentwicklung der zu testenden Fahrfunktion 11.
-
Die Risikobewertungsmatrix wird durch Kombination der Wahrscheinlichkeit des Auftretens eines Schadens und des Schweregrades SG dieses Schadens erstellt.
-
Extraktion der Entscheidungsgrundlage für risikominimierende Maßnahmen, ob mehr Testkilometer erforderlich sind, mehr Simulationen durchzuführen sind oder eine Weiterentwicklung der zu testenden automatisierten Funktion notwendig ist.
-
Eine weitere Vorgehensweise zur Berücksichtigung zusätzlicher Felddaten bei bereits ermittelten charakteristischen Verläufen der Systemeingangsgrößen sieht beispielsweise als optionale Verfahrensschritte vor:
- Verfahrensschritt VIII: Vergleich zusätzlicher Felddaten mit logischen Szenarien, Gegebenenfalls Erweiterung der Anzahl der Cluster für die Gruppierung, Wiederholdung und Anwendung der Verfahrensschritte II bis VII.
-
Im Folgenden wird das Verfahren anhand eines Ausführungsbeispiels erläutert.
-
Das Bremsassistenzsystem zur Durchführung der automatisierten Fahrfunktion, insbesondere der Notbremsfunktion, umfasst eine Erfassungseinheit zur Erfassung eines Abstandes des Fahrzeugs zu einem vor dem Fahrzeug befindlichen Objekt.
-
Die Erfassungseinheit umfasst einen Radarsensor, mittels welchem eine redundante Messung des Abstandes anhand einer Radarsignal-Laufzeit und einer Differenzgeschwindigkeit bzw. Relativgeschwindigkeit zwischen dem vorausfahrenden oder stehenden Objekt und dem Fahrzeug anhand einer Frequenzverschiebung durchgeführt wird. Zusätzlich ist eine Bilderfassungseinheit, insbesondere eine Kamera, vorgesehen, mittels welcher die Umgebung des Fahrzeugs erfasst wird.
-
Aus den erfassten Bildern werden Objekte, Straßen, Randbebauung, Spurmarkierungslinien und Straßenbegrenzungen, wie zum Beispiel Leitpfosten und Leitplanken, sowie Verkehrsschilder ermittelt und entsprechende Umgebungsdaten und Umgebungsparameter generiert und an eine Steuereinheit weitergeleitet.
-
Weiterhin wird die Notbremsfunktion in mehreren Eskalationsstufen E1 bis E3 ausgeführt. In dieser Fahrfunktion wird in einer ersten Eskalationsstufe E1 eine optische und/oder akustische Warnung als Warnhinweis ausgegeben, in einer zweiten Eskalationsstufe E2 wird eine automatische Teilbremsung als haptische Warnung ausgeführt, und in einer dritten Eskalationsstufe E3 wird eine Vollbremsung als Bremsvorgang ausgeführt. Ein selbsttätiger Notbremsvorgang zur Vermeidung eines Auffahrens des Fahrzeugs auf das sich vor dem Fahrzeug befindende Objekt ist auszulösen, wenn der Abstand, die Relativgeschwindigkeit, die Beschleunigung des Fahrzeugs und die Beschleunigung des vorausfahrenden Fahrzeugs in einem bestimmten Zusammenhang zueinander stehen.
-
Fehlauslösungen der Notbremsfunktion werden durch die Erfassung von Randbebauungen oder Randobjekten der Straße, wie beispielsweise Leitpfosten, Leitplanken und Verkehrsschilder, vermieden oder zumindest signifikant verringert. Derartige Randbebauungen und Randobjekte sind üblicherweise vom Straßentyp abhängig und werden über die Anpassung der Auslösefreigabebedingung an die Klassifizierung der Straße bei Auslösung der Fahrfunktion mitberücksichtigt.
-
Im Verfahrensschritt II werden die Messdaten aus länderspezifischen Feldversuchen, auch als Field Operational Tests (FOT) genannt, aufgezeichnet. Nach der zentralen Speicherung der Messdaten in einer Datenbank erfolgt ein Clustering, d. h. eine Gruppierung, von natürlichen Fahrszenarien basierend auf Bremswarnereignissen der Eskalationsstufe E1 einer Bremsassistenzfunktion. Die hierarchische Clusteranalyse einer ereignisbasierten Analyse erfolgt mit Signalclustern C
1 mit der Verbundkurve nach links, C
2 mit der Wendelinie nach rechts, C
3 mit der Wendelinie nach links und C
4 mit der Verbundkurve nach rechts, wie in
DE 10 2018 004 429 A1 beschrieben ist.
-
2 zeigt eine schematische Darstellung der Datenverarbeitungsstruktur des Datenerfassungssystems im Fahrzeug mit seinen Hauptelementen, d. h. sie zeigt ein Messtechnik- und Datenanalysekonzept für die weltweite Absicherung von automatisierten Fahrfunktionen, welches eine Skalierbarkeit zur Aufzeichnung von Fahrzeugsensor- und/oder Umfeldsensordaten von spezifischen Fahrereignissen einerseits und permanente Daten zur statistischen Absicherung und Softwareentwicklung andererseits erlaubt.
-
Die Datenverarbeitungsstruktur umfasst eine ereignisbasierte Datenerfassung 12 mit einer Messtechnik für Field Operational Test-Daten 13, insbesondere zur Szenarioerhebung, eine Eckfallerkennung 14 mit einer Data Ingest Station 15, insbesondere zur Szenarioextraktion, und eine Cloud-basierte Datenspeicherung 16 mit einer Szenariodatenbank 17, insbesondere für eine Re-Simulation und ein Szenario-Fuzzing.
-
Die Messdaten aus länderspezifischen Feldversuchen werden beim szenariobasierten Testen aufgezeichnet und zentral in einer Cloud-Datenbank gespeichert.
-
Dies erfordert höhere Kapazitäten zur Datenerfassung und -speicherung, hat aber den Vorteil, dass eine vollständige Re-Simulation mit modifizierten funktionalen Software-Versionen über alle Feldtests (Field Operational Test - FOT) ermöglicht wird.
-
Formel (1) beschreibt die Zeit
TTCE1 bis zur Kollision für die Eskalationsstufe E1 als ein Disengagement-Ereignis für das Abschaltkriterium im autonomen Modus einer Notbremsfunktion in zukünftigen automatisierten Fahrzeugen, wenn die Beschleunigungen von Fahrzeug und vorausfahrendem oder stehendem Fahrzeug zeitlich konstant sind, wie folgt:
-
Dabei ist υx die Längsgeschwindigkeit.
-
Im Verfahrensschritt III des Verfahrens werden Simulationsrechnungen für definierte Testszenarien auf der Hardware-in-the-Loop Plattform durchgeführt. Dabei ist ein Fahrszenario mit gerader Straße vorgesehen, welches zur Bestimmung der Zeit
bis zur Kollision mit einem sich vor dem Fahrzeug befindlichen stationären Objekt in der Eskalationsstufe E1 ausgeführt wird. Das Fahrzeug bewegt sich mit einer Längsgeschwindigkeit υ
x[km/h]. In der Simulation bewegt sich das Fahrzeug mit einer Längsgeschwindigkeit
-
Formel (2) beschreibt die Regressionsfunktion mit Hilfe einer Dosis-Wirkungs-Kurve mit vier Parametern. In der Pharmakologie beschreiben Dosis-Wirkungs-Kurven graphisch den Zusammenhang zwischen der verabreichten Dosis eines Wirkstoffs und seiner Wirkung. Die logistische Regression ist daher ein Dosis-Wirkungsmodell, das auch als sigmoide Dosis-Wirkungs-Beziehung bezeichnet wird. Wie stets bezeichnet P1 bzw. P2 das minimale bzw. maximale Niveau der
Der Parameter P3 ist der Wendepunkt, bei dem 50%
zwischen minimalen und maximalen Wert erreicht sind. Der Parameter P4 steuert die Steigung, wobei größere Werte eine flachere Kurve erzeugen.
-
3 zeigt eine schematische Darstellung einer Korrelationsanalyse zwischen digitalen und physikalischen Erprobungen 1, 2. Über dem Diagramm ist eine Legende dargestellt, um die dargestellten Markierungen für die Hardware-in-the-Loop Plattform HiL und die dargestellten Markierungen für die Field Operational Tests FOT zuordnen zu können.
3 zeigt schematisch einen Zeitabstand mit einem sich vor dem Fahrzeug befindlichen stationären Objekt mit unterschiedlicher initialer Relativgeschwindigkeit für die Eskalationsstufe E1 bei einem Szenario mit gerader Straße, das auf einer Hardware-in-the-Loop Plattform angewendet wird. Zusätzlich dazu wird eine theoretische ideale Kurve der Eskalationsstufe E1 gegenüber der Ego-Geschwindigkeit angenommen. Beispielsweise werden die 179 Fehlauslösungen aus dem Cluster C
1 mit Verbundkurve nach links, wie in
DE 10 2018 004 429 A1 beschrieben ist, für die Korrelationsanalyse verwendet.
-
Bei der Korrelationsanalyse werden die Korrelationskoeffizienten nach Pearson Produkt-Moment-Korrelation als Maß für den linearen Zusammenhang zweier Variablen
und
berechnet.
-
Die Sigmoid-Dosis-Wirkungs-Beziehung als Regressionsfunktion wird mit folgenden Parametern P1 = 0.52, P2 = 4.25, P3 = 37.6, P4 = 0.02 berechnet.
-
Der Korrelationskoeffizient wird berechnet zwischen der idealen Kurve der Eskalationsstufe E1 und den 179 Fehlauslösungen aus dem Cluster C
1 mit Verbundkurve nach links, wie in
DE 10 2018 004 429 A1 beschrieben ist, sodass
Der Korrelationskoeffizient kann Werte zwischen -1 und 1 annehmen, wobei ein Korrelationskoeffizient von 0 bedeutet, dass kein Zusammenhang zwischen beiden Variablen existiert. Ein Korrelationskoeffizient von +1 beschreibt einen perfekten positiven Zusammenhang zwischen beiden Variablen, während eine Korrelation von -1 eine perfekte Antikorrelation beschreibt.
-
4 zeigt eine schematische Darstellung der Zeitreihen für die Erfassungsdaten aus dem Erfassungssystem für ein logisches Szenario mit einem sich vor dem Fahrzeug befindlichen, stationären Objekt in einer linken Kurveneingangssituation, auch als Verbundkurve nach links bezeichnet.
-
5 zeigt eine schematische Darstellung eines logischen Szenarios in einer Ontologie mit einem sich vor dem Fahrzeug befindlichen, stationären Objekt in einer linken Kurveneingangssituation, auch als Verbundkurve nach links bezeichnet. Das Fahrzeug wird hier als Ego-Fahrzeug bezeichnet.
-
Im Verfahrensschritt VI wird die Ontologie mithilfe der charakteristischen Signalverläufe aus dem logischen Szenario verwendet.
-
In der Softwaretechnik wird eine Ontologie als die explizite Spezifikation einer Konzeptualisierung definiert.
-
Die Konzeptualisierung ist eine abstrakte, vereinfachte Darstellung einiger ausgewählter Teile einer Anwendungsdomäne.
-
Daher kann die Ontologie als eine Wissensbasis betrachtet werden, die aus terminologischen und assertionalen Boxen besteht.
-
Während terminologische Boxen (TBoxen) die Konzepte einer Anwendungsdomäne beschreiben, werden diese Konzepte durch hierarchische Klassen, Axiome und Eigenschaften ausgedrückt.
-
Die assertionalen Boxen (ABoxen) hingegen repräsentieren Instanzen von Klassen und beobachteten Fakten des situativen Wissens.
-
Die Web Ontology Language ist in der Ontologie für jedes logische Szenario implementiert, was es erlaubt, Logikoperatoren in Regeln zu kombinieren. Ungültige oder verbotene Kombinationen werden daher aus dem Szenario-Katalog entfernt.
-
Im Straßenentwurf werden dabei die drei mathematischen Funktionen (Gerade, Kreisbogen und Klothoide) verwendet, wobei an den Übergangsstellen die Elemente knickfrei aneinanderfügt sein sollen.
-
Die Verbundkurve besteht aus einem Kreisbogen sowie einer einleitenden und einer ausleitenden Klothoide. Die Wendelinie besteht aus zwei Verbundkurven mit unterschiedlichem Krümmungssinn.
-
ψ ist die Gierrate des Ego-Fahrzeugs.
Die berechnete Krümmung des befahrenen Fahrwegs K
ego [1/km] sowie die relative Querablage
des sich vor dem Fahrzeug befindlichen, stationären Objekts über die Zeit t [s] sind die Erfassungsdaten mit offenem Regelkreis. In
4 wird die relative Querablage
als d
y[m] bezeichnet.
-
Die Erfassungsdaten werden gemäß den Konvertierungsregeln als Steuerungsdaten mit geschlossenem Regelkreis konvertiert, um die konkreten Szenarien mit dem gesamten Parameterraum zu generieren.
-
Die zu erstellenden konkreten Szenarien erweitern die Testabdeckung über den gesamten Wirkbereich des sogenannten Operational Design Domains, um die Weiterentwicklung der zu testenden Fahrfunktion 11 sicherzustellen.
-
4 stellt dabei eine Ontologie für ein logisches Szenario aus dem Cluster C
1 mit 179 Fehlereignissen als 53.12 % aus insgesamt 337 Fehlereignissen in der Clusteranalyse dar, wie in
DE 10 2018 004 429 A1 beschrieben ist.
-
Beispielsweise beinhaltet die Ontologie für das logische Szenario „Verbundkurve nach links“ aus dem Cluster C1 eine „besteht_aus“ Anweisung, um die Elemente eines Straßennetz-Layouts mit zwei Fahrspurklassen und einer Klasse für einen Seitenstreifen zu modellieren. Die Anweisungen „Nachbarspur_rechts“ und „Nachbarspur-links“ werden verwendet, um Straßenelemente zueinander anzuordnen. Die Positionsinstanzen werden auf der Basis einer Relation „Position“ für die Ontologie-Straßenelemente erzeugt.
-
Die Anweisungen „links von“, „rechts_von“, „vorne_von“, „hinten_von“ werden verwendet, um die Positionsinstanzen mit logischer Argumentation anzuordnen. Die Anweisungen „fährt_auf“ und „liegt_auf“ werden verwendet, um die dynamischen Objekte mit verschiedenen Positionsinstanzen zu regeln. Das Objekt „Obj1“ ist als stationäres Objekt auf dem Seitenstreifen definiert.
-
Die Parameterräume und auch relevante Verteilungsfunktionen werden identifiziert, sodass aus diesen logischen Szenarien konkrete Szenarien abgeleitet werden können. Basierend auf der Parametrisierung werden dann einzelne Tests (konkrete Szenarien) durchgeführt.
-
Das Testverfahren erfordert die Wahrscheinlichkeit P
T, dass eine Notbremsfunktion einen funktionalen Szenarien-Katalog U ausführt. Da das funktionale Szenario
das Cluster C
1 und das Cluster C
4 präsentiert, wird die Wahrscheinlichkeit durch
bestimmt.
-
Da das funktionale Szenario
das Cluster C
2 und das Cluster C
3 präsentiert, wird die Wahrscheinlichkeit durch P
t(F
tWendelinie) bestimmt.
-
Im Allgemeinen kann ein funktionales Szenario als eine Kombination aus einer Äquivalenzklasse für jede Dimension
definiert werden.
-
Die Gesamtwahrscheinlichkeit funktionaler Szenarien kann allgemein für die Dimensionen n formuliert werden, wobei sich die Anzahl der Szenarien aus den Äquivalenzklassen der Dimension
ergibt.
-
6 zeigt eine schematische Darstellung der kumulativen Verteilungsfunktion
CDF und Wahrscheinlichkeitsdichtefunktion
PDF (in den
6 bis
8 dargestellt, die Markierungen sind anhand der Legende über den Diagrammen identifizierbar) für die Zufallsvariable
mit einem Parameter a = -0.318, Parameter b = 1.90614 und Parameter c = 1.9614 als Ausgang für den Zufallsgenerator der gemeinsamen Dichte der Zufallsvariablen der vom Ersatzmodell zu selektierenden Daten aus dem Cluster C
1. Die Auswertung des Ersatzmodells wird für die Definition der Grenzzustandsfunktion verwendet.
-
7 zeigt eine schematische Darstellung der kumulativen Verteilungsfunktion
CDF und Wahrscheinlichkeitsdichtefunktion
PDF für die Zufallsvariable
mit folgenden Parametern (µ = -0.451483, σ = 0.36633, a = -1.45, b = 0.143) als Eingang für den Zufallsgenerator der gemeinsamen Dichte der Zufallsvariablen der vom Ersatzmodell zu selektierenden Daten aus dem Cluster C
1 und die Zufallsvariable υ
x [km/h] mit folgenden Paramatern (a = 7.94651, b = 59.5984, c = 83.3891). Die Auswertung des Ersatzmodells wird für die Definition der Grenzzustandsfunktion verwendet.
-
8 zeigt eine schematische Darstellung der kumulativen Verteilungsfunktion CDF und Wahrscheinlichkeitsdichtefunktion PDF für die Zufallsvariable Kego[1/km] mit folgenden Parametern (µ = 0.268827, σ = 1.1418, a = -4.5, b = 3.88) als Eingang für den Zufallsgenerator der gemeinsamen Dichte der Zufallsvariablen der vom Ersatzmodell zu selektierenden Daten aus dem Cluster C1 und die Zufallsvariable dy[m] mit folgenden Parametern (µ = -0.2987, σ = 0.564, a = -2.6, b = 0.8). Die Auswertung des Ersatzmodells wird für die Definition der Grenzzustandsfunktion verwendet.
-
9 zeigt eine schematische Darstellung der geschätzten Versagenswahrscheinlichkeit der Schwere der Ereignisse
mit Hilfe Monte-Carlo-Simulation (Stichprobenzahl N
mc = 1000 mit Standardfehler e
P̅
f = 0.0094 und geschätzter Versagenswahrscheinlichkeit P̅
f= 0.1). Die Markierungen sind in der Legende darüber erklärt. In
9 wird der Erwartungswert des Schätzers für die Versagenswahrscheinlichkeit des kritischen Schweregrads
mit Monte-Carlo Simulation gezeigt, wobei die Stichproben des Versagens im Vergleich zu den Stichproben des Überlebens sehr gering sind und sich am linken Ende der Figur befinden, was zeigt, dass das Ziel für die niedrigeren Werte von υ
x [km/h] getroffen ist. Das Ziel wird für die Werte von
υx höher als 50 [km/h] verfehlt. Die Abbruchkriterien der Simulation hängen vom Vergleich zwischen dem Standardfehler der Überschreitungswahrscheinlichkeit und dem geforderten Standardfehler δ
P̅
f = 0.05 ab. Aus der Stichprobenzahl von N
mc = 1000 sind die Stichprobenzahl
für das Versagen und die Stichprobenzahl
für das Überleben ausgewertet.
-
10 zeigt eine schematische Darstellung der geschätzten Versagenswahrscheinlichkeit der Schwere der Ereignisse
mit Hilfe Monte-Carlo-Simulation (Stichprobenzahl N
mc = 1800 mit Standardfehler e
P̅f= 0.0092 und geschätzter Versagenswahrscheinlichkeit P̅
f = 0.19). Die Markierungen sind in der Legende darüber erklärt. In
10 wird der Erwartungswert des Schätzer für die Versagenswahrscheinlichkeit des höheren Schweregrads
mit Monte-Carlo Simulation gezeigt, wobei die Anzahl der Stichproben des Versagens erhöht wird. Das Ziel ist für die höheren Werte der relativen Längsgeschwindigkeit 1υ
x [km/h] eingetroffen. Dadurch wird eine leicht nach rechts verschobene Wolke der Stichproben des Versagens erzeugt. Aus der Stichprobenzahl von 1N
mc = 1800 sind die Stichprobenzahl
für das Versagen und die Stichprobenzahl
für das Überleben ausgewertet.
-
11 zeigt eine schematische Darstellung der geschätzten Versagenswahrscheinlichkeit der Schwere der Ereignisse
mit Hilfe Monte-Carlo-Simulation (Stichprobenzahl N
mc = 500 mit Standardfehler e
P̅
f = 0.022 und geschätzter Versagenswahrscheinlichkeit P̅
f= 0.51). Die Markierungen sind in der Legende darüber erklärt. In
11 wird der Erwartungswert des Schätzers für die Versagenswahrscheinlichkeit des mittleren Schweregrads
mit Monte-Carlo Simulation gezeigt, wobei die Parameter für υ
x [km/h] sich für die Stichproben mit dem Versagen erhöhen und die Wolke der Stichproben für das Versagen sich wieder nach rechts bewegt. Aus der Stichprobenzahl von N
mc = 500 sind die Stichprobenzahl
für das Versagen und die Stichprobenzahl
für das Überleben ausgewertet.
-
12 zeigt eine schematische Darstellung der geschätzten Versagenswahrscheinlichkeit der Schwere der Ereignisse
mit Hilfe Monte-Carlo-Simulation (Stichprobenzahl N
mc = 1600 mit Standardfehler e
P̅
f = 0.01 und geschätzter Versagenswahrscheinlichkeit P̅
f= 0.2). Die Markierungen sind in der Legende darüber erklärt. In
12 wird der Erwartungswert des Schätzers für die Versagenswahrscheinlichkeit des niedrigen Schweregrads
mit Monte-Carlo Simulation gezeigt, wobei die Wolke der Stichproben für das Versagen auf der rechten Seite liegt. Aus der Stichprobenzahl von N
mc = 1600 sind die Stichprobenzahl
für das Versagen und die Stichprobenzahl
für das Überleben ausgewertet.
-
13 zeigt eine schematische Darstellung der geschätzten Versagenswahrscheinlichkeit der Schwere der Ereignisse
mit Hilfe Adaptiven Samplings mit 4 Iterationen (Stichprobenzahl N
as = 800 mit Standardfehler e
P̅
f = 0.0088 und geschätzter Versagenswahrscheinlichkeit P̅
f = 0.1). Die Markierungen sind in der Legende darüber erklärt. In
13 wird der Erwartungswert des Schätzers für die Versagenswahrscheinlichkeit des kritischen Schweregrads
mit Adaptive-Importance Sampling gezeigt. Der Algorithmus für das Adaptive-Importance Sampling verwendet vier Iterationen, wobei jede Iteration aus 200 Stichproben besteht. Aus der Stichprobenzahl von N
as = 800 sind die Stichprobenzahl
für das Versagen und die Stichprobenzahl
für das Überleben ausgewertet. Der Erwartungswert des Schätzers für die Versagenswahrscheinlichkeit wird mit P̅
f = 0.1 berechnet und bestätigt somit das Ergebnis aus der Monte-Carlo Simulation beim gleichen Schweregrad
-
14 zeigt eine schematische Darstellung der geschätzten Versagenswahrscheinlichkeit der Schwere der Ereignisse
mit Hilfe Adaptiven Samplings mit 5 Iterationen (Stichprobenzahl N
as = 900 mit Standardfehler e
P̅
f = 0.0088 und geschätzter Versagenswahrscheinlichkeit P̅
f= 0.18). Die Markierungen sind in der Legende darüber erklärt. In
14 wird der Erwartungswert des Schätzers für die Versagenswahrscheinlichkeit des höheren Schweregrads
mit Adaptive Importance Sampling gezeigt, wobei die Stichproben in fünf Iterationen durchgeführt sind. Die ersten drei Iterationen werden mit dem Budget von 100 Stichproben, die vierte mit 200 Stichproben und die fünfte mit 400 Stichproben durchgeführt. Aus der Stichprobenzahl von N
as = 900 sind die Stichprobenzahl
für das Versagen und die Stichprobenzahl
für das Überleben ausgewertet. Dies zeigt, dass die Varianz mit Adaptive-Importance Sampling erfolgreich eliminiert wird.
-
15 zeigt eine schematische Darstellung der geschätzten Versagenswahrscheinlichkeit der Schwere der Ereignisse
mit Hilfe Adaptiven Samplings mit 4 Iterationen (Stichprobenzahl
Nas = 800 mit Standardfehler e
P̅
f = 0.036 und geschätzter Versagenswahrscheinlichkeit P̅
f = 0.52). Die Markierungen sind in der Legende darüber erklärt. In
15 wird der Erwartungswert des Schätzers für die Versagenswahrscheinlichkeit des mittleren Schweregrads
mit Adaptive Importance Sampling gezeigt. Die Stichproben werden in vier Iterationen durchgeführt, wobei die ersten drei Iterationen mit einem Budget von 100 Stichproben und die vierte mit 500 Stichproben durchgeführt wird. Aus der Stichprobenzahl von
Nas = 800 sind die Stichprobenzahl
für das Versagen und die Stichprobenzahl
für das Überleben ausgewertet.
-
16 zeigt eine schematische Darstellung der geschätzten Versagenswahrscheinlichkeit der Schwere der Ereignisse
mit Hilfe Adaptiven Samplings mit 4 Iterationen (Stichprobenzahl
Nas = 800 mit Standardfehler e
P̅f= 0.084 und geschätzter Versagenswahrscheinlichkeit P̅
f = 0.26). Die Markierungen sind in der Legende darüber erklärt. In
16 wird der Erwartungswert des Schätzers für die Versagenswahrscheinlichkeit des niedrigen Schweregrads
mit Adaptive Importance Sampling gezeigt. Aus der Stichprobenzahl von
Nas = 800 ist die Stichprobenzahl
für das Versagen und die Stichprobenzahl
für das Überlegen ausgewertet. Die Adaptive-Importance Sampling-Methode erzeugt für den Schweregrad eine statistische Unsicherheit mit dem Ergebnis der Versagenswahrscheinlichkeit.
-
Die Sensitivitätsanalyse wird für die E
1 Ereignisse aus dem Cluster C
1 exemplarisch vorgestellt. Aus Design of Experiments werden die erforderlichen Verhaltensmodelle als Ersatzmodelle für die wichtigen Parameter der einzelnen Fahrsituationen aus dem Cluster C
1 erstellt. Die erforderlichen Sensitivitätsmaße werden in Bezug auf die Antwortgröße
analysiert.
-
Im Verfahrensschritt V werden die Sensitivitätsmaße mit Hilfe der Sensitivitätsanalyse bestimmt, mit den Eingänge des Ersatzmodells
und
dx [m]) und dem Ausgang des Ersatzmodells
-
Mit diesen Parametern soll untersucht werden, ob vom E
1 Ereignis auf den kritischen Wert der kleinsten Zeit zur Kollision
geschlossen werden kann.
-
Die Eingangsparameter sind zum Teil stark korreliert. Die ungewünschten Korrelationen zwischen den Eingangsgrößen erschwert die Modellbildung. Deshalb werden die Variablen (κego[1/km], dy[m] und dx[m]) für das Ersatzmodell nicht mehr mitberücksichtigt.
-
Die Ersatzmodelle bzw. Metamodelle stellen eine Approximation der Realität dar.
-
Die Modellierung der Zufallsvariablen für die Parameter der Cluster C
1 wird derart realisiert, dass die Zufallsvariable
als Eingangsvariable des Zufallsgenerators der gemeinsamen Dichte der Zufallsvariablen mit Hilfe der abgeschnittenen Normalverteilung darzustellen ist und die Zufallsvariable υ
x [km/h] als Eingangsvariable des Zufallsgenerators der gemeinsamen Dichte der Zufallsvariablen mit abgeschnittener Normalverteilung darstellbar ist. Die Zufallsvariable
ist als Ausgangsvariable des Zufallsgenerators der gemeinsamen Dichte der Zufallsvariablen mit Hilfe der Dreiecksverteilung darzustellen.
-
Die Zufallsvariable
resultiert aus
wie folgt:
-
Während die Wahrscheinlichkeitsdichtfunktion PDF die Verteilung der Werte anzeigt, berechnet die kumulierte Verteilungsfunktion CDF die kumulative Wahrscheinlichkeit für einen bestimmten Wert.
-
In diesem Fall wird das zu betrachtende Versagenskriterium durch
festgelegt. Dabei beschreibt
den letzten Zeitpunkt, in dem die Umgebungssensoren, insbesondere der Radarsensor, das stationäre Objekt als relevant bewertet haben.
-
Die Ausgangsvariable des Ersatzmodells
wird durch die Dreiecksverteilung modelliert, wobei die Wahrscheinlichkeitsdichtefunktion
PDF der Dreieckverteilung drei Parametern hat: die Parameter
a für die Untergrenze, b für die obere Grenze und c für den wahrscheinlichsten Wert.
-
Die Ausgangsvariable des Zufallsgenerators
wird durch die abgeschnittene Normalverteilung modelliert, wobei die Wahrscheinlichkeitsdichtefunktion
PDF der abgeschnittenen Normalverteilung vier Parametern hat: die Lageparameter
µ, die Formparameter
σ, die Parameter
a für die Untergrenze, b für die obere Grenze. Die Funktion φ ist die Dichtefunktion bei der Normalverteilung. Die Funktion
Φ ist die kumulative Verteilung bei der Normalverteilung.
-
Die ISO 26262 enthält eine Gefahrenanalyse und Risikobewertung zur Bestimmung des erforderlichen ASIL (Automotive Safety Integrity Level) und zur Bewertung der potenziellen Risiken von elektrischen und/oder elektronischen Fehlfunktionen, die die Sicherheitsziele verletzten können. Der risiko-orientierte Ansatz klassifiziert das Risiko R für jede potentiell gefährliche Fahrsituation, wie folgt:
-
Dadurch wird die Risikoklassifizierung mit den folgenden zwei Auswirkungsfaktoren definiert, wobei H die Menge der gefährlichen Fahrsituationen entspricht.
-
Schwere der Auswirkung einer gefährlichen Fahrsituation h, wobei
-
Expositionswahrscheinlichkeit einer gefährlichen Fahrsituation h, wobei
-
Kontrollierbarkeitsniveau in der jeweiligen Fahrsituation h, wobei
-
Der ASIL Bestimmung kann das Kontrollierbarkeitsniveau
für die automatisierte Fahrfunktion mit Automatisierungsstufen ohne Eingriff des Fahrers zugeordnet werden, wenn die zu testende Fahrfunktion schwer oder nicht kontrollierbar ist.
-
Im so genannten „Schattenmodus“ werden Daten von Kundenfahrzeugen auf öffentlichen Straßen gesammelt, um eine effiziente Absicherungsmethode für autonomes Fahren im Vergleich zu einer geringen Anzahl von autonomen Testfahrzeugen auf bestimmten Strecken anzubieten.
-
Die Abbruchkriterien werden durch die Festlegung der Referenzwerte für die Risikobewertungsmatrix auf Basis der heutigen Fahrfunktionen am Beispiel eines Notbremsassistenten definiert, die für die Weiterentwicklung der zu testenden automatisierten Fahrfunktion im Zusammenhang der Erweiterung des gesamten Wirkbereichs des sogenannten Operational Design Domains und/oder Erhöhung der Automatisierungsstufe genutzt werden.
-
Die Abbruchkriterien bilden die Testentscheidungsgrundlagen ab, die im Zusammenhang mit vorhandenen Vorschriften und Rahmenbedingungen zu einer möglichen Kundenfreigabe dienen können. Ansonsten ist die Kundenfreigabe in dieser Anmeldung eher eine rhetorische Frage, da die Informationen aus dem Feld und von Simulationen das Risikomanagement fortlaufend ergänzen.
-
Die Zuverlässigkeitsanalyse erfolgt mit Hilfe der Modellbildung des Ersatzmodells aus der Sensitivitätsanalyse durch die Definition der Grenzzustandsfunktion.
-
Für Zuverlässigkeitsanalysen unter Verwendung von Ersatzmodellen durch die Bestimmung der wichtigsten Eingangsgrößen ist eine Prognosefähigkeit der Modelle notwendig, um die Streuungen und damit die Versagenswahrscheinlichkeiten verlässlich zu berechnen.
-
Als Maß der Sicherheit wird üblicherweise ihr Komplement, die Versagenswahrscheinlichkeit, berechnet.
-
Das Versagen bedeutet in diesem Zusammenhang nicht notwendigerweise den totalen Kollaps der Fahrfunktion.
-
Jeder unzulässige Zustand der Fahrfunktion wird als Versagen bezeichnet, die Versagenswahrscheinlichkeit ist somit die Eintrittswahrscheinlichkeit eines solchen Zustands.
-
Die Zufallsvariablen sind durch den Verteilungstyp und die entsprechenden Verteilungsparameter festzulegen.
-
Der Versagenszustand ist durch eine deterministische Grenzzustandsfunktion definiert.
-
Die Grenzzustandsfunktion g(Z) ist die Antwort des betrachteten Ersatzmodells zu einer Realisierung der n Basisvariablen, die so skaliert ist, dass
-
Der vordefinierte Sicherheitsbereich ist γ, wobei die Grenzzustandsfunktion g(Z) die Beziehung zwischen Widerstand und Last als eine Funktion von Z ist, wobei Z einen Vektor aller Unsicherheitsvariablen beschreibt, die die Lasten und Widerstände darstellen.
-
Aus Formel (10) ist ersichtlich, dass die Grenze des Versagensbereichs, also der Übergang vom sicheren in den versagten Zustand, durch g(Z) = γ markiert ist.
-
Sei
der Raum der n Basisvariablen, dann ist der Versagensbereich der Unterraum
welcher definiert ist durch
-
Die Versagenswahrscheinlichkeit ist, mit den Formeln (10) und (11), das Integral der gemeinsamen Dichtefunktion der Zufallsvariablen f
z(z)über den Versagensbereich
wie in Formel (12) dargestellt. Die Versagenswahrscheinlichkeit einer gemeinsamen Dichtefunktion wird mit P
f bezeichnet und ist gegeben durch
-
Die Funktion fz(z) ist die gemeinsame Dichtefunktion der Basisvariablen Z.
-
Die Berechnung von Erwartungswerten ist ein wichtiges Problem für die Risikobewertung.
-
Eine analytische Berechnung der Erwartungswerte bei ansteigender Dimensionalität der betrachteten Größen ist nicht mehr praktikabel.
-
Dabei ist die Schwere der Auswirkung S
c1 in vier Regionen aufgeteilt, wobei
,
definiert sind. Die prospektive Risikobewertung
für nachfolgendende Fahrzeuge der automatisierten Fahrfunktion kann hinsichtlich des extrahierten Clusters C
1 aus den Feldtests mit der folgenden Formel berechnet werden:
-
Die Monte-Carlo-Integration nährt sich den Erwartungswerten durch simulationsbasierte Approximation an.
-
Die Lösung des Integrals durch Simulation seltener Ereignisse wird als Monte-Carlo-Simulation und Adaptive Sampling bezeichnet.
-
Die Monte-Carlo-Simulation eignet sich zur numerischen Auswertung von mehrdimensionalen Integralen. Die Versagenswahrscheinlichkeit wird in Formel (12) definiert als ein Integral der gemeinsamen Dichtefunktion der Basisvariablen über den Versagensbereich.
-
Die Lösung des Integrals durch Simulation wird als Monte-Carlo Integration bezeichnet.
-
Das Ergebnis von Formel (12) wird aus einer auf dem Rechner erzeugten künstlichen Stichprobe im statistischen Sinne geschätzt.
-
Die Monte-Carlo-Simulation wird zur Berechnung der Erwartungswerte genutzt.
-
Statt den wahren Erwartungswert zu berechnen, berechnet man einen Schätzer mithilfe einer Zufallsstichprobe.
-
Der Schätzer ist erwartungstreu, wenn sein Erwartungswert identisch der gesuchten exakten Lösung ist.
-
Das Konfidenzintervall des Schätzers hängt von seiner Varianz ab.
-
Das Ziel eines statischen Schätzverfahrens ist, einen erwartungstreuen Schätzer mit minimaler Varianz zu finden.
-
Mit der Einführung einer Indikatorfunktion I
ergibt sich für die Versagenswahrscheinlichkeit:
Somit kann die Versagenswahrscheinlichkeit als Erwartungswert
E̅ (oder E) der geschätzten Indikatorfunktion betrachtet werden:
-
Der statistische Mittelwert mit N Realisierungen der Basisvariablen x
i ist ein erwartungstreuer Schätzer der Formel (16):
-
Unter Ausnutzung der Erwartungstreue berechnet sich seine Varianz. Für eine erwartete Versagenswahrscheinlichkeit und eine vorgegebene Varianz des erwartungstreuen Schätzers ergibt sich aus Formel (17) die Forderung der Anzahl an Realisierungen, die zu simulieren sind.
-
Bei Anwendungen wird häufig der auf die Zahl der Simulation bezogene Standardfehler als Vergleichswert angegeben, der wie folgt definiert ist:
-
Die erforderliche Anzahl NS der Simulation ergibt sich aus der vorgegebenen Varianz des Schätzers.
-
Aus den Stichproben werden die sogenannte Indikatorfunktionen für verschiedene Kriterien (Grenzzustandsfunktionen entsprechend der Schwere der Auswirkung einer gefährlichen Fahrsituation) ausgewertet.
-
Das Kriterium der Qualität der aus der Stichprobe geschätzten Versagenswahrscheinlichkeit ist wieder der Standard-Fehler.
-
Dabei werden die zugehörigen Versagenswahrscheinlichkeiten und statistischen Fehler (Standard-Fehler bzw. die Standardabweichung der geschätzten Wahrscheinlichkeit) berechnet.
-
Die Versagenskriterien bzw. Grenzzustandsfunktionen sind wie folgt festgelegt:
- o
- o
- o
- o
-
9 zeigt exemplarisch die geschätzte Versagenswahrscheinlichkeit
und den Standardfehler
für die Schwere eines ungewollten Warnereignises
aus dem Cluster C
1 mit Monte-Carlo-Simulation.
-
Dabei sind die Abbruchkriterien der Simulationsläufe
Nmc nach der stabilen Erreichung eines Standardfehlers
definiert. Der geforderte Standardfehler δ
P̅f = 0.05.
-
Das Adaptive Sampling ist ein Verfahren, das den notwendigen Stichprobenumfang gegenüber Monte-Carlo stark verringert.
-
Es gehört zur Familie der Importance Sampling Verfahren, bei denen eine gezielte Erzeugung von Stichproben im Versagensbereich bei hohen Wahrscheinlichkeitsdichten angestrebt wird.
-
Es wird eine andere Verteilung zur Generierung der Stichproben, als für die Parameter definiert wurde, verwendet.
-
Diese Beeinflussung der Statistik wird intern korrigiert.
-
Das Adaptive Sampling passt die Verteilung zur Simulation in mehreren iterativen Schritten automatisch an, indem jeweils aus der vorigen Iteration eine statistische Auswertung nur der zum Versagen führenden Stichproben vorgenommen wird.
-
Mit den so bestimmten Mittelwerten und der Kovarianzmatrix wird für die Simulation eine mehrdimensionale Normalverteilung definiert.
-
Die Stichprobenentnahme nach Wichtigkeit hat das Ziel, die Varianz des SchätzerseP̅
f zu verringern und dadurch die erforderliche Anzahl NS an Simulationen zu reduzieren.
-
Dabei werden die Stichproben anhand einer Wahrscheinlichkeitsverteilung erzeugt.
-
Die Zufallszahlen werden anstatt nach einer Gleichverteilung nach einer spezifischen Dichtefunktion generiert. Für die Simulation der Basisvariablen zi wird die Original-Dichtefunktion fz(z) nicht verwendet, sondern eine spezifische DichtefunktionhY(y), sodass viele Stichproben der eingeführten Basisvariablen Y in jede Bereiche fallen, die eine hohe Wahrscheinlichkeitsdichte aufweisen.
-
Die Zufallsvariablen Y sind in dem Wertebereich von Z definiert.
-
Das Integral der Formel (15) erweitert ergibt dann:
-
Die Versagenswahrscheinlichkeit ist der Erwartungswert in Bezug auf die Dichtefunktion h
Y(y).
-
Die Versagenswahrscheinlichkeit wird durch Simulation von Stichproben nach der Verteilung hY(x) geschätzt.
-
Durch Simulation von Stichproben y
i nach der Verteilung h
Y(y) ergibt sich der Schätzwert von P̅
f zu:
-
Die Varianz des Schätzers errechnet sich zu:
-
Die Varianz des Schätzers wird demzufolge zu Null, wenn die Dichtefunktion besitzt:
-
Bei Monte-Carlo Simulation werden Stichproben gemäß der vorgegebenen Dichtefunktion erzeugt. Das Verhältnis zwischen dem, was in dem Integrationsgebiet liegt, und dem, was außerhalb liegt, konvergiert dann gegen den Wert des Integrals. Bei Adaptive Importance Sampling werden Strichproben stattdessen gemäß Originalvariablen verwendet, sondern eine neue simulierte Dichtefunktion, um die Statistik beabsichtigt zu beeinflussen. Die Simulationsdichtefunktion ist auch die Korrektur zwischen originaler und simulierter Dichtefunktion.
-
Nach einer ersten Simulation werden die statistischen Momente der Stichproben der Basisvariablen im Versagensbereich berechnet.
-
Eine mögliche Näherung der originalen Dichtefunktion, wie in Formel (24) erwähnt ist, kann durch eine Berechnung des Mittelwertsvektors E[Y] erreicht werden. Diese statistischen Momente sind die Verteilungsparameter der normalverteilten Zufallsvariablen Y, die zur Simulation in einem nächsten Iterationsschritt verwendet werden.
-
In mehreren wiederholten Läufen kann so die Simulationsdichte hY(x) adaptiv ermittelt werden.
-
Die Indikatorfunktion, die Versagenswahrscheinlichkeit und der statistische Schätzfehler sind in den 13 bis 16 darstellbar.
-
In vielen Fällen benötigt Adaptive Sampling weniger Stichproben, um die geforderte Genauigkeit zu erreichen.
-
In allen Fällen werden relativ hohe Wahrscheinlichkeiten berechnet.
-
Erst bei sehr geringen Versagenswahrscheinlichkeiten (in der Größenordnung 10-6) zeigt sich die Effizienz des Adaptive Sampling deutlich.
-
Die Versagenswahrscheinlichkeit nimmt von
nach
ab, während
mit einer kleineren Wahrscheinlichkeit als
auftritt.
-
Die 13 bis 16 zeigen eine ähnliche Art der Bewegung der Wolke für die Strichproben des Versagens von links unten nach rechts oben im Vergleich zu den 9 bis 12. Das liegt an der Verteilung der Messdaten, die als Stützstellen der gemeinsamen Dichtefunktion der Zufallsvariablen dienen.
-
Die gemeinsame Dichtefunktion der Zufallsvariablen für den Zufallsgenerator kann bei geringer Stützstellendichte ungenau sein. Das Ersatzmodell wird für die Bestimmung der Grenzzustandsfunktion verwendet.
-
Die gemeinsame Dichtefunktion der Zufallsvariablen für den Zufallsgenerator wird aus dem durch Stützstellen abgedeckten Bereich extrapoliert.
-
Die Monte-Carlo Simulation wird als Referenz verwendet und mit dem Adaptive Sampling verglichen.
-
Das Verhalten der Monte-Carlo-Integration ist typischerweise, dass für einen gewünschten Standardfehler 0.05 der notwendige Stichprobenumfang steigt, je kleiner die Versagenswahrscheinlichkeit ist.
-
Für die Untersuchungen wird zuerst ein geforderter Standardfehler δP̅
f von 0.1 gewählt, was im Allgemeinen eine gute Konfidenz in das Ergebnis darstellt.
-
Wenn das Adaptive Sampling nach wenigen Schritten dieses Ziel erfüllt, aber die Iterationen sich stark unterscheiden, wird der geforderte Standardfehler δP̅f auf 0.05 reduziert, um mehr Iterationen zu erzwingen.
-
Die Ergebnisse der Monte-Carlo-Integration und des Adaptive Sampling bestätigen einander.
-
Es handelt sich um ein Verfahren zur Überprüfung der Qualität der Optimierung von Fahrfunktionen am Beispiel eines Notbremsassistenten mit allen möglichen Verkehrssituationen über den gesamten Wirkbereich des sogenannten Operational Design Domains.
-
Bezugszeichenliste
-
- 1
- digitale Erprobung
- 2
- physikalische Erprobung
- 3
- wissensbasierte Testmethode
- 4
- datengetriebene Testmethode
- 5
- ontologiebasiertes Szenariomanagement
- 6
- Operational Design Domain Abdeckung
- 7
- Exploration des Parameterraums
- 8
- messbare Sicherheitsbewertung
- 9
- Referenzwerte der Risikoakzeptanzschwelle
- 10
- Risikoakzeptanzschwelle
- 11
- Weiterentwicklung der zu testenden Fahrfunktion
- 12
- ereignisbasierte Datenerfassung
- 13
- Messtechnik für Field Operational Test-Daten
- 14
- Eckfallerkennung
- 15
- Data Ingest Station
- 16
- Cloud-basierte Datenspeicherung
- 17
- Szenariodatenbank
- I bis VIII
- Verfahrensschritt
- CDF
- kumulative Verteilungsfunktion
- PDF
- Wahrscheinlichkeitsdichtefunktion
- dy
- relative Querablage
- eP̅
f
- Standardfehler des Schätzers der Versagenswahrscheinlichkeit
- dx
- relativer Längsabstand
- ψ
- Gierrate
- y
- Sicherheitsmarge
- E
- Erwartungswert einer Zielindikatorfunktion
-
E̅
- Erwartungswert einer geschätzten Indikatorfunktion
- fPDF
- Funktion der Dichteverteilung
- fCDF
- Funktion der kumulierten Verteilung
- σ
- Standardabweichung
- µ
- Mittelwert
- a
- minimaler Wert der Dreiecksverteilung/abgeschnittener Normalverteilung
- b
- maximaler Wert der Dreiecksverteilung/abgeschnittener Normalverteilung
- c
- wahrscheinlichster Wert der Dreiecksverteilung
- ϕ
- Wahrscheinlichkeitsdichtefunktion der Normalverteilung
- Φ
- kumulative Verteilungsfunktion der Normalverteilung
-
- Zeit bis zur Kollision für die Eskalationsstufe E1, die aus den Field Operational Tests gemessen und als reale Kritikalitätswerte aus dem Cluster C1 realisiert werden
- H
- Häufigkeit
-
- Zeit bis zur Kollision für die Eskalationsstufe E1, die aus der Hardware-in-the-Loop Plattform berechnet wird und eine ideale Kritikalitätsschwelle abbildet.
- κego
- prädiktiver Fahrweg
- NS
- Stichprobenzahl
- Nas
- Stichprobenzahl mit Hilfe Adaptive Sampling
- Nmc
- Stichprobenzahl mit Hilfe Monte-Carlo Sampling
-
- Stichprobenzahl für das Versagen mit Hilfe Monte-Carlo Sampling
-
- Stichprobenzahl für das Überleben mit Hilfe Monte-Carlo Sampling
-
- Stichprobenzahl für das Versagen mit Hilfe Adaptive Sampling
-
- Stichprobenzahl für das Überleben mit Hilfe Adaptive Sampling
- NVR
- nicht vertretbares Risiko
- P
- Eintrittswahrscheinlichkeit
-
P̅
f
- geschätzte Versagenswahrscheinlichkeit
- P̅f
- Versagenswahrscheinlichkeit
- SG
- Schweregrad
-
- kritischer Schweregrad
-
- hoher Schweregrad
-
- mittlerer Schweregrad
-
- niedriger Schweregrad
- t
- Zeit
- TTCE1
- Zeit bis zur Kollision für die Eskalationsstufe E1
-
- Zufallsvariable / Antwortgröße (minimale Zeit bis zur Kollision, wo die Sen sorik relevante Objektliste zur Berechnung der Zeit bis zur Kollision liefert. Diese Zufallsvariable wird als Antwortgröße für die Zuverlässigkeitsanalyse und für die Grenzzustandsfunktion verwendet.
-
- Zufallsvariable (das Zeitintervall zwischen
als quantifizierbarer Fehlerindikator von Umweltwahrnehmung
- VR
- vertretbares Risiko
- υx
- relative Längsgeschwindigkeit
-
ZITATE ENTHALTEN IN DER BESCHREIBUNG
-
Diese Liste der vom Anmelder aufgeführten Dokumente wurde automatisiert erzeugt und ist ausschließlich zur besseren Information des Lesers aufgenommen. Die Liste ist nicht Bestandteil der deutschen Patent- bzw. Gebrauchsmusteranmeldung. Das DPMA übernimmt keinerlei Haftung für etwaige Fehler oder Auslassungen.
-
Zitierte Patentliteratur
-
- DE 102018004429 A1 [0002, 0017, 0055, 0064, 0067, 0082]