DE102020106283B3

DE102020106283B3 - Kraftfahrzeug und Verfahren zum Betrieb eines Kraftfahrzeugs

Info

Publication number: DE102020106283B3
Application number: DE102020106283.4A
Authority: DE
Inventors: David Alexander Badouin
Original assignee: Audi AG
Current assignee: Audi AG
Priority date: 2020-03-09
Filing date: 2020-03-09
Publication date: 2021-07-22
Anticipated expiration: 2040-03-10

Abstract

Kraftfahrzeug mit einer Steuereinrichtung (2), die dazu eingerichtet ist, sowohl in einem ersten Betriebsmodus (18) als auch in einem zweiten Betriebsmodus (19) wenigstens ein Fahrzeugsystem (3, 4, 5) des Kraftfahrzeugs (1) anzusteuern, um in einen Fahrbetrieb einzugreifen oder das Kraftfahrzeug (1) zumindest teilautomatisiert zu führen, wobei im zweiten Betriebsmodus (19) ein höherer Automatisierungsgrad erreicht wird als im ersten Betriebsmodus (18), wobei die Steuereinrichtung (2) derart eingerichtet ist, das ein Wechsel in den zweiten Betriebsmodus (19) nur dann möglich ist, wenn ein Freigabeparameter (7) der Steuereinrichtung auf einen Freigabewert (17) gesetzt ist, wobei bei Erfüllung einer Rückstufungsbedingung (6) der Freigabeparameter (7) dauerhaft auf einen Sperrwert (8) gesetzt wird, wonach ein erneutes Setzen des Freigabeparameters (7) auf den Freigabewert (17) nicht oder nur durch eine fahrzeugexterne Einrichtung (15) möglich ist.

Description

Die Erfindung betrifft ein Kraftfahrzeug mit einer Steuereinrichtung, die dazu eingerichtet ist, sowohl in einem ersten Betriebsmodus als auch in einem zweiten Betriebsmodus wenigstens ein Fahrzeugsystem des Kraftfahrzeugs anzusteuern, um in einen Fahrbetrieb einzugreifen oder das Kraftfahrzeug zumindest teilautomatisieret zu führen, wobei im zweiten Betriebsmodus ein höherer Automatisierungsgrad erreicht wird als im ersten Betriebsmodus, wobei die Steuereinrichtung derart eingerichtet ist, das ein Wechsel in den zweiten Betriebsmodus nur dann möglich ist, wenn ein Freigabeparameter der Steuereinrichtung auf einen Freigabewert gesetzt ist. Daneben betrifft die Erfindung ein Verfahren zum Betrieb eines Kraftfahrzeugs.
Beim automatisierten Fahren werden zumindest einige Fahraufgaben von einem menschlichen Fahrer auf ein fahrzeugseitiges System übertragen. Im einfachsten Fall kann hierbei ausschließlich eine Fahrer-Assistenz erfolgen, bei der spezifische Aufgaben, beispielsweise ein Lenken zum Spurhalten oder ein Beschleunigen bzw. Bremsen zur Geschwindigkeits- bzw. Abstandsregelung, automatisiert durchgeführt werden. Verbleibende Aspekte der Fahrzeugführung verbleiben beim Fahrer, der den Fahrbetrieb auch durchgehend überwacht und verantwortet. Eine solche Fahrerassistenz wird gemäß der SAE J3016-Norm bzw. der Einteilung der Bundesanstalt für Straßenwesen auch als Autonomiestufe 1 bezeichnet. Bei einer Teilautomation bzw. in der Autonomiestufe 2 wird sowohl die Längs- als auch die Querführung des Kraftfahrzeugs in einer bestimmten Fahrsituation vom System übernommen, während der Fahrbetrieb jedoch weiterhin vom Fahrer überwacht und verantwortet wird.
Technisch sind mittlerweile auch höhere Automatisierungsgrade implementierbar bzw. befinden sich in der Entwicklung. Wesentlicher Unterschied zu den bislang diskutierten Autonomiestufen ist hierbei, dass der Fahrer den Fahrbetrieb nicht notwendigerweise durchgehend überwachen muss bzw. dass im Extremfall überhaupt kein Fahrer vorhanden ist und dass Fahrzeug vollständig automatisiert fährt. Dies erfordert jedoch, dass das Fahrzeugsystem und somit beispielsweise der Fahrzeughersteller oder ein anderer für das Fahrzeugsystem verantwortlicher, den Fahrbetrieb während eines solchen Betriebs verantwortet.
Um dieser Verantwortung gerecht zu werden, ist es beispielsweise aus der Druckschrift DE 10 2011 015 130 A1 bekannt, Fehler bzw. Umgebungsbedingungen, die eine zuverlässige Weiternutzung der Automatisierung stören können, zu erkennen und in diesem Fall einen Fahrer zur Rückübernahme des Fahrbetriebs aufzufordern bzw. das Fahrzeug in einen sicheren Zustand zu manövrieren, falls eine solche Rückübernahme nicht erfolgt. Eine solches Vorgehen führt jedoch dazu, dass bereits relativ kleine Fehler, beispielsweise bereits eine geringfügige Sensoralterung und eine hieraus resultierende Verschlechterung der Qualität der Sensordaten, dazu führen können, dass ein entsprechendes Assistenzsystem letztlich unbenutzbar wird. Ähnliche Probleme können beispielsweise auftreten, wenn sich aufgrund einer veränderten Rechtslage oder aus anderen Gründen die Anforderungen, die ein Fahrzeugsystem zur Führung des Fahrzeugs auf höheren Autonomiestufen erfüllen muss, verändern oder Ähnliches. In diesem Fall ist die relativ aufwendige Hard- und Software zur Führung des Kraftfahrzeugs auf höheren Autonomiestufen letztlich nutzlos, was zu Akzeptanzproblemen bei Nutzern bzw. einem plötzlichen Wertverlust des Fahrzeugsystems und somit auch des Gesamtfahrzeugs führen kann.
Die Druckschrift DE 10 2014 014 120 A1 schlägt ein Verfahren zum autonomen Betreiben eines Fahrzeugs vor, in dem der autonome Betrieb des Fahrzeugs nur dann zugelassen wird, wenn für eine vorausliegende Fahrstrecke wenigstens eine Bedingung erfüllt ist. Unter anderem kann geprüft werden, ob alle Systeme des Fahrzeugs, die zum autonomen Betrieb erforderlich sind, fehlerfrei arbeiten.
In dem Verfahren zum Betrieb einer Antriebseinrichtung gemäß der Druckschrift DE 10 2017 222 287 A1 kann die Freigabe eines beschränkten Betriebsmodus von dem Empfang einer Freigabenachricht von einer fahrzeugexternen Einrichtung abhängen. Durch eine Freigabenachricht können auch mehrere Nutzungen bzw. eine Nutzung für ein bestimmtes Zeitintervall freigegeben werden. Durch Empfang einer Sperrnachricht kann der beschränkte Betriebsmodus dauerhaft oder bis zum Empfang einer Freigabenachricht gesperrt werden.
Die Druckschrift DE 10 2017 202 834 A1 schlägt vor, eine Aktivierung eines zumindest teilautonomen Fahrmodus nur bei Erfassung eines berechtigten Kraftfahrzeuginsassen oder bei Empfang eines durch ein fahrzeugexternes Berechtigungsgerät gesendeten Freigabesignals zuzulassen.
Der Erfindung liegt somit die Aufgabe zugrunde, ein demgegenüber verbessertes Kraftfahrzeug anzugeben, bei dem insbesondere die erwähnten Akzeptanzprobleme bzw. der erwähnte Wertverlust reduziert oder sogar vermieden werden können.
Die Aufgabe wird erfindungsgemäß durch ein Kraftfahrzeug der eingangs genannten Art gelöst, wobei bei Erfüllung einer Rückstufungsbedingung der Freigabeparameter dauerhaft auf einen Sperrwert gesetzt wird, wonach ein erneutes Setzen des Freigabeparameters auf den Freigabewert nicht oder nur durch eine fahrzeugexterne Einrichtung möglich ist, wobei die Steuereinrichtung dazu eingerichtet ist, in wenigstens einer ersten Betriebssituation des Kraftfahrzeugs sowohl in dem ersten Betriebsmodus als auch in dem zweiten Betriebsmodus das Fahrzeugsystem auf gleiche Weise anzusteuern.
Es wird somit vorgeschlagen, die gleiche Steuereinrichtung und somit zumindest teilweise die gleiche Hard- bzw. Software in unterschiedlichen Betriebsmodi der Steuereinrichtung zur Implementierung unterschiedlicher Automatisierungsgrade zu nutzen. Ist die Rückstufungsbedingung erfüllt, beispielsweise da sich die rechtlichen Anforderungen an ein Kraftfahrzeug, das einen bestimmten Automatisierungsgrad implementieren soll, verändern, wird der zweite Betriebsmodus durch Setzen des Freigabeparameters auf den Sperrwert, also einen von dem Freigabewert unterschiedlichen Wert, gesperrt. Dennoch kann die Steuereinrichtung weiterhin genutzt werden, um im ersten Betriebsmodus in den Fahrbetrieb einzugreifen bzw. das Kraftfahrzeug zumindest teilautomatisiert zu führen.
Wie später noch genauer erläutert werden wird, können der erste und der zweite Betriebsmodus zumindest in einigen Fahrsituationen gleiche bzw. vergleichbare Funktionen implementieren. Somit kann ein großer Teil der Hard- und Software, die zur Implementierung des zweiten Betriebsmodus erforderlich ist, auch dann weiterverwendet werden, wenn dieser aufgrund des Setzens des Freigabeparameters auf den Sperrwert gesperrt ist. Die unterschiedlichen Automatisierungsgrade und somit der erste und zweite Betriebsmodus können sich insbesondere darin unterscheiden, inwieweit eine Überwachung des Fahrbetriebs durch einen Fahrer erforderlich ist bzw. darin, in welchen Betriebssituationen eine weitere automatisierte Führung ohne eine Rückübergabe an den Fahrer möglich ist bzw. innerhalb welcher Zeiträume ein Fahrer auf Systemanfragen reagieren muss. Somit können beispielsweise in Betriebssituationen des Kraftfahrzeugs, in denen sowohl im ersten als auch im zweiten Betriebsmodus der Betrieb des Kraftfahrzeugs vollständig unter Verantwortung der Steuereinrichtung, also ohne dass eine Aufmerksamkeit des Fahrers erforderlich ist, erfolgt, die gleichen Algorithmen zur Ermittlung der Steuersignale für das wenigstens eine Fahrzeugsystem genutzt werden. Der erste und der zweite Betriebsmodus können sich somit beispielsweise bezüglich Betriebssituationen unterscheiden, bei denen im ersten Betriebsmodus eine Überwachung des Fahrbetriebs durch den Fahrer erforderlich ist bzw. dieser, insbesondere nach Ablauf eines bestimmten Rückübergabeintervalls, selbst in den Fahrbetrieb eingreifen muss, beispielsweise die Fahrzeugführung wieder komplett übernehmen muss, während im zweiten Betriebsmodus weiterhin eine Führung ohne Überwachung durch einen Fahrer möglich ist. Somit kann im zweiten Betriebsmodus zumindest ein Großteil der zur Implementierung des ersten Betriebsmodus erforderlichen Hard- und Software weitergenutzt werden.
Alternativ sind auch Anwendungsfälle denkbar, in denen nur ein geringerer Überlapp zwischen erstem und zweitem Betriebsmodus besteht, wobei jedoch weiterhin Hard- und/oder Softwarekomponenten, die im ersten Betriebsmodus genutzt werden, nach dessen Blockierung durch setzen des Freigabeparameters auf den Sperrwert weitergenutzt werden können, um das Kraftfahrzeug im zweiten Betriebsmodus zu betreiben.
Der erste und zweite Betriebsmodus können insbesondere unterschiedliche Autonomiestufen implementieren, von denen eingangs bereits die Autonomiestufen 1 und 2 sowie allgemein höhere Autonomiestufen diskutiert wurden. Bei den höheren Autonomiestufen, bei denen der Fahrer seine Aufmerksamkeit zumindest vorübergehend vom Fahrbetrieb abwenden kann, handelt es sich um die bedingte Automation auf Autonomiestufe 3, die hohe Automation auf Autonomiestufe 4 und die volle Automation auf Autonomiestufe 5. Hierbei geht die bedingte Automation davon aus, dass ein menschlicher Fahrer auf Anfragen des Systems angemessen innerhalb einer bestimmten Reaktionszeit reagieren wird. Aktuell wird für Systeme auf Autonomiestufe 3 gefordert, dass der Fahrer spätestens 10 Sekunden nach einer Aufforderung die Fahrzeugführung wieder übernimmt. Die Automatisierung ist bei der bedingten Automation zudem nur für bestimmte Fahrsituationen vorgesehen.
Bei der hohen Automation wird hingegen gefordert, dass das Fahrzeug auch dann angemessen reagiert, also insbesondere in einen sicheren Zustand versetzt wird, beispielsweise robust anhalten kann, wenn der Fahrer auf Anfragen des Systems nicht angemessen reagiert. Bei der vollen Automation soll eine automatisierte Führung in allen Fahrsituationen möglich sein. Zudem wird gefordert, dass alle Fahraufgaben durch das System bewältigt werden können, die auch von einem menschlichen Fahrer bewältigt werden können. Somit kann bei einer vollen Automation insbesondere eine Fahrt ohne Fahrer erfolgen.
Der Unterschied im Automatisierungsgrad zwischen dem ersten und dem zweiten Betriebsmodus kann jedoch beispielsweise auch geringer sein als der Unterschied zwischen den oben beschriebenen Autonomiestufen. Beispielsweise können sich der erste und der zweite Betriebsmodus bezüglich der Zeit unterscheiden, die dem Fahrer zur Verfügung steht, nach einer entsprechenden Aufforderung die Führung des Kraftfahrzeugs wieder selbst zu übernehmen. Ergänzend oder alternativ kann der zweite Betriebsmodus eine Automatisierung auch in Betriebssituationen erlauben, also beispielsweise auch bei Lichtverhältnissen, beim Befahren eines Straßentyps oder bei Geschwindigkeiten, die im zweiten Betriebsmodus eine Übernahme der Fahrzeugführung durch den Fahrer erfordern würden. Weitere mögliche Unterschiede bezüglich des Automatisierungsgrades werden später noch detailliert diskutiert.
Die Fahrzeugexterne Einrichtung kann allgemein eine Einrichtung sein, die separat von dem Kraftfahrzeug ausgebildet ist. Beispielsweise kann die Kommunikation zwischen dem Kraftfahrzeug und der fahrzeugexternen Einrichtung drahtlos erfolgen. Es ist jedoch auch möglich, dass die fahrzeugexterne Einrichtung vorübergehend an einer entsprechenden Schnittstelle des Kraftfahrzeugs angeschlossen wird, beispielsweise im Rahmen der Wartung des Kraftfahrzeugs. Bei der fahrzeugexternen Einrichtung kann es sich beispielsweise um ein Gerät zur Fahrzeugdiagnose handeln. Beispielsweise kann das Setzen des Freigabeparameters auf den Freigabewert dazu dienen, nach einer Wartung oder Aufrüstung des Kraftfahrzeugs, die eine Nutzung im ersten Betriebsmodus ermöglicht, diesen wieder freizugeben. Um Manipulationen zu vermeiden, ist es vorteilhaft, wenn das Setzen des Freigabeparameters auf den Freigabewert nur ermöglicht wird, wenn sich die fahrzeugexterne Einrichtung vorangehend gegenüber der Steuereinrichtung des Kraftfahrzeugs authentifiziert, beispielsweise durch ein kryptographisches Challenge-Respons-Verfahren.
In dem erfindungsgemäßen Kraftfahrzeug ist es möglich, dass der erste Betriebsmodus ausschließlich als Rückfallebene dient und somit nur dann verwendet wird, wenn der Freigabeparameter auf den Sperrwert gesetzt ist. Es ist jedoch auch möglich, dass der erste und zweite Betriebsmodus wahlfrei genutzt werden können, solange der Freigabeparameter auf den Freigabewert gesetzt ist.
Die Steuereinrichtung kann dazu eingerichtet sein, den verwendeten Betriebsmodus in Abhängigkeit einer über ein Bedienmittel erfassten Bedieneingabe eines Nutzers und des Freigabeparameters zu wählen und/oder den Nutzer über ein Ausgabemittel über Eigenschaften eines gewählten Betriebsmodus und/oder in Abhängigkeit des Freigabeparameters über verfügbare Betriebsmodi der Steuereinrichtung zu informieren. In Kraftfahrzeugen ist es häufig gewünscht, dass ein Nutzer zwischen einem manuellen Fahrbetrieb und einem assistierten bzw. automatisierten Fahrbetrieb wählen kann. Es kann hierbei auch möglich sein, dass zwischen verschiedenen Automatisierungsgraden gewählt werden kann. Zur Verfügung stehende Automatisierungsgrade bzw. Betriebsmodi können über das Ausgabemittel, beispielsweise einen Bildschirm oder auch eine Sprachausgabe, an den Nutzer ausgegeben werden. Vorzugsweise wird hierbei bereits der Freigabeparameter berücksichtigt, so dass der zweite Betriebsmodus dem Nutzer nur dann angeboten wird, wenn er nicht durch den Freigabeparameter gesperrt ist.
Ergänzend oder alternativ kann nach einer Wahl eines bestimmten Betriebsmodus geprüft werden, ob dieser gemäß dem Freigabeparameter auch zulässig ist. Wählt der Nutzer den zweiten Betriebsmodus und der Freigabewert ist auf den Sperrwert gesetzt, kann dieser auf die ungültige Wahl hingewiesen werden. In diesem Fall kann der bisherige Betriebsmodus beibehalten werden bzw. eine Aufnahme des Fahrbetriebs des Kraftfahrzeugs kann gesperrt werden, bis der Nutzer einen zulässigen Betriebsmodus wählt. Alternativ kann automatisch der erste Betriebsmodus gewählt werden.
Die verschiedenen Automatisierungsgrade und somit die wählbaren Betriebsmodi können sich beispielsweise darin unterscheiden, ob ein Fahrer den Fahrbetrieb selbst überwachen muss bzw. ob und innerhalb welches Zeitraums er auf Systemanfragen reagieren muss, beispielsweise um den Fahrbetrieb selbst zu übernehmen. Zudem ist es möglich, dass der Nutzer in manchen der Betriebsmodi die automatisierte Fahrzeugführung übersteuern kann, während dies in anderen Betriebsmodi nicht möglich ist. Um sicherzustellen, dass dem Nutzer die entsprechenden Anforderungen bekannt sind, können diese, also die Eigenschaften des gewählten Betriebsmodus, über das Ausgabemittel ausgegeben werden. Hierbei kann der Wechsel in den gewählten Betriebsmodus auch erst dann erfolgen, wenn der Nutzer explizit in die entsprechenden Anforderungen eingewilligt hat bzw. entsprechende Informationen bestätigt hat. Eine entsprechende Bestätigung bzw. Einwilligung kann auch gespeichert werden, um zu belegen, dass dem Nutzer entsprechende Informationen bekannt waren.
Ein Sperren des zweiten Betriebsmodus, also eine Erfüllung der Rückstufungsbedingung, kann beispielsweise dann gewünscht sein, wenn sich der gesetzliche Rahmen ändert, so dass mit einer aktuellen Soft- bzw. Hardwareausstattung des Kraftfahrzeugs ein Betrieb im zweiten Betriebsmodus nicht mehr zulässig ist. Entsprechend kann auch eine geänderte gesellschaftliche Erwartungshaltung dazu führen, dass der zweite Betriebsmodus gesperrt werden sollte. Auch wenn festgestellt wird, dass im zweiten Betriebsmodus nicht in allen möglichen Situationen ein angestrebtes Verhalten erreicht wird, kann es gewünscht sein, diesen zu sperren. Auch Alterungen von Komponenten, insbesondere von Sensoren, können dazu führen, dass das Verhalten des Kraftfahrzeugs im zweiten Betriebsmodus unter Umständen nicht mehr den Anforderungen entsprechen könnte, womit dieser gesperrt werden sollte. Verschiedene Möglichkeiten zur technischen Implementierung von Rückstufungsbedingungen, die in den genannten und anderen Fällen genutzt werden können, werden im Folgenden diskutiert.
Die Erfüllung der Rückstufungsbedingung kann von einem Empfang einer Nachricht von der oder einer weiteren fahrzeugexternen Einrichtung, insbesondere von einer vergangenen Zeit und/oder einer zurückgelegten Fahrstrecke seit Empfang der Nachricht, abhängen. Hierbei sind insbesondere zwei Möglichkeiten zu unterscheiden. Zum einen kann ein Empfang einer bestimmten Nachricht zur Erfüllung der Rückstufungsbedingung führen. Die Nachricht kann somit als Sperrnachricht verstanden werden. Solche Nachrichten können beispielsweise durch einen Fahrzeughersteller drahtlos gesendet werden, wenn festgestellt wird, dass der zweite Betriebsmodus gesperrt werden soll. Alternativ oder ergänzend kann die Rückstufbedingung dann erfüllt werden, wenn ein jeweiliger Grenzwert für die vergangene Zeit und/oder eine zurückgelegte Fahrstrecke seit Empfang einer bestimmten Nachricht, also einer Freigabenachricht, überschritten wird. Der zweite Betriebsmodus ist in diesem Fall somit nur dann nutzbar, wenn ausreichend häufig bestätigt wird, dass eine Nutzung weiterhin zulässig ist.
Ergänzend oder alternativ kann die Erfüllung der Rückstufungsbedingung von Sensordaten oder Zusatzdaten wenigstens einer Sensoreinrichtung, deren Sensordaten zumindest im zweiten Betriebsmodus zur Ansteuerung des Fahrzeugsystems ausgewertet werden, und/oder von Verarbeitungsdaten, die im Rahmen des Betriebs im ersten und/oder zweiten Betriebsmodus ermittelt werden, abhängen.
Bezüglich der Sensordaten kann insbesondere ein Qualitätsmaß für die Sensordaten ermittelt werden, beispielsweise indem ein Kontrast-zu-Rauschverhältnis in bestimmten Betriebssituationen ausgewertet wird oder Ähnliches. Verschlechtert sich beispielsweise dieses Verhältnis aufgrund einer Sensoralterung, kann bei Unterschreitung eines Grenzwertes die Rückstufungsbedingung erfüllt sein. Ergänzend oder Alternativ können Sensordaten verschiedene Sensoren abgeglichen werden, um ein Maß für die Konsistenz der Sensordaten zu ermitteln, wobei die Erfüllung der Rückstufungsbedingung von diesem Maß abhängen kann. Hierdurch kann beispielsweise erkannt werden, wenn die Sensordatenerfassung für einen der Sensoren deutlich gestört ist und somit die Sensordaten inkonsistent werden. Auch Fehlstellungen von Sensoreinrichtungen, wie sie beispielsweise aufgrund einer Karosserieverformung bei einer Kollision auftreten können, können hierdurch erkannt werden.
Die Rückstufungsbedingung kann ergänzend oder alternativ beispielsweise davon abhängen, ob sich die Sensordaten über die Zeit ändern bzw. auf eine bestimmte Weise ändern, also beispielsweise ob veränderliche Bildkarten im Bild auftreten. Dies kann beispielsweise dazu dienen, einen Sensorausfall zu erkennen.
Als Zusatzdaten der Sensoreinrichtung können beispielsweise Protokolldaten ausgewertet werden, anhand derer beispielsweise erkannt wird, ob eine ungestörte Kommunikation mit dem Sensor erfolgt. Es ist auch möglich, dass die Sensoreinrichtung in regelmäßigen Abständen Signale sendet, innerhalb eines bestimmten Zeitintervalls auf Anfragen reagieren soll oder Ähnliches. Durch Auswertung dieser Zusatzdaten kann erkannt werden, wenn die Sensoreinrichtung nicht oder zu spät sendet, womit sie unter Umständen eine Fehlfunktion aufweist. Auch in diesen Fällen kann die Rückstufungsbedingung erfüllt sein.
Bezüglich der Verarbeitungsdaten kann insbesondere eine Validierung der jeweiligen Verarbeitungsdaten erfolgen. Hierzu können entsprechende Verarbeitungsdaten, insbesondere im zweiten Betriebsmodus, durch redundante Berechnungszweige berechnet und/oder in Abhängigkeit von Sensordaten redundanter Sensoreinrichtungen ermittelt werden. Sind die ermittelten Zwischenergebnisse nicht konsistent, kann dies auf eine Fehlfunktion hinweisen, womit die Rückstufungsbedingung erfüllt sein kann. Als Verarbeitungsdaten können beispielsweise Zwischenergebnisse genutzt werden, beispielsweise ein Ergebnis einer Objekterkennung in Sensordaten wenigstens einer Sensoreinrichtung, eine geplante Trajektorie, ein geplanter Fahrschlauch oder Ähnliches.
Die Steuereinrichtung ist dazu eingerichtet, in wenigstens einer ersten Betriebssituation des Kraftfahrzeugs sowohl in dem ersten Betriebsmodus als auch in dem zweiten Betriebsmodus das Fahrzeugsystem auf die gleiche Weise anzusteuern. Anders ausgedrückt soll für bestimmte Betriebssituationen bei gleichen Eingangsdaten der gleiche Fahreingriff erfolgen bzw. soll das Fahrzeug auf die gleiche Weise zumindest teilautomatisiert geführt werden. In wenigstens einer zweiten Betriebssituation kann das Fahrzeugsystem in dem ersten Betriebsmodus und in dem zweiten Betriebsmodus voneinander unterschiedlich angesteuert werden. Gleiche Eingangsdaten können somit in solchen zweiten Betriebssituationen zu unterschiedlichen Fahreingriffen bzw. zu einer unterschiedlichen zumindest teilautomatisierten Führung des Kraftfahrzeugs führen.
Das beschriebene Verhalten der Steuereinrichtung kann beispielsweise resultieren, wenn für eine automatisierte Führung im ersten und zweiten Betriebsmodus unterschiedliche Systemgrenzen vorgegeben werden, bei deren Verlassen beispielsweise ein Fahrer zur Rückübernahme des Fahrbetriebs aufgefordert wird. So kann beispielsweise im ersten Betriebsmodus eine Automatisierung nur bis zu einer vorgegebenen Maximalgeschwindigkeit und/oder Verkehrsdichte erfolgen, wobei im zweiten Betriebsmodus auch bei höheren Geschwindigkeiten bzw. Verkehrsdichten eine automatisierte Führung möglich ist. Es ist auch möglich, dass die Automatisierung im ersten Betriebsmodus ausschließlich in bestimmten Domänen bzw. auf bestimmten Straßentypen, also beispielsweise ausschließlich auf Autobahnen, erfolgen kann, während im zweiten Betriebsmodus die Automatisierung in weiteren Domänen bzw. auf weiteren Streckentypen, beispielsweise auf Landstraßen bzw. innerhalb von geschlossenen Ortschaften, fortgesetzt werden kann.
Insbesondere liegen die Systemgrenzen des ersten Betriebsmodus innerhalb der Systemgrenzen des zweiten Betriebsmodus, so dass innerhalb der Systemgrenzen des ersten Betriebsmodus für beide Betriebsmodi eine gleichartige Führung in beiden Betriebsmodi erfolgen kann. Werden die Systemgrenzen des ersten Betriebsmodus verlassen, so wird die Steuerungseinrichtung im ersten Betriebsmodus eine Rückübergabe der Fahrzeugführung an den Fahrer einleiten bzw. versuchen, das Kraftfahrzeug in einen sicheren Zustand zu versetzen, also beispielsweise an einer geeigneten Halteposition abzustellen, während im zweiten Betriebsmodus der Fahrbetrieb normal fortgesetzt werden kann.
Der erste und zweite Betriebsmodus können sich auch bezüglich einer Aufmerksamkeitsüberwachung unterscheiden. Beispielsweise kann der Betrieb im zweiten Betriebsmodus unabhängig von einer Überwachung durch den Fahrer erfolgen und im ersten Betriebsmodus kann die Fahreraufmerksamkeit überwacht werden. Solange der Nutzer in einer ersten Betriebssituation den Fahrbetrieb ausreichend stark überwacht, kann der Betrieb im ersten und zweiten Betriebsmodus somit gleich erfolgen. Erfolgt keine ausreichend starke Überwachung, wird beispielsweise erkannt, dass ein Nutzer beide Hände vom Lenkrad nimmt, seinen Blick für ein bestimmtes Zeitintervall von der Straße abwendet oder Ähnliches, kann hingegen ein unterschiedliches Verhalten für den ersten und zweiten Betriebsmodus resultieren. Beispielsweise können bei mangelnder Fahreraufmerksamkeit im ersten Betriebsmodus Warnungen ausgegeben werden, eine Fahrtgeschwindigkeit reduziert werden, der Fahrer zur Übernahme des Fahrbetriebs aufgefordert werden, das Fahrzeug sicher abgestellt werden oder Ähnliches, während die Fahrt im zweiten Betriebsmodus ohne entsprechende Maßnahmen fortgesetzt werden kann.
Wenn sich die Betriebsmodi bezüglich einer Zeit, innerhalb der der Fahrer auf eine Systemanfrage hin die Fahrzeugführung übernehmen muss, unterscheiden bzw. wenn eine Reaktion auf eine solche Aufforderung nur in einem der Betriebsmodi erforderlich ist, kann nach einer entsprechenden Rückgabeaufforderung innerhalb der Zeitgrenze für den ersten Betriebsmodus zunächst die erste Betriebssituation herrschen, in der die Ansteuerung des Fahrzeugsystems in beiden Betriebsmodi gleich erfolgt. Erst bei Überschreiten der Übernahmezeit für den ersten Betriebsmodus unterscheidet sich das Verhalten in den Betriebsmodi, beispielsweise derart, dass der Fahrbetrieb im zweiten Betriebsmodus normal fortgesetzt wird, während im ersten Betriebsmodus versucht wird, das Fahrzeug sicher in den Stillstand zu bringen.
Die erste Betriebssituation kann auch eine Betriebssituation sein, in der ein Nutzer nicht versucht, die automatisierte Führung durch eine Eingabe an einem Fahrsteuermittel, also beispielsweise durch Lenkradbewegungen oder eine Betätigung eines Gas- oder Bremspedals, zu übersteuern. Beispielsweise kann eine solche Übersteuerung ausschließlich im ersten Betriebsmodus zulässig sein, da beispielsweise im zweiten Betriebsmodus die Verantwortung für die Fahrzeugführung ausschließlich beim Kraftfahrzeug bzw. der Steuereinrichtung liegt. Sobald der Fahrer jedoch durch Betätigung des Fahrsteuermittels in den Fahrbetrieb eingreifen möchte, resultiert somit eine zweite Betriebssituation, in der sich aufgrund der möglichen Übersteuerung in dem ersten Betriebsmodus und des Ignorierens diese Übersteuerung im zweiten Betriebsmodus die Ansteuerung des Fahrzeugsystems im ersten und zweiten Betriebsmodus voneinander unterscheidet.
Das Kraftfahrzeug kann wenigstens einen Fahrersensor zur Erfassung von einen Fahrer betreffenden Fahrersensordaten umfassen, wobei die Ansteuerung des Fahrzeugsystems in dem ersten Betriebsmodus und/oder eine Zulässigkeit des Wechsels in den ersten Betriebsmodus auf eine erste Weise von den Fahrersensordaten abhängt und wobei die Ansteuerung des Fahrzeugsystems in dem zweiten Betriebsmodus und/oder eine Zulässigkeit des Wechsels in den zweiten Betriebsmodus auf eine von der ersten Weise unterschiedliche zweite Weise von den Fahrersensordaten abhängt oder von den Fahrersensordaten unabhängig ist. Anders ausgedrückt können sich der erste und zweite Betriebsmodus, wie bereits obig erläutert, bezüglich der Fahrerüberwachung unterscheiden.
Im einfachsten Fall kann anhand der Fahrersensordaten nur geprüft werden, ob überhaupt ein Fahrer als Nutzer vorhanden ist. Beispielsweise kann der zweite Betriebsmodus eine Vollautomation sein, bei der kein Fahrer erforderlich ist, während im ersten Betriebsmodus zumindest in einigen Fahrsituationen eine Überwachung des Fahrbetriebs oder eine Führung des Kraftfahrzeugs durch einen Fahrer erforderlich ist.
Insbesondere kann jedoch anhand der Fahrersensordaten die Aufmerksamkeit des Fahrers bezüglich des Fahrbetriebs ermittelt und berücksichtigt werden. Eine Vielzahl von Ansätzen zur Ermittlung einer Fahreraufmerksamkeit sind bereits im Stand der Technik bekannt. Beispielhaft werden nur eine Überwachung der Blickrichtung des Fahrers, eine Erkennung von Tätigkeit des Fahrers und/oder eine Erkennung, ob zumindest eine Hand des Fahrers sich an einem oder nahe an einem Lenkrad befindet, anhand von den Fahrersensordaten genannt.
Die Ansteuerung des Fahrzeugsystems oder wenigstens eines der Fahrzeugsysteme kann in dem ersten Betriebsmodus durch eine Bedieneingabe des oder eines Nutzers an einem Fahrsteuermittel übersteuerbar und in dem zweiten Betriebsmodus unübersteuerbar sein. Das Fahrsteuermittel kann beispielsweise die Lenkung, das Gaspedal oder die Bremse des Kraftfahrzeugs sein. Wie bereits obig erwähnt wurde, kann im zweiten Betriebsmodus die Verantwortung für die Führung des Kraftfahrzeugs beim Kraftfahrzeug bzw. der Steuereinrichtung liegen, so dass der Nutzer zunächst aktiv einen Wechsel in einen anderen Betriebsmodus auslösen muss, um den automatisierten Fahrbetrieb zu übersteuern.
Die Erfindung kann beispielsweise implementiert werden, indem auf der Steuereinrichtung neben einem Fahrerassistenzsystem für einen Betrieb im zweiten Betriebsmodus zusätzlich, beispielsweise als zusätzliche Software, ein Fahrerassistenzsystem für den ersten Betriebsmodus implementiert wird. Wie bereits obig erläutert, kann hierbei ein Großteil der Funktionalität des Fahrerassistenzsystems für den zweiten Betriebsmodus auch für den ersten Betriebsmodus mitgenutzt werden. Beispielsweise können sich die Betriebsmodi ausschließlich oder im Wesentlichen ausschließlich bezüglich ihrer Inszenierung, genutzten Übergaberoutinen und der Fahrerüberwachung unterscheiden. So kann das Kraftfahrzeug beispielsweise als zweiten Betriebsmodus eine Fahrerassistenz der Autonomiestufe 3 implementieren, wobei nach Erfüllung der Rückstufungsbedingung die entsprechende Funktionalität nur im ersten Betriebsmodus als Fahrerassistenzsysteme der Autonomiestufe 2 nutzbar ist, womit durch entsprechende Hinweise und/oder Überwachungs-maßnahmen sichergestellt werden muss, dass der Fahrbetrieb durch einen Fahrer durchgehend überwacht wird.
Neben dem erfindungsgemäßen Kraftfahrzeug betrifft die Erfindung ein Verfahren zum Betrieb eines Kraftfahrzeugs, wobei durch eine Steuereinrichtung sowohl in einem ersten Betriebsmodus als auch in einem zweiten Betriebsmodus wenigstens ein Fahrzeugsystem des Kraftfahrzeugs angesteuert wird, um in einen Fahrbetrieb einzugreifen oder das Kraftfahrzeug zumindest teilautomatisiert zu führen, wobei im zweiten Betriebsmodus ein höherer Automatisierungsgrad erreicht wird als im ersten Betriebsmodus, wobei ein Wechsel in den zweiten Betriebsmodus nur dann möglich ist, wenn ein Freigabeparameter auf einen Freigabewert gesetzt ist, wobei bei Erfüllung einer Rückstufungsbedingung der Freigabeparameter dauerhaft auf einen Sperrwert gesetzt wird, wonach ein erneutes Setzen des Freigabeparameters auf den Freigabewert nicht oder nur durch eine fahrzeugexterne Einrichtung möglich ist, wobei durch die Steuereinrichtung in wenigstens einer ersten Betriebssituation des Kraftfahrzeugs sowohl in dem ersten Betriebsmodus als auch in dem zweiten Betriebsmodus das Fahrzeugsystem auf gleiche Weise angesteuert wird. Die Steuereinrichtung kann insbesondere eine Steuereinrichtung des Kraftfahrzeugs sein. Prinzipiell wäre es jedoch auch möglich, eine fahrzeugexterne bzw. separat von dem Kraftfahrzeug ausgebildete Steuereinrichtung zu nutzen. Die fahrzeugexterne Einrichtung, durch die der Freigabeparameter unter Umständen erneut auf den Freigabewert gesetzt werden kann, ist separat von der Steuereinrichtung ausgebildet.
Das erfindungsgemäße Verfahren kann insbesondere zum Betrieb eines erfindungsgemäßen Kraftfahrzeugs verwendet werden bzw. das erfindungsgemäße Kraftfahrzeug kann das erfindungsgemäße Verfahren implementieren. Allgemein können zum erfindungsgemäßen Kraftfahrzeug offenbarte Merkmale mit den dort genannten Vorteilen auf das erfindungsgemäße Verfahren übertragen werden und umgekehrt.
Im zweiten Betriebsmodus kann zusätzlich zu dem Fahrzeugsystem und/oder im Rahmen der Ansteuerung des Fahrzeugsystems und/oder der Ermittlung der verwendeten Ansteuerung ein jeweiliger Redundanzpfad verwendet werden, der die entsprechende Funktion redundant implementiert, wobei der Redundanzpfad oder wenigstens einer der Redundanzpfade im ersten Betriebsmodus ungenutzt bleibt. Die Nutzung eines Redundanzpfades kann zu einem erhöhten Energieverbrauch und unter Umständen auch zur Einschränkung der Fahrleistung des Kraftfahrzeugs führen. Wird nun beispielsweise im ersten Betriebsmodus ohnehin gefordert, dass der Nutzer den Fahrbetrieb durchgehend überwacht bzw. nach einem relativ kurzen Zeitintervall nach einer Systemanfrage aktiv in die Fahrzeugführung eingreifen kann, kann der Nutzer selbst die Rückfallebene bilden, womit unter Umständen auf die Nutzung des Redundanzpfades im ersten Betriebsmodus verzichtet werden kann, um die obig genannten Nachteile zu vermeiden. Der Redundanzpfad kann beispielsweise zur Validierung von Berechnungen dienen und somit stets parallel betrieben werden. Alternativ kann der Redundanzpfad als Rückfallpfad dienen, so dass beispielsweise bei Ausfall eines bestimmten Aktors ein redundanter Aktor diese Funktion übernehmen kann oder Ähnliches.
Der erläuterte Redundanzpfad, der im zweiten Betriebsmodus genutzt wird, jedoch im ersten Betriebsmodus ungenutzt bleibt, kann im erfindungsgemä-ßen Kraftfahrzeug beispielsweise dadurch implementiert werden, dass innerhalb der Steuereinrichtung oder auch als separates Bauteil ein redundanter Berechnungspfad für zumindest Teile der Berechnungen bereitgestellt wird. Auch die Aktorik des jeweiligen angesteuerten Fahrzeugsystems bzw. das ganze Fahrzeugsystem und/oder Sensoren können redundant ausgebildet sein.
In einer Weiterbildung des erfindungsgemäßen Verfahrens können Betriebsdaten, die den Betrieb von mehreren Kraftfahrzeugen im zweiten Betriebsmodus betreffen, gesammelt werden, wobei die Erfüllung der Rückstufungsbedingung von diesen Betriebsdaten abhängt. Insbesondere können die Betriebsdaten durch eine fahrzeugexterne Einrichtung gesammelt und insbesondere ausgewertet werden, wobei sie vorzugsweise anonymisiert gesammelt und ausgewertet werden. Die Betriebsdaten können beispielsweise eine Kritikalität von im Rahmen des zweiten Betriebsmodus auftretenden Fahrsituationen betreffen bzw. eine solche Kritikalität kann im Rahmen der Auswertung aus diesen Betriebsdaten ermittelt werden. Beispielsweise können Unfälle, die erfolgen, während das jeweilige Kraftfahrzeug im zweiten Betriebsmodus betrieben wurde, bzw. Situationen mit einem hohen Kollisionsrisiko oder aus anderen Gründen als kritisch eingestufte Situationen erfasst und beispielsweise statistisch ausgewertet werden. Hierdurch kann erkannt werden, wie robust der Betrieb der Kraftfahrzeuge im zweiten Betriebsmodus ist. Wird beispielsweise erkannt, dass häufiger als erwartet kritische Fahrsituationen auftreten bzw. hohe Kritikalitäten erreicht werden, kann der Betrieb aller Kraftfahrzeuge im zweiten Betriebsmodus automatisch blockiert werden, beispielsweise indem eine entsprechende Nachricht an die Kraftfahrzeuge gesendet wird.
Anschließend kann, beispielsweise durch manuelle Auswertung der Daten oder ebenfalls automatisch, geprüft werden, ob bzw. inwieweit die kritischen Fahrsituationen vermeidbar gewesen wären, und, wenn beispielsweise erkannt wird, dass das Kraftfahrzeug im zweiten Betriebsmodus zumindest so gut auf solche Situationen reagiert wie ein typischer menschlicher Nutzer, die entsprechende Funktion wieder freigegeben werden bzw. anderenfalls erst nach einem Update wieder freigegeben werden bzw. dauerhaft blockiert bleiben.
Weitere Vorteile und Einzelheiten der Erfindung zeigen die folgenden Ausführungsbeispiele sowie die zugehörigen Zeichnungen. Hierbei zeigen schematisch:

1 ein Ausführungsbeispiel des erfindungsgemäßen Kraftfahrzeugs, durch das ein Ausführungsbeispiel des erfindungsgemäßen Verfahrens ausgeführt wird, und
2 und 3 Ablaufdiagramme von Verfahrensteilen, die in einem Ausführungsbeispiel des erfindungsgemäßen Verfahrens parallel während des Fahrbetriebs des Kraftfahrzeugs durchgeführt werden.

1 zeigt ein Kraftfahrzeug 1 mit einer Steuereinrichtung 2, die dazu eingerichtet ist, sowohl in einem ersten Betriebsmodus als auch in einem zweiten Betriebsmodus wenigstens ein Fahrzeugsystem 3, 4, 5 des Kraftfahrzeugs 1 anzusteuern, um in einen Fahrbetrieb einzugreifen oder das Kraftfahrzeug 1 zumindest teilautomatisiert zu führen. Hierbei wird im zweiten Betriebsmodus ein höherer Automatisierungsgrad erreicht als im ersten Betriebsmodus. Beispielsweise kann im ersten Betriebsmodus eine Teilautomation erfolgen, bei der ein Fahrer den Fahrbetrieb durchgehend überwachen muss, und in dem zweiten Betriebsmodus eine bedingte Automation, bei der sich der Fahrer mit anderen Aufgaben beschäftigen kann und nur auf eine entsprechende Anfrage hin innerhalb eines vorgegebenen Zeitintervalls reagieren muss. Das Fahrzeugsystem 3 ist im Beispiel ein Antriebsmotor, das Fahrzeugsystem 4 ist die Lenkung und das Fahrzeugsystem 5 ein Bremssystem.
Das zur Führung des Kraftfahrzeugs 1 genutzte Verfahren wird im Folgenden mit Bezug auf die 2 und 3 näher erläutert, die Ablaufdiagramme von Teilverfahren zeigen, die parallel oder abwechselnd durchgeführt werden können, wobei beispielsweise auch eines der gezeigten Teilverfahren mehrfach wiederholt werden kann, bevor das andere Teilverfahren durchgeführt wird. Hierbei ist die Steuereinrichtung 2 derart eingerichtet, dass ein Wechsel in den zweiten Betriebsmodus, also in den Betriebsmodus, in dem ein höherer Automatisierungsgrad erreicht wird, nur dann möglich ist, wenn ein Freigabeparameter 7 auf einen Freigabewert 17 gesetzt ist.
Das Teilverfahren, das Veränderungen des Freigabeparameters betrifft, wird im Folgenden mit Bezug auf 2 diskutiert. Hierbei werden in Schritt S1 zunächst Eingangsdaten erfasst, von denen die Erfüllung einer in Schritt S2 geprüften Rückstufungsbedingung 6 abhängt. Hierbei sind in 2 beispielhaft eine Vielzahl möglicher Eingangsdaten gezeigt. Bei einer Umsetzung des Verfahrens ist es auch möglich, deutlich weniger Eingangsdaten oder auch zusätzliche Eingangsdaten zu berücksichtigen. Die Eingangsdaten betreffen den Empfang einer Nachricht 9 durch eine Kommunikationseinrichtung 16 von einer fahrzeugexternen Einrichtung 15. Im einfachsten Fall kann die Rückstufungsbedingung 6 genau dann erfüllt sein, wenn eine bestimmte Nachricht 9, also eine Sperrnachricht, von der fahrzeugexternen Einrichtung 15 empfangen wird. Die fahrzeugexterne Einrichtung 15 kann beispielsweise ein Server des Fahrzeugherstellers oder eines anderen Dienstleisters sein, der entsprechende Sperrnachrichten verschickt, falls für bestimmte Modelle von Kraftfahrzeugen, beispielsweise aufgrund einer Änderung des rechtlichen Rahmens, der zweite Betriebsmodus nicht mehr zugelassen werden soll oder der zweite Betriebsmodus aus anderen Gründen gesperrt werden soll.
Alternativ wäre es beispielsweise auch möglich, eine vergangene Zeit 10 bzw. eine zurückgelegte Fahrstrecke 11 seit Empfang einer Nachricht 9 auszuwerten. Beispielsweise kann die Rückstufungsbedingung 6 erfüllt sein, wenn einer dieser Werte einen jeweiliger Grenzwert überschreitet. Somit kann beispielsweise erreicht werden, dass der erste Betriebsmodus nur dann zur Verfügung steht, wenn ausreichend häufig Freigabenachrichten von der fahrzeugexternen Einrichtung 15 empfangen werden.
Die Eingangsdaten können ergänzend oder alternativ Sensordaten 12 einer Sensoreinrichtung 36 umfassen, die zumindest im zweiten Betriebsmodus zur Ansteuerung der Fahrzeugsysteme 3, 4, 5 ausgewertet werden. Beispielsweise kann eine Qualität der Sensordaten überwacht werden. Auch Zusatzdaten 13 der Sensoreinrichtung 36, beispielsweise Protokolldaten oder periodisch übertragene Signale, können ausgewertet werden, um eine Funktionsfähigkeit der Sensoreinrichtung 36 zu überwachen. Ergänzend oder alternativ kann die Rückstufungsbedingung 6 Verarbeitungsdaten 14 auswerten, die im Rahmen des Betriebs im ersten bzw. zweiten Betriebsmodus ermittelt werden. Insbesondere kann die Rückstufungsbedingung 6 erfüllt sein, wenn eine Validierung von Zwischenergebnissen fehlschlägt.
Wird die Rückstufungsbedingung in Schritt S2 nicht erfüllt, so wird das Verfahren ab Schritt S1 wiederholt, so dass die Eingangsdaten und die Erfüllung der Rückstufungsbedingung 6 kontinuierlich überwacht werden. Wird die Rückstufungsbedingung 6 hingegen zu irgendeinem Zeitpunkt erfüllt, so wird in Schritt S3 der Freigabeparameter 7 auf den Sperrwert 8 gesetzt, so dass eine Nutzung des zweiten Betriebsmodus durch die Steuereinrichtung 2 nicht länger möglich ist. Ein Setzen des Freigabeparameters 7 auf den Freigabewert 17 durch Einrichtungen des Kraftfahrzeugs 1 ist nicht möglich.
Optional kann zugelassen werden, dass ein solches Zurücksetzen des Freigabeparameters 7 erfolgt, wenn eine entsprechende Freigabenachricht von der fahrzeugexternen Einrichtung 15 oder einer weiteren fahrzeugexternen Einrichtung, beispielsweise einer Diagnoseeinrichtung, die im Rahmen der Wartung des Kraftfahrzeugs 1 genutzt wird, vorliegt. Der Empfang der Freigabenachricht kann in Schritt S4 geprüft werden, wobei bei Empfang einer solchen Nachricht der Freigabeparameter 7 in Schritt S5 auf den Freigabewert 17 gesetzt werden kann.
Das in 3 gezeigte Ablaufdiagramm zeigt jenen Teil des Verfahrens, in dem ein Nutzer 22 bzw. Fahrer 27 einen gewünschten Betriebsmodus 18, 19, 20 wählen kann und in dem das Kraftfahrzeug entsprechend dem gewählten Betriebsmodus 18, 19, 20 geführt wird. Hierbei wird in Schritt S6 zunächst gewählt, welche Betriebsmodi für den Nutzer 22 zur Auswahl stehen sollen. Im Beispiel können der erste Betriebsmodus 18, also beispielsweise eine Teilautomation, der zweite Betriebsmodus 19, also beispielsweise eine bedingte Automation, und ein weiterer Betriebsmodus 20, beispielsweise eine manuelle Führung des Kraftfahrzeugs, zur Verfügung stehen. Hierbei kann in Schritt S6 bereits berücksichtigt werden, welchen Wert der Freigabeparameter 7 aufweist. Weist der Freigabeparameter 7 den Sperrwert 8 auf, können beispielsweise nur der erste Betriebsmodus 18 und der weitere Betriebsmodus 20 zur Verfügung stehen.
In Schritt S7 wird der Nutzer 22 über ein Ausgabemittel 21, beispielsweise einen Touchscreen oder einen anderen Bildschirm des Kraftfahrzeugs 1, über die in Schritt S6 ermittelten zur Verfügung stehenden Betriebsmodi 18, 19, 20 informiert. Beispielsweise kann ein Auswahlmenü dargestellt werden.
In Schritt S8 wird über ein Bedienmittel 23 eine Bedieneingabe 24 des Nutzers 22 erfasst, um den zu nutzenden Betriebsmodus 18, 19, 20 zu wählen. In 1 ist das Bedienmittel 23 in das Ausgabemittel integriert, also beispielsweise ein Touchscreen. In Schritt S9 wird der verwendete Betriebsmodus 18, 19, 20 dann in Abhängigkeit der Bedieneingabe 24 und des Freigabeparameters 7 gewählt. Weist der Freigabeparameter 7 den Freigabewert 17 auf, kann unmittelbar der durch die Bedieneingabe 24 gewählte Betriebsmodus 18, 19, 20 verwendet werden. Für den Fall, dass der Freigabeparameter 7 den Sperrwert 8 aufweist, können nur der erste Betriebsmodus 18 und der weitere Betriebsmodus 20 gewählt werden. Bei einer Wahl des zweiten Betriebsmodus 19 durch die Bedieneingabe 24 kann somit beispielsweise ein manueller Fahrbetrieb, also der weitere Betriebsmodus 20, oder der erste Betriebsmodus 18 automatisiert gewählt werden. Alternativ wäre es beispielsweise auch möglich, nach einem entsprechenden Hinweis über die Ausgabeeinrichtung 21 eine erneute Auswahl durch den Nutzer 22 zuzulassen.
In Schritt S10 werden über das Ausgabemittel 21 Informationen über die Eigenschaften 25 des gewählten Betriebsmodus 18, 19, 20 an den Nutzer 22 ausgegeben. Beispielsweise kann der Nutzer bei Wahl des zweiten Betriebsmodus 19 den Hinweis erhalten, dass er sich anderen Betätigungen widmen kann, dass er jedoch auf einen entsprechenden Hinweis hin innerhalb von 10 Sekunden bereit sein muss, den Fahrbetrieb des Kraftfahrzeugs 1 selbst zu übernehmen. Bei Wahl des ersten Betriebsmodus 18 kann beispielsweise ein Hinweis ausgegeben werden, dass der Fahrer trotz der automatisierten Führung stets den Fahrbetrieb überwachen muss. Es ist insbesondere möglich, dass nach der Informationsausgabe eine explizite Bestätigung durch den Nutzer 22 erforderlich ist, dass er entsprechende Informationen erhalten hat bzw. sich an die Verhaltensvorgaben halten wird.
In Schritt S11 werden durch einen Fahrersensor 26, im Beispiel durch eine Innenraumkamera, den Nutzer 22 bzw. den Fahrer 27 betreffende Fahrersensordaten 37 erfasst. In Schritt S12 wird dann die Zulässigkeit des Wechsels in den jeweiligen Betriebsmodus 18, 19, 20 bzw. des weiteren Betriebs in diesem Betriebsmodus 18, 19, 20 geprüft. Insbesondere wird hierbei anhand der Fahrersensordaten 37 eine Fahreraufmerksamkeit ermittelt und mit einer Randbedingung 38 verglichen, die insbesondere abhängig vom genutzten Betriebsmodus 18, 19, 20 sein kann. So ist im ersten Betriebsmodus 18 eine hohe Fahreraufmerksamkeit erforderlich, da im Beispiel dort nur eine Teilautomation erfolgen soll, womit der Fahrer den Fahrbetrieb ständig überwachen muss. Der zweite Betriebsmodus 19 implementiert im Beispiel eine bedingte Automation, so dass beispielsweise zugelassen werden kann, dass der Fahrer seinen Blick über längere Zeiträume hinweg vom Fahrgeschehen abwendet. Da der Fahrer jedoch innerhalb von wenigen Sekunden auf Systemanfragen reagieren soll, kann auch der zweite Betriebsmodus 19 unter Umständen unzulässig sein, beispielsweise wenn erkannt wird, dass der Fahrer 27 eingeschlafen ist.
Wird in Schritt S12 erkannt, dass ein Betriebs bzw. ein weiterer Betrieb in dem gewählten Betriebsmodus 18, 19, 20 nicht zulässig ist, so folgt in Schritt S13 eine Ausnahmebehandlung, in der beispielsweise der Fahrer 27 zur manuellen Übernahme des Fahrbetriebs aufgefordert werden kann, wobei ein hierfür zur Verfügung stehendes Zeitintervall 32 vom genutzten Betriebsmodus 18, 19, 20 abhängt. Erfolgt keine rechtzeitige Reaktion des Fahrers 27, kann beispielsweise das Kraftfahrzeug 1 automatisiert in einen sicheren Abstellzustand verbracht werden, beispielsweise an einem Straßenrand angehalten werden.
In Schritt S14 wird die aktuelle Betriebssituation 28 des Kraftfahrzeugs 1 erfasst. Hierzu werden beispielsweise über die Sensoreinrichtung 36 Umfelddaten erfasst und über weitere nicht gezeigte Sensoren Betriebsparameter des Kraftfahrzeugs 1. Ergänzend können beispielsweise im Kraftfahrzeug gespeicherte Kartendaten, von fahrzeugexternen Einrichtungen empfangene Daten etc. ausgewertet werden, um möglichst umfassende Informationen über den aktuellen Betriebszustand 28 zu erhalten. In Schritt S15 wird dann geprüft, ob für den aktuellen Betriebszustand 28 ein Betrieb im Betriebsmodus 18, 19, 20 zulässig ist, wobei dies von betriebszustandsspezifischen Randbedingungen 29 abhängt. Die Erfüllung der Randbedingungen 29 kann beispielsweise von einem befahrenen Straßentyp abhängen. Beispielsweise kann ein Betrieb im ersten Betriebsmodus 18 ausschließlich auf Autobahnen zulässig sein, während im zweiten Betriebsmodus 19 zusätzlich ein Betrieb auf Landstraßen zulässig ist. Es ist auch möglich, dass die Betriebsmodi 18,19, 20 nur in bestimmten Geschwindigkeitsintervallen zulässig sind bzw. nur bei bestimmten Verkehrsdichten und/oder zu bestimmten Uhrzeiten bzw. Lichtverhältnissen und/oder bei bestimmten Witterungsbedingungen. Wird in Schritt S15 erkannt, dass ein weiterer Betrieb in einem bestimmten Betriebsmodus 18, 19, 20 nicht zulässig ist, folgt in Schritt S13 eine Ausnahmebehandlung, wie bereits vorangehend erläutert wurde.
In Schritt S16 werden Fahreingriffe bzw. Steuersignale für die Fahrzeugsysteme ermittelt. Hierbei erfolgt die Ermittlung in Abhängigkeit der aktuellen Betriebssituation 28, die in Schritt S14 erfasst wurde. Hierbei sind der erste und der zweite Betriebsmodus 18, 19 insbesondere derart implementiert, dass für erste Betriebssituationen 28 eine gleichartige Ansteuerung der Fahrzeugsysteme 3, 4, 5 erfolgt. Erfolgt beispielsweise eine hinreichende Überwachung des Fahrbetriebs durch den Fahrer 27 für jeden der Betriebsmodi 18, 19 und ist auch die aktuelle Fahrsituation problemlos innerhalb der entsprechenden Systemgrenze handhabbar, ist keine separate Implementierung der Algorithmen für den entsprechenden Fahrbetrieb erforderlich. Insbesondere können somit Algorithmen und Hardware, die primär für den zweiten Betriebsmodus 19 entwickelt wurden, unverändert oder mit geringer Umparametrisierung auch für den ersten Betriebsmodus 18 verwendet werden.
In Schritt S17 erfolgt eine entsprechende Ansteuerung der Fahrzeugsysteme 3, 4, 5, wonach das Verfahren ab Schritt S11 wiederholt wird.
Wie in 1 dargestellt ist, kann eine fahrzeugexterne Einrichtung 15 neben dem Kraftfahrzeug 1 auch mit mehreren weiteren Kraftfahrzeugen 33, 34, 35 kommunizieren. Dies kann einerseits dazu dienen, die bereits erläuterten Sperr- bzw. Freigabenachrichten für eine Vielzahl von Kraftfahrzeugen 1, 33, 34, 35 bereitzustellen. Insbesondere kann dies jedoch auch dazu genutzt werden, Betriebsdaten, die den Betrieb der Kraftfahrzeuge 1, 33, 34, 35 im zweiten Betriebsmodus 19 betreffen, zu sammeln, wobei das Senden der entsprechenden Sperr- bzw. Freigabenachrichten und somit auch die Erfüllung der Rückstufungsbedingung für die jeweiligen Kraftfahrzeuge 1, 33, 34, 35 von diesen Betriebsdaten abhängt. Hierdurch kann insbesondere überwacht werden, wie robust der zweite Betriebsmodus unter realen Anwendungsbedingungen bei Nutzungen relativ großen Flotten ist. Dies ist vorteilhaft, da trotz strenger Anforderungen an Hardware und Software, die ein automatisiertes Fahren ermöglichen soll, im Rahmen von vorbereitenden Tests nicht alle möglichen Szenarien geprüft werden können. Es kann somit in seltenen Einzelfällen möglich sein, dass unter realen Bedingungen Situationen auftreten, in denen sich der Betrieb im zweiten Betriebsmodus als nicht robust erweist. Dies kann beispielsweise durch Auswertung der Häufigkeit von Unfällen oder anderen kritischen Fahrsituationen erkannt werden. Wir erkannt, dass unerwartet häufig kritische Fahrsituationen auftreten, kann ein Sperren des zweiten Betriebsmodus ausgelöst werden, indem eine entsprechende Sperrnachricht an die Kraftfahrzeuge 1, 33, 34, 35 gesendet wird bzw. ein Senden von Freigabenachrichten unterbleibt.
Für höhere Automatisierungsgrade ist es möglich, dass zusätzlich zu den Fahrzeugsystemen 3, 4, 5 bzw. im Rahmen der Ansteuerung der Fahrzeugsysteme 3, 4, 5 bzw. der Ermittlung der verwendeten Ansteuerung ein jeweiliger Redundanzpfad verwendet wird, der die entsprechende Funktion redundant implementiert. Entsprechende Redundanzpfade sind in 1 aus Übersichtlichkeitsgründen nicht dargestellt. Ein solcher Redundanzpfad kann beispielsweise ausschließlich im zweiten Betriebsmodus 19, in dem ein besonders hoher Automatisierungsgrad implementiert werden soll, genutzt werden. Im ersten Betriebsmodus 18, in dem der Automatisierungsgrad geringer ist, kann unter Umständen auf zumindest Teile der vorhandenen Redundanzpfade verzichtet werden, da der Nutzer 22 bzw. Fahrer 27 als zusätzliche Redundanzebene wirken kann.
Der erste und zweite Betriebsmodus 18, 19 können sich zudem bezüglich der Übersteuerbarkeit der ermittelten Fahreingriffe unterscheiden. Beispielsweise kann die Ansteuerung der Fahrzeugsysteme 3, 4, 5 in dem ersten Betriebsmodus 18 durch eine Bedieneingabe des Nutzers 22 an den Fahrsteuermitteln 30, 31, also an einer Lenkung bzw. einem Gas- und/oder Bremspedal, übersteuert werden. Entsprechende Bedieneingaben können im zweiten Betriebsmodus 19 ignoriert werden. Dies kann vorteilhaft sein, da im zweiten Betriebsmodus 19 die Verantwortung für den Fahrbetrieb nicht beim Nutzer 22 bzw. Fahrer 27, sondern beim Kraftfahrzeug 1 und somit beispielsweise bei dessen Hersteller liegt. Um eine klare Verantwortungsverteilung zu erreichen ist es möglich, dass der Nutzer 22 den zweiten Betriebsmodus 19 explizit verlassen muss, um die Ansteuerung von Fahrzeugsystemen 3, 4, 5 übersteuern zu können. Alternativ wäre es beispielsweise möglich, dass jede Betätigung eines Fahrsteuermittels 30, 31 oder zumindest eine Betätigung, die ausreichend stark ist, automatisch zu einem Wechsel in den ersten Betriebsmodus 18 bzw. einen anderen Betriebsmodus, beispielsweise in einen manuellen Fahrbetrieb, führt.

Claims

Kraftfahrzeug mit einer Steuereinrichtung (2), die dazu eingerichtet ist, sowohl in einem ersten Betriebsmodus (18) als auch in einem zweiten Betriebsmodus (19) wenigstens ein Fahrzeugsystem (3, 4, 5) des Kraftfahrzeugs (1) anzusteuern, um in einen Fahrbetrieb einzugreifen oder das Kraftfahrzeug (1) zumindest teilautomatisiert zu führen, wobei im zweiten Betriebsmodus (19) ein höherer Automatisierungsgrad erreicht wird als im ersten Betriebsmodus (18), wobei die Steuereinrichtung (2) derart eingerichtet ist, das ein Wechsel in den zweiten Betriebsmodus (19) nur dann möglich ist, wenn ein Freigabeparameter (7) der Steuereinrichtung auf einen Freigabewert (17) gesetzt ist, dadurch gekennzeichnet, dass bei Erfüllung einer Rückstufungsbedingung (6) der Freigabeparameter (7) dauerhaft auf einen Sperrwert (8) gesetzt wird, wonach ein erneutes Setzen des Freigabeparameters (7) auf den Freigabewert (17) nicht oder nur durch eine fahrzeugexterne Einrichtung (15) möglich ist, wobei die Steuereinrichtung (2) dazu eingerichtet ist, in wenigstens einer ersten Betriebssituation (28) des Kraftfahrzeugs (1) sowohl in dem ersten Betriebsmodus (18) als auch in dem zweiten Betriebsmodus (19) das Fahrzeugsystem (3, 4, 5) auf gleiche Weise anzusteuern.
Kraftfahrzeug nach Anspruch 1, dadurch gekennzeichnet, dass die Steuereinrichtung (2) dazu eingerichtet ist, den verwendeten Betriebsmodus (18, 19, 20) in Abhängigkeit einer über ein Bedienmittel (23) erfassten Bedieneingabe (24) eines Nutzers (22) und des Freigabeparameters (7) zu wählen und/oder den Nutzer (22) über ein Ausgabemittel (21) über Eigenschaften (25) eines gewählten Betriebsmodus (18, 19, 20) und/oder in Abhängigkeit des Freigabeparameters (7) über verfügbare Betriebsmodi (18, 19, 20) der Steuereinrichtung (2) zu informieren.
Kraftfahrzeug nach einem der vorangehenden Ansprüche, dadurch gekennzeichnet, dass die Erfüllung der Rückstufungsbedingung (6) von einem Empfang einer Nachricht (9) von der oder einer weiteren fahrzeugexternen Einrichtung (15), insbesondere von einer vergangenen Zeit (10) und/oder einer zurückgelegten Fahrstrecke (11) seit Empfang der Nachricht (9), abhängt.
Kraftfahrzeug nach einem der vorangehenden Ansprüche, dadurch gekennzeichnet, dass die Erfüllung der Rückstufungsbedingung (6) von Sensordaten (12) oder Zusatzdaten (13) wenigstens einer Sensoreinrichtung (15), deren Sensordaten (12) zumindest im zweiten Betriebsmodus (19) zur Ansteuerung des Fahrzeugsystems (3, 4, 5) ausgewertet werden, und/oder von Verarbeitungsdaten (14), die im Rahmen des Betriebs im ersten und/oder zweiten Betriebsmodus (18, 19) ermittelt werden, abhängt.
Kraftfahrzeug nach einem der vorangehenden Ansprüche, dadurch gekennzeichnet, dass es wenigstens einen Fahrersensor (26) zur Erfassung von einen Fahrer (27) betreffenden Fahrersensordaten (37) umfasst, wobei die Ansteuerung des Fahrzeugsystems (3, 4, 5) in dem ersten Betriebsmodus (18) und/oder eine Zulässigkeit des Wechsels in den ersten Betriebsmodus (18) auf eine erste Weise von den Fahrersensordaten (37) abhängt und wobei die Ansteuerung des Fahrzeugsystems (3, 4, 5) in dem zweiten Betriebsmodus (19) und/oder eine Zulässigkeit des Wechsels in den zweiten Betriebsmodus (19) auf eine von der ersten Weise unterschiedliche zweite Weise von den Fahrersensordaten (37) abhängt oder von den Fahrersensordaten (37) unabhängig ist.
Kraftfahrzeug nach einem der vorangehenden Ansprüche, dadurch gekennzeichnet, dass die Ansteuerung des Fahrzeugsystems (3, 4, 5) oder wenigstens eines der Fahrzeugsysteme (3, 4, 5) in dem ersten Betriebsmodus (18) durch eine Bedieneingabe des oder eines Nutzers (22) an einem Fahrsteuermittel (30, 31) übersteuerbar und in dem zweiten Betriebsmodus (19) unübersteuerbar ist.
Verfahren zum Betrieb eines Kraftfahrzeugs (1), wobei durch eine Steuereinrichtung (2) sowohl in einem ersten Betriebsmodus (18) als auch in einem zweiten Betriebsmodus (19) wenigstens ein Fahrzeugsystem (3, 4, 5) des Kraftfahrzeugs (1) angesteuert wird, um in einen Fahrbetrieb einzugreifen oder das Kraftfahrzeug (1) zumindest teilautomatisiert zu führen, wobei im zweiten Betriebsmodus (19) ein höherer Automatisierungsgrad erreicht wird als im ersten Betriebsmodus (18), wobei ein Wechsel in den zweiten Betriebsmodus (19) nur dann möglich ist, wenn ein Freigabeparameter (7) auf einen Freigabewert (27) gesetzt ist, dadurch gekennzeichnet, dass bei Erfüllung einer Rückstufungsbedingung (6) der Freigabeparameter (7) dauerhaft auf einen Sperrwert (8) gesetzt wird, wonach ein erneutes Setzen des Freigabeparameters (7) auf den Freigabewert (27) nicht oder nur durch eine fahrzeugexterne Einrichtung (15) möglich ist, wobei durch die Steuereinrichtung (2) in wenigstens einer ersten Betriebssituation (28) des Kraftfahrzeugs (1) sowohl in dem ersten Betriebsmodus (18) als auch in dem zweiten Betriebsmodus (19) das Fahrzeugsystem (3, 4, 5) auf gleiche Weise angesteuert wird.
Verfahren nach Anspruch 7, dadurch gekennzeichnet, dass im zweiten Betriebsmodus (19) zusätzlich zum Fahrzeugsystem (3, 4, 5) und/oder im Rahmen der Ansteuerung des Fahrzeugsystems (3, 4, 5) und/oder der Ermittlung der verwendeten Ansteuerung ein jeweiliger Redundanzpfad verwendet wird, der die entsprechende Funktion redundant implementiert, wobei der Redundanzpfad oder wenigstens einer der Redundanzpfade im ersten Betriebsmodus (18) ungenutzt bleibt.
Verfahren nach Anspruch 7 oder 8, dadurch gekennzeichnet, dass Betriebsdaten, die den Betrieb von mehreren Kraftfahrzeugen (1, 33, 34, 35) im zweiten Betriebsmodus (19) betreffen, gesammelt werden, wobei die Erfüllung der Rückstufungsbedingung (6) von diesen Betriebsdaten abhängt.