DE102020107948A1

DE102020107948A1 - Funktionstest eines sicheren Lokalisierungssytems

Info

Publication number: DE102020107948A1
Application number: DE102020107948.6A
Authority: DE
Inventors: Magnus ALBERT; Patrik Feth; Dominic Ruh
Original assignee: Sick AG
Current assignee: Sick AG
Priority date: 2020-03-23
Filing date: 2020-03-23
Publication date: 2021-09-23

Abstract

Es wird ein Verfahren zum Funktionstest eines sicheren Lokalisierungssystems (12, 14, 16, 18) angegeben, das sicherheitsgerichtet eine kinematische Größe eines Objekts (10, 18), insbesondere eine Position, aus mindestens einer Messgröße bestimmt. Dabei wird in einer Initialisierungsphase die Messgröße und/oder mindestens eine daraus abgeleitete Größe an verschiedenen Positionen gemessen und ein Referenzgütemaß bestimmt, wie genau die Messgröße und/oder die daraus abgeleitete Größe an den jeweiligen Positionen erfassbar ist, und in einer Betriebsphase wird die Messgröße und/oder die daraus abgeleitete Größe erneut gemessen und daraus ein aktuelles Gütemaß bestimmt und mit dem Referenzgütemaß verglichen.

Description

Die Erfindung betrifft ein Verfahren zum Funktionstest eines sicheren Lokalisierungssystems nach dem Oberbegriff von Anspruch 1 und ein entsprechendes sicheres Lokalisierungssystem.
Sicher oder Sicherheit im Sinne dieser Anmeldung bedeutet, dass Personen vor Gefahren geschützt werden, die von Maschinen, Anlagen und sonstigen technischen Einrichtungen ausgehen. Ein Sensorsystem für derartige sicherheitstechnische oder sicherheitsgerichtete Anwendungen muss in einer genau definierten Weise verlässlich sein, um Unfälle zu vermeiden. Um eine sicherheitstechnische Eignung eines Sensorsystems nachzuweisen, sind Anforderungen für das Verhalten im Fehlerfall maßgeblich und normativ festgeschrieben. Im Bereich der Maschinensicherheit sind hier beispielsweise die Normen ISO 13849, IEC 62998 oder IEC 62061 zu nennen.
Typische sichere Architekturen sind zweikanalige Systeme, bei denen die Funktion von zwei getrennten Kanälen redundant oder diversitär-redundant ausgeführt wird, wobei Fehler durch Vergleiche zwischen den Kanälen aufgedeckt werden. Alternativ kann Sicherheit auch durch Funktionstests beziehungsweise einen separaten Diagnosekanal gewährleistet werden.
In modernen sicherheitsgerichtete Anwendungen, wie dem autonomen Fahren oder der Mensch-Roboter-Kollaboration, werden vielschichtige Sicherheitskonzepte gefordert, die in der Lage sind, der steigenden Komplexität mit hohem Autonomiegrad, zahlreichen beteiligten Objekten und diversen Umgebungseinflüssen gerecht zu werden. Die zunehmende Komplexität betrifft die zur Wahrnehmung innerhalb der sicherheitsgerichteten Anwendung notwendigen Sensorsysteme gleichermaßen, so dass zahlreiche Hardwarekomponenten und/oder aufwändige Berechnungen erforderlich werden. Eine zweikanalige Struktur mit vollständiger Redundanz oder diversitärer Redundanz, also der Verwendung mehrerer komplementärer Messprinzipien, wird dann schnell sehr teuer. Es wäre wünschenswert, Diagnosefunktionen an der Hand zu haben, die mit realistischem Aufwand implementiert werden können.
Ein derartiges komplexes Sensorsystem ist ein Lokalisierungsmesssystem oder kurz Lokalisierungssystem, und dementsprechend stellt dessen sicherheitsgerichtete Verwendung hohe Anforderungen. Ein solches Lokalisierungssystem basiert auf drahtlosen Sensornetzwerken oder in mobilen Anwendungen auf Sensoren zur Positionsbestimmung, wie LiDAR oder Radar, in Kombination mit Algorithmen für eine simultane Positionsbestimmung und Kartenerstellung (SLAM, Simultaneous Localization and Mapping). Die Funktion eines solchen Lokalisierungssystems ist, eine genaue Kenntnis kinematischer Größen wie Position, Bewegungsrichtung oder Geschwindigkeiten von Personen, Fahrzeugen und sonstigen wichtigen Objekten zu vermitteln. Das wird in zahlreichen Steuerungssysteme etwa im Kontext von Industrie 4.0 oder moderner Logistikanwendungen benötigt. Im Umfeld der Automatisierungstechnik sind hierfür verschiedene Technologien verfügbar und erprobt.
Die Verwendung solcher Technologien als Teil von sicherheitsgerichteten Steuerungen oder Systemen steht dagegen erst am Anfang, Das hängt auch damit zusammen, dass die klassischen Wege zur Erfüllung der einschlägigen Sicherheitsnormen wie erwähnt für komplexe, softwareintensive Systeme wie ein Lokalisierungssystem nur bedingt und jedenfalls nur mit sehr hohem Aufwand angewendet werden können und zusätzliche Komponenten erfordern.
Herkömmlich erfolgt die sicherheitsgerichtete Bewertung eines Sensorsystems zur Entwicklungszeit. Dafür gibt es standardisierte Tests. Die Ergebnisse dieser Untersuchungen werden dann als Konstanten des Sensorsystems angesehen und unabhängig von dem Zustand des Sensorsystems und dem aktuellen Verwendungskontext als Parameter einer möglichen sicherheitsgerichteten Funktion eingesetzt. Dadurch werden letztlich worst-case-Annahmen gemacht. Bei komplexen Sensorsystemen ergibt sich dann aber regelmäßig eine für die sinnvolle Anwendung nicht mehr brauchbare Verfügbarkeit, weil die miteinander verrechneten Sicherheitspuffer kaum noch Spielraum für den Betrieb lassen.
Die Anforderungen an die Sicherheit werden manchen einschlägigen Normen folgend in sogenannten Sicherheitsniveaus oder Integritätsniveaus (Safety Integrity Level, SIL, oder Performanceklasse beziehungsweise Performance Level, PL) definiert. Klassische Konzepte weisen einer Sicherheitsfunktion ein festes Integritätsniveau zu. Prinzipiell erlaubt beispielsweise die IEC/TS 62998-1 mit deren Tabelle 5 eine Übersetzung von Messungenauigkeiten in Sensor-Performanceklassen, welche wiederum mit Tabelle 1 in Sicherheitsniveaus übersetzt werden können. Für Lokalisierungssysteme, deren Messfähigkeit erheblich von der Umgebung abhängen kann, ist das so nicht immer umsetzbar. Der Aspekt der räumlich-variierenden Messgenauigkeit eines Lokalisierungssystems wird bisher aber auch gar nicht betrachtet.
Es ist daher Aufgabe der Erfindung, die Sicherheit auch in komplexen Sensorsystemen gewährleisten zu können.
Diese Aufgabe wird durch ein Verfahren zum Funktionstest eines sicheren Lokalisierungssystems und ein sicheres Lokalisierungssystem nach Anspruch 1 beziehungsweise 12 gelöst. Wie einleitend schon erläutert, bedeutet sicher, dass Sicherheitsanforderungen einer Sicherheitsnorm für Maschinensicherheit zur Vermeidung von Unfällen mit Personen erfüllt sind. Beispielhafte Normen sind die schon erwähnten IEC 62998, ISO 13849 oder IEC 62061. Eine Beschränkung auf konkrete Normen soll es jedoch vorzugsweise nicht geben, da es modifizierte Versionen, Nachfolgenormen oder neue Normen zu Anpassung an Technologieentwicklungen geben kann. Das ändert aber nichts daran, dass auch von solchen nicht konkret zitierten Normen je nach Anwendung und Gefährdungspotential genau definierte Vorgaben an die Verlässlichkeit und das Verhalten im Fehlerfall gemacht werden.
Das Lokalisierungssystem bestimmt sicherheitsgerichtet eine kinematische Größe eines Objekts aus mindestens einer Messgröße. Das Objekt ist beispielsweise ein Fahrzeug, insbesondere ein selbstfahrendes Fahrzeug (AGV, Automated Guided Vehicle), kann aber auch eine Person oder ein sonstiges Objekt im Umfeld einer Maschine oder eines Fahrzeugs sein. In der Regel wird zumindest die Position in ein bis drei Freiheitsgraden erfasst, und mittels deren Verfolgung über die Zeit können weitere kinematische Größen wie Geschwindigkeit, Richtung und/oder Beschleunigung bestimmt werden. Beispielsweise über den Dopplereffekt wie beim Radar ist aber auch eine unmittelbare Geschwindigkeitsmessung ohne Positionsbestimmung vorstellbar.
Die Erfindung geht von dem Grundgedanken aus, zunächst in einer Initialisierungsphase zu vermessen, welche Güte, Qualität oder Genauigkeit das Lokalisierungssystem in seinem intakten Ausgangszustand erreicht. Für die initiale Bewertung wird mindestens eine Messgröße und/oder eine daraus abgeleitete Größe an verschiedenen Positionen gemessen, vorzugsweise auch mehrfach je Position. Die Messgrößen sind häufig nur Hilfsgrößen, die möglicherweise nur intern verwendet werden. Abgeleitete Größe können Zwischengrößen oder eine gesuchte kinematische Größe sein. Daraus wird dann ein Referenzgütemaß je Position bestimmt.
Während einer späteren Betriebsphase, in der die sicherheitsgerichtete Funktion benötigt wird, bestimmt dann das Lokalisierungssystem die Messgröße und/oder die daraus abgeleitete Größe an seiner jeweiligen Position erneut. Daraus wird ein aktuelles Gütemaß bestimmt, das mit dem Referenzgütemaß abgeglichen werden kann, beispielsweise über eine Schwelle, eine noch zulässige prozentuale Abweichung oder dergleichen. Je nach Übereinstimmungsgrad wird entschieden, ob das Lokalisierungssystemseine sicherheitsgerichtete Funktion erfüllen kann, also noch funktionsfähig im Sinne der sicherheitstechnischen Anforderungen ist oder nicht.
Die Erfindung hat den Vorteil, dass eine Online-Diagnose des Lokalisierungssystems möglich wird, die einen integralen Teil eines auch vielschichtigen Sicherheitskonzepts darstellt. Die Untersuchung des Lokalisierungssystems in der sicherheitsgerichtete Anwendung liefert eine Erwartungshaltung an ausgewählte Parameter, die es erlaubt, das gesamte Lokalisierungssystem zur Laufzeit auf seine Funktion zu testen. Die Umsetzung ist als Softwarelösung und vergleichsweise einfach und kostengünstig möglich.
In der Initialisierungsphase fährt bevorzugt eine automatische Vorrichtung die Positionen ab, so dass das Referenzgütemaß automatisch erfasst wird. Die Initialisierungsphase wird dadurch erheblich vereinfacht und kann auch von Personal ohne vertiefte Spezialkenntnisse durchgeführt werden. Die automatische Vorrichtung kann eine Roboterplattform sein, im Falle eines Lokalisierungssystems für Fahrzeuge auch ein später im Betrieb abzusicherndes Fahrzeug. Es ist möglich, die automatische Vorrichtung zu unterstützen, beispielsweise durch Vorgabe von geeigneten Positionen für die Vermessung oder korrigierende Eingriffe für zusätzliche Messungen. Prinzipiell ist auch eine händisch gesteuerte Initialisierungsphase vorstellbar.
Das Referenzgütemaß wird bevorzugt unter Berücksichtigung einer nicht mit dem Lokalisierungssystem erfassten verlässlichen Messgröße, abgeleiteten Größen und/oder kinematischen Größe bestimmt. Die verlässlich erfasste Messgröße wird auch als Ground Truth bezeichnet, wobei die Quelle dieser Information letztlich keine Rolle spielt und beispielsweise eine manuelle Vorgabe oder ein anderes, besonders genaues Lokalisierungssystem sein kann, das im Betrieb zu kostspielig oder zu langsam wäre oder dann aus anderen Gründen nicht verfügbar ist. Die Positionen, an denen die Messungen für das Referenzgütemaß stattfinden, sind dadurch besonders genau erfasst. Es wird dann beispielsweise nicht lediglich bestimmt, wie stark die Messungen untereinander schwanken, sondern auch, wie sehr die bestimmte und die tatsächliche kinematische Größe voneinander abweichen.
Für zumindest eine Position wird bevorzugt ein Referenzgütemaß aus dem Referenzgütemaß mindestens einer anderen Position geschätzt. Dazu erfolgt insbesondere eine Extrapolation, die den vermessenen Bereich ausweitet, und/oder eine Interpolation, die das Messraster verfeinert. Damit wird die Initialisierungsphase abgekürzt.
Das Referenzgütemaß und/oder das Gütemaß weist vorzugsweise ein Moment der Verteilung der Messgröße und/oder der abgeleiteten Größe auf. Die Verteilung wird von einer Mehrfachmessung an derselben oder zumindest an sehr nahe benachbarten Positionen gebildet. Ob die Verteilungen aus der Initialisierungsphase und während der Betriebsphase noch ausreichend übereinstimmen, beziehungsweise ob Messungen während der Betriebsphase mit der Verteilung aus der Initialisierungsphase verträglich sind, lässt sich schon mit einem oder wenigen Momenten der Verteilung entscheiden. Besonders geeignet ist hierfür das zweite Moment, also die Standardabweichung.
Das Referenzgütemaß wird bevorzugt in einer Wartungsphase überprüft. Diese Überprüfung entspricht grundsätzlich einer erneuten Initialisierungsphase und kann auch wiederum mit einer automatischen Vorrichtung durchgeführt werden. Dabei werden systematisch zu überprüfende Positionen aufgesucht, jedoch nicht zwingend so viele wie in der Initialisierungsphase, sondern gegebenenfalls nur Stichproben. Die Wartungsmessungen können durch besonders sorgfältige Messungen des Lokalisierungssystems oder vorzugsweise erneut unter Einbeziehung von nicht mit dem Lokalisierungssystem bestimmten Messgrößen erfolgen (Ground Truth).
Aus der Abweichung zwischen aktuellem Gütemaß und Referenzgütemaß wird bevorzugt ein aktuell mögliches Sicherheitsniveau bestimmt. Wie einleitend erwähnt, wird herkömmlich einer sicherheitstechnischen Anwendung ein festes Sicherheitsniveau zugewiesen, d.h. es werden alle erforderlichen Maßnahmen ergriffen, um dieses Sicherheitsniveau zu erreichen. Das ist bei komplexen Sensorsystemen wie einem Lokalisierungssystem nicht so einfach möglich, und vor allem ist das insgesamt mögliche Sicherheitsniveau durch die größte Schwäche, insbesondere eine Position mit größter Messunsicherheit bestimmt. Daher wird nach dieser Ausführungsform dynamisch ermittelt, welches Sicherheitsniveau aktuell mit der derzeitigen Messunsicherheit beziehungsweise dem derzeitigen Gütemaß möglich ist. Die umgekehrte Variante, welche Messunsicherheit einzuhalten wäre, um ein bestimmtes Sicherheitslevel zu halten, ist der übliche Zugang und lässt sich durch die Anforderungen beim Vergleich zwischen aktuellem Gütemaß und Referenzgütemaß festlegen. Die Umrechnung zwischen Messunsicherheit beziehungsweise Gütemaß auf der einen Seite und Sicherheitsniveau auf der anderen Seite erfolgt nach Normvorschriften, wie etwa den Tabellen 1 und 5 der IEC/TS 62998-1.
Vorzugsweise wird eine sicherheitsgerichtete Reaktion ausgelöst, wenn das Lokalisierungssystem die sicherheitsgerichtete Bestimmung der kinematischen Größe nicht gewährleisten kann. Das bedeutet, dass der Funktionstest nicht erfolgreich durchgeführt werden kann. In diesem Fall droht eine unerkannte Gefahrensituation, und darauf wird angemessen sicherheitsgerichtet reagiert. Je nach Anwendung kann dies darin bestehen, eine Maschine oder ein Fahrzeug anzuhalten, Bewegungen zu verlangsamen oder eine Ausweichbewegung durchzuführen. Die sicherheitsgerichtete Reaktion führt in einigen Ausführungsformen das lokalisierte Objekt durch, insbesondere wenn es sich um ein Fahrzeug handelt. Es kann aber auch beispielsweise eine Person lokalisiert werden, und die sicherheitsgerichtete Reaktion betrifft eine Maschine oder ein Fahrzeug, in deren Umgebung die Person eindringt. Es ist denkbar, dass bereits in der Initialisierungsphase das Referenzgütemaß selbst nicht ausreichend ist, um die sichere Funktion zu garantieren. Darauf folgt jedoch keine sicherheitsgerichtete Reaktion, vielmehr wird das Lokalisierungssystem dann gar nicht erst für den sicherheitsgerichteten Betrieb freigegeben.
Das Lokalisierungssystem ist bevorzugt ein LiDAR-, UWB-, RFID-, 5G-, Ultraschall-, oder WiFi-System, und die kinematische Größe wird anhand von Signallaufzeiten, Signallaufzeitdifferenzen und/oder Empfangswinkeln bestimmt. Der erfindungsgemäße Funktionstest ist für verschiedene Lokalisierungstechnologien verwendbar. Das basiert insbesondere auf drahtlosen Sensornetzwerken wie beispielsweise der Ultra-Breitband-Technologie (UWB), Wireless (WiFi), dem Mobilfunk insbesondere in der fünften Generation (5G) oder funkbasierter Identifikation (RFID, radio frequency identification). Mögliche Lokalisierungsverfahren beruhen auf Laufzeiten (ToA, Time of Arrival), Laufzeitdifferenzen (TDoA, Time Difference of Arrival) und/oder Empfangswinkeln (AoA, Angle of Arrival). Die Signallaufzeiten, Signallaufzeitdifferenzen beziehungsweise Empfangswinkel sind dann die Messgrößen oder die daraus abgeleiteten Größen als Zwischengröße zur Bestimmung der kinematischen Größe. Die genannten Technologien sind an sich bekannt und werden zur Objektdetektion, Lokalisierung und Objektverfolgung genutzt, sind jedoch bisher nicht sicher im Sinne des Personenschutzes.
Das Lokalisierungssystem weist bevorzugt mindestens einen bewegten Empfänger und mehrere ein Lokalisierungssignal erzeugende Sender auf. Der bewegte Empfänger ist das Objekt, zu dem die kinematische Größe bestimmt wird, beziehungsweise damit verbunden. Die Sender werden in diesem Zusammenhang auch als Anker (Anchor, Beacon) bezeichnet. Deren jeweiliges Sende- oder Lokalisierungssignal, das physisch je nach verwendetem Sensorsystem beispielsweise ein LiDAR-, Radar-, RFID-, 5G- oder Ultraschallsignal ist, wird von dem bewegten Empfänger erfasst, der sich damit selbst lokalisiert. Statt eines beweglichen Empfängers, der sich anhand der Lokalisierungssignale von mehreren Ankern lokalisiert, kann umgekehrt ein bewegliches Tag ein Lokalisierungssignal erzeugen, das von den Empfängereinheiten oder Ankern empfangen wird.
Das Lokalisierungssystem weist bevorzugt mindestens einen mobilen Sensor zur Erfassung der Umgebung auf, dessen eigene Position mittels eines SLAM-Verfahrens bestimmt wird. Durch die Eigenlokalisierung soll natürlich im Ergebnis nicht die Position des Sensors, sondern beispielsweise diejenige eines Fahrzeugs mit dem Sensor bestimmt werden. In diesem Fall ist die Messgröße die aus dem SLAM-Verfahren geschätzte eigene Position. Ansonsten sind die Erläuterungen zu den oben genannten Lokalisierungssystemen auf ein SLAM-basiertes Lokalisierungssystem übertragbar.
In bevorzugter Weiterbildung wird ein sicheres Lokalisierungssystem mit einer Steuer- und Auswertungseinheit angegeben, die für eine sicherheitsgerichtete Bestimmung einer kinematischen Größe eines Objekts aus mindestens einer Messgröße und für ein erfindungsgemäßes Verfahren zum Funktionstest ausgebildet ist. Der erfindungsgemäße Funktionstest leistet einen wichtigen Beitrag dazu, dass das Lokalisierungssystem sicher wird.
Die Erfindung wird nachstehend auch hinsichtlich weiterer Merkmale und Vorteile beispielhaft anhand von Ausführungsformen und unter Bezug auf die beigefügte Zeichnung näher erläutert. Die Abbildungen der Zeichnung zeigen in:

1 eine Draufsicht auf ein Lokalisierungssystem für ein Fahrzeug, das sich anhand der Signale mehrerer Anker selbst lokalisiert;
2 eine Draufsicht ähnlich 1, nun mit einem Lokalisierungssystem für ein Tag, das von den Ankern lokalisiert wird;
3 eine Draufsicht auf ein Fahrzeug mit einem mitbewegten Lokalisierungssensor, der mit einem SLAM-Verfahren ausgewertet wird; und
4 ein beispielhaftes Ablaufdiagramm für einen Funktionstest des Lokalisierungssystems.

1 zeigt eine schematische Draufsicht auf ein Lokalisierungssystem für ein Fahrzeug 10. Das Fahrzeug 10 soll als Beispiel einer Anwendung einer sicherheitsgerichteten Lokalisierung von Objekten in komplexen Umgebungen beispielsweise der modernen Logistik automatisch navigieren (AGV, automated guided vehicle).
Das Lokalisierungssystem weist einen auf dem Fahrzeug 10 mitbewegten Lokalisierungssensor 12 mit einer Steuer- und Auswertungseinheit 14 auf. Der Lokalisierungssensor 12 ist nur schematisch als Antenne gezeigt. Der konkrete Aufbau hängt von der konkreten Lokalisierungstechnologie ab, ist dann aber an sich bekannt. Die Steuer- und Auswertungseinheit 14 kann als separates Bauteil wie dargestellt, abweichend aber auch mindestens teilweise in den Lokalisierungssensor 12 integriert oder umgekehrt in einem übergeordneten System wie der Fahrzeugsteuerung des Fahrzeugs 10 integriert sein. Zu dem Lokalisierungssystem gehört ferner eine Vielzahl von Sendern 16a-d, die sich an bekannten Positionen befinden und die ein Lokalisierungssignal erzeugen, das von dem Lokalisierungssensor 12 empfangen wird. Die Steuer- und Auswertungseinheit 14 wertet die jeweils von dem Lokalisierungssensor 12 erzeugten Messgrößen aus.
Im Zusammenhang mit Lokalisierungsverfahren werden die verteilt angeordneten ortsfesten Sender 16a-d im Folgenden als Anker 16a-d bezeichnet. Die Sender 16a-d sind vorzugsweise nicht nur einfache Sender, sondern in der Lage, miteinander und mit einer übergeordneten Steuerung in Kommunikationsverbindung zu treten, insbesondere zum Zwecke der Synchronisation. Als physikalische Basistechnologie für das Lokalisierungssignal, aber auch für die Kommunikation untereinander, sind verschiedene drahtlose Signale vorstellbar, beispielsweise drahtlose Netzwerke (WiFi), Radio-Frequenz verfahren (RFID), die fünfte Generation des Mobilfunks (5G) oder Ultra-Breitband Technologie (UWB). Dabei ist eine echte bidirektionale Kommunikationsverbindung vorteilhaft, aber nicht zwingend erforderlich, beispielsweise in einer Ausführungsform mit Ultraschallsendern und einem Ultraschallempfänger. Weiterhin sind auch unterschiedliche Verfahren zur Bestimmung einer Position bekannt, beispielsweise die Messung von Laufzeiten (ToA, Time of Arrival TOA), die Messung von Laufzeitunterschieden (TDoA, Time Difference of Arrival TDoA), oder der Messung von Winkeln, unter denen Signale empfangen werden (AoA, Angle of Arrival). Dabei erzeugt der Lokalisierungssensor 12 aus dem Signal der n Anker 16a-d, in der Darstellung der 1 sind es beispielhaft vier Anker 16a-d, mehrere Messgrößen.
Um aus diesen Messgrößen eine Position als die eigentlich gesuchte Zielgröße zu bestimmen, sind mehrere Anker 16a-d erforderlich, wobei diese Anzahl auch davon abhängt, in wie vielen Dimensionen eine Position bestimmt werden soll. Sind mehr Anker 16a-d vorhanden als rein mathematisch für die Bestimmung der Zielgröße notwendig, so ist das System überbestimmt. Das ist aber häufig gewollt, um die Genauigkeit, Verfügbarkeit und Robustheit der Lokalisierung zu erhöhen. Die Position wird dann mit einem Optimierungsverfahren ermittelt. In einer realen Anwendung gibt es häufig mehr Anker 16a-d als dargestellt, damit aus jeder für das Fahrzeug 10 möglichen Position das Signal zumindest von der erforderlichen Mindestanzahl von Ankern 16a-d erfassbar ist.
2 zeigt eine weitere Ausführungsform eines Lokalisierungssystems. In diesem Fall fungieren die Anker 16a-d als Empfangseinheiten, die ein Tag 18 lokalisieren, das beispielsweise eine Person mit sich führt oder das sich ansonsten in unmittelbarer Nähe des zu lokalisierenden Objekts befindet. Das Tag 18 könnte ebenso an einem Fahrzeug 10 befestigt sein, womit sich dann dieselbe Anwendungssituation ergibt wie in 1. In dieser Ausführungsform erzeugen die Anker 16a-d die Messgrößen aus einem Signal des Tags 18, wie beispielsweise jeweilige Ankunftszeiten. Die mehreren Ankunftszeiten der Anker 16a-d in Empfangsreichweite des Tags 18 werden in einem Optimierungsalgorithmus in eine Position des Tags 18 übersetzt. Die Steuer- und Auswertungseinheit 14 steht dafür in vorzugsweise drahtloser Kommunikationsverbindung mit den Ankern 16a-d und befindet sich physisch an praktisch beliebigem Ort.
Der Unterschied zwischen den Situationen der 1 und 2 ist nicht besonders scharf und lässt viele Mischformen zu, zumal häufig eine bidirektionale Kommunikation zwischen Anker 16a-d und zu lokalisierendem Objekt besteht. Beide Seiten fungieren dann sowohl als Sende wie als Empfänger. Im Falle von RFID beispielsweise ergibt sich ein Sonderfall, weil ein RFID-Tag zwar auch sendet und empfängt, dies aber jedenfalls in den meisten etablierten Standards wie UHF nur kann, wenn es über ein Trägersignal der Anker 16a-d mit Energie versorgt wird.
3 zeigt eine weitere Ausführungsform eines Lokalisierungssystems, das nun auf einem SLAM-Verfahren basiert. Dazu wird auf dem Fahrzeug 10 ein mitbewegter Lokalisierungssensor 20 angeordnet, der die Umgebung beispielsweise mit einem rasternden Verfahren durch einen Sende-/Empfangsstrahl 22 erfasst. Die Auswertung erfolgt in der Steuer- und Auswertungseinheit 14, für deren konkrete Implementierung weiterhin die Bemerkungen zu 1 gelten. Es werden die von dem Lokalisierungssensor 20 erzeugten Messgrößen ausgewertet, um die eigene Position zu bestimmen, vorzugsweise mit einem SLAM-Verfahren. Für das konkrete Erfassungsprinzip des Lokalisierungssensors sowie dessen Aufbau sind verschiedene Technologien an sich bekannt.
4 zeigt ein beispielhaftes Ablaufprogramm für einen Funktionstest eines Lokalisierungssystems. Der Funktionstest trägt zu einem Sicherheitskonzept bei, mit dem das Lokalisierungssystem zu einem sicheren System im einleitend genannten Sinne wird. Es ist damit für die sicherheitsgerichtete Bestimmung einer kinematischen Größe geeignet, wie eine Position, Geschwindigkeit, Bewegungsrichtung oder Beschleunigung eines Fahrzeugs 10 oder einer Person mit dem Tag 18.
Während einer Initialisierung in einem Schritt S1 werden örtlich und möglicherweise auch zeitlich aufgelöste Parameter p_init(r,t) bestimmt, wobei r die Position in ein bis drei Dimensionen bezeichnet. Im Zusammenhang mit einem Lokalisierungsverfahren sind mögliche Parameter Laufzeitdifferenzen TDoAi(r,t) je Anker 16a-d, alternativ Ankunftszeiten, Empfangswinkel und je nach Lokalisierungsverfahren auch andere. Die Parameter können unmittelbare Messgrößen oder daraus abgeleitete Größen sein. Ein Beispiel für eine abgeleitete Größe wäre hier ein Qualitätsmerkmal der nichtlinearen Optimierung zur Bestimmung einer Position, und eine besondere abgeleitete Größe ist die Position selbst, die häufig auch zumindest eine der gesuchten Zielgrößen ist. Zusätzlich zu den Messgrößen wird vorzugsweise auch ein sogenannter Ground Truth, also eine im Rahmen des Möglichen ideale Messung als Vergleichsgröße gemessen werden. Das kann beispielsweise ein zusätzliches Lokalisierungssystem wie ein LiDAR sein. Die Vermessung im Schritt S1 kann voll automatisiert beispielsweise mittels einer mobilen Roboterplattform oder durch das automatisch navigierende Fahrzeug 10, alternativ von Hand oder auch in Mischformen durch teilautomatisierte Erfassung mit manuellen Vorgaben oder Korrekturen erfolgen.
In einem Schritt S2 wird je Position r, gegebenenfalls auch zeitabhängig eine Messgenauigkeit der erfassten Messgrößen bestimmt. Daraus ergibt sich ein Referenzgütemaß oder eine Erwartungshaltung E{p_init(r,t)} für eine quantitative Diagnose. Als Erwartungshaltung eignen sich Schwellen und vorzugsweise statistische Momente der Verteilung von p_init, insbesondere die Standardabweichung. Bei einer nur positions- und nicht zeitabhängigen Verwendung der Standardabweichung ergibt sich beispielsweise die Erwartungshaltung oder das Referenzgütemaß σ_init{x,y,z) .
In einem auf die Initialisierung folgenden sicheren Betrieb werden in einem Schritt S3 zyklisch die Messgrößen oder Parameter p_zyk(r,t) ähnlich wie in Schritt S1 an der jeweils aktuellen Position gemessen. Der erforderliche Zyklus dieser Messungen hängt von der konkreten sicherheitsgerichteten Anwendung ab. Es sind alternativ auch Funktionstests auf Anforderung oder in sonstiger nicht zyklischer Abfolge denkbar.
In einem Schritt S4 werden die Messgrößen ähnlich wie in Schritt S2 bewertet und durch Abgleich mit dem Referenzgütemaß bewertet. Dazu wird insbesondere eine Erwartungshaltung E{param_zyk(r,t)} oder im konkreten Beispielfall die Standardabweichung σ_zyk(_x,y,z) bestimmt. Das wird dann mit dem Referenzgütemaß E{p_init(r,t)} beziehungsweise σ_init{x,y,z) verglichen. Welche Abweichungen tolerierbar sind, beurteilt etwa durch Schwellen und ähnliche Verfahren, hängt dann wieder von der konkreten sicherheitstechnischen Anwendung ab. Gibt es nur kleinere Abweichungen, so hat der Funktionstest die verlässliche Funktion bestätigt, der Betrieb geht weiter, und im Rahmen des Zyklus' folgt später ein weiterer Funktionstest bei Schritt S3.
Haben sich jedoch zu große Abweichungen gezeigt, so folgt in einem Schritt S5 eine sicherheitsgerichtete Reaktion, mit der das ganze System und insbesondere das Fahrzeug 10 oder eine sonstige Maschine, in deren Nähe sich das Tag 18 befindet, in einen sicheren Zustand überführt. Das kann eine Abschaltung sein, häufig genügen aber auch Maßnahmen zur Geschwindigkeitsreduktion oder Kollisionsvermeidung.
Es ist denkbar, dass es zusätzlich zu den Funktionstests während des sicherheitsgerichteten Betriebs auch Wartungsarbeiten gibt. Das erfolgt ebenfalls zyklisch, allerdings in wesentlich längeren Zyklen beispielsweise von Stunden, eher Tagen oder Wochen. Bei diesen Wartungsarbeiten werden die Ergebnisse der Initialisierung, also die Referenzgütemaße, daraufhin geprüft, ob sie noch Gültigkeit haben. Das konkrete Vorgehen ist ähnlich wie bei der Initialisierung, wobei denkbar ist, weniger Messungen bei geringerer Statistik durchzuführen und/oder stichprobenartig nur einen Teil der Positionen zu überprüfen.
Der jeweilige Abgleich im Schritt S4 kann speziell unter dem Gesichtspunkt von Sicherheitsniveaus oder sonstigen Sicherheitsqualifizierungen der Sicherheitsnormen erfolgen. In der einen Richtung wird dem Lokalisierungssystem gemäß einer Ausführungsform insgesamt ein Sicherheitsniveau zugewiesen. Der Abgleich muss dann so scharf sein, dass dieses Sicherheitsniveau gehalten wird. In der anderen Richtung ist gemäß einer weiteren Ausführungsform denkbar, den Abgleich nicht im Sinne einer Ja/Nein-Entscheidung durchzuführen, sondern zu quantifizieren, welches Sicherheitsniveau aktuell bei der gegebenen Abweichung garantiert werden kann. Womöglich erfordert die Anwendung gar nicht zu allen Zeiten und damit Phasen von Prozessabläufen und/oder an allen Positionen dasselbe Sicherheitsniveau, so dass die Verfügbarkeit durch variable Sicherheitsniveaus gesteigert werden kann: Erst wenn das momentan erreichte Sicherheitsniveau den konkreten derzeitigen Sicherheitsanforderungen nicht mehr entspricht, erfolgt die sicherheitsgerichtete Reaktion. Die Umrechnung zwischen den Ergebnissen des Abgleichs und einem Sicherheitsniveau erfolgt anhand von Sicherheitsnormen, beispielsweise der IEC/TS 62998 Tabelle 5 und 1.
ZITATE ENTHALTEN IN DER BESCHREIBUNG
Diese Liste der vom Anmelder aufgeführten Dokumente wurde automatisiert erzeugt und ist ausschließlich zur besseren Information des Lesers aufgenommen. Die Liste ist nicht Bestandteil der deutschen Patent- bzw. Gebrauchsmusteranmeldung. Das DPMA übernimmt keinerlei Haftung für etwaige Fehler oder Auslassungen.
Zitierte Nicht-Patentliteratur

ISO 13849 [0010]

Claims

Verfahren zum Funktionstest eines sicheren Lokalisierungssystems (12, 14, 16, 18, 20), das sicherheitsgerichtet eine kinematische Größe eines Objekts (10, 18), insbesondere eine Position, aus mindestens einer Messgröße bestimmt, dadurch gekennzeichnet, dass in einer Initialisierungsphase die Messgröße und/oder mindestens eine daraus abgeleitete Größe an verschiedenen Positionen gemessen und ein Referenzgütemaß bestimmt wird, wie genau die Messgröße und/oder die daraus abgeleitete Größe an den jeweiligen Positionen erfassbar ist und dass in einer Betriebsphase die Messgröße und/oder die daraus abgeleitete Größe erneut gemessen und daraus ein aktuelles Gütemaß bestimmt und mit dem Referenzgütemaß verglichen wird.
Verfahren nach Anspruch 1, wobei in der Initialisierungsphase eine automatische Vorrichtung die Positionen abfährt, so dass das Referenzgütemaß automatisch erfasst wird.
Verfahren nach Anspruch 1 oder 2, wobei das Referenzgütemaß unter Berücksichtigung einer nicht mit dem Lokalisierungssystem (12, 14, 16, 18, 20) erfassten verlässlichen Messgröße, abgeleiteten Größen und/oder kinematischen Größe bestimmt wird.
Verfahren nach einem der vorhergehenden Ansprüche, wobei für zumindest eine Position ein Referenzgütemaß aus dem Referenzgütemaß mindestens einer anderen Position geschätzt wird.
Verfahren nach einem der vorhergehenden Ansprüche, wobei das Referenzgütemaß und/oder das Gütemaß ein Moment der Verteilung der Messgröße und/oder der abgeleiteten Größe aufweist, insbesondere eine Standardabweichung.
Verfahren nach einem der vorhergehenden Ansprüche, wobei das Referenzgütemaß in einer Wartungsphase überprüft wird.
Verfahren nach einem der vorhergehenden Ansprüche, wobei aus der Abweichung zwischen aktuellem Gütemaß und Referenzgütemaß ein aktuell mögliches Sicherheitsniveau bestimmt wird.
Verfahren nach einem der vorhergehenden Ansprüche, wobei eine sicherheitsgerichtete Reaktion ausgelöst wird, wenn das Lokalisierungssystem (12, 14, 16, 18, 20) die sicherheitsgerichtete Bestimmung der kinematischen Größe nicht gewährleisten kann.
Verfahren nach einem der vorhergehenden Ansprüche, wobei das Lokalisierungssystem (12, 14, 16, 18) ein LiDAR-, UWB-, RFID-, 5G, Ultraschall- oder WiFi-System ist und die kinematische Größe anhand von Signallaufzeiten, Signallaufzeitdifferenzen und/oder Empfangswinkeln bestimmt wird.
Verfahren nach einem der vorhergehenden Ansprüche, wobei das Lokalisierungssystem (12, 14, 16, 18) mindestens einen bewegten Empfänger (12) und mehrere ein Lokalisierungssignal erzeugende Sender (16a-d) aufweist oder wobei umgekehrt ein bewegliches Tag (18) ein Lokalisierungssignal erzeugt, das von mehreren Empfängereinheiten (16a-d) empfangen wird.
Verfahren nach einem der Ansprüche 1 bis 8, wobei das Lokalisierungssystem (12, 14, 20) mindestens einen mobilen Sensor zur Erfassung der Umgebung aufweist, dessen eigene Position mittels eines SLAM-Verfahrens bestimmt wird.
Sicheres Lokalisierungssystem (12, 14, 16, 18, 20) mit einer Steuer- und Auswertungseinheit (14), die für eine sicherheitsgerichtete Bestimmung einer kinematischen Größe eines Objekts (10, 18) aus mindestens einer Messgröße und für ein Verfahren zum Funktionstest nach einem der vorhergehenden Ansprüche ausgebildet ist.