-
Die Erfindung betrifft ein Verfahren zum Betreiben eines Fahrzeugs. Die Erfindung trifft ferner ein System zum Betreiben eines Fahrzeugs. Die Erfindung betrifft ferner ein Computerprogrammprodukt.
-
Stand der Technik
-
Wo technische Systeme menschliche Aufgaben übernehmen, müssen nicht nur optische und akustischen Fähigkeiten des Menschen von den technischen Systemen mindestens gleichwertig ausgeführt werden, zudem sollten auch noch mögliche Fehlerreaktionen oder Anpassungen an betriebliche negative Beeinflussungen wie Blenden, Schattenbildung, usw. mindestens gleichwertig kompensiert werden. Bekannte Sicherheitssysteme basieren auf Diagnosen und Redundanzen, die in einem Vergleicher entsprechende Aktuatoren freigeben oder direkt ansteuern. In der Flugzeugtechnik sind Votings (Auswahlverfahren) auf Geräteebene bekannt und erfordern eine dreifachredundante Elektronik, wobei für spezifische Sicherheitsaufgaben auf Mikrorechnereinrichtungen basierte Voting-Systeme verwendet werden.
-
Bekannte Umfelderkennungs-Systeme (engl.environmental sensing) weisen viele technische Unzulänglichkeiten auf, bzw. haben Grenzen, die Wirklichkeit in korrekten digitalen Daten abzubilden und weisen in der Regel auch im Hinblick auf externe Umfeld- und Infrastruktureinflüsse bedeutsame Mängel auf. Im Allgemeinen sind auf Radar, Laser, Kamera, usw. basierende Sensorsysteme rein technische Erfassungssysteme, die auf typische Anwendungsfälle, wie z.B. Fahrraumerkennung, Objekterkennung, usw. nur anhand von empirischen Erfahrungsstrukturen eingelernt, kalibriert, skaliert, usw. angepasst werden.
-
DE 10 2017 218 438 A1 offenbart ein Verfahren und ein System zum Betreiben eines Fahrzeugs sowie weiterhin ein Computerprogrammprodukt. Offenbart ist eine Sensorvorrichtung mit wenigstens zwei technologisch diversifizierten Sensoreinrichtungen, wobei ein Erfassen von Umfeldinformationen mittels der Sensorvorrichtung, ein definiertes Auswerten der von den technologisch diversifizierten Sensoreinrichtungen erfassten Umfeldinformationen hinsichtlich Plausibilität und ein definiertes Verwenden der Umfeldinformationen unter Verwendung eines Resultats des definierten Auswertens der erfassen Umfeldinformationen durchgeführt wird.
-
DE 10 2014 112 194 A1 offenbart einen Controller für einen Elektromotor in einem Elektrofahrzeug und ein Verfahren dafür, wobei der Controller unter anderem über ein Voting-Control-Modul und über ein Überbrückungsmodul verfügt, wobei das Voting-Control-Modul ein Fehlersignal von einem der beiden anderen Module erhält. Sobald beide Module ein Fehlersignal senden, generiert das Voting-Control-Modul einen Überbrückungsbefehl und leitete diesen an das Überbrückungsmodul weiter, welches den Befehl ausführt.
-
Offenbarung der Erfindung
-
Eine Aufgabe der vorliegenden Erfindung ist es, ein verbessertes System zum Betreiben eines Fahrzeugs bereit zu stellen.
-
Die Aufgabe wird gemäß einem ersten Aspekt gelöst mit einem Verfahren zum Betreiben eines wenigstens teilweise automatisierten Fahrzeugs, aufweisend die Schritte:
- - Zuführen von sensorisch erfassten Umfelddaten an wenigstens drei voneinander unabhängige Al-Recheneinrichtungen;
- - Generieren von Daten betreffend wenigstens ein Objekt aus den Umfelddaten;
- - Gegeneinander Plausibilisieren der Daten mittels eines Majoritäts-Votings; und
- - Verwenden der plausibilisierten Daten zum zumindest teilautomatisierten Steuern einer Quer- und/oder Längsführung des wenigstens teilweise automatisierten Fahrzeugs.
-
Auf diese Weise wird Majoritäts-Voting in einem Sicherheitskontext von automatisiertem Fahren durchgeführt, wobei Daten betreffend einen von der Sensorvorrichtung erfassten Raum generiert werden. Anstelle eines üblichen Sicherheitsmechanismus wird vom vorgeschlagenen Verfahren ein Majoritäts-Voter verwendet, der von Ausgangsdaten vortrainierter Al-Recheneinrichtungen gespeist wird. Gegenstand des Majoritäts-Votings ist eine Eigenschaft eines erfassten Objekts, wie zum Beispiel eine Position einer Freifläche, eines Objektes oder eine Ausdehnung, Bewegungsrichtung eines Vektors eines Objekts, usw. Mittels des Majoritätsvotings wird geprüft, ob die Daten inhaltlich stimmig zueinander sind. Wenn zwei gleiche Daten vorliegen, werden diese übereinstimmenden Daten als plausible Daten angesehen.
-
Gemäß einem zweiten Aspekt wird die Aufgabe gelöst mit einem System zum zumindest teilautomatisierten Steuern einer Quer- und/oder Längsführung eines wenigstens teilweise automatisierten Fahrzeugs, aufweisend:
- - mindesten ein Eingang, der eingerichtet ist sensorisch erfasste Umfelddaten, die von drei voneinander unabhängigen Al-Recheneinrichtungen zu Daten betreffend wenigstens ein Objekt ausgewertet wurden, zu empfangen;
- - einen Majoritäts-Voter, der ausgebildet ist, die Daten mittels Majoritäts-Votings gegeneinander zu Objektdaten zu plausibilisieren; und
- - einen Ausgang zum Bereitstellen der Objektdaten zum zumindest teilautomatisierten Steuern einer Quer- und/oder Längsführung des wenigstens teilweise automatisierten Fahrzeugs.
-
Vorteilhafte Weiterbildungen des Verfahrens sind Gegenstand von abhängigen Ansprüchen.
-
Eine vorteilhafte Weiterbildung des Verfahrens sieht vor, dass mittels der Al-Recheneinrichtungen basierend auf den Daten ein Erkennen einer Freifläche, und/oder ein Erkennen eines optischen Flusses des wenigstens einen Objekts, und/oder ein Erstellen eines Bewegungsvektors des wenigstens einen Objekts samt dessen Unschärfe und/oder eine Freiraumerkennung durchgeführt werden. Auf diese Weise werden von den unabhängigen Al-Algorithmen nützliche Informationen generiert, die nachfolgend mittels Majoritäts-Votings ausgewertet werden.
-
Eine weitere vorteilhafte Weiterbildung des Verfahrens sieht vor, dass die Al-Recheneinrichtungen mit spezifischen messbaren, sensorisch erfassten Kennzeichnungsparametern des wenigstens einen erfassten Objekts überprüft werden. Mit den messbaren Kennzeichnungsparametern werden Schlüsselparameter benutzt, die auf einfache Weise ausgewertet und überprüft werden können. Mittels dieser Schlüsselparameter können die von den Sensoreinrichtungen bereitgestellten Umfelddaten auf effiziente Weise überprüft werden.
-
Eine weitere vorteilhafte Weiterbildung des Verfahrens sieht vor, dass mittels einer Diagnoseeinrichtung eine Diagnose eines das Verfahren durchführenden Systems durchgeführt wird.
-
Eine weitere vorteilhafte Weiterbildung des Verfahrens sieht vor, dass aus den Daten der Diagnoseeinrichtung Daten bereitgestellt werden, die aussagen, in welchem Ausmaß das System zuverlässig ist. Dadurch kann mittels Degradation eine Aussage gemacht werden, in welchem Ausmaß das System zuverlässig ist. Auf diese Weise können spezifische Aussagen hinsichtlich spezifischer Sensoreinrichtungen getroffen werden, zum Beispiel eine Aussage, dass Daten einer Kamera nicht mehr vertrauenswürdig sind. Dies kann zum Beispiel durch Feuchtigkeit in Form von Nebel, Regen, Schnee auf einer Frontlinse der Kamera verursacht sein, wodurch eine Funktionsfähigkeit der Kamera bedeutsam verringert sein kann und eine Reinigung bzw. Reparatur der Kamera erforderlich ist.
-
Eine weitere vorteilhafte Weiterbildung des Verfahrens sieht vor, dass die Daten innerhalb des Fahrzeugs verwendet und/oder zu einer Übermittlungseinrichtung übermittelt werden, die die Daten drahtlos an das wenigstens teilweise automatisierte Fahrzeug übermittelt. Vorteilhaft werden dadurch unterschiedliche Nutzungsmöglichkeiten der Daten bereitgestellt. Zum Beispiel können die Daten direkt zum Betreiben innerhalb des wenigstens teilweise automatisierten Fahrzeugs verwendet werden, oder es werden die Daten an eine Infrastruktur übermittelt, die die Daten in Form von Steuerungsdaten drahtlos an das wenigstens teilweise automatisierte Fahrzeug übermittelt.
-
Eine weitere vorteilhafte Weiterbildung des Verfahrens sieht vor, dass die Al-Recheneinrichtungen datentechnisch und systemtechnisch unabhängig sind. Vorteilhaft ist dadurch eine Unabhängigkeit der AI Rechnereinrichtungen unterstützt, wodurch im Ergebnis ein eine Sichtweise aus unterschiedlichen Aspekten auf die von den Sensoren erfassten Umfelddaten gewonnen werden kann. Eine Plausibilität der von den Sensoreinrichtungen bereitgestellten Umfelddaten kann auf diese Weise bedeutsam erhöht sein.
-
Weitere vorteilhafte Weiterbildungen des Verfahrens sehen vor, dass den Al-Recheneinrichtungen Umfelddaten eines einzigen Sensortyps zugeführt werden.
-
Weitere vorteilhafte Weiterbildungen des Verfahrens sehen vor, dass den Al-Recheneinrichtungen Umfelddaten von technisch diversifizierte Sensortypen zugeführt werden. Vorteilhaft werden auf die genannten Art und Weisen Umfelddaten von spezifischen Sendeeinrichtungen erfasst, wodurch für spezifische Anwendungen eine hohe Gestaltungsfreiheit für die Sensorvorrichtung unterstützt ist.
-
Weitere vorteilhafte Weiterbildungen des Verfahrens sehen vor, dass weiterhin Kartendaten und/oder Verortungsdaten verwendet werden. Vorteilhaft kann auf diese Art und Weise eine Positionsinformation der Sensoren auf Karteninformation und/oder einen Zeitpunkt bezogen werden. Dadurch wird in vorteilhafter Weise auch eine statische Sicht auf die Umgebung einbezogen. Eine Diagnose des Gesamtsystems ist auf diese Weise noch weiter verbessert.
-
Die Erfindung wird im Folgenden mit weiteren Merkmalen und Vorteilen anhand von mehreren Figuren detailliert beschrieben. Die Figuren sind vor allem dazu gedacht, die erfindungswesentlichen Prinzipien zu verdeutlichen und sind nicht unbedingt maßstabgetreu ausgeführt.
-
Offenbarte Verfahrensmerkmale ergeben sich analog aus entsprechenden offenbarten Vorrichtungsmerkmalen und umgekehrt. Dies bedeutet insbesondere, dass sich Merkmale, technische Vorteile und Ausführungen betreffend das Verfahren in analoger Weise aus entsprechenden Ausführungen, Merkmalen und Vorteilen betreffend das System ergeben und umgekehrt.
-
In den Figuren zeigt:
- 1 eine Übersichtsbild mit einer prinzipiellen Darstellung eines vorgeschlagenen Systems;
- 2 eine Darstellung einer weiteren Ausführungsform eines vorgeschlagenen Systems; und
- 3 ein prinzipielles Ablaufdiagramm eines vorgeschlagenen Verfahrens zum Betreiben eines wenigstens teilweise automatisierten Fahrzeugs.
-
Beschreibung von Ausführungsformen
-
Nachfolgend wird unter dem Begriff „Plausibilisieren mittels Majoritäts-Votings“ ein Prüfen von Daten verstanden, bei dem eine Mehrheit von Daten eine Richtigkeit der Daten indiziert. Unter Majoritäts-Voting wird dabei insbesondere kein logisches Voting bzw. Plausibilisieren verstanden.
-
Die Formulierung „zumindest teilautomatisiertes Führen“ umfasst einen oder mehrere der folgenden Fälle: assistiertes Führen, teilautomatisiertes Führen, hochautomatisiertes Führen, vollautomatisiertes Führen.
-
Assistiertes Führen bedeutet, dass ein Fahrer des Kraftfahrzeugs dauerhaft entweder die Quer- oder die Längsführung des Kraftfahrzeugs ausführt. Die jeweils andere Fahraufgabe (also ein Steuern der Längs- oder der Querführung des Kraftfahrzeugs) wird automatisch durchgeführt. Das heißt also, dass bei einem assistierten Führen des Kraftfahrzeugs entweder die Quer- oder die Längsführung automatisch gesteuert wird.
-
Teilautomatisiertes Führen bedeutet, dass in einer spezifischen Situation (zum Beispiel: Fahren auf einer Autobahn, Fahren innerhalb eines Parkplatzes, Überholen eines Objekts, Fahren innerhalb einer Fahrspur, die durch Fahrspurmarkierungen festgelegt ist) und/oder für einen gewissen Zeitraum eine Längs- und eine Querführung des Kraftfahrzeugs automatisch gesteuert werden. Ein Fahrer des Kraftfahrzeugs muss selbst nicht manuell die Längs -und Querführung des Kraftfahrzeugs steuern. Der Fahrer muss aber das automatische Steuern der Längs- und Querführung dauerhaft überwachen, um bei Bedarf manuell eingreifen zu können. Der Fahrer muss jederzeit zur vollständigen Übernahme der Kraftfahrzeugführung bereit sein.
-
Hochautomatisiertes Führen bedeutet, dass für einen gewissen Zeitraum in einer spezifischen Situation (zum Beispiel: Fahren auf einer Autobahn, Fahren innerhalb eines Parkplatzes, Überholen eines Objekts, Fahren innerhalb einer Fahrspur, die durch Fahrspurmarkierungen festgelegt ist) eine Längs- und eine Querführung des Kraftfahrzeugs automatisch gesteuert werden. Ein Fahrer des Kraftfahrzeugs muss selbst nicht manuell die Längs -und Querführung des Kraftfahrzeugs steuern. Der Fahrer muss das automatische Steuern der Längs- und Querführung nicht dauerhaft überwachen, um bei Bedarf manuell eingreifen zu können. Bei Bedarf wird automatisch eine Übernahmeaufforderung an den Fahrer zur Übernahme des Steuerns der Längs- und Querführung ausgegeben, insbesondere mit einer ausreichenden Zeitreserve ausgegeben. Der Fahrer muss also potenziell in der Lage sein, das Steuern der Längs- und Querführung zu übernehmen. Grenzen des automatischen Steuerns der Quer- und Längsführung werden automatisch erkannt. Bei einem hochautomatisierten Führen ist es nicht möglich, in jeder Ausgangssituation automatisch einen risikominimalen Zustand herbeizuführen.
-
Vollautomatisiertes Führen bedeutet, dass in einer spezifischen Situation (zum Beispiel: Fahren auf einer Autobahn, Fahren innerhalb eines Parkplatzes, Überholen eines Objekts, Fahren innerhalb einer Fahrspur, die durch Fahrspurmarkierungen festgelegt ist) eine Längs- und eine Querführung des Kraftfahrzeugs automatisch gesteuert werden. Ein Fahrer des Kraftfahrzeugs muss selbst nicht manuell die Längs -und Querführung des Kraftfahrzeugs steuern. Der Fahrer muss das automatische Steuern der Längs- und Querführung nicht überwachen, um bei Bedarf manuell eingreifen zu können. Vor einem Beenden des automatischen Steuerns der Quer- und Längsführung erfolgt automatisch eine Aufforderung an den Fahrer zur Übernahme der Fahraufgabe (Steuern der Quer- und Längsführung des Kraftfahrzeugs), insbesondere mit einer ausreichenden Zeitreserve. Sofern der Fahrer nicht die Fahraufgabe übernimmt, wird automatisch in einen risikominimalen Zustand zurückgeführt. Grenzen des automatischen Steuerns der Quer- und Längsführung werden automatisch erkannt. In allen Situationen ist es möglich, automatisch in einen risikominimalen Systemzustand zurückzuführen.
-
Bekannte Voting-Systeme basieren in der Regel auf passiver Elektronik oder Mikrocontrollern, die ursprünglich nicht für spezielle Sicherheitsaufgaben entwickelt wurden und bewerten nur einen funktionalen Effekt von am Voter anliegenden elektrischen Signalen. Beispielsweise würde dadurch im Falle, dass zwei unabhängige elektrische Signale ausdrücken, dass ein Aktuator seine Leistung erhöhen soll und ein weiteres elektrisches Signal eine Reduzierung der Leistung fordert, ein einfaches 2-aus-3 Voting die Leistung des Aktuators erhöhen.
-
Unter Al werden nachfolgend nicht-deterministische Algorithmen verstanden, die in ihrer Rechentiefe bekannt sind. Dies können Algorithmen des Machine Learning oder anderen Rechenschemata sein. Jede einzelne Al kann für sich weitere Lerneffekte haben, wobei die Als jedoch nicht gemeinschaftlich zueinander trainiert werden. Auf diese Weise ist eine unabhängige Arbeitsweise der jeweiligen Als unterstützt. Vorteilhaft können die Als während der Laufzeit auf an sich bekannte Weise immer weiterlernen.
-
Vorgeschlagen wird ein Verfahren, bei dem z.B. im Falle eines 2-aus 3 Votings auch bei zwei gleichen falschen Informationen oder eine Abweichung von einem spezifizierten Normal, Normal- bzw. Grenzwert oder Ähnlichem (z.B. konstantes Halten einer Geschwindigkeit eines Fahrzeugs auf 50 km/h bei einem weitgehend ungestörten, durchschnittlichen Verkehrsaufkommen), ein Gefährdungsfall für das gesteuerte Fahrzeug möglichst verhindert werden kann. Sobald eine Abweichung von diesem spezifizierten Normalwert vorliegt, ist dies eine Verletzung, welche ein Systemverhalten in definierter Form beeinflusst. Mit einem Voter kann man gut auch die Beherrschung von Mehrfachfehler gemäß ASIL D nach ISO 26262 darstellen, da verschiedenen Kriterien auf verschiedenen Ebenen im Voter und auch in den Datenströmen die in drei oder mehr dem Voter zur Verfügung gestellt werden, berücksichtigt werden.
-
Funktionale Votings können auch bedingt anwendbar sein, sodass man dem Voter unter bestimmten Bedingungen unterschiedliche Informationen zum „Voten“ zuführt. Für hochverfügbare Systeme, kann der Voter auch redundant ausgeführt werden, hier sollte darauf geachtet werden, dass beide Voter durch einen äußeren Umstand (z.B. elektrischer Spannungsausfall) nicht gleichzeitig ausfallen. Auf diese Weise werden mögliche Fehlerfolgen abgesichert.
-
Der bedingte Majoritäts-Voter kann somit beliebig konfiguriert werden und kann auf Basis unterschiedlichster Parameter verschiedene Datenströme auswerten und somit anhand von unterschiedlichen Faktoren einen Aktuator sicher ansteuern. Solche Unterscheidungen können von folgenden Zuständen abhängig sein:
- - Betriebszustände des Fahrzeugs (Fahrzeug beschleunigt, bremst usw.)
- - Systemzustände (z.B. Steuergeräte sind in der Initialisierung, Re-konfiguration, Defekt usw.)
- - Verkehrssituationen (z.B. Autobahnfahrt, belebte Straße, usw.)
-
Insbesondere bei Umfeldsensorik können die Systeme bei möglichen technischen Unzulänglichkeiten auf bessere Systeme oder Auswerte-Algorithmen umgeschaltet werden. Damit werden neben den technischen Unzulänglichkeiten der Sensoren und Auswerte-Algorithmen auch mögliche folgende Fehlerauswirkungen aus dem Umfeld anpassbar:
- - Temperatur, Schmutz, usw. können die Messergebnisse verfälschen
- - Regen, Schnee, Nebel können die Erkennungsfähigkeit einschränken
- - elektrische Fehler und Toleranzen (Bauteilrauschen, EMV etc.) können das Ergebnis verfälschen
- - Abweichungen von einem spezifizierten Normal
-
Die technischen Systeme können zeitlich variabel kalibriert oder konfiguriert werden, so dass der Majoritäts-Voter für einen bestimmten Zeitraum Ergebnisse von technischen Elementen in Form von Umfeldsensoren „ausblendet“ bzw. nicht berücksichtigt.
-
Ein wesentlicher Vorteil des vorgeschlagenen Verfahrens beruht darauf, dass ein Sicherheitsnachweis nicht mehr auf einer Fehlerintegrität des Trägersystems (inklusive Sensoren) beruht, sondern ausschließlich betreffend einen möglichen Einfluss auf die Sicherheit des Fahrzeugs. Somit wird die Diagnoseeinrichtung 30, die Fusionierungseinrichtung 20 und die Majoritäts-Voter 10 sowie eine Aktuatoransteuerung nach Sicherheitsanforderungen implementiert. Diversitäre Funktionen, die von den vortrainierten Al-Recheneinrichtungen 1a... 1d bereitgestellt werden, unterliegen nur der Analyse für Fehler gemeinsamer Ursache, sind aber als implementierter Sicherheitsmechanismus im Straßenverkehr nicht notwendig. Unter dem Begriff „diversitär“ wird im Zusammenhang mit der vorliegenden Patentanmeldung „auf unterschiedlichen Prinzipien basierend“ verstanden. Diversitäre Funktionen bzw. diversitäre Algorithmen sind somit solche, die auf unterschiedlichen Berechnungs- bzw. Auswerteprinzipien basieren.
-
Auf diese Weise kann auch mit ungewöhnlichen Einflüssen umgegangen werden, da diese vom Majoritäts-Voter 10 als ungewöhnlich erkannt werden (z.B. gibt es Kombinatoriken, die nicht logisch sind) und zum Beispiel kann das wenigstens teilweise automatisierte Fahrzeug in seiner Funktionsweise dann entsprechend degradiert werden (z.B., indem es abgebremst, auf eine andere Strecke geführt wird, usw.).
-
Stehen zum Beispiel wenigstens zwei, vorzugsweise wenigstens drei sinnvolle auf Al-Recheneinrichtungen 1a... 1n ablaufende Al-Algorithmen, die vergleichbare Ziele verfolgen, zur Verfügung, wie z.B.
- - Objekterfassung
- - Freiflächenerfassung
- - Bereitstellung von optischem Fluss (Objektverfolgung oder Erfassung von Bewegungsvektoren von Körper (3D-Elemente)
kann vom Majoritäts-Voter 10 eine logische Information, ob für das wenigstens teilweise automatisierte Fahrzeug ein relevanter Bereich des Umfelds befahrbar ist, aus drei unterschiedlichen, auf den Al-Recheinrichtungen 1a... 1n ablaufenden Al-Algorithmen als diversitäre Algorithmen bereitgestellt werden.
-
Da in der Regel meist mehrere Umfeldsensoren vorhanden sind, können systematische HW-Fehler durch einen Systemvergleich entweder überkreuz oder in einem überlagerten System auftreten. Bei einer künstlichen Intelligenz Al (engl. artificial intelligence, z.B. in Form eines neuronalen Netzes, eines maschinellen Lernsystems oder dergleichen) wird der Bezug zu der Hardware, auf der die Funktion läuft und der systematische Fehler der genannten Hardware nicht mehr nachvollziehbar sein. Die Erfassung der „Realen Welt“ kann mit Diagnosen nicht erfasst und nicht überprüfbar oder gar sicherheitstechnisch argumentiert werden.
-
Allerdings kann dies ebenso wie bei der künstlichen Intelligenz AI über logische Funktionen oder verschiedene Perspektiven der Sensoren auf zuverlässige Weise bzw. „sicher“ durchgeführt werden, was im vorgeschlagenen Verfahren ausgenutzt wird.
-
Aus den Umfelddaten können auf diese Weise Informationen betreffend ein Objekt extrahiert werden, wie z.B. Ampel samt Farben, Freiflächen, Sequenzen von Farbwechsel der Ampel (Rot-Gelb-Grün), usw.
-
Da Diagnosen meist zeitaufwendig sind und die Daten zuerst im Monitoring analysiert werden können, kann die vorgeschlagene Majoritäts-Voting-Architektur auch genutzt werden, um bei logisch plausiblen Werten Daten lediglich durchzurouten, ohne eine Weiterverarbeitung der Daten von einem abzuwartenden Diagnoseergebnis abhängig zu machen.
-
So könnte ein Ergebnis eines 2-aus-3-Voters (zwei Ergebnisse stimmen überein, ein drittes Ergebnis weicht ab) darin bestehen, dass die Informationen der Diagnose abgewartet werden müssen, wohingegen ein Ergebnis eines 3-aus-3 Voters besagt, dass auf die Informationen der Diagnose verzichtet werden kann.
-
Mit einem derartigen Majoritäts-Voter 10 kann z.B. mit geringem Aufwand ein schneller ASIL-D Router oder ein Funkmodem für eine wenigstens teilweise automatisierte Fahrfunktion realisiert werden.
-
Vorgeschlagen wird, dass nicht Daten, die von einem oder mehreren Umfeldsensoren erfasst wurden, einem Majoritäts-Voting unterzogen werden, sondern Informationen, die aus den Sensorinformationen mittels einer vortrainierten Al-Recheneinrichtung 1 a... 1n generiert wurden. Die vortrainierten Al-Recheneinrichtungen 1a... 1n können einen situativen Kontext der Umfelddaten D, die durch einen oder auch mehrere Umfeldsensoren (oder entsprechende Datenquellen) gebildet wurden, bewerten bzw. entsprechende Objektdaten ODa...ODn gegeneinander plausibilisieren, wodurch die von den Sensoreinrichtungen S1... Sn erfassten Umfelddaten D effizient genutzt werden können.
-
Im vorliegenden Fall bedeutet dies, dass die von den Sensoreinrichtungen S1...Sn erfassten Umfelddaten D für den eigentlichen Voting-Prozess nur eine untergeordnete Rolle spielen. Wenigstens drei verschiedene Al-Recheneinrichtungen 1a... 1n, die auf unterschiedlichen Trainingsprinzipien und unterschiedliche Al-Algorithmen basieren, können auf diese Weise Fehler im System 100 und auch bei der Wahrnehmung der „realen Weltinformation“ anhand der Ergebnisse des Voters 10 bewerten. In den einzelnen Strängen, die zum Voter 10 hinführen, können auch andere (auch verschiedene Sensoren) eingebunden sein, die wie beim Menschen, erst in der Lernphase während der Entwicklung und während der Betriebszeit einen Beitrag liefern dazugelernt werden, so dass die Quellen für das Ergebnis sogar unbekannt sein können zur Entwicklungszeit.
-
1 zeigt ein prinzipielles Blockschaltbild einer Ausführungsform eines vorgeschlagenen Systems 100 mit Funktionsblöcken sowie deren logische Abhängigkeiten voneinander. Man erkennt eine Sensorvorrichtung mit einer Sensoreinrichtung S1, z.B. in Form einer Kamera die Kameradaten bereitstellt. Die Sensoreinrichtung kann auch als Radar, Lidar, usw. ausgebildet sein. Umfelddaten D, die von der Sensoreinrichtung S1 erfasst werden, können weitgehend unabhängig voneinander in redundant unabhängige Auswertesystemen mit einem Voter 10, einer Fusionierungseinrichtung 20 und einer Diagnoseeinrichtung 30 verarbeitet werden.
-
Dabei fusioniert eine Fusionierungseinrichtung 20 die von den Al-Einrichtungen 1a... 1n bereitgestellten Objektdaten ODa... ODn, wobei eine Diagnoseeinrichtung 30 eine Diagnose der genannten Objektdaten ODa... ODn mittels Schlüsselparameter der Umfelddaten D, die auch von den Al-Recheneinrichtungen 1a... 1d verwendet werden, durchführt. Ausgabedaten des Voters 10 in Form von Objektdaten OD werden auf diese Weise von Fusionierungseinrichtung 20 und der Diagnoseeinrichtung 30 überwacht. Die genannten Ausgabedaten OD können zum Beispiel innerhalb des wenigstens teilweise automatisierten Fahrzeugs zu einer Aktuatoransteuerung verwendet werden. Die vom Voter 10 bereitgestellten Objektdaten OD können zum Beispiel auch an Infrastruktureinrichtungen (engl. road site units, RSU) übermittelt werden, die die Objektdaten OD drahtlos an das wenigstens teilweise automatisierte Fahrzeug übermittelt. Am Eingang werden die Schlüsselparameter generiert, am Ausgang werden sie dann geprüft. Die Schlüsselparameter repräsentieren Mechanismen, mit denen die Al überwachbar gemacht wird, wobei auf diese Weise die Als bewertbar gemacht wird.
-
Im Ergebnis kann mit dem Schlüsselparameter eine Güte der AI festgestellt werden.
-
Auf diese Weise können zufällige HW-Fehler und auch systematische Fehler der verwendeten Sensoreinrichtungen S1...Sn und der Recheneinheit, auf der die AI ausgeführt wird, weitgehend ausgeschlossen werden, da eine Gleichzeitigkeit der systematischen Fehler als ein Kriterium für die Unwahrscheinlichkeit genutzt werden kann. Beispielsweise kann sich ein EMV-Problem mit demselben Effekt nicht gleichzeitig auf zwei verschiedene Signale der Sensoreinrichtungen S1... Sn auswirken.
-
Die Sensorfusion der verarbeiteten Umfelddaten D mittels der Fusionierungseinrichtung 20 sowie die Informationsgewinnung, zum Beispiel durch Al-Recheneinrichtungen 1a... 1c mit Al-Algorithmen (z.B. zum Zwecke einer Objekterfassung, Objektverfolgung, Generierung von optischem Fluss, Erkennung von Freiraum im Umfeld des Fahrzeugs, usw..) werden vorzugsweise auf physikalisch unterschiedlichen, voneinander unabhängigen elektronischen Recheneinheiten ausgeführt, wobei durch einen Vergleich von Ergebnissen der Redundanz zufällige Hardware-Fehler entdeckt werden können.
-
Die Hardware und die Software bei zum Beispiel als Kameras ausgebildete Sensoreinrichtungen S1... Sn mit drei nachgeschalteten diversitären Al-Recheneinrichtungen 1a... 1c können Diagnoseinformationen liefern. Die Sensoreinrichtungen S1... Sn haben in der Regel ihre je eigenen Schwächen, z.B. kann ein Radarsensor oder ein Lidarsensor keine Farben erkennen, wohingegen eine Kamera in der Regel Schwächen bei der Erfassung von Entfernungen und Geschwindigkeiten von Objekten aufweist.
-
Man erkennt am Eingang und am Ausgang der Al Recheneinrichtungen 1a... 1c als Schlüssel angedeutete Schlüsselparameter, mittels derer die an die Al-Recheneinrichtungen zugeführten Umfelddaten D und von den Al-Recheneinrichtungen 1a... 1n ermittelten Objektdaten ODa...ODn überprüft werden. Die Schlüsselparameter der erfassten Umfelddaten können verschiedenen Art sein:
- - Werte als Parameter der realen Welt, wie z.B. Größe, Eigenschaften, Entfernung von Objekten, Freiflächen, Eigenschaften von Bewegungsvektoren, usw.
- - Parameter aus dem situativen Kontext, wie z.B. Zeit, Sequenz, Reihenfolge, usw.,
- - Datentechnische Parameter, die sich aus Eigenschaften des Datenflusses ergeben, wie z.B. Separationswert, Sicherheitsbehälter, Vertrauenswert, oder
- - Parameter betreffend Fehler oder falsche Eingriffe (z.B. durch Hacker) wie z.B. intrusion, usw.
-
Soll das System 100 sichere Anforderungen betreffend Verfügbarkeit erfüllen können (z.B. für Lenkungsmanöver bei hoch-automatisiertem Fahrbetrieb), sollte eine Aktuator-Ansteuerung des Fahrzeugs vorzugsweise über redundante Voter (nicht dargestellt) erfolgen, die eine Synchronisierungs- und Gleichzeitigkeitsanalyse durchführen kann. Vorteilhaft ist dabei, wenn redundante Strecken zum Voter 10 hin möglichst nicht beeinflusst werden, damit entlang der genannten Wirkkette keine Fehler aufgrund von sogenannten Common-Cause-Effekten (Effekten aufgrund gemeinsamer Ursache) auftreten. Als Ausfälle aufgrund gemeinsamer Ursache (Versagen aufgrund gemeinsamer Ursache, Ausfall infolge gemeinsamer Ursache, gemeinsam verursachte Ausfälle, engl. common cause failures) werden in der Risikoanalyse Ausfälle von mehreren Komponenten oder Systemen bezeichnet, die als Folge einer einzelnen Fehlerursache oder eines einzelnen Ereignisses auftreten. Ihr Ausfallverhalten ist damit statistisch voneinander abhängig.
-
Das wenigstens teilweise automatisierte Fahrzeug (nicht dargestellt) kann zur Durchführung des vorgeschlagenen Verfahrens ein fahrzeuggebundenes Umfelderfassungs-System (engl. Onboard-perception), wie z.B. eine Video- und/oder Lidar- und/oder Radar- und/oder Ultraschallsensorik zur Erfassung von Umfeldinformationen des Fahrzeugs aufweisen. Ferner kann das genannte Umfelderfassungssystem wenigstens teilweise auch in einer Infrastruktur im Umfeld des Fahrzeugs angeordnet sein.
-
Die vorgeschlagene Anordnung des Systems 100 von 1 zeigt somit ein Majoritäts-Voting von Ausgangsdaten dreier diversitärer Al-Recheneinrichtungen 1a... 1c sowie deren Überwachung mittels einer Fusionierungseinrichtung 20 und einer Diagnoseinrichtung 30 (engl. predictive health monitoring) samt logischer Überwachung.
-
Auf diese Weise können mittels des Systems 100 die aus den Umfelddaten D der Sensoreinrichtungen S1... Sn generierten Objektdaten ODa...ODn (z.B. Fahrzeug, Person, statische Objekte, Verkehrszeichen, Verkehrsflächen, usw.) effizient überprüft werden, wodurch eine möglichst fehlerfreie Funktionsweise der Sensorvorrichtung S1... Sn vorteilhaft unterstützt ist. Im Ergebnis kann dadurch ein mittels des Systems 100 angesteuertes automatisiertes Fahrzeug sicher betrieben werden.
-
Man erkennt, dass im vorgeschlagenen System 100 Umfelddaten D der gesamten Sensorik S1... Sn weitgehend unabhängig voneinander in redundante Auswertesysteme eingelesen werden. Auf diese Weise können zufällige Hardware- und/oder auch systematische Fehler der Sensorik S1... Sn weitgehend ausgeschlossen werden.
-
Funktional und beispielhaft kann mittels des vorgeschlagenen Systems eine technische Implementierung eines redundanten 2-aus-3-Voters realisiert werden, wobei die Bedingungen und Diagnosen, Integrität, Zustände, als Eingang für die Voter-Konfiguration genutzt werden. Die Voter-Matrix entscheidet, welche Werte für das Voting genutzt werden. Im Ergebnis kann dadurch z.B. eine Kreuzdiagnose der Sensoreinrichtungen S1... Sn und/oder deren Eingänge durchgeführt werden.
-
Funktional kann mit dem vorgeschlagenen System 100 eine logische Plausibilisierung, Diagnose und Statusbestimmung durchgeführt werden, wobei mittels der Voter-Matrix eine Entscheidung getroffen werden kann, welche Sensordaten tatsächlich verwendet werden. Vorteilhaft kann dadurch z.B. jede Sensoreinrichtung S1... Sn in beliebigen Funktionen als eine externe Überwachung eines anderen Sensors dienen.
-
Beim definierten Auswerten der von den technologisch diversifizierten Sensoreinrichtungen S1... Sn erfassten Umfelddaten D hinsichtlich Plausibilität können Auswertealgorithmen definiert gegeneinander abgearbeitet werden, wodurch eine Gegenprüfung von Plausibilitäten von Sensordaten ermöglicht ist.
-
Insbesondere bei der Umfeldsensorik können die Systeme bei möglichen technischen Unzulänglichkeiten auf bessere Systeme oder Auswertealgorithmen umgeschaltet werden. Damit werden neben den technischen Unzulänglichkeiten der Sensoren und Auswertealgorithmen auch mögliche Fehlerauswirkungen aus dem Umfeld erkannt und dadurch anpassbar, wie zum Beispiel:
- - Temperatur, Schmutz, usw. können Messergebnisse verfälschen
- - Regen, Schnee, Nebel, usw. können eine Erkennungsfähigkeit einschränken
- - Elektrische Fehler und Toleranzen (z.B. Bauteilrauschen, EMV, usw.) können das Ergebnis der Sensordaten verfälschen
-
Die technischen Systeme können zeitlich variabel kalibriert oder konfiguriert werden, sodass der Voter 10 für den Zeitraum die Ergebnisse dieser technischen Elemente ausblendet.
-
2 zeigt eine vorteilhafte Weiterbildung des vorgeschlagenen Systems 100 mit einer Ergänzung des Votings um eine weitere Sensoreinrichtung S2. Die Sensoreinrichtung S2 kann zum Beispiel als ein Radarsensor ausgebildet sein, dessen erfasste Umfelddaten D mittels einer Al-Recheneinrichtung 1d zu Objektdaten ODd verarbeitet werden, die dem Voter 10 zusammen mit den Objektdaten ODa der als Kamera ausgebildeten Sensoreinrichtung 1a zugeführt werden.
-
Ferner erkennt man, dass auch Kartendaten KD einer digitalen Karte 50 und Verortungsdaten VD (z.B. eines GPS-Systems) verwendet werden. Die Verortungsdaten VD und die Kartendaten KD sind dabei deterministische Elemente, die die Objektdaten Oda...ODn zueinander in Beziehung setzen. Die Kartendaten KD und die Verortungsdaten VD werden dabei einer Beweiseinrichtung 40 zugeführt, die die Objektdaten OD des Voters 10 mit den Kartendaten KD und Verortungsdaten VD zueinander in Beziehung setzt. Ähnlich wie in der Ausführungsform von 1 wird auch hier mittels einer Diagnoseeinrichtung 30 Schlüsselparameter verarbeitet, wodurch ein Degradationswert für die Objektdaten OD ermittelt wird.
-
Beispielsweise kann das vorgeschlagene System 100 verwendet werden, um im Bereich des automatisierten Fahrens Aktuatoren eines wenigstens teilautomatisierten Fahrzeugs anzusteuern. Alternativ oder zusätzlich können Objektdaten Oda...ODn des Systems 100 in Simulationsprozesse eingebunden werden.
-
Das vorgeschlagene System 100 kann z.B. auf einer Road Side Unit (RSU) im Rahmen einer Car-to-X-Kommunikationsinfrastruktur (C2X) implementiert sein. Dabei können z.B. Informationen über den Straßenzustand, den Verkehrsfluss, über Staus, mögliche Gefahren wie Unfälle, entgegenkommende Fahrzeuge oder stehengebliebende Fahrzeuge, usw. ausgetauscht werden. Die Road Side Units können die genannten Informationen über die Car-to-Infrastructure-Kommunikation erhalten und an die richtigen Verkehrsteilnehmer weiterleiten.
-
3 zeigt einen prinzipiellen Ablauf einer Ausführungsform des vorgeschlagenen Verfahrens.
-
In einem Schritt 200 erfolgt ein Zuführen von sensorisch erfassten Umfelddaten D an wenigstens drei voneinander unabhängige Al-Recheneinrichtungen 1a... 1n. In einem Schritt 210 erfolgt ein Generieren von Daten (Oda...ODn) betreffend wenigstens ein Objekt aus den Umfelddaten.
-
In einem Schritt 220 erfolgt ein gegeneinander Plausibilisieren der Daten O-da...ODn mittels eines Majoritäts-Votings.
-
In einem Schritt 230 erfolgt ein Verwenden der plausibilisierten Daten OD zum zumindest teilautomatisierten Steuern einer Quer- und/oder Längsführung des wenigstens teilweise automatisierten Fahrzeugs.
-
Vorteilhaft kann das vorgeschlagene Verfahren in Form eines Softwareprogramms mit geeigneten Programmcodemitteln realisiert werden, die auf dem System 100 zum Betreiben eines Fahrzeugs abläuft. Eine einfache Adaptierbarkeit des Verfahrens ist auf diese Weise möglich.
-
Der Fachmann wird die Merkmale der Erfindung in geeigneter Weise abändern und/oder miteinander kombinieren, ohne vom Kern der Erfindung abzuweichen.
-
ZITATE ENTHALTEN IN DER BESCHREIBUNG
-
Diese Liste der vom Anmelder aufgeführten Dokumente wurde automatisiert erzeugt und ist ausschließlich zur besseren Information des Lesers aufgenommen. Die Liste ist nicht Bestandteil der deutschen Patent- bzw. Gebrauchsmusteranmeldung. Das DPMA übernimmt keinerlei Haftung für etwaige Fehler oder Auslassungen.
-
Zitierte Patentliteratur
-
- DE 102017218438 A1 [0004]
- DE 102014112194 A1 [0005]
