DE102018002156A1

DE102018002156A1 - Ein verbessertes Steuerungssystem und ein verbessertes Steuerungsverfahren für das autonome Steuern eines Kraftfahrzeugs

Info

Publication number: DE102018002156A1
Application number: DE102018002156.5A
Authority: DE
Inventors: Abhash Das
Original assignee: TRW Automotive GmbH
Current assignee: ZF Automotive Germany GmbH
Priority date: 2018-03-16
Filing date: 2018-03-16
Publication date: 2019-09-19
Also published as: US20190283768A1; CN110271559B; US11273842B2; CN110271559A

Abstract

Ein Steuerungssystem für das autonome Steuern eines Kraftfahrzeugs umfasst eine Umfeldsensorik, welche dazu angeordnet und ausgebildet ist, Umfelddaten zum autonomen Steuern eines Kraftfahrzeugs zu erfassen. Weiter umfasst das Steuerungssystem zumindest eine Aktorsteuerung, welche dazu ausgebildet ist, zumindest einen Aktor des Kraftfahrzeugs zu steuern. Eine erste Steuerungseinheit ist dazu ausgebildet, mit den Umfelddaten Steuerbefehle für die zumindest eine Aktorsteuerung zu ermitteln und diese an die Aktorsteuerung zu übermitteln. Weiter umfasst das Steuerungssystem eine Steuerungskontrolleinheit, welche dazu ausgebildet ist, mit den Umfelddaten und mit den an die Aktorsteuerung übermittelten Steuerbefehlen eine Funktionsfähigkeit der ersten Steuerungseinheit zu überprüfen, wobei die Steuerungskontrolleinheit weiter dazu ausgebildet ist, mit den Umfelddaten, abhängig von dem Überprüfen der ersten Steuerungseinheit, Notsteuerbefehle für die zumindest eine Aktorsteuerung zu ermitteln und diese Notsteuerbefehle an die Aktorsteuerung zu übermitteln. Hierbei ist die zumindest eine Aktorsteuerung weiter dazu ausgebildet, die Notsteuerbefehle der Steuerungskontrolleinheit gegenüber den Steuerbefehlen der ersten Steuerungseinheit priorisiert auszuführen.

Description

Hintergrund
Hier werden ein verbessertes Steuerungssystem und ein verbessertes Steuerungsverfahren für das autonome Steuern eines Kraftfahrzeugs offenbart. Das Steuerungssystem und das Steuerungsverfahren können insbesondere in Kraftfahrzeugen mit einer vollständigen oder teilweise autonomen Steuerung eingesetzt werden. Details hierzu sind in den Ansprüchen definiert; auch die Beschreibung und die Zeichnungen enthalten relevante Angaben zum System und zur Funktionsweise sowie zu Varianten des Systems und des Verfahrens.
Technischer Bereich
Steuerungssysteme und Steuerungsverfahren für autonom- bzw. selbstfahrende Kraftfahrzeuge sind bekannt. Hierbei wird ein Kraftfahrzeug vollständig oder teilweise durch eine elektronische Fahrinstanz und basierend auf Umfelddaten gesteuert, welche von einer Sensorik erfasst werden.
Aufgrund der möglicherweise schwerwiegenden Folgen im Falle eines Ausfalls oder einer Fehlfunktion eines Steuerungssystems, zum Beispiel Personen- und/oder Sachschäden, sind besondere Sicherheitsvorkehrungen zu treffen. Hierbei richtet sich das Ausmaß der zu treffenden Sicherheitsvorkehrungen jeweils nach den möglichen Folgen einer Fehlfunktion bzw. eines Ausfalls eines Systembestandteils. So definiert zum Beispiel die ISO 26262 („Road vehicles - Functional safety“) sogenannte ASIL („automotive safety integrity level“), welche Sicherheits- und Redundanzanforderungen für Automobiltechniksysteme abhängig von einer Gefährdungsanalyse und einer Risikoabschätzung im Falle einer möglichen Fehlfunktion der jeweiligen Systeme definieren.
Ein Steuerungssystem für ein autonom fahrendes Fahrzeug hat, da zum Beispiel ein Ausfall dieses Steuerungssystems mit möglicherweise schwerwiegenden Folgen einhergehen kann, nach der ISO 26262 einen hohen ASIL. Die Implementierung von Systemen mit einem hohen ASIL ist jedoch aufwendiger, insbesondere aufgrund der hohen Redundanz- bzw. Sicherheitsanforderungen, und daher meist kostenintensiver zu implementieren als zum Beispiel ein Steuerungssystem mit einem niedrigeren ASIL.
Zugrundeliegendes Problem
Trotz vorhandener Steuerungssysteme für den zumindest teilweise autonomen Betrieb von Kraftfahrzeugen besteht somit ein Bedarf an einem verbesserten Steuerungssystem, welches ein hohes Maß an funktionaler Sicherheit und einen verbesserten Implementierungsaufwand hat.
Vorgeschlagene Lösung
Diese Aufgabe löst ein Steuerungssystem nach dem Anspruch 1 und ein Steuerungsverfahren nach dem Anspruch 10. Vorteilhafte Ausgestaltungen werden durch die abhängigen Ansprüche definiert.
Ein Steuerungssystem für das autonome Steuern eines Kraftfahrzeugs umfasst eine Umfeldsensorik, welche dazu angeordnet und ausgebildet ist, Umfelddaten zum autonomen Steuern eines Kraftfahrzeugs zu erfassen. Weiter umfasst das Steuerungssystem zumindest eine Aktorsteuerung, welche dazu ausgebildet ist, zumindest einen Aktor des Kraftfahrzeugs zu steuern. Eine erste Steuerungseinheit ist dazu ausgebildet, mit den Umfelddaten Steuerbefehle für die zumindest eine Aktorsteuerung zu ermitteln und diese an die zumindest eine Aktorsteuerung zu übermitteln. Weiter umfasst das Steuerungssystem eine Steuerungskontrolleinheit, welche dazu ausgebildet ist, mit den Umfelddaten und mit den an die Aktorsteuerung übermittelten Steuerbefehlen eine Funktionsfähigkeit der ersten Steuerungseinheit zu überprüfen, wobei die Steuerungskontrolleinheit weiter dazu ausgebildet ist, mit den Umfelddaten, abhängig von dem Überprüfen der ersten Steuerungseinheit, Notsteuerbefehle für die zumindest eine Aktorsteuerung zu ermitteln und diese Notsteuerbefehle an die zumindest eine Aktorsteuerung zu übermitteln. Die zumindest eine Aktorsteuerung steuert zumindest einen Aktor des Kraftfahrzeuges, zum Beispiel einen Bremsaktor, oder eine Mehrzahl von Aktoren des Kraftfahrzeuges. Hierbei ist die zumindest eine Aktorsteuerung weiter dazu ausgebildet, die Notsteuerbefehle der Steuerungskontrolleinheit gegenüber den Steuerbefehlen der ersten Steuerungseinheit priorisiert auszuführen.
Zum Ermitteln der Steuerbefehle und/oder der Notsteuerbefehle können die erste Steuerungseinheit und/oder die Steuerungskontrolleinheit zudem auf Fahrzeugparameter des Kraftfahrzeugs, zum Beispiel auf eine Geschwindigkeit, auf eine Beschleunigung oder eine Kraftstoffreserve des Kraftfahrzeugs, zugreifen. Weitere Fahrzeugparameter können zum Beispiel die äußeren Abmessungen des Kraftfahrzeugs oder der Ladezustand einer Kraftfahrzeugbatterie sein. Die Fahrzeugparameter können jeweils mit geeigneten Fahrzeugparametersensoren erfasst werden oder, wie zum Beispiel die äußeren Abmessungen des Kraftfahrzeugs, durch eine Steuerungseinheit und/oder die Steuerungskontrolleinheit des Steuerungssystems gespeichert sein. Die Fahrzeugparametersensoren sind jeweils dazu ausgebildet, die Fahrzeugparameter an eine Steuerungseinheit und/oder die Steuerungskontrolleinheit des Steuerungssystems zu übermitteln.
Die erste Steuerungseinheit kann mit einem vergleichsweise niedrigen ASIL, zum Beispiel einem ASIL von A bis C, implementiert werden und das Kraftfahrzeug im Regelfall bzw. in einem störungsfreien Betrieb umfassend steuern. Die erste Steuerungseinheit kann zum Beispiel einerseits alle Aktoren/Funktionen des Kraftfahrzeugs umfassend Steuern und andererseits aufgrund des vergleichsweise niedrigen ASIL effizient, insbesondere kosteneffizient, implementiert werden.
Die Steuerungskontrolleinheit kann mit einem vergleichsweise hohen ASIL, zum Beispiel einem ASIL von C oder D, implementiert werden und zumindest einen Teil der von der ersten Steuerungseinheit ausgegebenen Steuerbefehle, welche relevant für einen verkehrssicheren Betrieb des Kraftfahrzeuges sind, auf deren Richtigkeit bzw. auf deren Plausibilität hin zu überprüfen. Falls die Steuerungskontrolleinheit eine Fehlfunktion der ersten Steuerungseinheit feststellt, können die Aktoren direkt durch die Steuerungskontrolleinheit gesteuert werden. Hierzu können die Notsteuerbefehle der Steuerungskontrolleinheit die von der ersten Steuerungseinheit ausgegebenen Steuerbefehle überschreiben und/oder die Steuerungskontrolleinheit kann die erste Steuerungseinheit deaktivieren, sodass lediglich die Notsteuerbefehle an die zumindest eine Aktorsteuerung übermittelt werden.
Die Steuerungskontrolleinheit kann insbesondere so ausgebildet sein, dass nur ein sicherheitsrelevanter Teil einer Fahrzeugsteuerung durch die Steuerungskontrolleinheit überprüft und/oder gesteuert wird. Somit kann einerseits erreicht werden, dass alle unmittelbar fahrtsicherheitsrelevanten Funktionen einer zumindest teilweise autonomen Fahrzeugsteuerung durch eine Steuerungskontrolleinheit mit einem vergleichsweise hohen ASIL sichergestellt sind, zum anderen kann die Steuerungskontrolleinheit aufgrund eines gegenüber zum Beispiel der ersten Steuerungseinheit reduzierten Funktionsumfangs effizient, insbesondere kosteneffizient, implementiert werden.
Die Steuerungskontrolleinheit kann einen gegenüber der ersten Steuerungseinheit reduzierten Funktionsumfang haben. Zum Beispiel kann die erste Steuerungseinheit im Falle einer festgestellten gefährlichen Verkehrssituation und/oder einer festgestellten Fehlfunktion der Umfeldsensorik ermitteln, dass ein Anhalten des Fahrzeugs notwendig ist. Hierzu kann die erste Steuerungseinheit zunächst einen Wechsel der Fahrspur, zum Beispiel hin zu einen für ein Anhalten eines Kraftfahrzeugs vorgesehen Standstreifen einer mehrspurigen Autobahn, bewirken indem sie einer Aktorsteuerung, insbesondere einer Lenkungssteuerung, einen entsprechenden Steuerbefehl übermittelt. Anschließend kann die erste Steuerungseinheit, nachdem der Fahrspurwechsel mit der Umfeldsensorik erfasst wurde, das Anhalten des Fahrzeugs bewirken, indem es einer Aktorsteuerung, insbesondere einer Bremsensteuerung, einen entsprechenden Steuerbefehl übermittelt. Ermittelt hingegen die Steuerungskontrolleinheit zum Beispiel einen Ausfall der ersten Steuerungseinheit, so kann diese beispielsweise lediglich dazu ausgebildet sein, das Fahrzeug unmittelbar anzuhalten und ein Warnsignal für weitere Verkehrsteilnehmer, zum Beispiel durch die Aktivierung einer Warnblinkanlage, zu veranlassen. Hierzu kann die Steuerungskontrolleinheit einen Notsteuerbefehl an eine Aktorsteuerung, insbesondere an die Bremsensteuerung, übermitteln, wobei die Aktorsteuerung dazu ausgebildet ist, die Notsteuerbefehle der Steuerungskontrolleinheit priorisiert auszuführen.
Ein Vorteil des reduzierten Funktionsumfangs der Steuerungskontrolleinheit gegenüber der ersten Steuerungseinheit ist, dass die Steuerungskontrolleinheit trotz eines höheren ASIL effizient zu implementieren ist, wobei zumindest eine für die Verkehrssicherheit unmittelbar relevante Steuerung des Kraftfahrzeugs auch bei einem Ausfall oder einer Fehlfunktion der ersten Steuerungseinheit sichergestellt sind.
Weiter kann das Steuerungssystem zumindest eine zweite Steuerungseinheit umfassen, welche dazu ausgebildet ist, mit den Umfelddaten und/oder den Fahrzeugparametern Kontrollsteuerbefehle zu ermitteln und die ermittelten Kontrollsteuerbefehle mit den durch die erste Steuerungseinheit ermittelten Steuerbefehlen für die zumindest eine Aktorsteuerung zu vergleichen. Stellt die zweite Steuerungseinheit eine Abweichung zwischen den Steuerbefehlen der ersten Steuerungseinheit und den Kontrollsteuerbefehlen fest, so kann die zweite Steuerungseinheit eine Fehlerinformation an die Steuerungskontrolleinheit übermitteln.
Ein Vorteil hierbei ist, dass die zweite Steuerungseinheit effizient mit dem ASIL der ersten Steuerungseinheit oder mit einem niedrigeren ASIL als die erste Steuerungseinheit implementiert werden kann, jedoch die Funktionssicherheit des Steuerungssystems weiter erhöht. Zum Beispiel kann die Steuerungskontrolleinheit hierdurch eine Fehlerinformation erhalten, welche eine nicht unmittelbar verkehrssicherheitsrelevante Fehlfunktion der ersten Steuerungseinheit anzeigt. Die Steuerungskontrolleinheit kann aufgrund dieser Fehlerinformation zum Beispiel einen Umfang und/oder eine Intensität der Überprüfung der ersten Steuerungseinheit erhöhen, zum Beispiel durch ein Verkürzen von Intervallen, in denen eine Überprüfung der ersten Steuerungseinheit durchgeführt wird.
Die erste Steuerungseinheit kann weiter dazu ausgebildet sein, die ermittelten Steuerbefehle für die Aktorsteuerung mit den durch die zweite Steuerungseinheit ermittelten Kontrollsteuerbefehlen zu vergleichen und abhängig von dem Vergleichen eine Fehlerinformation an die Steuerungskontrolleinheit zu übermitteln.
Die Steuerungskontrolleinheit kann weiter dazu ausgebildet sein, mit den Umfelddaten und mit den Kontrollsteuerbefehlen eine Funktionsfähigkeit der zweiten Steuerungseinheit zu überprüfen und/oder, insbesondere abhängig von dem Überprüfen der zweiten Steuerungseinheit, die zweite Steuerungseinheit zu deaktivieren.
Weiter kann die Steuerungskontrolleinheit dazu ausgebildet sein, abhängig von dem Überprüfen der ersten Steuerungseinheit, die erste Steuerungseinheit zu deaktivieren. Zudem kann die Steuerungskontrolleinheit weiter dazu ausgebildet sein, abhängig von einer von der ersten oder von der zweiten Steuerungseinheit übermittelten Fehlerinformation die erste oder die zweite Steuerungseinheit zu deaktivieren.
Ein Vorteil hierbei ist, dass durch die gegenseitige Kontrolle der Steuerungseinheiten, sowie durch die Kontrolle der Steuerungseinheiten durch die Steuerungskontrolleinheit die Betriebssicherheit des Steuerungssystems erhöht werden kann.
In einer Weiterbildung kann das Steuerungssystem eine Vielzahl von sich gegenseitig überprüfenden Steuerungseinheiten aufweisen, welche zudem jeweils durch die Steuerungskontrolleinheit überprüft werden. Der ASIL der Steuerungskontrolleinheit ist hierbei gleich oder höher als der ASIL der jeweiligen Steuerungseinheiten.
Die erste Steuerungseinheit und die zweite Steuerungseinheit können logische Steuerungseinheiten sein, welche physikalisch durch eine gemeinsame integrierte Schaltung ausgebildet sind. Insbesondere können die erste und die zweite Steuerungseinheit als logische Steuerungseinheiten gleichzeitig durch eine Datenverarbeitungsvorrichtung implementiert werden.
Die Steuerungskontrolleinheit kann von der ersten und/oder der zweiten Steuerungseinheit logisch und physikalisch getrennt sein. Insbesondere kann die Steuerungskontrolleinheit mit einer physikalisch vollständig von den Steuerungseinheiten getrennten integrierte Schaltung, welche zum Beispiel auch eine eigene Energieversorgung aufweisen kann, implementiert sein.
Ein Vorteil hierbei ist, dass die Steuerungskontrolleinheit selbst bei einem vollständigen Ausfall der Energieversorgung aller Steuerungseinheiten zumindest unmittelbar für die Verkehrssicherheit relevante Notsteuerbefehle an eine Aktorsteuerung des Fahrzeugs übertragen kann.
In einer Weiterbildung kann die zweite Steuerungseinheit ferner dazu ausgebildet sein, einen ersten Teil der Umfelddaten, welche durch die erste Steuerungseinheit zur Ermittlung der Steuerbefehle herangezogen werden, für das Ermitteln der Kontrollsteuerbefehle heranzuziehen, und einen zweiten Teil der Umfelddaten, welche durch die erste Steuerungseinheit zur Ermittlung der Steuerbefehle herangezogen werden, für das Ermitteln der Kontrollsteuerbefehle mit einem numerischen Schätzverfahren zu schätzen.
Zudem kann die Steuerungskontrolleinheit ferner dazu ausgebildet sein, einen ersten Teil der Umfelddaten, welche durch die erste Steuerungseinheit zur Ermittlung der Steuerbefehle herangezogen werden, für das Ermitteln der Notsteuerbefehle zu heranzuziehen, und einen zweiten Teil der Umfelddaten, welche durch die erste Steuerungseinheit zur Ermittlung der Steuerbefehle herangezogen werden, für das Ermitteln der Notsteuerbefehle mit einem numerischen Schätzverfahren zu schätzen.
Ein Vorteil hierbei ist, dass zum Beispiel die Erkennung eines Defekts eines Teils der Umfeldsensorik durch die zweite Steuerungseinheit und/oder die Steuerungskontrolleinheit verbessert werden kann. Zudem können durch die zweite Steuerungseinheit und/oder die Steuerungskontrolleinheit auch Parameter geschätzt werden, welche durch die Umfeldsensorik des Kraftfahrzeuges nicht direkt erfasst werden. Hierdurch kann eine Überprüfung der ersten Steuerungseinheit verbessert werden.
Ein weiterer Vorteil ist, dass zum Beispiel die Steuerungskontrolleinheit die Notsteuerbefehle auch dann noch ermitteln kann, wenn ein Teil der Umfeldsensorik von einer Fehlfunktion oder einen Ausfall, zum Beispiel einem Ausfall der Energieversorgung, betroffen ist.
In einer Weiterbildung können zumindest die Steuerungskontrolleinheit und der erste Teil der Umfeldsensorik jeweils eine Notstrombatterie aufweisen, welche jeweils zumindest einen kurzzeitigen Weiterbetrieb während eines Ausfalls der Energieversorgung des Fahrzeugs ermöglicht.
Ein Steuerungsverfahren für das autonome Steuern eines Kraftfahrzeugs umfasst die Schritte:

- Erfassen von Umfelddaten mit einer Umfeldsensorik;
- Ermitteln von Steuerbefehlen für zumindest eine Aktorsteuerung durch eine erste Steuerungseinheit, wobei die erste Steuerungseinheit hierzu erfasste Umfelddaten nutzt;
- Übermitteln der Steuerbefehle an die zumindest eine Aktorsteuerung;
- Überprüfen der ersten Steuerungseinheit durch eine Steuerungskontrolleinheit, wobei die Steuerungskontrolleinheit hierzu die ermittelten Steuerbefehle und erfasste Umfelddaten nutzt;
- Ermitteln, abhängig von dem Überprüfen der ersten Steuerungseinheit, von Notsteuerbefehlen durch die Steuerungskontrolleinheit, wobei die Steuerungskontrolleinheit hierzu erfasste Umfelddaten nutzt;
- Übermitteln, abhängig von dem Überprüfen der ersten Steuerungseinheit, der Notsteuerbefehle an die zumindest eine Aktorsteuerung;
- Steuern eines Aktor durch die zumindest eine Aktorsteuerung, wobei die zumindest eine Aktorsteuerung dazu ausgebildet ist, die Notsteuerbefehle der Steuerungskontrolleinheit gegenüber den Steuerbefehlen der ersten Steuerungseinheit priorisiert auszuführen.

Figurenliste
Weitere Ziele, Merkmale, Vorteile und Anwendungsmöglichkeiten ergeben sich aus der nachfolgenden Beschreibung von nicht einschränkend zu verstehenden Ausführungsbeispielen mit Bezug auf die zugehörigen Zeichnungen. Dabei zeigen alle beschriebenen und / oder bildlich dargestellten Merkmale für sich oder in beliebiger Kombination den hier offenbarten Gegenstand, auch unabhängig von ihrer Gruppierung in den Ansprüchen oder deren Rückbeziehungen. Die Abmessungen und Proportionen der in den Fig. gezeigten Komponenten sind hierbei nicht maßstäblich; sie können bei zu implementierenden Ausführungsformen vom hier Veranschaulichten abweichen.

1 und 2 zeigen schematisch und beispielhaft ein Steuerungssystem für ein Kraftfahrzeug.

Detaillierte Beschreibung der Zeichnungen
Vergleichbare bzw. gleiche und gleichwirkende Komponenten und Merkmale sind in den Figuren jeweils mit denselben Bezugszeichen versehen. Die Komponenten und Merkmale, die in Bezug auf die weiteren Figuren nicht erneut beschrieben sind, ähneln in ihrer Ausbildung und Funktion den entsprechenden Komponenten und Merkmalen gemäß den anderen Figuren.
1 zeigt beispielhaft ein Steuerungssystem 10 für den autonomen Fahrbetrieb eines Kraftfahrzeugs mit einer Umfeldsensorik US, einer ersten Steuerungseinheit ECU 1, einer Aktorsteuerung AS und einer Steuerungskontrolleinheit ECU 3.
Im gezeigten Beispiel hat die erste Steuerungseinheit ECU 1 in einem niedrigeren ASIL als die Steuerungskontrolleinheit ECU 3. Weiter sind die erste Steuerungseinheit ECU 1 und die Steuerungskontrolleinheit ECU 3 mit physikalisch jeweils voneinander getrennten integrierten Schaltungen implementiert. Im gezeigten Beispiel werden die erste Steuerungseinheit ECU 1 und die Steuerungskontrolleinheit ECU 3 von einer gemeinsamen Energiequelle mit elektrischer Energie versorgt, jedoch hat die Steuerungskontrolleinheit ECU 3 zusätzlich eine Notstrombatterie, sodass zumindest auch ein kurzzeitiger Betrieb der Steuerungskontrolleinheit ECU 3 unabhängig von der gemeinsamen Energiequelle möglich ist.
Die Umfeldsensorik US erfasst Umfelddaten, die zur Ermittlung von Steuerbefehlen für die Aktorsteuerung AS des Fahrzeugs benötigt werden und übermittelt diese an die erste Steuerungseinheit ECU 1. Zum Beispiel kann die Umfeldsensorik US weitere Verkehrsteilnehmer, Wetter-, Licht und Fahrbahnverhältnisse, sowie Informationen über Verkehrszeichen und/oder eine Fahrzeugposition erfassen. Die Fahrzeugposition kann zum Beispiel mit einem satellitengestützten Navigationssystem erfasst werden. Weiter können die Umfelddaten zum Beispiel Auskunft über eine aktuell genutzte Fahrspur einer mehrspurigen Fahrbahn oder über eine maximal zulässige Geschwindigkeit, welche zum Beispiel mit Hilfe einer Datenbank und dem satellitengestützten Navigationssystem oder mit Hilfe einer optischen Verkehrszeichenerkennung erfasst wurde, geben.
Die Umfeldsensorik US kann optisch erfassende Sensoren aufweisen, insbesondere Kamerasensoren, Radar- und/oder Lidar-Sensoren, Ultraschallsensoren und/oder Infrarotsensoren. Eine Kombination der genannten Sensoren ist ausdrücklich möglich. Die erste Steuerungseinheit ECU 1 ermittelt mit den Umfelddaten und mit aktuellen Fahrzeugparametern Steuerbefehle für die Aktorsteuerung AS.
Fahrzeugparameter können zum Beispiel eine Geschwindigkeit, eine Beschleunigung oder eine Kraftstoffreserve des Kraftfahrzeugs sein. Weitere Fahrzeugparameter können zum Beispiel die die äußeren Abmessungen des Kraftfahrzeugs oder der Ladezustand einer Kraftfahrzeugbatterie sein. Die erste Steuerungseinheit ECU 1 ist dazu ausgebildet auf die aktuellen Fahrzeugparameter, welche mit Fahrzeugparametersensoren (nicht gezeigt) erfasst werden, zuzugreifen.
Im gezeigten Beispiel ist die Aktorsteuerung eine kombinierte Aktorsteuerung für eine Mehrzahl von Kraftfahrzeugaktoren. In anderen Ausführungsformen können jeweils separate Aktorsteuerungen, zum Beispiel eine Beschleunigungs- oder Geschwindigkeitssteuerung, eine Bremsensteuerung oder eine Lichtsteuerung des Fahrzeugs, vorgesehen sein.
Im gezeigten Beispiel ermittelt die erste Steuerungseinheit ECU 1 in einem regelmäßigen Intervall von 0,5 Sekunden, basierend auf der Erfassung der Umfeldsensorik US und aktuellen Fahrzeugparametern des Kraftfahrzeugs, Steuerbefehle für die Aktorsteuerung AS, welche im gezeigten Beispiel alle fahrbetriebsrelevanten Aktoren des Kraftfahrzeugs steuert. Der Fahrbetrieb des Kraftfahrzeugs wird somit durch die erste Steuerungseinheit ECU 1 autonom gesteuert.
Die Steuerungskontrolleinheit ECU 3 überprüft die erste Steuerungseinheit ECU 1 in einem regelmäßigen Intervall von 1,5 Sekunden. Hierzu ermittelt Steuerungskontrolleinheit ECU 3 im gezeigten Beispiel mit den Umfelddaten der Umfeldsensorik US und aktuellen Fahrzeugparametern, ob die von der ersten Steuerungseinheit ECU 1 ermittelten Steuerbefehle korrekt/plausibel sind. Dies geschieht im gezeigten Beispiel dadurch, dass zumindest ein verkehrssicherheitsrelevanter Teil der durch die erste Steuerungseinheit ECU 1 ermittelten Steuerbefehle ebenfalls von der Steuerungskontrolleinheit ECU 3 ermittelt wird, wobei diese Ermittlung durch die Steuerungskontrolleinheit ECU 3 unabhängig von der ersten Steuerungseinheit ECU 1 ausgeführt wird. Anschließend vergleicht die Steuerungskontrolleinheit ECU 3 die selbst ermittelten Steuerbefehle mit den korrespondierenden Steuerbefehlen, welche von ersten Steuerungseinheit ECU 1 ermittelt wurden.
Stimmen die zur verkehrssicheren Steuerung des Fahrzeugs relevanten Steuerbefehle der ersten Steuerungseinheit ECU 1 mit den durch die Steuerungskontrolleinheit ECU 3 ermittelten Befehlen zumindest im Wesentlichen überein, greift die Steuerungskontrolleinheit ECU 3 nicht in die autonome Steuerung des Kraftfahrzeugs durch die erste Steuerungseinheit ECU 1 ein.
Stimmen die zur verkehrssicheren Steuerung des Fahrzeugs relevanten Steuerbefehle der ersten Steuerungseinheit ECU 1 hingegen nicht mit den durch die Steuerungskontrolleinheit ECU 3 ermittelten Befehlen überein, so ermittelt die Steuerungskontrolleinheit ECU 3 mit den Umfelddaten der Umfeldsensorik US und aktuellen Fahrzeugparametern Notsteuerbefehle und übermittelt diese an die Aktorsteuerung AS. Die Aktorsteuerung AS ist dazu eingerichtet, die Notsteuerbefehle der Steuerungskontrolleinheit ECU 3 vorrangig zu behandeln und, falls die Notsteuerbefehle der Steuerungskontrolleinheit ECU 3 in einem Widerspruch zu den Steuerbefehlen der ersten Steuerungseinheit ECU 1 stehen, stets die Notsteuerbefehle der Steuerungskontrolleinheit ECU 3 priorisiert auszuführen. In anderen Ausführungsformen wird die erste Steuerungseinheit ECU 1 zudem durch die Steuerungskontrolleinheit ECU 3 deaktiviert.
Die Ermittlung von Notsteuerbefehlen durch die Steuerungskontrolleinheit ECU 3 erfolgt im gezeigten Beispiel im gleichen Intervallrhythmus wie zuvor die Ermittlung von Steuerbefehlen durch die erste Steuerungseinheit ECU 1. (0,5 Sekunden)
2 zeigt beispielhaft ein Steuerungssystem 20 für den autonomen Fahrbetrieb eines Kraftfahrzeugs mit einer Umfeldsensorik US, einer ersten Steuerungseinheit ECU 1, einer zweiten Steuerungseinheit ECU 2, einer Aktorsteuerung AS und einer Steuerungskontrolleinheit ECU 3.
Analog zum in 1 gezeigten Steuerungssystem 10 ermittelt die erste Steuerungseinheit ECU 1 mit den Umfelddaten und mit aktuellen Fahrzeugparametern Steuerbefehle für die Aktorsteuerung AS.
Die zweite Steuerungseinheit ECU 2, welche mit der ersten Steuerungseinheit ECU 1 physikalisch durch eine gemeinsame integrierte Schaltung ausgebildet ist und denselben ASIL wie die ECU 1 aufweist, ermittelt selbstständig für jeden der durch die erste Steuerungseinheit ECU 1 ermittelten Steuerbefehl einen Kontrollsteuerbefehl. Weiter verglicht die zweite Steuerungseinheit ECU 2 jeden der durch die erste Steuerungseinheit ECU 1 ermittelten Steuerbefehle mit dem jeweils analog ermittelten Kontrollsteuerbefehl. Weichen die Steuerbefehle um mehr als einen vorbestimmten Toleranzspielraum voneinander ab, übermittelt die Steuerungseinheit ECU 2 der Steuerungskontrolleinheit ECU 3 eine Fehlerinformation.
Analog zum in 1 gezeigten Steuerungssystem 10 überprüft die Steuerungskontrolleinheit ECU 3 zudem die erste Steuerungseinheit ECU 1 in einem regelmäßigen Intervall von 1,5 Sekunden, indem sie einen Teil der an die Aktorsteuerung ausgegeben Steuerbefehle mit selbst ermittelten Befehlen vergleicht. Ermittelt die Steuerungskontrolleinheit ECU 3 hierbei eine Abweichung oder übermittelt die Steuerungseinheit ECU 2 der Steuerungskontrolleinheit ECU 3 eine Fehlerinformation, so ermittelt die Steuerungskontrolleinheit ECU 3 mit den Umfelddaten der Umfeldsensorik US und aktuellen Fahrzeugparametern analog zu dem in 1 gezeigten Steuerungssystem Notsteuerbefehle und übermittelt diese an die Aktorsteuerung AS.
In einer Weiterbildung kann die von der zweiten Steuerungseinheit ECU 2 übermittelte Fehlerinformation die Art der festgestellten Abweichung zwischen den Steuerbefehlen und den Kontrollsteuerbefehlen spezifizieren und die Steuerungskontrolleinheit ECU 3 kann abhängig von der Fehlerinformation unterschiedliche Maßnahmen, zum Beispiel ein Deaktivieren oder das Unterlassen eines Deaktivierens der ersten Steuerungseinheit ECU 1, bewirken.
Es versteht sich, dass die zuvor erläuterten beispielhaften Ausführungsformen nicht abschließend sind und den hier offenbarten Gegenstand nicht beschränken. Insbesondere ist für den Fachmann ersichtlich, dass er die beschriebenen Merkmale beliebig miteinander kombinieren kann und/oder verschiedene Merkmale weglassen kann, ohne dabei von dem hier offenbarten Gegenstand abzuweichen.

Claims

Ein Steuerungssystem für das autonome Steuern eines Kraftfahrzeugs, umfassend - eine Umfeldsensorik, welche dazu angeordnet und ausgebildet ist, Umfelddaten zum autonomen Steuern eines Kraftfahrzeugs zu erfassen; - zumindest eine Aktorsteuerung, welche dazu ausgebildet ist, zumindest einen Aktor des Kraftfahrzeugs zu steuern; - eine erste Steuerungseinheit, welche dazu ausgebildet ist, mit den Umfelddaten Steuerbefehle für die zumindest eine Aktorsteuerung zu ermitteln und diese Steuerbefehle an die zumindest eine Aktorsteuerung zu übermitteln; - eine Steuerungskontrolleinheit, welche dazu ausgebildet ist, mit den Umfelddaten und mit den an die Aktorsteuerung übermittelten Steuerbefehlen eine Funktionsfähigkeit der ersten Steuerungseinheit zu überprüfen, wobei die Steuerungskontrolleinheit weiter dazu ausgebildet ist, mit den Umfelddaten, abhängig von dem Überprüfen der ersten Steuerungseinheit, Notsteuerbefehle für die zumindest eine Aktorsteuerung zu ermitteln und diese Notsteuerbefehle an die zumindest eine Aktorsteuerung zu übermitteln, und die zumindest eine Aktorsteuerung weiter dazu ausgebildet ist, die Notsteuerbefehle der Steuerungskontrolleinheit gegenüber den Steuerbefehlen der ersten Steuerungseinheit priorisiert auszuführen.
Steuerungssystem nach Anspruch 1, weiter umfassend zumindest eine zweite Steuerungseinheit, welche dazu ausgebildet ist, mit den Umfelddaten Kontrollsteuerbefehle zu ermitteln, und die ermittelten Kontrollsteuerbefehle mit den durch die erste Steuerungseinheit ermittelten Steuerbefehlen für die zumindest eine Aktorsteuerung zu vergleichen, und abhängig von dem Vergleichen eine Fehlerinformation an die Steuerungskontrolleinheit zu übermitteln.
Steuerungssystem nach Anspruch 2, wobei die erste Steuerungseinheit weiter dazu ausgebildet ist, die ermittelten Steuerbefehle für die Aktorsteuerung mit den durch die zweite Steuerungseinheit ermittelten Kontrollsteuerbefehlen zu vergleichen, und abhängig von dem Vergleichen eine Fehlerinformation an die Steuerungskontrolleinheit zu übermitteln.
Steuerungssystem nach Anspruch 3, wobei die Steuerungskontrolleinheit weiter dazu ausgebildet ist, mit den Umfelddaten und mit den Kontrollsteuerbefehlen eine Funktionsfähigkeit der zweiten Steuerungseinheit zu überprüfen, und/oder abhängig von dem Überprüfen der zweiten Steuerungseinheit die zweite Steuerungseinheit zu deaktivieren.
Steuerungssystem nach einem der vorangegangenen Ansprüche, wobei die Steuerungskontrolleinheit weiter dazu ausgebildet ist, abhängig von dem Überprüfen der ersten Steuerungseinheit, die erste Steuerungseinheit zu deaktivieren.
Steuerungssystem nach einem der vorangegangenen Ansprüche, wobei die Steuerungskontrolleinheit weiter dazu ausgebildet ist, abhängig von einer von der ersten oder zweiten Steuerungseinheit übermittelten Fehlerinformation, die erste oder die zweite Steuerungseinheit zu deaktivieren.
Steuerungssystem nach einem der vorangegangenen Ansprüche, wobei wobei die erste Steuerungseinheit und die zweite Steuerungseinheit logische Steuerungseinheiten sind, welche physikalisch durch eine gemeinsame integrierte Schaltung ausgebildet sind, und/oder die Steuerungskontrolleinheit eine von der ersten und/oder zweiten Steuerungseinheit logisch und physikalisch getrennt ist.
Steuerungssystem nach einem der vorangegangenen Ansprüche, wobei die zweite Steuerungseinheit ferner dazu ausgebildet ist, einen ersten Teil der Umfelddaten, welche durch die erste Steuerungseinheit zur Ermittlung der Steuerbefehle herangezogen werden, für das Ermitteln der Kontrollsteuerbefehle heranzuziehen, und einen zweiten Teil der Umfelddaten, welche durch die erste Steuerungseinheit zur Ermittlung der Steuerbefehle herangezogen werden, für das Ermitteln der Kontrollsteuerbefehle mit einem numerischen Schätzverfahren zu schätzen.
Steuerungssystem nach einem der vorangegangenen Ansprüche, wobei die Steuerungskontrolleinheit ferner dazu ausgebildet ist, einen ersten Teil der Umfelddaten, welche durch die erste Steuerungseinheit zur Ermittlung der Steuerbefehle herangezogen werden, für das Ermitteln der Notsteuerbefehle zu heranzuziehen, und einen zweiten Teil der Umfelddaten, welche durch die erste Steuerungseinheit zur Ermittlung der Steuerbefehle herangezogen werden, für das Ermitteln der Notsteuerbefehle mit einem numerischen Schätzverfahren zu schätzen.
Ein Steuerungsverfahren für das autonome Steuern eines Kraftfahrzeugs umfasst die Schritte: - Erfassen von Umfelddaten mit einer Umfeldsensorik; - Ermitteln von Steuerbefehlen für zumindest eine Aktorsteuerung durch eine erste Steuerungseinheit, wobei die erste Steuerungseinheit hierzu erfasste Umfelddaten nutzt; - Übermitteln der Steuerbefehle an die zumindest eine Aktorsteuerung; - Überprüfen der ersten Steuerungseinheit durch eine Steuerungskontrolleinheit, wobei die Steuerungskontrolleinheit hierzu die ermittelten Steuerbefehle und erfasste Umfelddaten nutzt; - Ermitteln, abhängig von dem Überprüfen der ersten Steuerungseinheit, von Notsteuerbefehlen durch die Steuerungskontrolleinheit, wobei die Steuerungskontrolleinheit hierzu erfasste Umfelddaten nutzt; - Übermitteln, abhängig von dem Überprüfen der ersten Steuerungseinheit, der Notsteuerbefehle an die zumindest eine Aktorsteuerung; - Steuern eines Aktor durch die zumindest eine Aktorsteuerung, wobei die zumindest eine Aktorsteuerung dazu ausgebildet ist, die Notsteuerbefehle der Steuerungskontrolleinheit gegenüber den Steuerbefehlen der ersten Steuerungseinheit priorisiert auszuführen.