Vorrichtung und Verfahren zum Betreiben eines Fahrzeugs

Die Erfindung betrifft eine Vorrichtung und ein Verfahren zum Betreiben eines Fahrzeugs. Die Erfindung betrifft ferner ein Computerprogramm.

Stand der Technik

Fahrerassistenzsysteme für hochautomatisiertes Fahren sind aktuell in der Entstehungsphase. Die Vorkehrungen bezüglich funktionaler Sicherheitskonzepte sind oft nur sehr rudimentär vorhanden und werden zum Großteil noch über einen menschlichen Eingriff abgesichert. Für eine Markteinführung sind funktionale Sicherheitskonzepte notwendig, die ganz oder teilweise failoperational sind (kritische Fehler werden erkannt, die minimal notwendige Funktion wird auch im Fehlerfall sicher weiter ausgeführt). Heutige Systeme im Automotive-Umfeld sind überwiegend failsafe realisiert (kritische Fehler werden erkannt, die Funktion wird in einen sicheren Zustand überführt).

Systeme für hochautomatisiertes Fahren sind technisch aufwändig. Sie benötigen eine hohe Rechenleistung und einen großen Speicher. Das komplette Umsetzen derartig großer Systeme als failoperational ist heute nur sehr schwer möglich.

Offenbarung der Erfindung

Die der Erfindung zugrunde liegende Aufgabe kann daher darin gesehen werden, eine verbesserte Vorrichtung zum Betreiben eines Fahrzeugs bereitzustellen, die auch im Fehlerfall weiter eine automatisierte Fahrfunktion ausführen kann, also zumindest teilweise failoperational ist. Die der Erfindung zugrunde liegende Aufgabe kann des Weiteren darin gesehen werden, ein entsprechendes Verfahren zum Betreiben eines Fahrzeugs anzugeben.

Die der Erfindung zugrunde liegende Aufgabe kann auch darin gesehen werden, ein entsprechendes Computerprogramm bereitzustellen.

Diese Aufgaben werden mittels des jeweiligen Gegenstands der unabhängigen Ansprüche gelöst. Vorteilhafte Ausgestaltungen der Erfindung sind Gegenstand von jeweils abhängigen Unteransprüchen.

Nach einem Aspekt wird eine Vorrichtung zum Betreiben eines Fahrzeugs bereitgestellt, umfassend:

- eine Steuerungseinrichtung, die ausgebildet ist, das Fahrzeug automatisiert zu führen, und

- eine Überwachungseinrichtung, die ausgebildet ist, die Steuerungseinrichtung während der automatisierten Führung des Fahrzeugs mittels der Steuerungseinrichtung auf einen Fehler zu überwachen und bei einem erkannten Fehler die automatisierte Führung des Fahrzeugs von der Steuerungseinrichtung zu übernehmen.

Nach einem anderen Aspekt wird ein Verfahren zum Betreiben eines Fahrzeugs bereitgestellt, umfassend die folgenden Schritte:

- automatisiertes Führen des Fahrzeugs mittels einer Steuerungseinrichtung,

- Überwachen der Steuerungseinrichtung auf einen Fehler mittels einer Überwachungseinrichtung während die Steuerungseinrichtung das Fahrzeug automatisiert führt,

- Übernehmen der automatisierten Führung von der Steuerungseinrichtung mittels der Überwachungseinrichtung, wenn die Überwachungseinrichtung einen Fehler erkennt.

Nach noch einem Aspekt wird ein Computerprogramm bereitgestellt, welches Programmcode zur Durchführung des Verfahrens zum Betreiben eines Fahr- zeugs umfasst, wenn das Computerprogramm auf einem Computer ausgeführt wird.

Nach einem Aspekt wird ein Fahrzeug umfassend die Vorrichtung bereitgestellt.

Die Erfindung umfasst insbesondere den Gedanken, eine Überwachungseinrichtung vorzusehen, welche die Steuerungseinrichtung überwacht, während die Steuerungseinrichtung das Fahrzeug automatisiert führt. Bei einem Fehler der Steuerungseinrichtung übernimmt die Überwachungseinrichtung die Führung des Fahrzeugs von der Steuerungseinrichtung. Die Überwachungseinrichtung steuert dann das Fahrzeug selbst. Dadurch wird insbesondere der technische Vorteil bewirkt, dass selbst in einem Fehlerfall das Fahrzeug weiterhin automatisiert geführt werden kann. Ein unmittelbarer Eingriff eines Fahrers des Fahrzeugs ist somit nicht mehr unbedingt erforderlich. Dies kann in vorteilhafter Weise ein Unfallrisiko verringern, insofern dem Fahrer nun mehr Zeit gegeben wird, sich auf den Fehlerfall einzustellen und zu reagieren. Durch die Überwachungseinrichtung ist somit in vorteilhafter Weise eine Sicherung geschaffen, die einen Fehlbetrieb der Steuerungseinrichtung kompensieren kann. Insgesamt wird in vorteilhafter Weise eine Fahrzeugsicherheit erhöht.

Ausführungsformen hinsichtlich des Verfahrens ergeben sich analog aus Ausführungsformen hinsichtlich der Vorrichtung und umgekehrt. Ausführungen, Vorteile und technische Wirkungen hinsichtlich der Vorrichtung ergeben sich analog aus Ausführungsformen hinsichtlich des Verfahrens und umgekehrt.

Eine automatisierte Führung im Sinne der vorliegenden Erfindung bezeichnet insbesondere eine Führung, in welcher ein Fahrer des Fahrzeugs keinen Eingriff vornehmen muss. Das heißt, dass das Fahrzeug während der automatisierten Führung autonom und selbstständig mittels der Steuerungseinrichtung oder mittels der Überwachungseinrichtung geführt wird.

Nach einer Ausführungsform ist vorgesehen, dass die Steuerungseinrichtung und die Überwachungseinrichtung einen gleichen Funktionsumfang umfassend mehrere Funktionen aufweisen, wobei die Überwachungseinrichtung ausgebildet ist, zum Überwachen der Steuerungseinrichtung sämtliche Funktionen der Steuerungseinrichtung auf einen Fehler zu überwachen.

Nach einer Ausführungsform ist vorgesehen, dass die Steuerungseinrichtung und die Überwachungseinrichtung einen gleichen Funktionsumfang umfassend mehrere Funktionen aufweisen, wobei die Überwachungseinrichtung zum Überwachen der Steuerungseinrichtung sämtliche Funktionen der Steuerungseinrichtungen auf einen Fehler überwacht und insbesondere deren Funktion oder Funktionen übernehmen kann. Beispiele für solche Funktionen sind: Sensorvorverarbei- tung, Umfeld-Modellierung, Kollisionserkennung, Lokalisierung, Planung,

Aktuatoransteuerung.

Dadurch wird in vorteilhafter Weise eine volle Redundanz bewirkt. Die Überwachungseinrichtung weist den gleichen Funktionsumfang auf wie die Steuerungs- einrichtung. Dadurch wird insbesondere der technische Vorteil bewirkt, dass die

Überwachungseinrichtung unter allen Bedingungen genau überwachen kann, ob die Steuerungseinrichtung noch richtig rechnet, also richtig das Fahrzeug führt. Die Überwachungseinrichtung übernimmt bei einem Fehler komplett und kann den vollen Funktionsumfang der Steuerungseinrichtung bereitstellen. Dadurch wird in vorteilhafter Weise ein Komfortverlust vermieden. Denn sämtliche Fahrfunktionen, die die Steuerungseinrichtung bereitstellen kann, kann auch die Überwachungseinrichtung bereitstellen. Um dies zum Beispiel zu gewährleisten oder zu bewirken, wird insbesondere sichergestellt, dass die Überwachungseinrichtung und die Steuerungseinrichtung (Hauptfunktion) hinreichend common- cause-frei bezüglich der kritischen Fehlerbilder sind.

Es wird an dieser Stelle angemerkt, dass Komfort das Eine ist. Wichtiger als ein eventueller Komfortverlust ist die Sicherheit. Beim automatisierten Fahren kann der Fahrer einige Zeit benötigen, bis er übernehmen kann. Bis zu dem Zeitpunkt, an dem er übernimmt, muss die Überwachungseinrichtung übernehmen. Das heißt, dass die Überwachungseinrichtung während einer automatisierten Fahrt das Fahrzeug führt, bis der Fahrer übernimmt. Und falls der Fahrer gar nicht in der Lage ist zu übernehmen, dann muss das Fahrzeug in einen sicheren Zustand gebracht werden. Dies wird vorzugsweise mittels der Überwachungseinrichtung durchgeführt. Nach einer anderen Ausführungsform ist vorgesehen, dass die Uberwachungs- einrichtung als Funktionsumfang eine Teilmenge eines Funktionsumfangs umfassend mehrere Funktionen der Steuerungseinrichtung aufweist, wobei die Überwachungseinrichtung ausgebildet ist, zum Überwachen der Steuerungseinrichtung ausschließlich die der Teilmenge entsprechenden Funktionen des Funktionsumfangs der Steuerungseinrichtung auf einen Fehler zu überwachen.

Nach einer anderen Ausführungsform ist vorgesehen, dass die Überwachungseinrichtung als Funktionsumfang eine Teilmenge eines Funktionsumfangs umfassend mehrere Funktionen der Steuerungseinrichtung aufweist, wobei die Überwachungseinrichtung zum Überwachen der Steuerungseinrichtung ausschließlich die der Teilmenge entsprechenden Funktionen des Funktionsumfangs der Steuerungseinrichtung auf einen Fehler überwacht.

Dadurch wird insbesondere der technische Effekt bewirkt, dass die Überwachungseinrichtung eine geringere Rechenleistung und einen geringeren Speicher benötigt als die Steuerungseinrichtung. Denn die Überwachungseinrichtung beschränkt sich hinsichtlich der Überwachung auf eine Teilmenge des Funktionsumfangs der Steuerungseinrichtung. Insbesondere beschränkt sie sich auf eine sichere Teilmenge des Funktionsumfangs der Steuerungseinrichtung, die mittels einer Überdeckung an verbauten Systemkomponenten (zum Beispiel Sensoren, Aktoren oder Steuergeräte) notwendige Sicherheitsanforderungen erfüllt. Zwar kann die Steuerungseinrichtung im Fehler nicht sämtliche Komfortanforderungen erfüllen. Jedoch werden in vorteilhafter Weise Sicherheitsanforderungen erfüllt. Funktionen, die einen Komfort schaffen, aber nicht von der Überwachungseinrichtung gemäß dieser Ausführungsform bereitgestellt werden können sind zum Beispiel: Übergang zu einer unkomfortablen Fahrweise, Defensiv Fahrweise mit erhöhten Abständen zu anderen Verkehrsteilnehmern, Verringerung der Maximalgeschwindigkeit, Unterbinden von Überholmanövern, Übergang zur Folgefahrt hinter vorrausfahrendem Verkehr. Um eine echte Überwachung nach einer Ausführungsform vorzusehen und eine sichere Übernahme zu gewährleisten, ist insbesondere vorgesehen, dass sichergestellt wird, dass die Überwachungseinrichtung und die Steuerungseinrichtung (Hauptfunktion) hinreichend common- cause-frei bezüglich der kritischen Fehlerbilder sind. Das schließt insbesondere auch die Sensoren und Aktuatoren mit ein.

In einer anderen Ausführungsform ist vorgesehen, dass die Überwachungseinrichtung ausgebildet ist, bei einem erkannten Fehler das Fahrzeug sicher abzustellen.

In einer anderen Ausführungsform ist vorgesehen, dass die Überwachungseinrichtung bei einem erkannten Fehler das Fahrzeug sicher abstellt.

Dadurch wird beispielsweise der technische Vorteil bewirkt, dass das Fahrzeug schnell in einen sicheren Zustand überführt werden kann. Zum Beispiel ist vorgesehen, dass ein Parkplatz angesteuert wird und dass das Fahrzeug dort abgestellt wird. Das kann in vorteilhafter Weise eine Sicherheit erhöhen, insofern das Fahrzeug nach dem Abstellen einen Abstand zum fließenden Verkehr aufweist.

Gemäß einer anderen Ausführungsform ist vorgesehen, dass die Überwachungseinrichtung ausgebildet ist, basierend auf einer momentanen Solltrajekto- rie und einer zukünftigen Solltrajektorie, die beide mittels der Steuerungseinrichtung ermittelt wurden, eine momentane und eine zukünftige Führungsabsicht der Steuerungseinrichtung zu erkennen und basierend auf den erkannten Führungsabsichten zu entscheiden, ob ein Fehler vorliegt oder nicht.

In einer anderen Ausführungsform ist vorgesehen, dass die Überwachungseinrichtung basierend auf einer momentanen Solltrajektorie und einer zukünftigen Solltrajektorie, die beide mittels der Steuerungseinrichtung ermittelt wurden, eine momentane und eine zukünftige Führungsabsicht der Steuerungseinrichtung erkennt und basierend auf den erkannten Führungsabsichten entscheidet, ob ein Fehler vorliegt oder nicht. Die momentane Solltrajektorie und die zukünftige Solltrajektorie sind beispielsweise wie folgt definiert: Die momentane

Solltrajektorie wird verstanden als die momentane Absicht (zum Beispiel die direkte Steuerabsicht) und die zukünftige Solltrajektorie wird als die echte Solltrajektorie verstanden, welche zum Beispiel über einen vorbestimmten Zeitraum, zum Beispiel y = 10 Sekunden, vorausschaut (Darin ist typisch mit einer zeitlichen Auflösung von zum Beispiel x (zum Beispiel x = 10) Millisekunden die zukünftige Steuerabsicht hinterlegt.). Feiner heißt das, dass ohne die zukünftige Solltrajektorie der Fehler sehr viel später in Erscheinung tritt. Mit der zukünftigen Solltrajektorie kann bis zu y Sekunden vorher reagiert werden.

Gemäß einer anderen Ausführungsform ist vorgesehen, dass die Überwachungseinrichtung ausgebildet ist, eine Sicherheitssolltrajektorie zu ermitteln und im Fehlerfall das Fahrzeug basierend auf der Sicherheitssolltrajektorie zu führen.

Nach einer anderen Ausführungsform ist vorgesehen, dass die Überwachungseinrichtung eine Sicherheitssolltrajektorie ermittelt und im Fehlerfall das Fahrzeug basierend auf der Sicherheitssolltrajektorie führt.

Die Sicherheitssolltrajektorie wird insbesondere noch während der automatisierten Führung des Fahrzeugs mittels der Steuerungseinrichtung ermittelt. Insbesondere wird die Sicherheitssolltrajektorie im Fehlerfall ermittelt. Die Sicherheitssolltrajektorie wird insbesondere zum Erreichen eines sicheren Zustande verwendet. Insbesondere wird das Fahrzeug basierend auf der Sicherheitssolltrajektorie sicher abgestellt. Durch das Vorsehen einer Sicherheitssolltrajektorie wird insbesondere der technische Vorteil bewirkt, dass das Fahrzeug schnell und sicher in einen sicheren Zustand geführt werden kann. Die beiden Trajektorien (,also die Sicherheitstrajektorie, die mittels der Steuerungseinrichtung ermittelt wurde, und die Sicherheitstrajektorie, die mittels der Überwachungseinrichtung ermittelt wurde,) können zum Beispiel gegeneinander plausibilisiert werden, indem beispielsweise auf Kollision überprüft wird (das heißt, dass eine oder beide Trajektorien beispielsweise auf Kollision geprüft werden). Da die

Trajektorien zu jedem Zeitpunkt (Sie werden alle x ms, zum Beispiel alle 10 ms, berechnet) korrekt sein müssen, besteht die Möglichkeit, im Fehlerfall auf die Sicherheitstrajektorie aus dem vorherigen x ms Zyklus zurückzufallen. Damit ist insbesondere auch vorgesehen, dass die Hauptfunktion (die

Steuerungseinrichtung) sowohl die Solltrajektorie als auch die

Sicherheitssolltrajektorie berechnet und die Überwachungseinrichtung beide überwacht.

Nach einer weiteren Ausführungsform ist vorgesehen, dass die Überwachungseinrichtung ausgebildet ist, die Sicherheitssolltrajektorie basierend auf der letzten als gültig erkannten Solltrajektorie, die mittels der Steuerungseinrichtung ermittelt wurde, zu ermitteln.

In einer anderen Ausführungsform ist vorgesehen, dass die Überwachungseinrichtung die Sicherheitssolltrajektorie basierend auf der letzten als gültig erkannten Solltrajektorie, die mittels der Steuerungseinrichtung ermittelt wurde, ermittelt. Die Sicherheitstrajektorie muss nicht zwingend basierend auf der Solltrajektorie berechnet werden. Die Sicherheitstrajektorie kann zum Beispiel einfach als hindernisfrei bis zum Stillstand berechnet werden. Wenn man die letzte

Solltrajektorie als Basis heranzieht dann kann dadurch eine bessere

Performance bezüglich des geplanten Weges erreicht werden. Der Aufwand verringert sich deshalb, weil sonst der komplette Prozess der

Solltrajektorienbildung noch mal ausgeführt werden muss. Es kann allerdings sinnvoll und beispielsweise vorgesehen sein, den erhöhten Aufwand bewusst in Kauf zu nehmen, um die beste Sicherheitstrajektorie unter verschärften

Anforderungen zu berechnen, zum Beispiel wird die Sicherheitstrajektorie so gewählt, dass das Gefährdungspotential minimiert wird, oder so gewählt, dass der hindernisfreiste Zustand erreicht und eingehalten wird, oder so gewählt, dass bei Ausfall zum Beispiel mit reduzierter Rückfallfunktionalität noch sicher bis zum Stillstand gefahren werden kann.

Dadurch wird in vorteilhafter Weise ein Rechenaufwand für das Ermitteln der Sicherheitssolltrajektorie reduziert. Denn es wird in vorteilhafter Weise die letzte als gültig erkannte Solltrajektorie der Steuerungseinrichtung als Sicherheitssolltrajektorie verwendet.

Nach einer anderen Ausführungsform ist vorgesehen, dass die letzte als gültig erkannte Solltrajektorie eine laterale und eine longitudinale Trajektorie umfasst, wobei die Überwachungseinrichtung ausgebildet ist, zum Ermitteln der Sicherheitssolltrajektorie die laterale Trajektorie zu behalten und die longitudinale Trajektorie mit einer neu ermittelten longitudinalen Trajektorie zu überschreiben oder zum Ermitteln der Sicherheitssolltrajektorie die longitudinale Trajektorie zu behalten und die laterale Trajektorie mit einer neu ermittelten lateralen Trajektorie zu überschreiben. ln einer weiteren Ausführungsform ist vorgesehen, dass die letzte als gültig erkannte Solltrajektorie eine laterale und eine longitudinale Trajektorie umfasst, wobei die Überwachungseinrichtung zum Ermitteln der Sicherheitssolltrajektone die laterale Trajektorie behält und die longitudinale Trajektorie mit einer neu ermittelten longitudinalen Trajektorie überschreibt oder zum Ermitteln der Sicherheitssolltrajektone die longitudinale Trajektorie behält und die laterale Trajektorie mit einer neu ermittelten lateralen Trajektorie überschreibt.

Das heißt, dass die Sicherheitssolltrajektone entweder die laterale Trajektorie und die neu ermittelte longitudinale Trajektorie umfasst oder die longitudinale Trajektorie und die neu ermittelte laterale Trajektorie umfasst. Dadurch, dass entweder die laterale oder die longitudinale Trajektorie behalten wird, kann in vorteilhafter Weise ein Rechenaufwand beim Ermitteln der Sicherheitssolltrajektone reduziert werden. Denn zum Ermitteln der Sicherheitssolltrajektone reicht es aus, nur eine der beiden Trajektorien neu zu ermitteln.

Nach einer anderen Ausführungsform ist vorgesehen, dass die Überwachungseinrichtung ausgebildet ist, für eine Kollisions- und/oder Gefährdungserkennung eine Freifläche im Umfeld des Fahrzeugs zu ermitteln.

In einer anderen Ausführungsform ist vorgesehen, dass die Überwachungseinrichtung für eine Kollisions- und/oder Gefährdungserkennung eine Freifläche im Umfeld des Fahrzeugs ermittelt.

Dadurch wird beispielsweise der technische Vorteil bewirkt, dass Kenntnis darüber besteht, welche Flächen im Umfeld des Fahrzeugs befahren werden können und welche nicht. Dadurch kann in vorteilhafter Weise eine drohende Kollision erkannt werden. Entsprechende Gegenmaßnahmen können dann in vorteilhafter Weise ergriffen werden.

Die Erfindung wird im Folgenden anhand von bevorzugten Ausführungsbeispielen näher erläutert. Hierbei zeigen

Fig. 1 eine Vorrichtung zum Betreiben eines Fahrzeugs und Fig. 2 ein Ablaufdiagramm eines Verfahrens zum Betreiben eines Fahrzeugs.

Fig. 1 zeigt eine Vorrichtung 101 zum Betreiben eines Fahrzeugs (nicht gezeigt).

Die Vorrichtung 101 umfasst eine Steuerungseinrichtung 103, die ausgebildet ist, das Fahrzeug automatisiert zu führen. Die Vorrichtung 101 umfasst ferner eine Überwachungseinrichtung 105, die ausgebildet ist, die Steuerungseinrichtung 103 während der automatisierten Führung des Fahrzeugs mittels der Steuerungseinrichtung 103 auf einen Fehler zu überwachen und bei einem erkannten Fehler die automatisierte Führung des Fahrzeugs von der Steuerungseinrichtung 103 zu übernehmen.

Zum Führen des Fahrzeugs stehen die beiden Einrichtungen 103 und 105 vorzugsweise jeweils in Wirkverbindung mit Aktoren und/oder Steuergeräten solcher Aktoren, um diese zu steuern, zum Beispiel Aktoren eines Bremssystems, Aktoren eines Lenkungssystems und/oder Aktoren eines Antriebssystems des Fahrzeugs.

Zum Führen des Fahrzeugs wird insbesondere eine Vielzahl von Daten verwendet. Solche Daten können beispielsweise Sensordaten von Umfeldsensoren sein. Insbesondere können solche Daten Fahrzeugdaten von weiteren Fahrzeugen sein. Das heißt beispielsweise, dass ein Umfeld des Fahrzeugs beispielsweise sensorisch erfasst wird, wobei basierend auf dem sensorisch erfassten Umfeld die automatisierte Führung des Fahrzeugs durchgeführt wird. Das heißt beispielsweise, dass Fahrzeugdaten von weiteren Fahrzeugen empfangen werden kann, wobei basierend auf den Fahrzeugdaten die automatisierte Führung des Fahrzeugs durchgeführt wird. Hierfür umfasst die Vorrichtung beispielsweise eine Kommunikationsschnittstelle zum Empfangen von Fahrzeugdaten von weiteren Fahrzeugen. Die beiden Einrichtungen 103, 105 sind insbesondere ausgebildet, basierend auf den Sensordaten und/oder Fahrzeugdaten das Fahrzeug automatisiert zu führen oder zu steuern.

Fig. 2 zeigt ein Ablaufdiagramm eines Verfahrens zum Betreiben eines Fahrzeugs. In einem Schritt 201 wird das Fahrzeug mittels einer Steuerungseinrichtung automatisiert geführt. In einem Schritt 203 überwacht eine Überwachungseinrichtung die Steuerungseinrichtung auf einen Fehler, während die Steuerungseinrichtung das Fahrzeug automatisiert führt gemäß dem Schritt 201 . Wenn die Überwachungseinrichtung keinen Fehler erkennt, so übernimmt sie nicht die Führung des Fahrzeugs von der Steuerungseinrichtung. Vielmehr steuert die Steuerungseinrichtung das Fahrzeug weiterhin automatisiert. Das Verfahren startet wieder beim Schritt 201 . Sofern aber die Überwachungseinrichtung einen Fehler in der Steuerungseinrichtung erkennt, so übernimmt in einem Schritt 205 die Überwachungseinrichtung die Führung des Fahrzeugs von der Steuerungseinrichtung. In einem Schritt 207 steuert dann die Überwachungseinrichtung das Fahrzeug.

Das Führen oder das Steuern des Fahrzeugs mittels der Überwachungseinrichtung kann beispielsweise den Schritt umfassen, dass die Überwachungseinrichtung das Fahrzeug sicher abstellt. Insbesondere kann die Überwachungseinrichtung die Führung des Fahrzeugs dann wieder an die Steuerungseinrichtung abgeben, wenn die Steuerungseinrichtung wieder ordnungsgemäß funktioniert. Dies kann die Überwachungseinrichtung erkennen. Im einfachsten Fall überwacht die Überwachungseinrichtung auch nach der Übernahme weiter die Trajektorien der Steuerungseinrichtung und könnte dann, falls für einen

Mindestzeitraum wieder korrekte Werte kommen, wieder an die

Steuerungseinrichtung zurückgeben. Vorteilhaft ist dies zum Beispiel, wenn der sichere Zustand nicht der Stillstand, sondern zum Beispiel die Folgefahrt hinter dem vorausfahrenden Verkehr ist. Zusätzlich oder alternativ ist nach einer Ausführungsform vorgesehen, dass die Überwachungseinrichtung der

Steuerungseinricntung zurückmeldet, dass sie einen Fehler erkannt hat. Nach Beseitigung des Fehlers kann vorzugsweise dann ebenfalls wieder an die Steuerungseinrichtung übergeben werden.

Insbesondere steuert die Überwachungseinrichtung das Fahrzeug solange, bis ein Fahrer des Fahrzeugs die Steuerung wieder übernimmt. Hierfür kann beispielsweise ein Übernahmewunsch des Fahrers erfasst werden, sodass dann entsprechend die Steuerung von der Überwachungseinrichtung an den Fahrer übergeben werden kann. Die Erfindung umfasst also insbesondere den Gedanken, zwei Instanzen (hier die zwei Einrichtungen) vorzusehen:

1 . Die eigentliche Funktion hochautomatisiertes Fahren mit reduzierten Anforderungen an eine funktionale Sicherheit: hier durch die Steuerungseinrichtung realisiert.

2. Die Überwachungseinrichtung (die auch als Überwacher bezeichnet werden kann), die in der Regel nur eine reduzierte Funktionalität bezüglich eines hochautomatisierten Fahrens umfasst, jedoch mit einer erforderlichen funktionalen Sicherheit.

Zur Reduzierung der Anforderungen bezüglich funktionaler Sicherheit ist nach einer Ausführungsform vorgesehen, dass eine Entscheidungsinstanz

(Entscheider) vorgesehen ist, die mit der kombinierten Sicherheit entscheidet, wer von den beiden Teilen (Steuerungseinrichtung und Überwacher) Recht hat. Der Entscheider selbst ist in der Regel einfach und kann zum Beispiel als separierter Teil in der Steuerungseinrichtung (Hauptfunktion) realisiert werden.

1 . Er kann genauso als separierter Teil im Überwacher realisiert werden.

2. Eigenständig realisiert werden.

3. Als Teil der Aktuatorik realisiert werden.

Grundsätzlich können die folgenden drei Strategien bezüglich einer Reaktion der Überwachungseinrichtung in weiteren Ausführungsformen vorgesehen sein:

1 . Die Überwachungseinrichtung übersteuert das System (Fahrzeug) bei kleinen Abweichungen kurzfristig.

2. Die Überwachungseinrichtung übersteuert das System bei größeren und gefährdenden Abweichungen langfristig (zum Beispiel bringt das System (Fahrzeug) in einen sicheren Zustand oder übernimmt solange, bis der Fahrer übernimmt, oder übernimmt solange, bis die Steuerungseinrichtung wieder nachweislich fehlerfrei arbeitet). 3. Die Uberwachungseinnchtung übersteuert das System bei kleinen und größeren und gefährdenden Abweichungen langfristig (zum Beispiel bringt das System (Fahrzeug) in einen sicheren Zustand oder übernimmt solange, bis der Fahrer übernimmt, oder übernimmt solange, bis die Steuerungseinrichtung wieder nachweislich fehlerfrei arbeitet).

Die Überwachungseinrichtung muss zumindest einen Teil der Funktion der Steuerungseinrichtung überwachen. Dazu muss sie auch einen Teil der Funktion beinhalten.

Folgende Ausführungsformen sind vorgesehen:

In einer Ausführungsform hat die Überwachungseinrichtung den gleichen Funktionsumfang wie die Steuerungseinrichtung. Dadurch kann sie unter allen Bedingungen genau überwachen, ob die Steuerungseinrichtung noch richtig rechnet. Die Überwachungseinrichtung kann im Fehlerfall sogar komplett übernehmen. Diese Ausführungsform weist den technischen Vorteil der vollen Redundanz auf.

In einer Ausführungsform beschränkt sich die Überwachungseinrichtung auf eine sichere Teilmenge des Funktionsumfangs der Steuerungseinrichtung, die mittels der Überdeckung der verbauten Systemkomponenten (Sensoren, Aktoren, Steuergeräte) die notwendigen Sicherheitsanforderungen erfüllt. Die Überwachungseinrichtung kann im Fehlerfall zwar nicht alle Komfortanforderungen erfüllen. Jedoch werden die Sicherheitsanforderungen erfüllt.

In einer anderen Ausführungsform beschränkt sich die Überwachungseinrichtung auf einen Funktionsumfang einer automatischen Notbremsung.

Nach einer anderen Ausführungsform beschränkt sich die Überwachungseinrichtung auf einen Funktionsumfang einer erweiterten Notbremsung, welche im Vergleich zu der vorstehend genannten Notbremsung wie folgt erweitert ist. Die Überwachungseinrichtung zieht zusätzlich die von der Steuerungseinrichtung gelieferten Solltrajektorien heran. Damit kennt die Überwachungseinrichtung die aktuelle und die kurzfristige zukünftige Absicht der Steuerungseinrichtung und kann entsprechend feiner reagieren. Damit wäre zum Beispiel ein indirekter Kollisionscheck möglich.

Gemäß einer weiteren Ausführungsform berechnet oder ermittelt die Überwa- chungseinrichtung zusätzlich selbst eine Sicherheitssolltrajektorie oder einen

Sicherheitssollpfad. Die Sicherheitssolltrajektorie oder der Sicherheitssollpfad wird im erkannten Fehlerfall zum Erreichen des sicheren Zustande verwendet werden. Gemäß einer anderen Ausführungsform beschränkt sich die Überwachungseinrichtung auf einen minimalen Umfang, der zur Kollisionserkennung und/oder Gefährdungserkennung notwendig ist. Damit ist eine Reduzierung des Realisierungsaufwands im Vergleich zur Steuerungseinrichtung bewirkt (weniger Speicher und weniger Rechenleistung). Funktionen, die vom minimalen Funktionsum- fang umfasst sind, sind zum Beispiel: Trajektorien basierte Kollisionsermittlung,

Erkennung des Verkehrsflusses und der zugehörigen Absicht (Gegenverkehr, eigene Spur, Nachbarspur, kreuzender Verkehr,..).

Nach einer weiteren Ausführungsform beschränkt sich die Überwachungseinrich- tung auf eine Freiflächenermittlung. Die Freiflächenermittelung stellt ein einfacheres Verfahren dar als die„volle" Umfeldmodellierung. Zur Überwachung kann dies jedoch ausreichen, im Allgemeinen kommt vorzugsweise allerdings eine Erkennung des Verkehrsflusses und der zugehörigen Absicht zusätzlich hinzu. Zusammen ist dies jedoch immer noch weniger aufwändig als die Hauptfunktion.

In einer anderen Ausführungsform beschränkt sich die Überwachungseinrichtung auf die Freiflächenermittlung, wobei die Überwachungseinrichtung zusätzlich die von der Steuerungseinrichtung gelieferte Solltrajektorie oder Sollpfad verwendet, um eine aktuelle und eine kurzfristige zukünftige Absicht der Steuerungseinrich- tung zu erkennen. Dadurch kann die Steuerungseinrichtung entsprechend feiner reagieren. Damit ist zum Beispiel ein indirekter Kollisionscheck auf der Datenbasis eines Notbremssystems ermöglicht. Ohne dies würde rein Fahrzeug- modellbasiert überwacht, das heißt, es wird die aktuell Pose in die Zukunft prädiziert und überprüft, ob eine Kollision erfolgen wird. Die Trajektorien erweitern dies um die Vorhersage zukünftiger Steuerereignisse. Die Formulierung "Feiner" bedeutet insbesondere, dass zum Beispiel Szenarien als nicht kritisch eingestuft werden, die zuvor wegen des Fehlens dieser Information zum fälschlichen Übernehmen führten, aber insbesondere auch das Gegenteil: Bisher unverdächtige Szenarien werden zu kritischen Szenarien, wenn zum Beispiel die Trajektorie anders als vom Modell vorhersagbar agiert. Das heißt, "Fein" heißt hier insbesondere Erhöhung der Verfügbarkeit und Erhöhung der Zuverlässigkeit.

Gemäß einer weiteren Ausführungsform beschränkt sich die Überwachungseinrichtung auf eine Freiflächenermittlung, wobei die Überwachungseinrichtung zusätzlich selbst eine Sicherheitssolltrajektorie oder einen Sicherheitspfad berechnet oder ermittelt. Zusätzlich wird nach einer weiteren Ausführungsform auf Kollision und/oder Gefährdungserkennung mit den Freiflächen geprüft. Die Sicherheitssolltrajektorie oder der Sicherheitspfad wird im erkannten Fehlerfall zum Erreichen des sicheren Zustands verwendet werden, das Fahrzeug wird also basierend darauf mittels der Überwachungseinrichtung geführt oder gesteuert.

Nach einer anderen Ausführungsform ermittelt oder berechnet die Überwachungseinrichtung zusätzlich selbst eine Sicherheitssolltrajektorie oder einen Sicherheitspfad. Die Sicherheitssolltrajektorie oder der Sicherheitspfad wird im erkannten Fehlerfall zum Erreichen des sicheren Zustands verwendet werden.

In einer Ausführungsform ist eine Warnung an den Fahrer vorgesehen, der Fahrer wird also gewarnt. Dieser kann gegebenenfalls die Führung oder eine Fahrfunktion selbst übernehmen. Beim (hoch)automatisierten Fahren kann es sein, dass der Fahrer Zeit benötigt, um zu übernehmen. Deshalb sind Strategien zum sicheren Weiterfahren, zum Beispiel bis der Fahrer übernehmen kann, nach weiteren Ausführungsformen vorgesehen.

Wenn die Überwachungseinrichtung einen Fehler in der Steuerungseinrichtung erkannt hat, dann sind dabei folgende Funktionen in Kombination oder einzeln in entsprechenden Ausführungsformen vorgesehen:

Nach einer Ausführungsform wird eine vollständige definierte (also vorgegebene) Verzögerung bis zum Stillstand oder definierte (also vorgegebene) Verzögerung bis zu einer bestimmten reduzierten Geschwindigkeit, also insbesondere zu einer akzeptablen und/oder situationsangepassten reduzierten Geschwindigkeit mittels der Überwachungseinrichtung durchgeführt.

Nach einer Ausführungsform übernimmt die Überwachungseinrichtung im Fehlerfall vollständig die Funktion der Steuerungseinrichtung. Und vorzugsweise wird eine definierte Verzögerung des Fahrzeugs bis zum Stillstand oder ein automatisches Anfahren einer Parkmöglichkeit oder eine definierte Verzögerung bis zu einer akzeptablen und/oder situationsangepassten reduzierten Geschwindigkeit (vgl. vorstehende Ausführungsform) mittels der Überwachungseinrichtung durchgeführt.

Gemäß einer weiteren Ausführungsform berechnet oder ermittelt die Überwachungseinrichtung eine Sicherheitssolltrajektone oder einen Sicherheitspfade (oder mehrere Sicherheitssolltrajektone oder mehrere Sicherheitspfade) und fährt diese im Fehlerfall mit einer definierter Verzögerung bis zum Stillstand ab, steuert oder führt das Fahrzeug also entsprechend der Sicherheitssolltrajektone oder dem Sicherheitspfad.

Nach einer anderen Ausführungsform verzögert die Überwachungseinrichtung im Fehlerfall das Fahrzeug mit einer definierten Verzögerung bis zum Stillstand.

Gemäß einer anderen Ausführungsform verwendet die Überwachungseinrichtung die letzte als gültig erkannte Solltrajektorie (Plural soll immer mitgelesen werden) oder Sollpfade (Plural soll immer mitgelesen werden), welche die Steuerungseinrichtung in der nahen Vergangenheit geliefert hat, um das Fahrzeug basierend darauf zu führen oder zu steuern.

An dieser Stelle wird angemerkt, dass im Lichte der gesamten Beschreibung (insbesondere allgemeiner Teil und insbesondere Figurenbeschreibung) und im Lichte der Ansprüche der Plural für die Solltrajektorie stets mitgelesen werden soll. Das heißt, die Formulierung„Solltrajektorie" steht insbesondere für die Formulierung„eine oder mehrere Solltrajektorien". Gemäß einer weiteren Ausführungsform behält die Überwachungseinrichtung die laterale Solltrajektorie oder den lateralen Sollpfad und überschreibt die longitudi- nale Solltrajektorie oder den longitudinalen Sollpfad. Dadurch wird beispielsweise eine lateral geführte Verzögerung mit definierter Verzögerung bis zum einem definierten Stopppunkt (zum Beispiel vor einer Kollision) durchgeführt.

In einer anderen Ausführungsform behält die Überwachungseinrichtung die longi- tudinale Solltrajektorie oder den longitudinale Sollpfad und überschreibt die laterale Solltrajektorie oder den lateralen Sollpfad. Dadurch wird beispielsweise eine definierte und lateral geführte Verzögerung oder Beschleunigung durchgeführt, um zum Beispiel eine Kollision zu vermeiden.

Der Begriff "definierte Verzögerung" bzw. "Verzögerung/Beschleunigung" kann gemäß folgender Liste alternativ oder zusätzlich definiert werden:

1 . Verzögerung angepasst an Umgebungsverhältnis wie Nässe, Schnee, Eis, offroad/onroad, Fahrbahn/Bodenbelag, Reibwert.

2. Verzögerung/Beschleunigung angepasst an Fahrzeuge in der Umgebung (Kollision mit vorausfahrendem Fahrzeug, Auffahren von nachfolgendem Fahrzeug).

3. Maximale Verzögerung.

4. Verzögerung um x km mit definierter Verzögerung (x eine reelle Zahl größer Null).

5. Beliebiger zeitlicher Verzögerungsverlauf, zum Beispiel 2 Sekunden mit geringer Verzögerung, danach Vollverzögerung bis zum Stillstand.