Titel

FUSION VON DATEN MEHRERER SENSOREN ZUR OBJEKTERKENNUNG Stand der Technik

Die Erfindung geht aus von einer Vorrichtung oder einem Verfahren nach Gattung der unabhängigen Ansprüche. Gegenstand der vorliegenden Erfindung ist auch ein Computerprogramm.

Moderne Fahrzeuge können mit Fahrerassistenzsystemen ausgestattet sein. Hierbei können Objekte im Fahrzeugumfeld mittels einer geeigneten

Umfeldsensorik erfasst und erkannt werden. Die Komponenten der

Umfeldsensorik und der Objekterkennung können je nach Anforderung unterschiedlichen ASIL-Sicherheitskriterien entsprechen.

Die Anforderungen vieler neuer Anwendungen im Automobilbereich können nur schwer von einem einzelnen Sensorsystem erfüllt werden. Dies betrifft beispielsweise Fahrerassistenzsysteme und Systeme zum automatisierten Fahren. Insbesondere die Fusion von Sensordaten spielt eine wichtige Rolle für die sensorgestützte Erkennung und Nachverfolgung von Objekten.

Offenbarung der Erfindung

Vor diesem Hintergrund werden mit dem hier vorgestellten Ansatz ein Verfahren zur Fusion von Daten verschiedener Sensoren eines Fahrzeugs im Rahmen einer Objekterkennung, weiterhin eine Vorrichtung, die dieses Verfahren verwendet, sowie schließlich ein entsprechendes Computerprogramm gemäß den Hauptansprüchen vorgestellt. Durch die in den abhängigen Ansprüchen aufgeführten Maßnahmen sind vorteilhafte Weiterbildungen und Verbesserungen der im unabhängigen Anspruch angegebenen Vorrichtung möglich.

Es wird ein Verfahren zur Fusion von Daten verschiedener Sensoren eines Fahrzeugs im Rahmen einer Objekterkennung vorgestellt, wobei das Verfahren folgende Schritte umfasst:

Empfangen zumindest eines von einem ersten Sensor erfassten

Erkennungsmerkmals und zumindest eines von einem zweiten Sensor erfassten Erkennungsmerkmals zum Erkennen zumindest eines Objekts im Umfeld des Fahrzeugs;

Empfangen zumindest eines von dem zweiten Sensor erfassten Prüfmerkmals zum Prüfen der Objekterkennung, wobei das von dem ersten Sensor erfasste Erkennungsmerkmal und das von dem zweiten Sensor erfasste Prüfmerkmal je eine erste Messgröße repräsentieren und das von dem zweiten Sensor erfasste Erkennungsmerkmal eine von der ersten Messgröße unabhängige zweite Messgröße repräsentiert;

Verknüpfen des von dem ersten Sensor erfassten Erkennungsmerkmals mit dem von dem zweiten Sensor erfassten Erkennungsmerkmal, um eine

Merkmalsverknüpfung zu erzeugen; und

Plausibilisieren der Merkmalsverknüpfung unter Verwendung des von dem zweiten Sensor erfassten Prüfmerkmals.

Unter einem Sensor kann beispielsweise ein Umfeldsensor zur Erfassung des Umfelds des Fahrzeugs, etwa in Form eines Radar- oder Lidarsensors oder einer Kamera, oder ein Beschleunigungssensor oder ein sonstiger geeigneter Sensor zur Erfassung sicherheitsrelevanter Parameter verstanden werden. Bei dem ersten Sensor und dem zweiten Sensor kann es sich um separate, voneinander unabhängige Sensorsubsysteme zur Objekterkennung handeln. Unter einem Erkennungsmerkmal kann ein auf einer physikalischen Messgröße basierendes Merkmal zur Identifizierung von Objekten verstanden werden. Beispielsweise kann es sich bei dem Erkennungsmerkmal um ein auf Basis einer Geschwindigkeit, Beschleunigung, Bewegungsrichtung, Form, Farbe oder Größe erfasstes Merkmal des Objekts handeln. Ebenso kann auch unter einem

Prüfmerkmal ein auf einer physikalischen Messgröße basierendes Merkmal zur Identifizierung von Objekten verstanden werden. Im Unterschied zum

Erkennungsmerkmal kann es sich bei dem Prüfmerkmal beispielsweise um ein mit einer geringeren Genauigkeit als das Erkennungsmerkmal erfasstes Merkmal des Objekts handeln. Unter zwei voneinander unabhängigen Messgrößen können Messgrößen verstanden werden, die physikalisch oder mathematisch gesehen nicht oder nur in sehr begrenztem Umfang miteinander

zusammenhängen. So kann es sich beispielsweise bei der ersten Messgröße um eine Geschwindigkeit und bei der zweiten Messgröße um eine Form des Objekts handeln.

Der hier vorgestellte Ansatz beruht auf der Erkenntnis, dass eine Datenfusion auf niedriger Ebene, d. h. auf Signal- oder Merkmalsebene, im Rahmen einer Objekterkennung in einem Fahrzeug derart durchgeführt werden kann, dass die Objekterkennung auf Basis einer ASIL-Dekomposition durchgeführt werden kann. Beispielsweise können dabei verschiedene Sensorpfade nach ASIL B so miteinander verknüpft und plausibilisiert werden, dass eine

Erkennungsinformation nach ASIL D generiert werden kann. Hierzu können zusätzlich zu von den Sensoren erfassten Funktionsmerkmalen bestimmte, unter Umständen mit geringerer Genauigkeit ebenfalls von den Sensoren erfasste Prüfmerkmale als Redundanz verwendet werden, um eine auf Basis der

Funktionsmerkmale durchgeführte Datenfusion zu plausibilisieren. Dadurch können auch bei verhältnismäßig niedrigen Systemkosten sowohl die

Leistungsfähigkeit als auch die Sicherheit der Systemfunktion gewährleistet werden.

Eine Sensordatenfusion kann auf verschiedenen Ebenen durchgeführt werden, die jeweils ihre Vor- und Nachteile haben. Für die Durchführung einer

Datenfusion auf niedriger Ebene ist die Schaffung und Ausgestaltung eines geeigneten Sicherheitskonzeptes erforderlich. Die Unabhängigkeit der

Komponenten kann nur schwer erreicht werden, wenn die Daten bereits auf Signal- und Merkmalsebene fusioniert und zusammengeführt wurden. In diesem Fall kann eine Dekomposition von ASIL-Einstufungen und -Anforderungen normalerweise nicht mehr durchgeführt werden. Das bedeutet, dass die ASIL- Einstufung für jedes einzelne System höher ausfallen kann. Mithilfe des hier vorgestellten Ansatzes kann dieses Problem gelöst werden. Gemäß einer Ausführungsform kann im Schritt des Empfangens zumindest ein von dem ersten Sensor erfasstes Prüfmerkmal zum Prüfen der Objekterkennung empfangen werden. Das von dem ersten Sensor erfasste Prüfmerkmal kann die zweite Messgröße repräsentieren. Im Schritt des Verknüpfens kann das von dem ersten Sensor erfasste Prüfmerkmal mit dem von dem zweiten Sensor erfassten Prüfmerkmal verknüpft werden, um eine redundante Merkmalsverknüpfung zu erzeugen. Im Schritt des Plausibilisierens kann die Merkmalsverknüpfung unter Verwendung der redundanten Merkmalsverknüpfung plausibilisiert werden. Dadurch kann die Zuverlässigkeit der Objekterkennung bei verhältnismäßig niedrigen Kosten deutlich erhöht werden.

Dabei kann in einem Schritt des Erkennens das Objekt unter Verwendung eines Ergebnisses des Plausibilisierens erkannt werden. Dadurch wird eine Erkennung des Objekts anhand bereits plausibilisierter Informationen ermöglicht, womit die Robustheit der Objekterkennung gesteigert werden kann.

Gemäß einer weiteren Ausführungsform kann in einem Schritt des Erkennens das Objekt unter Verwendung der Merkmalsverknüpfung erkannt werden. Dabei kann zumindest ein Prüfobjekt unter Verwendung der redundanten

Merkmalsverknüpfung erkannt werden. Dementsprechend kann im Schritt des Plausibilisierens die Merkmalsverknüpfung durch Vergleichen des Objekts mit dem Prüfobjekt plausibilisiert werden. Auch durch diese Ausführungsform kann eine besonders zuverlässige und robuste Erkennung des Objekts gewährleistet werden. Es ist vorteilhaft, wenn im Schritt des Empfangens zumindest ein von einem dritten Sensor erfasstes Erkennungsmerkmal zum Erkennen des Objekts und zumindest ein von dem ersten Sensor oder, zusätzlich oder alternativ, von dem zweiten Sensor erfasstes weiteres Prüfmerkmal zum Prüfen der

Objekterkennung empfangen werden. Das von dem dritten Sensor erfasste Erkennungsmerkmal und das weitere Prüfmerkmal können je die gleiche Messgröße repräsentieren. Dementsprechend kann im Schritt des Verknüpfens die Merkmalsverknüpfung unter Verwendung des von dem dritten Sensor erfassten Erkennungsmerkmals erzeugt werden. Im Schritt des Plausibilisierens kann die Merkmalsverknüpfung unter Verwendung des weiteren Prüfmerkmals plausibilisiert werden. Dadurch kann die Objekterkennung auch bei Verwendung von mehr als zwei voneinander unabhängigen Sensoren effizient durchgeführt werden.

Insbesondere kann beispielsweise das von dem dritten Sensor erfasste

Erkennungsmerkmal eine von der ersten Messgröße oder auch von der zweiten Messgröße unabhängige Messgröße repräsentieren. Dadurch kann erreicht werden, dass das Verfahren hohen ASIL-Sicherheitsanforderungen genügt.

Gemäß einer weiteren Ausführungsform können im Schritt des Empfangens zumindest ein von dem ersten Sensor oder, zusätzlich oder alternativ, von dem zweiten Sensor erfasstes weiteres Erkennungsmerkmal zum Erkennen des Objekts und zumindest ein von dem dritten Sensor erfasstes Prüfmerkmal zum Prüfen der Objekterkennung empfangen werden. Dabei können das weitere Erkennungsmerkmal und das von dem dritten Sensor erfasste Prüfmerkmal je die gleiche Messgröße repräsentieren. Im Schritt des Verknüpfens kann die Merkmalsverknüpfung unter Verwendung des weiteren Erkennungsmerkmals erzeugt werden. Im Schritt des Plausibilisierens kann die Merkmalsverknüpfung unter Verwendung des von dem dritten Sensor erfassten Prüfmerkmals plausibilisiert werden. Dadurch kann eine Vielzahl unterschiedlicher und von unterschiedlichen Sensoren erfasster Merkmale zur Objekterkennung verwendet werden, wodurch die Zuverlässigkeit des Verfahrens weiter erhöht werden kann.

Dieses Verfahren kann beispielsweise in Software oder Hardware oder in einer Mischform aus Software und Hardware, beispielsweise in einem Steuergerät, implementiert sein.

Der hier vorgestellte Ansatz schafft ferner eine Vorrichtung, die ausgebildet ist, um die Schritte einer Variante eines hier vorgestellten Verfahrens in

entsprechenden Einrichtungen durchzuführen, anzusteuern bzw. umzusetzen. Auch durch diese Ausführungsvariante der Erfindung in Form einer Vorrichtung kann die der Erfindung zugrunde liegende Aufgabe schnell und effizient gelöst werden.

Hierzu kann die Vorrichtung zumindest eine Recheneinheit zum Verarbeiten von Signalen oder Daten, zumindest eine Speichereinheit zum Speichern von Signalen oder Daten, zumindest eine Schnittstelle zu einem Sensor oder einem Aktor zum Einlesen von Sensorsignalen von dem Sensor oder zum Ausgeben von Daten- oder Steuersignalen an den Aktor und/oder zumindest eine

Kommunikationsschnittstelle zum Einlesen oder Ausgeben von Daten aufweisen, die in ein Kommunikationsprotokoll eingebettet sind. Die Recheneinheit kann beispielsweise ein Signalprozessor, ein Mikrocontroller oder dergleichen sein, wobei die Speichereinheit ein Flash-Speicher, ein EPROM oder eine

magnetische Speichereinheit sein kann. Die Kommunikationsschnittstelle kann ausgebildet sein, um Daten drahtlos und/oder leitungsgebunden einzulesen oder auszugeben, wobei eine Kommunikationsschnittstelle, die leitungsgebundene Daten einlesen oder ausgeben kann, diese Daten beispielsweise elektrisch oder optisch aus einer entsprechenden Datenübertragungsleitung einlesen oder in eine entsprechende Datenübertragungsleitung ausgeben kann.

Unter einer Vorrichtung kann vorliegend ein elektrisches Gerät verstanden werden, das Sensorsignale verarbeitet und in Abhängigkeit davon Steuer- und/oder Datensignale ausgibt. Die Vorrichtung kann eine Schnittstelle aufweisen, die hard- und/oder softwaremäßig ausgebildet sein kann. Bei einer hardwaremäßigen Ausbildung können die Schnittstellen beispielsweise Teil eines sogenannten System-ASICs sein, der verschiedenste Funktionen der Vorrichtung beinhaltet. Es ist jedoch auch möglich, dass die Schnittstellen eigene, integrierte Schaltkreise sind oder zumindest teilweise aus diskreten Bauelementen bestehen. Bei einer softwaremäßigen Ausbildung können die Schnittstellen Softwaremodule sein, die beispielsweise auf einem Mikrocontroller neben anderen Softwaremodulen vorhanden sind.

In einer vorteilhaften Ausgestaltung erfolgt durch die Vorrichtung eine Steuerung des Fahrzeugs. Hierzu kann die Vorrichtung beispielsweise auf Sensorsignale wie Beschleunigungs-, Druck-, Lenkwinkel- oder Umfeldsensorsignale zugreifen. Die Ansteuerung erfolgt über Aktoren wie Brems- oder Lenkaktoren oder ein Motorsteuergerät des Fahrzeugs.

Von Vorteil ist auch ein Computerprogrammprodukt oder Computerprogramm mit Programmcode, der auf einem maschinenlesbaren Träger oder Speichermedium wie einem Halbleiterspeicher, einem Festplattenspeicher oder einem optischen Speicher gespeichert sein kann und zur Durchführung, Umsetzung und/oder Ansteuerung der Schritte des Verfahrens nach einer der vorstehend

beschriebenen Ausführungsformen verwendet wird, insbesondere wenn das Programmprodukt oder Programm auf einem Computer oder einer Vorrichtung ausgeführt wird.

Ausführungsbeispiele der Erfindung sind in den Zeichnungen dargestellt und in der nachfolgenden Beschreibung näher erläutert. Es zeigt:

Fig. 1 eine schematische Darstellung eines Sicherheitskonzepts auf mittlerer

Ebene mit entsprechender ASIL-Dekomposition;

Fig. 2 eine schematische Darstellung eines Sicherheitskonzepts nach ASIL D; Fig. 3 eine schematische Darstellung möglicher ASIL-Dekompositionen;

Fig. 4 eine schematische Darstellung eines Systems zur Fusion von Daten verschiedener Sensoren eines Fahrzeugs im Rahmen einer

Objekterkennung gemäß einem Ausführungsbeispiel;

Fig. 5 eine schematische Darstellung eines Systems zur Fusion von Daten verschiedener Sensoren eines Fahrzeugs im Rahmen einer

Objekterkennung gemäß einem Ausführungsbeispiel;

Fig. 6 ein Ablaufdiagramm eines Verfahrens gemäß einem

Ausführungsbeispiel; und

Fig. 7 eine schematische Darstellung einer ASIL-Dekomposition in einem

System aus Fig. 4.

In der nachfolgenden Beschreibung günstiger Ausführungsbeispiele der vorliegenden Erfindung werden für die in den verschiedenen Figuren

dargestellten und ähnlich wirkenden Elemente gleiche oder ähnliche

Bezugszeichen verwendet, wobei auf eine wiederholte Beschreibung dieser Elemente verzichtet wird. Fig. 1 zeigt eine schematische Darstellung eines Sicherheitskonzepts auf mittlerer Ebene mit entsprechender ASIL-Dekomposition. Gezeigt ist ein System 100 aus drei Fahrzeugsensoren 102, 104, 106 zur Erkennung je eines Objekts 108. Ein Steuergerät 110 ist ausgebildet, um unter Verwendung der von den drei Sensoren erkannten Objekte 108 in einer ersten Einheit 112 eine Objektfusion durchzuführen und darauf basierend in einer zweiten Einheit 114 eine

Situationsanalyse durchzuführen. Beispielsweise liefert der erste

Fahrzeugsensor 102 Signale nach ASIL B, während die beiden

Fahrzeugsensoren 104, 106 Signale nach ASIL A liefern. Die mittels des

Steuergeräts 110 durchgeführte Objekterkennung entspricht dabei ASIL D.

Fig. 2 zeigt eine schematische Darstellung eines Sicherheitskonzepts nach ASIL D. Gezeigt ist das System 100 aus Fig. 1, mit dem Unterschied, dass das Steuergerät 110 unter Verwendung der von den drei Fahrzeugsensoren 102, 104, 106 bereitgestellten Signale in einer weiteren Einheit 200 zunächst eine Merkmalsfusion und darauf aufbauend die Objekterkennung und die

Situationsanalyse durchführt. Die einzelnen Sensorpfade sowie die

Signalverarbeitung innerhalb des Steuergeräts 110 entsprechen dabei jeweils ASIL D.

Fig. 3 zeigt eine schematische Darstellung möglicher ASIL-Dekompositionen. Ein Zustand vor der Dekomposition ist mit dem Bezugszeichen 300 gekennzeichnet. Ein Zustand nach der Dekomposition ist mit dem Bezugszeichen 302

gekennzeichnet. Nachfolgend sind verschiedene Dekompositionsmöglichkeiten aufgelistet:

ASIL D zu ASIL C(D) und ASIL A(D);

alternativ: ASIL D zu ASIL B(D) und ASIL B(D);

alternativ: ASIL D zu ASIL D(D) und QM(D).

Fig. 4 zeigt eine schematische Darstellung eines Systems 400 zur Fusion von Daten verschiedener Sensoren 402, 404, 406 eines Fahrzeugs im Rahmen einer Objekterkennung gemäß einem Ausführungsbeispiel. Gemäß diesem

Ausführungsbeispiel umfasst das System 400 einen ersten Sensor 402 zum Erfassen von Erkennungsmerkmalen Fl, F2, einen zweiten Sensor 404 zum Erfassen von Erkennungsmerkmalen F3, F4 und einen dritten Sensor 406 Erfassen von Erkennungsmerkmalen F5, F6. Die Erkennungsmerkmale Fl bis F6, auch Funktionsmerkmale genannt, dienen der Erkennung zumindest eines Objekts im Umfeld des Fahrzeugs. Bei den Erkennungsmerkmalen handelt es sich insbesondere um Merkmale, die von den jeweiligen Sensoren mit besonders hoher Genauigkeit erfasst werden können. Zur Extraktion der jeweiligen

Erkennungsmerkmale sind die Sensoren 402, 404, 406 je mit einer

entsprechenden Verarbeitungseinheit 408 verbunden.

Gemäß diesem Ausführungsbeispiel ist der erste Sensor 402 ausgebildet, um zusätzlich zu den beiden Erkennungsmerkmalen Fl, F2 zwei Prüfmerkmale P3, P5 zu erfassen und bereitzustellen. Analog dazu ist der zweite Sensor 404 ausgebildet, um zusätzlich zu den beiden Erkennungsmerkmalen F3, F4 zwei Prüfmerkmale PI, P6 zu erfassen und bereitzustellen. Der dritte Sensor 406 ist ausgebildet, um zusätzlich zu den beiden Erkennungsmerkmalen F5, F6 ein Prüfmerkmal P2 zu erfassen und bereitzustellen. Bei den Prüfmerkmalen handelt es sich beispielsweise um Merkmale, die von den jeweiligen Sensoren mit einem im Vergleich zu den jeweiligen Erkennungsmerkmalen niedrigeren Maß an Genauigkeit erfasst werden, das jedoch für eine Nutzung im Rahmen einer

Plausibilitätsprüfung der Objekterkennung ausreicht.

Beispielhaft repräsentieren gemäß Fig. 4 das Erkennungsmerkmal Fl und das Prüfmerkmal PI eine erste Messgröße zum Erfassen des Objekts, das

Erkennungsmerkmal F3 und das Prüfmerkmal P3 eine zweite Messgröße zum

Erfassen des Objekts und das Erkennungsmerkmal F5 und das Prüfmerkmal P5 eine dritte Messgröße zum Erfassen des Objekts. Insbesondere handelt es sich bei allen drei Messgrößen um voneinander unabhängige Messgrößen, sodass durch die Prüfmerkmale eine zusätzliche, redundante Merkmalsfusion auf der Basis voneinander unabhängiger Subsysteme ermöglicht wird.

Analog dazu repräsentieren beispielsweise auch das Erkennungsmerkmal F2 und das Prüfmerkmal P2 je die gleiche Messgröße, ebenso wie auch das Erkennungsmerkmal F6 und das Prüfmerkmal P6 je die gleiche Messgröße repräsentieren können. Je nach Ausführungsbeispiel repräsentieren entweder alle Erkennungsmerkmale je eine andere Messgröße oder aber die Erkennungsmerkmale unterscheiden sich bezüglich der ihr zugrunde liegenden Messgröße jeweils nur von Sensor zu Sensor. Wichtig ist, dass die Erkennungsmerkmale und die ihnen jeweils zugeordneten Prüfmerkmale jeweils die gleiche Messgröße repräsentieren, wobei die jeweiligen Sensoren zur Erfassung der Prüfmerkmale von den jeweiligen Sensoren zur Erfassung der Erkennungsmerkmale unabhängig sind.

Das System 400 umfasst eine Vorrichtung 410 mit einer Empfangseinheit 412 zum Empfangen der Erkennungs- und Prüfmerkmale von den drei Sensoren 402, 404, 406 sowie einer Verknüpfungseinheit 414. Gemäß dem in Fig. 4 gezeigten Ausführungsbeispiel ist die Verknüpfungseinheit 414 ausgebildet, um zum einen die Erkennungsmerkmale in einer entsprechenden Merkmalsfusion miteinander zu einer Merkmalsverknüpfung 416 zu verknüpfen und zum anderen die

Prüfmerkmale in einer entsprechenden Prüffusion miteinander zu einer redundanten Merkmalsverknüpfung 418 zu verknüpfen. Die Verknüpfungseinheit 414 leitet die Merkmalsverknüpfungen 416, 418 weiter an eine

Plausibilisierungseinheit 420 zur Durchführung einer Plausibilitätsprüfung der Merkmalsverknüpfung 416 anhand der redundanten Merkmalsverknüpfung 418. Eine Erkennungseinheit 422 ist ausgebildet, um unter Verwendung eines von der Plausibilisierungseinheit 420 bereitgestellten Plausibilisierungsergebnisses 424 ein Objekt oder mehrere Objekte in der Umgebung des Fahrzeugs eindeutig zu erkennen und beispielsweise eine entsprechende Objektinformation 426 an eine Analyseeinheit 428 zur Durchführung einer Situationsanalyse bezüglich einer aktuellen Situation des Fahrzeugs weiterzuleiten. Die Situationsanalyse ermöglicht beispielsweise die Nachverfolgung erkannter Objekte entsprechend ASIL D.

Gemäß Fig. 4 findet die Objekterkennung erst nach Durchführung der

Plausibilitätsprüfung statt. Alternativ erfolgt die Plausibilitätsprüfung im Anschluss an die Objekterkennung, wie dies aus Fig. 5 ersichtlich ist.

Fig. 5 zeigt eine schematische Darstellung eines Systems 400 zur Fusion von Daten verschiedener Sensoren 402, 404, 406 eines Fahrzeugs im Rahmen einer Objekterkennung gemäß einem Ausführungsbeispiel. Das System 400 entspricht im Wesentlichen dem vorangehend anhand von Fig. 4 beschriebenen System, mit dem Unterschied, dass die Erkennungseinheit 422 gemäß diesem

Ausführungsbeispiel der Plausibilisierungseinheit 420 vorgeschaltet ist. Dabei ist die Erkennungseinheit 422 ausgebildet, um die beiden Merkmalsverknüpfungen 416, 418 von der Verknüpfungseinheit 414 zu empfangen. Die

Merkmalsverknüpfung 416 wird von der Erkennungseinheit 422 dazu verwendet, das Objekt zu erkennen und ein das erkannte Objekt repräsentierendes

Erkennungsergebnis 500 an die Plausibilisierungseinheit 420 zu übermitteln. In analoger Weise verwendet die Erkennungseinheit 422 die redundante

Merkmalsverknüpfung 418, um ein Prüfobjekt zu erkennen und ein das

Prüfobjekt repräsentierendes redundantes Erkennungsergebnis 502 an die Plausibilisierungseinheit 420 zu übermitteln. Diese verwendet die beiden

Erkennungsergebnisse 500, 502 beispielsweise, um das erkannte Objekt anhand des Prüfobjekts zu plausibilisieren, etwa auf Basis einer Merkmalsabweichung zwischen dem erkannten Objekt und dem Prüfobjekt. Das

Plausibilisierungsergebnis 424 wird dabei direkt an die Analyseeinheit 428 übermittelt. Die Analyseeinheit 428 ist beispielsweise ausgebildet, um die Situation des Fahrzeugs auf der Basis des erkannten Objekts oder der erkannten Objekte zu analysieren, sofern die Merkmalsabweichung zwischen dem erkannten Objekt und dem Prüfobjekt unterhalb eines vorgegebenen

Abweichungsschwellenwertes liegt.

Fig. 6 zeigt ein Ablaufdiagramm eines Verfahrens 600 gemäß einem

Ausführungsbeispiel. Das Verfahren 600 zur Fusion von Daten verschiedener Sensoren eines Fahrzeugs im Rahmen einer Objekterkennung kann

beispielsweise von einer Vorrichtung, wie sie vorangehend anhand der Figuren 4 und 5 beschrieben ist, durchgeführt werden. Dabei werden in einem Schritt 610 die Erkennungsmerkmale sowie die Prüfmerkmale über eine geeignete

Schnittstelle zu den Sensoren des Fahrzeugs empfangen. In einem Schritt des 620 werden die Erkennungsmerkmale miteinander verknüpft, um die

Merkmalsverknüpfung zu erzeugen. Schließlich erfolgt in einem Schritt 630 die Plausibilisierung der Merkmalsverknüpfung unter Verwendung zumindest eines der Prüfmerkmale. Fig. 7 zeigt eine schematische Darstellung einer ASIL-Dekomposition in einem System 400 aus Fig. 4. Die Merkmalsfusionen entsprechen ASIL B. Die höchste Einstufung jedes Eingangssignals entspricht ASIL B. Die höchste

Sicherheitsanforderung jedes Merkmals entspricht ASIL B. Die Sensorsignale entsprechen ASIL B. Die Sensorsicherheitsanforderung entspricht ASIL B.

Nachfolgend werden verschiedene Ausführungsbeispiele des hier vorgestellten Ansatzes nochmals mit anderen Worten zusammengefasst.

Bei der Fusion von Sensordaten im Rahmen einer Objekterkennung kann grob zwischen einer niedrigen Ebene, einer mittleren Ebene und einer hohen Ebene unterschieden werden. Die niedrige Ebene entspricht einer frühzeitigen Fusion aus Signalen und Merkmalen oder ihren Zuständen. Die Daten repräsentieren dabei Muster oder Abtastwerte. Auf der mittleren Ebene erfolgt die Fusion auf Objektebene mit einer Entität. Dabei werden die Objekte unabhängig

voneinander von jedem einzelnen Sensorsystem identifiziert. Die hohe Ebene repräsentiert eine Fusion zur Objektnachverfolgung mit vollständiger

Situationseinschätzung. Dabei bestimmt jeder Sensor vor der Fusion zusätzlich die gegenseitige Beziehung und Bewegung der Objekte. Je niedriger die Fusionsebene ist, desto schwieriger ist es, die für eine ASIL-Dekomposition erforderliche Unabhängigkeit zu gewährleisten.

Beispielsweise soll das in Fig. 1 gezeigte Systemdesign in seiner Gesamtheit die Sicherheitsanforderungen nach ASIL D erfüllen. Gemäß diesem Design ist die ASIL-Einstufung für ein einzelnes Sensorsystem ASIL A oder ASIL B.

Um die Systemleistung zu verbessern und den größtmöglichen Nutzen aus der jeweiligen Stärke der einzelnen Sensorsysteme zu ziehen, wird nun gemäß dem hier vorgestellten Ansatz eine Fusion auf niedriger Ebene gewählt.

Werden die besten Merkmale eines jeden Systems ausgewählt und fusioniert, um die Objekte zu bestimmen, wäre jedoch keine wirkliche Redundanz im System vorhanden, sodass alle Sensorpfade entsprechend der höchsten Einstufung ASIL D entwickelt werden müssten. Die Sensoren sind jedoch oftmals in der Lage, auch andere Merkmale zu erfassen. Beispielsweise kann die Entfernung eines Objekts sowohl über Video als auch über Radar bestimmt werden, wobei Radar eine deutlich höhere Genauigkeit aufweist. Durch den hier vorgestellten Ansatz können die angesprochenen Probleme oder

Unzulänglichkeiten bei der ASIL-Allokation vermieden werden. Vorteilhafterweise ermöglicht der hier vorgestellte Ansatz eine echte Redundanz während der Datenfusion. Dabei können hohe Systementwicklungskosten, etwa aufgrund einer hohen ASIL-Einstufung für alle Hard- und Softwarekomponenten, vermieden werden.

Eine ASIL-Einstufung und -Allokation umfasst beispielsweise folgende Schritte. Zunächst wird eine Gefährdungs- und Risikoanalyse durchgeführt, d. h. eine Sicherheitsrisikoanalyse anhand der Auswirkungen des Systems auf das Fahrzeug, denn Systemeingriffe wirken sich in der Regel auf die Sicherheit des Fahrzeugs aus. Des Weiteren wird ein Sicherheitsziel mit ASIL-Einstufung definiert. Es erfolgt eine Sicherheitsrisikobewertung mit der Angabe von

Sicherheitsanforderungen für die Systementwicklung, in diesem Fall etwa die höchste Einstufung und Anforderung gemäß ASIL D. Anschließend wird zum Erreichen des Sicherheitszieles ein entsprechendes Sicherheitskonzept mit ASIL-Allokation entwickelt. Die ASIL-Allokation sollte für jede Systemkomponente durchgeführt werden. Wenn nun beispielsweise jede Komponente die

Anforderungen nach ASIL D erfüllen müsste, entstünden hohe Kosten und ein hoher Aufwand, um ein sicheres und robustes System zu gewährleisten.

Demgegenüber stellt die ASIL-Dekomposition einen möglichen Weg dar, um die Systemrobustheit zu erhöhen und die Sicherheitsanforderungen für jede

Komponente, insbesondere für Hardwarekomponenten wie Sensoren oder Steuergeräte, zu reduzieren. Fig. 3 zeigt ein Dekompositionskonzept nach ISO 26262-9:2011(E). Die Dekomposition kann jedoch nur dann zum Einsatz kommen, wenn zwei Subsysteme unabhängig voneinander sind.

Der hier vorgestellte Ansatz ermöglicht es nun, Redundanz in einem bereits vorhandenen Fusionskonzept zu schaffen und darin eine entsprechende

Dekomposition zur Anwendung zu bringen. Dabei wird die ASIL-Allokation so durchgeführt, dass jedes Subsystem einem niedrigeren ASIL als dem Gesamtsystem zugeordnet ist, womit das Sicherheitsrisiko, die Sicherheitsanforderungen und die Kosten gesenkt werden können.

Eine redundante Datenfusion wird beispielsweise mit den Prüfmerkmalen P3 und P5 durchgeführt, wobei diese nicht in der ursprünglichen Merkmalsfusion aus den Erkennungsmerkmalen Fl und F2 verwendet werden. Die ursprüngliche Fusion umfasst beispielsweise eine Entfernung, die aufgrund der höheren Genauigkeit nur mittels eines Radarsignals ermittelt wurde. Gemäß einem Ausführungsbeispiel wird etwa zusätzlich ein per Video bereitgestelltes

Entfernungssignal verwendet, um die Redundanz zu schaffen. Auch wenn es sich dabei nicht um die am besten geeigneten Merkmale oder Stärken der jeweiligen Sensorsysteme handelt, sind diese Merkmale in der Regel zur Verwendung für eine Prüffusion ausreichend. Dabei sollte die Unabhängigkeit zwischen Funktionsmerkmalen und Prüfmerkmalen sichergestellt sein. Zwischen Geschwindigkeit und Beschleunigung besteht beispielsweise eine starke Korrelation, sodass diese beiden Merkmale nicht als unabhängige Merkmale behandelt werden sollten. Im Gegenzug können beispielsweise Geschwindigkeit und Form durchaus als unabhängige Merkmale behandelt werden.

Die ursprüngliche Fusion wird nach wie vor als funktionale Fusion verwendet, um Objekte zu generieren. Die funktionale Fusion wird dabei jedoch mittels der zweiten, redundanten Prüffusion mit einer vorgegebenen Toleranz überwacht. Das bedeutet, dass die funktionale Fusion bestätigt und zugelassen wird, sofern die Abweichung zwischen funktionaler Fusion und Prüffusion klein genug ist.

Da die zwei Fusionen unabhängig voneinander sind, ist jetzt eine Dekomposition möglich. Eine mögliche Dekomposition von ASIL D zu ASIL B(D) + ASIL B(D) ist in Fig. 4 gezeigt. Dabei entsprechen die Fusionen zur Erzeugung der

Merkmalsverknüpfung 416 und der redundanten Merkmalsverknüpfung 418 je ASIL B(D). Andere Kombinationen sind ebenfalls möglich, beispielsweise ASIL A(D) + ASIL C(D) oder QM(D) + ASIL D(D).

Je nach Design kann die Plausibilitätsprüfung oder der Vergleich beider Pfade auch zu einem späteren Zeitpunkt durchgeführt werden, beispielsweise nach der Erkennung von Objekten oder Entitäten oder nach der Erkennung von Situationen oder Bewegungsabläufen. Fig. 5 zeigt ein mögliches Systemdesign, bei dem die Plausibilitätsprüfung nach der Objekterkennung durchgeführt wird.

Umfasst ein Ausführungsbeispiel eine„und/oder"-Verknüpfung zwischen einem ersten Merkmal und einem zweiten Merkmal, so ist dies so zu lesen, dass das

Ausführungsbeispiel gemäß einer Ausführungsform sowohl das erste Merkmal als auch das zweite Merkmal und gemäß einer weiteren Ausführungsform entweder nur das erste Merkmal oder nur das zweite Merkmal aufweist.