Verfahren eines Fahrzeugs zur kontextabhängigen Fehlerverarbeitung mittels heterogener

Verifikation und Fahrzeug

Die Erfindung betrifft ein Verfahren eines Fahrzeugs zur kontextabhängigen Verarbeitung eines potentiellen Fehlers einer Fahrzeugkomponente, bevorzugt mittels heterogener Verifikation. Ferner betrifft die Erfindung ein Fahrzeug, aufweisend zumindest eine Fahrzeugkomponente und eine Steuereinheit, die dazu ausgebildet ist, das erfindungsgemäße Verfahren durchzuführen.

Moderne Fahrzeuge sind komplexe technische Systeme mit einer Vielzahl von miteinander interagierenden Fahrzeugkomponenten. Das Erkennen und Behandeln von Fehlern dieser Fahrzeugkomponenten ist sicherheitsrelevant, da schon ein einziger Fehler in einer der Komponenten kritische Auswirkungen auf das gesamte System haben kann. Vor allem bei Fahrzeugen, die Personen transportieren, ist deshalb eine sichere Fehlerverarbeitung entscheidend.

Insbesondere im Bereich des autonomen Fahrens hat die Fehlerverarbeitung eine große Signifikanz. Automatisiert operierende Fahrzeuge bieten zahlreiche Möglichkeiten, um die Fahrsicherheit und das Fahrerlebnis für einen Fahrer zu verbessern. Jedoch geht die Autonomie des Fahrers bezüglich seiner Fahrentscheidungen zunehmend auf das Fahrzeug beziehungsweise in diesem operierende Steuereinheiten über. Am Ende dieser Entwicklungen steht ein automatisiert fahrendes Fahrzeug, welches vollständig ohne Eingriffe eines Menschen manövrieren kann.

Die SAE J3016 kategorisiert automatisierte Fahrzeuge in verschiedenen Stufen („Level“). In autonom fahrenden Fahrzeugen der SAE Level 4 und 5 arbeiten die für das autonome Fahren zuständigen Systeme dabei teilweise oder komplett autonom. Das heißt auch, dass ein Eingreifen durch einen Fahrer zum Teil oder auch überhaupt nicht vorgesehen ist. Gerade dann ist eine sorgfältige Überwachung aller Systeme unverzichtbar, um Fehler und Fehlverhalten schnell und präzise zu erkennen und zu behandeln. Herkömmliche Fehlerverarbeitungsverfahren vergleichen meist das Verhalten von zu testenden Fahrzeugkomponenten mit vorher festgelegten statischen Grenzwerten und arbeiten, falls ein Fehler erkannt wurde, vorher festgelegte Fehlerbehandlungsprotokolle ab. Das Verwenden statischer Grenzwerte und festgelegter Fehlerbehandlungsprotokolle wird jedoch insbesondere bei automatisiert operierenden Fahrzeugen den vielfältigen und diversen Anforderungsprofilen verschiedener Fahrszenarien nicht gerecht. So kann beispielsweise ein Sensor bei einer Autobahnfahrt hinsichtlich der Fahrsicherheit im automatisierten Fährbetrieb anders zu bewerten sein, als während einer Stadtfahrt. Die aus dem Stand der Technik bekannten Verfahren zur Fehlerverarbeitung bilden diese Diversität nicht oder nur unzureichend ab.

Der Erfindung liegt nun die Aufgabe zugrunde, den Stand der Technik zu bereichern und die sich aus diesem ergebenden Nachteile zu überwinden oder zumindest zu verringern und ein verbessertes Verfahren zur Verarbeitung von potentiellen Fehlern von Fahrzeugkomponenten bereitzustellen.

Die erfindungsgemäße Aufgabe wird gelöst durch ein Verfahren und Fahrzeug gemäß den Patentansprüchen. Bevorzugte Weiterbildungen sind Gegenstand der Unteransprüche.

Ein erster Aspekt der Erfindung betrifft ein Verfahren eines Fahrzeugs zur Verarbeitung eines potentiellen Fehlers einer Fahrzeugkomponente. Ein Fahrzeug ist im Sinne dieser Offenbarung bevorzugt ein Fortbewegungsmittel, das dazu ausgebildet ist, Personen und/oder Lasten auf der Erde, in der Luft und/oder im Weltraum zu transportieren. Bevorzugt ist das Fahrzeug ein Personenkraftwagen mit Verbrennungs-, Elektro- oder Hybridmotor. Besonders bevorzugt ist das Fahrzeug ein zum autonomen Fahren ausgebildetes Fahrzeug und beispielsweise für den Betrieb gemäß der SAE Level 4 oder 5 ausgebildet. Ein Fehler ist im Sinne dieser Offenbarung eine unzulässige Abweichung eines Merkmals von einer vorgegebenen Forderung. Bevorzugt wird der potentielle Fehler der Fahrzeugkomponente durch das Fahrzeug selbst kontextabhängig ermittelt. Das kontextabhängige Ermitteln eines potentiellen Fehlers wird nachfolgend im Detail erläutert.

Das erfindungsgemäße Verfahren weist als einen Verfahrensschritt ein Ermitteln eines aktuellen Kontexts des Fahrzeugs auf. Der Kontext definiert dabei bevorzugt eine Umgebung und/oder Fahrsituation des Fahrzeugs. Beispielsweise bildet der Kontext ab, dass das Fahrzeug eine Autobahnfahrt oder eine Stadtfahrt durchführt, dass es Tag oder Nacht ist und/oder dass es trocken ist oder regnet. Ebenfalls kann der Kontext abbilden, dass das Fahrzeug eine manuelle, teilautomatisierte oder vollautomatisierte Fahrt durchführt. Der Detailgrad der Abbildung einer Umgebung und/oder Fahrsituation des Fahrzeugs durch den Kontext kann dabei variieren. Der Kontext kann anhand im Fahrzeug und/oder extern ermittelter Daten ermittelt werden, wie nachfolgend noch im Detail erläutert wird.

Ferner wird in dem Verfahren zumindest eine im aktuellen Kontext heterogene Fahrzeugkomponente des Fahrzeugs ermittelt. Bevorzugt wird eine Fahrzeugkomponente als heterogen ermittelt, wenn sie im aktuellen Kontext für dieselbe Funktion eingesetzt wird oder einsetzbar ist, wie die zu prüfende Fahrzeugkomponente, und sich ihr Aufbau von dem der zu prüfenden Fahrzeugkomponente unterscheidet.

Wenn im erfindungsgemäßen Verfahren zumindest eine heterogene Fahrzeugkomponente zu der zu prüfenden Fahrzeugkomponente ermittelt wird, dann wird eine heterogene Verifikation des potentiellen Fehlers der Fahrzeugkomponente unter Berücksichtigung der zumindest einen heterogenen Fahrzeugkomponente durchgeführt.

Wenn keine heterogene Fahrzeugkomponente zu der zu prüfenden Fahrzeugkomponente ermittelt wird, wird eine kontextabhängige Relevanz der Fahrzeugkomponente ermittelt. Es wird bevorzugt ermittelt, wie relevant die Fahrzeugkomponente im aktuellen Kontext für den sicheren Betrieb des Fahrzeugs ist. Basierend auf der ermittelten kontextabhängigen Relevanz wird dann entweder der potentielle Fehler der Fahrzeugkomponente behandelt oder ein Notbetriebsmodus des Fahrzeugs eingeleitet.

Das Behandeln des potentiellen Fehlers beinhaltet bevorzugt ein Ermitteln und Durchführen von Aktionen, um den Fehler endgültig zu beheben oder zunächst seine Auswirkungen zu begrenzen. Ferner bevorzugt beinhaltet das Behandeln des potentiellen Fehlers Gegenmaßnahmen, um die Wahrscheinlichkeit von schwerwiegenden Folgen zu vermindern. Das Behandeln beinhaltet beispielsweise einen Neustart der Fahrzeugkomponente, ein Kalibrieren der Fahrzeugkomponente, ein Zurücksetzen der Einstellungen der Fahrzeugkomponente oder ein Abschalten der Fahrzeugkomponente. Bei einem Abschalten der Fahrzeugkomponente werden bevorzugt die Aufgaben und/oder Funktionen der Fahrzeugkomponente auf zumindest eine andere Komponente des Fahrzeugs übertragen. Die zumindest eine andere Komponente kann dabei einen Teil der Funktionalitäten der betroffenen Fahrzeugkomponente übernehmen. Der Notbetriebsmodus des Fahrzeugs bewirkt bevorzugt, dass das Fahrzeug in einen sicheren Zustand überführt wird. Die Überführung in einen sicheren Zustand beinhaltet dabei bevorzugt das Bereitstellen einer reduzierten Anzahl von Notfunktionalitäten. Ferner bevorzugt beinhaltet das Überführen in einen sicheren Zustand eine Notbremsung und/oder Notabschaltung des Fahrzeugs.

Das erfindungsgemäße Verfahren ermöglicht vorteilhaft eine exaktere und anwendungsspezifischere Fehlerverarbeitung durch die Berücksichtigung des aktuellen Kontextes des Fahrzeugs, was zu einer erhöhten Sicherheit führt. Im Verfahren zur Fehlerverarbeitung gemäß dem Stand der Technik wurde die Situation, in der sich das Fahrzeug zur Zeit der Fehlerermittlung und -Verarbeitung befindet, außer Acht gelassen.

Jedoch können bei der Verarbeitung eines Fehlers kontextabhängig Unterschiede gemacht werden. Fällt beispielsweise eine fahrzeugeigene Nahfeldkamera während eines Einparkvorganges des Fahrzeugs aus, ist ein Abbrechen des Vorgangs beispielsweise durch eine Notbremsung eine mögliche Fehlerbehandlung. Würde eine ausgefallene Nahfeldkamera jedoch ebenfalls mit einer Notbremsung behandelt, während sich das Fahrzeug auf der Autobahn befindet, stellte diese Fehlerbehandlung ein erhebliches Sicherheitsrisiko dar. Gemäß der vorliegenden Erfindung wird diesem Umstand Rechnung getragen und ein verbessertes Verfahren zur Fehlerverarbeitung von Fahrzeugkomponenten bereitgestellt und somit die Sicherheit des Fahrzeugs erhöht, indem der aktuelle Kontext des Fahrzeugs mit einbezogen wird.

In einer bevorzugten Ausgestaltung des erfindungsgemäßen Verfahrens ist vorgesehen, dass eine heterogene Fahrzeugkomponente sich baulich von der Fahrzeugkomponente unterscheidet und zum Ausführen der Aufgaben und/oder Funktionen der Fahrzeugkomponente ausgebildet ist. Bevorzugt ist eine heterogene Fahrzeugkomponente zum Ausführen der Aufgaben und/oder Funktionen der Fahrzeugkomponente im aktuellen Kontext ausgebildet. Bevorzugt ist eine heterogene Fahrzeugkomponente dazu ausgebildet, zumindest einen Teil der Funktionalitäten der Fahrzeugkomponente zu übernehmen.

Innerhalb einer Vielzahl von in einem modernen Fahrzeug verbauten Fahrzeugkomponenten finden sich auch baulich unterschiedliche Fahrzeugkomponenten, die für ähnliche Aufgaben ausgebildet sind. In einem bestimmten Kontext können solche heterogenen Fahrzeugkomponenten Aufgaben übernehmen, auch wenn sie nicht redundant zur Fahrzeugkomponente ausgebildet sind. Beispielsweise könnte ein LIDAR-Sensor zur Abstandsmessung während des Einparkens auch durch einen Ultraschallsensor ersetzt werden, da in diesem Kontext keine großen Messreichweiten erforderlich sind. In modernen Fahrzeugen wird zudem Diversität oft als Strategie zur Erhöhung der Ausfallsicherheit verwendet. Hierbei werden bewusst durch heterogene Fahrzeugkomponenten verschiedene Realisierungen und keine baugleichen Einzelsysteme oder -komponenten verwendet. Dahinter steht die Idee, dass Systeme, die das Gleiche leisten, aber unterschiedlich realisiert sind, auch gegen eine gegebene Störung verschieden empfindlich oder unempfindlich sind und daher wahrscheinlich nicht alle gleichzeitig ausfallen. Beispielweise werden besonders sicherheitsrelevante Prozesse oft von mehreren Steuereinheiten gesteuert, die teilweise von verschiedenen Herstellern geliefert werden und deren Software in verschiedenen Programmiersprachen von mehreren, unabhängigen Programmierern geschrieben wurde. Weist eine der Steuereinheiten einen Fehler auf, wird eine fehlerfreie heterogene Steuereinheit ihre Aufgaben übernehmen.

In bevorzugter Ausgestaltung des erfindungsgemäßen Verfahrens ist vorgesehen, dass die heterogene Verifikation als einen Verfahrensschritt ein Ermitteln aufweist, dass kein potentieller Fehler der zumindest einen heterogenen Fahrzeugkomponente vorliegt. Mit anderen Worten wird während der kontextabhängigen Verifikation ermittelt, dass die zumindest eine heterogene Fahrzeugkomponente fehlerfrei ist. Bevorzugt wird ermittelt, dass eine Mehrheit der zumindest einen heterogenen Fahrzeugkomponente fehlerfrei ist. In einem weiteren Verfahrensschritt wird dann bevorzugt eine kontextabhängige Relevanz der Fahrzeugkomponente ermittelt. Es wird bevorzugt ermittelt, wie relevant die Fahrzeugkomponente im aktuellen Kontext für den sicheren Betrieb des Fahrzeugs ist. Basierend auf der ermittelten kontextabhängigen Relevanz wird dann, bevorzugt wie vorab beschrieben, entweder der potentielle Fehler der Fahrzeugkomponente behandelt oder ein Notbetriebsmodus des Fahrzeugs eingeleitet. Besonders bevorzugt beinhaltet das Behandeln ferner ein Übertragen der Aufgaben und/oder Funktionen der Fahrzeugkomponente auf die zumindest eine fehlerfreie heterogene Fahrzeugkomponente.

In einer ferner bevorzugten Ausgestaltung des erfindungsgemäßen Verfahrens ist vorgesehen, dass die heterogene Verifikation als einen Verfahrensschritt ein Ermitteln aufweist, dass ein potentieller Fehler der zumindest einen heterogenen Fahrzeugkomponente vorliegt. Dieser Verfahrensschritt ist bevorzugt alternativ und gleichzeitig zum oben beschriebenen Ermitteln, dass kein potentieller Fehler der heterogenen Fahrzeugkomponente vorliegt. Mit anderen Worten wird während der kontextabhängigen Verifikation ermittelt, dass die zumindest eine heterogene Fahrzeugkomponente ebenfalls einen potentiellen Fehler aufweist. Bevorzugt wird ermittelt, dass eine Mehrheit der zumindest einen heterogenen Fahrzeugkomponente einen potentiellen Fehler aufweist. Daraufhin werden in einem weiteren Verfahrensschritt Probenwerte und/oder Diagnosewerte der Fahrzeugkomponente und der zumindest einen heterogenen Fahrzeugkomponente verglichen. Bevorzugt wird ein Proben- und/oder Diagnosewert der Fahrzeugkomponente mit einer Mehrzahl von Proben- und/oder Diagnosewerten der zumindest einen heterogenen Fahrzeugkomponente verglichen. Dabei werden stets Probenwerte mit Probenwerten oder Diagnosewerte mit Diagnosewerten verglichen.

Basierend auf dem Ergebnis des Vergleichs der Proben- und/oder Diagnosewerte wird in dem erfindungsgemäßen Verfahren entweder der potentielle Fehler der zu prüfenden Fahrzeugkomponente verworfen oder eine kontextabhängige Relevanz der zu prüfenden Fahrzeugkomponente ermittelt. Wird eine kontextabhängige Relevanz ermittelt, so wird, wie vorstehend beschrieben, basierend auf der Relevanz entweder der potentielle Fehler der Fahrzeugkomponente behandelt oder ein Notbetriebsmodus des Fahrzeugs eingeleitet. Wird der potentielle Fehler verworfen, so wird bevorzugt mit dem Ermitteln eines weiteren potentiellen Fehlers der Fahrzeugkomponente das erfindungsgemäße Verfahren neu begonnen, wobei gegebenenfalls Anpassungen der Fehlerermittlung erfolgen.

Eine weitere bevorzugte Ausgestaltung des erfindungsgemäßen Verfahrens weist ferner ein Ermitteln zumindest einer homogenen Fahrzeugkomponente des Fahrzeugs auf. Bevorzugt erfolgt das Ermitteln der homogenen Fahrzeugkomponente vor dem Ermitteln der heterogenen Fahrzeugkomponente. Ferner bevorzugt erfolgt das Ermitteln der heterogenen Fahrzeugkomponente zusätzlich oder alternativ zum Ermitteln der homogenen Fahrzeugkomponente. Eine homogene Fahrzeugkomponente ist bevorzugt baugleich zur Fahrzeugkomponente und zum Ausführen der Aufgaben und/oder Funktionen der Fahrzeugkomponente ausgebildet. Mit anderen Worten wird ermittelt, ob das Fahrzeug zumindest eine Fahrzeugkomponente aufweist, die der zu prüfenden Fahrzeugkomponente gleicht. Es wird bevorzugt ermittelt, ob die Fahrzeugkomponente redundant ausgebildet ist. Bevorzugt wird eine Fahrzeugkomponente als homogen ermittelt, wenn sie für dieselbe Funktion eingesetzt wird oder einsetzbar ist, wie die zu prüfende Fahrzeugkomponente.

Wenn zumindest eine homogene Fahrzeugkomponente ermittelt wird, folgt bevorzugt in einem weiteren Verfahrensschritt eine homogene Verifikation des potentiellen Fehlers unter Berücksichtigung der zumindest einen homogenen Fahrzeugkomponente. Die homogene Verifikation bevorzugt aufweisend die Schritte: Ermitteln, ob ein potentieller Fehler der zumindest einen homogenen Fahrzeugkomponente vorliegt; wenn kein potentieller Fehler der zumindest einen homogenen Fahrzeugkomponente vorliegt: Behandeln des potentiellen Fehlers der Fahrzeugkomponente; wenn ein potentieller Fehler der zumindest einen homogenen Fahrzeugkomponente vorliegt: Vergleichen von Probenwerten und/oder Diagnosewerten der Fahrzeugkomponente und der zumindest einen homogenen Fahrzeugkomponente; und basierend auf dem Vergleich: Verwerfen des potentiellen Fehlers der Fahrzeugkomponente; oder Ermitteln einer kontextabhängigen Relevanz der Fahrzeugkomponente und, basierend auf der ermittelten kontextabhängigen Relevanz, Behandeln des potentiellen Fehlers der Fahrzeugkomponente oder Einleiten eines Notbetriebsmodus des Fahrzeugs. Wird der potentielle Fehler verworfen, so wird bevorzugt mit dem Ermitteln eines weiteren potentiellen Fehlers der Fahrzeugkomponente das erfindungsgemäße Verfahren neu begonnen, wobei gegebenenfalls Anpassungen der Fehlerermittlung erfolgen. Alternativ bevorzugt wird basierend auf dem Vergleich das Verfahren nicht mit dem Verwerfen des potentiellen Fehlers fortgesetzt, sondern mit dem Ermitteln zumindest einer heterogenen Fahrzeugkomponente, wie vorab beschrieben.

Sowohl die homogene als auch die heterogene Verifikation führt vorteilhaft dazu, dass falsch ermittelte Fehler nicht behandelt werden und somit Ressourcen und Energie gespart werden. Eine heterogene Verifikation hat den zusätzlichen Vorteil, dass mit dieser auch gemeinsam verursachte Ausfälle, also bei redundanten Komponenten auftretende statistisch voneinander abhängige Ausfälle, als Fehler erkannt werden.

In einerweiteren bevorzugten Ausgestaltung des erfindungsgemäßen Verfahrens wird beim Vergleichen der Proben- und/oder Diagnosewerte ermittelt, ob sich der Proben- und/oder Diagnosewert der zu prüfenden Fahrzeugkomponente in einem Streuungsbereich von Proben- und/oder Diagnosewerten der zumindest einen heterogenen Fahrzeugkomponente befindet. Bevorzugt wird ferner beim Vergleichen der Proben- und/oder Diagnosewerte der Fahrzeugkomponente mit denen der zumindest einen homogenen Fahrzeugkomponente ermittelt, ob sich der Proben- und/oder Diagnosewert der zu prüfenden Fahrzeugkomponente in einem Streuungsbereich von Proben- und/oder Diagnosewerten der zumindest einen homogenen Fahrzeugkomponente befindet.

Der Streuungsbereich ist bevorzugt der Bereich, in dem sich eine Mehrheit der Proben- und/oder Diagnosewerte der zumindest einen heterogenen beziehungsweise homogenen Fahrzeugkomponente befindet. Der Streuungsbereich ist beispielsweise als ein Intervall um einen Erwartungswert oder Median der Diagnosewerte definiert. Der Streuungsbereich ist beispielsweise durch den Interquartilsabstand definiert. Alternativ können Intervalle zwischen anderen Quantilen als Streuungsbereich gewählt werden, beispielsweise das Intervall zwischen den Terzilen. Der potentielle Fehler der Fahrzeugkomponente wird verworfen, wenn sich der Proben- und/oder Diagnosewert der zu prüfenden Fahrzeugkomponente in einem Streuungsbereich von Proben- und/oder Diagnosewerten der zumindest einen heterogenen beziehungsweise homogenen Fahrzeugkomponente befindet. Andernfalls wird die kontextabhängige Relevanz der zu prüfenden Fahrzeugkomponente ermittelt. Wird deren kontextabhängige Relevanz ermittelt, so wird, wie vorstehend beschrieben, basierend auf der Relevanz entweder der potentielle Fehler der Fahrzeugkomponente behandelt oder ein Notbetriebsmodus des Fahrzeugs eingeleitet. Wrd der potentielle Fehler verworfen, so wird bevorzugt mit dem Ermitteln eines weiteren potentiellen Fehlers der Fahrzeugkomponente das erfindungsgemäße Verfahren neu begonnen, wobei gegebenenfalls Anpassungen der Fehlerermittlung erfolgen.

Eine ferner bevorzugte Ausgestaltung des erfindungsgemäßen Verfahrens sieht vor, dass das Ermitteln eines potentiellen Fehlers einer Fahrzeugkomponente jeweils kontextabhängig durchgeführt wird. Bevorzugt wird der potentielle Fehler der Fahrzeugkomponente auf diese Weise ermittelt. Ebenfalls bevorzugt wird der potentielle Fehler der zumindest einen heterogenen und/oder homogenen Fahrzeugkomponente auf diese Weise ermittelt.

Das Ermitteln des potentiellen Fehlers weist zunächst ein Ermitteln eines Probenwerts der Fahrzeugkomponente innerhalb zumindest einer ermittelten Metrik auf. Eine Metrik ist im Sinne dieser Offenbarung bevorzugt ein Referenzsystem zur Messung quantifizierbarer Größen. Bevorzugt wird jeder Fahrzeugkomponente zumindest eine passende Metrik zur Überwachung zugeordnet. Bevorzugt stimmen die zumindest eine Metrik der Fahrzeugkomponente und die zumindest eine Metrik der zumindest einen homogenen und/oder heterogenen Fahrzeugkomponente miteinander überein. Bevorzugt erfolgt die Zuordnung bereits während der Fertigung der jeweiligen Fahrzeugkomponente. Die zu jeder Fahrzeugkomponente zugeordneten Metriken sind bevorzugt in einer ersten Lookup Tabelle, LUT, abgelegt.

Bevorzugt erfolgt das Ermitteln der komponentenspezifischen Metrik durch ein Nachschlagen in der LUT. Die Metrik ist bevorzugt eine Skala zum Auftrag einer Messgröße eines Sensors, eines geschätzten Datenaufkommens in einer Leitung und/oder einem Speicher, erwarteter Ausgaben einer Softwarekomponente, einer RAM- und/oder CPU-Nutzung, einer Geschwindigkeit und/oder Beschleunigung des Fahrzeugs, einer Stromstärke, einer Spannung und/oder einer Temperatur. Mit anderen Worten stellt die Metrik für jede Fahrzeugkomponente einen Raum dar, indem die Komponente betreffende Probenwerte gegeneinander aufgetragen und miteinander verglichen werden können. Besonders bevorzugt ist jede Metrik durch eine Norm, insbesondere eine Abstandsnorm, zum Vergleichen von Probenwerten definiert. Bevorzugt wird der Probenwert innerhalb der ermittelten Metrik als eine Ausgabe der Fahrzeugkomponente im laufenden Betrieb der Fahrzeugkomponente ermittelt. Alternativ bevorzugt wird die Fahrzeugkomponente mit einer Eingabe angeregt, um den Probenwert zu ermitteln. Ferner bevorzugt wird der Probenwert mittels eines Sensors an der Fahrzeugkomponente ermittelt.

Ferner wird während des Ermittelns des potentiellen Fehlers in Abhängigkeit des aktuellen Kontexts eines Satzes von Grenzwerten innerhalb der ermittelten Metrik ermittelt. Bevorzugt wird innerhalb der ermittelten Metrik ein unterer und ein oberer kontextabhängiger Grenzwert ermittelt. Die kontextabhängigen Grenzwerte sind bevorzugt in einer zweiten LUT abgelegt. Bevorzugt sind die erste LUT und die zweite LUT Teile einer einzigen LUT. Bevorzugt erfolgt das Ermitteln des Satzes von Grenzwerten durch ein Nachschlagen in der LUT. Die LUT ist bevorzugt lokal auf einem Speicher des Fahrzeugs gespeichert oder wird von einem Server eines Netzwerks abgerufen. Das Fahrzeug ist bevorzugt dazu ausgebildet, die LUT zu verwalten und zu aktualisieren. Wenn das erfindungsgemäße Verfahren nach dem Verwerfen des potentiellen Fehlers der Fahrzeugkomponente neu begonnen wird, aktualisiert das Fahrzeug bevorzugt basierend auf einer Rückmeldung die Grenzwerte in der LUT. Bevorzugt werden die Grenzwerte so aktualisiert, dass der zu dem verworfenen potentiellen Fehler gehörende Probenwert innerhalb der aktualisierten Grenzwerte liegt. Ebenfalls bevorzugt werden die Grenzwerte so aktualisiert, dass der zu dem verworfenen potentiellen Fehler gehörende Diagnosewert zwischen 0 und 1 liegt, wenn er basierend auf den aktualisierten Grenzwerten ermittelt wird. Bevorzugt werden die Grenzwerte so aktualisiert, dass eine Mehrheit der Probenwerte der zumindest einen homogenen und/oder heterogenen Fahrzeugkomponente innerhalb der aktualisierten Grenzwerte liegt. Ferner bevorzugt werden die Grenzwerte so aktualisiert, dass eine Mehrheit von Diagnosewerten, die mittels der Mehrheit der Probenwerte und der aktualisierten Grenzwerte ermittelt werden, zwischen 0 und 1 liegen. Der Server ist ebenfalls bevorzugt dazu ausgebildet, die LUT zu verwalten und zu aktualisieren. Bevorzugt kommuniziert der Server mit einer Vielzahl von Fahrzeugen, die das erfindungsgemäße Verfahren durchführen, und aktualisiert die LUT basierend auf Rückmeldungen der Vielzahl von Fahrzeugen. Die Verwaltung der LUT durch einen Server eines Netzwerks oder durch das Fahrzeug führt somit vorteilhaft zu einer stetigen Anpassung und Verbesserung der LUT und somit der verwendeten Grenzwerte.

Besonders bevorzugt wird während des Ermittelns des potentiellen Fehlers eine Mehrzahl von Metriken zum Überwachen der Fahrzeugkomponente ermittelt und für jede der Mehrzahl von Metriken jeweils ein Probenwert und ein Satz kontextabhängiger Grenzwerte. Bevorzugt wird das Ermitteln des potentiellen Fehlers mittels jeder der Mehrzahl von Metriken durchgeführt. Durch das Verwenden mehrerer Metriken pro Fahrzeugkomponente ist eine mehrdimensionale Definition kontextabhängiger Fehlerzustände möglich, was die Anwendungsspezifizität der Fehlererkennung vorteilhaft weiter erhöht. Ferner kann durch die Verwendung mehrerer Metriken die statistische Relevanz der Fehlerermittlung erhöht werden.

In einem weiteren Schritt wird bevorzugt ein Diagnosewert als Quotient der Differenz von ermitteltem Probenwert und unterem Grenzwert und der Differenz von oberem Grenzwert und unterem Grenzwert ermittelt. Mit anderen Worten wird der Diagnosewert als Ergebnis der folgenden Formel ermittelt:

Probenwert unterer Grenzwert

Diaqnosewert - - - oberer Grenzwert unterer Grenzwert

Anders ausgedrückt wird der Diagnosewert durch eine Normierung des Probenwertes auf den Satz von Grenzwerten gebildet.

Durch das Ermitteln des Diagnosewerts gemäß der vorab beschriebenen bevorzugten Ausführungsform sind mit dem erfindungsgemäßen Verfahren vorteilhaft skalierte Diagnosewerte für alle Komponenten des Fahrzeugs ermittelbar. Der Diagnosewert ermöglicht somit vorteilhaft eine Vergleichbarkeit von Fahrzeugkomponenten, die mittels unterschiedlicher Metriken überwacht werden. Somit lässt sich unkompliziert ein Gesamtzustand des Fahrzeugs ermitteln. Das Ermitteln des Diagnosewerts hat ferner den Vorteil, dass ein solcher Diagnosewert zusätzlich einen präziseren Zustand der Fahrzeugkomponenten erkennen lässt. Muss beispielsweise eine Entscheidung zwischen zwei redundanten Fahrzeugkomponenten getroffen werden, ist der Diagnosewert von Vorteil, wenn er als Gleitkommazahl ermittelt wurde. Zwischen zwei Fahrzeugkomponenten mit den Diagnosewerten 0.9 und 0.6 wird die Entscheidung auf die zweite Fahrzeugkomponente fallen. Beide Diagnosewerte sind gültig, jedoch liegt der zweite näher am optimalen Diagnosewert von 0.5, der die optimale Funktionsfähigkeit definiert.

Ferner bevorzugt wird ein potentieller Fehler ermittelt, wenn der Probenwert nicht innerhalb der ermittelten Grenzwerte liegt und/oder wenn der Diagnosewert keinen Wert zwischen 0 und 1 aufweist.

Die vorab beschriebene bevorzugte Ausgestaltung ermöglicht vorteilhaft eine exaktere und anwendungsspezifischere Fehlerermittlung durch die Verwendung der kontextabhängigen Grenzwerte einer komponentenspezifischen Metrik. Dies führt vorteilhaft zu einer erhöhten Sicherheit des Fahrzeugs. Im Verfahren zur Fehlerermittlung durch Überprüfung einer Fahrzeugkomponente gemäß dem Stand der Technik wurde die Situation, in der sich das Fahrzeug zur Zeit der Überprüfung befindet, außer Acht gelassen. Es ist jedoch möglich, dass ein Verhalten einer Fahrzeugkomponente in einem bestimmten Kontext fehlerfrei oder sogar erwünscht ist, während dasselbe Verhalten in einem anderen Kontext gefährlich wäre. Stellt eine Steuereinheit des Fahrzeugs beispielsweise auf der Autobahn eine Geschwindigkeit von 130 km/h ein, ist dies ein vollkommen normales Verhalten. Geschieht dies jedoch in einer Fußgängerzone, ist von einem Fehler auszugehen. Gemäß der vorliegenden Erfindung wird diesem Umstand Rechnung getragen und eine verbesserte Fehlerermittlung von Fahrzeugkomponenten bereitgestellt und somit die Sicherheit des Fahrzeug erhöht, indem der aktuelle Kontext des Fahrzeugs mit einbezogen wird.

In einer bevorzugten Ausgestaltung des erfindungsgemäßen Verfahrens ist der Kontext in Abhängigkeit von einer Mehrzahl eine Umgebung und/oder eine Fahrsituation des Fahrzeugs charakterisierenden Parametern definiert. Eine Umgebung des Fahrzeugs wird bevorzugt von Parametern charakterisiert, die das Umfeld des Fahrzeugs betreffen, wie beispielsweise geographische Daten, Wetterdaten, Verkehrsdaten und rechtliche Vorgaben. Eine Fahrsituation wird bevorzugt von Parametern charakterisiert, die das Fahrzeug selbst betreffen, wie beispielsweise ein Zustand der Assistenzsysteme, ein SAE Level, eine Anzahl der Passagiere, eine Reichweite oder eine noch zu fahrende Strecke. Die Parameter werden bevorzugt mittels Sensoren des Fahrzeugs und/oder anhand von externen Inputs ermittelt. Das Ermitteln des Kontexts kann durch das Fahrzeug selbst und/oder durch einen externen Server erfolgen. Der Kontext besteht bevorzugt aus einer Mehrzahl von Subkontexten. Ein Subkontext beinhaltet bevorzugt ein einzelnes Merkmal der Umgebung und/oder Fahrsituation des Fahrzeugs, wie beispielsweise das Wetter oder den Straßentyp. Bevorzugt entspricht der Kontext einer durch das Fahrzeug ermittelten operational design domain, ODD. Eine ODD beinhaltet nach dem SAE J3016 Standard Bedingungen, unter denen ein bestimmtes Fahrautomatisierungssystem oder eine Funktion davon speziell für den Betrieb ausgelegt ist.

In einer ferner bevorzugten Ausgestaltung des erfindungsgemäßen Verfahrens wird die Relevanz unter Berücksichtigung einer im aktuellen Kontext zulässigen Ausfallrate der Fahrzeugkomponente und/oder einer Verfügbarkeit von im aktuellen Kontext heterogenen und/oder homogenen Fahrzeugkomponenten ermittelt. Bevorzugt wird die Relevanz als niedrig ermittelt, wenn im aktuellen Kontext eine hohe Ausfallrate der Fahrzeugkomponente zulässig ist. Ferner bevorzugt wird die Relevanz als niedrig berechnet, wenn zumindest eine im aktuellen Kontext heterogene oder homogene Fahrzeugkomponente verfügbar ist. Die verfügbare heterogene und/oder homogene Fahrzeugkomponente ist dabei bevorzugt fehlerfrei. Eine heterogene Fahrzeugkomponente kann bevorzugt im aktuellen Kontext dieselben Aufgaben und/oder Funktionen wie die Fahrzeugkomponente ausführen. Beispielsweise könnte ein LIDAR-Sensor zur Abstandsmessung während des Einparkens auch durch einen Ultraschallsensor ersetzt werden, da in diesem Kontext keine großen Messreichweiten erforderlich sind. Ferner bevorzugt wird die Relevanz unter Berücksichtigung einer Ereignisbaumanalyse ermittelt. Die Ereignisbaumanalyse ermittelt bevorzugt mögliche Folgen des potentiellen Fehlers der Fahrzeugkomponente. Die Relevanz wird bevorzugt als niedrig ermittelt, wenn die ermittelten Folgen als nicht sicherheitsrelevant eingestuft werden. Bevorzugt wird die wie vorab beschriebene Fehlerbehandlung immer dann durchgeführt, wenn die ermittelte Relevanz einen vorbestimmten Relevanzgrenzwert unterschreitet. Ebenfalls bevorzugt wird der wie vorab beschriebene Notbetriebsmodus immer dann eingeleitet, wenn die ermittelte Relevanz einen vorbestimmten Relevanzgrenzwert überschreitet.

Ein weiterer Aspekt der Erfindung betrifft ein Fahrzeug, insbesondere einen Personenkraftwagen mit Verbrennungs-, Elektro- oder Hybridmotor. Besonders bevorzugt ist das Fahrzeug ein zum automatisierten Fahren ausgebildetes Fahrzeug und beispielsweise für den Betrieb gemäß der SAE Level 4 oder 5 ausgebildet. Das Fahrzeug weist bevorzugt eine Fahrzeugkomponente auf. Ferner weist das Fahrzeug eine Steuereinheit auf, die dazu ausgebildet ist, das vorab beschriebene erfindungsgemäße Verfahren zur kontextabhängigen Verarbeitung eines potentiellen Fehlers der Fahrzeugkomponente durchzuführen.

Eine bevorzugte Ausgestaltung des erfindungsgemäßen Fahrzeugs weist eine Vielzahl von Fahrzeugkomponenten auf. Die Steuereinheit ist bevorzugt dazu ausgebildet, ein wie vorab beschriebenes Verfahren für jede der Vielzahl von Fahrzeugkomponenten durchzuführen. Bevorzugt führt die Steuereinheit das Verfahren jeweils unter Ermittlung eines Diagnosewerts durch, wie obenstehend beschrieben. Bevorzugt ist die Steuereinheit dazu ausgebildet, jeder der Vielzahl von Fahrzeugkomponenten einen im jeweiligen Verfahren ermittelten Diagnosewert zuzuordnen. Bevorzugt ist die Steuereinheit ferner dazu ausgebildet, einen Gesamtzustand des Fahrzeugs basierend auf den ermittelten Diagnosewerten zu bestimmen.

Ein weiterer Aspekt der Erfindung betrifft ein Computerprogramm, umfassend Befehle, die bei der Ausführung des Programms durch einen Computer, wie beispielsweise eine Steuereinheit eines Fahrzeugs, diesen veranlassen, das erfindungsgemäße Verfahren, wie vorab beschrieben, auszuführen. Ein weiterer Aspekt der Erfindung betrifft ein computerlesbares Speichermedium, umfassend Befehle, die bei der Ausführung durch einen Computer, wie beispielsweise eine Steuereinheit eines Fahrzeugs, diesen veranlassen, das erfindungsgemäße Verfahren, wie vorab beschrieben, auszuführen.

Die verschiedenen in dieser Anmeldung genannten Ausführungsformen der Erfindung sind, sofern im Einzelfall nicht anders ausgeführt, mit Vorteil miteinander kombinierbar.

Die Erfindung wird nachfolgend in Ausführungsbeispielen anhand der zugehörigen Zeichnungen erläutert. Es zeigen:

Figur 1 ein schematisches Ablaufdiagramm eines erfindungsgemäßen Verfahrens;

Figur 2 ein schematisches Ablaufdiagramm eines erfindungsgemäßen Verfahrens gemäß einer beispielhaften Ausführungsform;

Figur 3 ein schematisches Ablaufdiagramm einer heterogenen Verifikation eines erfindungsgemäßen Verfahrens gemäß einer beispielhaften Ausführungsform;

Figur 4 ein schematisches Ablaufdiagramm einer homogenen Verifikation eines erfindungsgemäßen Verfahrens gemäß einer beispielhaften Ausführungsform;

Figur 5 ein schematisches Ablaufdiagramm eines Ermittelns eines potentiellen Fehlers gemäß einer beispielhaften Ausführungsform eines erfindungsgemäßen Verfahrensschritts;

Figur 6a eine graphische Darstellung eines beispielhaft über einen Zeitraum ermittelten Probenwertes und statischen Grenzwerten;

Figur 6b eine graphische Darstellung eines beispielhaft über einen Zeitraum ermittelten Probenwertes und kontextabhängigen Grenzwerten; und

Figur 7 eine schematische Darstellung eines erfindungsgemäßen Kraftfahrzeugs gemäß einer Ausführungsform. Figur 1 zeigt ein schematisches Ablaufdiagramm eines erfindungsgemäßen Verfahrens zur Verarbeitung eines potentiellen Fehlers einer Fahrzeugkomponente. Der potentielle Fehler der Fahrzeugkomponente wird in dieser beispielhaften Ausführungsform durch das Fahrzeug selbst kontextabhängig ermittelt. Das kontextabhängige Ermitteln eines potentiellen Fehlers ist in Figur 5 gezeigt und wird nachfolgend näher erläutert.

In einem zwölften Verfahrensschritt S12 wird zunächst ein aktueller Kontext des Fahrzeugs ermittelt. Der Kontext definiert dabei insbesondere eine Umgebung und/oder Fahrsituation des Fahrzeugs. Ferner wird in dem Verfahrensschritt S12 das Vorliegen zumindest einer heterogenen Fahrzeugkomponente des Fahrzeugs ermittelt.

Wenn im Verfahrensschritt S12 keine heterogene Fahrzeugkomponente ermittelt wird, folgt das Verfahren dem elften Weg W6a und im sechsten Verfahrensschritt S6 wird eine kontextabhängige Relevanz der Fahrzeugkomponente ermittelt. Es wird insbesondere im Verfahrensschritt S6 ermittelt, wie relevant die Fahrzeugkomponente im aktuellen Kontext für den sicheren Betrieb des Fahrzeugs ist.

Wird die Relevanz im Verfahrensschritt S6 als niedrig ermittelt, unterschreitet sie insbesondere einen vorbestimmten Relevanzgrenzwert, folgt das Verfahren dem fünften Weg W3a. Im siebten Verfahrensschritt S7a wird dann der potentielle Fehler der Fahrzeugkomponente behandelt.

Das Behandeln beinhaltet beispielsweise einen Neustart der Fahrzeugkomponente, ein Kalibrieren der Fahrzeugkomponente, ein Zurücksetzen der Einstellungen der Fahrzeugkomponente oder ein Abschalten der Fahrzeugkomponente mit einem gleichzeitigen Übertragen der Aufgaben der Fahrzeugkomponente auf eine homogene Fahrzeugkomponente.

Wenn die Relevanz im Verfahrensschritt S6 als hoch ermittelt wird, also insbesondere einen vorbestimmten Relevanzgrenzwert unterschreitet, folgt das Verfahren dem sechsten Weg W3b. Dann wird im nächsten Verfahrensschritt S7b ein Notbetriebsmodus des Fahrzeugs eingeleitet. Der Notbetriebsmodus des Fahrzeugs bewirkt insbesondere, dass das Fahrzeug in einen sicheren Zustand überführt wird also beispielsweise nur noch eine reduzierte Anzahl von Notfunktionalitäten bereitgestellt wird, eine Notbremsung oder eine Notabschaltung durchgeführt wird.

Wenn im Verfahrensschritt S12 zumindest eine heterogene Fahrzeugkomponente ermittelt wird, folgt das Verfahren dem zwölften Weg W6b. Im dreizehnten Verfahrensschritt S13 wird dann eine heterogene Verifikation des potentiellen Fehlers der Fahrzeugkomponente gestartet, insbesondere eine heterogene Verifikation unter Berücksichtigung der zumindest einen heterogenen Fahrzeugkomponente, wie beispielhaft in Figur 3 dargestellt.

In einer bevorzugten Ausführungsform des erfindungsgemäßen Verfahrens, die beispielhaft in Figur 2 gezeigt ist, wird zunächst in einem fünften Verfahrensschritt S5 ein aktueller Kontext des Fahrzeugs ermittelt. Der Kontext definiert dabei insbesondere eine Umgebung und/oder Fahrsituation des Fahrzeugs. Ferner wird in dem Verfahrensschritt S5 das Vorliegen zumindest einer homogenen Fahrzeugkomponente des Fahrzeugs ermittelt.

Wenn im Verfahrensschritt S5 zumindest eine homogene Fahrzeugkomponente ermittelt wird, folgt das Verfahren dem vierten Weg W2b. Im achten Verfahrensschritt S8 wird dann eine homogene Verifikation des potentiellen Fehlers der Fahrzeugkomponente gestartet, insbesondere eine homogene Verifikation unter Berücksichtigung der zumindest einen homogenen Fahrzeugkomponente, wie beispielhaft in Figur 4 dargestellt.

Wenn im Verfahrensschritt S5 keine homogene Fahrzeugkomponente ermittelt wird, so folgt das Verfahren dem dritten Weg W2a. Im zwölften Verfahrensschritt S12 wird dann, wie vorab beschrieben, das Vorliegen zumindest einer heterogenen Fahrzeugkomponente ermittelt. Die weiteren Verfahrensschritte entsprechen den vorab für Figur 1 beschriebenen.

Die heterogene Verifikation gemäß einer beispielhaften Ausführungsform des erfindungsgemäßen Verfahrens ist in Figur 3 schematisch dargestellt. Ein vierzehnter Verfahrensschritt S14 beinhaltet ein Ermitteln, ob ein potentieller Fehler der zumindest einen heterogenen Komponente vorliegt. Wird im Verfahrensschritt S14 ermittelt, dass ein potentieller Fehler der zumindest einen heterogenen Fahrzeugkomponente vorliegt, insbesondere dass eine Mehrheit der zumindest einen heterogenen Fahrzeugkomponente einen potentiellen Fehler aufweist, folgt das Verfahren einem dreizehnten Weg W7a.

Daraufhin wird in einem fünfzehnten Verfahrensschritt S15 ein Proben- und/oder Diagnosewert der Fahrzeugkomponente mit einer Mehrzahl von Proben- und/oder Diagnosewerten der zumindest einen heterogenen Fahrzeugkomponente verglichen. Insbesondere wird ermittelt, ob sich der Proben- und/oder Diagnosewert der Fahrzeugkomponente in einem Streuungsbereich von Proben- und/oder Diagnosewerten der zumindest einen heterogenen Fahrzeugkomponente befindet. Der Streuungsbereich ist dabei der Bereich, in dem sich eine Mehrheit der Diagnosewerte der zumindest einen heterogenen Fahrzeugkomponente befindet. Wenn sich der Proben- und/oder Diagnosewert der Fahrzeugkomponente in einem Streuungsbereich von Proben- und/oder Diagnosewerten der zumindest einen heterogenen Fahrzeugkomponente befindet, folgt das Verfahren einem fünfzehnten Weg W8a. In einem elften Verfahrensschritt S11 wird dann der potentielle Fehler der Fahrzeugkomponente verworfen und mit dem Ermitteln eines weiteren potentiellen Fehlers der Fahrzeugkomponente das erfindungsgemäße Verfahren neu begonnen. Hierbei erfolgt eine Anpassung der kontextabhängigen Grenzwerte der Fehlerdetektion anhand des in Schritt S15 ermittelten Streuungsbereichs der heterogenen Fahrzeugkomponenten.

Wird im Verfahrensschritt S15 festgestellt, dass sich der Proben- und/oder Diagnosewert der Fahrzeugkomponente außerhalb des Streuungsbereichs der Proben- und/oder Diagnosewerte der zumindest einen heterogenen Fahrzeugkomponente befindet, folgt das Verfahren einem sechzehnten Weg W8b. In dem Verfahrensschritt S6 wird dann, wie vorstehend beschrieben, eine kontextabhängige Relevanz ermittelt. Basierend auf der ermittelten Relevanz, ebenfalls wie vorstehend beschrieben, folgt das Verfahren dann entweder dem fünften Weg W3a und im Verfahrensschritt S7a wird dann der potentielle Fehler der Fahrzeugkomponente behandelt oder es folgt dem sechsten Weg W3b und im Verfahrensschritt S7b wird ein Notbetriebsmodus des Fahrzeugs eingeleitet.

Wird im Verfahrensschritt S14 ermittelt, dass kein potentieller Fehler der zumindest einen heterogenen Fahrzeugkomponente vorliegt, folgt das Verfahren einem vierzehnten Weg W7b. Daraufhin wird in dem Verfahrensschritt S6, wie zuvor beschrieben, eine kontextabhängige Relevanz ermittelt und basierend auf der ermittelten Relevanz der potentielle Fehler der Fahrzeugkomponente entweder behandelt oder ein Notbetriebsmodus eingeleitet. In diesem Fall beinhaltet das Behandeln bevorzugt ein Übertragen der Aufgaben und/oder Funktionen der Fahrzeugkomponente auf die zumindest eine heterogene Fahrzeugkomponente, die im Verfahrensschritt S14 als fehlerfrei ermittelt wurde.

Die homogene Verifikation gemäß einer beispielhaften Ausführungsform des erfindungsgemäßen Verfahrens ist in Figur 4 schematisch dargestellt. Ein neunter Verfahrensschritt S9 beinhaltet ein Ermitteln, ob ein potentieller Fehler der zumindest einen homogenen Komponente vorliegt. Wird im Verfahrensschritt S9 ermittelt, dass kein potentieller Fehler der zumindest einen homogenen Fahrzeugkomponente vorliegt, folgt das Verfahren einem achten Weg W4b. Daraufhin wird in dem Verfahrensschritt S7b, wie zuvor beschrieben, der potentielle Fehler der Fahrzeugkomponente behandelt. In diesem Fall beinhaltet das Behandeln bevorzugt ein Übertragen der Aufgaben und/oder Funktionen der Fahrzeugkomponente auf die zumindest eine homogene Fahrzeugkomponente, die im Verfahrensschritt S9 als fehlerfrei ermittelt wurde.

Wird im Verfahrensschritt S9 ermittelt, dass ein potentieller Fehler der zumindest einen homogenen Fahrzeugkomponente vorliegt, insbesondere dass eine Mehrheit der zumindest einen homogenen Fahrzeugkomponente einen potentiellen Fehler aufweist, folgt das Verfahren einem siebten Weg W4a.

Daraufhin wird in einem zehnten Verfahrensschritt S10 ein Proben- und/oder Diagnosewert der Fahrzeugkomponente mit einer Mehrzahl von Proben- und/oder Diagnosewerten der zumindest einen homogenen Fahrzeugkomponente verglichen. Insbesondere wird ermittelt, ob sich der Proben- und/oder Diagnosewert der Fahrzeugkomponente in einem Streuungsbereich von Proben- und/oder Diagnosewerten der zumindest einen homogenen Fahrzeugkomponente befindet. Der Streuungsbereich ist dabei der Bereich, in dem sich eine Mehrheit der Diagnosewerte der zumindest einen homogenen Fahrzeugkomponente befindet.

Wenn sich der Proben- und/oder Diagnosewert der Fahrzeugkomponente in einem Streuungsbereich von Proben- und/oder Diagnosewerten der zumindest einen homogenen Fahrzeugkomponente befindet, folgt das Verfahren einem neunten Weg W5a. In einem elften Verfahrensschritt S11 wird dann der potentielle Fehler der Fahrzeugkomponente verworfen und mit dem Ermitteln eines weiteren potentiellen Fehlers der Fahrzeugkomponente das erfindungsgemäße Verfahren neu begonnen. Hierbei erfolgt eine Anpassung der kontextabhängigen Grenzwerte der Fehlerdetektion anhand des in Schritt S10 ermittelten Streuungsbereichs der homogenen Fahrzeugkomponenten.

In einer alternativ bevorzugten Ausgestaltung führt der neunte Weg W5a zum zwölften Verfahrensschritt S12 und in diesem Schritt wird, wie oben beschrieben, das Vorliegen von zumindest einer heterogenen Fahrzeugkomponente ermittelt. Das Verfahren wird dann ausgehend vom Verfahrensschritt S12, wie vorab beschrieben, fortgesetzt.

Wrd im Verfahrensschritt S10 festgestellt, dass sich der Proben- und/oder Diagnosewert der Fahrzeugkomponente außerhalb des Streuungsbereichs der Proben- und/oder Diagnosewerte der zumindest einen homogenen Fahrzeugkomponente befindet, folgt das Verfahren einem zehnten Weg W5b. In dem Verfahrensschritt S6 wird dann, wie vorstehend beschrieben, eine kontextabhängige Relevanz ermittelt. Basierend auf der ermittelten Relevanz, ebenfalls wie vorstehend beschrieben, folgt das Verfahren dann entweder dem fünften Weg W3a und im Verfahrensschritt S7a wird dann der potentielle Fehler der Fahrzeugkomponente behandelt oder es folgt dem sechsten Weg W3b und im Verfahrensschritt S7b wird ein Notbetriebsmodus des Fahrzeugs eingeleitet.

Figur 5 zeigt ein schematisches Ablaufdiagramm eines Ermittelns eines potentiellen Fehlers gemäß einer beispielhaften Ausführungsform des erfindungsgemäßen Verfahrens. Im ersten Verfahrensschritt S1 werden eine komponentenspezifische Metrik und ein aktueller Kontext des Fahrzeugs ermittelt. Im ersten Teil des zweiten Verfahrensschritts S2a wird ein Probenwert innerhalb der ermittelten Metrik ermittelt. Im zweiten Teil des Verfahrensschritts S2b wird dann ein Satz von Grenzwerten abhängig von dem im ersten Verfahrensschritt S1 ermittelten Kontext ermittelt.

Es folgt der dritte Verfahrensschritt S3, in dem ein Diagnosewert ermittelt wird. Der Diagnosewert wird hier als Quotient der Differenz von ermitteltem Probenwert und unterem Grenzwert und der Differenz von oberem Grenzwert und unterem Grenzwert ermittelt. Der Diagnosewert wird also als Ergebnis der folgenden Formel ermittelt:

Probenwert unterer Grenzwert

Diagnosewert = — - oberer Grenzwert unterer Grenzwert

Wurde der ermittelte Diagnosewert im Verfahrensschritt S3 als nicht zwischen 0 und 1 liegend ermittelt, folgt das Verfahren dem ersten Weg W1a. Im vierten Verfahrensschritt S4 wird dann eine kontextabhängige Verarbeitung des ermittelten Fehlers, wie vorab im Detail erläutert, gestartet. Wird der Diagnosewert als gültig klassifiziert, folgt das Verfahren dem zweiten Weg W1b. In diesem Fall wurde kein Fehler ermittelt. Das Verfahren beginnt dann im ersten Teil des zweiten Verfahrensschritts S2a erneut mit dem Ermitteln des Probenwerts.

Figur 6a und Figur 6b veranschaulichen jeweils durch eine graphische Darstellung beispielhaft, wie ein Probenwert P und Grenzwerte G1, G2, GT, G2‘ über einen Zeitraum ermittelt und verglichen werden. Dabei werden in Figur 6a statische Grenzwerte GT, G2‘ und in Figur 6b kontextabhängige Grenzwerte G1, G2 dargestellt.

Der Probenwert P wird innerhalb einer ermittelten Metrik ermittelt. Die Metrik wird im erfindungsgemäßen Verfahren spezifisch zu der jeweils zu überwachenden Fahrzeugkomponente ermittelt. Sensoren haben beispielsweise in der Regel festgelegte Arbeitsbereiche. Dieser Arbeitsbereich kann verwendet werden, um anzuzeigen, ob die vom Sensor gelieferten Daten korrekt sind. Switches sind mit Nachrichtenpuffern ausgestattet, um mehrere Nachrichten zu verarbeiten. Die maximale Anzahl der Nachrichten im Puffer ist bekannt. Daher kann durch die Überwachung der Anzahl der Nachrichten im Puffer eine mögliche Überlastung des Switches erkannt werden. Anwendungen, die für den Betrieb des Fahrzeugs erforderlich sind, führen Aktionen auf einem Satz von Eingabeparametern aus und liefern eine Ausgabe, wobei diese Ausgabe als Metrik zur Überwachung der jeweiligen Anwendung verwendet werden kann. Auch ist es möglich, dass eine Fahrzeugkomponente mit einer Mehrzahl von Metriken überwacht werden kann. Beispielsweise kann bei einer Softwarekomponente sowohl die Auslastung als auch der Durchsatz als Metrik verwendet werden. In einem solchen Fall wird das erfindungsgemäße Verfahren bevorzugt mit der Mehrzahl von Metriken durchgeführt.

In dem in Figur 6a und 6b gezeigten Beispiel soll eine Steuereinheit eines Fahrzeugs überwacht werden. Die Ausgabe der Steuereinheit beinhaltet beispielsweise Anweisungen, die die Längs und Querbewegung des Fahrzeugs steuern. Hier wurde deshalb beispielhaft eine Ausgabe für eine einzustellende Geschwindigkeit des Fahrzeugs als Metrik ermittelt.

Der innerhalb der Metrik ermittelte Probenwert P wird als durchgezogene Linie dargestellt. Er nimmt zuerst eine hohe Geschwindigkeit an, die dann mit der Zeit abfällt bis auf einen kurzen starken Anstieg. Der Anstieg des ermittelten Probenwertes P ist mit einem Blitz gekennzeichnet, da hierbei von einem Fehler F der Steuereinheit auszugehen ist.

In Figur 6a ist dargestellt, wie der Probenwert P mit einem Satz von statischen Grenzwerten G1‘, G2‘ verglichen wird, die als gestrichelte Linien dargestellt sind. Der untere Grenzwert G2‘ hat den Wert 0 km/h und der obere Grenzwert G1‘ den Wert der Höchstgeschwindigkeit des Fahrzeugs. Der Probenwert P liegt durchgehend zwischen den statischen Grenzwerten G1‘, G2‘, was dazu führt, dass der Fehler F nicht ermittelt wird.

In Figur 6b wird der Probenwert P mit einem Satz von kontextabhängigen Grenzwerten G1 , G2 verglichen. Der untere Grenzwert G2 hat wiederum den Wert 0 km/h. Der obere Grenzwert G1 nimmt abhängig vom jeweiligen Kontext K1, K2, K3 unterschiedliche Werte an. Im ersten Kontext K1 befindet sich das Fahrzeug auf einer Autobahn ohne vorgeschriebene Höchstgeschwindigkeit. Der obere Grenzwert G1 nimmt also wieder die Höchstgeschwindigkeit des Fahrzeugs an. Im zweiten Kontext K2 befindet sich das Fahrzeug in einer Stadt, weshalb der obere Grenzwert G1 mit einer Geschwindigkeit von 50 km/h ermittelt wird. Im dritten Kontext K3 befindet sich das Fahrzeug auf einem Parkplatz, der obere Grenzwert G1 nimmt deshalb die Schrittgeschwindigkeit an. Nun liegt der Probenwert P im dritten Kontext K3 außerhalb der Grenzwerte G1, G2. Der Fehler F wird ermittelt und kann behandelt werden.

Das in Figur 6a und 6b gezeigte Beispiel veranschaulicht den Vorteil der kontextabhängigen Fehlerermittlung des erfindungsgemäßen Verfahrens. Das Verfahren ermöglicht eine exaktere Ermittlung von Fehlern F von Fahrzeugkomponenten und führt deshalb vorteilhaft zu einer erhöhten Sicherheit des Fahrzeugs. Um eine genauere Fehlerermittlung zu ermöglichen, besteht ein Kontext K1, K2, K3 dabei insbesondere aus einer Mehrzahl von Subkontexten. Würde der Kontext K1 beispielsweise zusätzlich zu dem Subkontext „Autobahn“ auch den Subkontext „Regen“ oder „Stau“ beinhalten, so würde die Geschwindigkeit des oberen Grenzwerts G1 niedriger ermittelt.

Figur 7 zeigt eine schematische Darstellung, insbesondere ein Blockdiagramm eines beispielhaften Fahrzeugs 1, insbesondere eines zweispurigen Kraftfahrzeugs mit Verbrennungs-, Elektro- oder Hybridmotor. Das Fahrzeug 1 ist insbesondere dazu eingerichtet, autonomes Fahren der SAE Level 4 oder 5 durchzuführen. Das Fahrzeug 1 umfasst eine Vielzahl von Fahrzeugkomponenten.

Einen Teil der Fahrzeugkomponenten machen eine Vielzahl erster Sensoren aus, insbesondere ein erster Sensor 11, ein zweiter Sensor 12 und ein dritter Sensor 13. Die ersten Sensoren 11, 12, 13 sind eingerichtet zum Erfassen von Umgebungsdaten des Fahrzeugs 1 und umfassen beispielsweise eine Kamera zum Erfassen eines Bildes einer sich vor dem Fahrzeug 1 befindlichen Fahrbahn, Verkehrsschildern und/oder Fahrbahnbegrenzungen, Abstandssensoren, wie beispielsweise Ultraschallsensoren, zum Erfassen von Abständen zu das Fahrzeug 1 umgebenden Objekten, Thermometer zum Erfassen einer Umgebungstemperatur des Fahrzeugs und/oder einen Regensensor zum Erfassen von Wetterdaten. Die ersten Sensoren 11, 12, 13 übertragen die von ihnen erfassten Umgebungssignale an eine Steuereinheit 40 des Fahrzeugs 1.

Das Fahrzeug 1 weist als weitere Fahrzeugkomponenten ferner eine Mehrzahl zweiter Sensoren, insbesondere einen vierten Sensor 21, einen fünften Sensor 22 und einen sechsten Sensor 23 auf. Bei den zweiten Sensoren 21 , 22, 23 handelt es sich um Sensoren zum Ermitteln von das Fahrzeug 1 selbst betreffenden Fahrzeugdaten, insbesondere aktuelle Lage- und Bewegungsinformationen des Fahrzeugs 1. Bei den zweiten Sensoren handelt es sich folglich beispielsweise um Geschwindigkeitssensoren, Beschleunigungssensoren, Neigungssensoren oder dergleichen. Die zweiten Sensoren 21, 22, 23 übermitteln die von ihnen erfassten Zustandssignale an die Steuereinheit 40 des Fahrzeugs 1.

Eine weitere Fahrzeugkomponente ist ferner ein Kommunikationsmodul 30 mit einem Speicher 31 und einem oder mehreren Transpondern beziehungsweise Sendeempfängern 32. Bei dem Transponder 32 handelt es sich um einen Funk-, WLAN-, GPS- oder Bluetooth- Sendeempfänger oder dergleichen, insbesondere um einen zur Kommunikation in einem Kommunikationsnetzwerk eingerichteten Transponder. Der Transponder kommuniziert mit dem internen Speicher 31 des Kommunikationsmoduls 30, beispielsweise über einen geeigneten Datenbus. Mittels des Transponders 32 kann beispielsweise die aktuelle Position des Fahrzeugs 1 durch Kommunikation mit einem GPS-Satelliten 51 ermittelt und diese im internen Speicher 31 gespeichert werden. Darüber hinaus ist das Kommunikationsmodul 30 dafür eingerichtet, über eine V2V-Kommunikation mit einem anderen Fahrzeug 52 zu kommunizieren, bevorzugt über ein Kommunikationsnetzwerk 53. Ferner kann das Kommunikationsmodul 30 auch zur Kommunikation mit einem Server des Kommunikationsnetzwerks 53 eingerichtet sein. Das Kommunikationsmodul 30 kommuniziert auch mit der Steuereinheit 40. Insbesondere übermittelt es dieser empfangene Daten und/oder empfängt von dieser zu sendende Daten.

Bei dem Kommunikationsnetzwerk 53 handelt es sich bevorzugt um ein Netzwerk gemäß 3GPP Standard, beispielsweise um ein LTE, LTE-A (4G) oder 5G Kommunikationsnetzwerk. Das Kommunikationsnetzwerk kann ferner für die folgenden Operationen beziehungsweise gemäß der folgenden Standards ausgelegt sein: High Speed Packet Access (HSPA), a Universal Mobile Telecommunication System (UMTS), UMTS Terrestrial Radio Access Network (UTRAN), evolved-UTRAN (e-UTRAN), Global System for Mobile communication (GSM), Enhanced Data rates for GSM Evolution (EDGE), GSM/EDGE Radio Access Network (GERAN). Alternativ oder zusätzlich kann das Kommunikationsnetzwerk auch gemäß einem der folgenden Standards ausgebildet sein: Worldwide Inter-operability for Microwave Access (WIMAX) network IEEE 802.16, Wireless Local Area Network (WLAN) IEEE 802.11. Ebenfalls bevorzugt verwendet das Kommunikationsnetzwerk eine der folgenden Kodierungsverfahren: Orthogonal Frequency Division Multiple Access (OFDMA), Time Division Multiple Access (TDMA), Code Division Multiple Access (CDMA), a Wideband-CDMA (WCDMA), Frequency Division Multiple Access (FDMA) oder Spatial Division Multiple Access (SDMA) etc.

Das Fahrzeug 1 weist ferner eine erfindungsgemäße Steuereinheit 40 auf, welche zum vollständig automatisierten Fährbetrieb, insbesondere zur Längs- und Guerführung, des Fahrzeugs 1 eingerichtet ist. Hierzu verfügt die Steuereinheit 40 über einen internen Speicher 41 und eine CPU 42, welche miteinander kommunizieren, beispielsweise über einen geeigneten Datenbus. Darüber hinaus steht die Steuereinheit 40 in Kommunikationsverbindung mit zumindest den ersten Sensoren 11, 12, 13, den zweiten Sensoren 21, 22, 23 und dem Kommunikationsmodul 30, beispielsweise über eine oder mehrere jeweilige CAN- Verbindungen, eine oder mehrere jeweilige SPI-Verbindungen oder andere geeignete Datenverbindungen. Die Steuereinheit 40 ist insbesondere ferner dazu eingerichtet, das vorab im Detail erläuterte erfindungsgemäße Verfahren für jede der Vielzahl von Fahrzeugkomponenten durchzuführen.

Bezugszeichenliste

I Fahrzeug

I I erster Sensor

12 zweiter Sensor

13 dritter Sensor

21 vierter Sensor

22 fünfter Sensor

23 sechster Sensor

30 Kommunikationseinheit

31 Speicher

32 Transponder

40 Steuereinheit

41 interner Speicher

42 CPU

51 Satellit

52 weiteres Fahrzeug

53 Netzwerk

S1 erster Verfahrensschritt

S2a erster Teil des Verfahrensschritts

S2b zweiter Teil des Verfahrensschritts

53 dritter Verfahrensschritt

54 vierter Verfahrensschritt

55 fünfter Verfahrensschritt

56 sechster Verfahrensschritt

S7a siebter Verfahrensschritt

S7b nächster Verfahrensschritt

58 achter Verfahrensschritt

59 neunter Verfahrensschritt

510 zehnter Verfahrensschritt

511 elfter Verfahrensschritt

512 zwölfter Verfahrensschritt 513 dreizehnter Verfahrensschritt

514 vierzehnter Verfahrensschritt

515 fünfzehnter Verfahrensschritt K1 erster Kontext

K2 zweiter Kontext K3 dritter Kontext W1a erster Weg W1 b zweiter Weg W2a dritter Weg W2b vierter Weg W3a fünfter Weg W3b sechster Weg W4a siebter Weg W4b achter Weg W5a neunter Weg W5b zehnter Weg W6a elfter Weg W6b zwölfter Weg W7a dreizehnter Weg W7b vierzehnter Weg W8a fünfzehnter Weg W8b sechzehnter Weg F Fehler P Probenwert

G1 oberer kontextabhängiger Grenzwert G1 ‘ oberer statischer Grenzwert G2 unterer kontextabhängiger Grenzwert G2‘ unterer statischer Grenzwert