Die Erfindung betrifft ein Verfahren zur Gierratenregelung bei dem eine Gierratenregelungsfunktion zur Stabilisierung eines Fahrzeugs radindividuelle Bremseingriffe basierend auf einer ersten Referenzgierrate durchführt. Eine Gierratenregelungsfunktion oder Active Yaw Control (AYC) wird auch als ESC oder elektronisches Stabilitätsprogramm bezeichnet beziehungsweise ist Teil einer ebensolchen Funktionseinheit und führt bei Gierratenabweichungen gegenüber einer Referenzgierrate radindividuelle Bremseingriffe durch.

Für Systeme, die unabhängig von einem Fahrerwunsch in die Steuerung des Fahrzeugs, das heißt in den Antrieb, die Lenkung und/oder die Bremsen, eingreifen, fordert die ISO 26262, dass im Hinblick auf die funktionale Sicherheit abhängig von der Risikobewertung während der Entwicklung bestimmte Maßnahmen ergriffen werden, um das Risiko zu begrenzen. Entsprechend des potentiellen Risikos erfolgt eine Einstufung in die Klassen QM oder ASIL A bis ASIL D, wobei die Schwere der Auswirkung (severity - S), die Häufigkeit der Fahrsituation (exposure - E) und die Beherrschbarkeit der Fehlfunktion durch den Fahrer (controllability - C) abgeschätzt werden.

Diese Systematik ergibt für die Gierratenregelung im Nutzfall aufgrund der geringen Auftretenswahrscheinlichkeit ein ASIL B. Die Vermeidung einer Destabilisierung durch einen fehlerhaften Eingriff im Nicht-Nutzfall wird hingegen mit ASIL D bewertet. Um nicht die gesamte Funktion nach ASIL D auslegen zu müssen, wird eine Architektur gewählt, in der der Gierratenregelungsfunktion eine Deaktivierungskomponente (FunctionDisabling, FD) vorgelagert ist, die die eigentliche Funktion nur in bestimmten Nutzfällen, sogenannten „Use Cases" freischaltet, sowie eine Sicherheitsbarriere („Safety Barrier“) nachgelagert wird, welche Anforderungen an den Aktuator nur durchschaltet, beziehungsweise nur voll durchschaltet, wenn eine Freischaltung durch die Deaktivierungskomponente im Nutzfall erfolgt ist. Andernfalls erfolgt eine Limitierung der Anforderung bis hin zu gar keiner Aktuierung. Da eine zu strenge Nutzfall-Erkennung dazu führen kann, dass Eingriffe zu spät oder zu schwach erfolgen, wurden für die bisherige implementierte Nutzfall-Erkennung alle Situationen bis auf die ungebremste stabile Geradeausfahrt als Use-Cases definiert. Damit wurde eine unerwünschte Beschneidung von Gierratenregelungseingriffen vermieden. Da die Häufigkeit der Freischaltung jedoch sehr hoch ist, gelten für die bisherige Gierratenregelungsfunktion weiter die Anforderungen nach ASIL D. Insgesamt ist der Entwicklungsaufwand für ASIL D-Komponenten deutlich größer als für ASIL B-Komponenten. Eine Maßnahme dabei ist, dass die Funktion in einer Safety Task laufen muss, um eine geforderte „freedrom from interference“ von Nicht-ASIL-D auf ASIL D-Komponenten sicherzustellen.

Aufgabe der Erfindung ist es daher ein Verfahren anzugeben, mit dem eine Gierratenregelungsfunktion freigegeben werden kann, welches die Vorgaben für ASIL B erfüllt.

Die Aufgabe wird gelöst durch ein erfindungsgemäßes Verfahren zur Gierratenregelung, wobei eine eigentliche Gierratenregelungsfunktion zur Stabilisierung eines Fahrzeugs radindividuelle Bremseingriffe basierend auf einer ersten Referenzgierrate durchführt. Diese Referenzgierrate wird typischerweise aus einem Fahrzeugmodell und aktuellen Fahrparametern berechnet.

Erfindungsgemäß ist nun eine separate Deaktivierungsfunktion vorgesehen, die die Gierratenregelungsfunktion freischaltet, sobald zumindest eine Aktivierungsvoraussetzung erfüllt ist. Die Trennung der Deaktivierungsfunktion von der Gierratenregelungsfunktion kann beispielsweise durch die Umschaltung zwischen Safety-Task mit eigenem Speicher und normaler Task erfolgen. Dadurch wird sichergestellt, dass Speicherinhalte der Safety-Task nicht ungewollt durch Funktionen, die in der normalen Task laufen, geändert werden können.

Als Aktivierungsvoraussetzung wird dabei zumindest überprüft, ob eine Längsverzögerung, insbesondere um eine Sensortoleranz größer ist als ein Längsverzögerungsgrenzwert, eine Querbeschleunigung insbesondere um eine Sensortoleranz größer ist als ein Querbeschleunigungsgrenzwert und eine Abweichung zwischen einer zweiten Referenzgierrate und einer gemessenen Gierrate insbesondere um eine Sensortoleranz größer ist als ein Gierratenabweichungsgrenzwert. Als zweite Referenzgierrate kann insbesondere eine von der ersten Referenzgierrate verschiedene Referenzgierrate verwendet werden. Die zweite Referenzgierrate kann beispielsweise aus einem von der ersten Referenzgierrate verschiedenen Fahrzeugmodell berechnet werden. Beispielsweise kann für die Deaktivierungsfunktion ein einfaches stationäres Ackermann-Modell verwendet werden, für das mit geringem Aufwand ein ASIL D zu erreichen ist. Für die Gierratenregelungsfunktion kann dann ein komplexeres Modell verwendet werden, für das aufgrund seiner Komplexität und zusätzlichen Eingangssignale nur ein ASIL B erreicht werden kann.

In einer bevorzugten Ausführungsform wird die zweite Referenzgierrate aus einem gemessenen Lenkwinkel und/oder einer gemessenen Querbeschleunigung des Fahrzeugs berechnet. Zur Berechnung der Referenzgierrate aus dem Lenkwinkel kann eine Formel aus dem Einspurmodell verwendet werden: mit der Gierrate ', der Fahrzeuggeschwindigkeit v, dem Lenkwinkel <5, dem Radstand I und dem Eigenlenkgradienten. Der Eigenlenkgradient ergibt sich aus den unterschiedlichen Schräglaufsteifigkeiten von Vorder- und Hinterachse sowie aus der Schwerpunktslage und der Fahrzeugmasse. Er zeigt an, um wie weit das Lenkrad bei zunehmender Geschwindigkeit (und auch Querbeschleunigung) mehr eingeschlagen werden muss, um den gleichen Kurvenradius beizubehalten und die unterschiedlichen Schräglaufwinkel von Vorder- und Hinterachse auszugleichen.

Weicht die Ist-Gierrate von der aus dem Lenkwinkel berechneten Referenzgierrate um mehr als ein zulässiges Maß, den Gierratenabweichungsgrenzwert, ab, so kann auf eine instabile Fahrsituation, gleichbedeutend mit einem „Use Case“, geschlossen werden. Die Deaktivierungsfunktion schaltet entsprechend die Gierratenregelungsfunktion frei.

Es kann vorkommen, dass der Fahrer mit dem Lenkwinkel eine Gierrate vorgibt, die auf dem vorhandenen Fahrbahnreibwert nicht stabil erreicht werden kann. In diesem Fall stimmt die Ist-Gierrate zwar mit der Lenkwinkel-Soll-Vorgabe überein, dennoch dreht das Fahrzeug langsam ein und baut einen Schwimmwinkel auf. Um einen solchen Fall als „UseCase“ erkennen zu können, bietet es sich an, entweder die Referenzgierrate über eine Reibwertinformation zu begrenzen und/oder anhand der aktuellen Querbeschleunigung eine zweite Referenzgierrate zu berechnen. Auch hier gilt, dass aus der Abweichung zwischen der Ist-Gierrate und der aus der Querbeschleunigung berechneten Referenzgierrate auf eine instabile Fahrsituation geschlossen werden kann. Der Zusammenhang zwischen der Gierrate und der Querbeschleunigung bei stationärer Kreisfahrt ist gegeben: mit der Querbeschleunigung a _y .

Sobald mindestens einer der Gierratenvergleiche eine nennenswerte Abweichung anzeigt, kann auf eine instabile Fahrsituation und somit auf einen „Use Case“ geschlossen werden.

Eine alleinige Freischaltung aufgrund einer erkannten instabilen Fahrsituation hätte den Nachteil, dass zuerst eine tatsächliche Gierratenabweichung vorliegen müsste, ehe eine Freischaltung des unbegrenzten Gierrateneingriffs erfolgt. Durch das erfindungsgemäße Verfahren wird eine frühzeitige Freischaltung eines vorsteuernden Eingriffs, welcher eine Instabilität bereits im Ansatz verhindert, ermöglicht. Die Auswertung von Häufigkeitsverteilungen von Fahrprofilen zeigt, dass bestimmte Situationen wie z.B. die Fahrt mit sehr hoher Querbeschleunigung oder das starke Bremsen oder Verzögern nur extrem selten auftreten. Für solche seltenen Situationen erfolgt bei der Risikoeinschätzung bezüglich der Häufigkeit eine Einstufung in ein Exposure von E2 oder E1 . Somit reicht das normale ASIL Level B der eigentlichen Gierratenregelungsfunktion aus und es ist keine zusätzliche sichere Erkennung eines instabilen Fahrzustands mehr notwendig. So genügt es, diese seltene Fahrsituation entsprechend sicher zu erkennen. Eine sichere Erkennung ist gewährleistet, wenn der Sensorwert abzüglich der Sensortoleranz die entsprechende Schwelle überschreitet.

Durch die Freischaltung der Gierratenregelungsfunktion sowohl über die Erkennung von Instabilitäten als auch über die Erkennung bestimmter seltener Fahrsituationen wird erreicht, dass in vielen Fällen die Freischaltung im Nutzfall ohne jede Verzögerung erfolgt, insbesondere auf Hochreibwert: Nutzfälle für die Gierratenregelungsfunktion ergeben sich in der Regel nur, wenn das Kraftschlusspotential der Fahrbahn bereits zu einem großen Teil ausgeschöpft ist. Auf Hochreibwert geht diese Kraftschlussausnutzung einher mit einer großen Querbeschleunigung und/oder Fahrzeugverzögerung, also einer Situation, die mit der Häufigkeit E2 oder E1 bewertet wird und für die die Gierratenregelungsfunktion über die genannten Bedingungen generell freigeschaltet wird. Da in diesen Situationen nicht auf eine Gierratenabweichung gewartet werden muss, kann der Gierratenregeleingriff frühzeitig und mit voller Stärke erfolgen.

Auf Niedrigreibwert kann über die Gierratenabweichung eine tatsächliche Instabilität erkannt werden, um die instabile Fahrt auf Niedrigreibwert von der stabilen Fahrt auf Hochreibwert bei vergleichbarem Querbeschleunigungsniveau unterscheiden zu können. Mit den genannten Mechanismen erfolgt bei normalen Fahrten auf Hochreibwert eine Freischaltung der Gierratenregelungsfunktion während weniger als 1 % der Zeit und weist damit eine Häufigkeit von nur noch E2 auf. Da die Situationserkennung voll in ASIL D implementiert ist, findet keine Dekomposition in eine B(D) Use-Case-Erkennung und einen B(D)-Regler statt. Das Sicherheitsziel, fehlerinduzierte Destabilisierung des Fahrzeugs zu vermeiden, wurde mit den Werten [S3;E4;C3] für Severity Class, Exposure Class und Controllability Class definiert. Die Begrenzung der Freischaltung der Gierratenregelungsfunktion auf Fahrsituationen mit einer Auftretenswahrscheinlichkeit kleiner 1 % reduziert nun die Exposure von E4 auf E2. Nach ISO 26262-3:201 .8(E) Tabelle 4 reduziert sich damit das ASIL auf B. Dies bringt mehrere Vorteile: Der Regler muss nicht in einer Safety Task laufen und für den Regleranteil müssen nur die B-Metriken auf Software-Ebene erfüllt werden. Außerdem können die Deaktivierungsfunktion (FunctionDisable) und der Regler selbst basierend auf den gleichen Signalen angesteuert werden, da keine Unabhängigkeit bestehen muss.

In einer bevorzugten Ausführungsform sind die Grenzwerte der Aktivierungsvoraussetzungen derart gewählt, dass diese zu weniger als 1 % der Betriebszeit erfüllt sind. Damit genügt eine Auslegung nach ASIL B.

In einer bevorzugten Ausführungsform sperrt die Deaktivierungsfunktion die Gierratenregelungsfunktion vollständig, wenn keine Aktivierungsvoraussetzung erfüllt ist, das heißt, die Gierratenregelungsfunktion darf keinen Aktuator ansteuern und entsprechend keinen Eingriff in die Steuerung des Kraftfahrzeugs vornehmen. Alternativ sperrt die Deaktivierungsfunktion die Gierratenregelungsfunktion nur teilweise. Die Steuerungseingriffe der Gierratenregelungsfunktion können dann vermindert an den jeweiligen Aktuator gesendet werden, so dass nur schwache Eingriffe erfolgen, welche die Sicherheit des Fahrzeugs bei Fehleingriffen nicht gefährden. Außerdem ist es möglich die Sperrung für verschiedene Aktuatoren unterschiedlich zu gestalten. Beispielsweise kann ein Bremseingriff vermindert umgesetzt werden und ein Lenkeingriff vollständig gesperrt werden, wenn keine Aktivierungsvoraussetzung erfüllt ist.

In einer bevorzugten Ausführungsform ist die Deaktivierungsfunktion der Gierratenregelungsfunktion vorgelagert und/oder nachgelagert. Eine vorgelagerte Deaktivierungsfunktion sendet ein Signal an die Gierratenregelungsfunktion und teilt dieser mit, ob sie freigeschaltet oder deaktiviert ist. Die Gierratenregelungsfunktion kann dann entsprechend einen Eingriff durchführen oder nicht. Um auch bei Fehlern der Gierratenregelungsfunktion, bei der diese trotz einer eigentlichen Deaktivierung falsche Eingriffe ausführt, ein sicheres Konzept aufzuweisen, kann die Deaktivierungsfunktion auch nachgelagert werden. Das bedeutet, die Gierratenregelungsfunktion hat keinen direkten Kommunikationspfad an den eigentlichen Aktuator, sondern kommuniziert über eine Sicherheitsbarriere. Diese Sicherheitsbarriere kann im freigeschalteten Zustand einen gesendeten Befehl der Gierratenregelungsfunktion an den Aktuator weiterleiten und im nicht freigeschalteten Zustand den Befehl nicht weiterleiten oder einen verminderten Eingriff befehlen.

In einer bevorzugten Ausführungsform ist der Längsverzögerungsgrenzwert größer als 2,5 m/s ² bevorzugt größer als 3 m/s ² . Entsprechend wird erst bei stärkeren Verzögerungen von einer Situation ausgegangen, in der gegebenenfalls eine Gierratenregelungsfunktion benötigt wird. Somit wird die Freischaltungszeit wirkungsvoll reduziert.

In einer bevorzugten Ausführungsform ist der Längsverzögerungsgrenzwert geschwindigkeitsabhängig und fällt insbesondere mit höheren Fahrzeuggeschwindigkeiten. So kann beispielsweise unterhalb von 100km/h ein Längsverzögerungsgrenzwert von 4 m/s ² gewählt werden und oberhalb von 100 km/h ein Längsverzögerungsgrenzwert von 3 m/s ² .

In einer bevorzugten Ausführungsform wird die Längsverzögerung mittels eines Beschleunigungssensors, aus der Ableitung der Fahrzeuggeschwindigkeit und/oder aus Daten des Bremssystems bestimmt. Es ist möglich Längsverzögerungswerte aus mehreren Quellen einzeln mit dem Längsverzögerungsgrenzwert zu vergleichen und/oder einen Mittelwert zu bilden und diesen für den Vergleich zu nutzen.

In einer bevorzugten Ausführungsform ist der Querbeschleunigungsgrenzwert größer als 2,5 m/s ² . Legt man den Querbeschleunigungsgrenzwert beispielsweise auf aumit,E2 = 3,5 m/s ² und weist der verwendete Sensor eine Sensortoleranz von 2 m/s ² auf, so muss der Betrag der gemessenen Querbeschleunigung mindestens 5,5 m/s ² betragen, sodass die Aktivierungsbedingung erfüllt ist. Durch die Einbeziehung der Sensortoleranz wird vermieden, dass durch Messfehler zu häufige Aktivierungen stattfinden.

In einer bevorzugten Ausführungsform wird die Querbeschleunigung aus

Messwerten eines Beschleunigungssensors und/oder eines Gierratensensors und der Fahrzeuggeschwindigkeit bestimmt. Da verschiedene Sensoren verschiedene Toleranzen aufweisen, kann anstelle des Querbeschleunigungssensors auch der Gierratensensor zur Bestimmung der Querbeschleunigung und damit zur Freischaltung der Gierratenregelfunktion genutzt werden. Dazu kann die Gierrate und die zugehörige Toleranz des Gierratensensors in eine Querbeschleunigung umgerechnet werden.

In einer bevorzugten Ausführungsform wird als zusätzliche Aktivierungsvoraussetzung das Vorliegen eines ABS-Eingriffs überprüft. Sobald eine der obigen Aktivierungsvorraussetzungen oder ein ABS-Eingriff vorliegt, wird die Gierratenregelungsfunktion freigeschaltet. Da ABS-Eingriffe aufgrund der geringen Auftretenswahrscheinlichkeit mit E2 bewertet werden, reicht das ASIL B der normalen Gierratenregelungsfunktion während ABS Eingriffen aus.

In einer bevorzugten Ausführungsform wird als zusätzliche Aktivierungsvoraussetzung überprüft, obein Schwimmwinkelsignal, insbesondere um eine Sensortoleranz betragsmäßig größer ist als ein Schwimmwinkelgrenzwert. Dies kann insbesondere genutzt werden, wenn ein Schwimmwinkelsignal nach ASIL D vorliegt. Das Schwimmwinkelsignal kann beispielsweise über einen zusätzlichen Correvit Sensor optisch gemessen werden. Auch ist es möglich den Schwimmwinkel über eine für autonomes Fahren bereits erforderliche Kamera zu bestimmen oder auch über ein Modell unter Nutzung der normalen ESP Sensorik zu schätzen. Auf einen „Use Case“ kann geschlossen werden, wenn das Schwimmwinkelsignal einen vorgegeben Schwellwert überschreitet. Sobald eine der obigen Aktivierungsvorraussetzungen erfüllt ist oder ein entsprechender Schwimmwinkel vorliegt, wird die Gierratenregelungsfunktion freigeschaltet.

Der Schwellwert kann entweder fest vorgegeben oder situationsabhängig über ein Referenzmodell berechnet werden. Das bekannte Ackermann-Einspurmodell liefert neben der Referenzgierrate bereits einen Referenzschwimmwinkel, der hierzu Anwendung finden kann. Alternativ kann ein bestimmter Hinterachs-Schräglaufwinkel als Kriterium definiert werden und über dieses Kriterium ein Schwellwert für den Schwimmwinkel im Fahrzeugschwerpunkt bestimmt werden. Zwischen dem Schwimmwinkel (ß) im Schwerpunkt und dem Hinterachs-Schräglaufwinkel (ah) besteht ein rein geometrischer Zusammenhang: öh bezieht sich hier auf den von einer eventuell vorhandenen Hinterachs-Lenkung eingestellten Lenkwinkel.

Der zusätzliche Nutzen der Freischaltung über das Schwimmwinkelsignal liegt insbesondere im Bereich niedriger Reibwerte, da in diesem Fall schwieriger über das Kriterium einer hohen Querbeschleunigung freigeschaltet werden kann. Auf Niedrigreibwert gibt es bestimmte Situationen, in denen das Fahrzeug langsam eindreht, wobei die modellgestützte Erkennung über die Abweichung der Ist-Gierrate zur entweder aus dem momentanen Lenkwinkel oder aus der momentanen Querbeschleunigung berechneten Referenzgierrate nicht oder erst spät ausschlägt, da die Abweichungen zu gering sind, solange der Fahrer nicht gegenlenkt.

In einer bevorzugten Ausführungsform wird als zusätzliche Aktivierungsvoraussetzung überprüft, ob ein Längsbeschleunigungssignal, insbesondere um eine Sensortoleranz größer ist als ein Längsbeschleunigungsgrenzwert. Unter einer Längsbeschleunigung ist hierbei eine positive Geschwindigkeitsänderung zu verstehen. Wie schon bei den Verzögerungen gibt es bestimmte Beschleunigungszustände (z.B. >3 m/s ² ), welche nur sehr selten auftreten und deshalb eine Freischaltung der Gierratenregelungsfunktion erlauben. Die Fahrzeugbeschleunigung kann entweder über einen Beschleunigungssensor, über die Ableitung eines aus den Radgeschwindigkeiten ermittelten Geschwindigkeitssignals berechnet oder aus dem wirksamen Antriebsmoment abgeschätzt werden. Sobald eine der obigen Aktivierungsvorraussetzungen oder ein entsprechendes Beschleunigungssignal vorliegt, wird die Gierratenregelungsfunktion freigeschaltet. Somit können auch insbesondere Instabilitäten beim Anfahren frühzeitig erkannt werden.

In einer bevorzugten Ausführungsform wird als zusätzliche Aktivierungsvoraussetzung überprüft, ob eine Fahrzeuggeschwindigkeit, insbesondere um eine Sensortoleranz größer ist als ein Fahrzeuggeschwindigkeitsgrenzwert. Da auch sehr hohe Fahrzeuggeschwindigkeiten sehr selten auftreten, kann auch die Fahrzeuggeschwindigkeit direkt als alternative Aktvierungsvoraussetzung genutzt werden. So kann beispielsweise bei Geschwindigkeiten oberhalb von 160 km/h grundsätzlich freigeschaltet werden.

In einer bevorzugten Ausführungsform wird als zusätzliche Aktivierungsvoraussetzung überprüft, ob ein Lenkwinkel, insbesondere um eine Sensortoleranz betragsmäßig größer ist als ein insbesondere geschwindigkeitsabhängiger Lenkwinkelgrenzwert. Mittels eines inversen Einspurmodells kann eine geschwindigkeitsabhängige Lenkwinkelschwelle berechnet werden. Deren Überschreitung zeigt an, dass aufgrund des aktuellen Lenkwinkels entweder eine Fahrsituation mit ungewöhnlich hoher Querbeschleunigung, die aufgrund der Häufigkeitsverteilung eine Freischaltung der Gierratenregelungsfunktion erlaubt, oder aber eine instabile Fahrsituation, die per Definition einen Use Case darstellt, vorliegen muss. Sobald eine der obigen Aktivierungsvorraussetzungen oder ein entsprechender Lenkwinkel vorliegt, wird die Gierratenregelungsfunktion freigeschaltet.

In einer bevorzugten Ausführungsform wird die Gierratenregelungsfunktion nicht in einer Safety Task ausgeführt und die Deaktivierungsfunktion wird in einer Safety Task ausgeführt.

Die Aufgabe wird außerdem gelöst durch eine Steuereinheit zur Gierratenregelung die dazu eingerichtet ist, ein vorstehendes Verfahren auszuführen. Weitere Merkmale, Vorteile und Anwendungsmöglichkeiten der Erfindung ergeben sich auch durch die nachfolgende Beschreibung von Ausführungsbeispielen und der Zeichnungen. Dabei gehören alle beschriebenen und/oder bildlich dargestellten Merkmale sowohl einzeln als auch in beliebiger Kombination zum Gegenstand der Erfindung, auch unabhängig von ihrer Zusammenfassung in den Ansprüchen oder deren Rückbezügen.

Fig. 1 zeigt schematisch eine erfindungsgemäße Gierratenregelung;

Die Gierratenregelung 1 , wie sie in Fig. 1 dargestellt ist, weißt als zentrales Element die eigentliche Gierratenregelungsfunktion 2 auf, welche durch die Deaktivierungsfunktion 3, 4 umschlossen ist. Ein vorgelagerter Teil der Deaktivierungsfunktion 3, 4 wird als Funktionsdeaktivierer (FunctionDisable) 3 bezeichnet und überprüft die implementierten Aktivierungsvoraussetzungen. Dies sind insbesondere die Querbeschleunigung des Kraftfahrzeugs, die Längsverzögerung des Kraftfahrzeugs und die Gierrate des Kraftfahrzeugs. Im allgemeinen Fall, deaktiviert der Funktionsdeaktivierer 3 die Gierratenregelungsfunktion 2, indem dieser ein entsprechendes Signal an die Gierratenregelungsfunktion 2 sendet. Der Funktionsdeaktivierer 3 sendet außerdem das Deaktivierungssignal an eine nachgelagerte Sicherheitsbarriere 4. Die Sicherheitsbarriere 4 ist zwischen die Gierratenregelungsfunktion 2 und den oder die entsprechenden Aktuatoren 5 geschaltet. Der Zugriff der Gierratenregelungsfunktion 2 auf die Aktuatoren 5 erfolgt daher über die Sicherheitsbarriere 4, ein direkter Kommunikationspfad besteht nicht. Die Sicherheitsbarriere 4 kann basierend auf dem Signal vom Funktionsdeaktivierer 3 einen Befehl an die Aktuatoren 5 weiterleiten oder nicht.

Somit wird sichergestellt, dass die Gierratenregelungsfunktion 2 nur in Use Cases Eingriffe in die Fahrzeugsteuerung durchführt.