Automatisierte Zuverlässigkeitsprüfung einer infrastruktur seitigen Überwachungssensorik

Die Erfindung betrifft eine Validierungseinrichtung, mit der eine Zuverlässigkeitsprüfung einer infrastrukturseitigen Überwachung einer Verkehrszelle ermöglicht wird. Weiterhin betrifft die Erfindung ein infrastrukturseitiges Verkehrs überwachungssystem. Überdies betrifft die Erfindung ein auto nomes Transportsystem. Weiterhin betrifft die Erfindung ein Verfahren zur Validierung einer Prüfung von Sensordaten.

Zunehmend werden Verkehrssituationen mit Hilfe von Sensorik überwacht, sei es, um beispielsweise Verkehrsverstöße zu do kumentieren, oder auch, um Informationen an autonome oder teilautonome Fahrzeuge zu übermitteln, die mit Hilfe dieser Informationen ihr Bild von der eigenen Umgebung vervollstän digen bzw. erweitern und auf dieser Basis taktische Entschei dungen treffen. Damit die infrastrukturseitig erfassten In formationen für das autonome Fahren genutzt werden können, müssen sie ausreichend zuverlässig sein. Um also Informatio nen mit genügend guter Qualität als valide Daten aufbereitet an die autonomen Fahrzeuge übergeben zu können, müssen die Daten auf Inhalt und Gültigkeit geprüft bzw. validiert wer den. Um genügend zuverlässige Daten über eine Verkehrssitua tion zu erhalten, können zertifizierte Radar- oder Lidar sensoren genutzt werden, die allerdings sehr teuer sind. Es gibt Überwachungssysteme für Arbeitsschutzbereiche, welche einem tiefen SIL Level zuzuordnen sind. Allerdings sind diese nicht für den öffentlichen Bereich zugelassen bzw. nicht da für zertifiziert.

Es besteht also die Aufgabe, ausreichend zuverlässige Überwa chungsdaten zu erzeugen, die auch in sicherheitskritischen Verkehrs- und Mobilitätsanwendungen genutzt werden können.

Diese Aufgabe wird durch eine Validierungseinrichtung gemäß Patentanspruch 1, ein infrastrukturseitiges Verkehrsüberwa- chungssystem nach Anspruch 3, ein autonomes Transportsystem nach Anspruch 8 und ein Verfahren zur Validierung einer Prü fung von Sensordaten gemäß Patentanspruch 10 gelöst.

Die erfindungsgemäße Validierungseinrichtung weist eine Test einheit zum Ausspielen/Einprägen von Testmustern zur Simula tion von Sensordaten und eine Validierungseinheit auf. Ein solches Testmuster umfasst nachgebildete korrekte und fehler hafte Sensordaten.

Die Validierungseinheit umfasst weiterhin eine Fusionsdaten schnittstelle zum Empfangen von fusionierten Sensordaten. Fu sionierte Sensordaten sind Daten, welche auf Basis von min destens zwei unterschiedlichen Sensoren erzeugt werden. Bei spielsweise kann es sich dabei um eine Kombination von Sens ordaten von Radarsensoren und Lidarsensoren handeln. Die er findungsgemäße Validierungseinrichtung umfasst auch eine Prüfdatenschnittsteile zum Empfangen von Prüfergebnissen, welche auf Basis der fusionierten simulierten Sensordaten er zeugt werden. Die möglicherweise fehlerhaften fusionierten Sensordaten werden auf unterschiedliche Weise auf Konsistenz geprüft, um fehlerhafte Funktionsblöcke und Daten schnell zu erkennen. Wird nun eine fehlende Konsistenz der Daten bei der Prüfung erkannt, so werden die Sensordaten als fehlerhaft eingestuft.

Um nun ein korrektes Funktionieren dieser Fehlerüberwachung sicherzustellen bzw. nachzuweisen oder gegebenenfalls eine unzureichende Fehlerüberwachung zu erkennen, werden über eine Testmusterschnittstelle die ausgespielten Testmuster von der Testeinheit empfangen und es wird eine Validität der Prüfer gebnisse auf Basis eines Vergleichs mit diesen Testmustern ermittelt. Vorteilhaft können infrastrukturseitige erfasste und gegebenenfalls bereits aufbereitete und ausgewertete Sen sordaten bzw. Objektdaten auf ihre Verfälschung und Zuverläs sigkeit geprüft werden. Einem autonom gesteuerten Fahrzeug kann dann zusammen mit den genannten Sensordaten und Objekt daten eine Information über die Zuverlässigkeit dieser Daten mitgeteilt werden. Beispielsweise kann eine sogenannte Si cherheitsanforderungsstufe ermittelt werden und das Verhalten des Fahrzeugs an die aktuelle Sicherheitsanforderungsstufe angepasst werden. Vorteilhaft wird eine erhöhte Sicherheit des autonomen Fahrens erreicht.

Das erfindungsgemäße infrastrukturseitige Verkehrsüberwa chungssystem umfasst eine Mehrzahl von Sensoreinheiten zur Erfassung von Sensordaten von einer Verkehrszelle, eine Sen sorfusionseinheit zur Fusion der erfassten Sensordaten, eine Prüfeinrichtung zur Prüfung der Korrektheit der Sensordaten und eine erfindungsgemäße Validierungseinrichtung. Vorteil haft werden mit Hilfe des erfindungsgemäßen infrastruktursei tigen Verkehrsüberwachungssystems zuverlässige Objektdaten erzeugt, auf deren Basis autonom gesteuerte Fahrzeuge eine Fahrtaktik planen können.

Das erfindungsgemäße autonome Transportsystem weist mindes tens ein zumindest teilautonom gesteuertes Fahrzeug und ein infrastrukturseitiges Verkehrs- bzw. Objektüberwachungssystem auf. Das zumindest teilautonom gesteuerte Fahrzeug ist dazu eingerichtet, von dem infrastrukturseitigen Verkehrsüberwa chungssystem erzeugte fusionierte Sensordaten, Prüfdaten so wie Validierungsdaten zu empfangen und auf Basis dieser Daten eine zumindest teilautonome Steuerung durchzuführen. Das er findungsgemäße autonome Transportsystem teilt die Vorteile des infrastrukturseitigen Verkehrsüberwachungssystems.

Bei dem erfindungsgemäßen Verfahren zur Validierung einer Prüfung von Sensordaten werden zur Simulation von Sensordaten Testmuster ausgespielt, es werden fusionierte simulierte Sen sordaten empfangen. Weiterhin werden Prüfergebnisse empfan gen, welche auf Basis der fusionierten simulierten Sensorda ten erzeugt werden. Außerdem werden die ausgespielten Test muster als Referenzdaten empfangen. Schließlich wird eine Va lidität der Prüfergebnisse auf Basis eines Vergleichs der Prüfergebnisse mit den Testmustern ermittelt. Das erfindungs- gemäße Verfahren teilt die Vorteile der erfindungsgemäßen Va lidierungseinrichtung .

Einige Komponenten der erfindungsgemäßen Validierungseinrich tung, des erfindungsgemäßen infrastrukturseitigen Verkehrs überwachungssystems und des erfindungsgemäßen autonomen Transportsystems können zum überwiegenden Teil in Form von Softwarekomponenten ausgebildet sein. Dies betrifft insbeson dere Teile der Testeinheit, der Prüfungseinheit und der Vali dierungseinheit. Grundsätzlich können diese Komponenten aber auch zum Teil, insbesondere wenn es um besonders schnelle Be rechnungen geht, in Form von softwareunterstützter Hardware, beispielsweise FPGAs oder dergleichen, realisiert sein. Eben so können die benötigten Schnittstellen, beispielsweise wenn es nur um eine Übernahme von Daten aus anderen Software komponenten geht, als Softwareschnittstellen ausgebildet sein. Sie können aber auch als hardwaremäßig aufgebaute Schnittstellen ausgebildet sein, die durch geeignete Software angesteuert werden.

Eine weitgehend softwaremäßige Realisierung hat den Vorteil, dass auch schon bisher in einem autonomen Transportsystem vorhandene Rechnersysteme nach einer eventuellen Ergänzung durch zusätzliche Hardwareelemente auf einfache Weise durch ein Software-Update nachgerüstet werden können, um auf die erfindungsgemäße Weise zu arbeiten. Insofern wird die Aufgabe auch durch ein entsprechendes Computerprogrammprodukt mit ei nem Computerprogramm gelöst, welches direkt in eine Speicher einrichtung eines solchen Transportsystems ladbar ist, mit Programmabschnitten, um die durch Software realisierbaren Schritte des erfindungsgemäßen Verfahrens auszuführen, wenn das Computerprogramm in dem Transportsystem ausgeführt wird.

Ein solches Computerprogrammprodukt kann neben dem Computer programm gegebenenfalls zusätzliche Bestandteile, wie z.B. eine Dokumentation und/oder zusätzliche Komponenten, auch Hardware-Komponenten, wie z.B. Hardware-Schlüssel (Dongles etc.) zur Nutzung der Software, umfassen. Zum Transport zur Speichereinrichtung des Rechnersystems und/oder zur Speicherung an dem Rechnersystem kann ein compu terlesbares Medium, beispielsweise ein Memorystick, eine Festplatte oder ein sonstiger transportabler oder fest einge bauter Datenträger dienen, auf welchem die von einer Rech nereinheit einlesbaren und ausführbaren Programmabschnitte des Computerprogramms gespeichert sind. Die Rechnereinheit kann z.B. hierzu einen oder mehrere zusammenarbeitende Mikro prozessoren oder dergleichen aufweisen.

Die abhängigen Ansprüche sowie die nachfolgende Beschreibung enthalten jeweils besonders vorteilhafte Ausgestaltungen und Weiterbildungen der Erfindung. Dabei können insbesondere die Ansprüche einer Anspruchskategorie auch analog zu den ab hängigen Ansprüchen einer anderen Anspruchskategorie und de ren Beschreibungsteilen weitergebildet sein. Zudem können im Rahmen der Erfindung die verschiedenen Merkmale unterschied licher Ausführungsbeispiele und Ansprüche auch zu neuen Aus führungsbeispielen kombiniert werden.

In einer Ausgestaltung der erfindungsgemäßen Validierungsein richtung weist die Validierungseinheit eine Lichtsignaldaten- schnittstelle zum Empfangen von Signaldaten von einer Licht signaleinheit auf. Die möglichen Signalzustände der Signalam pel wie z.B. Rot, Gelb und Grün können in der Validierungs einheit durch ein Abfolgeprüffenster auf Plausibilität ge prüft werden.

In einer Ausgestaltung des erfindungsgemäßen infrastruktur seitigen Verkehrsüberwachungssystems umfasst die Prüfeinrich tung mindestens eine der folgenden Prüfeinheiten:

- eine Redundanzprüfungseinheit zum Prüfen, ob Objekte mit unterschiedlichen Sensoren mit einer vordefinierten zeitli chen und örtlichen Toleranz detektiert werden,

- eine Abfolgeprüfungseinheit zum Prüfen, ob eine detektierte Bewegung konform mit vorbestimmten Kriterien verläuft,

- eine Abschattungsprüfungseinheit zum Prüfen, ob ein detek- tiertes Objekt durch ein anderes Objekt abgeschattet wird. Bei der Redundanzprüfung werden von unterschiedlichen Senso ren erzeugte Sensordaten gegeneinander verglichen. Ergeben sich Widersprüche zwischen den Daten, so wird eine Fehlerwar nung ausgegeben. Die Abfolgeprüfungseinheit prüft zum Bei spiel, ob das Bewegungsverhalten von detektierten Objekten den physikalischen Gesetzen entspricht. Führt ein Objekt in einem Überwachungsfeld zum Beispiel größere Sprünge durch, so kann von einer fehlerhaften Detektion ausgegangen werden. Mit Hilfe der Abschattungsprüfung werden typische scheinbare Feh ler erkannt, die sich aus einer gegebenen Sensorinstallation ergeben. Damit können falsche Fehlermeldungen verhindert wer den, wodurch die Effizienz der Fehleroffenbarung erhöht wird.

In einer Variante des erfindungsgemäßen infrastrukturseitigen Verkehrsüberwachungssystems umfasst die Prüfungseinrichtung eine Parametrisierungseinheit, welche dazu eingerichtet ist, Prüfparameter der Prüfeinheiten bereitzustellen. Die Prüfpa rameter können zum Beispiel Informationen über Toleranzen und einen Fangbereich enthalten. Die Parameter können nach dem Schreiben auf Inhalt und Verfälschung geprüft werden. Auf diese Weise lässt sich die Zuverlässigkeit des Prüfvorgangs überwachen.

In einer Ausgestaltung des erfindungsgemäßen infrastruktur seitigen Verkehrsüberwachungssystems umfasst die Testeinheit ferner einen Drehspiegel, welcher dazu eingerichtet ist, ein von der Testeinheit erzeugtes Testmuster auf die Sensoren zu reflektieren bzw. zu projizieren. Vorteilhaft können mit Hil fe des Drehspiegels Sensoren selbst auf ihre Funktion geprüft werden. Werden die Testmuster von einem Sensor während eines projektierten Zeitfensters nicht erfasst, so wird dieser Sen sor als fehlerhaft eingestuft und gemeldet.

Bevorzugt umfasst die Testeinheit des erfindungsgemäßen inf rastrukturseitigen Verkehrsüberwachungssystems eine virtuelle Sensoreinheit, welche dazu eingerichtet ist, auf Basis eines Testmusters virtuelle Sensordaten zu erzeugen und der Prüf einrichtung und der Validierungseinrichtung bereitzustellen. Vorteilhaft kann die Prüfeinrichtung sowie die Sensorfusions einrichtung sowie die Validierungseinrichtung getrennt von den eigentlichen Sensoren getestet werden, so dass die Funk tionalität einzelner Einheiten ermittelt werden kann und Feh ler lokalisiert werden können.

Das erfindungsgemäße autonome Transportsystem umfasst vor zugsweise mindestens eine Lichtsignalanlageneinheit, welche mit dem infrastrukturseitigen Verkehrsüberwachungssystem über einen Kommunikationskanal verbunden ist und dazu eingerichtet ist, dem infrastrukturseitigen Verkehrsüberwachungssystem In formationen über den aktuellen Signalzustand der Lichtsignal anlageneinheit zu übermitteln. Vorteilhaft kann eine Gefah rensituation, die sich beispielsweise durch das Überfahren eines Lichtsignals ergibt, erkannt werden und bei der Fahrtaktikplanung eines autonomen Fahrzeugs mitberücksichtigt werden.

Die Erfindung wird im Folgenden unter Hinweis auf die beige fügten Figuren anhand von Ausführungsbeispielen noch einmal näher erläutert. Es zeigen:

FIG 1 eine schematische Darstellung eines Verkehrsszenarios mit infrastrukturseitigen Sensoren zur Überwachung der Ver kehrssituation,

FIG 2 eine schematische Darstellung eines infrastrukturgebun denen Verkehrsüberwachungssystems mit einer Validierungsein richtung gemäß einem Ausführungsbeispiel der Erfindung,

FIG 3 eine schematische Darstellung eines infrastrukturgebun denen Verkehrsüberwachungssystems mit einer Validierungsein richtung gemäß einem zweiten Ausführungsbeispiel der Erfin dung,

FIG 4 eine schematische Darstellung eines autonomen Trans portsystems gemäß einem Ausführungsbeispiel der Erfindung, FIG 5 eine schematische Darstellung eines infrastrukturgebun denen Verkehrsüberwachungssystems mit einer Validierungsein richtung gemäß einem dritten Ausführungsbeispiel der Erfin dung,

FIG 6 ein Flussdiagramm, welches ein Validierungsverfahren gemäß einem Ausführungsbeispiel der Erfindung veranschau licht,

FIG 7 ein Schaubild, welches den Verlauf der Verlässlichkeit der übermittelten Sensordaten und die zugehörige erreichte Sicherheitsanforderungsstufe anzeigt.

In FIG 1 ist ein Verkehrsszenario 10 mit infrastrukturseiti gen Sensoren Sl, S2 zur Überwachung der Verkehrssituation veranschaulicht. Das Verkehrsszenario 10 umfasst eine Einmün dung, wobei an allen drei Zufahrten zur Einmündung jeweils eine Lichtsignalanlage LSA1, LSA2, LSA3 angeordnet ist. Im Einmündungsbereich sind auch zwei Sensoren Sl, S2 positio niert, von denen ein erster Sensor Sl ein Radarsystem umfasst und ein zweiter Sensor S2 ein Lidarsystem umfasst, und welche den Einmündungsbereich überwachen. In dem Einmündungsbereich befinden sich auch zwei Kraftfahrzeuge 40a, von denen ein erstes Fahrzeug in der linken Bildhälfte vor einer Lichtsig nalanlage LSA1 hält und ein zweites Fahrzeug 40a gerade nach rechts abbiegt. Der von den beiden Sensoren Sl, S2 überwachte Bereich kann auch als Verkehrszelle bezeichnet werden.

In FIG 2 ist ein infrastrukturgebundenes Verkehrsüberwa chungssystem 20 mit einer Validierungseinrichtung 4 gemäß ei nem Ausführungsbeispiel der Erfindung gezeigt. Das infra strukturgebundene Verkehrsüberwachungssystem 20 weist einen Radarsensor Sl und einen Lidarsensor S2 auf, mit denen eine Verkehrszelle (siehe FIG 1) überwacht wird. Die Sensoren Sl, S2 liefern Sensordaten, die an eine Sensordatenfusionseinheit 1 übermittelt werden. Die Sensordatenfusionseinheit 1 fügt die Sensordaten von mehreren Sensoren zu einem einheitlichen Sensordatensatz zusammen. Dieser umfasst zum Beispiel die In- formation, dass sich in einem Überwachungsbereich ein oder mehrere Objekte befinden, an welcher Stelle des Überwachungs bereichs sich diese Objekte befinden und welchen Typs diese Objekte sind. Die fusionierten Sensordaten werden als Refe renzdaten direkt an eine Validierungseinrichtung 4 übermit telt.

Weiterhin erfolgt auf Basis der fusionierten Sensordaten durch eine Prüfeinrichtung 3 eine Konsistenzprüfung der Sens ordaten. Hierfür weist die Prüfeinrichtung 3 eine Redundanz prüfeinheit 3a auf. Die Redundanzprüfeinheit 3a ist dazu ein gerichtet, zu prüfen, ob die mit Hilfe der Sensoren Sl, S2 detektierten Objekte auf beiden Kanälen der Sensoren Sl, S2 mit einer vordefinierten zeitlichen und örtlichen Toleranz detektiert werden. Wird ermittelt, dass die vordefinierte To leranz verletzt ist, so wird nach dem Verlassen eines soge nannten Überwachungsprüfzeitfensters ein sogenannter „degra dierter Modus" (Erhaltungsmodus/Rückfallmodus) als Betriebs modus für das Verkehrsüberwachungssystem 20 ausgelöst. In diesem degradierten Modus sind die Überwachungsdaten weniger zuverlässig und werden daher nicht oder nur im Fail Safe Prinzip bzw. nach dem Prinzip der Ausfallsicherheit (ein Bei spiel ist ein Unfall-Nothalt für alle Straßenverkehrsteilneh- mer) weiter an in der Nähe befindliche Fahrzeuge weitergelei tet. Erst nach einem vordefinierten Zeitfenster wird der de gradierte Modus wieder verlassen. Je nach der Komplexität der Verkehrssituation können mehrere degradierte Modi projektiert werden.

Außerdem weist die Prüfeinrichtung 3 eine Abfolgeprüfungsein heit 3b auf. Die Abfolgeprüfungseinheit 3b prüft auf Basis der von den Sensoren Sl, S2 erfassten Sensordaten, ob die Be wegungsvektoren von detektierten Objekten konsistent sind. Wird festgestellt, dass eine Bewegungsabfolge von detektier ten Objekten physikalischen Gesetzen widerspricht, so wird nach dem Verlassen eines Zeitfensters ebenfalls der degra dierte Modus als Betriebsmodus gewählt. Erst nach einem vor- definierten Zeitfenster wird der degradierte Modus wieder verlassen.

Teil der Prüfeinrichtung 3 ist auch eine Abschattungsprü fungseinheit 3c. Die Abschattungsprüfungseinheit 3c prüft, ob ein Objekt durch ein anderes Objekt abgeschattet ist. Bei spielsweise wird festgestellt, dass ein detektiertes Objekt nur durch einen Sensor S1 der beiden Sensoren Sl, S2 erkannt wurde. Weiterhin wird möglicherweise ein weiteres Objekt de- tektiert, welches zwischen dem Sensor S2, der das Objekt nicht detektiert hat, und diesem Objekt liegt. Wird eine Ab schattung ermittelt, so wird wiederum ein Überwachungszeit fenster aktiviert. Bei dem Verlassen des Überwachungszeit fensters wird wieder der degradierte Modus als Betriebsmodus ausgelöst. Erst nach einer vordefinierten Zeitdauer wird der degradierte Modus wieder verlassen.

Zur Prüfung, ob die von den Prüfeinheiten 3a, 3b, 3c ermit telten Betriebsmodi auch korrekt sind, wird neben der Vali dierungseinrichtung 4 auch eine Testeinheit 2 eingesetzt. Die Testeinheit 2 erzeugt ein Prüfmuster, welches simulierte Sen sordaten umfasst. Die vorgerechneten bzw. simulierten Sensor daten werden an die Sensordatenfusionseinheit 1 übermittelt, welche daraus einen einheitlichen Sensordatensatz zusammen fügt. Der einheitliche Sensordatensatz wird dann an die Prü fungseinrichtung 3 übermittelt, welche die simulierten Daten auf die bereits beschriebene Art und Weise verarbeitet. Au ßerdem werden die Prüfmuster mit den bereits bekannten Prü fergebnissen als Referenzdaten von der Testeinheit 2 direkt an die Validierungseinrichtung 4 gesendet. Erhält nun die Va lidierungseinrichtung 4 von der Prüfungseinrichtung 3 Prüfda ten sowie von der Fusionseinheit 1 fusionierte Sensordaten, so kann die Validierungseinrichtung 4 durch einen Vergleich mit den Referenzdaten ermitteln, ob die Prüfeinrichtung 3 so wie die Fusionseinheit 2 korrekt funktionieren. Anschließend kann über die Kommunikationseinheit 5, welche eine Antenne 6 umfasst, eine Mitteilung an in der Nähe befindliche Fahrzeuge darüber gegeben werden, wie zuverlässig die übermittelten In- formationen sind, einschließlich der Angaben zu dem aktuellen Betriebsmodus .

In FIG 3 ist ein infrastrukturgebundenes Verkehrsüberwa chungssystem 30 gemäß einem zweiten Ausführungsbeispiel der Erfindung gezeigt. Das in FIG 3 gezeigte infrastrukturgebun dene Verkehrsüberwachungssystem 30 weist ähnlich wie das in FIG 2 gezeigte Verkehrsüberwachungssystem 20 mehrere Sensoren Sl, S2, eine Sensorfusionseinheit 1, eine Testeinheit 2, eine Prüfeinrichtung 3, eine Validierungseinrichtung 4 und eine Kommunikationseinheit 5 auf. Zusätzlich umfasst das in FIG 3 gezeigte infrastrukturgebundenes Verkehrsüberwachungssystem 30 mehrere Lichtsignalanlagen LSA1, LSA2, welche über eine Kommunikationsleitung mit einer Steuerungseinheit 72, einer Dekodereinheit 73 und mit der Validierungseinrichtung 4 sind. Die Lichtsignalanlagen LSA1, LSA2 übermitteln an die Validie rungseinrichtung 4 Informationen über ihren Zustand, bei spielsweise, welches Signal sie anzeigen, d.h. ob sie gerade rot, grün oder gelb anzeigen. Der LSA-Decoder 73 bereitet die Signaldaten für den Fahrweg eines Fahrzeugs auf. Dabei prüft der Decoder 73 die rudimentäre Abfolge der Signale. Eine ein fache Plausibilitätsprüfung ermöglicht einen ausfallsicheren Modus oder einen degradierten Modus.

Die in FIG 3 gezeigte Prüfeinrichtung 3 umfasst außerdem zu sätzlich zu den bereits in FIG 2 gezeigten Prüfeinheiten 3a, 3b, 3c eine Landmarkenprüfeinheit 3d. Die Landmarkenprüfein- heit prüft, ob die dem Verkehrsüberwachungssystem 30 zugeord neten Sensoren, wie zum Beispiel der Radarsensor Sl und der Lidarsensor S2, noch funktionieren bzw. sich zumindest noch an ihrem vorgesehenen Platz befinden. Die Signaldaten werden ebenfalls in die Validierung der Sensordaten und der Prüfin formationen miteinbezogen. Die Signaldaten werden mit einem virtuellen Objekt oder Prüfmuster verknüpft und einem in der Nähe befindlichen Straßenfahrzeug zur Anzeige einer Gefahren stelle übermittelt. In FIG 4 ist ein autonomes Transportsystem 40 gemäß einem Ausführungsbeispiel der Erfindung schematisch dargestellt.

Das autonome Transportsystem 40 umfasst das in FIG 2 gezeigte infrastrukturseitige Verkehrsüberwachungssystem 20 sowie ein Fahrzeug 40a, welches die von dem infrastrukturseitige Ver kehrsüberwachungssystem 20 erfassten Sensordaten per Funk übermittelt bekommt. Das Fahrzeug 40a umfasst ebenfalls eine Testeinheit 41, mit der Testmuster über einen sogenannten CRC-Black Channel 43 sowie eine RSU-Funkeinheit 44 an das infrastrukturseitige Verkehrsüberwachungssystem 20 übermit telt werden können. Die Testeinheit 41 kann zusätzlich auch eine sogenannte Rückkanalprüfung durchführen, bei der dem infrastrukturseitigen Verkehrsüberwachungssystem 20 eine aus den Objektlisten gerechnete CRC bereitgestellt wird. Teil der Testeinheit 41 ist auch ein Diagnoseadapter, welcher alle Re sultate der Prüfungen, wie zum Beispiel die Ergebnisse der Redundanzprüfung, der Abfolgeprüfung und der Abschattungsprü fung speichert. Teil der Testeinheit 41 ist auch ein soge nannter Ladeadapter, welcher Prüfprozesse für Testparameter durchführt. Beispielsweise werden ein Zutrittsschutz und eine Verfälschungsprüfung implementiert. Teil des Fahrzeugs 40a ist auch ein sogenannter AD-Stack 42. Der AD-STACK verarbei tetet die von der Infrastruktur aufbereiten Daten, damit die zyklische Fahrwegprüfung abgeschlossen werden kann. Bei posi tiver Fahrwegprüfung wird kein Bremsmanöver vom Fahrzeug ini tiiert. Bei negativer Fahrwegprüfung wird dagegen eine der im AD-Stack hinterlegten Bremskurven ausgeführt.

In FIG 5 ist ein infrastrukturgebundenes Verkehrsüberwa chungssystem 50 mit einer Validierungseinrichtung gemäß einem dritten Ausführungsbeispiel der Erfindung gezeigt. Das in FIG 5 veranschaulichte infrastrukturgebundene Verkehrsüberwa chungssystem 50 umfasst ähnlich wie die in FIG 2 und FIG 3 veranschaulichten Systeme 20, 30 zwei Sensoren Sl, S2. Zu sätzlich umfasst das infrastrukturgebundene Verkehrsüberwa chungssystem 50 auch einen virtuellen Sensor VS, welcher durch ein Testmuster, das von einer Testeinheit 2 erzeugt wird, simuliert wird. Die Testeinheit 2 erzeugt auch ein Testmuster TM, welches mit Hilfe eines Spiegels SP an die Sensoren Sl, S2 übermittelt wird und von diesen an die Sen sorfusionseinheit 1 und die Prüfeinheiten 3a, 3b, 3c, 3d übermittelt wird. Die Prüfeinheiten 3a, 3b, 3c, 3d sind in dem in FIG 5 gezeigten Ausführungsbeispiel Teil einer Prüf- und-Validierungseinheit 4a. Mit Hilfe der Prüfeinheiten 3a,

3b, 3c, 3d kann neben der Redundanzprüfung, der Abfolgeprü fung und der Abschattungsprüfung auch eine Prüfung von Land marken LM erfolgen. Sind nämlich die Sensoren defekt, so wird bei der Landmarkenprüfung kein Testmuster an die Prüfeinhei ten 3a, 3b, 3c weitergegeben, was in diesem Fall auf defekte Sensoren Sl, S2 schließen lässt. Teil der Prüfeinheiten ist auch eine Parametrierungseinheit 3e, welche Testparameter, wie zum Beispiel einen Fangbereich oder Toleranzen festlegt. Der Fangbereich kann als geographisches Filter angesehen wer den. Der Fangbereich der Verkehrssituation wird so gesetzt, dass nur die notwendigen Informationen für die Sicherheitsbe urteilung des Fahrweges herangezogen werden. Dies macht die Applikation besonders robust gegenüber Fremdeinflüssen.

Der Zugang zur Parametrierungseinheit 3e wird von einem La deadapter 23 kontrolliert, welcher einen Zutrittschutz und eine Verfälschungsprüfung bereitstellt. Teil der Prüf-und- Validierungseinheit 4a ist auch eine Validierungseinheit 4b, welche sowohl die Prüfergebnisse von den Prüfeinheiten 3a,

3b, 3c, 3d empfängt, als auch diese Prüfergebnisse mit den fusionierten Sensordaten von der Sensorfusionseinheit 1 und den Testmustern von der Testeinheit 2 vergleicht. Die Vali dierungsergebnisse, und die Prüfungsergebnisse werden an eine Datenkombinationseinheit 4c übermittelt, die noch zusätzlich Zustandsdaten von einer Lichtsignalanlage LSA erhält. Die Zu standsdaten, die Validierungsergebnisse, die Prüfungsergeb nisse sowie die Sensordaten von der Sensorfusionseinheit 1 werden dann über einen sogenannten CRC-Black-Channel BC an eine Funkeinheit 52 übermittelt, von der sie zum Beispiel an ein autonomes Fahrzeug 40a übermittelt werden. Außerdem wer den die genannten Zustandsdaten, die Validierungsergebnisse, die Prüfungsergebnisse sowie die Sensordaten über den CRC- Black-Channel BD auch an die Testeinheit 2 übermittelt. „CRC" steht hier für eine zyklische Redundanzprüfung der übertrage nen Daten (CRC = cyclic redundancy check). Dabei wird ein Prüfwert ermittelt, um Fehler bei der Übertragung oder Spei cherung zu erkennen. Die Testeinheit 2 umfasst auch einen Di agnoseadapter 22, mit dem alle Resultate der Abfolgeprüfung, der Redundanzprüfung und der Abschattungsprüfung gespeichert werden. Weiterhin umfasst die Testeinheit 2 auch eine Rückka nalprüfungseinheit 21, mit der der Infrastruktur ein aus Ob jektlisten gerechneter CRC-Wert zugesendet wird. Die Testein heit 2 kann auch direkt über einen Black-Channel BC und eine weitere Funkeinheit 51 mit der Testeinheit eines Fahrzeugs (nicht gezeigt) kommunizieren. Die Testeinheit 2 steht auch mit einem sogenannten Ladeadapter 23 in Verbindung, welcher für den Zugang zur Parametrisierung der Testmuster benötigt wird. Mit Hilfe des Ladeadapters 23 wird ein Zutrittschutz sowie eine Verfälschungsprüfung bereitgestellt.

In FIG 6 ist ein Flussdiagramm 600 gezeigt, welches ein Vali dierungsverfahren gemäß einem Ausführungsbeispiel der Erfin dung veranschaulicht. Bei dem Schritt 6.1 erfolgt zunächst ein Ausspielen eines Testmusters für Sensoren einer Verkehrs zelle durch eine Testeinheit 2. Die virtuellen Sensordaten des Testmusters werden bei dem Schritt 6.II fusioniert und an die Prüfeinheit 3 und gleichzeitig an die Validierungsein richtung 4 übermittelt. Bei dem Schritt 6.III führt die Prü feinheit 3 eine Reihe von Prüfungen der fusionierten Daten, wie zum Beispiel eine Redundanzprüfung, eine Abfolgeprüfung und eine Abschattungsprüfung, durch.

Bei dem Schritt 6.IV werden Lichtsignaldaten von mehreren Lichtsignalanlagen einer Verkehrszelle erfasst. Diese Licht signaldaten werden bei dem Schritt 6.V dekodiert und an die Validierungseinrichtung 4 übermittelt. Der Decoder bereitet die Signaldaten für den Fahrweg eines Fahrzeugs auf. Dabei wird eine rudimentäre Abfolge geprüft. Über eine einfache Plausibilitätsprüfung wird ermittelt, ob eine Gefahr besteht oder ein degradierter Modus ausgelöst werden muss. Schließlich erfolgt bei dem Schritt 6.VI eine Validierung der empfangenen Prüfungsdaten, der fusionierten Sensordaten und der Signaldaten. Dabei erfolgt ein Vergleich der bekannten Testmuster mit einem vorprojektierten Zeitfenster sowohl mit den Fusionsergebnissen aus dem Schritt 6.II als auch den Prü fungsergebnissen aus dem Schritt 6.III. Die Lichtsignaldaten aus den Schritten 6.IV und 6.V werden ebenfalls zur Validie rung herangezogen. Beispielsweise kann dadurch eine Gefahren situation erkannt werden und gegebenenfalls ein degradierter Modus ausgelöst werden.

In FIG 7 ist ein Schaubild 70 gezeigt, welches in seinem obe ren Teilschaubild den Verlauf der Verlässlichkeit PFD der übermittelten Sensordaten und die zugehörige erreichte Si cherheitsanforderungsstufe SIL anzeigt. Beispielsweise sind die Daten nach einer Validierung bei t = 0s vollständig vali diert bzw. sicher, was mit dem PFD-Wert = 0 gekennzeichnet ist. Im unteren Teilschaubild entspricht diese maximale Si cherheit dem validierten Modus VM, was ja der Tatsache Rech nung trägt, dass zu dem Zeitpunkt t = 0 eine erfolgreiche Va lidierung durchgeführt wurde. Anschließend verschlechtert sich die Zuverlässigkeitsprognose der Sensordaten linear oder exponentiell mit der Zeit bis zur Sicherheitsanforderungsstu fe SIL 2, bis wiederum eine erfolgreiche Validierungsprüfung PT durchgeführt wird und die Zuverlässigkeitsprüfungen der Sensordaten sowie der durchgeführten Prüfungen wieder fehler frei vollzogen sind. Ergibt nun eine Validierung PTF, dass die erfassten Daten teilweise verfälscht sind oder fehlen, so verschlechtert sich die Zuverlässigkeit der Funktionalität. Anschließend ergibt sich eine rapide Verschlechterung der Zu verlässigkeitsprognose, so dass die Sicherheitsanforderungs stufe SIL1 nicht mehr erreicht wird. Zu diesem Zeitpunkt, der in den beiden Teilschaubildern mit einer vertikalen gestri chelten Linie gekennzeichnet ist, wird in den degradierten Modus DM geschaltet. In diesem Modus nutzen Fahrzeuge die neu übermittelten Sensordaten nicht mehr vollumfänglich für die Fahrwegsicherung oder nur eingeschränkt. Nach einer vorbe stimmten Zeitspanne erfolgt aufgrund der weiter steigenden Unzuverlässigkeit der übermittelten infrastrukturseitigen Da ten dann sogar ein vollständiges gezieltes Abschalten der Übertragung von Sensordaten von der Infrastruktur. Dieser Zu stand wird in dem unteren Teilschaubild durch einen Modus INA auf der untersten Stufe dargestellt. Erfolgt anschließend ei ne erfolgreiche Validierung PT, so steigt die Zuverlässigkeit der infrastrukturseitig übermittelten Daten auf einen Maxi malwert und der validierte Modus VM wird wieder erreicht. Die Abfolge der Validierung kann in Zeitabständen von 50 ms bis 10 s erfolgen. Die zeitliche Dauer einer Validierung bzw. Va lidierungsprüfung wird dabei parametrisiert und ist abhängig von der Verkehrssituation.

Es wird abschließend noch einmal darauf hingewiesen, dass es sich bei den vorbeschriebenen Verfahren und Vorrichtungen le diglich um bevorzugte Ausführungsbeispiele der Erfindung han delt und dass die Erfindung vom Fachmann variiert werden kann, ohne den Bereich der Erfindung zu verlassen, soweit er durch die Ansprüche vorgegeben ist. Es wird der Vollständig- keit halber auch darauf hingewiesen, dass die Verwendung der unbestimmten Artikel „ein" bzw. „eine" nicht ausschließt, dass die betreffenden Merkmale auch mehrfach vorhanden sein können. Ebenso schließt der Begriff „Einheit" nicht aus, dass diese aus mehreren Komponenten besteht, die gegebenenfalls auch räumlich verteilt sein können.