Vorrichtung und Verfahren zur Erzeugung und Übertragung von Steuerbefehlen für ein automatisiert fahrendes Kraftfahrzeug

Die Erfindung betrifft eine Vorrichtung und ein Verfahren zur Erzeugung und Übertragung von Steuerbefehlen für ein automatisiert fahrendes Fahrzeug.

Derartige Vorrichtungen müssen fehlertolerant gegenüber Einzelfehlern sein, d.h. die Vorrichtung muss in der Lage sein, das Kraftfahrzeug beispielsweise sicher zum Stehen zu bringen oder anderweitig weiter sicher zu führen. Derartige Manöver sind auch als limb home, limb aside or break in lane bekannt. Ein möglicher Ansatz ist eine vollständige Redundanz, d.h. das parallele Arbeiten von zwei Systemen.

Der Erfindung liegt das technische Problem zugrunde, eine verbesserte Vorrichtung zur Erzeugung von Steuerbefehlen für ein automatisiert fahrendes Kraftfahrzeug zu schaffen sowie ein geeignetes Verfahren zur Verfügung zu stellen.

Die Lösung des technischen Problems ergibt sich durch eine Vorrichtung mit den Merkmalen des Anspruchs 1 sowie ein Verfahren mit den Merkmalen des Anspruchs 9. Weitere vorteilhafte Ausgestaltungen der Erfindung ergeben sich aus den Unteransprüchen.

Hierzu ist die Vorrichtung zur Erzeugung und Übertragung von Steuerbefehlen für ein automatisiert fahrendes Kraftfahrzeug derart ausgebildet, mindestens Umfelddaten und Fahrzeugzustandsdaten zu empfangen, daraus mindestens eine Trajektorie zu berechnen, die für die Umsetzung der Trajektorie benötigten Steuerbefehle für mindestens einen Aktor zu berechnen und an den mindestens einen Aktor zu übertragen, wobei die Vorrichtung mindestens ein erstes Teilsystem, ein zweites Teilsystem, ein drittes Teilsystem und ein viertes Teilsystem umfasst, wobei das erste Teilsystem und das dritte Teilsystem als Master und das zweite Teilsystem und das vierte Teilsystem als Slave arbeiten, wobei das erste Teilsystem und das zweite Teilsystem über mindestens eine Datenverbindung verbunden sind und das dritte Teilsystem und das vierte Teilsystem über eine weitere Datenverbindung miteinander verbunden sind, wobei zusätzlich das erste Teilsystem und das dritte Teilsystem über mindestens eine Datenverbindung miteinander verbunden sind und das zweite Teilsystem und das vierte Teilsystem über eine Datenverbindung miteinander verbunden sind, wobei das erste Teilsystem und das zweite Teilsystem jeweils mindestens Umfelddaten und Fahrzeugzustandsdaten empfangen und das dritte Teilsystem und das vierte Teilsystem mindestens die Steuerbefehle an die mindestens eine Aktorik übertragen, wobei mindestens das erste Teilsystem und das dritte Teilsystem fail-silent ausgebildet sind, wobei die Vorrichtung weiter derart ausgebildet ist, bei Einzelfehlern eines Teilsystems mindestens einen Steuerbefehl zu erzeugen und zu übertragen, um das Kraftfahrzeug in einen sicheren Zustand zu bringen.

Die ersten bis vierten Teilsysteme können dabei auch als Knoten in einem Netzwerk betrachtet werden. Die Umfelddaten können dabei von einer fahrzeugseitigen Umfeldsensorik stammen, die beispielsweise Kameras und/oder Radarsensoren und/oder Lidarsensoren und/oder Ultraschallsensoren aufweist. Alternativ oder ergänzend können die Umfelddaten von externen Sensoren einer Verkehrsinfrastruktur und/oder von anderen Kraftfahrzeugen stammen. Die Fahrzeugzustandsdaten sind insbesondere Ort, Geschwindigkeit und Richtung des automatisiert fahrenden Kraftfahrzeugs. Dabei können das erste Teilsystem und das zweite Teilsystem die gleichen Umfelddaten und/oder Fahrzeugzustandsdaten empfangen oder aber Daten von verschiedenen Datenquellen. Dass das erste Teilsystem und das dritte Teilsystem fail-silent sind, bedeutet, dass diese im Fehlerfall „stumm“ sind und nicht mehr an der Kommunikation teilnehmen. Vorzugsweise ist dem ersten und dritten Teilsystem eine erste Spannungsversorgung und dem zweiten und vierten Teilsystem eine zweite Spannungsversorgung zugeordnet, wobei die erste und zweite Spannungsversorgung voneinander unabhängig sind. Es ist aber auch möglich, jedem Teilsystem eine eigene, unabhängige Spannungsversorgung zuzuordnen.

Durch die Master-Slave-Konfiguration können das dritte und vierte Teilsystem die gleiche Aktorik ansteuern, ohne dass es zu Konflikten kommt, wobei durch die Ringstruktur gewährleistet ist, dass stets die Steuerbefehle berechnet und übertragen werden können. Der sichere Zustand beinhaltet auch, dass das Kraftfahrzeug noch weiter automatisiert fahren kann (entweder für eine begrenzte Strecke oder mit eingeschränkter Performance bzw. Geschwindigkeit).

Vorzugsweise berechnen das erste und zweite Teilsystem jeweils die mindestens eine Trajektorie und weiter vorzugsweise auch die Steuerbefehle, wobei dann das dritte und vierte Teilsystem nur für die Übertragung zu den Aktoren zuständig sind. Hierdurch können diese dann sehr einfach und robust ausgestaltet sein.

In einer Ausführungsform sind auch das zweite und/oder vierte Teilsystem fail-silent ausgebildet, sodass die diesbezügliche Überwachung durch die Master entfallen kann. Dabei sind verschiedene Realisierungen von fail-silent möglich. Dabei können auch in den Teilsystemen unterschiedliche Realisierungen vorgenommen werden. So kann beispielsweise eine watchdog-Schaltung mit einer hardwired and-Verbindung (aka shutoff path) zur Anwendung kommen, wobei der wachtdog auch in einem Sub-Controller angeordnet sein kann, der einen Main-Controller überwacht.

In einerweiteren Ausführungsform ist die Vorrichtung derart ausgebildet, dass bei einem Doppelfehler, von dem mindestens nicht das dritte Teilsystem oder das vierte Teilsystem betroffen sind, von dem dritten Teilsystem oder dem vierten Teilsystem ein Steuerbefehl für einen Nothalt erzeugt wird.

In einerweiteren Ausführungsform ist die Vorrichtung derart ausgebildet, dass im fehlerfreien Betrieb die Steuerbefehle für die Aktorik durch das zweite oder vierte Teilsystem berechnet und übertragen werden. Dabei können das zweite und vierte Teilsystem höher an Rechenleistung ausgelegt sein im Vergleich zum ersten und dritten Teilsystem. Das erste und dritte Teilsystem können dann im Aufbau einfacher gestaltet werden, sodass sich deren Zuverlässigkeit und Ausfallsicherheit entsprechend erhöht.

In einerweiteren Ausführungsform ist zusätzlich das erste Teilsystem mit dem vierten Teilsystem und/oder das zweite Teilsystem mit dem dritten Teilsystem verbunden. Hierdurch kann einerseits der Datenverkehr im Fehlerfall beschleunigt werden.

In einerweiteren Ausführungsform bestehen das dritte Teilsystem und das vierte Teilsystem aus jeweils mindestens zwei separaten Untersystemen. Die Untersysteme sind beispielsweise Ansteuereinheiten für ein Lenk-, Brems-, Antriebs- oder Getriebesystem.

Hinsichtlich der verfahrensmäßigen Ausgestaltung der Erfindung wird vollinhaltlich auf die vorangegangenen Ausführungen Bezug genommen.

Die Erfindung wird nachfolgend anhand bevorzugter Ausführungsbeispiele näher erläutert. Die Figuren zeigen: Fig. 1 eine schematische Darstellung einer Vorrichtung zur Erzeugung von Steuerbefehlen für ein automatisiert fahrendes Kraftfahrzeug in einer ersten Ausführungsform,

Fig. 2 eine schematische Darstellung einer Vorrichtung in einer zweiten Ausführungsform und

Fig. 3 eine schematische Darstellung einer Vorrichtung in einer dritten Ausführungsform.

In der Fig. 1 ist schematisch eine Vorrichtung 1 zur Erzeugung von Steuerbefehlen für ein automatisiert fahrendes Kraftfahrzeug dargestellt. Die Vorrichtung 1 umfasst ein erstes Teilsystem CM (Commander Master), ein zweites Teilsystem CS (Commander Slave), ein drittes Teilsystem EM (Executor Master) und ein viertes Teilsystem ES (Executor Slave). Das erste Teilsystem CM und das zweite Teilsystem CS sind über eine Datenverbindung IC (Inter Commander) miteinander verbunden. Ebenso sind das dritte Teilsystem EM und das vierte Teilsystem ES übereine Datenverbindung IE (Inter Executor Connection) miteinander datentechnisch verbunden. Weiter sind das erste Teilsystem CM und das dritte Teilsystem EM übereine Datenverbindung CEM (Commander-Executor Connection Master) miteinander verbunden. Schließlich sind das zweite Teilsystem CS und das vierte Teilsystem ES über eine Datenverbindung CES (Commander-Executor Connection Slave) miteinander verbunden. Dabei sind alle vier Teilsysteme CM, CS, EM und ES fail-silent ausgebildet.

Das erste Teilsystem CM und zweite Teilsystem CS erhalten Umfelddaten und Fahrzeugzustandsdaten und berechnen daraus jeweils eine Trajektorie. Dabei können die beiden Teilsysteme CM, CS die gleichen Daten erhalten oder aber diese erhalten die Daten von unterschiedlichen Sensorsystemen bzw. Datenquellen. Die Sensorsysteme bzw. Datenquellen können fahrzeugseitig und/oder extern sein. Das erste Teilsystem CM überträgt über die Datenverbindung CEM seine Trajektorie an das dritte Teilsystem EM und das zweite Teilsystem CS überträgt seine Trajektorie an das vierte Teilsystem ES. Das dritte und vierte Teilsystem EM, ES berechnen dann jeweils Steuerbefehle für die Aktoren. Vorzugsweise werden im fehlerfreien Betrieb nur die Steuerbefehle des vierten Teilsystems ES zur Ansteuerung der Aktoren verwendet. Alternativ können das erste Teilsystem CM und das zweite Teilsystem CS zusätzlich noch die Steuerbefehle berechnen und dann die Steuerbefehle an das dritte Teilsystem (EM) bzw. vierte Teilsystem (ES) übertragen, die dann die Steuerbefehle an die Aktoren übertragen. Dabei existieren grundsätzlich drei Arten von Steuerbefehlen, nämlich Steuerbefehle SB für den fehlerfreien Betrieb, Steuerbefehle SSS (System Safe State), um im Einzelfehlerfall das Kraftfahrzeug in einen sicheren Zustand zu überführen, und Steuerbefehle ESS (Executor Safe State) für einen Nothalt, die nur durch das dritte oder vierte Teilsystem EM, ES erzeugt werden. Im fehlerfreien Normalbetrieb werden die Daten des zweiten und vierten Teilsystems CS, ES für die Führung des Kraftfahrzeugs verwendet. Im Einzelfehler-Fall kann dann aufgrund der Struktur stets ein Steuerbefehl SSS initiiert und umgesetzt werden, was in der nachfolgenden Tabelle dargestellt ist. Anhand der Tabelle sind auch die Funktionen der einzelnen Teilsysteme und deren Verbindungen noch deutlicher geworden und lassen sich wie folgt zusammenfassen:

Erstes Teilsystem CM: überprüft das zweite Teilsystem CS und das dritte Teilsystem EM, übermittelt Befehle an das dritte Teilsystem EM und generiert Befehle für Steuerbefehle SSS, wenn notwendig;

Zweites Teilsystem CS: überprüft erstes Teilsystem CM und viertes Teilsystem ES, generiert Steuerbefehle für Normalbetrieb oder Steuerbefehle SSS, wenn notwendig;

Drittes Teilsystem EM: überprüft erstes Teilsystem CM und viertes Teilsystem ES, entscheidet, welcher Steuerpfad genutzt wird, führt Steuerbefehle ESS aus, wenn notwendig;

Viertes Teilsystem ES: überprüft drittes Teilsystem EM und zweites Teilsystem CS, übermittelt Slave-Befehle an drittes Teilsystem und führt Befehle vom dritten Teilsystem aus, führt Steuerbefehle vom zweiten Teilsystem CS im Normalbetrieb aus und führt Steuerbefehle ESS alleine aus, wen Master EM nicht vorhanden;

Verbindung IC: CM — CS: übermittelt Status des ersten Teilsystems CM und des dritten Teilsystems EM an zweites Teilsystem CS;

CS — CM: übermittelt Status des zweiten Teilsystems CS und des vierten Teilsystems ES an das erste Teilsystem, übermittelt Befehle und Statusinformationen zu Steuerbefehlen SSS an das erste Teilsystem;

Verbindung IE: EM — ES: übermittelt Status vom dritten Teilsystem, entscheidet über die Ausführung der Steuerbefehle von dem dritten oder dem vierten Teilsystem;

ES — EM: übermittelt Status vom vierten und zweiten Teilsystem, Status der Steuerbefehle SSS vom zweiten Teilsystem, Befehle vom zweiten Teilsystem; Verbindung CEM: CM — EM: Status des ersten Teilsystems, Status der Steuerbefehle SSS, Steuerbefehle;

EM — CM: Status des dritten und vierten Teilsystems;

Verbindung CES: CS — ES: Status des zweiten Teilsystems, Status der Steuerbefehle SSS, Steuerbefehle;

ES — CS: Status des dritten und vierten Teilsystems;

In der Fig. 2 ist eine alternative Ausführungsform dargestellt, die zwei weitere Datenverbindungen aufweist, nämlich eine Datenverbindung CEMS zwischen dem ersten Teilsystem CM und dem vierten Teilsystem ES und eine Datenverbindung CESM zwischen dem zweiten Teilsystem CS und dem dritten Teilsystem EM. Hierdurch ist zwischen diesen Teilsystemen ein direkter Austausch von Statussignalen und Steuerbefehlen möglich, was den Ablauf beschleunigt.

In der Fig. 3 ist eine weitere alternative Ausführungsform der Vorrichtung 1 dargestellt. Dabei bestehen die dritten und vierten Teilsysteme jeweils aus separaten Untersystemen EM1-EM4 bzw. ES1-ES4. Beispielsweise dienen die beiden Untersysteme EM1 und ES1 zur Ansteuerung eines Lenkaktors bzw. Lenksystems, die Untersysteme EM2 und ES2 zur Ansteuerung eines Bremsaktors bzw. Bremssystems usw. Dabei kann die Datenverbindung IE wie dargestellt ebenfalls in Datenverbindungen IE1-IE4 unterteilt sein. Der Vorteil ist dann eine einfachere Erweiterbarkeit der Vorrichtung 1.