BESCHREIBUNG:

Die Erfindung betrifft ein Betriebsverfahren für eine autonom betreibbare Vor richtung. Des Weiteren betrifft die Erfindung eine autonom betreibbare Vor richtung, die insbesondere gemäß dem Betriebsverfahren betrieben wird.

Autonom betreibbare Vorrichtungen kommen und sollen zukünftig vermehrt zum Einsatz kommen, um beispielsweise einen Bediener der Vorrichtung zu ersetzen oder zumindest zeitweise entlasten zu können. Beispielsweise kann es sich bei einer solchen autonom betreibbare Vorrichtung um Fahrzeuge, beispielsweise Personen kraftwagen , Fluggeräte, Lastkraftwagen oder auch um Fertigungsroboter handeln. Um derartige Vorrichtungen möglichst flexibel autonom betreiben zu können, werden diese meist durch selbstlernende Al gorithmen („machine learning algorithms“) gesteuert. Diese Algorithmen wer- den dabei optional während einer Lern- oder Trainingsphase eingelernt („trainiert“), um in möglichst vielen unterschiedlichen Situationen zu er wünschten Ergebnissen zu gelangen, d. h. entsprechende, von dem Nutzer als korrekt eingeschätzte Entscheidungen zu treffen. In diesem Fall ist das „Lernen“ der Algorithmen vor der realen Inbetriebnahme der Vorrichtung meist abgeschlossen. Optional kommen aber auch Algorithmen zum Einsatz, die während des realen Betriebs (weiterhin) lernen.

Nachteilig an diesen selbstlernenden Algorithmen ist jedoch, dass die ge- troffenen Entscheidungen probabilistischer Natur sind, d. h. auf Wahrschein- lichkeiten basieren. Da deshalb nur schwer abzuschätzen ist, in welchen Si- tuationen derartige selbstlernende Algorithmen falsche Entscheidungen tref- fen, ist deren Einsatz für sicherheitskritische Anwendungen, zum Beispiel autonomes Fahren von Fahrzeugen im Straßenverkehr problematisch.

Aus DE 10 2016 009 655 A1 ist beispielsweise bekannt, zwei selbstlernende Algorithmen, insbesondere zwei neuronale Netze bei einem Fahrzeug einzu- setzen, um zwei separate, den Betrieb des Fahrzeugs betreffende Entschei- dungen zu generieren. Diese werden anschließend miteinander verglichen und bei ungleichen Entscheidungen eine der beiden Entscheidungen hin- sichtlich einer Erfüllung von Ethik- und/oder Sicherheitskriterien überprüft. Erfüllt diese Entscheidung diese Kriterien, wird entsprechend dieser Ent- scheidung weiter verfahren, ansonsten wird die andere Entscheidung ge- wählt.

Der Erfindung liegt die Aufgabe zugrunde, einen möglichst sicheren autono- men Betrieb einer Vorrichtung zu ermöglichen.

Diese Aufgabe wird erfindungsgemäß gelöst durch ein Betriebsverfahren für eine autonom betreibbare Vorrichtung mit den Merkmalen des Anspruchs 1. Des Weiteren wird diese Aufgabe erfindungsgemäß gelöst durch eine auto- nom betreibbare Vorrichtung mit den Merkmalen des Anspruchs 9. Weitere vorteilhafte und teils für sich erfinderische Ausführungsformen und Weiterbil dungen der Erfindung sind in den Unteransprüchen und der nachfolgenden Beschreibung dargelegt.

Das erfindungsgemäße Betriebsverfahren dient zum Betrieb einer autonom betreibbaren Vorrichtung. Verfahrensgemäß werden dabei in einem autono- men Betriebsmodus der Vorrichtung mittels wenigstens einer insbesondere der Vorrichtung zugeordneten Sensorvorrichtung Sensordaten erfasst, die einen aktuellen Umgebungszustand der Vorrichtung betreffen. Diese Sen- sordaten werden einem Steuerungsalgorithmus zugeführt, der als selbstler- nender Algorithmus implementiert und abgeschlossen eingelernt ist. Der Steuerungsalgorithmus schätzt dabei auf Basis der Sensordaten den aktuel- len Umgebungszustand der Vorrichtung ein. Vorzugsweise analysiert und klassifiziert der Steuerungsalgorithmus den Umgebungszustand hierbei. An- schließend fällt der Steuerungsalgorithmus als ein aus der Einschätzung (d. h. insbesondere der Analyse und Klassifizierung) deduziertes Ergebnis eine Steuerungsentscheidung (die insbesondere auf den weiteren Betrieb der Vorrichtung gerichtet ist). Mittels eines von dem Steuerungsalgorithmus un- abhängigen Überwachungsalgorithmus wird außerdem eine Güte (im Fol- genden auch als„Ergebnisgüte“ bezeichnet) bezüglich der Steuerungsent- scheidung ermittelt. In Abhängigkeit von der ermittelten Ergebnisgüte wird dann die Vorrichtung gemäß der Steuerungsentscheidung (insbesondere weiterführend) betrieben oder die Steuerungsentscheidung wird verworfen und die Vorrichtung in einen sicheren Betriebszustand versetzt.

Mithin werden im bestimmungsgemäßen autonomen Betriebsmodus zwei voneinander unabhängige Algorithmen eingesetzt, wobei der der Überwa- chung des anderen Algorithmus dienende Algorithmus derart konzipiert ist, dass dieser nicht ein zum anderen Algorithmus paralleles (insbesondere auf das gleiche Ziel gleichgerichtetes) Ergebnis ausgibt, sondern vorzugsweise nur ermittelt, wie hoch die Wahrscheinlichkeit ist, dass das von dem anderen Algorithmus ermittelte Ergebnis„verlässlich“ oder„richtig“ ist.

Unter„abgeschlossen eingelernt“ wird hier und im Folgenden insbesondere verstanden, dass der selbstlernende Steuerungsalgorithmus im bestim- mungsgemäßen - d. h. realen oder tatsächlichen autonomen Betrieb - nicht mehr weiter lernt. Mithin sind seine„Entscheidungsparameter“ im tatsächli- chen Betrieb - also nach der Trainings- oder Einlernphase - unveränderlich oder fest vorgegeben.

Dadurch, dass der Steuerungsalgorithmus und der Überwachungsalgorith- mus unabhängig voneinander konzipiert und auf unterschiedliche Ziele ge- richtet sind (nämlich die Findung einer Steuerungsentscheidung und die Be- urteilung der Ergebnisgüte), kann vorteilhafterweise eine vergleichsweise sichere Entscheidung bezüglich des weiteren Betriebs der Vorrichtung getrof- fen werden. Vorzugsweise ist nämlich der Überwachungsalgorithmus nicht dazu konzipiert, die in der Steuerungsentscheidung enthaltenen Maßnahme an sich zu überprüfen, sondern vielmehr dazu, unabhängig von der enthalte- nen Maßnahme insbesondere eine Wahrscheinlichkeit auszugeben, ob das die Steuerungsentscheidung enthaltende Ergebnis grundsätzlich richtig sein kann. Dadurch, dass der Steuerungsalgorithmus abgeschlossen eingelernt ist, kann das Betriebsverfahren auch vergleichsweise ressourcenschonend, insbesondere im Hinblick auf Speicher- und Rechenkapazität, durchgeführt werden, da Ressourcen für den laufenden Lernprozess eingespart werden können. Außerdem kann ein abgeschlossen eingelernter Algorithmus ver- gleichsweise einfach überwacht werden, da sich dessen Verhalten aufgrund eines weitergeführten Lernprozesses nicht auf unvorhergesehene Weise än- dern kann.

Vorzugsweise wird im Rahmen des Betriebsverfahrens die Entscheidung hinsichtlich der Durchführung der Steuerungsentscheidung oder zur Verset- zung der Vorrichtung in den sicheren Betriebszustand mittels eines insbe- sondere deterministischen„Entscheidungsalgorithmus“ getroffen. Dieser ist dabei vorzugsweise unabhängig von dem Steuerungs- und dem Überwa- chungsalgorithmus implementiert. In einer einfachen Variante führt dieser Entscheidungsalgorithmus insbesondere einen Schwellwertvergleich der er mittelten Ergebnisgüte durch und leitet bei Unterschreitung des Schwell werts den sicheren Betriebszustand ein.

In einer bevorzugten Verfahrensvariante wird als Überwachungsalgorithmus ein selbstlernender aber vorzugsweise abgeschlossen eingelernter Algorith mus herangezogen. Dies trägt wiederum zur vorstehend beschriebenen Ressourcenschonung bei. Ferner ist auch hier das bereits eingelernte Ver- halten nicht durch einen weitergeführten Lernprozesses veränderlich, was zu unvorhergesehenen Ergebnissen führen könnte.

In einer optionalen Verfahrensvariante wird als Sensorvorrichtung beispiels- weise wenigstens eine - insbesondere in Fahrtrichtung gerichtete - Kamera zur optischen Erfassung der Sensordaten herangezogen. Zusätzlich oder alternativ werden Radarsensoren und/oder andere Näherungssensoren, op- tional auch Drucksensoren zur Erfassung der Sensordaten herangezogen. In einer weiteren bevorzugten Verfahrensvariante ist der Überwachungsalgo- rithmus darauf eingelernt, zu erkennen, ob der aktuelle Umgebungszustand der Vorrichtung in Lerndaten (auch:„Trainingsdaten“) des Steuerungsalgo- rithmus enthalten ist und daraus auf die Ergebnisgüte (d. h. insbesondere auf eine voraussichtliche Fehlerhaftigkeit der Steuerungsentscheidung) zu schließen. Im bestimmungsgemäßen, autonomen Betriebsmodus der Vor- richtung ermittelt der Überwachungsalgorithmus also, ob der aktuelle Umge- bungszustand der Vorrichtung in den Trainingsdaten enthalten ist und schließt daraus auf die Ergebnisgüte. Vorzugsweise setzt der Überwa- chungsalgorithmus die Ergebnisgüte (insbesondere deren Wert) herab, wenn der durch die Sensordaten charakterisierte Umgebungszustand (insbesonde- re das sich daraus ergebende„Szenario“) unbekannt - d. h. nicht in den Lerndaten des Steuerungsalgorithmus enthalten - ist. Ein Beurteilungskrite- rium der Ergebnisgüte ist somit die Bekanntheit des Umgebungszustands. Ist ein aktueller Umgebungszustand nicht hinreichend durch die Lerndaten ab- gebildet und somit nicht vom Steuerungsalgorithmus aus den Lerndaten (oder:„Trainingsszenarien“) herleitbar (oder mit diesen vergleichbar), folgert der Überwachungsalgorithmus somit, dass der Steuerungsalgorithmus unter Umständen zu einer falschen Entscheidung (und somit nicht mit hinreichen- der Sicherheit zu einer richtigen Entscheidung) gelangen kann. In diesem Fall wird die Ergebnisgüte herabgesetzt.

In einer zur vorstehend beschriebenen Verfahrensvariante zusätzlichen oder alternativen, zweckmäßigen Verfahrensvariante ist der Überwachungsalgo- rithmus darauf eingelernt, ein Maß für eine Belegung einer System ressou ree eines ersten Controllers, auf dem der Steuerungsalgorithmus abgearbeitet wird, zu ermitteln und anhand dieses Maßes auf die Ergebnisgüte zu schlie ßen. Im bestimmungsgemäßen, autonomen Betriebsmodus der Vorrichtung ermittelt der Überwachungsalgorithmus somit dieses Maß und schließt da- raus auf die Ergebnisgüte. Als Maß für die System ressou ree des Controllers wird dabei beispielsweise eine Rechenzeit ermittelt, für die der Steuerungs- algorithmus den Controller, insbesondere einen Mikroprozessor des Control- lers belegt, d. h. wie lange der Steuerungsalgorithmus für die Berechnung (d. h. das Fällen) der Steuerungsentscheidung braucht. Überschreitet die Re- chenzeit eine für das Fällen der Steuerungsentscheidung übliche Zeitspanne von bspw. 100 Millisekunden, schließt der Überwachungsalgorithmus auf das Vorliegen einer unüblichen Situation (auch als„Ausnahmesituation“ bezeich- net) und setzt entsprechend die Entscheidungsgüte herab. Als zusätzliches oder alternatives Maß wird die Belegung eines Arbeitsspeichers (insbeson- dere eines Anteils dessen) des ersten Controllers ermittelt. Belegt der Steue- rungsalgorithmus einen vergleichsweise (insbesondere im Vergleich zu übli- chen Berechnungsvorgängen) großen Anteil des zur Verfügung stehenden Arbeitsspeichers, deutet dies ebenfalls auf eine Ausnahmesituation hin. Op- tional zieht der Überwachungsalgorithmus die dem Steuerungsalgorithmus zugeführten Sensordaten ebenfalls heran, insbesondere um abzuschätzen, ob sich die Sensordaten derart geringfügig gegenüber einer vorhergehenden Situation (also insbesondere gegenüber der vorhergehenden Steuerent- scheidung) geändert haben, dass nicht mit einem erhöhten Ressourcenauf- wand zu rechnen ist. Somit ist der Überwachungsalgorithmus optional dazu eingelernt, die vom Steuerungsalgorithmus voraussichtlich angeforderten oder zu belegenden System ressou rcen abzuschätzen und auf dieser Basis das tatsächliche Maß für die Belegung zu beurteilen.

In einer zweckmäßigen Verfahrensvariante des Betriebsverfahrens, die auch eine eigenständige Erfindung darstellt, werden zunächst mittels der wenigs- tens einen Sensorvorrichtung die den aktuellen Umgebungszustand betref- fenden Sensordaten erfasst und dem Steuerungsalgorithmus zugeführt. Die- ser schätzt daraufhin auf Basis der Sensordaten den aktuellen Umgebungs- zustand ein und fällt die Steuerungsentscheidung. Hierbei ist eine Entschei- dungsmethodik des Steuerungsalgorithmus derart gewählt, dass ein Verlauf von zur Steuerungsentscheidung führenden Einzelentscheidungen offenge- legt ist - d. h. insbesondere nachvollzogen werden kann. Während der Lern- phase des Steuerungsalgorithmus wird dabei die jeweilige ausgegebene Steuerungsentscheidung auf Richtigkeit (insbesondere auf Konformität mit der zum Lernen gewählten und zugeführten Umgebungssituation) überprüft. Beispielsweise wird dabei überprüft, ob insbesondere ein Hindernis korrekt erkannt und eine entsprechende kollisionsverhindernde Entscheidung (näm- lich die Steuerungsentscheidung) gefällt wird - bspw. Verlangsamung der aktuellen Bewegung, ein Ausweichmanöver oder dergleichen. Im Fehlerfall - d. h. wenn keine entsprechende (zu erwartende) Entscheidung gefällt wird - wird der Verlauf der Einzelentscheidungen auf eine Eingabe von einer Grundlage der Fehlentscheidung des Steuerungsalgorithmus bildende Teile der Sensordaten (bspw. einzelne Datenpunkte) untersucht. Derartige fehler- bedingende Teile der Sensordaten werden dann im (insbesondere realen) autonomen Betriebsmodus gefiltert, d. h. vorzugsweise dem Steuerungsalgo- rithmus nicht zugeführt oder von diesem nicht berücksichtigt. Diese Verfah- rensvariante ist dabei grundsätzlich unabhängig von dem vorstehend be- schriebenen Überwachungsalgorithmus.

In einer weiteren zweckmäßigen Verfahrensvariante ist der Überwachungs- algorithmus darauf eingelernt, insbesondere zu erkennen, ob die dem Steue- rungsalgorithmus zugeführten Sensordaten zumindest teilweise (bspw. in Form einzelner Datenpunkte) eine Grundlage einer Fehlentscheidung des Steuerungsalgorithmus bilden. Insbesondere ist diese Verfahrensvariante zumindest teilweise mit der vorstehenden Verfahrensvariante kombiniert, indem wie vorstehend beschrieben während der Lernphase des Steuerungs- algorithmus die fehlerbedingenden Teile der Sensordaten identifiziert und dem Überwachungsalgorithmus zum Training hinsichtlich der Abschätzung der Ergebnisgüte zugeführt werden. Mit anderen Worten wird der Überwa- chungsalgorithmus vorzugsweise(optional zusätzlich) auf die Erkennung die ser fehlerbedingenden Teile der Sensordaten trainiert, und ist somit dazu eingerichtet, anhand der Erkennung solcher fehlerbedingenden Teile der Sensordaten auf die Ergebnisgüte zu schließen, insbesondere die Ergebnis- güte herabzusetzen, wenn solche Teile der Sensordaten, die als zu Fehlern führend bekannt sind, identifiziert werden.

In einer bevorzugten Verfahrensvariante ist der Überwachungsalgorithmus durch ein von dem Steuerungsalgorithmus unterschiedliches Modell imple- mentiert. D. h., dass der Überwachungsalgorithmus auf einem anderen selbstlernenden Algorithmus, insbesondere einer unterschiedlichen„Lernme- thodik“ basiert ist. Beispielsweise wird für den Steuerungsalgorithmus ein Entscheidungsbaum-Modell (z. B.„boosted decision tree“,„decision forests“ oder„random forests“) herangezogen und für den Überwachungsalgorithmus ein neuronales Netz oder dergleichen. Dadurch wird die Unabhängigkeit der beiden Algorithmen voneinander weiter gefördert. Die Ausbildung des Steue- rungsalgorithmus durch das Entscheidungsbaum-Modell ist auch im Hinblick auf die vorstehend beschriebene Offenlegung des Entscheidungs-Verlaufs vorteilhaft. Hier kann nämlich der Verlauf der Einzelentscheidungen anhand der jeweiligen Zwischenschritte besonders einfach nachvollzogen werden.

In einer zweckmäßigen Verfahrensvariante weist die Vorrichtung den vorste- hend genannten ersten Controller und einen von diesem unabhängigen zwei- ten Controller auf, die vorzugsweise hardwaretechnisch unabhängig vonei- nander ausgebildet sind. Der Steuerungsalgorithmus wird dabei durch den ersten Controller und der Überwachungsalgorithmus durch den zweiten Con- troller abgearbeitet werden. Dadurch wird eine getrennte Bearbeitung der beiden Algorithmen auf besonders einfache Weise ermöglicht und eine ge- genseitige Beeinflussung vorteilhafterweise verhindert. Außerdem wird eine gleichlaufende Beeinflussung beider Algorithmen durch einen Hardwarefeh- ler eines gemeinsam genutzten Controllers vermieden. Optional weist die Vorrichtung auch einen dritten (unabhängigen) Controller auf, auf dem der vorstehend beschriebene Entscheidungsalgorithmus implementiert ist und abgearbeitet wird.

In einer optionalen Verfahrensvariante wird ein weiterer selbstlernender, aber vorzugsweise abgeschlossen eingelernter Zusatzalgorithmus verwendet, insbesondere für den Fall, dass die Ergebnisgüte von dem Überwachungsal- gorithmus als schlecht, d. h. besonders niedrig eingeschätzt wird. Beispiels- weise wird dieser Zusatzalgorithmus dazu verwendet, eine alternative Steue- rungsentscheidung auf Basis der Sensordaten zu finden. In diesem Fall wird weiter vorzugsweise ein weiterer Überwachungsalgorithmus (insbesondere analog zu dem vorstehend beschriebenen„ersten“ Überwachungsalgorith- mus) abgearbeitet, um die Ergebnisgüte des Zusatzalgorithmus oder einer Kombination des Steuerungsalgorithmus und des Zusatzalgorithmus zu er mitteln . Weiter optional wird wenigstens ein weiterer (insbesondere unabhängig im- plementierter) Überwachungsalgorithmus zur Ermittlung der Ergebnisgüte herangezogen. Optional werden die jeweils ermittelten Ergebnisgüten gemit- telt. Dadurch kann vorteilhafterweise die Genauigkeit der ermittelten Ergeb- nisgüte gesteigert werden.

In einer bevorzugten Verfahrensvariante handelt es sich bei der Vorrichtung um ein Kraftfahrzeug, insbesondere ein Personen-Kraftfahrzeug. Das Kraft- fahrzeug wird dabei in den sicheren Betriebszustand versetzt, indem vor- zugsweise eine Reduktion der Fahrgeschwindigkeit eingeleitet wird. Optional wird dabei die Fahrgeschwindigkeit„nur“ verringert und gegebenenfalls die Steuerung an einen Fahrer des Fahrzeugs - vorzugsweise auf eine entspre- chende Warnung hin - übergeben. Alternativ (oder gegebenenfalls bei aus- bleibender Übernahme der Steuerung durch den Fahrer) wird die Fahrge- schwindigkeit bis zum Stopp des Kraftfahrzeugs reduziert und gegebenen- falls das Kraftfahrzeug geparkt (auf einer Autobahn bspw. auf einem Seiten- streifen).

Die erfindungsgemäße autonom betreibbare Vorrichtung, die insbesondere durch das Kraftfahrzeug (alternativ bspw. durch ein anderes Fahrzeug oder durch einen Industrieroboter) gebildet ist, umfasst die wenigstens eine Sen- sorvorrichtung zur Erfassung der den aktuellen Umgebungszustand der Vor- richtung betreffenden Sensordaten. Außerdem umfasst die Vorrichtung einen Betriebscontroller, der dazu eingerichtet ist, das vorstehend beschriebene Betriebsverfahren insbesondere selbsttätig durchzuführen. Mit anderen Wor- ten ist der Betriebscontroller dazu eingerichtet, die Sensordaten dem Steue- rungsalgorithmus zuzuführen, mittels des Steuerungsalgorithmus auf Basis der Sensordaten den aktuellen Umgebungszustand der Vorrichtung einzu- schätzen und die Steuerungsentscheidung zu fällen. Ferner ist der Betriebs- Controller dazu eingerichtet, mittels des von dem Steuerungsalgorithmus un- abhängigen Überwachungsalgorithmus die Ergebnisgüte der Steuerungsent- scheidung zu ermitteln und in Abhängigkeit von der Ergebnisgüte die Vorrich- tung gemäß der Steuerungsentscheidung (insbesondere weiterführend) zu betreiben oder die Steuerungsentscheidung zu verwerfen und die Vorrich- tung in einen sicheren Betriebszustand zu versetzen.

In einer bevorzugten Ausbildung weist der Betriebscontroller den ersten und den von diesem unabhängigen zweiten Controller auf, die hardwaretechnisch jeweils separat voneinander ausgebildet sind. Der Steuerungsalgorithmus ist dabei auf dem ersten Controller und der Überwachungsalgorithmus auf dem zweiten Controller implementiert.

In bevorzugter Ausgestaltung ist der Betriebscontroller zumindest im Kern durch einen Mikrocontroller mit einem Prozessor und einem Datenspeicher gebildet, in dem die Funktionalität zur Durchführung des erfindungsgemäßen Betriebsverfahrens in Form einer Betriebssoftware (Firmware) programm- technisch implementiert ist. In diesem Fall wird das Betriebsverfahren bei Ausführung der Betriebssoftware in dem Mikrocontroller selbsttätig durchge- führt. Alternativ ist der Betriebscontroller durch ein nicht-programmierbares elektronisches Bauteil, z.B. einen ASIC, gebildet. In diesem Fall ist die Funk- tionalität zur Durchführung des erfindungsgemäßen Betriebsverfahrens schaltungstechnisch implementiert. Vorzugsweise sind die ersten und zwei- ten Controller, sowie gegebenenfalls der dritte Controller, als jeweils hard- waretechnisch unabhängige (Sub-)Controller des Betriebscontrollers und vorzugsweise analog zu dem Betriebscontroller insbesondere durch je einen Mikrocontroller mit einem Prozessor und einem Datenspeicher ausgebildet, auf denen die jeweilige Algorithmen als voneinander unabhängige Software- Komponenten implementiert sind.

Die Konjunktion„und/oder“ ist hier und im Folgenden insbesondere derart zu verstehen, dass die mittels dieser Konjunktion verknüpften Merkmale sowohl gemeinsam als auch als Alternativen zueinander ausgebildet sein können.

Nachfolgend werden Ausführungsbeispiele der Erfindung anhand einer Zeichnung näher erläutert. Darin zeigen: Fig. 1 in einer schematischen Seitenansicht ein Kraftfahrzeug, dass zu ei- nem autonomen Fährbetrieb eingerichtet ist, und

Fig. 2 in einem schematischen Ablaufdiagramm ein von einem Betriebscon- troller des Kraftfahrzeugs durchgeführtes Betriebsverfahren.

Einander entsprechende Teile (und Größen) sind in allen Figuren stets mit gleichen Bezugszeichen versehen.

In Figur 1 ist schematisch ein Kraftfahrzeug 1 dargestellt, dass eine autonom betreibbare Vorrichtung darstellt. Das Kraftfahrzeug 1 weist dabei einen Be- triebscontroller 2 auf, der zur Durchführung eines nachfolgend näher be- schriebenen Betriebsverfahrens eingerichtet ist. Des Weiteren weist das Kraftfahrzeug 1 eine Sensorvorrichtung, konkret eine Kamera 3 auf, die dazu eingerichtet ist, im Fährbetrieb des Kraftfahrzeugs 1 die Umgebung des Kraftfahrzeugs 1 optisch zu erfassen und die dabei erfassten Sensordaten D an den Betriebscontroller 2 bereitzustellen.

Der Betriebscontroller 2 umfasst einen ersten Controller 6, auf dem ein Steuerungsalgorithmus 8 lauffähig implementiert ist. Des Weiteren umfasst der Betriebscontroller 2 einen zweiten Controller 10, auf dem ein Überwa- chungsalgorithmus 12 lauffähig implementiert ist. Außerdem umfasst der Be- triebscontroller 2 einen dritten Controller 14 auf dem ein Entscheidungsalgo- rithmus 16 lauffähig implementiert ist. Ferner umfasst der Betriebscontroller 2 einen Aktuator-Controller 18, der dazu eingerichtet ist, Aktuatoren des Kraft- fahrzeugs 1 , konkret einen Fahrmotor, Bremsen sowie eine Lenkung des Kraftfahrzeugs 1 anzusteuern.

In einem autonomen (Fahr-)Betriebsmodus führt der Betriebscontroller 2 das in Figur 2 dargestellt Betriebsverfahren durch. Dazu erfasst der Betriebscon- troller 2 in einem ersten Verfahrensschritt 20 mittels der Kamera 3 die Sen- sordaten D und führt diese dem ersten Controller 6 und damit dem Steue- rungsalgorithmus 8 zu. Der Steuerungsalgorithmus 8 ist ein abgeschlossen eingelernter Maschinenlern-Algorithmus, der mit einer Entscheidungsbaum- Methodik implementiert ist. Der Steuerungsalgorithmus 8 ist dabei dazu eingelernt (oder: trainiert), in einem Verfahrensschritt 30 anhand der Sensordaten D die Umgebungssitua- tion, d. h. den Umgebungszustand des Kraftfahrzeugs 1 einzuschätzen. Mit anderen Worten leitet der Steuerungsalgorithmus 8 aus den Sensordaten D ein„Bild“ (oder:„Szenario“) der Umgebungssituation ab, ermittelt dabei, ob sich im zukünftigen Fahrtweg Hindernisse (in Figur 1 durch eine Mauer 32 angedeutet) befinden, und gibt als ein deduziertes Ergebnis daraufhin eine Steuerungsentscheidung E aus. Im vorliegenden Fall - d. h. der Steuerungs- algorithmus 8 hat anhand der Sensordaten D auf das Vorhandensein der Mauer 32 im Fahrtweg geschlossen - ist die Steuerungsentscheidung E ent- weder auf ein Ausweichmanöver (sofern der mögliche Ausweichweg von wei- teren Hindernissen frei ist) oder auf ein Bremsmanöver gerichtet.

In einem Verfahrensschritt 40 ermittelt der Überwachungsalgorithmus 12 ei- ne Ergebnisgüte G der Steuerungsentscheidung E. Die Ergebnisgüte G spiegelt dabei eine Wahrscheinlichkeit wieder, ob die Steuerungsentschei- dung E richtig oder falsch ist. Dazu führt der Betriebscontroller 2 dem zweiten Controller 10 die Sensordaten D zu. In einer optionalen Variante dieses Aus- führungsbeispiels wird dem zweiten Controller 10 auch die Steuerungsent- scheidung E zugeführt. Der Überwachungsalgorithmus 12 ist nach einer von dem Steuerungsalgorithmus 8 abweichenden Methodik konzipiert, hier kon- kret als neuronales Netz. Der Steuerungsalgorithmus 8 ist dabei abgeschlos- sen darauf trainiert, zu erkennen, ob konkret die aus den Sensordaten D ab- leitbare Umgebungssituation (das aktuelle Szenario) durch die Trainingsda- ten (Trainingsszenarien), mittels derer der Steuerungsalgorithmus 8 trainiert wurde, abgebildet werden kann. Wenn dies der Fall ist, setzt der Überwa- chungsalgorithmus 12 die Ergebnisgüte auf einen hohen Wert, der anzeigt, dass die Steuerungsentscheidung E mit hoher Wahrscheinlichkeit richtig ist. Bilden die Trainingsdaten die durch die Sensordaten D charakterisierte Um- gebungssituation jedoch nicht ab, geht der Überwachungsalgorithmus 12 davon aus, dass der Steuerungsalgorithmus 8 anhand der Sensordaten D nicht mit hoher Zuverlässigkeit zu einem richtigen Ergebnis gelangen kann und setzt entsprechend die Ergebnisgüte G auf einen niedrigen Wert. In einem optionalen Ausführungsbeispiel ermittelt der Überwachungsalgo- rithmus 12 die Ergebnisgüte G anhand von belegten System ressourcen, konkret der Rechenzeit und/oder dem belegten Anteil des Arbeitsspeichers des ersten Controllers 6. Überschreitet die Rechenzeit und/oder der belegte Anteil des Arbeitsspeichers einen bestimmten Wert, setzt der Überwa- chungsalgorithmus 12 die Ergebnisgüte G auf einen niedrigen Wert.

Die Ergebnisgüte G und die Steuerungsentscheidung E werden in einem Verfahrensschritt 50 dem dritten Controller 14 und somit dem Entschei- dungsalgorithmus 16 zugeführt. Der Entscheidungsalgorithmus 16 ist deter- ministisch angelegt und entscheidet anhand der Ergebnisgüte G, ob die Steuerungsentscheidung E durchgeführt werden soll, oder ob das Risiko, dass die Steuerungsentscheidung E zu einer kritischen Situation führt, zu hoch ist. In letzterem Fall entscheidet der Entscheidungsalgorithmus 16, das Kraftfahrzeug 1 in einen sicheren Betriebszustand zu überführen, indem eine Reduktion der Fahrgeschwindigkeit und ein Abstellen (Parken) des Kraftfahr- zeugs 1 erfolgt. In beiden Fällen gibt der Entscheidungsalgorithmus 16 einen Steuerbefehl B an den Aktuator-Controller 18 aus. Dieser Steuerbefehl B enthält bei hoher Ergebnisgüte G die Steuerungsentscheidung E, anderen- falls entsprechende Anweisungen, den sicheren Betriebsmodus herzustellen. Zur Durchführung des Steuerbefehls B übersetzt der Aktuator-Controller 18 den Steuerbefehl B in entsprechende, an den jeweiligen Aktuator gerichtete Stellsignale S.

Der Gegenstand der Erfindung ist nicht auf das vorstehend beschriebene Ausführungsbeispiel beschränkt. Vielmehr können weitere Ausführungsfor- men der Erfindung von dem Fachmann aus der vorstehenden Beschreibung abgeleitet werden.