Damit autonome Fahrzeuge auch sicher ans Ziel kommen, muss die passende Fahrtroute dynamisch gewählt und in sichere Segmente zerlegt werden. Gegenüber dem assistierten Fahren müssen dabei deutlich komplexere Funktionen realisiert und ein hohes Sicherheitsniveau gewährleistet werden. Voraussetzung ist dafür eine konfigurierbare, modulare und skalierbare Architektur zur Implementierung autonomer Fahranwendungen.
In den vergangenen Jahren hat die Automobilindustrie die Funktionsmerkmale, die auf eine Unterstützung des Fahrers in schwierigen Verkehrssituationen abzielen, ganz erheblich verbessert. Diese im Allgemeinen unter dem Begriff Fahrerassistenzsystem (ADAS, Advanced Driver Assistance System) zusammengefassten Funktionen reichen vom Einparken über Spurhalteassistenten (LKA, Lane Keeping Assistance) bis hin zu komplexeren Funktionen wie adaptivem Tempomat (ACC, Advanced Cruise Control). Solche Funktionen erfordern eine begrenzte Anzahl an Sensoren. Die in Bild 1 gezeigte Architektur stellt eine mögliche Konstruktion zur Implementierung von Funktionen wie Spurhalteassistent und adaptivem Tempomat dar.
Unter der Voraussetzung, dass Spurhalteassistent und Tempomat entsprechend den Richtlinien von ISO 26262 realisiert wurden, kann eine solche Architektur das Egofahrzeug in einem sicheren Zustand halten. Die Erwartungen an Autonomes Fahren (AD) sind jedoch weitaus höher und erweitern den Komplexitätsgrad des Systems ganz erheblich.
Die Komplexitätsexplosion
Um zunehmend komplexe autonome Fahrfunktionen wahrzunehmen, muss die Anwendung eine aufwendigere und präzisere Darstellung der Verkehrssituation durch Einbeziehung einer immer größeren Zahl von Sensoren wie Radargeräten, Kameras, GPS-Ortung und hochauflösenden Karten ermöglichen. Eine Architektur wie die in Bild 1 gezeigte hat grundsätzlich mehrere gravierende Nachteile.
Erstens bietet diese Architektur nur geringe Konfigurationsmöglichkeiten. Zweitens erfordert sie auch den Austausch einer Datenmenge zwischen Komponenten, die mit steigender Anzahl von Sensoren immer größer wird. Damit wächst die Kommunikationsbandbreite, wodurch sich die Skalierbarkeit der Lösung verringern kann. Mit zunehmender Komplexität müssen mehr Funktionen zu den Entscheidungs- und Planungsebenen hinzugefügt werden. In der Folge sinkt die Modularität. Es sei auch darauf hingewiesen, dass diese Aspekte gegen die Empfehlungen der ISO 26262 sprechen.
Eine besser geeignete Architektur ist in Bild 2 zu sehen. Diese Architektur ermöglicht auch die Implementierung des oben erwähnten Spurhalteassistenten und Tempomats, dargestellt in den dunkelblauen Kästen. Auch die Integration neuer autonomer Fahrfunktion kann skalierbarer und reibungsloser erfolgen. Funktionen wie Spurwechselassistent (LCA) oder Notfall-Fahrmanöver (MRM) können ohne Beeinflussung des LKA/ ACC-Moduls hinzugefügt werden.
Zu beachten ist auch, dass diese Architektur vom Standpunkt der Funktionssicherheit aus eine kohärente Partitionierung der unterschiedlichen Module erlaubt, sodass eine hohe Kohärenz erreicht wird und die Schnittstellen zwischen Komponenten gleichzeitig möglichst schmal bleiben.
Sicheres Überholen auf der Autobahn
Der Anwendungsfall des Überholens eines vorausfahrenden Fahrzeugs auf einer dreispurigen Autobahn ist eine der gängigsten Situationen (siehe Bild 3). Für die autonome Fahranwendung besteht das Manöver darin, vom LKA/ACCModus auf den Spurwechselassistenten (LCA) umzuschalten. Aus Gründen der Funktionssicherheit wird die Notfall-Fahrmanöverkomponente ebenfalls aktiviert. Diese sorgt dafür, dass in allen Situationen einschließlich aller Fehlersituationen, die jederzeit auftreten können, ein sicherer Zustand aufrechterhalten werden kann. Hier ist darauf hinzuweisen, dass die autonome Fahranwendung bei einer solchen Aufgabe nur Fahrfertigkeiten ausübt.
Umgang mit Autobahnausfahrten
Bei einem höheren Grad an Autonomie muss die Anwendung komplexere Situationen meistern wie etwa das Anfahren einer Autobahnausfahrt, wie in Bild 4 dargestellt. Das rote Egofahrzeug nähert sich der zu benutzenden Ausfahrt. Nun liegt die Gefahr bei einem abstrakteren Begriff: einem gefährlichen Fahrstil. Dies kommt in einem höheren Abstraktionsgrad zum Ausdruck und kann nicht mit Gefahren aufgrund der Verkehrssituation vermischt werden. Zum Umgang mit dieser Situation muss die autonome Fahranwendung über Situationsanalysefähigkeiten verfügen.
Genauer gesagt verfügt die in Bild 2 gezeigte Architektur über keinerlei Mechanismen, mit denen sich die Frage klären lässt, ob ein Überholen des vorausfahrenden Fahrzeugs bzw. der vorausfahrenden Fahrzeuge auf sichere Weise möglich ist. Eine solche Architektur ist in Bild 5 dargestellt.
Die blau dargestellte Architektur aus Bild 2 ist dabei um das notwendige Modul zur Berechnung der Bahnen auf der Ausfahrtspur ergänzt. Bild 5 zeigt darüber hinaus eine zusätzliche gelbe Ebene. Als Eingangsdaten nutzt diese Ebene Informationen wie die vom GPS ermittelte Position und hochauflösende (HD)-Karten der Fahrzeugumgebung.
Das einem solchen Ansatz zugrunde liegende Konzept lässt sich mit Begriffen wie sichere Zustände und sicheres Segment umschreiben. Ein sicheres Segment besteht aus einer kontinuierlichen Abfolge sicherer Zustände zwischen wesentlichen Aktionspunkten wie Autobahnausfahrten. In diesen Segmenten können alle Fahrentscheidungen der unteren Ebene überlassen werden, auf der die autonome Fahranwendung ihre Fahrfertigkeiten nutzt. Andererseits sind in der Nähe der wesentlichen Punkte einige der fahrfertigkeitsbezogenen Aktionen durch Situationsanalysefähigkeiten zu entschärfen.
Vollautonomes Fahren
Das im vorhergehenden Abschnitt beschriebene Konzept lässt sich noch erweitern. Das eigentlich Ziel des Fahrers und der Insassen des Fahrzeugs besteht darin, von Punkt A zu Punkt B zu gelangen. Der Weg, dem das Fahrzeug folgt, ist eine Ansammlung von Segmenten, die an einigen speziellen Punkten durch Richtungswechsel getrennt sind. Diese Art von Fahrt hat auch einige zeitliche Beschränkungen, selbst wenn es keine sehr dringlichen sind (Beispiel: Ein Fahrer, der sich um 14 Uhr auf eine einstündige Fahrt begibt, möchte vor Anbruch der Dunkelheit am Zielort ankommen). Die Auswahl eines sicheren Wegs muss in Abhängigkeit davon erfolgen. Bei falscher Auswahl kann es zu gefährlichen Situationen kommen.
Es scheint daher die richtige Erweiterung des im vorhergehenden Abschnitts dargelegten Konzepts zu sein, eine sichere Fahrt als eine Ansammlung sichererer Segmente zu betrachten. Am wichtigsten ist eine stabile Definition von sicherer Fahrt. In vielen Fällen entwickelt sich die Verkehrssituation im Verlauf der Fahrt beispielsweise durch Unfälle oder Staus auf eine nicht vorhergesehene Weise. Es ist darauf hinzuweisen, dass die Handhabung des Begriffs einer sicheren Fahrt wiederum auf einer anderen konzeptionellen Ebene erfolgt, aber auch von der Art der behandelten Gefahren abhängt.
Da scheint es nur nahezuliegen, eine weitere Steuerungsebene zur im vorherigen Abschnitt beschriebenen Architektur hinzuzufügen. Ziel dieser Ebene ist die Umsetzung der Planungsfähigkeiten der autonomen Fahranwendung und somit die Umwandlung der geplanten Fahrt in eine Abfolge sicherer Segmente und zweitens bei Bedarf die dynamische Erstellung eines Satzes alternativer Fahrrouten und der zugehörigen Segmente.
Fazit
Mit einfachen ADAS-Funktionen wie Spurhalteassistent und adaptiver Tempomat kann die zugrunde liegende Architektur in einem sehr einfachen, flachen Layout verbleiben. Für die Behandlung komplexerer Situationen wie Autobahnausfahrten müssen die Architekturkonzepte erweitert werden.
Für die allerhöchste Ebene des autonomen Fahrens muss die autonome Fahranwendung in der Lage sein, eine sichere Fahrt auszuwählen, die sich aus einer dynamisch berechneten Ansammlung sicherer Segmente zusammensetzt. Mit einem hierarchischen Ansatz kann sich das Fahrzeug ohne Eingriffe des Fahrers auf eine sichere Reise begeben, und genau dies ist Level 5 des autonomen Fahrens.
In den vergangenen Jahren hat die Automobilindustrie die Funktionsmerkmale, die auf eine Unterstützung des Fahrers in schwierigen Verkehrssituationen abzielen, ganz erheblich verbessert. Diese im Allgemeinen unter dem Begriff Fahrerassistenzsystem (ADAS, Advanced Driver Assistance System) zusammengefassten Funktionen reichen vom Einparken über Spurhalteassistenten (LKA, Lane Keeping Assistance) bis hin zu komplexeren Funktionen wie adaptivem Tempomat (ACC, Advanced Cruise Control). Solche Funktionen erfordern eine begrenzte Anzahl an Sensoren. Die in Bild 1 gezeigte Architektur stellt eine mögliche Konstruktion zur Implementierung von Funktionen wie Spurhalteassistent und adaptivem Tempomat dar.
Unter der Voraussetzung, dass Spurhalteassistent und Tempomat entsprechend den Richtlinien von ISO 26262 realisiert wurden, kann eine solche Architektur das Egofahrzeug in einem sicheren Zustand halten. Die Erwartungen an Autonomes Fahren (AD) sind jedoch weitaus höher und erweitern den Komplexitätsgrad des Systems ganz erheblich.
Die Komplexitätsexplosion
Um zunehmend komplexe autonome Fahrfunktionen wahrzunehmen, muss die Anwendung eine aufwendigere und präzisere Darstellung der Verkehrssituation durch Einbeziehung einer immer größeren Zahl von Sensoren wie Radargeräten, Kameras, GPS-Ortung und hochauflösenden Karten ermöglichen. Eine Architektur wie die in Bild 1 gezeigte hat grundsätzlich mehrere gravierende Nachteile.
Erstens bietet diese Architektur nur geringe Konfigurationsmöglichkeiten. Zweitens erfordert sie auch den Austausch einer Datenmenge zwischen Komponenten, die mit steigender Anzahl von Sensoren immer größer wird. Damit wächst die Kommunikationsbandbreite, wodurch sich die Skalierbarkeit der Lösung verringern kann. Mit zunehmender Komplexität müssen mehr Funktionen zu den Entscheidungs- und Planungsebenen hinzugefügt werden. In der Folge sinkt die Modularität. Es sei auch darauf hingewiesen, dass diese Aspekte gegen die Empfehlungen der ISO 26262 sprechen.
Eine besser geeignete Architektur ist in Bild 2 zu sehen. Diese Architektur ermöglicht auch die Implementierung des oben erwähnten Spurhalteassistenten und Tempomats, dargestellt in den dunkelblauen Kästen. Auch die Integration neuer autonomer Fahrfunktion kann skalierbarer und reibungsloser erfolgen. Funktionen wie Spurwechselassistent (LCA) oder Notfall-Fahrmanöver (MRM) können ohne Beeinflussung des LKA/ ACC-Moduls hinzugefügt werden.
Zu beachten ist auch, dass diese Architektur vom Standpunkt der Funktionssicherheit aus eine kohärente Partitionierung der unterschiedlichen Module erlaubt, sodass eine hohe Kohärenz erreicht wird und die Schnittstellen zwischen Komponenten gleichzeitig möglichst schmal bleiben.
Sicheres Überholen auf der Autobahn
Der Anwendungsfall des Überholens eines vorausfahrenden Fahrzeugs auf einer dreispurigen Autobahn ist eine der gängigsten Situationen (siehe Bild 3). Für die autonome Fahranwendung besteht das Manöver darin, vom LKA/ACCModus auf den Spurwechselassistenten (LCA) umzuschalten. Aus Gründen der Funktionssicherheit wird die Notfall-Fahrmanöverkomponente ebenfalls aktiviert. Diese sorgt dafür, dass in allen Situationen einschließlich aller Fehlersituationen, die jederzeit auftreten können, ein sicherer Zustand aufrechterhalten werden kann. Hier ist darauf hinzuweisen, dass die autonome Fahranwendung bei einer solchen Aufgabe nur Fahrfertigkeiten ausübt.
Umgang mit Autobahnausfahrten
Bei einem höheren Grad an Autonomie muss die Anwendung komplexere Situationen meistern wie etwa das Anfahren einer Autobahnausfahrt, wie in Bild 4 dargestellt. Das rote Egofahrzeug nähert sich der zu benutzenden Ausfahrt. Nun liegt die Gefahr bei einem abstrakteren Begriff: einem gefährlichen Fahrstil. Dies kommt in einem höheren Abstraktionsgrad zum Ausdruck und kann nicht mit Gefahren aufgrund der Verkehrssituation vermischt werden. Zum Umgang mit dieser Situation muss die autonome Fahranwendung über Situationsanalysefähigkeiten verfügen.
Genauer gesagt verfügt die in Bild 2 gezeigte Architektur über keinerlei Mechanismen, mit denen sich die Frage klären lässt, ob ein Überholen des vorausfahrenden Fahrzeugs bzw. der vorausfahrenden Fahrzeuge auf sichere Weise möglich ist. Eine solche Architektur ist in Bild 5 dargestellt.
Die blau dargestellte Architektur aus Bild 2 ist dabei um das notwendige Modul zur Berechnung der Bahnen auf der Ausfahrtspur ergänzt. Bild 5 zeigt darüber hinaus eine zusätzliche gelbe Ebene. Als Eingangsdaten nutzt diese Ebene Informationen wie die vom GPS ermittelte Position und hochauflösende (HD)-Karten der Fahrzeugumgebung.
Das einem solchen Ansatz zugrunde liegende Konzept lässt sich mit Begriffen wie sichere Zustände und sicheres Segment umschreiben. Ein sicheres Segment besteht aus einer kontinuierlichen Abfolge sicherer Zustände zwischen wesentlichen Aktionspunkten wie Autobahnausfahrten. In diesen Segmenten können alle Fahrentscheidungen der unteren Ebene überlassen werden, auf der die autonome Fahranwendung ihre Fahrfertigkeiten nutzt. Andererseits sind in der Nähe der wesentlichen Punkte einige der fahrfertigkeitsbezogenen Aktionen durch Situationsanalysefähigkeiten zu entschärfen.
Vollautonomes Fahren
Das im vorhergehenden Abschnitt beschriebene Konzept lässt sich noch erweitern. Das eigentlich Ziel des Fahrers und der Insassen des Fahrzeugs besteht darin, von Punkt A zu Punkt B zu gelangen. Der Weg, dem das Fahrzeug folgt, ist eine Ansammlung von Segmenten, die an einigen speziellen Punkten durch Richtungswechsel getrennt sind. Diese Art von Fahrt hat auch einige zeitliche Beschränkungen, selbst wenn es keine sehr dringlichen sind (Beispiel: Ein Fahrer, der sich um 14 Uhr auf eine einstündige Fahrt begibt, möchte vor Anbruch der Dunkelheit am Zielort ankommen). Die Auswahl eines sicheren Wegs muss in Abhängigkeit davon erfolgen. Bei falscher Auswahl kann es zu gefährlichen Situationen kommen.
Es scheint daher die richtige Erweiterung des im vorhergehenden Abschnitts dargelegten Konzepts zu sein, eine sichere Fahrt als eine Ansammlung sichererer Segmente zu betrachten. Am wichtigsten ist eine stabile Definition von sicherer Fahrt. In vielen Fällen entwickelt sich die Verkehrssituation im Verlauf der Fahrt beispielsweise durch Unfälle oder Staus auf eine nicht vorhergesehene Weise. Es ist darauf hinzuweisen, dass die Handhabung des Begriffs einer sicheren Fahrt wiederum auf einer anderen konzeptionellen Ebene erfolgt, aber auch von der Art der behandelten Gefahren abhängt.
Da scheint es nur nahezuliegen, eine weitere Steuerungsebene zur im vorherigen Abschnitt beschriebenen Architektur hinzuzufügen. Ziel dieser Ebene ist die Umsetzung der Planungsfähigkeiten der autonomen Fahranwendung und somit die Umwandlung der geplanten Fahrt in eine Abfolge sicherer Segmente und zweitens bei Bedarf die dynamische Erstellung eines Satzes alternativer Fahrrouten und der zugehörigen Segmente.
Fazit
Mit einfachen ADAS-Funktionen wie Spurhalteassistent und adaptiver Tempomat kann die zugrunde liegende Architektur in einem sehr einfachen, flachen Layout verbleiben. Für die Behandlung komplexerer Situationen wie Autobahnausfahrten müssen die Architekturkonzepte erweitert werden.
Für die allerhöchste Ebene des autonomen Fahrens muss die autonome Fahranwendung in der Lage sein, eine sichere Fahrt auszuwählen, die sich aus einer dynamisch berechneten Ansammlung sicherer Segmente zusammensetzt. Mit einem hierarchischen Ansatz kann sich das Fahrzeug ohne Eingriffe des Fahrers auf eine sichere Reise begeben, und genau dies ist Level 5 des autonomen Fahrens.
