08/9/2023 |
Veröffentlicht am
Hochautomatisierte autonome Fahrzeuge der Stufe 3 (L3), bei denen der Fahrer sich in bestimmten Situationen zeitweise vom Fahren abkoppeln kann [1], werden bald Realität sein. Die Entwicklung der L3-Technologie ist jedoch äußerst komplex und die Markteinführung sehr kostspielig. Daher priorisieren Fahrzeughersteller (OEMs) die Entwicklung kosteneffizienter autonomer Fahrzeuge der Stufe 2+ (L2+), um Nutzern Zugang zu diesen Fahrzeugen zu ermöglichen. autonomes Fahren Die Level-2+-Bezeichnung (L2+) ist eine branchenübliche Bezeichnung für bedingt autonome Fahrzeuge, die zwischen den Autonomiestufen L2 und L3 angesiedelt ist. L2+-Fahrzeuge können Fahrfunktionen entlang einer vorgegebenen Route ausführen, während der Fahrer die Hände vom Lenkrad nimmt, aber Augen und Gehirn aktiv sind [2]. Der Fahrer ist jedoch jederzeit für die Fahrzeugmanöver verantwortlich.
Nachfolgend finden Sie eine Kurzübersicht, die die verschiedenen Autonomiestufen der Society of Automotive Engineers (SAE) erläutert. Jede Stufe beschreibt, inwieweit ein Fahrzeug Aufgaben und Verantwortlichkeiten vom Fahrer übernimmt und wie Mensch und Maschine interagieren.
Traditionell haben Fahrzeughersteller (OEMs) Fehlermechanismen eingesetzt, die bei der Erkennung eines Fehlers, der den Systembetrieb beeinträchtigt, die betroffene Systemfunktionalität sofort deaktivieren und den menschlichen Fahrer über die Nichtverfügbarkeit der Funktion informieren, unabhängig davon, ob das System mit reduzierter Funktionalität oder unter eingeschränkten Bedingungen des Operating Design Domain (ODD) sicher funktionieren kann.
Solche Fehlermanagementmechanismen waren für Systeme der Funktionsstufen L0/L1/L2 akzeptabel, da der Fahrer die Hände am Lenkrad hatte und die Rücknahme der Kontrolle keine größeren Unannehmlichkeiten verursachte. In einem autonomen Fahrsystem der Stufe L2+, in dem der Fahrer die Hände vom Lenkrad nimmt, aber die Augen auf die Straße gerichtet und aufmerksam ist und das Fahrzeug die Fahrfunktionen steuert – von der Routenführung über Spurwechsel bis hin zur Geschwindigkeitsanpassung im Verkehr [2] –, führt die Anwendung des Fehlermanagementmechanismus, der das L2+-System im Fehlerfall deaktiviert und ihm nicht genügend Zeit zur Wiederherstellung gibt, obwohl es mit reduzierter Leistung weiterlaufen und dennoch die gemäß ISO 26262 (Automotive Functional Safety) geforderte Integrität gewährleisten kann, zu erheblichen Unannehmlichkeiten für den Fahrer.
OEMs versuchen, dieses Problem durch ein Systemmanagementkonzept mit sanfter Leistungsreduzierung zu lösen. Das bedeutet: Wenn die Systemleistung aufgrund eines Fehlers eingeschränkt ist, die verbleibende Systemleistung aber den Betriebsbedingungen des Fahrzeugs im Normalbetrieb (ODD) entspricht und die erforderliche Integritätsstufe gemäß ISO 26262 erfüllt, wird die Systemleistung sanft reduziert und der Fahrer gleichzeitig durch Systemwarnungen informiert. Dadurch erhält das System ausreichend Zeit zur Selbstheilung, ohne Beeinträchtigungen zu verursachen, oder es verbleibt im reduzierten Zustand, bis der Benutzer eine Werkstatt erreicht, um die notwendigen Diagnosen und Reparaturen durchführen zu lassen.
Abb. 1: Beispiel einer Strategie für sanften Leistungsabfall
In der Vergangenheit wurde die Autonomie der Stufen L0, L1 und L2 hauptsächlich durch die Konfiguration mehrerer elektronischer Steuergeräte (ECUs) erreicht, um verschiedene Fahrzeugfunktionen zu integrieren. Die zunehmende Autonomie der Stufen L2+ erfordert den Übergang zu einer konsolidierten ECU-Konfiguration mit einer einzigen leistungsstarken Recheneinheit, die alle Fahrzeugfunktionen umfasst. Während frühere autonome Systeme lediglich auf Systemfehler reagierten, indem sie die betroffene Funktion deaktivierten, ermöglicht die konsolidierte ECU-Konfiguration nun eine sanfte Leistungsreduzierung. Dadurch wird die Verfügbarkeit der Funktionen erhöht, während gleichzeitig die Systemintegrität gemäß ISO 26262 gewährleistet wird und kein unvertretbares Risiko entsteht.
Abb. 2 – Konfiguration mit mehreren Steuergeräten
Das Diagramm in Abb. 2 zeigt eine typische Konfiguration mit mehreren Steuergeräten, bei der die 3 bis 4 Funktionen auf drei separaten Steuergeräten untergebracht sind. Diese Konfiguration verfügt aufgrund zweier Schlüsselfaktoren über begrenzte Ressourcen.
Abb. 3: Vergleich zwischen dem Ansatz mit mehreren und dem konsolidierten Steuergerätekonfigurationen
Das Diagramm in Abb. 3 zeigt den Ansatz der konsolidierten ECU, bei dem alle Funktionen auf einem einzigen Steuergerät untergebracht sind. Hochleistungsrechnerplattform (HPC). Dieser Ansatz überwindet die Einschränkungen des Ansatzes mit mehreren Steuergeräten, da alle On-Board-Funktionen – insgesamt etwa 25+ – Zugriff auf alle Ressourcen des konsolidierten Steuergeräts haben und effizient darauf zugreifen können.
Auf dem HPC stehen ausreichend Ressourcen zur Verfügung, die zwischen den Funktionen geteilt werden können, um eine N+1- und in einigen Fällen eine N+2-Redundanzkonfiguration der Komponenten zu gewährleisten, wie im Diagramm (Abb. 4) unten dargestellt. Dort können die Komponenten 3 und 5 von den Funktionen 1 und 3 gemeinsam genutzt werden, ebenso wie Komponente 9 von den Funktionen 2 und 3.
Abb. 4: Funktionsstruktur des konsolidierten Steuergeräteansatzes
Der Übergang zu einem konsolidierten Steuergeräteansatz ist aufgrund der durch die Ressourcenteilungsstruktur im Steuergerät bedingten Funktionsüberschneidungen komplex. Dies birgt das Potenzial, bei fehlender systematischer Analyse zu verschiedenen Fehlern mit gemeinsamer Ursache zu führen und potenziell gefährliche Szenarien auszulösen.
Abb. 5: Ansatz zur Implementierung eines sanften Degradationsmechanismus auf dem L2+-System
KPIT verwendet die VDA-7-stufige FMEA-Struktur (AIAG & VDA), um die Auswirkungen von Komponentenfehlern auf die Funktionalität mehrerer Funktionen gleichzeitig und deren Kritikalität für die Integrität der Funktionen im L2+-System zu ermitteln. Dieser Prozess hilft, geeignete Strategien für einen kontrollierten Leistungsabfall zu identifizieren, um die Verfügbarkeit zu maximieren. Dem menschlichen Fahrer wird ein eingeschränkter Funktionsbetrieb mit der verbleibenden Systemkapazität ermöglicht, die den ODD unterstützt, während gleichzeitig das Integritätsniveau gemäß ISO 26262 sichergestellt wird.
Dieser Ansatz erhöht die Systemkomplexität, die auf verschiedenen Ebenen der Architektur kaskadiert werden muss, wobei die Rückverfolgbarkeit und Vollständigkeit der kaskadierten Anforderungen sichergestellt werden muss. Um dies zu erreichen, verfolgt KPIT den Ansatz des modellbasierten System-Engineerings (MBSE), um der erheblichen Zunahme der Systemanforderungen, systemspezifischen Anwendungsfälle und Szenarien sowie Schnittstellen und Interaktionen gerecht zu werden. Dies führt zu einem zusätzlichen Aufwand im gesamten Entwicklungsprozess und erfordert robuste Systementwicklungsprozesse, die durch geeignete Werkzeuge unterstützt werden [4].
Der Fokus der Industrie auf die schnellstmögliche Einführung autonomer Fahrzeuge erfordert die frühzeitige Entwicklung von Fahrzeugen der Stufe 2+. Während verschiedene Automobilzulieferer (Tier-1-Zulieferer) Lösungen für die L2+-Recheneinheit anbieten, die alle erforderlichen Funktionen durch ein einziges, konsolidiertes Steuergerät im Fahrzeug bereitstellen kann, liegt die Verantwortung für die Entwicklung einer geeigneten Strategie zur kontrollierten Leistungsreduzierung bei den Fahrzeugherstellern. Diese müssen den Kunden den erforderlichen Komfort bieten und gleichzeitig die Funktionsintegrität gemäß ISO 26262 im Falle eines Systemfehlers gewährleisten.
Der von KPIT vorgeschlagene Ansatz zur Erreichung eines kontrollierten Leistungsabfalls nutzt die branchenweit verbreitete Set-Analyse, um die Auswirkungen von Fehlern auf die L2+-Funktionen und deren Integrität zu verstehen und geeignete Strategien für einen kontrollierten Leistungsabfall abzuleiten. KPIT ist sich der Komplexität der Implementierung dieser Strategien auf dem konsolidierten Steuergerät sowie der strengen Geschäftsanforderungen bewusst, die eine kurze Markteinführungszeit und optimale Entwicklungskosten erfordern. Um dies zu erreichen, verwendet KPIT modellbasierte Systementwicklung und unterstützende Werkzeuge, um OEMs die effiziente Kaskadierung der Strategien für einen kontrollierten Leistungsabfall bis zur niedrigsten Designebene zu ermöglichen und gleichzeitig Rückverfolgbarkeit und Vollständigkeit zu gewährleisten.
1. https://www.nhtsa.gov/technology-innovation/automated-vehicles-safety
2. https://www.autocar.co.uk/car-news/business-autonomous-vehicles/l2-baffling-jargon-future-autonomy
3. Die Stufen 0 bis 5 sind nach ihrem jeweiligen Automatisierungsgrad definiert. Die Stufen 3 bis 5 befinden sich noch in der Testphase.
4. https://www.kpit.com/insights/model-based-system-engineering/
Fachexperte für autonomes Fahren bei KPIT
KPIT Technologies
Empfehlen
Likes
Empfehlen
Likes
