[发明专利]基于风险的车辆控制

说明书

用于控制车辆的高度自动化的行驶功能包括多个功能构件。用于控制车辆的方法包括如下步骤：在使用第一功能构件的情况下实施行驶功能；将第一功能构件的表现与规范的表现进行比较；确定，第一功能构件的表现偏离规范的表现；当行驶功能继续通过第一功能构件实施时，确定第一事故风险；当行驶功能继续通过第二功能构件实施时，确定第二事故风险；通过对应的事故风险为最小的功能构件实施行驶功能。

技术领域

本发明涉及基于风险的车辆控制。

背景技术

车辆可以借助高度自动化的行驶功能来控制。在车辆驾驶员不必持续监视该功能，并且因此不提供或仅有条件地提供驾驶员作为后备方案时，该功能被称为高度自动化。例如可以保证驾驶员有15秒的接管时间，驾驶员可以利用该接管时间，以便接管高度自动化行驶功能的车辆的监控。因此为驾驶员提供这样的可能性，即驾驶员在车辆行驶期间可从事与行驶无关的其他事务或者例如睡觉。

不应期待，高度自动化的行驶功能的部件总是完全无故障地工作。通常，行驶功能由软件部件和/或硬件部件构成。这些构件中的每一个都可能会失灵；硬件构件，如传感器，可能例如具有电故障，或者软件构件可能在其规范以外运行。整个系统必须在任何时候都始终能够带着各种故障地维持安全的行驶运行。

这些故障功能中的一些可以在运行期间被诊断，并且在故障情况下可以从第一功能构件切换到第二功能构件，该第二功能构件之后实现应急运行(fall-back：后备方案)。

文献WO 00 2013 060 530 A1涉及一种交通堵塞辅助系统，它的功能性通过另一系统来监视，例如通过ACC系统或车道保持辅助系统。如果超出预确定的系统边界，那么交通堵塞辅助系统自动停用。

发明内容

本发明的任务在于提供一种改进的车辆控制。本发明借助用于通过包括多个功能构件的高度自动化的行驶功能来控制车辆的方法、一种用于通过高度自动化的行驶功能控制车辆的设备和计算机程序来解决该任务。

本发明基于这样的认知，即也存在不能被诊断的故障，并且故障诊断本身是有潜在故障的确定。如果现有故障情况不被识别到，那么第一功能构件可能在使用错误的假设或测量值的情况下被运行，这可能提高车辆的事故风险。另一方面如果客观上根本不存在的故障情况被确定，那么可能会错误地切换到第二功能构件。第二功能构件通常不使用那些与确定的故障状态可能关联的参数，使得第二功能构件通常总体执行比第一功能构件差一些的控制。在该情况下同样可能提高事故风险。

因此提出，对于第一和第二功能构件尽可能连续地确定车辆事故的相应风险有多大，并且相应地通过对应的事故风险最低的那个功能构件继续引导车辆的控制。尤其提出，在确定第一功能构件遭受故障时，不是在任何情况下都切换到第二功能构件，而是仅在风险分析证明通过第二功能构件进行控制确实降低事故风险时，才切换到第二功能构件。因此，从第一功能构件到第二功能构件的切换与当前行驶情况的评价及必要时与故障状态的评估有关。

用于控制车辆的高度自动化行驶功能包括多个功能构件。用于车辆控制的方法包括如下步骤：在使用第一功能构件的情况下实施该行驶功能；将第一功能构件的表现与规范的表现进行比较；确定第一功能构件的表现偏离规范的表现；当行驶功能继续通过第一功能构件实施时，确定第一事故风险；当行驶功能继续通过第二功能构件实施时，确定第二事故风险；通过对应的事故风险最小的功能构件来实施该行驶功能。

由此能够降低从故障状态的带有错误的确定中得到的事故风险。高度自动化的行驶功能可以更好地被执行，并且驾驶员能够不那么经常地被要求接管对车辆的监控。

一般性地从存在用于功能构件的规范出发。在这种文件方面的故障被专业人员称为OOS(超出规范)或E/E(电气/电子)错误。硬件构件的E/E错误能够例如包括实施装置的失灵或两个构件之间的通讯故障。软件构件的E/E错误能够包括不正确的实现、编程错误或缓冲区溢出。E/E故障在至少一个功能构件与规范不同表现时存在。不足够的规范在此不视为故障。