特表2024-535363 | 知財ポータル「IP Force」

知財求人 - 知財ポータルサイト「IP Force」

▶ ロベルト・ボッシュ・ゲゼルシャフト・ミト・ベシュレンクテル・ハフツングの特許一覧

特表2024-535363モバイルプラットフォームの環境の生成された環境モデルに基づいて出力信号を提供するためのシステム

書誌要約請求の範囲詳細な説明課題実施例実施するための形態図面の説明

目に優しい文字サイズ小中大 PDF Top

< >

1
2
3

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公表特許公報(A)

(11)【公表番号】

(43)【公表日】2024-09-30

(54)【発明の名称】モバイルプラットフォームの環境の生成された環境モデルに基づいて出力信号を提供するためのシステム

(51)【国際特許分類】

G06F 11/16 20060101AFI20240920BHJP

G05B 9/03 20060101ALI20240920BHJP

G05B 9/02 20060101ALI20240920BHJP

B60R 16/02 20060101ALI20240920BHJP

G06F 11/20 20060101ALI20240920BHJP

【ＦＩ】

G06F11/16 629

G05B9/03

G05B9/02 E

B60R16/02 660J

G06F11/20 615

【審査請求】有

【予備審査請求】未請求

(21)【出願番号】P 2024518421

(86)(22)【出願日】2022-08-08

(85)【翻訳文提出日】2024-03-22

(86)【国際出願番号】 EP2022072230

(87)【国際公開番号】W WO2023046358

(87)【国際公開日】2023-03-30

(31)【優先権主張番号】102021210600.5

(32)【優先日】2021-09-23

(33)【優先権主張国・地域又は機関】DE

(81)【指定国・地域】

(71)【出願人】

【識別番号】591245473

【氏名又は名称】ロベルト・ボッシュ・ゲゼルシャフト・ミト・ベシュレンクテル・ハフツング

【氏名又は名称原語表記】ＲＯＢＥＲＴＢＯＳＣＨＧＭＢＨ

(74)【代理人】

【識別番号】100118902

【弁理士】

【氏名又は名称】山本修

(74)【代理人】

【識別番号】100196508

【弁理士】

【氏名又は名称】松尾淳一

(72)【発明者】

【氏名】モルロク，フレデリク

(72)【発明者】

【氏名】コウッセルソン，ボリス

(72)【発明者】

【氏名】ヘロルト，ユリア

(72)【発明者】

【氏名】コシオリス，パナジョティス

【テーマコード（参考）】

5B034

5H209

【Ｆターム（参考）】

5B034AA04

5B034DD01

5H209AA10

5H209BB07

5H209BB18

5H209DD04

5H209EE05

5H209EE11

5H209GG20

5H209SS01

5H209SS02

5H209SS07

5H209SS08

5H209TT02

5H209TT04

(57)【要約】

モバイルプラットフォームの環境の生成された環境モデルに基づいて出力信号を提供するためのシステム（１００）であって、
第１のサブシステム（１１０）と、第２のサブシステム（１２０）であって、前記第２のサブシステム（１２０）は、前記第１のサブシステム（１１０）の機能を冗長的に提供するように構成されている、第２のサブシステム（１２０）と、第３のサブシステム（１３０）であって、前記第３のサブシステムは、前記第１のサブシステム（１１０）および／または前記第２のサブシステム（１２０）の機能を冗長的に提供するように構成されている、第３のサブシステム（１３０）と、
第１の比較システム（２１０）と、第２の比較システム（２２０）と、を備え、前記第１の比較システム（２１０）および／または前記第２の比較システム（２２０）が、前記第１のサブシステム（１１０）のエラーおよび／または前記第２のサブシステム（１２０）のエラーおよび／または前記第３のサブシステム（１３０）のエラーのうちの少なくとも１つのエラーを検知し、かつ／またはそれぞれのエラーのある前記サブシステム（１１０、１２０、１３０）を識別するように構成されている、システム（１００）。
【選択図】図１

【特許請求の範囲】

【請求項1】

モバイルプラットフォームの環境の生成された環境モデルに基づいて出力信号を提供するためのシステム（１００）であって、
第１のセンサシステム（１０２）に信号連結されるように構成されている、出力信号を生成するための第１のサブシステム（１１０）と、
前記第１のセンサシステム（１０２）に信号連結されるように構成されている、出力信号を生成するための第２のサブシステム（１２０）であって、前記第２のサブシステム（１２０）は、前記第１のサブシステム（１１０）の機能を冗長的に提供するように構成されている、第２のサブシステム（１２０）と、
出力信号を生成するための第３のサブシステム（１３０）であって、前記第３のサブシステムは、第２のセンサシステム（１０４）に信号連結されるように構成されており、
前記第３のサブシステム（１３０）は、前記第１のサブシステム（１１０）および／または前記第２のサブシステム（１２０）の機能を冗長的に提供するように構成されている、第３のサブシステム（１３０）と、
前記第１のサブシステムの出力部と、前記第２のサブシステムの出力部と、前記第３のサブシステムの出力部とに信号連結されている第１の比較システム（２１０）と、
前記第１のサブシステムの前記出力部と、前記第２のサブシステムの前記出力部と、前記第３のサブシステムの前記出力部とに信号連結されている第２の比較システム（２２０）と、を備え、
前記第１の比較システム（２１０）および前記第２の比較システム（２２０）が信号連結されており、
前記第１の比較システム（２１０）および／または前記第２の比較システム（２２０）は、前記第１のサブシステム（１１０）のエラーおよび／または前記第２のサブシステム（１２０）のエラーおよび／または前記第３のサブシステム（１３０）のエラーのうちの少なくとも１つのエラーを検知し、かつ／またはそれぞれのエラーのある前記サブシステム（１１０、１２０、１３０）を識別するように構成されている、
システム（１００）。

【請求項2】

前記第１のサブシステム（１１０）、前記第２のサブシステム（１２０）、および前記第１の比較システム（２１０）が、第１の電子制御ユニット（４１０）の一部であり、前記第３のサブシステム（１３０）および前記第２の比較システム（２２０）が、第２の電子制御ユニット（４２０）の一部である、請求項１に記載のシステム（１００）。

【請求項3】

前記第１の電子制御ユニット（４１０）の電力が第１の電源（６１０）によって提供され、前記第２の電子制御ユニット（４２０）の電力が第２の電源（６２０）によって提供され、前記第１の電源（６１０）および前記第２の電源（６２０）は、前記第１の電源（６１０）の電力を前記第２の電源（６２０）の電力から独立して提供するように設定されている、請求項２に記載のシステム（１００）。

【請求項4】

前記第１のセンサシステム（１０２）が前記第２のセンサシステム（１０４）と同様である、請求項１～３のいずれか一項に記載のシステム（１００）。

【請求項5】

前記第２のセンサシステム（１０４）が前記第１のセンサシステム（１０２）に対する冗長センサシステムである、請求項１～４のいずれか一項に記載のシステム（１００）。

【請求項6】

前記第１の電源（６１０）を備える前記第１の電子制御ユニット（４１０）が、出力信号を提供するための前記システムがフォールトトレラントで高い可用性を備えるように、対応して設定および構成されている前記第２の電源（６２０）を備える第２の電子制御ユニット（４２０）と協働するように設定および構成されている、請求項１～５のいずれか一項に記載のシステム（１００）。

【請求項7】

前記第１の比較システム（２１０）および前記第２の比較システム（２２０）が、前記それぞれのサブシステム（１１０、１２０、１３０）による環境モデルの決定時における前記第１のサブシステム（１１０）のエラーおよび／または前記第２のサブシステム（１２０）のエラーおよび／または前記第３のサブシステム（１３０）のエラーを検知するように設定されている、請求項１～６のいずれか一項に記載のシステム（１００）。

【請求項8】

前記第１の比較システム（２１０）が、それぞれ識別された前記第１のサブシステム（１１０）および／または前記第２のサブシステム（１２０）および／または前記第３のサブシステム（１３０）において検知されたエラーに応じて、選択的に、前記第１のサブシステム（１１０）の出力信号または前記第２のサブシステム（１２０）の出力信号をアクチュエータシステム（５００）に提供するように設定されている、請求項１～７のいずれか一項に記載のシステム（１００）。

【請求項9】

前記第１の比較システム（２１０）が、それぞれ識別された前記第１のサブシステム（１１０）および／または前記第２のサブシステム（１２０）および／または前記第３のサブシステム（１３０）において検知されたエラーに応じて、前記第１のサブシステム（１１０）の出力信号および前記第２のサブシステム（１２０）の出力信号を前記アクチュエータシステム（５００）に提供するように設定されている、請求項１～８のいずれか一項に記載のシステム（１００）。

【請求項10】

前記第２の比較システム（２２０）が、それぞれ識別された前記第１のサブシステム（１１０）および／または前記第２のサブシステム（１２０）および／または前記第３のサブシステム（１３０）において検知されたエラーに応じて、前記第３のサブシステム（１３０）の出力信号を前記アクチュエータシステム（５００）に提供するように設定されている、請求項１～９のいずれか一項に記載のシステム（１００）。

【請求項11】

－前記第１のセンサシステム（１０２）の信号を提供するための第１の入力部と、
－前記第２のセンサシステム（１０４）の信号を提供するための第２の入力部と、
－第１の演算装置であって、前記第１の演算装置は、前記第１のサブシステム（１１０）および／または前記第２のサブシステム（１２０）によって、前記モバイルプラットフォームの環境の環境モデルを生成するように設定されている、第１の演算装置と、
－第２の演算装置であって、前記第２の演算装置は、前記第３のサブシステム（１３０）によって、前記モバイルプラットフォームの環境の環境モデルを生成するように設定されている、第２の演算装置と、
－前記第１の演算装置の制御信号を前記アクチュエータシステム（５００）に提供するための第１の出力部（４１５）と、
－前記第２の演算装置の制御信号を前記アクチュエータシステム（５００）に提供するための第２の出力部（４２５）と、を備え、
前記第１の演算装置が、前記第１の出力部（４１５）に前記第１のサブシステム（１１０）の出力信号または前記第２のサブシステム（１２０）の出力信号を選択的に提供するための前記第１の比較システム（２１０）を有し、
前記第２の演算装置は、前記第２の出力部（４２５）に前記第３のサブシステム（１３０）の出力信号を選択的に提供するための前記第２の比較システム（２２０）を有する、
請求項１～１０のいずれか一項に記載のシステム（１００）。

【請求項12】

請求項１１に記載のシステムを有する車両で使用するための制御装置。

【請求項13】

請求項１２に記載の制御装置を有する少なくとも部分的に自動化されたモバイルプラットフォーム、特に、車両。

【請求項14】

モバイルプラットフォームの環境の環境モデルを生成するための、請求項１～１１のいずれか一項に記載のシステムの使用。

【発明の詳細な説明】

【背景技術】

【0001】

近年の自動車システムアーキテクチャは、日ごとに複雑かつ高性能になってきている。自動運転車（ＳＤＶ：ｓｅｌｆｄｒｉｖｉｎｇｖｅｈｉｃｌｅｓ）に関連する自動運転システム（ＡＤＳ：ａｕｔｏｍａｔｉｃｄｒｉｖｉｎｇｓｙｓｔｅｍ）は、その非常に代表的な例である。これらのシステムは、開発対象の運転自動化レベル（ＳＡＥＪ３０１６）に応じて、高い安全性と可用性も提供できなければならない。

【0002】

自動車メーカーによる現在の開発の重点は、レベル２からレベル４までの範囲にある。最も重要な移行は、部分自動化（レベル２）と条件付き自動化（レベル３）の間であり、後者の場合、運転に対する安全性に関連する直接的なフォールバックレベルとして運転者が不要になる。

【0003】

高度な自動化を伴うレベル４と、完全な自動化を伴うレベル５との主な違いは、特にステアリングホイールが全くない車種の場合、全ての運転モードに対して所定の限定された運転モードを取り扱うシステムの性能である。

【発明の概要】

【課題を解決するための手段】

【0004】

一般的に、自動運転（ＡＤ：ａｕｔｏｍａｔｉｃｄｒｉｖｉｎｇ）の目標機能では、環境検知（ＥＰ：ｅｎｖｉｒｏｎｍｅｎｔｐｅｒｃｅｐｔｉｏｎ）および車両位置特定（ＶＬ：ｖｅｈｉｃｌｅｌｏｃａｌｉｓａｔｉｏｎ）において、現在の運転状況のモデルを生成するために、様々なセンサからデータが収集、合成、融合される。このモデルは行動計画（ＢＰ：ｂｅｈａｖｉｏｒａｌｐｌａｎｎｉｎｇ）によって使用され、現在の運転状況と計画された運転に関するルートや軌道を作成する。アクチュエータマネジメント（ＡＭ：ａｃｔｕａｔｏｒｍａｎａｇｅｍｅｎｔ）は、計算されたルートを辿る様々なアクチュエータを制御する。

【0005】

運転自動化レベル（ＳＡＥＪ３０１６）に関して、レベル３＋以降の自動運転システムは、フェールオペレーショナルアーキテクチャ、すなわち、コンポーネントが故障した後でも少なくとも一定時間はシステムが安全に作動し続けることが要求される。

【0006】

本発明の態様によれば、独立形式請求項の特徴にしたがって、出力信号を提供するためのシステム、制御装置、モバイルプラットフォーム、およびシステムの使用が提案される。有利な実施形態は、引用形式請求項および以下の説明の主題である。

【0007】

この発明の記述全体において、一連の方法ステップが、方法を容易に理解できるように示されている。しかしながら、当業者であれば、方法ステップの多くを異なる順序で実施しても、同じ結果または相当する結果を導くことができると認識するであろう。この意味で、方法ステップの順序は適宜変更してもよい。一部の特徴には、読みやすさを向上させたり、対応付けを明確にしたりするために数詞が付されているが、これは特定の特徴の存在を暗示するものではない。

【0008】

フォールトトレラント設計のシステム、すなわちフォールトトレラントシステムは、システムの一部が故障しても定義された機能を維持するように構成されており、典型的には高度な冗長性を有する。

【0009】

特に高い可用性を備えたシステムは、フォールトトレランスに関して異なる構成が可能である。
－フェールオペレーショナルモードでは、システムの一部が故障しても、完全に故障する代わりに、所定の動作を、場合によっては限られた時間だけ継続することができる。

【0010】

－フェールデグレードモードでは、システムの一部が故障しても、完全に故障する代わりに、「レベル」を下げた状態で意図する動作を継続することができる。
このようなシステム内で一部の故障が発生した場合、エラーのあるサブシステムから、残りの独立したエラーのないサブシステムへの移行が実行される。

【0011】

さらに、高い可用性を備えたシステムは、車両の電気的および／または電子的アーキテクチャ全体、すなわち、電源（ＰｏｗｅｒＮｅｔ）、通信バス、冷却システム、および特に共通の原因によるエラーも含めて考慮することができ、故障の場合でも動作を継続するように構成することができるため、エラーが存在していても、それぞれのサービスの可能な限り高い可用性を有するシステムにおいて冗長性が要求される。

【0012】

一般的に、レベルＬ３＋（すなわち：Ｌ３、Ｌ４、Ｌ５）に対応する機能は、ＡＤシステム（ＡｕｔｏｍａｔｅｄＤｒｉｖｉｎｇＳｙｓｔｅｍ：ＡＤＳ）内の第１のエラー、例えば電気的および／または電子的エラー（Ｅ／Ｅ故障）の発生後に、エラー制限および／または劣化および／または完全な動作性を可能にするために、冗長構造を必要とする。

【0013】

これを達成するために、システムは、以下のように構成することができる。
－１次システムとしてのメインＥＣＵ（ｅｌｅｃｔｒｏｎｉｃｃｏｎｔｒｏｌｕｎｉｔ）、または２次システムとしてのバックアップＥＣＵにおいて、各エラーシナリオにおいて必要なシステム機能が引き続き利用可能である。システム機能は、シナリオに応じて完全であることもあれば、低下することもある。

【0014】

－それぞれの制御装置（１次システムとしてのメイン制御装置、または２次システムとしてのバックアップ制御装置）は、自身の故障を検知し、無効なデータが例えばアクチュエータなどのさらなる処理段階に通信されないように構成されている。無効なデータがさらなる処理段階に通信されないようにすることは、パッシベーションまたは「フェールサイレント」の構成として定義できる。

【0015】

－例えばアクチュエータなどのシステムのさらなる処理段階は、例えば、前の段階との通信の中断を検知し、残りの有効な制御装置からの通信のみを受け入れる、
ＩＳＯ２６２６２：２０１８によると、ランダムな過渡的／永続的ハードウェア（ＨＷ）故障に関して、電子的および／または電気的エラー（Ｅ／Ｅ故障）は、ＡＳＩＬのＤ可用性安全目標を前提として、≧９９％のＳＰＦＭ（ＳｉｎｇｌｅＰｏｉｎｔＦａｕｌｔＭｅｔｒｉｃ：単一箇所における故障検出率）で、システム内で検知されなければならない。この要件は、最初のエラー検知に関して、個々の制御装置（ｅｌｅｃｔｒｏｎｉｃｃｏｎｔｒｏｌｕｎｉｔ：ＥＣＵ）に割り当てることができる。各ＥＣＵは、自身のＥ／Ｅ故障を≧９９％のＳＰＦＭで検知できなければならない。

【0016】

メイン制御装置（１次システム）内で最初の故障が検知された場合、システムは冗長バックアップ制御装置（２次システム）で応答して車両を制御し、ＥＯＴＴＩ（ＥｍｅｒｇｅｎｃｙＯｐｅｒａｔｉｏｎＴｏｌｅｒａｎｃｅＴｉｍｅＩｎｔｅｒｖａｌ：緊急操作許容時間間隔）内に最小限のリスクで車両を安全な状態にすることができる。

【0017】

本発明の一態様によれば、モバイルプラットフォームの環境の生成された環境モデルに基づいて出力信号を提供するためのシステムであって、
第１のセンサシステムに信号連結されるように構成されている、出力信号を生成するための第１のサブシステムと、
第１のセンサシステムに信号連結されるように構成されている、出力信号を生成するための第２のサブシステムであって、第２のサブシステムは、第１のサブシステムの機能を冗長的に提供するように構成されている、第２のサブシステムと、
出力信号を生成するための第３のサブシステムであって、第３のサブシステムは、第２のセンサシステムに信号連結されるように構成されており、
第３のサブシステムは、第１のサブシステムおよび／または第２のサブシステムの機能を冗長的に提供するように構成されている、第３のサブシステムと、
第１のサブシステムの出力部と、第２のサブシステムの出力部と、第３のサブシステムの出力部とに信号連結されている第１の比較システムと、
第１のサブシステムの出力部と、第２のサブシステムの出力部と、第３のサブシステムの出力部とに信号連結されている第２の比較システムと、を備え、
第１の比較システムおよび第２の比較システムは信号連結されており、
第１の比較システムおよび／または第２の比較システムは、第１のサブシステムのエラーおよび／または第２のサブシステムのエラーおよび／または第３のサブシステムのエラーのうちの少なくとも１つのエラーを検知し、かつ／またはそれぞれのエラーのあるサブシステムを識別するように構成されているシステム、が提案される。

【0018】

一態様によれば、出力信号が、後置接続されたシステムの制御のための任意の信号であってもよく、および／または、モバイルプラットフォームの環境の環境モデルであってもよく、および／または、特にモバイルプラットフォームのルート計画から得られる軌道であってもよく、および／または、アクチュエータシステムまたはアクチュエータシステムの個々のアクチュエータによって軌道を走行するためのモバイルプラットフォームの制御信号であってもよい。

【0019】

換言すれば、それぞれのサブシステムの出力信号は、後続の処理システムに提供される一般的な信号であってよい。
一態様によれば、第１の比較システムおよび／または第２の比較システムが、第１のサブシステムのエラーまたは第２のサブシステムのエラーまたは第３のサブシステムのエラーを検知し、それぞれのエラーのあるサブシステムを識別するように構成されていることが提案される。

【0020】

一態様によれば、第１の比較システムおよび／または第２の比較システムが、第１のサブシステムの少なくとも１つのエラー、および／または第１のサブシステムとは無関係であり、非類似である第２のサブシステムの少なくとも１つのエラー、および／または第１のサブシステムおよび第２のサブシステムとは無関係であり、非類似である第３のサブシステムの少なくとも１つのエラーを検知するように構成されていることが提案される。

【0021】

一態様によれば、第１の比較システムおよび／または第２の比較システムが、第１のサブシステムの非可用性および／または第２のサブシステムの非可用性および／または第３のサブシステムの非可用性を検知し、それぞれの非可用サブシステムを識別するように構成されていることが提案される。

【0022】

特に、記述されたシステムは、サブシステムの故障に関して可能な限りフォールトトレラントであるために、冗長センサシステム、および／または冗長制御装置、すなわち、第１の電子制御ユニットおよび第２の電子制御ユニットのような１次システムおよび２次システムとしてのメイン制御装置およびバックアップ制御装置、および／または冗長アクチュエータ、および／またはアクチュエータと各制御装置との間の冗長通信、を用いて構成することができる。

【0023】

有利には、このシステムは、３つのサブシステムのうち１つのサブシステムの故障、特に、少なくとも部分自動運転システム（ＡＤＳ：ＡｕｔｏｍａｔｅｄＤｒｉｖｉｎｇＳｙｓｔｅｍｓ）で使用する場合に特に必要とされる可能性のあるランダムなハードウェアの故障に対してフォールトトレラントである。

【0024】

これは、システムが第１のエラーを検知し、それぞれのエラーシナリオに応じて、追加的に第２のエラーを検知するように構成されているためである。
出力信号を提供する記述されたシステムは、機能の可用性と比較して、第１のエラーの診断カバー率を最適化する。一般的に、エラー検知には常に検知機構が必要である。これらの検知機構は、特定のエラーモードに対する必要な診断カバー率の要件が増加するにつれてより複雑になる。しかし、このような診断機構は、それ自体がランダムなハードウェアエラーにさらされるため、エラーの偽陽性検知を引き起こす可能性がある。したがって、一般的に、診断カバー率が上がると、ランダムなハードウェアエラーの確率が高くなる。

【0025】

ある機能を有するシステムの可用性が失われる（＝利用不可能になる）確率は、その機能が利用可能である確率Ｐ（ＦＶ）に対する式

【0026】

【数1】

によって特定することができ、ここで、Ｐ（ＦＡ）は機能の故障の確率であり、Ｐ（Ｅｆｐ）は検知機構が偽陽性である確率である。この関連性は、システム内の要素が複雑になるにつれてより重要になる。

【0027】

例えば、メイン機能ブロックに対して冗長的な比較システムを備え、メイン機能ブロックの機能の一致を比較システムで検査する比較機能ブロックを用いてメイン機能ブロックの正しい機能が特定されるＣＰＵロックステップの故障確率は、メイン機能ブロックと比較システムのエラー率に加えて、比較機能ブロックも偽陽性エラー率を有するため、このＣＰＵロックステップのシステム全体の故障確率を２倍以上増加させる可能性がある。

【0028】

さらに、フォールトトレラントシステムでは、第２の発生エラーも考慮する必要がある。このような冗長サブシステムを備えるシステムにおいて、緊急操作許容時間間隔（ＥＯＴＴＩ）内に第２のエラーが発生する場合、それ以上の安全要素が存在しないため、システムは車両を安全に制御することができなくなる。

【0029】

この事実は、第２の故障が検知可能かどうかとは無関係である。
換言すれば、特に第２のエラーもカバーする必要がある場合、診断のカバー率が高いと、冗長サブシステムを備える制御装置の可用性が低くなる可能性がある。

【0030】

したがって、可用性目標に関しては、高い検知カバー率以外の解決策が必要となる。これは、第２のエラーの検知率を高めることは、さらなる労力を意味し、ひいては第２のエラーの確率を高めることになるためである。これは、緊急操作許容時間間隔（ＥＯＴＴＩ）中のシステム故障リスクの増大につながる。したがって、第２のエラー検知カバー率が上がるほど、安全性とシステムの可用性が低下する。

【0031】

したがって、出力信号を提供するためのここに記述されたシステムは、特に第２のエラーの検知に関して、二重冗長アーキテクチャを備えるシステムに比べて利点を有する。
二重冗長アーキテクチャでは、２つの独立したシステムブランチ、または２つの独立したＥＣＵ（ｅｌｅｃｔｒｏｎｉｃｃｏｎｔｒｏｌｕｎｉｔ：電子制御ユニット）を備えるシステムが構成され、各システムブランチは２つの冗長機能ブロックを備える。このアーキテクチャでは、冗長機能ブロックの出力信号が各システムブランチで比較されて、エラーのある場合、すなわち出力信号が一致しない場合に、該当するシステムブランチのスイッチが切断される。もう一方のシステムブランチが正常に動作している場合、二重冗長アーキテクチャにより、第１の電気的および／または電子的（Ｅ／Ｅ）エラーを、結果を比較することで検知し、第２のシステムブランチで補償することができる。このために、２つのシステムブランチはそれぞれ独立したＣＰＵ上で作動させることができる。

【0032】

このような二重冗長アーキテクチャを備える制御装置は、エラーが検出された場合にフェールサイレント機構で反応し、システムの出力信号が提供されるアクチュエータへの通信を停止し、一方で、制御装置の残りのシステムブランチは、さらなるエラーに対して引き続き高い検知率を有するが、出力信号を提供するためのここに記述されたシステムとは対照的に、第２のエラーをもはや補償することができず、第２の故障の確率は減少しない。

【0033】

特に、出力信号を提供するためのここに記述されたシステムは、システムの劣化につながり得るシステム内の第１の電気的エラーおよび／または電子的エラー（Ｅ／Ｅエラー）の確率を大幅に低減することができる。

【0034】

このような第１の電気的エラーおよび／または電子的エラーは、例えば、緊急車線での停止など、リスクを最小限に抑えた車両操縦の実行を引き起こす可能性がある。
すなわち、記述されたシステムは、システム内の第１の電気的エラーおよび／または電子的エラー（Ｅ／Ｅエラー）それぞれに対して高い検知カバー率（ＳＰＦＭ）を可能にする。ＥＯＴＴＩ中の第２のエラーに対するそのような残りの検知カバー率は、出力信号を提供するためのここに記述されたシステムにおいて、多くのエラーシナリオに対して依然として高い可能性がある。

【0035】

ここで、第２のエラーを検知するシステムの性能は、記述されたシステムのどこの部分で第１のエラーが発生したかに依存する。特に、第１のエラーが、例えば第３のサブシステムおよび／または第２の比較システムにおいて発生した場合、あるいは、それぞれ第１の電子制御ユニットの部分である第１のサブシステムまたは第２のサブシステムにおいて発生した場合、第２のエラーに対する高い検知カバー率が維持される。

【0036】

第１のエラーが、例えば第１の電子制御ユニットの電源または第１の比較システムにおいて発生した場合、第２のエラーに対して低減したエラー検知率は、依然として、追加のハードウェアエラー検知機構を介して達成することができる。

【0037】

ＥＯＴＴＩ（ｅｍｅｒｇｅｎｃｙｏｐｅｒａｔｉｏｎｔｏｌｅｒａｎｃｅｔｉｍｅｉｎｔｅｒｖａｌ：緊急操作許容時間間隔）中に第２のエラーに対する検知範囲が残っていることで、安全目標の違反につながる可能性がある、ＥＯＴＴＩ中にシステムが使用できなくなる確率が大幅に減少する。

【0038】

このシステムは、例えば二重冗長自律運転システム（ＡＤＳ）のコンピュートセットアーキテクチャよりもハードウェアコンポーネントが少ないため、ハードウェアコンポーネントのコストを大幅に削減することができる。

【0039】

稼働させるハードウェアコンポーネントが少ないため、システムのエネルギー消費量を大幅に削減することができ、これによりＣＯ２排出量を削減し、電気自動車の航続距離が伸びる結果となり、冷却システムの負荷を減らすことができる。さらに、このように構成されているシステムは、ハードウェアコンポーネントの数が少ないため、重量を有利に低減することができる。

【0040】

一態様によれば、第１のサブシステム、第２のサブシステム、および第１の比較システムが第１の電子制御ユニットの一部であり、第３のサブシステムおよび第２の比較システムが第２の電子制御ユニットの一部であることが提案される。

【0041】

有利には、記述されたシステムのための２つの比較システムは、可用性の点で単一障害点ＳＰＯＦを回避するために、第１の電子制御ユニットと第２の電子制御ユニット、すなわちそれぞれの「比較、選択、無効化」機構を分割することができる。

【0042】

一態様によれば、第１の電子制御ユニットの電力が第１の電源によって提供され、第２の電子制御ユニットの電力が第２の電源によって提供され、第１の電源および第２の電源は、第１の電源の電力を第２の電源の電力から独立して提供するように設定されていることが提案される。これにより、システムをよりフォールトトレラントに、より高い可用性を備えるようにすることができる。

【0043】

一態様によれば、第１のセンサシステムが第２のセンサシステムと同様であることが提案される。ここで、第１のセンサシステムおよび／または第２のセンサシステムは、複数のセンサを有していてもよい。

【0044】

一態様によれば、第２のセンサシステムが第１のセンサシステムに対する冗長センサシステムであることが提案される。第１のセンサシステムが第２のセンサシステムに対して冗長的である場合、出力信号を提供するためのシステムは、より可用性が高くなり、よりフォールトトレラントとすることができる。

【0045】

一態様によれば、第１の電源を備える第１の電子制御ユニットが、出力信号を提供するためのシステムがフォールトトレラントで高い可用性を備えるように、対応して設定および構成されている第２の電源を備える第２の電子制御ユニットと協働するように設定および構成されていることが提案される。

【0046】

一態様によれば、第１の比較システムおよび第２の比較システムが、それぞれのサブシステムによる環境モデルの決定時における第１のサブシステムのエラーおよび／または第２のサブシステムのエラーおよび／または第３のサブシステムのエラーを検知するように設定されていることが提案される。

【0047】

これは、有利には、サブシステムの対応する出力信号を互いに比較することによって達成することができる。
一態様によれば、第１の比較システムが、それぞれ識別された第１のサブシステムおよび／または第２のサブシステムおよび／または第３のサブシステムにおいて検知されたエラーに応じて、選択的に、第１のサブシステムの出力信号または第２のサブシステムの出力信号をアクチュエータシステムに提供するように設定されていることが提案される。

【0048】

このようにして、サブシステムの１つにエラーがあっても、それ自体は冗長的に設計することができるアクチュエータシステムに、有効な出力信号を提供することができる。
一態様によれば、第１の比較システムが、それぞれ識別された第１のサブシステムおよび／または第２のサブシステムおよび／または第３のサブシステムにおいて検知されたエラーに応じて、第１のサブシステムの出力信号および第２のサブシステムの出力信号をアクチュエータシステムに提供するように設定されていることが提案される。

【0049】

このようにして、サブシステムの１つにエラーがあっても、それ自体は冗長的に設計することができるアクチュエータシステムに、有効な出力信号を提供することができる。
第１のサブシステムの出力信号または第２のサブシステムの出力信号を、検知されたエラーに応じてアクチュエータシステムに提供するために、第１の比較システムは、第１のサブシステムのまたは第２のサブシステムの出力信号を提供するために、スイッチおよび／または切換スイッチと、スイッチ切換えまたは切換えのために信号連結することができる。このために、第１のサブシステムの出力信号および第２のサブシステムの出力信号は、入力信号として切換スイッチに提供することができ、切換スイッチは、第１の比較システムによってスイッチ切換えすることができ、切換スイッチの出力信号は、アクチュエータシステムへの出力部に信号連結されているスイッチへ入力信号として提供することができる。

【0050】

一態様によれば、第２の比較システムが、それぞれ識別された第１のサブシステムおよび／または第２のサブシステムおよび／または第３のサブシステムにおける検知されたエラーに応じて、第３のサブシステムの出力信号をアクチュエータシステムに提供するように設定されていることが提案される。

【0051】

このようにして、第１の比較システムが第１のサブシステムおよび第２のサブシステムの出力信号をシステムの出力部、特にアクチュエータシステムに提供することができなくなった場合でも、有効な出力信号をシステムの出力部、例えばアクチュエータシステムに提供することができる。

【0052】

第２の比較システムは、第３のサブシステムの出力信号をアクチュエータシステムに提供するために、スイッチ切換え用のさらなるスイッチに信号連結することができ、検知されたエラーに応じて第３のサブシステムの出力信号をアクチュエータシステムに提供することができる。このために、第３のサブシステムの出力信号は、入力信号としてさらなるスイッチに提供されてもよく、さらなるスイッチは、第２の比較システムによってスイッチ切換えされ、さらなるスイッチの出力信号は、入力信号としてアクチュエータシステムへの出力部に信号連結されてもよい。

【0053】

一態様によれば、出力信号を提供するためのシステムが、
－第１のセンサシステムの信号を提供するための第１の入力部と、
－第２のセンサシステムの信号を提供するための第２の入力部と、
－第１の演算装置と、を備え、第１の演算装置は、第１のサブシステムおよび／または第２のサブシステムによって、出力信号および／またはモバイルプラットフォームの環境の環境モデルを生成するように設定されている、
ことが提案される。

【0054】

さらに、出力信号を提供するためのシステムが、第２の演算装置を有し、第２の演算装置は、第３のサブシステムによって、出力信号および／またはモバイルプラットフォームの環境の環境モデルを生成するように設定されている。

【0055】

さらに、出力信号を提供するためのシステムが、第１の演算装置の制御信号をアクチュエータシステムおよび／または後続システムに提供するための第１の出力部と、第２の演算装置の制御信号をアクチュエータシステムおよび／または後続システムに提供するための第２の出力部と、を備え、第１の演算装置は、第１の出力部に第１のサブシステムの出力信号または第２のサブシステムの出力信号を選択的に提供するための第１の比較システムを有する。出力信号を提供するためのシステムの第２の演算装置は、出力信号を提供するためのシステムの第２の出力部に第３のサブシステムの出力信号を選択的に提供するための第２の比較システムを有する。

【0056】

一態様によれば、第１の演算装置および／または第２の演算装置が、１つまたは複数のシステムオンチップを有していてもよい。
特に、第１の演算装置が、第１のサブシステムおよび第２のサブシステムの機能を提供するためにそれぞれシステムオンチップを有していてもよく、第２の演算装置は、第３のサブシステムの機能を提供するためにさらなるシステムオンチップを有していてもよい。

【0057】

一態様によれば、出力信号が、後置接続されたシステムを制御するための任意の信号であってもよく、および／または、モバイルプラットフォームの環境の環境モデルであってもよく、および／または、特にモバイルプラットフォームのルート計画から得られる軌道であってもよく、および／または、アクチュエータシステムまたはアクチュエータシステムの個々のアクチュエータによって軌道を走行するためのモバイルプラットフォームの制御信号であってもよい。

【0058】

出力信号を提供するための上述のシステムのうちの１つを有する車両で使用するための制御装置が提案される。
このような制御装置は、さらなる機能を有していてもよい。

【0059】

有利には、このような制御装置を用いると、システムを、特に運転自動化レベル３＋、４および５（ＳＡＥＪ３０１６）の自動運転システムなど、異なるモバイルプラットフォームに容易に統合することができる。

【0060】

モバイルプラットフォーム、特に上述の制御装置を有する少なくとも部分的に自動化された車両が提案される。
有利には、このように装備されたモバイルプラットフォームは、出力信号を提供するための上述のシステムの全ての利点を実現することができる。

【0061】

モバイルプラットフォームの環境の環境モデルを生成するための上述のシステムの使用が提案される。
モバイルプラットフォームは、移動可能である少なくとも部分的に自動化されたシステム、および／または車両の運転支援システムであると理解することができる。例としては、少なくとも部分的に自動化された車両または運転支援システムを備える車両が考えられる。すなわち、この文脈では、少なくとも部分的に自動化されたシステムは、少なくとも部分的に自動化された機能に関連するモバイルプラットフォームを含むが、モバイルプラットフォームには、運転支援システムを含む車両および他の移動機械も含まれる。モバイルプラットフォームの他の例としては、複数のセンサを備える運転支援システム、ロボット掃除機や芝刈り機のようなマルチセンサ移動ロボット、マルチセンサ監視システム、製造機械、パーソナルアシスタント、またはアクセス制御システムが考えられる。これらのシステムは、それぞれ完全または部分的に自動化されたシステムとすることができる。

【図面の簡単な説明】

【0062】

本発明の実施例を、図１を参照して記述し、以下により詳細に説明する。

【図1】出力信号を提供するためのシステムである。

【図2】出力信号を提供するためのシステムにおける部分的な故障の例である。

【図3】出力信号を提供するためのシステムにおける部分的な故障のさらなる例である。

【発明を実施するための形態】

【0063】

図１は、モバイルプラットフォームの環境の生成された環境モデルに基づいて出力信号を提供するためのシステムを有する、特に、例えば車両などのモバイルプラットフォームで使用するための制御装置を概略的に示す。制御装置は、モバイルプラットフォームの環境の環境モデルを生成するために使用することができる。出力信号は、後置接続されたシステムを制御するための、および／または、モバイルプラットフォームの環境の環境モデルに対する、および／または、特にモバイルプラットフォームのルート計画から得られる軌道に対する任意の信号であってもよく、および／または、アクチュエータシステムまたはアクチュエータシステムの個々のアクチュエータによって軌道を走行するためのモバイルプラットフォームに対する制御信号であってもよい。

【0064】

システム１００は、出力信号の生成に適しており、第１のセンサシステム１０２に信号連結されるように構成されている第１のサブシステム１１０を含む。
さらに、システム１００は、第１のセンサシステム１０２に信号連結されるように構成されている、出力信号を生成するための第２のサブシステム１２０を含む。第２のサブシステム１２０は、第１のサブシステム１１０の機能を冗長的に提供するように構成されている。

【0065】

さらに、システム１００は、第２のセンサシステム１０４に信号連結されるように構成されている、出力信号を生成するための第３のサブシステム１３０を含む。
第３のサブシステム１３０は、第１のサブシステム１１０および／または第２のサブシステム１２０の機能を冗長的に提供するように構成されている。

【0066】

代替的または追加的に、第１および第２のサブシステム１１０、１２０は、第２のセンサシステム１０４に信号連結されてもよく、および／または、第３のサブシステム１３０は、第１のセンサシステム１０２に信号連結されてもよく、特に、第１のセンサシステム１０２は、第２のセンサシステム１０４に対して冗長的であってもよい。第１のセンサシステム１０２および第２のセンサシステム１０４は、それぞれ複数のセンサシステムを含んでもよい。

【0067】

代替的または追加的に、第１のセンサシステム１０２は、第２のセンサシステム１０４と同様であってもよい。
さらに、システム１００は、第１のサブシステム１１０の出力部と、第２のサブシステム１２０の出力部と、第３のサブシステム１３０の出力部とに信号連結されている第１の比較システム２１０を含む。

【0068】

システム１００の第２の比較システム２２０は、第１のサブシステム１１０の出力部と、第２のサブシステム１２０の出力部と、第３のサブシステム１３０の出力部とに信号連結されている。

【0069】

第１の比較システム２１０および第２の比較システム２２０は、図１から図３において比較システム間の二重矢印で示されているように、特に、それぞれの比較システム２１０、２２０の対応する比較結果を提供するために信号連結され、第１の比較システム２１０および第２の比較システム２２０は、第１のサブシステム１１０の少なくとも１つのエラーおよび／または第２のサブシステム１２０のエラーおよび／または第３のサブシステム１３０のエラーを検知し、特に、それぞれエラーのあるサブシステム１１０、１２０、１３０を識別するように構成されている。

【0070】

エラー、特にランダムハードウェア故障エラーを検知するために、第１のサブシステム１１０、第２のサブシステム１２０、および第３のサブシステム１３０の冗長的に計算された出力信号を比較することができる。記載された第１の比較システム２１０と、記載された第２の比較システム２２０とのこのような比較によって、エラーが発生したそれぞれのサブシステムをさらに明確に識別することができる。

【0071】

このエラー検知とエラー位置特定により、故障が発生したサブシステムを個別に停止させることができるが、出力信号の冗長的な提供のために２つの冗長サブシステムを維持することができるため、さらなるエラーを検出することができる。

【0072】

出力信号の比較自体は、例えば数学的なチェックサム検査による単純な「ビットイコール」比較とすることができ、代替的または追加的に、出力信号の比較はより複雑にしてもよい。

【0073】

出力信号の計算時におけるそれぞれのサブシステムとの中間比較ステップは、エラーを検知するための待ち時間自体を短縮することができる。中間比較は、検知機構の有効性を証明するための労力を削減し、診断カバー率を向上させることができる。

【0074】

換言すれば、第２のサブシステム１２０は、第１の比較システム２１０とともに、第１のサブシステム１１０および／または第３のサブシステム１３０のための第１の検出およびバックアップシステム１２５として理解することができる。対応して、第３のサブシステム１３０は、第２の比較システム２２０とともに、第１のサブシステム１１０および／または第２のサブシステム１２０のための第２の検出およびバックアップシステム１３５として理解することができる。

【0075】

第１のサブシステム１１０、第２のサブシステム１２０、および第１の比較システム２１０は、第１の電子制御ユニット４１０の一部である。
第３のサブシステム１３０および第２の比較システム２２０は、第２の電子制御ユニット４２０の一部である。特に、２つの比較システム２１０、２２０の、第１の電子制御ユニットおよび第２の電子制御ユニットへの分割、すなわちそれぞれの「比較、選択、無効化」機構への分割は、可用性に関する単一障害点が回避されるように行うことができる。

【0076】

システム１００のフェールセーフ性を高めるために、第１の電子制御ユニット４１０のための電力は第１の電源６１０によって提供され、第２の電子制御ユニット４２０のための電力は第２の電源６２０によって提供される。第１の電源６１０と第２の電源６２０は、互いに独立して電力を提供するように設定されている。特に、第１の電源６１０および第２の電源６２０は、冗長アクチュエータを含んでもよいアクチュエータシステム５００に、フェールセーフ性を高めるそれぞれ冗長的なアクチュエータに応じて、冗長的に電力を供給することができる。

【0077】

第１の電源６１０を備える第１の電子制御ユニット４１０が、第２の電源６２０を備え、対応して設定および構成されている第２の電子制御ユニット４２０と高い可用性を備えて相互作用するように設定および構成されていることで、出力信号を提供するためのシステムは、これら２つの電源６１０、６２０によりフォールトトレラントかつ高い可用性を備えて設計することができる。

【0078】

それぞれ識別された第１のサブシステム１１０および／または第２のサブシステム１２０および／または第３のサブシステム１３０において検知されたエラーに応じて、第１のサブシステム１１０の出力信号または第２のサブシステム１２０の出力信号を、システム１００の出力部４１５のアクチュエータシステム５００に選択的に提供するように、第１の比較システム２１０は、第１の比較システム２１０が信号連結される切換スイッチ３１０を備えて設定されている。

【0079】

さらに、それぞれ識別された第１のサブシステム１１０および／または第２のサブシステム１２０および／または第３のサブシステム１３０において検知されたエラーに応じて、第１のサブシステム１１０の出力信号および第２のサブシステム１２０の出力信号を、「フェールサイレント機構」に対応して、システム１００の出力部４１５のアクチュエータシステム５００に提供するように、第１の比較システム２１０は、第１の比較システム２１０が信号連結されるスイッチ３２０を備えて設定されている。

【0080】

さらに、それぞれ識別された第１のサブシステム１１０および／または第２のサブシステム１２０および／または第３のサブシステム１３０において検知されたエラーに応じて、第３のサブシステム１３０の出力信号を、「フェールサイレント機構」に対応して、システム１００の出力部４２５のアクチュエータシステム５００に提供するように、第２の比較システム２２０は、第２の比較システム２２０が信号連結されるスイッチ３３０を備えて設定されている。

【0081】

図２は、第１のサブシステム１１０にエラーが発生した場合に、システム１００が、第１のサブシステム１１０の出力信号の代わりにアクチュエータシステム５００に提供するために、切換スイッチ３１０に作用する第１の比較システム２１０によって、第２のサブシステム１２０の冗長的に決定された出力信号をシステム１００の出力部４１５に接続する方法を概略的に示す。

【0082】

このために、第１の比較システム２１０は、第１のサブシステム１１０、第２のサブシステム１２０、および第３のサブシステム１３０の出力信号を比較し、エラー、特にランダムなハードウェア故障エラーを検知すると、第２のサブシステム１２０の出力信号がシステム１００の出力部４１５に提供されるように切換スイッチ３１０を切り換える。

【0083】

第１の比較システム２１０によって３つのサブシステム１１０、１２０、１３０を比較することにより、エラーを検知するだけでなく、エラーを３つのサブシステム１１０、１２０、１３０の対応するサブシステムにおいて識別することもできる。

【0084】

このエラー検知およびエラー位置特定により、出力信号を提供し第２のエラーを検知するための２つの冗長サブシステム、すなわち第２のサブシステム１２０および第３のサブシステム１３０を保持したまま、該当するエラーまたは故障を有するサブシステムを個別に停止することができる。

【0085】

換言すれば、３つの独立した計算トレースの比較に基づいて、３つのサブシステム１１０、１２０、１３０におけるランダムなハードウェア故障に関して、第１の故障を有する計算トレースを一意的に識別することができる。

【0086】

エラー検知とエラー位置特定により、故障したレーン（計算トレース）または該当するサブシステム１１０、１２０、１３０は、アクチュエータへの両方の冗長通信チャネルを同時に失うことなく、個別にスイッチを切断することができる。

【0087】

すなわち、システム１００では、第１のエラーの発生後、ＥＯＴＴＩ内の第２の故障に対して高い検出範囲が残ることを意味する。
図３は、第１の電源６１０にエラーまたは故障が発生した場合、および／または第１の比較システム２１０にエラーが発生した場合の、システム１００のＥＯＴＴＩ内の第２の故障に対する低減された検出範囲を概略的に示す。

【0088】

これらの場合、第１の比較システム２１０は、第１のサブシステム１１０または第２のサブシステム１２０から、アクチュエータシステム５００のためのシステム１００の出力部４１５に出力信号が提供されないように、スイッチ３２０を停止する
第２の比較システム２２０は、電源６１０のエラーおよび第１の比較システム２１０のエラーの両方を検知および識別するように構成および設定されており、第２の比較システム２２０が信号連結されているスイッチ３３０によって、第３のサブシステム１３０の出力信号を、アクチュエータシステム５００に提供するためにシステム１００の出力部４２５に切り換える。

【図1】