Absicherung hochautomatisierten Fahrens durch passiven virtuellen Dauerlauftest

Die Entwicklung des hochautomatisierten Fahrens (HAF) schreitet in hoher Geschwindigkeit voran. Verschiedene Fahrzeughersteller haben erste Derivate mit automatisierten Fahrfunktionen, die keine Überwachung durch den Fahrer mehr erfordern, für die kommenden Jahre angekündigt. Es fehlt allerdings noch der Sicherheitsnachweis, dass HAF eine insgesamt positive Risikobilanz gemäß den Anforderungen der vom deutschen Verkehrsministerium eingesetzten Ethik-Kommission hat und somit durch die Einführung dieser Funktion die allgemeine Gefahr von Personenschäden im Straßenverkehr nicht zunimmt.
... mehr
Die aktuell verfügbaren Ansätze zur Erbringung eines Sicherheitsnachweises für Assistenzsysteme sind für HAF ungeeignet. Die wenigen theoretisch möglichen Methoden wie ein Nachweis durch Dauerlauftest sind mit unrealistisch hohem Kosten- und Zeitaufwand verbunden und somit nicht industriell einsetzbar. In dieser Arbeit wird daher eine neue Absicherungsmethode erarbeitet, die einen Beitrag zum Schließen dieser Lücke leistet.

Bei heutigen Entwicklungen von Fahrerassistenzfunktionen kommen nicht-statistische Absicherungsmethoden zum Einsatz. Die Komplexität der Absicherungsaufgabe wird bei diesen dadurch deutlich reduziert, dass ein wesentlicher Teil des Sicherheitskonzepts auf der permanenten Überwachung der Funktion durch den menschlichen Fahrer beruht, der in kritischen Situationen eingreifen muss. Eine Absicherung ist daher nur noch hinsichtlich der Beherrschbarkeit durch den Fahrer notwendig.
Die Fahrerüberwachung kann beim HAF nicht vorausgesetzt werden, sodass die HAF-Funktion selbst alle auftretenden Situationen bis zu einer Fahrerübernahme beherrschen muss. Zusammen mit der großen Situationsvielfalt und dem Einsatz maschinell trainierter Algorithmen erhöht dies die Komplexität der Absicherungsaufgabe in einem Maße, dass die bisher genutzten Absicherungsverfahren an ihre Grenzen stoßen. Dies motiviert den Ansatz "`passives HAF"' zur statistischen Absicherung des hochautomatisierten Fahrens.

Grundidee dieses Ansatzes ist es, einen Teil der jedes Jahr von menschlichen Fahrern gefahrenen Kilometer zur Absicherung zu nutzen, indem ein Teil der Fahrzeuge zusätzlich mit den für HAF erforderlichen Sensoren und Steuergeräten ausgestattet wird. Diese entsprechen dem für den späteren Kundeneinsatz vorgesehen Umfang der HAF-Funktion bis zu der Stelle, an dem Steuer- und Regeleingriffe in die Aktorik des Fahrzeugs erfolgen.
Statt der Umsetzung der vorgegebenen Stellgrößen durch die Fahrzeugaktorik wird der Ausgang der HAF-Funktion mit den vom menschlichen Fahrer tatsächlich durchgeführten Fahrhandlungen verglichen. Die Funktion läuft somit nur "`passiv"' im Hintergrund mit, sodass aus fehlerhaften Aktorvorgaben kein Sicherheitsrisiko resultierten kann. Hierdurch entsteht ein offener Regelkreis, sodass der weitere Verlauf des Szenarios bei Eingriff der HAF-Funktion zunächst unbekannt ist. Der Regelkreis wird geschlossen, indem immer dann anhand der durch die Sensorik aufgenommenen Daten ein Simulationsszenario generiert wird, wenn die Fahrhandlungen vom HAF und menschlichem Fahrer voneinander abweichen. Anhand der Simulation kann überprüft werden, ob die geplante Handlung des HAF zu einer kritischen Situation geführt hätte. Zur Erhöhung der Validität der Simulation werden individualisierte Fahrermodelle verwendet, deren Entwicklung und Zuordnung Teil der entwickelten Methode ist.
Ziel des Ansatzes ist die Nutzung der im realen Straßenverkehr vorkommenden Szenarien als Ausgangspunkt für die Absicherung des HAF mittels Simulation und anschließender Kritikalitätsanalyse. So kann fehlerhaftes Fahrverhalten erkannt und für eine Verbesserung der Funktion verwendet werden.

Die Ergebnisse der Arbeit zeigen, dass mit Hilfe dieser Methode fehlerhafte Fahrentscheidungen des HAF gefunden werden können, welche bei aktivem Funktionsausgang zu kritischen Situationen geführt hätten. Vorteile der Methode sind, dass eine gefahrlose und vergleichsweise kostengünstige und zeiteffiziente Absicherung möglich ist, die aufgrund der Nutzung realer Verkehrsszenarien eine hohe Validität aufweist.

Development of highly automated driving (HAD) is progressing quickly. Various car manufacturers have announced that they will offer a self-driving function without the requirement of driver surveillance within the next years. However, the evidence that HAD is at least as safe as human driving and will not lead to more traffic injuries has still not been produced. Current approaches of verification and validation used for driver assistance systems are not suitable for HAD. A statistical proof through test drives is neither economically nor timely feasible. Therefore, as a contribution for validation of HAD a statistical validation approach is proposed.
... mehr

Non-statistical methods for system verification are currently employed in driver assistance systems (DAS). The complexity of verification for DAS is reduced by relying on the human driver for constantly monitoring the driving actions. For this reason it is sufficient to verify the controllability by the driver for verification of DAS.
Since monitoring of driving actions cannot be assumed for HAD, the HAD-function has to be capable of controlling all situations itsself until take-over of the human driver. Together with the almost infinitely high number of scenarios and the use of machine learning algorithms, this increases the complexity of verification and validation such that current verification methods are not applicable. Instead, a statistical apprach is proposed, namely "`passive HAD"'.

The main idea of this approach is to use a fraction of the billions of kilometers driven every year by everyday drivers for testing of HAD. For this purpose, vehicles are equipped with sensors and control units appropriate for HAD. The HAD functionality is working as intended up to the point where actuators of the vehicle like steering or brakes have to be accessed. Instead of realizing the output of the HAD function, the driving actions of the human driver are executed. The HAD function is running in the background passively, in order to not endanger the customers or other traffic participants.
If the output of the driving function differs from the human drivers' driving decisions, an open-loop problem results which prevents verification of the HAD function. To enable verification, the loop is closed by generating a simulation scenario based on the data acquired by the HAD sensors. In order to increase validity of the simulation, machine learning driver models developed in this thesis are matched to the traffic participants surrounding the passive HAD vehicle to be used in the simulation. Instead of the real life scenario influenced by the driving decisions of the human driver, the simulated scenario is assessed for criticality such that potentially erroneous behavior of the HAD function can be detected.

The goal of the passive HAD approach is to use real life sensor data for the generation of simulation scenarios to assess the performance of the HAD function with high validity. Results show that with the presented approach, erroneous driving decisions of the HAD function which would have led to critical situations can be detected in a safe way. Furthermore passive HAD enables an economical and efficient verification with high validity due to the use of real life traffic scenarios.