VALSE VALidierung Sicherheitskompetenter Elektronischer Assistenz- und Fahrfunktionen

Transkript

1 VALSE VALidierung Sicherheitskompetenter Elektronischer Assistenz- und Fahrfunktionen K. Athanasas, C. Bonnet, Dr. H. Fritz, DaimlerChrysler, D Stuttgart; C. Scheidler, DaimlerChrysler, D Berlin. Zusammenfassung: Intelligente Fahrerassistenzsysteme unterstützen den Fahrer in seiner Fahraufgabe. Solche Systeme umfassen die Warnung des Fahrers in kritischen Situationen bis hin zur Unterstützung des Fahrers bei der Fahrzeugführung. Im Gegensatz zu eingeführten Systemen wie ABS oder ESP, bei denen ein Fahrdynamikeingriff nur vom eigenen Fahrzustand abhängig ist, müssen intelligente Assistenzsysteme die Umgebung des Fahrzeugs erfassen und auch das Verhalten anderer Verkehrsteilnehmer berücksichtigen. Die Validation prototypischer Assistenzsysteme durch Fahrversuche mit entsprechend ausgerüsteten Versuchsträgern ist Stand der Technik, aber mit hohem Aufwand und teilweise mit Risiko für Fahrer und Versuchsträger verbunden. Ziel des Projekts VALSE ist es, eine Validationsplattform zu konzipieren, die eine kostengünstige Validation prototypischer Assistenzsysteme in einer sicheren Laborumgebung ermöglicht. Die Validationsplattform basiert auf einem markgängigen Hardware-in-the-Loop System (HiL), welches erstmals mit einer proprietären Software zur mikroskopischen Echtzeit-Simulation von LKW-Kolonnenfahrten erweitert wurde Summary: Advanced Driver Assistance Systems (ADAS) support the driver in his driving task. Such systems include the warning of the driver in critical situations as well as the support of the driver in the longitudinal and lateral guidance of the vehicle. Established assistance systems like anti-lock braking or electronic stability management depend only on the driving dynamics of the own single vehicle. In contrast to that, an ADAS in addition has to detected the driving behaviour of other vehicles by sensing the environment e.g. via radar, lidar, and video technology. Typical ADAS examples are emergency braking systems,adaptive cruise control or lane keeping systems. The additional complexity of ADAS makes the validation process a far more difficult and hazardous task. Test drives with experimental cars

2 can be considered a state-of-the-art ADAS validation technique. The aim of the VALSE project is to set-up a validation platform enabling ADAS testing in a safe and cost-efficient laboratory environment. The presented validation platform VALSE uses a standard hardware-in-the-loop system which is extended by a proprietary software for microscopic real time simulation of a truck platoon. 1 Einleitung Intelligente Fahrerassistenzsysteme - im anglistischen Sprachraum auch als Advanced Driver Assistance Systems (ADAS) bezeichnet - unterstützen den Fahrer in seiner Fahraufgabe. Solche Systeme warnen den Fahrers in kritischen Situationen oder unterstützen ihn bei der Fahrzeugführung. Intelligente Assistenzsysteme erfassen sowohl die Umgebung des Fahrzeugs als auch das Verhalten anderer Verkehrsteilnehmer, beispielsweise mittels Radar, Video, und/oder Laser-Scanner. Je nach Grad der Unterstützung des Fahrers bei der Längs- und Querführung erfolgt ein Eingriff in Gas, Lenkung und Bremse. Beispiele für derartige Assistenzsysteme sind Notbremssysteme, die Unfälle verhindern oder deren Folgen mildern sowie Systeme mit automatischen Fahrfunktionen wie die Elektronische Deichsel aus dem EU-Förderprojekt PROMOTE-CHAUFFEUR. Die Validation prototypischer Assistenzsysteme durch Fahrversuche mit entsprechend ausgerüsteten Versuchsträgern ist Stand der Technik, aber mit hohem Aufwand und teilweise mit Risiko für Versuchsträger und Fahrer verbunden. Das Ziel des hier vorgestellten Projekts ist es, eine Hardware-in-the-Loop-Plattform (HiL) zu konzipieren, die eine Validation prototypischer Assistenzsysteme in einer sicheren Laborumgebung ermöglicht. Die Validationsplattform soll Fahrversuche zunächst ergänzen, langfristig teilweise ersetzen. Vorteile von HiL-Tests gegenüber Fahrversuchen sind: HiL-Tests sind sicherer als Fahrversuche. Fahrversuche mit Forschungsprototypen sind stets mit einem gewissen Risiko für Fahrer und Versuchsträger verbunden. Bei Versuchsträgern, die in Abhängigkeit von der Verkehrssituation in die Aktuatorik eingreifen, gilt diese in besonderem Maße.

3 HiL-Tests sind preiswerter als Fahrversuche Fahrversuche zur Validation von Fahrerassistenzsystemen sind aufwendig, da in der Regel mehrere Fahrzeuge und Versuchsfahrer (Testfahrzeug plus Fahrzeuge in der Umgebung) benötigt werden. Fahrversuche am HiL können automatisiert durchgeführt werden, wodurch wesentliche Kostenvorteile entstehen. HiL-Tests sind ohne Versuchsträger durchführbar Versuchsträger sind i.d.r. eine kritische Ressource im Forschungsprojekt. HiL-Tests ermöglichen die Validation des Assistenzsystems ohne Verfügbarkeit des Versuchsträgers, wenn dieser sich zum Beispiel für Umbauten in der Werkstatt befindet. Die technische Voraussetzung für HiL-Validation ist, dass alle Schnittstellen des Prüflings - CAN-Interface, Digital I/O, Analog I/O - in Echtzeit getriggert werden. Hierzu müssen sämtliche Systeme in der Umgebung des Assistenzsystems - die Umgebungssensorik, die Aktuatorik, das Fahrwerk des Versuchsträgerfahrzeugs (Fahrdynamik), die Fahrstrecke sowie Fremdfahrzeuge - in der lokalen Umgebung in Software oder Hardware modelliert werden. Die Validationsplattform wird auf einem kommerziellen HiL-System aufgesetzt und soll durchgängig für die Validation von A-Mustern bis zu Seriensteuergeräten sowohl in PKW- als auch in NFZ-Systemen eingesetzt werden. Hierzu ist eine offene Hardware/Software-Architektur erforderlich, die eine flexible Anpassung der Validationsplattform an den Prüfling ermöglicht. Die Plattform muss sowohl die Einbindung proprietärer Simulationscodes (Umgebungsmodellierung in Software) als auch die Integration von Seriensteuergeräten (Umgebungsmodellierung in Hardware) unterstützen. Die hier vorgestellte Plattform wird am Beispiel der Pilotapplikation Elektronische Deichsel aus dem EU-Förderprojekt PROMOTE CHAUFFEUR beschrieben. Der Beitrag ist wie folgt strukturiert: In Kapitel 2 wird ein Überblick über intelligente Fahrerassistenzsysteme gegeben und es werden verschiedene Validationstechniken beschrieben. In Kapitel 3 wird die zur Evaluierung der Validationsplattform eingesetzte Pilotapplikation Elektronische Deichsel vorgestellt. Die

4 Validationsplattform selbst wird in Kapitel 4 beschrieben. In Kapitel 5 werden die wesentlichen Ergebnisse zusammengefasst und ein Ausblick gegeben. 2 Validation von Fahrerassistenzsystemen 2.1 Überblick Fahrerassistenzsysteme Intelligente Fahrerassistenzsysteme stellen ein weltweites Forschungsthema dar. Bekannte internationale Forschungsprogramme sind PATH [13] und IVI [11] in den USA sowie AHSRA [7] in Japan. In Europa wird eine Vielzahl von Projekten zu dieser Thematik innerhalb des 5. Rahmenprogramms gefördert. Die Europäische Kommission fordert im Weißbuch zur Zukunft des Verkehrs [4] eine Halbierung der Anzahl der Verkehrstoten im Straßenverkehr bis zum Jahr Hierzu sind massive Fortschritte im Bereich der passiven und vor allem auch der aktiven Sicherheit durch Einführung von Notbremssystemen [8] und ähnlichem erforderlich. Mainstream Spin-offs LDWS FCW S&G RDWS PAss S&G ++ BSM Legal, Social and Political Aspects HMI Technology LCA RDA CrossA Services Infrastructure UDA Autonomous Driving TrajCal EG C LINKS SG I ACEA TF M Telem Interfaces to other groups Main stream: S&G : Stop & Go RDA : Rural Drive Assistant UDA : Urban Drive Assistant Spin-offs: LDWS : Lane Departure Warning System RDWS : Road Departure Warning System FCW : Front Collision Warning PAss : Parking Assistant BSM : Blind Spot Monitoring LCA : Lane Changing/Merging Assistant CrossA : Crossing Assistant TrajCal: Trajectory Calculation Abbildung 1: ADASE-Roadmap Intelligente Fahrerassistenzsysteme ADASE roadmap advanced driver assistance systems Das Projekt ADASE - Advanced Driver Assistance Systems Europe - bündelt und vernetzt die verschiedenen europäischen Aktivitäten [6] und definiert eine europäische Roadmap für Fahrerassistenzsysteme (siehe Abbildung 1).

5 Fernziel der main stream roadmap ist das autonome Fahren, als näherliegende Zwischenergebnisse werden Stop&Go mit Längsführung (S&G), Stop&Go mit Längsund Querführung (S&G++) sowie Fahrerassistenten für ländliche (RDA) und städtische Umgebungen (UDA) genannt. Spin-offs sind unter anderem Fahrerwarnsysteme (Lane Departure Warning System, Front Collision Warning) sowie Assistenten für Einparken und Fahrspurwechsel. In Abbildung 2 ist ein vom ADASE-Projekt vorgeschlagenes allgemeines Schichtenmodell für intelligente Fahrerassistenzsysteme skizziert. Aufbauend auf den elektronisch ansteuerbaren Grundfunktionen wie Gas, Bremse, Lenkung und Getriebe in der Schicht 1 und 2 werden in der Schicht 3 Fahrdynamikfunktionen wie ESP, ASR und ABC realisiert. Diese Funktionen sind nur vom Fahrzustand des eigenen Fahrzeugs abhängig, die Erfassung des Fahrzustandes erfolgt durch die Fahrzeugsensoren (Vehicle Sensors). Infra sensors Travel management center Road Provider Emergency services Vehicle cluster Management Smart Road Vehicle -Vehicle Vehicle -Infrastructure Communication Environ - ment Sensors incl. map Engine Mgmt ADASE Functions (ACC, S&G, Emergency braking etc ) Basic Vehicle Functions (longitudinal -, lateral control ) ESP ASC ABC Smart Vehicle Vehicle Sensors E- Throttle E-Brake E- Steering E-Gear Box ABS Vehicle Actuators Abbildung 2: ADASE-Schichtenmodell für Assistenzsysteme ADASE layered architecture model for assistance systems In Schicht 4 finden sich Längs- und Querregler, die als Basisfunktionen für die Fahrerassistenzsysteme wie ACC, Stop&Go oder Notbremsen in der Schicht 5 dienen. Von elementarer Bedeutung ist die Umgebungserfassung mittels Radar, Video und/oder Infrarotlaser (Environment Sensors), da Fahrerassistenzsysteme

6 neben dem eigenen Fahrzustand immer auch das Verhalten von anderen Fahrzeugen in der lokalen Umgebung berücksichtigen müssen. In Schicht 6 findet sich die Fahrzeug-Fahrzeug- bzw. Fahrzeug-Infrastruktur- Kommunikationsschicht, diese Schicht bildet die Schnittstelle zu den Telematikfunktionen der Schicht Validationstechniken für Fahrerassistenzsysteme Meilenstein Start der Serienproduktion Integration und Test Projektbeginn Spezifikation A-Muster Programmierung B-Muster Design C-Muster Seriensteuergerät Abbildung 3: Spiralmodell des Entwicklungsprozesses Spiral model of development process In Abbildung 3 ist der Entwicklungsprozess für Assistenzsysteme mittels Spiralmodell skizziert. Das zu entwickelnde System wird dabei als A-Muster (Forschung), B- Muster und C-Muster (Vorentwicklung) sowie abschließend als Seriensteuergerät (Serienentwicklung) realisiert. Dabei werden jeweils die Phasen Spezifikation, Design, Codierung und Test durchlaufen. Das Projekt VALSE betrifft vor allem die Validation von prototypischen Systemen, die in der Forschung in einer A-Muster-Technologie realisiert werden. Der Schwerpunkt liegt dabei auf dem Test von Assistenzsystemen, die einen aktiven Eingriff in das

7 Gas, die Bremse und die Lenkung vornehmen. Assistenzsysteme mit nur informativem Charakter spielen für dieses Projekt eine untergeordnete Rolle. Realisierungsgrad Realer Prototyp Korrektheit des Algorithmus (Funktion) Systemsicherheit/ aktive Sicherheit (Echtzeit- und Fehlertoleranz A-Muster) Gebrauchssicherheit (MMI,Fahrerakzeptanz) Systemsicherheit/ aktive Sicherheit (Fahrzeug + Teilumgebung) Systemsicherheit/ aktive Sicherheit (Fahrzeug+ Umgebung) Virtueller Prototyp SIL - Software in the Loop HIL - Hardware in the Loop Fahrsimulator, Prüfstände VEHIL - Vehicle in the Loop Fahrversuche Abbildung 4: Validationstechnologien für Assistenzsysteme Validation technologies for assistance systems In Abbildung 4 sind verschiedene Validationstechnologien für Assistenzsysteme entsprechend ihres Realisierungsgrads aufgeführt. SiL - Software In the Loop - ermöglicht das Testen der Regelungs-/Steuerungssoftware des Assistenzsystems, d.h. der Prüfling (engl. UUT - Unit Under Test) ist in diesem Fall ein Stück Software. HiL - Hardware In the Loop - ermöglicht das Testen der Regelungs-/Steuerungssoftware des Assistenzsystems auf der Zielsystemhardware, d.h. der Prüfling ist ein A-, B-, C-Muster oder Seriensteuergerät, welches mit der Hardware im Zielfahrzeug identisch ist. Neben den funktionalen Eigenschaften können hier bereits nichtfunktionale Eigenschaften wie Systemsicherheit, Echtzeitverhalten etc. untersucht werden. HiL-Systeme sind in der Steuergeräte-Entwicklung weitestgehend etabliert und werden in zunehmenden Maße auch für Assistenzsysteme eingesetzt. In [3] wird z.b. ein HiL-Prüfstand für schwere Nutzfahrzeuge vom Typ ACTROS beschrieben, bei dem die Steuergeräte, CAN-Netzwerke und viele Aktuatoren (z.b.

8 die Luftdruckkreise für die pneumatische Bremse) in Hardware aufgebaut worden sind. Mit dem Prüfstand können einzelne Steuergeräte, aber auch Steuergeräte- Gruppen getestet werden. Durch die Modellierung in Hardware ist stets garantiert, dass sich die Umgebung des jeweiligen Prüflings genau so verhält wie im realen Fahrzeug. Die HiL-Technologie bildet den Schwerpunkt in dem hier vorgestellten Projekt und wird im Abschnitt 4 noch weiter vertieft. Fahrsimulatoren eignen sich hervorragend zur Ermittlung der Gebrauchssicherheit von Assistenzsystemen, d.h. hier steht das Zusammenspiel von Fahrzeug und Fahrer im Vordergrund. Der Aspekt der Gebrauchssicherheit spielt gerade in Zusammenhang mit Fahrerassistenzsystemen eine wichtige Rolle, soll aber im Rahmen dieser Veröffentlichung nicht weiter vertieft werden. Abbildung 5: VEHIL-Plattform der TNO Automotive VEHIL-platform of TNO Automotive Das VEHIL-Konzept (VEHicle In the Loop) der TNO Delft [6] stellt einen besonders interessanten Ansatz zur Validation von Assistenzsystemen dar. Das Konzept scheint weltweit einmalig und ermöglicht die Validation des kompletten Fahrzeugs

9 inklusive Umgebungssensorik. Der Prüfling ist ein komplettes Fahrzeug auf einem Rollenprüfstand, der in einer 200m mal 40m großen Halle fixiert ist. Die Grundidee von VEHIL ist, andere Fahrzeuge in der Umgebung des Testkandidaten durch fahrbare Elektroplattformen mit aufmontierten Fahrzeugkarossen zu modellieren (siehe [14]). Durch die Bewegung der Elektroplattformen wird die Relativgeschwindigkeit v rel bezüglich des Testfahrzeugs simuliert, was dieses System für den Test von radarbasierten Assistenzsystemen prädestiniert, da Radarsensoren per se neben dem Abstand d ist auch die Relativgeschwindigkeit v rel zum Zielobjekt über den Dopplereffekt ermitteln. Der ganzheitliche Ansatz von VEHIlL bietet gerade in Zusammenhang mit der Umgebungssensorik wesentliche Vorteile gegenüber der HiL-Validation. Radarsensoren haben viele unerwünschte Nebeneffekte, die in der Physik der Sensorik begründet sind und durch Simulation nur ungenügend modelliert werden können. VEHIL ermöglicht es, die Radarsensorik als physikalische Komponente in den Test mit zu integrieren und bietet damit realistischere Testszenarien. Letztendlich ist aber auch das VEHIL-System nur ein Modell der Wirklichkeit, d.h. es wird immer komplexe Verkehrssituationen geben, die sich in der VEHIL-Welt nicht bzw. nur sehr eingeschränkt nachbilden lassen. Eine abschließende Bewertung des Konzepts ist erst 2004 möglich, da bisher nur Vorgängersysteme existieren. Fahrversuche mit Prototypfahrzeugen bilden das letzte Glied in der Validationskette. Generell ist zu beachten, dass Fahrversuche zum Test von Assistenzsystemen wie z.b. Notbremssystemen mit teilweise hohem Risiko für Versuchsfahrer und Versuchsfahrzeug behaftet sind. Sie sind weiterhin sehr aufwendig, da in der Regel mehrere Fahrzeuge inklusive Versuchsfahrer benötigt werden, um die Verkehrssituationen nachzubilden, in dem das System dem Fahrer assistieren soll. Fahrversuche bleiben aber auch in Bezug auf Assistenzsysteme das Maß aller Dinge, da keine der obengenannten Validationstechnologien die Realität vollständig abbilden kann.

10 Die in Abbildung 4 dargestellten Validationsstufen werden in der Praxis nicht vollständig durchlaufen. Gerade in der Fahrzeugforschung ist es üblich, direkt von der Simulation (SIL) zu Fahrversuchen überzugehen, um schnell neue Funktionen im Fahrzeug darstellen zu können. Diese Vorgehensweise ist allerdings bei bestimmten Assistenzfunktionen mit teilweise hohem Risiko für Fahrer und Versuchsträger verbunden. Ziel des hier vorgestellten Projekts ist es, eine Labor-Validationsplattform zu konzipieren, die eine kostengünstige Validation prototypischer Assistenzsysteme in einer sicheren Laborumgebung ermöglicht. Die Validationsplattform soll Fahrversuche zunächst ergänzen, langfristig teilweise ersetzen. 3 Pilotapplikation Elektronische Deichsel Das erste Assistenzsystem, welches mit der Validationsplattform getestet werden soll, ist die sogenannte elektronische Deichsel. Sie stellt ein neuartiges technisches System zur elektronischen Kopplung von Nutzfahrzeugen in engem Abstand dar, welches eine verbesserte Nutzung der Ressource Straße ermöglichen soll. Die elektronische Deichsel verbindet unsichtbar zwei oder mehrere LKWs. Gekoppelt nehmen die LKWs weniger Platz auf der Straße ein. Geringer Abstand bedeutet weniger Luftwiderstand und dadurch bis zu 20% weniger Kraftstoff [1]. 3.1 Systemarchitektur Elektronische Deichsel Im Rahmes des EU-Förderprojekts PROMOTE-CHAUFFEUR wurde eine elektronische Deichsel mit zwei schweren LKW-Sattelzugfahrzeugen vom Typ ACTROS realisiert. Bei dieser elektronischen Deichsel folgt der zweite, nachfolgende LKW automatisch längs- und quergeregelt dem manuell gelenkten vorausfahrenden LKW. Zur Längs- und Querführung bestimmt der Fahrzeugrechner im Folgefahrzeug aus Telemetrie und Bilddaten die Eigenposition relativ zu der des vorausfahrenden Führungsfahrzeugs sowie die notwendigen Stellbefehle für Motor, Bremse und Lenkung [5].

11 VVC Communication VVC-CAN IP-CAN IP TVC SCS SCS-CAN CAN EAS-CAN FMR MKR EPS AGE EAS RET EPB Abbildung 6: Systemarchitektur Elektronische Deichsel System architecture electronic draw-bar In Abbildung 6 ist die Systemarchitektur des Folgefahrzeugs dargestellt. Die Algorithmen zur Längs- und Querregelung werden auf dem Fahrzeugrechner, dem sogenannten Tow-bar Vehicle Controller (TVC) ausgeführt, einem A-Muster auf VME-Basis mit PowerPC-Rechnerboard. Der TVC ist über vier separate CAN-Schnittstellen mit der Bildverarbeitung (IP - Image Processing), der Funkschnittstelle (VVC - Vehicle-to-Vehicle-Communication), der Lenkung (SCS - Steering Control System) und dem Elektronischen Antriebsstrang (EAS) verbunden. Die Erfassung der Relativposition zum vorausfahrenden Führungsfahrzeug erfolgt über ein Infrarot-Bildverarbeitungsystem (IP). Aus den Bildrohdaten werden Deichselabstand d ist und Deichselwinkel µ ist berechnet, die über den IP-CAN an den TVC geschickt werden.

12 Mittels einer Funk-Schnittstelle (VVC - Vehicle-to-Vehicle-Communication) empfängt der TVC über den VVC-CAN Telemetriedaten vom Führungsfahrzeug. Hierzu zählen beispielsweise die aktuelle Beschleunigung a ist und Geschwindigkeit v ist des Führungsfahrzeugs. Die Fahrzeug-Fahrzeug-Kommunikation ist für die Sicherheit der Fahrzeugkolonne von höchster Bedeutung, da das Folgefahrzeug in sehr geringem Abstand folgt und Bremsmanöver des Führungsfahrzeugs so rasch wie möglich an das Folgefahrzeug kommuniziert werden müssen. Aus Sicherheitsgründen wird im Folgefahrzeug der Abstand zum Führungsfahrzeug geschwindigkeitsabhängig geregelt. Er liegt im Bereich von 6m bei Fahrzeugstillstand und 12m bei maximaler Fahrgeschwindigkeit. Zur Querführung des Folgefahrzeugs ermittelt der TVC aus dem Deichselabstand und dem Deichselwinkel den zustellenden Soll-Lenkwinkel δ soll, welcher über den SCS-CAN an die prototypische elektronische Lenkung (SCS - Steering Control System) übergeben wird [2]. Des weiteren werden vom TVC zur Längsführung Stellsignale in Form des Soll-Antriebsmoments M soll und der Soll-Bremsverzögerung b soll über den EAS-CAN an ein speziell für die elektronische Deichsel modifiziertes elektropneumatisches Bremssystem (EPB) gegeben. Zu den weiteren Komponenten des Antriebsstrangs zählen die Steuergeräte für Motor (FMR), Kupplung (MKR), Getriebe (EPS) sowie die automatische Gangermittlung (AGE). Hierbei handelt es sich um Serienkomponenten, die für das Assistenzsystem Elektronische Deichsel nur geringfügig angepasst werden mussten. 3.2 Sicherheitskonzept Elektronische Deichsel Das Sicherheitskonzept der Elektronischen Deichsel basiert auf der Annahme, dass ein Fahrer im Folgefahrzeug vorhanden ist, der bei Fehlzuständen die Fahrzeugführung vom TVC übernehmen kann. Damit kann in den Forschungsfahrzeugen auf eine redundante Auslegung der Systemarchitektur verzichtet werden, was die Systemkomplexität stark vereinfacht. Allerdings erfordert diese einkanalige Systemarchitektur eine Vielzahl von Online- Überwachungsmaßnahmen, um Fehlzustände im System zu erkennen und bei sicherheitskritischen Zuständen Sicherheitsmaßnahmen einzuleiten.

13 Zu den wesentlichen Sicherheitsmaßnahmen gehören die Aufforderung zur Fahrerübernahme sowie das automatische Abbremsen des Folgefahrzeugs (AUTO- STOP) bei schweren Fehlern, so dass kein sogenanntes Bremsloch bei der Fahrerübernahme entsteht. Bevor diese Maßnahmen eingeleitet werden, müssen die Fehlzustände aber erst einmal erkannt werden. Zu den kritischen Systemzuständen gehören: Ausfall der umgebungserfassenden Sensorik oder der Funk-Schnittstelle Der Ausfall der Bildverarbeitung ist sicherheitskritisch bezüglich der Querführung. Der Ausfall der Fahrzeug-Fahrzeug-Funk-Schnittstelle ist vor allem bezüglich der Längsführung kritisch. Der TVC kann Ausfälle dieser Komponenten durch das Ausbleiben der Nachrichten am IP-CAN bzw. VVC-CAN bemerken. Fehlerhafte Eingangs- bzw. Ausgangsdaten am TVC Fehlerhafte Eingangs- bzw. Ausgangsdaten werden vom TVC in unterschiedlicher Weise durch Plausibilitätsprüfungen erkannt. Verletzungen des Wertebereichs (zu groß, zu klein) können beispielweise relativ leicht durch Vergleich identifiziert werden. Des weiteren werden unterschiedliche Sensorsignale gegenseitig über physikalische Modelle überprüft. Neben den hardwaremäßigen Sicherheitsvorkehrungen in den modifizierten Steuergeräten berücksichtigt das realisierte Sicherheitskonzept im wesentlichen auch Software-Komponenten, welche auf dem TVC ausgeführt werden. Die Implementierung der Sicherungssoftware erfolgt im Idealfall durch einen Sicherheitsingenieur, wobei auch hier Entwurfs- und Implementierungsfehler nicht ausgeschlossen sind. Die Implementierung der Sicherheitssoftware auf dem TVC muss daher gründlich getestet werden, da ein Sicherheitskonzept immer nur so gut ist wie seine Implementierung.

14 4 Labor-Validationsplattform für Assistenzsysteme 4.1 Anforderungen an die Validationsplattform Die Anforderungen an die Validationsplattform sind aus den technischen /ökonomischen Randbedingungen in der Fahrzeugforschung abgeleitet: Validation von Assistenzsystemen in komplexen Verkehrsszenarien: Im Vordergrund steht der Test von prototypischen Assistenzsystemen mit aktivem Eingriff innerhalb einer sicheren Laborumgebung in komplexen Verkehrsszenarien, bei denen die Validation der Fahrfunktion mittels Fahrversuch mit hohem Risiko für Fahrer und Versuchsträger verbunden sein kann. Die Tests sollen Fahrversuche zunächst ergänzen, langfristig teilweise ersetzen. Validation von Sicherheitskonzepten: Die Validationsplattform soll die Validation von Sicherheitskonzepten ermöglichen, wobei eine Validation der Implementierung des Sicherheitskonzepts auf der Zielhardware im Vordergrund steht. Kostengünstige Realisierung: Die Validationsplattform muss mit dem Budget eines mittelgroßen Forschungsprojekts finanziert werden können. Aufwendige Lösungen wie das von der TNO konzipierte VEHIL-System (siehe Abschnitt 2.2) scheiden daher aus. Universelle Verwendbarkeit: Die Validationsplattform soll den Test unterschiedlicher Assistenzsysteme sowohl für Pkw als auch für Nfz unterstützen sowie durchgängig für A-Muster-Rechner bis zu Seriensteuergeräten verwendbar sein. Offene Systemarchitektur: Die Validationsplattform muss über eine offene Hardware/Software-Architektur verfügen, die eine einfache Anpassung der Validationsplattform an weitere Prüflinge ermöglicht.

15 Kommerzielles HiL-System als Basistechnologie: Die Validationsplattform soll auf einem marktgängigen, kommerziellen HiL-System aufsetzen. 4.2 Architektur des VALSE-HiL-Systems Aufgrund der Anforderungen vor allem bezüglich der Universalität und der großen Flexibilität konnte auf kein schlüsselfertiges Validationssystem für Fahrerassistenzsysteme zurückgegriffen werden. Es wurde deshalb ein eigenes, auf einem kommerziellen HiL-System aufbauendes Konzept entwickelt. Das VALSE-HiL-System besteht im wesentlichen aus den drei Komponenten: assistenzsystemspezifische Funktions- und Umgebungsmodellierung, ETAS- Testsystem und Prüfling, welche in Abbildung 7 skizziert sind. Funktions- und Umgebungsmodellierung Andere Fahrzeuge Verkehrsszenario Eigenes Fahrzeug ETAS Testsystem Testfälle MMI Visualisierung Aufzeichnung Analyse Prüfling Test Automatisierung Test-Koordinator Test Auswertung Shared Memory Semaphore Task Task Task 1 2 N Hardware Schnittstellen Signalkonditionierung Hardware Schnittstellen Abbildung 7: Architektur des VALSE-HiL-Systems Architecture of the VALSE HiL system Nach eingehender Untersuchung der am Markt verfügbaren HiL-Systeme wurde als Basisplattform ein HiL-System der Fa. ETAS [10] beschafft. Als wesentlicher Vorteil gegenüber den Produkten der Fa. dspace [9] ist aus der Sicht des VALSE-Projekts die offene Systemarchitektur zu nennen, die auf dem VME-Standard basiert.

16 Die zweite Komponente besteht aus einer assistenzsystemspezifischen Funktionsund Umgebungsmodellierung. Sie stellt die wesentliche Innovation des VALSE-HIL- Systems dar. Im Gegensatz zur herkömmlichen HiL-Technologie, wie sie zum Test von Steuergeräten verwendet wird, kann für die Validation von Fahrerassistenzsystemen die Umgebung des Prüflings im HiL-System aufgrund der Komplexität der unterschiedlichen Verkehrsszenarien nicht vollständig in Hardware aufgebaut werden. Prinzipiell können einzelne Steuergeräte in Hardware, Software bzw. einer Mischung aus Hardware/Software realisiert werden. Das Verhalten anderer Fahrzeuge sowie die daraus resultierende Wechselwirkung mit dem eigenen Fahrzeug kann aber im Labor nur in Software mit einem geeigneten Simulationssystem nachgebildet werden. Für das VALSE-HiL-System wird eine bei DaimlerChrysler entwickelte Simulation [15] eingesetzt, mit der sich mehrere Fahrzeuge in einer frei definierbaren Umgebung und in vorgebbaren Verkehrsszenarien (z.b. Fahrzeugkolonne) simulieren lassen. Im Rahmen des Projekts VALSE wurde dieses Simulationssystem wie in Abschnitt 4.3 beschrieben erweitert. Die Funktions- und Umgebungsmodellierung erfolgt auf einem Linux-PC, der über einen VME-Bus mit dem ETAS-Testsystem verbunden ist. Das ETAS-Testsystem bildet somit die Schnittstelle zwischen Umgebungsmodellierung und Prüfling (z.b. dem TVC bei der Elektronischen Deichsel ). Die von der Umgebungsmodellierung empfangenen Systemvariablen werden vom Testsystem entweder unverändert an den Prüfling weitergeleitet oder aber manipuliert, um einen bestimmten Testfall auszulösen. An der Schnittstelle ETAS-Testsystem zum Prüfling ist eine Signalkonditionierung erforderlich, d.h. die Systemvariablen müssen entsprechend der CAN-Matrix des Prüflings in CAN-Botschaften bzw. in Analog- und Digitalsignale umgesetzt werden. Diese Schnittstelle entspricht damit exakt der Schnittstelle des Prüflings im Versuchsträger.

17 Das ETAS-Testsystem nutzt die Software Teststand von der Fa. National Instruments [12] und stellt Sprachmittel zur Spezifikation von Testfällen bereit. Die Testfälle können zeit- oder ereignis-getriggert ausgelöst werden. Die Ausführung der Testfälle kann über Script-Mechanismen automatisiert werden, was wesentlich zur Effizienzsteigerung beiträgt. Trennbox TVC Testsystem Animation ETAS-Testsystem und Echtzeit-PC (Linux) Konsole TVC Animations-PC Entwicklungs-PC Abbildung 8: Labor-Validationsplattform für die Elektronische Deichsel Laboratory validation platform for the Electronic Towbar In Abbildung 8 ist der Laboraufbau für die Validierung des Assistenzsystems elektronische Deichsel dargestellt. In dem 19-Zoll-Rack rechts befinden sich eine Trennbox (oben), das ETAS- Testsystem, der Linux-PC für die assistenzsystemspezifische Funktions- und Umgebungsmodellierung (mittig) sowie der Prüfling (TVC), der im Folgefahrzeug verwendete A-Muster-Rechner mit PowerPC-Board (unten). Die auf dem Schreibtisch stehenden Monitore dienen der Systementwicklung für den Prüfling, der Kontrolle des ETAS-Testsystems sowie der Visualisierung des über die Funktionsund Umgebungsmodellierung festgelegten Verkehrsszenarios, in welchem das Assistenzsystem getestet wird.

18 4.3 Funktions- und Umgebungsmodellierung Eine wesentliche Voraussetzung für HiL-Validation von Fahrerassistenzsystemen ist die adäquate Nachbildung des Verkehrsszenarios einschließlich der beteiligten Fahrzeuge. TVC (Prüfling) Algorithmen des Assistenzsystems Simu latio Fzg 1 Fzg 2 Welt CAN-Interface Digital I/O,Analog I/O CAN-Interface Digital I/O,Analog I/O ETAS-Testsystem Fzg 3 Linux-PC HiL-Fzg SHM VMECon VME-Bus Abbildung 9: Anbindung des Simulationssystems an das ETAS-Testsystem Connection of the simulation system to the ETAS-Testsystem Die im Rahmen des Projekts PROMOTE-CHAUFFEUR entwickelte und hier eingesetzte (Kolonnen-) Simulation bietet die Möglichkeit mehrere Fahrzeuge in einer virtuellen Welt zu simulieren. Die Fahrzeuge werden in ihrem Fahrverhalten mitsamt Fahrzeug- und umgebungserfassender Sensorik, Fahrzeug-Fahrzeug- Kommunikation, Fahrzeugregelung und Aktuatorik simuliert. Dabei ist die Software modular und objektorientiert aufgebaut, so dass es möglich ist, bestimmte Komponenten (z.b. Fahrzeugmodelle für unterschiedliche Fahrzeugtypen) auszutauschen sowie verschiedene Detaillierungsgrade für die jeweiligen Komponenten (z.b. Sensoren oder Fahrzeugdynamikmodelle) auszuwählen. Außerdem werden die Fahrzeuge in verschiedenen Prozessen simuliert, die parallel auf verschiedenen Prozessoren oder Rechnern ausgeführt werden können, um den Simulationslauf zu beschleunigen [15].

19 In Abbildung 9 ist die Integration der Simulation in das VALSE-HIL-System dargestellt. Das Simulationssystem zur Funktions- und Umgebungsmodellierung ist über einen VME-Bus mit dem ETAS-Testsystem verbunden. Zum Test des im Prüfling realisierten Assistenzsystems werden im Simulationsystem alle im eigenen Fahrzeug (hier als HIL-Fzg bezeichnet) für das Assistenzsystem verfügbaren Daten (Fahrzustandsdaten, Sensordaten, Fahrzeug-Fahrzeug-Kommunikationsdaten) über einen Shared-Memory an das ETAS-Testsystem gesendet. Entsprechend werden die vom Assistenzsystem generierten Daten (Stellbefehle für Motor, Bremse und Lenkung) über die gleiche Schnittstelle an das Simulationssystem übertragen. Des weiteren werden zur Visualisierung der Verkehrssituation Daten der virtuellen Welt sowie der anderen Fahrzeuge an das ETAS-Testsystem zur Verfügung gestellt. Der Software-Prozess VMECon übernimmt die Verwaltung und die Synchronisation der Datenkommunikation. 5 Zusammenfassung und Ausblick Das hier vorgestellte VALSE Hardware-in-the-Loop System ermöglicht eine kostengünstige Validation prototypischer Intelligenter Fahrerassistenzsysteme, welche einen aktiven Eingriff in Motor, Bremse und Lenkung vornehmen, innerhalb einer sicheren Laborumgebung. Im Gegensatz zu eingeführten Systemen wie ABS oder ESP, bei denen ein Fahrdynamikeingriff nur vom eigenen Fahrzustand abhängig ist, erfassen Intelligente Assistenzsysteme die Umgebung des Fahrzeugs und berücksichtigen auch das Verhalten anderer Verkehrsteilnehmer. Das VALSE HiL-System verwendet als Basis Platform ein HiL-System der Fa. ETAS mit offener Hardware/Software-Architektur, welches eine einfache Adaption von Testumgebung und Prüfling ermöglicht. Die Anbindung eines proprietären Simulation Softwaresystems, mit dem eine adäquate Nachbildung des Verkehrsszenarios einschließlich der beteiligten Fahrzeuge erreicht wird, stellt eine wesentliche Erweiterung im Hinblick auf die Validation von Fahrerassistenzsystemen dar. Durch den modularen sowie objektorientierten Aufbau des Simulationssystems konnte zudem der Anspruch an Flexibilität erfüllt werden.

20 Als erste Pilotapplikation wurde im VALSE HiL-System die im Rahmen des EU- Förderprojektes PROMOTE-CHAUFFEUR entwickelte Elektronische Deichsel für zwei ACTROS Sattelzugfahrzeuge erfolgreich validiert. Die zukünftigen Arbeiten betreffen die Anpassung der VALSE Validationsplattform an eine Assistenzsystemfunktion aus dem Pkw-Umfeld sowie die Integration von Fahrdynamik-Steuergeräten als Hardware-Komponenten. 1 Literatur [1] Bonnet, C., Fritz, H.: Fuel Consumption Reduction Experienced by two Promote-CHAUFFEUR Trucks in Electronic Towbar Operation, World Congress on IST Systems, Torino, Italy, November 6 th 11 th 2000 [2] Braun, A., Fritz, H., Paridon, T., Weiß, G.: Steering System Components ready for Installation, CHAUFFEUR Deliverable D Version 2.0, Mai 15 th 1998 [3] Etas User Magazin ETAS RealTimes, Heft 2, 2002, Seite [4] EUROPÄISCHE KOMMISSION: Weissbuch Die europäische Verkehrspolitik bis 2010: Weichenstellungen für die Zukunft, Luxemburg, Amt für amtliche Veröffentlichungen der Europäischen Gemeinschaften, 2001 [5] Fritz, H.: Longitudinal and Lateral Control of Heavy Duty Trucks for Automated Vehicle Following in Mixed Traffic: Experimental results from the CHAUFFEUR project, Proceedings IEEE International Conference on Control Application (CCA), Hawaii, USA, August, 22 nd 27 th, 1999, Seite [6] [7] [8] [9] [10] [11] [12] [13] [14] Verburg, D.J., van der Knaap, A.C.M., Ploeg, J.: VEHIL Developing and Testing Intelligent Vehicles, Proceedings IEEE Intelligent Vehicle Symposium (IV 2002), Versailles, France, June 18 th 20 th 2002 [15] Felten, E., Fritz, H., Bonnet, C. An object oriented software system for vehicle platoon simulation, Interner Bericht, DaimlerChrysler AG, Stuttgart, Abt. RIC/AA, 2000