Herausforderungen an die Funktionale Sicherheit gemäß ISO 26262 für automatisierte Fahrzeuge am Beispiel des Projekts afas Gerrit Bagschik, Andreas Reschka, Torben Stolte Institut für Regelungstechnik, Technische Universität Braunschweig 16. November 2015
Motivation Besondere Gefährdung für die Besatzung des Absicherungsfahrzeugs Abbildung Abbildung Quelle: Hessen Mobil Quelle: Nürnberger Nachrichten, 28.6.2011 Projekt afas: Automatisch fahrerlos fahrendes Absicherungsfahrzeug für Arbeitsstellen auf Autobahnen Niedrigere Funktionale Anforderungen (definiertere Arbeitsumgebung, niedrige Arbeitsgeschwindigkeit) im Vergleich zu typischeren SAE-Level 4 Szenarien 16. November 2015 Gerrit Bagschik, Andreas Reschka, Torben Stolte Seite 2
Zielsetzung Entwicklung eines automatisch fahrerlos fahrenden Absicherungsfahrzeug Entwicklung und Umsetzung eines Sicherheitskonzepts gemäß ISO 26262 Betrachtung rechtlicher Aspekte des automatisierten Fahrens sowie Grenzen einschlägiger Normen der Funktionalen Sicherheit, insbesondere der Norm ISO 26262 Erstmaliger Einsatz eines fahrerlosen Fahrzeugs im öffentlichen Straßenverkehr 16. November 2015 Gerrit Bagschik, Andreas Reschka, Torben Stolte Seite 3
Konsortium 16. November 2015 Gerrit Bagschik, Andreas Reschka, Torben Stolte Seite 4
Agenda Motivation und Zielsetzung Funktionsumfang und Betriebsmodi? Wissenschaftliche Fragestellungen Sicherheitskonzeption 16. November 2015 Gerrit Bagschik, Andreas Reschka, Torben Stolte Seite 5
Funktionsumfang An- und Abfahrt zur Arbeitsstelle durch menschlichen Fahrer High Automation (SAE-Level 4): Vollständige und dauerhafte Längs- und Querführung. Bei Ausbleiben der Fahrerübernahme wird das System selbsttätig in den risikominimalen Zustand zurückkehren. Das Fahrzeugführungssystem übernimmt Längs- und Querführung auf dem Seitenstreifen Geschwindigkeit niedrig (~10km/h) Großer Abstand beim Arbeiten Kleiner Abstand beim Passieren von Ein- und Ausfahrten 16. November 2015 Gerrit Bagschik, Andreas Reschka, Torben Stolte Seite 6
Betriebsmodi Fahrer bewegt Fahrzeug wie ein herkömmliches Fahrzeug 16. November 2015 Gerrit Bagschik, Andreas Reschka, Torben Stolte Seite 7
Betriebsmodi Ausgangsbetriebsmodus des fahrerlosen Betriebs Fahrzeug befindet sich im Stillstand oder wird in diesen gebremst Aktiv bei Überschreitung funktionaler Systemgrenzen 16. November 2015 Gerrit Bagschik, Andreas Reschka, Torben Stolte Seite 8
Betriebsmodi Absicherungsfahrzeug folgt Führungsfahrzeug in geringem Abstand automatisch Funktion wird primär über Steuer- und Zustandsgrößen des Führungsfahrzeugs realisiert 16. November 2015 Gerrit Bagschik, Andreas Reschka, Torben Stolte Seite 9
Betriebsmodi Absicherungsfahrzeug folgt Führungsfahrzeug in großem Abstand automatisch Funktion wird primär über eine Umfeldwahrnehmung des Absicherungsfahrzeugs realisiert 16. November 2015 Gerrit Bagschik, Andreas Reschka, Torben Stolte Seite 10
Wissenschaftliche Fragestellungen Erstmaliger Einsatz eines fahrerlosen Fahrzeugs im öffentlichen Straßenverkehr: Technische Aspekte Normative Aspekte Juristische Aspekte Zielsetzung: Erkenntnisse aus afas als Basis für den wissenschaftlichen Austausch hinsichtlich fahrerloser Fahrzeuge 16. November 2015 Gerrit Bagschik, Andreas Reschka, Torben Stolte Seite 12
Wissenschaftliche Fragestellungen Technische Aspekte Besondere Herausforderung: Fahrerloser Betrieb Aufgaben des Fahrers Implementierung in Hard- und Software Wahrnehmung des Umfelds Wahrnehmung der aktuellen Leistungsfähigkeit des Fahrzeugs Trajektorienplanung und -steuerung Umfeld- und Selbstwahrnehmung Fahrzeugführung Aktorik 16. November 2015 Gerrit Bagschik, Andreas Reschka, Torben Stolte Seite 13
Wissenschaftliche Fragestellungen Technische Aspekte Umfeldwahrnehmung Unterschiedliche Wahrnehmungstechnologien mit unterschiedlichen Stärken und Schwächen Abhängig von Umgebungsbedingungen und Anwendungsfall Erkennung von Seitenstreifenmarkierung, Führungsfahrzeug und Hindernissen auf dem Fahrstreifen: Wie kann fehlerfreie Wahrnehmung gewährleistet werden? Permanente Einschätzung der Leistungsfähigkeit (kein Fahrer als sensorische Redundanz) Umfeld- und Selbstwahrnehmung Fahrzeugführung Aktorik 16. November 2015 Gerrit Bagschik, Andreas Reschka, Torben Stolte Seite 14
Wissenschaftliche Fragestellungen Technische Aspekte Fahrzeugführung/Aktorik Fahrzeugführung/Trajektorienplanung Bewegung nur innerhalb des definierten Arbeitsumfelds Berücksichtigung der gegebenen Systemgrenzen (Beschleunigung, Lenkwinkel etc.) Aktorik Keine Rückfallebene durch korrigierende Eingriffe des Fahrers Entwicklung geeigneter Strategien, die Rückfallebene Mensch zu ersetzen Umfeld- und Selbstwahrnehmung Fahrzeugführung Aktorik 16. November 2015 Gerrit Bagschik, Andreas Reschka, Torben Stolte Seite 15
Wissenschaftliche Fragestellungen Technische Aspekte Validierung Offenes System: nicht quantitativ erfassbare Menge an Situationen afas: Trotz Einschränkung der Einsatzumgebung: Wie können offene Systeme validiert werden? Wann ist die Validierung ausreichend? Sicherheitskonzept? Umfeld- und Selbstwahrnehmung Fahrzeugführung Aktorik 16. November 2015 Gerrit Bagschik, Andreas Reschka, Torben Stolte Seite 16
Wissenschaftliche Fragestellungen Normative Aspekte ISO 26262: Stand der Technik bei der Entwicklung von EE-Systemen in Kraftfahrzeugen Fragestellungen: Ist die ISO 26262 für die Entwicklung fahrerloser Fahrzeuge geeignet? Wo sind die Grenzen bei der Absicherung offener Systeme? Wann ist ein offenes System sicher? Lässt sich Sicherheit anhand von Metriken messen? 16. November 2015 Gerrit Bagschik, Andreas Reschka, Torben Stolte Seite 17
Wissenschaftliche Fragestellungen Juristische Aspekte Fahrerlose Fahrzeuge sind derzeit nicht zulassungsfähig. Haftungsrecht: Produkthaftung Gefährdungshaftung Amtshaftung Verhaltensrecht: Wiener Konvention (1968) und aktuelle Anpassung (2014) Ziele: Erteilung einer Ausnahmegenehmigung für den fahrerlosen Betrieb Ableitung verallgemeinerungsfähiger Aspekte für den zukünftigen fahrerlosen Betrieb von Straßenfahrzeugen 16. November 2015 Gerrit Bagschik, Andreas Reschka, Torben Stolte Seite 18
Sicherheitskonzeption Sicherheitskonzept zentrale Herausforderung Vorgehen in Anlehnung an ISO 26262 Einsträngiges Vorgehen bei einleitenden Schritten, Entwicklung und Systemvalidierung Sicherheitskonzeption zweisträngig Funktionale Systembeschreibung (Item Definition) Gefährdungsanalyse und Risikobewertung (G&R) Systementwicklung der Projektpartner Sicherheitskonzept Sicherheitskonzept Sicherheitsziele (SiZi) Validierung 16. November 2015 Gerrit Bagschik, Andreas Reschka, Torben Stolte Seite 19
Exkurs: Automotive Safety Integrity Level ASIL = Automotive Safety Integrity Level Einstufung der Systemausfälle nach: Auswirkung Beherrschbarkeit Auftrittswahrscheinlichkeit Beeinflusst Vorgaben für Kriterien bei der späteren Entwicklung Severity Exposure Controllability C1 C2 C3 S1 E1 QM QM QM E2 QM QM QM E3 QM QM A E4 QM A B S2 E1 QM QM QM E2 QM QM A E3 QM A B E4 A B C S3 E1 QM QM A E2 QM A B E3 A B C E4 B C D 16. November 2015 Gerrit Bagschik, Andreas Reschka, Torben Stolte Seite 21 Quelle: ISO 26262:2011-3
Strukturierte Vorgehensweise G&R Bestandteile einer potenziell gefährlichen Situation: Szene und Betriebszustand und Fehlfunktion oder Überschreitung der Systemgrenzen 16. November 2015 Gerrit Bagschik, Andreas Reschka, Torben Stolte Seite 22
Begriff Szene Dynamische Elemente Fahrzeuge Fußgänger Szenerie Fahrstreifen Stationäre Elemente Vegetation Wetter Selbstrepräsentation von Akteuren und Beobachtern Fähigkeiten (z.b. Sichtweite) Zustandsgrößen Attribute Nach: Defining and Substantiating the Terms Scene, Situation, and Scenario for Automated Driving Ulbrich et al. 2015 16. November 2015 Gerrit Bagschik, Andreas Reschka, Torben Stolte Seite 23
Begriff Szene 16. November 2015 Gerrit Bagschik, Andreas Reschka, Torben Stolte Seite 24
Bestandteile Szene afas (Relevante) Bestandteile einer Szene im Kontext afas Leitinfrastruktur (rechte und linke Begrenzung) Leitinfrastruktur Breite Leitinfrastruktur Krümmung Objektkonstellation Seitenstreifen Verkehrskonstellation rechter Fahrstreifen Maximale Geschwindigkeit Verkehr Wetterbedingungen Fahrzustand Absperrfahrzeug 16. November 2015 Gerrit Bagschik, Andreas Reschka, Torben Stolte Seite 25
Diskretisierung Szene Leitinfrastruktur Markierung, Leitplanke, Grasnabe Breite, Krümmung, Wetter Zulässig, nicht zulässig Objektkonstellation Seitenstreifen Kein Objekt, Objekt (verletzlich), Objekt (nicht verletzlich) Verkehrskonstellation Fließender Verkehr Maximale Geschwindigkeit Verkehr Unbegrenzt Fahrzustand Absperrfahrzeug Stehend, fahrend (10 km/h) 16. November 2015 Gerrit Bagschik, Andreas Reschka, Torben Stolte Seite 26
Identifikation von Fehlfunktionen Nutzung von Fähigkeitennetzen Strukturierung der einzelnen Fähigkeiten Abbildung von Abhängigkeiten Gliederung und Ebenen Jede Fähigkeit als Funktion Bestimmte Fehlerzustände spezifisch Inspiriert durch HAZOP -Methodik 1 16. November 2015 Gerrit Bagschik, Andreas Reschka, Torben Stolte Seite 27 1: Hazard and Operability Study
Fähigkeitennetz Abstand halten Geschwindigkeit halten Folgeobjekt auswählen Dynamische Objekte auswählen Lenkwinkel auswerten Fahrzeug verzögern Fahrzeug beschleunigen Fahrerwunsch ermitteln Objekte erkennen Lenkwinkel ermitteln Geschwindigkeit ermitteln Bremskraft erzeugen Antriebskraft erzeugen Umfeldsensorik Fahrzeugsensorik Bremse Antrieb HMI 16. November 2015 Gerrit Bagschik, Andreas Reschka, Torben Stolte Seite 28
Fehlfunktionen Kategorisierung Fähigkeiten Wahrnehmung Planung Bewegung HAZOP Schlüsselwörter Wahrnehmung Kein, nicht vorhanden, fehlerhaft, zu groß, zu klein Planung Nicht relevantes, relevantes XX nicht, kollidierend, physikalisch nicht möglich Bewegung Ausbleibend, falsch, ungewollt, zu groß, zu klein Keine Fehlfunktion für Überschreitung der Systemgrenze 16. November 2015 Gerrit Bagschik, Andreas Reschka, Torben Stolte Seite 29
Strukturierte Vorgehensweise G&R PerformedInMode Function Malfunction RoadInfrastructure RoadInfrastructureWidth RoadInfrastructureCurvature is part of Event TrafficConstellation TrafficMaximalVelocity is part of Scene Relevant Hazardous WeatherConditions RelevantObject OutOfBoundaries DrivingState 16. November 2015 Gerrit Bagschik, Andreas Reschka, Torben Stolte Seite 30
Auswertung Vorgehensweise Betrachtungsweise Einzelfehler Funktionen werden pro Betriebsmodus ausgeführt Modus Fälle Relevante Fälle Gefährliche Fälle Manueller Betrieb Sicheres Anhalten 5328 372 238 5328 344 105 Folgebetrieb 5328 377 170 Gekoppelter Betrieb 5328 368 237 16. November 2015 Gerrit Bagschik, Andreas Reschka, Torben Stolte Seite 31
Ergebnisse der G&R Wesentliche Ergebnisse (aktueller Stand): Kritischster Fall: Ungewolltes Aktivieren des automatisierten Betriebs im manuellen Betrieb führt zu Lenkeingriff Volleinschlag der Lenkung im automatisierten Betrieb ASIL D für Lenkung und Fahrentscheider Besondere Herausforderung Umfeldwahrnehmung: Erkennen von Seitenstreifenmarkierung ASIL B 16. November 2015 Gerrit Bagschik, Andreas Reschka, Torben Stolte Seite 32
Weitere Vorgehensweise Detaillierte Auswertung Welche Situationen führen zu gleichen Hazards? Äquivalenz -Parameter z.b. hat Krümmung keine Auswirkung auf Bremsaktuator Nutzung modellbasierter Ansätze zur Generierung Automatisierte ASIL Vorschläge Beziehungen zu Testfallgenerierung 16. November 2015 Gerrit Bagschik, Andreas Reschka, Torben Stolte Seite 33
Zusammenfassung und Ausblick Aufbau eines fahrerlosen Absicherungsfahrzeug Niedrige Geschwindigkeiten und vergleichsweise einfaches Umfeld Aber: Besondere Gefährdungen für den fließenden Verkehr Schwerpunkt Sicherheitskonzeption nach ISO 26262 Klärung technischer, normativer und rechtliche Fragestellungen mit hoher Relevanz für das automatisierte Fahren Leitfaden für die Absicherung fahrerloser Fahrzeuge mit weit größerem Funktionsumfang 16. November 2015 Gerrit Bagschik, Andreas Reschka, Torben Stolte Seite 34