Hochautomatisiertes Fahren mit Systems Engineering realisieren

Dieser Artikel von Franz Gaupp und Philipp Katzenbach ist erschienen im prostep ivip ProduktDaten Journal (Ausgabe 07-2019).

Die Entwicklung hoch- und vollautomatisierter Fahrsysteme stellt die Automobilhersteller vor große Herausforderungen. Die Art und Weise, wie entwickelt und abgesichert wird, muss sich verändern. Systems Engineering bietet für diese Herausforderungen geeignete Lösungsansätze und Best Practices, die bereits in anderen Branchen erprobt sind.

Mit der Weiterentwicklung der Automatisierungsgrade der Fahrzeuge steigen die Systemkomplexität und die Anforderungen an die Sicherheit der Fahrzeuge exponentiell an. Die Grafik unten zeigt die verschiedenen Automatisierungsgrade der Fahrzeuge mit entsprechenden Beispielen. Aktuell sind in vielen Oberklassefahrzeugen Assistenzsysteme (Level 1-2), wie Abstandsregeltempomaten oder Lenkassistenten, verfügbar. Bei diesen Automatisierungsgraden wird der Fahrer zwar unterstützt, er trägt jedoch weiterhin die Verantwortung für die Steuerung des Fahrzeugs. Ab Level 3 erfolgt ein deutlicher Komplexitätssprung, denn ab hier übernimmt das Fahrzeug bereits in bestimmten Fällen diese Verantwortung. So kann der Fahrer z.B. bei der Nutzung des Autobahnpiloten während der Fahrt auf der Autobahn arbeiten oder lesen. Er muss bei Level 3 jedoch in der Lage sein, in nicht beherrschten Situationen, z.B. in einer Baustelle, die Steuerung des Fahrzeugs und die Verantwortung zu übernehmen. Bei Level 4 und 5 entfällt die Rückfallebene Mensch. Das Fahrzeug ist hier vollumfänglich für die Sicherheit verantwortlich.

Aufgrund des sehr hohen Komplexitätssprungs von Level 1-2 auf Level 3-5 reicht eine evolutionäre Weiterentwicklung nicht aus. Die Entwicklungsprozesse müssen neu gedacht werden. Systems Engineering ist ein interdisziplinärer Ansatz zur Entwicklung und Realisierung komplexer technischer Systeme. Er bietet geeignete Prozesse und Systematiken, die bereits in anderen sicherheitskritischen Branchen, wie der Luftfahrt, erprobt sind [2].  Bei Systems Engineering steht das System und das Zusammenwirken seiner Bestandteile im Vordergrund. Anhand des V-Modells [3] kann man die unterschiedlichen Abstraktionsebenen eines Fahrzeugs visualisieren. 

Betrachten wir zunächst die linke Seite des V-Modells. Die Neuentwicklung automatisierter Fahrzeuge ist kein linearer Prozess, sondern von vielfältigen und zum Teil unbekannten Wechselwirkungen geprägt. Damit werden die Synchronisation und Koordination der unterschiedlichen Entwicklungsdomänen umso herausfordernder. Benötigt wird deshalb ein entsprechender Ordnungsrahmen. Dazu empfiehlt sich aus Sicht des Systems Engineerings eine geeignete Referenzarchitektur.

Auf der rechten Seite des V-Modells geht es um die Integration, Verifikation und Validierung – also um die Absicherung des automatisierten Fahrzeugs. Hier müssen die definierten Anforderungen überprüft und nachgewiesen werden. Dies ist insbesondere für die Sicherheitsanforderungen relevant, da der Nachweis mit einer entsprechend hohen Aussagewahrscheinlichkeit getroffen werden muss.

Bei Anwendung klassischer Testkonzepte für automatisierte Fahrfunktionen geht die Wissenschaft von 6 bis 11 Milliarden Testkilometern für einen Funktionsnachweis in Konformität der ISO 26262 aus [5] [6]. Dies würde mit einer Testflotte von 100 Fahrzeugen im Dauerbetrieb über 500 Jahre dauern [7]. Diese Zahlen legen nahe, dass ein derartiger streckenbasierter statistischer Funktionsnachweis nicht zu erbringen ist.

Vorangetrieben durch Konsortialprojekte, wie dem Projekt PEGASUS [8], hat sich ein szenariobasierter Testansatz als zielführend herauskristallisiert. Dieser legt zugrunde, dass nur ein Bruchteil der Verkehrsszenarien für die automatisierte Fahrfunktion relevant ist. Die Funktionalität des Systems kann also bereits über diesen Bruchteil der relevanten Szenarien nachgewiesen werden.

Neben der Identifizierung dieser relevanten Szenarien besteht hier die Herausforderung, dass ein abstrakt beschriebenes Szenario eine theoretisch unendlich große Menge an Variationen und damit konkreten Testfällen mit sich bringt. Für eine hinreichende Testraumabdeckung sind Simulationen als Verifikations- und Validierungstool notwendig. Zur Validierung der simulierten Ergebnisse sind trotzdem weiterhin teilvirtuelle und reale Erprobungen nötig. Die dort gewonnenen Ergebnisse sind wiederum Eingangsdaten für die Simulationen.

Zur Erreichung der Nachweispflichten für Level 3-5 bedarf es also intelligenter Absicherungsstrategien. Diese müssen folglich folgende Herausforderungen berücksichtigen:

1. das noch höhere Maß an systemischer Komplexität und Vernetzung insbesondere durch Software-Anteile,
2. das szenariobasierte Testen als weitgehend neuer Ansatz zum funktionalen Nachweis von Fahrzeugfunktionen,
3. der Großteil der Absicherungsumfänge findet virtuell statt.

In einer „In-the-Loop“-Absicherung wird die getestete Funktion/Komponente in einem Regelkreislauf integriert, indem Ein- und Ausgangsgrößen simuliert werden. Es können hierbei sowohl reale Komponenten (HIL: Hardware in the Loop) als auch Software (SIL: Software in the Loop) getestet werden. Für die Verifikation und Validierung der automatisierten Fahrfunktion auf Basis der erarbeiteten Architekturen ist eine solche (teil-)virtuelle Absicherung unerlässlich. Wie in der Tabelle schematisch dargestellt, liegen die Stärken des rein virtuellen Testings in einer SIL-Umgebung darin, hochvariant eine große Anzahl von Kilometern testen zu können, während HIL-Tests sowie Tests in realen Versuchsträgern validere Aussagen hinsichtlich der finalen Funktionalität im Fahrzeug treffen können. 

Die Fahrzeughersteller haben sich in den vergangenen Jahrzehnten darauf konzentriert, ihre bestehenden Fahrzeuge und deren effiziente Entwicklung und Produktion immer weiter zu perfektionieren. Der Fokus lag damit oft auf einzelnen Komponenten und deren Weiterentwicklung, die Architektur wurde nicht prinzipiell neu erarbeitet. Dementsprechend optimierte sich die Organisation in der Fahrzeugentwicklung auch sehr arbeitsteilig und domänenspezifisch.

Die Entwicklung der Level 3-5 Fahrzeuge hat jedoch andere Prämissen. Die Anforderungen und Architekturen sind neu. Automatisiertes Fahren wird nur unter Beteiligung sehr vieler Technologien, Systeme und Komponenten realisiert, die über das ganze Fahrzeug verteilt sind. Aufgrund dieser starken Vernetzung wird in der aktuellen domänenspezifischen Organisation die Koordination der Entwicklung „quer“ zu bestehenden Verantwortungsbereichen erfolgsentscheidend (vgl. Abb. 5).

Wie beschrieben stellt die Realisierung hoch- und vollautomatisierter Fahrfunktionen eine immense Herausforderung für die gesamte Branche dar. Eine ganzheitliche und vernetzte Denk- und Arbeitsweise wird notwendig. Ohne die konsequente Anwendung von Systems Engineering vom Anforderungs- über das Architektur- und V&V-Management ist diese Herausforderung aufgrund ihrer Komplexität nicht zu beherrschen. Die technischen Neuerungen werden dabei nur erfolgreich sein, wenn auch die Themen Prozesse und Organisation in gleichem Maße angegangen werden.