Rasante Fortschritte bei Elektronik und Informationstechnik, vor allem bei Sensorik und Informationsverarbeitung, ermöglichen heute eine Reihe fortschrittlicher Fahrerassistenzsysteme im Fahrzeug. Bereits seit Jahrzehnten arbeiten Forscher dabei an der schrittweisen Automatisierung des Fahrzeugs – bis hin zur vollständigen Übernahme aller Fahreraufgaben durch das Fahrzeug.

ch9q2388-linien4-end2.jpg

BMW

Die Automatisierung zielt darauf ab, das individuelle Mobilitätserlebnis für den einzelnen Fahrer durch Reduzierung der Belastung sowie durch andersartige Nutzung der Zeit im Fahrzeug erheblich zu verbessern. Darüber hinaus kann sie bei einer entsprechenden Durchdringung des Verkehrs mit automatisierten Fahrzeugen eine effizientere und damit ressourcenschonendere Auslastung der Straßen ermöglichen.

Dabei ist der Grad der Automatisierung zentrales Element in der Diskussion um Gestaltung und Auswirkungen. Sobald der Fahrer nicht mehr Teil des Regelkreises ist und somit die Verantwortung auf das Fahrzeug übergeht (ab SAE Level 3), stellen sich eine Reihe neuer Fragen hinsichtlich Technologie, Einbindung des Menschen, rechtlicher Rahmenbedingungen und gesellschaftlicher Auswirkungen.

Im Zentrum der Betrachtung stehen in erster Linie Sicherheitsaspekte, danach gesellschaftliche Akzeptanz, Komfort, Effizienz und weitere Gesichtspunkte. Zur Erreichung der Zulassungsfähigkeit und schließlich nach Markteinführung der gesellschaftlichen Akzeptanz muss die Sicherheitsbilanz von höherer Automatisierung (HAF) mindestens ein allgemein anerkanntes Niveau erreichen. Die Bewertung der Sicherheit ist folglich eine notwendige Voraussetzung für die Markteinführung von HAF; daher müssen OEMs und Zulieferer sie bereits während der Entwicklung entsprechend berücksichtigen und quantifizieren.

Herausforderungen bei Entwicklung und Bewertung von Automation aus Sicherheitssicht

Die Hypothese, dass automatisierte Fahrfunktionen zu einer Verbesserung der Verkehrssicherheit insgesamt beitragen werden, ist naheliegend und prägt die aktuelle Diskussion, denn fortschrittliche Technologien versprechen im Vergleich zur rein vom Menschen gesteuerten Fahrt erhebliche Verbesserungen hinsichtlich Wahrnehmung und Interpretation des Umfelds, Vorausschau, defensiver Fahrweise und Auflösung von Konfliktsituationen. Allerdings fehlen bislang Nachweise für eine positive gesamthafte Sicherheitswirkung im Sinne einer fundierten Quantifizierung. Die Herausforderung liegt zum einen in der Größe und Variabilität des Situationsraumes (zum Beispiel Autobahnverkehr), zum anderen in der Wechselwirkung zwischen Automatisierungsfunktion und Verkehrskontext.

Eckdaten

Fahrerassistenz und automatisiertes Fahren werden die Verkehrssicherheit auf verschiedene Arten beeinflussen. Entwicklung und Absicherung von sicherheitsrelevanten Funktionen erfordern eine prospektive und quantitative Bewertung der Verkehrssicherheitswirkung. Chancen und Risiken lassen sich dabei mittels simulationsbasierten virtuellen Experimenten quantifizieren. Zu diesem Zweck entsteht derzeit eine Wissensbasis aus verschiedenen Testinstanzen. Eine Lösung zur Abdeckung des großen Situationsraums und zur Wissenssynthese bietet stochastische Simulation anhand großer, repräsentativer virtueller Stichproben. Damit besteht die Möglichkeit, relevante Verkehrsphänomene hinsichtlich sicherheitsrelevanter Prozesse nachzubilden. Summa summarum ist eine standardisierte harmonisierte Methodik zur umfassenden Bewertung der Sicherheitsveränderungen aufgrund neuer Fahrerassistenzsysteme oder automatisierter Fahrfunktionen notwendig.

Die meisten aktuellen Fahrerassistenzsysteme (FAS) überwachen zwar kontinuierlich wichtige Kenngrößen von Fahrer, Fahrzeug und Umfeld, geben aber vergleichsweise selten Warnungen ab oder greifen in die Fahrzeugführung ein (beispielsweise Notbremssysteme). Im Gegensatz dazu beeinflusst HAF oder auch regelnde FAS wie ACC (Adaptive Cruise Control) dauerhaft und unmittelbar die Fahraufgabe. Folglich sind hier deutlich mehr Verkehrssituationen und damit ein größerer Szenarienraum für die Sicherheitsbewertung von Bedeutung. Der Sicherheitsnutzen von HAF lässt sich verhältnismäßig einfach durch Betrachtung der heutigen Sicherheitsdefizite in entsprechenden Verkehrskontexten ermitteln. Um mögliche neu entstehende, a-priori unbekannte, automationsspezifische und sicherheitsrelevante Situationen in der Entwicklung berücksichtigen zu können, müssen diese zunächst entdeckt werden.

Darüber hinaus ist es notwendig, die Quantifizierung der Sicherheitsbilanz für HAF vor einer möglichen Markteinführung zu erbringen, was eine prospektive Bewertung erfordert; daher sind – neben anderen Einschränkungen – retrospektive Methoden ungeeignet.

Prinzipiell kann jede Änderung an der Funktion, sei es zum Beispiel an der Sensorkonfiguration, im Umfeldmodell, in der Fahrstrategie oder bei der Handlungsausführung, zu neuen und anderen kritischen Situationen und somit zu sicherheitsrelevanten Veränderungen im Verkehr führen. Folglich wird eine kontinuierliche, ressourceneffiziente und vor allem schnelle Bewertung der Funktion ein integraler und permanenter Bestandteil der Entwicklung sein, im Gegensatz zu einem separaten beziehungsweise nachgelagerten Schritt. Diese entwicklungsbegleitende Bewertung dient nicht nur der Gestaltung und Optimierung der Funktion; sie muss vielmehr aus den zuvor genannten Gründen auch Teile der Absicherung leisten können, was zusätzliche Anforderungen bedingt. In einer klassisch sequenziellen Abfolge von Entwicklung und Bewertung beziehungsweise Absicherung wären aufgrund der technischen Komplexität von HAF und der damit in Zusammenhang stehenden Vielzahl von Testszenarien viele Iterationsschritte und damit als Folge extrem lange Entwicklungszyklen notwendig.

Bild 1: Schematischer Prozess der virtuellen Bewertung.

Bild 1: Schematischer Prozess der virtuellen Bewertung.BMW

Die Seltenheit kritischer Situationen im Realverkehr (ohne und mit HAF) macht sehr lange Beobachtungszeiten beziehungsweise Erprobungsdauern für eine aussagekräftige Bewertung notwendig. Aktuell verfügbare Testinstanzen für FAS können diese Anforderung nicht erfüllen: Entweder können die seltenen sicherheitsrelevanten Situationen nicht schnell genug erfasst werden (aufgrund der benötigten Erprobungskilometer oder Beobachtungsdauern) und/oder die Methoden sind nicht dafür ausgelegt, Nutzen und Risiken im Verkehr gleichzeitig im Sinne einer gesamthaften Sicherheitsbilanz zu berücksichtigen. Für HAF sind somit aussagekräftige Methoden erforderlich, die eine echte Integration von Bewertung und Optimierung in den Entwicklungsprozess erlauben.

Gesamthafter Ansatz zur Bewertung von Automation

Die Veränderung des Verkehrs (vor allem der Verkehrssicherheit) durch FAS oder HAF weist Analogien zum Gesundheitswesen auf. Der Verkehr wird mit einem System „behandelt“, mit Auswirkungen auf die Verkehrssicherheit. Bei der Bewertung von Behandlungen im Gesundheitswesen gelten strenge Anforderungen: der Qualitätsstandard sind prospektive, randomisierte und kontrollierte Studien mit repräsentativen Stichproben. Dieser Studienanspruch ist aus ethischen sowie praktischen Gründen im Realverkehr in der Regel bei FAS und HAF nicht umsetzbar, was ein grundsätzliches Dilemma verursacht.

Eine Lösung dieses Dilemmas können virtuelle, simulationsgestützte Versuche bieten (Bild 1). Ein geeignetes virtuelles Versuchsdesign verwendet das Paradigma einer prospektiven, randomisierten, kontrollierten, repräsentativen Studie. Der Unterschied zum echten Versuch besteht dabei im Ersatz des tatsächlichen Verkehrsablaufs und anderer realer Komponenten durch entsprechende, möglichst hochwertige, das heißt valide Simulationsmodelle.

Im virtuellen Design werden, analog zu klassischen empirischen Versuchen, Zielvariablen statistisch erfasst, um anschließend eine relevante Metrik der Verkehrssicherheit, zum Beispiel Verringerung der Unfallhäufigkeit beziehungsweise -schwere zu berechnen. „Behandlungen“ (ergo: eine oder mehrere Varianten eines Systems) werden hierbei mit einer Referenz (Kontrolle oder Basis) – etwa ein Fahrzeug ohne System – verglichen. Ferner besteht die Möglichkeit, die Wirkungen unterschiedlicher Systeme untereinander zu vergleichen. Die Erkennung von Wirksamkeitsunterschieden bei vorgegebener statistischer Sicherheit erfordert zwar auch bei virtuellen Experimenten entsprechend hohe Fallzahlen oder lange Beobachtungszeiten. Im Gegensatz zu empirischen Untersuchungen oder Testfahrten lassen sich aber bei virtuellen Versuchen entsprechend hohe Fallzahlen mit verhältnismäßig geringen Ressourcen erzeugen.

Bild 2: Interaktionen Fahrer-Fahrzeug-Umfeld mit FAS/HAF (schematisch), jeweils mit einer zweiten Fahrer-Fahrzeug-Einheit.

Bild 2: Interaktionen Fahrer-Fahrzeug-Umfeld mit FAS/HAF (schematisch), jeweils mit einer zweiten Fahrer-Fahrzeug-Einheit.BMW

In der Simulation müssen alle sicherheitsrelevanten Prozesse in hinreichendem Detail modelliert werden, um so Auswirkungen von FAS/HAF realitätsnah abzubilden. Diese Prozesse enthalten zahlreiche mögliche Interaktionen innerhalb einer Fahrer-Fahrzeug-Einheit (bei HAF eingeschränkt, siehe auch Bild 2) sowie zwischen den Verkehrsteilnehmern und dem Verkehrsumfeld. Dazu muss die technische Wirkkette des Systems – im Allgemeinen Sensorik, Umfeldmodell, Algorithmen (Logik), Fahrdynamikkontrolle und Aktorik – ebenfalls implementiert sein. Die Modelle zur Darstellung dieser Prozesse müssen insbesondere der stochastischen Natur physiologischer, psychologischer und physikalischer Phänomene Rechnung tragen, da diese maßgeblich die Entstehung sowie den Verlauf von sicherheitsrelevanten Verkehrssituationen und somit die Verkehrssicherheit beeinflussen.

Simulation als Wissens-Synthese

Die Simulation fungiert im Paradigma virtueller Versuche als Wissens-Synthese. Die Validität eines Ergebnisses der virtuellen Erprobung hängt somit von der Qualität der zugrunde liegenden Wissensbasis und damit der Modelle ab.

Zur Modellbildung können die Beteiligten nach Bedarf auf ein breites Spektrum vorhandener Datenquellen und etablierter Versuchsmethoden zu Fahrzeug, Verkehr und menschlichen Faktoren zurückgreifen: Unfalldatenbanken und Verkehrserhebungen, NDS (Naturalistic Driving Studies), FOT (Field Operational Tests), statische Verkehrsbeobachtung (zum Beispiel Forschungskreuzungen) sowie klassische Prüfmethoden wie etwa Versuche auf Teststrecken, Laborexperimente, Software-/Hardware-/Vehicle-in-the-loop.

Bild 3: Die Rollen verschiedener Testinstanzen.

Bild 3: Die Rollen verschiedener Testinstanzen.BMW

Verkehrserhebungen, NDS und FOT unterstützen zum Beispiel Expositionsmodelle – Aussagen über die Häufigkeit bestimmter Konstellationen von Verhaltensweisen oder Risikofaktoren. Expositionsmodelle sind für die Simulation erforderlich, um damit relevante Szenarien mit einer repräsentativen Häufigkeit zu erzeugen oder die Ergebnisse korrekt gewichten zu können.

Die zuvor erwähnten klassischen Testmethoden unterliegen bestimmten ethischen und praktischen Einschränkungen, beispielsweise der Risikofreiheit, und ermöglichen nicht zuletzt aus diesen Gründen für sich genommen kaum gesamthafte Aussagen zur Wirksamkeit und zur optimalen Auslegung von FAS/HAF. Trotzdem liefern sie wertvolle Aussagen zur Beschreibung menschlicher oder technischer Faktoren in einem definierten Kontext. Die so gewonnenen Erkenntnisse dienen im virtuellen Versuchskonzept zum Kalibrieren und Validieren einzelner Modelle. Die Modellierung bedient sich dabei sowohl theoretischer Erkenntnisse wie empirischer Ergebnisse zur Wissenssynthese mit dem Ziel, schließlich gesamthafte repräsentative Aussagen zur Wirksamkeit von FAS/HAF zu erlangen.

Szenarien und Validierung

Szenarien (und ihre Häufigkeit im Sinne eines Expositionsmodells) lassen sich zusammen mit weiteren wichtigen Parametern und Attributen in einer Szenariendatenbank ablegen und zentral für verschiedene Testinstanzen zur Verfügung stellen. Wie bei FAS fließen zur Bildung der Expositionsmodelle Daten und Erkenntnisse aus empirischen Prüfmethoden ein. Insbesondere können Daten aus NDS, FOT, Flottentests und so weiter dabei helfen, entsprechende Expositionsmodelle weiter zu spezifizieren – beispielsweise für länderspezifische Expositionsmodelle.

Die Entdeckung von neuen sicherheitsrelevanten Szenarien hängt von der jeweiligen konkreten Automatisierungsfunktion ab. Sie kann zum Beispiel mithilfe eines virtuellen Dauerlaufs erfolgen, nach Bedarf ergänzt durch klassische Untersuchungsmethoden wie theoretischen Risikobetrachtungen oder Erprobungen.

In einem virtuellen Testbetrieb ließen sich dann diese Szenarien als eine Art Sicherheitszyklus automatisiert prüfen. Der virtuelle Testbetrieb erfüllt die zuvor beschriebenen Anforderungen an eine Sicherheitsbewertung sowie Absicherung.

Bild 3 veranschaulicht die virtuelle Erprobung als zentrale Testinstanz zur Bewertung der Sicherheitsbilanz und zur Absicherung. In diesem Konzept erfüllen die übrigen Testinstanzen periphere Aufgaben und können nach Bedarf verwendet und mit der Modelldatenbank verbunden werden. Zu diesem Zweck muss eine derartige Datenbank verschiedene logische Schichten enthalten, die von aufgezeichneten wiederverwendbaren Messdaten bis hin zu abstrahierten Modellen zur Verwendung in der stochastischen Simulation reichen.

Ein Top-Thema und eine erhebliche Herausforderung stellen die Validierung der Simulationsergebnisse sowie der zugrunde liegenden Prozess- und Komponentenmodelle dar. Die Erkenntnisse aus verschiedenartigen Testinstanzen dienen daher der Validierung beziehungsweise Verifikation von Modellen der virtuellen Erprobung.

Mit zunehmender Komplexität der Systeme kann eine abstrahierte Darstellung der Funktionalität eines Fahrerassistenzsystems entsprechend aufwendig und fehleranfällig werden. Alternativ besteht die Möglichkeit, anstelle von abstrahierten Modellen reale Komponenten (auch Software) eines FAS/HAF im Rahmen eines entsprechenden Verfahrens (zum Beispiel SiL, HiL) direkt in die Simulation einzubinden.

Internationale Harmonisierung und Rating: P.E.A.R.S.

Viele (neue) Projekte, Initiativen, Organisationen und Forschungsaktivitäten befassen sich mit den Auswirkungen von FAS auf die Verkehrssicherheit. Bisher fehlt jedoch ein umfassender internationaler Konsens zu methodischen Fragen im Rahmen einer gesamthaften Sicherheitsbewertung von FAS und Automatisierung.

Angesichts der Tragweite der Entscheidungen und der Komplexität der Herausforderungen hat die Initiative P.E.A.R.S. (Prospective Effectiveness Assessment for Road Safety) sich das Ziel gesetzt, eine standardisierte, harmonisierte und von allen Stakeholdern akzeptierte Methode zur gesamthaften Bewertung der Auswirkungen neuer Systeme wie FAS oder HAF auf die Verkehrssicherheit zu entwickeln, wobei die Bewertung sowohl Nutzen als auch mögliche Risiken quantifiziert. Ziel ist unter anderem ein höherer Grad an Rechtssicherheit sowie die adäquate und objektive Berücksichtigung individueller aber auch gesellschaftlicher Interessen. Diese offene Plattform stellt einen wichtigen Schritt in Richtung weltweite Harmonisierung und Standardisierung dar.

Die Bedeutung der Sicherheitsbilanz von FAS/HAF im Verkehr erfordert eine entsprechende, von allen Stakeholdern anerkannte Zertifizierung. Eine aussagekräftige und repräsentative Quantifizierung der Sicherheitsbilanz beruht dabei maßgeblich auf dem Ergebnis virtueller Experimente. Die Verifikation dieses Gesamtergebnisses und somit der simulierten Systemhandlungen lässt sich zum Beispiel mithilfe von Stichprobentests einzelner Situationen vornehmen, um damit das Gesamtergebnis zu bestätigen oder zu korrigieren.

Um Qualität, Aussagekraft und Glaubwürdigkeit sicherzustellen, sollten neutrale, unabhängige und wissenschaftlich anerkannte Institutionen die Zertifizierung der Sicherheitsleistung ausführen. In einer solchen Rollenverteilung würden wissenschaftliche Institutionen die Bereitstellung harmonisierter Modelle sowie der Gesamtmethodik übernehmen, während gleichzeitig die Funktionshersteller mittels stochastischer Simulation die Sicherheitsbewertung durchführen und neutrale Ratinginstitute dieses Ergebnis anhand von Stichprobentests verifizieren.

Zusammenfassung und Ausblick

Der belastbare Nachweis der Sicherheitswirkung hochautomatisierter Fahrfunktionen im Automobil ist Voraussetzung für die Markteinführung. Die verlässliche quantifizierte Prognose des Sicherheitsnutzens sowie möglicher Risiken stellt eine methodische Herausforderung dar. Virtuelle Versuche im Rahmen von stochastischer Simulation bieten einen Ansatz zur Lösung dieser methodischen Herausforderung. Die Verbreitung und Akzeptanz dieses Vorgehens setzt einen Konsens aller Stakeholder (unter anderem Hersteller, Zulieferer, Wissenschaft, Gesetzgebung, Verbraucherschutz, Versicherer) hinsichtlich Methodik, Prozessen, Modellen und Validierung voraus.

Die stochastische Simulation ermöglicht gesamthafte Aussagen über die Sicherheitswirkung im Verkehr, nicht nur in isolierten einzelnen Testszenarien. Dies verbessert die Robustheit und Repräsentativität der Ergebnisse erheblich. Der Entwicklungsprozess verschmilzt mit der Bewertung zu einem schnellen und iterativen Gesamtprozess. Die Auswirkung jeder Auslegungsentscheidung lässt sich zeitnah hinsichtlich der gesamthaften Sicherheitsauswirkung bewerten.

Viele etablierte und neuartige Testverfahren liefern wichtigen Input für die Simulation, können isoliert aber keine Prognose der gesamthaften Sicherheitswirkung im Verkehr liefern. Neben der Entwicklung und Parametrierung von Modellen liefern Testinstanzen Hinweise, welche Szenarien hinsichtlich der Sicherheit von Automatisierung besonders zu betrachten sind. Deren Relevanz und Häufigkeit im Sinne von Exposition lässt sich in einer allgemein verfügbaren Datenbank zugänglich machen. Die Simulation ermöglicht eine Synthese von Wissen aus unterschiedlichen Testinstanzen.

Die offene Initiative P.E.A.R.S. hat eine internationale Abstimmung über Projektgrenzen und einzelne Interessengruppen hinaus zum Ziel. Ein weltweit anerkanntes und von allen Stakeholdern akzeptiertes Vorgehen bei der Sicherheitsbewertung von FAS/HAF ist Grundlage zur zielgerichteten Entwicklung und vergleichbaren Bewertung. Aufbauend auf dieser Abstimmung kann eine einheitliche Akkreditierung von Sicherheitsfunktionen auf Basis von Simulationsergebnissen bei neutralen Institutionen stattfinden. Dies wird die Qualität und Aussagekraft der öffentlichkeitswirksamen Sicherheitsbewertung von FAS und HAF deutlich über das heutige Niveau singulärer Tests heben.