Ansätze für das Lösen der Freigabeherausforderung

Wie gezeigt wurde, bildet das autonome Fahren ein neues Testobjekt, das aufgrund seiner Eigenschaften den Einsatz der klassischen Testkonzepte infrage stellt. Das Überwinden der beschriebenen Freigabeherausforderung bedarf neuer Ansätze: Dementsprechend wird im nächsten Unterabschnitt diskutiert, warum aus Sicht der Freigabe das Wiederverwenden von freigegebenen Funktionen und somit ein evolutionärer Ansatz notwendig erscheint. Daran anschließend werden existierende Ansätze diskutiert, die eine Beschleunigung der Freigabe ermöglichen könnten.

Wiederverwenden freigegebener Funktionen

Die erste und einfachste Möglichkeit, eine Freigabe für ein neues System zu erhalten, ist das Wiederverwenden von bereits freigegebenen Funktionen. Wird ein System in gleicher Weise wie zuvor eingesetzt, so kann die bereits erteilte Freigabe übernommen werden. Ein erweiterter Funktionsumfang ist jedoch neu abzusichern; je kleiner dabei der neue Bereich ist, desto geringer wird der Aufwand.

Dieser Argumentation folgend scheint eine Evolution über alle Dimensionen als möglicher Ansatz, um die Freigabeherausforderung zu beherrschen. Mit den Dimensionen ist hier beispielsweise die Geschwindigkeit, der Einsatzbereich, aber auch der Automationsgrad gemeint. Bei der Wahl der Evolutionsschritte können zwei Ansichten unterschieden werden: Aus Sicht eines Funktionsentwicklers ist die Autobahn während eines Stauszenarios aufgrund der reduzierten Geschwindigkeit und der begrenzt zugänglichen Szenerie ein geeignetes Einstiegszenario. Aus Sicht der zuvor angestellten statistischen Überlegungen wäre ein Einstiegszenario sinnvoll, bei der der Mensch als Vergleichsgruppe möglichst schlecht abschneidet, also möglichst viele Fehler macht. Möglichst viele Fehler bedeutet wenig Strecke, sodass der Nachweis der Leistungsfähigkeit einfacher wird.

Der revolutionäre Schritt – ein autonomes Fahrzeug ohne evolutionäre Zwischenschritte abzusichern – widerspricht diesem Ansatz und scheint unwahrscheinlich.

Beschleunigung der Freigabe

Trotz des evolutionären Ansatzes sind dennoch neue Funktionen abzusichern. Um dies zu beschleunigen, sind prinzipiell zwei Stellschrauben vorhanden: Erstens kann das Was und zweitens das Wie verändert werden. Welche Testfälle sind notwendigerweise zu überprüfen und womit werden diese Tests durchgeführt? Schuldt et al. [10] nennen dies Testfallgenerierung und Testdurchführung.

21.6.2.1 Testfallgenerierung

Die Testfallgenerierung definiert die durchzuführenden Tests: Nach Schuldt et al. [10] folgt aus der Vielzahl von Einflussfaktoren im Einsatzbereich sowie deren Wertebereichen eine unüberschaubare Anzahl von Testfällen. Wie bereits beschrieben, stützen sich Systeme, die aktuell im Einsatz sind, auf die Leistungsfähigkeit des Menschen und dessen Möglichkeit, das Fahrzeug zu kontrollieren. Daraus folgt eine starke Raffung der theoretisch notwendigen Testfälle. Somit existiert eine Metrik, die eine Aussage über die Sicherheit ermöglicht, ohne sämtliche Situationen zu testen. Diese Raffung entfällt für das autonome Fahrzeug, sodass neue Wege gesucht werden, die Anzahl von Testfällen für das autonome Fahrzeug zu reduzieren. Dabei sind während der Testfallgenerierung die Anforderungen an ein Testkonzept aus Abschn. 21.3 zu beachten. Besonders die Repräsentativität ist gefährdet, wenn Testfälle gestrichen werden.

Die Ansätze von Glauner [23] und Eckstein [24] beschreiben dafür das Identifizieren von relevanten bzw. kritischen Situationen im öffentlichen Straßenverkehr: Basierend auf zuvor definierten Ereignisklassen werden während der Testfahrten oder groß angelegter Feldstudien potenziell kritische Situationen identifiziert. Diese kritischen Situationen fließen in die Testfallgenerierung ein, sodass Situationen geringer Kritikalität gestrichen werden können. Dieser Raffung liegt die Annahme zugrunde, dass Situationen, die weniger kritisch sind, durch kritische Situationen abgedeckt werden. Dabei bleibt aktuell als ungelöste Aufgabe die Suche nach einem validen Risikomaß, das im ersten Schritt eine Bewertung und im zweiten Schritt die Auswahl von kritischen Situationen ermöglicht.

Ein anderes Vorgehen zur Raffung von Testfällen bieten Schuldt et al. [10]: Vorgeschlagen wird eine generische Testfallgenerierung, bei der Verfahren des Black-Box-Testings und der Kombinatorik eingesetzt werden, um die Einflussfaktoren auf die vom System ausgehende Sicherheit möglichst ausreichend abzudecken und gleichzeitig redundanzarm und effizient zu sein. Dieser Ansatz basiert auf statistischen Betrachtungen ohne Wissen und Erfahrung über das Testobjekt, hat aber dennoch das Potenzial, die notwendigen Testfälle zu reduzieren. Der Ansatz beschrieben von Tatar und Mauss [25] ist ebenfalls für Black-Box-Testing geeignet: Zur Generierung von Testfällen wird eine Optimierung eingesetzt. Dabei werden die Eingangsgrößen einer X-in-the-Loop (XiL)-Simulation so variiert, dass die zu definierende Bewertungsfunktion des Tests optimiert wird. Trotz der Herausforderung der validen XiL-Simulation und der benötigten Bewertungsfunktion liefert dieser Ansatz die Möglich- keit, die Testfälle auf die als relevant bewerteten zu fokussieren.

Ein vierter theoretischer Ansatz ist der Einsatz und der Test eines Sicherheitskonzepts mithilfe von formalen Methoden [26]. Ähnlich wie für den Menschen als Überwacher und Teil des Sicherheitskonzepts von aktuellen Fahrzeugen angenommen, könnte ein nachgewiesen sicheres Sicherheitskonzept den Test der Gesamtfunktionalität des Fahrzeugs in der vollständigen Repräsentativität überflüssig machen. Somit wäre eine Raffung der Testfälle möglich.

21.6.2.2 Testdurchführung/Testwerkzeug

Neben der Möglichkeit, während der Testfallgenerierung die Testfälle zu raffen, besitzt die Testdurchführung ebenfalls Potenzial, die Freigabe zu beschleunigen. Wird jedoch von der Realfahrt abgewichen und ein anderes Testwerkzeug für die Testdurchführung gewählt, geht damit immer eine Vereinfachung einher. Dies wird anhand von Abb. 21.10 genauer beschrieben.

Abb. 21.10 unterteilt die Testwerkzeuge in neun Klassen, die sich danach unterscheiden, wie das Fahrzeug bzw. das Umfeld dargestellt werden. Der Insasse wird bei dieser Darstellung dem Fahrzeug zugeordnet, da er sich im Fahrzeug befindet und nicht aktiv in die autonome Fahrt eingreift.

Die Realfahrt bildet sowohl Umfeld als auch Fahrzeug real ab. Dementsprechend besteht während dieser Tests die Gefahr von realen Unfällen und deren Auswirkungen. Das Umfeld ist nicht kontrolliert, sodass Testsituationen basierend auf dem Zufall der Realität entstehen; dementsprechend ist die Reproduzierbarkeit für komplexe Situationen mit anderen Verkehrsteilnehmern nicht gegeben. Dieses Testwerkzeug kann frühestens mit ersten straßentauglichen Prototypen eingesetzt werden und erfolgt somit am Ende des Entwicklungsprozesses.

Abb. 21.10 Einteilung von Testwerkzeugen für den Test von autonomen Fahrzeugen

Eine Alternative ist das Testen von realen Fahrzeugen in einem künstlichen Umfeld: Dies entspricht der Fahrt auf einem Testfeld, denn dort sind zum einen Situationen künstlich hergestellt und zum anderen besitzen die „Verkehrsteilnehmer“ das Bewusstsein, sich in einem Test zu befinden. Zugunsten der Sicherheit, Variierbarkeit, Beobachtbarkeit sowie der Reproduzierbarkeit wird die Realität vereinfacht. Aus ökonomischen Gesichtspunkten werden zwar Testfälle gezielt getestet und müssen nicht wie in Realfahrten per Zufall erfahren werden, jedoch bedarf der Aufbau des Testfelds zusätzliche zeitliche wie finanzielle Mittel.

Des Weiteren könnte sich ein künstliches Fahrzeug in einem realen Umfeld bewegen; künstlich bezieht sich in diesem Fall beispielsweise auf die Ausstattung des autonomen Fahrzeugs mit einem Überwacher, der die Möglichkeit hat, in die Fahraufgabe einzugreifen. Dies kann zum einen ein Testfahrer mit Lenkrad und Pedalerie sein oder aber ein technisches System, das aufgrund von leistungsfähigerer (Zusatz-)Sensorik dem Seriensystem überlegen ist. Werden Komponenten künstlich dargestellt, leidet darunter die Realitätsnähe, jedoch wird an Sicherheit, Reproduzierbarkeit und Beobachtbarkeit gewonnen.

Neben der Möglichkeit, Umfeld und Fahrzeug künstlich zu gestalten, existieren Werkzeuge, die sich einer virtuellen Repräsentation in Form von Computersimulationen bedienen. Dabei sind die zwei Felder, die real und virtuell kombinieren, grau hinterlegt, da diese streng genommen nicht existieren, denn Sensoren und Steller haben genau die Aufgabe der Wandlung zwischen virtuellen und realen Signalen. Ein realer Radarsensor kann kein virtuelles Umfeld sensieren, und ein virtueller Wechselrichter kann keine reale Spannung erzeugen.

Was jedoch möglich ist, sind Kombinationen aus künstlichem und virtuellem Umfeld bzw. Fahrzeug: Als Beispiel dafür existieren unterschiedliche Konzepte von Vehicle-in-theLoop (ViL). Um den Kreis aus Aktionen und Reaktionen von Umfeld und Fahrzeug zu schließen, werden reale Komponenten in der Simulation in Form von Modellen abgebildet. Dabei werden entweder die angesprochenen Sensoren bzw. Steller stimuliert, also künstlich angeregt; Beispiele hierfür sind simulationsbasierte Videos als Stimulanz für Kamerasysteme oder Rollenprüfstände als Stimulanz für Antriebssteller. Oder die Testwerkzeuge simulieren direkt die Leistungssignale wie z. B. die elektromagnetische Welle und versuchen, reale Effekte von Sensoren und Stellern in der Simulation mithilfe von Modellen darzustellen. Für weitere Informationen dazu s. Bock [27] oder Hendricks [28]. Der beschriebene Einsatz von Modellen stellt die Aussagekraft dieser Testwerkzeuge infrage. Um valide Aussagen mithilfe solcher Modelle zu erhalten, ist der Nachweis zu erbringen, dass diese Modelle keine unzulässigen Vereinfachungen beinhalten; „unzulässig“ ist hier im Kontext der Funktion zu sehen und bedeutet, dass Abweichungen von der Realität nur unterhalb der Toleranzen der Funktion zulässig sind. Wenn jedoch diese Validität nachgewiesen wurde, erlaubt das Testwerkzeug eine größere Sicherheit bei der Testdurchführung, da sich Teile des Umfelds und das Fahrzeug nur noch in der virtuellen Welt begegnen. Aufgrund der virtuellen Komponenten sind diese Testwerkzeuge von einer größeren Variierbarkeit, Beobachtbarkeit und Reproduzierbarkeit gekennzeichnet. Aus ökonomischer Sicht besitzt dieses Testwerkzeug den Vorteil, das virtuelle Umfeld einfach zu variieren oder aber das Fahrzeug in unterschiedlichsten Varianten darzustellen. Von ökonomischem Nachteil könnte sich die Validierung der Modelle erweisen (vgl. Herausforderung bei SiL). Ein Vorteil dieses Testwerkzeugs ist die Möglichkeit, basierend auf dem simulierten Fahrzeug, bereits frühzeitig in der Entwicklung Tests durchzuführen.

Die letzte Stufe der Abstraktion repräsentiert die Kombination eines virtuellen Fahrzeugs und des virtuellen Umfelds: Das mit Software-in-the-Loop (SiL) bezeichnete Testwerkzeug stellt dabei den geschlossenen Regelkreis durch die Modellierung relevanter Komponenten in der Simulation dar. Anders als bei den Testwerkzeugen zuvor, ist die gesamte Testwelt virtuell. Die Tests sind sicher, variierbar, beobachtbar und reproduzierbar; außerdem besteht die Möglichkeit, dieses Werkzeug bereits frühzeitig in der Entwicklung einzusetzen. Den ökonomischen Vorteil bildet die Hardware-Unabhängigkeit, denn somit ist keine Verknüpfung an die Echtzeit mehr vorhanden. Die Ausführung der Tests wird rein durch Rechenleistung begrenzt; Simulationen können Tag und Nacht sowie massiv parallel erfolgen. Demgegenüber steht die Realitätsnähe der virtuellen Testwelt und somit jedes einzelnen Modells: Nur wenn die Validität der eingesetzten Modelle nachgewiesen wurde, besitzen virtuelle Tests die Aussagekraft für eine Freigabe. Dementsprechend muss für die ökonomische Betrachtung von simulationsbasierten Verfahren vor allem die Validierung der Modelle betrachtet werden.

Die gleiche Herausforderung existiert für den Einsatz von formalen Methoden. Mitsch schreibt diesbezüglich: “We do … prove that collisions can never occur (as long as the robot system fits to the model).” [26] Das bedeutet, auch für formale Methoden bedingt der Realitätsgrad der eingesetzten Modelle die Aussagekraft der Ergebnisse. Eine besondere Herausforderung und somit im Fokus der Forschung steht beispielsweise die Formalisierung der Unsicherheiten von Sensoren oder der Eigenschaft von weiteren Verkehrsteilnehmern. Die Diskussion der Testwerkzeuge zeigt das Potenzial, die Freigabe zu beschleunigen: Mithilfe von künstlich erzeugtem Umfeld und Fahrzeug können Testfälle gezielt aufgebaut und angefahren werden. Zusätzlich ermöglicht der virtuelle Ansatz, die Tests abhängig von

der eingesetzten Rechenleistung zu beschleunigen und zu parallelisieren.

Die Diskussion zeigt aber auch, dass die Validität und somit die Aussagekraft der Tests mit Einführung von künstlichen und virtuellen Komponenten zur Herausforderung wird.