Autonom und sicher – nur ein Zukunftstraum?

Für seine Bewerbung um den KlarText-Preis für Wissenschaftskommunikation 2022 in der Kategorie Informatik veranschaulichte Christian Pek, was er in seiner Promotion erforscht hat.

---

Eine stressfreie und sichere Mobilität ist der Wunsch vieler Menschen. Hierzu sollen selbstfahrende Autos ihren Beitrag leisten. Um Unfälle zu vermeiden, geht die Forschung neue Wege und bringt diesen Autos bei, ihre Sicherheit selbstständig zu beweisen.

Das menschliche Gehirn ist ein faszinierendes Gebilde, das unglaubliche Leistungen vollbringen kann. Besonders in der modernen Robotikforschung werden diese Fähigkeiten immer wieder deutlich, wenn es zum Beispiel darum geht, Computern das Fahren von Autos beizubringen. Wofür Menschen einige Dutzend Fahrstunden benötigen, brauchen Computer Hunderte von Softwareentwicklern und Millionen von Datensätzen aus Einsen und Nullen. Nach Jahren der Entwicklung und zahlreichen Ankündigungen können Kunden jedoch noch immer keine selbstfahrenden Autos kaufen oder nutzen. Worin bestehen also die Schwierigkeiten in der Entwicklung dieser Autos?

Die Sicherheit selbstfahrender Autos ist bislang einer der größten Hürden in deren Entwicklung. Menschen manövrieren sich oftmals intuitiv durch komplexe Verkehrssituationen. Dies gelingt Computern aber nur bedingt, wie Unfälle von Testfahrzeugen großer Unternehmen gezeigt haben. Der Computer muss unter anderem alle Verkehrsteilnehmer und Objekte mittels großer Mengen an Sensordaten erfassen, das zukünftige Verkehrsgeschehen vorhersagen und darauf aufbauend einen sicheren Bewegungsplan für das eigene Fahrzeug erstellen. Als wären diese Vorgänge allein nicht komplex genug, müssen diese Berechnungen sogar in einem Bruchteil einer Sekunde erfolgen, sodass der Computer auf Veränderungen der Verkehrssituation reagieren kann.

Bislang wird die Sicherheit der Software selbstfahrender Autos primär durch ausgiebiges Testen in virtuellen und realen Verkehrssituationen erprobt. Die Automobilbranche wendet dieses Vorgehen bereits seit Jahren erfolgreich bei Assistenzsystemen, wie Tempomaten, an. Neuste Studien haben jedoch gezeigt, dass Testen allein kein ausreichendes Mittel ist, um die Sicherheit selbstfahrender Autos zu gewährleisten, da der benötigte Testaufwand nicht beherrschbar ist.

Bereits am Beispiel einer einfachen Großkreuzung mit zehn Fahrzeugen wird dieses Dilemma deutlich: durch simples Verschieben der Fahrzeuge können bereits mehr Situationen erstellt werden, als es Atome im Universum gibt. Aus diesem Grunde erleben menschliche Fahrer statistisch auch niemals dieselbe Situation ein zweites Mal. Die Software des Computers müsste jedoch auf jede dieser möglichen Situationen getestet werden, um die Sicherheit zu gewährleisten. Heutige als auch zukünftige Computer sind mit solch einer Menge an Daten restlos überfordert. Zudem ist nicht sichergestellt, ob beim Testen nicht bestimmte Situationen vergessen wurden, z.B. ein Hund, der über die Großkreuzung rennt. Sind sichere selbstfahrende Autos also nur ein Zukunftstraum?

In unserer Forschung zeigen wir neue Wege auf, um die Sicherheit von selbstfahrenden Autos zu gewährleisten. Dabei fokussieren wir uns darauf, ob die vom Computer berechneten Bewegungen keinen Unfall verursachen, also der Computer keine Fehlentscheidung getroffen hat. Anstatt die Sicherheit mittels Testens nur in die Hände von Entwicklern zu legen, schlagen wir einen radikal anderen Ansatz vor, der das Ziel hat, selbstfahrende Autos zu befähigen, selbstständig ihre Sicherheit zu prüfen. Unsere Kernidee ist es, dass der Computer eine Bewegung nur dann ausführen darf, wenn er deren Sicherheit beweisen kann. Dazu integrieren wir eine Sicherheitsbarriere in die Software der selbstfahrenden Autos, die diese Richtlinie erzwingt.

Die von uns entwickelte Sicherheitsbarriere beruht auf dem Ansatz der formalen Verifikation. Diese Technik wird bereits erfolgreich in der Softwareprogrammierung eingesetzt, um mit mathematischen Werkzeugen gewünschte Eigenschaften der Software nachzuweisen. Hinsichtlich selbstfahrender Autos wollen wir als gewünschte Eigenschaft deren Sicherheit nachweisen. Die Verifikation wird klassischerweise während der Designphase einer Software durchgeführt. Da wie zuvor erwähnt jedes Verkehrsszenario einzigartig ist, befähigen wir das Auto, die Verifikation selbstständig während des Betriebs vorzunehmen. Dadurch ist sichergestellt, dass das Auto mit jeder neu auftretenden Verkehrssituation zurechtkommt, wie zum Beispiel eine verschiedene Anzahl von Verkehrsteilnehmern oder Straßengeometrien, an die Entwickler eventuell nicht gedacht haben.

Mit unserer Barriere führt das selbstfahrende Auto im Millisekundentakt eine Sicherheitsverifikation der geplanten Bewegungen durch. Dabei stellen wir dem Computer neu entwickelte Modelle zur Verfügung, um den Sicherheitsbeweis in einer Verkehrssituation effizient durchzuführen. Als Erstes werden die Positionen, Geschwindigkeiten und die Dimensionen aller Verkehrsteilnehmer erfasst. Um die Sicherheit geplanter Bewegungen zu bestimmen, muss der Computer anschließend berechnen, wo sich andere Verkehrsteilnehmer in den nächsten Sekunden befinden werden. Doch woher soll der Computer wissen, wohin sich andere Fahrzeuge bewegen? Selbst menschliche Fahrer scheinen oft nicht zu wissen, wohin es als Nächstes geht.

Da sich die exakten Bewegungen anderer Verkehrsteilnehmer nicht berechnen lassen, ermöglichen unsere neuen Methoden dem Computer stattdessen, alle zukünftigen Bewegungen der Verkehrsteilnehmer auf einmal zu bestimmen. Fährt ein Auto beispielsweise auf eine Kreuzung zu, können wir ermitteln, wo sich dieses Auto zukünftig befindet, wenn es links oder rechts abbiegen oder geradeaus weiterfahren würde. Auch Brems- und Beschleunigungsmanöver werden dabei berücksichtigt. Da es nicht sinnvoll ist, in einer 30er Zone ein Fahrzeug mit 300 Kilometer pro Stunde zu erwarten, beschränken wir uns auf Bewegungen, die mit geltenden Verkehrsregeln vereinbar sind. Unsere Methoden gehen sogar so weit, dass wir garantieren können, kein mögliches Fahrverhalten vergessen zu haben, das mit den geltenden Verkehrsregeln konform ist. Im Gegensatz zu einem Menschen kann der Computer dadurch eine unendliche Anzahl an Zukünften vorhersehen.

Sobald der Computer alle zukünftigen Bewegungen anderer Verkehrsteilnehmer berechnet hat, kann er prüfen, ob die geplante Bewegung einen Unfall in einer der Zukünfte verschulden kann. Ist die Bewegung sicher, bestimmt unsere Sicherheitsbarriere zusätzlich ein Notfallmanöver, welches das Auto in einen sicheren Zustand bringt, zum Beispiel eine Bremsung in den Stillstand oder das Ausweichen auf den Seitenstreifen. Dieses Notfallmänover kommt nur dann zum Einsatz, wenn die nächste geplante Bewegung vom Computer unsicher ist. Unsere Sicherheitsbarriere hält somit immer einen Plan B vor, falls unerwartet eine unsichere Situation auftritt. Das Auto verhindert mit diesem Manöver somit einen möglichen Unfall. Sobald der Computer wieder eine sichere Bewegung bestimmt, kann er diese ausführen; das abgebremste Auto muss also nicht auf dem Seitenstreifen verbleiben. 

Zusammenfassend lässt sich also sagen, dass der Computer mit Hilfe unserer Sicherheitsbarriere selbstständig nachweisen kann, dass er in allen möglichen zukünftigen Szenarien keinen Unfall verursacht. Kommt es dennoch zu einer unsicheren Situation, führt unsere Barriere automatisch ein Notfallmänöver aus. Zu einem Unfall kann es nur dann kommen, wenn andere Verkehrsteilnehmer Verkehrsregeln brechen. Dadurch dass der Computer aber nachweisen kann, dass seine Bewegung sicher gewesen wäre, wenn der Verkehrsteilnehmer sich korrekt verhalten hätte, ist zugleich die Schuldfrage geklärt.

Um die Effektivität unserer Sicherheitsbarriere zu demonstrieren, haben wir mit einem Testfahrzeug Verkehrsdaten in München aufgenommen. Dabei interessierten wir uns besonders für die Unfallschwerpunkte: Linksabbiegen an einer Kreuzung, kreuzende Fußgänger sowie Spurwechsel in dichtem Verkehr. Nur wenn selbstfahrende Autos auch die unfallträchtigsten Situationen sicher meistern, sollten sie überhaupt zugelassen werden. Anhand der aufgenommenen Daten konnten wir zeigen, dass durch die Nutzung unserer Sicherheitsbarriere keine Unfälle verursacht werden. Auf einem Testgelände haben wir unsere Barriere einem besonderen Stresstest unterzogen: Wir haben mit Absicht fehlerhafte Software in das Auto integriert. Anstatt sichere Bewegungen zu planen, versucht sie nun das Gegenteil. Doch unsere Sicherheitsbarriere erkennt sofort, dass der Computer die Unfallfreiheit der geplanten Bewegungen nicht beweisen kann. Durch das automatische Ausführen der Notfallmanöver wird das Auto sicher gestoppt, bevor ein Unfall passieren kann.

Die weltweite Forschung an neuartigen Sicherheitstechniken hat das Ziel, das Vertrauen in selbstfahrende Autos zurückzugewinnen. Mit unserer Forschung ermöglichen wir, dass selbstfahrende Autos durch unsere Sicherheitsbarriere selbstständig ihre Sicherheit nachweisen können. Unsere Ergebnisse zeigen, dass Unfälle dieser Autos so drastisch reduziert werden. Zudem lässt sich unsere Barriere auch bei Bussen oder LKWs anwenden. Nur wenn selbstfahrende Fahrzeuge sicher sind, werden sie ihr vollständiges Potential entfalten:  weniger Unfalltote, Mobilität für Menschen mit körperlichen Beeinträchtigungen sowie effiziente und umweltfreundliche öffentliche Verkehrsmittel.

---

Christian Pek studierte Informatik und Robotik an der Technischen Universität Braunschweig und an der University of Auckland, Neuseeland. In seiner Promotion forschte er an neuartigen Planungs- und Sicherheitsverfahren für selbstfahrende Autos. In Zusammenarbeit mit der BMW AG hat er zeitgleich die entwickelte Theorie in die Praxis umgesetzt. Seit 2020 forscht und lehrt Christian als Postdoktorand an der Sicherheit und Zuverlässigkeit von autonomen Robotern an der Königlichen Technischen Hochschule KTH in Stockholm, Schweden.