Erfolgsfaktor Systems Engineering: Auf was es bei der Entwicklung autonomer Systeme wirklich ankommt

Autonome Systeme haben enormes Potenzial, entscheidend zur Lösung der aktuellen ökologischen, gesellschaftlichen und wirtschaftlichen Herausforderungen beizutragen. Nicht nur im Bereich der Mobilität, sondern auch in der industriellen Produktion und der Landwirtschaft werden sie zukünftig eine wichtige Rolle spielen. Doch worauf kommt es beim Engineering an und warum steht am Ende immer die Frage, wie man autonome Systeme verlässlich macht? Diesem Thema widmet sich die Titelstory des Jahresberichts 2019/2020 des Fraunhofer IESE.

Mit dem Programm »Autonome Systeme« will das Fraunhofer IESE an der Gestaltung und Absicherung solcher Systeme maßgeblich mitwirken. Im Interview dazu Institutsleiter Prof. Dr.-Ing. Peter Liggesmeyer und Dr.-Ing. Rasmus Adler, Programm-Manager »Autonome Systeme«

Prof. Liggesmeyer, welche Stufe der Autonomie haben marktreife Produkte erreicht?

Liggesmeyer: Wenn wir sicherheitskritische Anwendungen betrachten – etwa die Auswertung von Daten in der Medizin – so findet die finale Überprüfung von Ergebnissen durch Menschen statt, die letztendlich die Verantwortung übernehmen. Im engeren Sinne sind das keine autonomen Systeme. Natürlich gibt es sicherheitskritische Anwendungen, die ohne menschliche Eingriffe selbstständig ablaufen, z. B. die Steuerung von Produktionsstraßen oder Betriebsführungssysteme in der Bahntechnik. Aber in diesen Fällen sprechen wir nur von automatisierten Systemen. Diese Systeme besitzen ein fest eingeprägtes Verhalten, in dem alle Reaktionsmöglichkeiten vorab festgelegt sind und grundsätzlich auch jederzeit überprüft werden könnten. Derartige Systeme sind aber recht unflexibel. Sie lernen nicht hinzu und können ihr Verhalten nicht selbstständig an geänderte Bedingungen anpassen. Außerhalb des sicherheitskritischen Bereiches bewegen wir uns schon mehr in Richtung Autonomie. Hier handelt es sich aber um Komfortfunktionen, bei denen ein gelegentliches Versagen toleriert werden kann, z. B. bei der Sprachsteuerung im Auto.

Für welche Branchen und Wirtschaftszweige sind autonome Systeme besonders interessant?

Liggesmeyer: Mir fällt kaum ein Bereich ein, in dem der Einsatz autonomer Systeme von vornherein unattraktiv wäre. Dennoch gibt es natürlich viele Situationen, in denen autonome Systeme unnötig sind. Wenn die beim Betrieb eines Systems auftretenden Situationen vorab bekannt sind, so braucht man selbstverständlich keine autonomen Fähigkeiten. Den Nachteilen autonomer Systeme stehen dann keine Vorteile gegenüber – in dieser Situation reicht klassische Automatisierungstechnik völlig aus. Man kann aber davon ausgehen, dass dies immer weniger der Fall sein wird, weil manche Systeme oder deren Aufgaben sich ständig verändern werden.

Was wäre denn ein typisches Beispiel für ein System, das sich ständig verändert?

Liggesmeyer: Ein gutes Beispiel dafür ist das System zur Versorgung mit elektrischer Energie – das Energieverteilnetz. Neue Systemkomponenten kommen durch die Inbetriebnahme von Photovoltaik hinzu. Ob diese aber Energie liefern, hängt von dem nicht beeinflussbaren Faktor Sonneneinstrahlung ab. Trotzdem muss die Energiebilanz stimmen. Dieses System ist zu unübersichtlich, um von Menschen manuell gesteuert zu werden, und es ändert seine Struktur zu häufig, um durch klassische Automatisierungstechnik betrieben werden zu können. Hier kann nur ein geeignetes selbstlernendes, autonomes System helfen. Menschen wären mit dieser Aufgabe überfordert.

Stichwort Mobilität – in der Regel sind wir ja nicht damit überfordert, ein Auto zu steuern. Wieso geht der Trend hin zur Automatisierung?

Liggesmeyer: Weil in manchen Fällen der Wunsch nach autonomen Systemen anders begründet ist. Menschen können bekanntermaßen Auto fahren; autonomes Fahren wäre aber komfortabel. In der Landwirtschaft z.B. stehen Arbeitskräfte nicht in ausreichender Anzahl zur Verfügung. Hier bieten autonome Systeme die Möglichkeit, in ähnlicher Weise flexibel zu arbeiten, wie es sonst nur Menschen können. Der autonome Feldroboter kann Beikräuter von Maispflanzen unterscheiden. Ersteres wird mechanisch entfernt; letzteres punktgenau gedüngt. Dies reduziert den Herbizideinsatz und verhindert Überdüngung. Menschen könnten das auch leisten. Sie stehen aber oft nicht zur Verfügung. Derartige Szenarien untersuchen wir in dem vom IESE koordinierten Fraunhofer-Leitprojekt COGNAC.

Wie sieht es speziell im Bereich Industrie 4.0 aus? Gibt es schon echte autonome Systeme in der Fertigung?

Liggesmeyer: Was man derzeit bei der Produktion sehen kann, sind in erster Linie vollautomatisierte Systeme. Klar ist aber auch, dass Industrie 4.0 ohne autonome Systeme nicht erreicht werden kann. Die Produktion individueller Produkte macht es unmöglich, jedes denkbare Produkt vorab einzuplanen, sodass sich die Produktionstechnik auch auf nicht vorausgeplante Produkte einstellen können muss. Das geht nur autonom. Aktuell legen wir mit unserer Industrie-4.0-Middleware BaSyx dafür den Grundstein.

Dr. Adler, welche Faktoren spielen eine besondere Rolle bei der Entwicklung autonomer Systeme?

Adler: Das Thema »Systems Engineering« spielt hier eine ganz zentrale Rolle, aber man muss es auf verschiedenen Ebenen betrachten. Einmal geht es um ein einzelnes System, zum Beispiel ein Fahrzeug, und um den Aspekt, wie Software oder Hardware zu integrieren ist. Bei autonomen Systemen ist aber die Umgebung von entscheidender Relevanz, denn die Komplexität der Umgebung wird sich in der Komplexität des Systems widerspiegeln. Man kann versuchen, die Umgebung so einfach zu gestalten, dass man für jede Situation explizit vorgeben kann, was das System machen muss. Dann bewegt man sich in Richtung Automatisierung anstatt Autonomisierung. Oder man entscheidet, dass es zu kostspielig ist, die ganze Umgebung zu kontrollieren und arbeitet mit KI-Methoden, mit deren Hilfe man auch in nicht explizit berücksichtigten Situationen souverän reagieren kann. Ein weiterer wichtiger Punkt ist, dass autonome Systeme ihre Umgebung wahrnehmen müssen. Die Wahrnehmung eines einzelnen physikalischen Systems beschränkt sich allerdings auf seine eigene Sensorik beziehungsweise auf das, was seine Algorithmen daraus ableiten können. Diese eingeschränkte Wahrnehmung kann sich enorm vergrößern, wenn sich physikalische Systeme vernetzen und ihr Wissen über die Umgebung teilen. Gutes Systems Engineering ist auf jeden Fall ein entscheidender Erfolgsfaktor für die Entwicklung autonomer Systeme.

Werden autonome Systeme jemals so sicher sein, dass wir uns auf sie verlassen können?

Adler: Das hängt von vielen Faktoren ab, die nicht alle technischer Natur sind. Generell will man Menschenleben nicht davon abhängig machen, ob sich ein autonomes System in einer bestimmten Situation »zufällig« sicher verhält. Man wird immer versuchen, alle kritischen Situationen explizit zu überprüfen, aber dazu muss man ja erst einmal alle kritischen Situationen kennen. Wenn man beispielsweise an das Autofahren denkt, ist dies leider nicht der Fall. Trotzdem kann man vieles tun, um das Risiko autonomer Fehlentscheidungen zu minimieren und möglichst genau abzuschätzen. Die Forschung ist hier schon sehr weit und noch lange nicht am Ende. Es ist schwer abzuschätzen, wie weit man kommen wird, aber es wird immer ein Restrisiko bleiben. Es stellt sich also die nicht-technische Frage, welches Restrisiko akzeptiert werden kann. Beim autonomen Fahren ist die Erwartung natürlich, dass es sicherer sein muss als das manuelle Fahren. Aktuell entstehende Normen wie die »UL 4600« oder das industrieübergreifende Whitepaper »Safety First for Automated Driving« machen hierzu keine konkreten Aussagen.

Und wie kann man autonome Systeme zumindest sicherer machen?

Adler: Eine typische Strategie ist, dass man sicherheitskritische Aspekte von nichtsicherheitskritischen Aspekten trennt. Wir können zwar das »gute«, das intendierte Verhalten eines autonomen Systems nicht vollständig spezifizieren, aber oft können wir das sicherheitskritische Verhalten trotzdem gut durch Sicherheitsfunktionen beschreiben. Der Trend geht inzwischen dahin, von etablierten, vergleichsweise einfachen Sicherheitsfunktionen Abstand zu nehmen, da diese nur eine Worst-Case-Betrachtung während der Entwicklungszeit eines Systems vornehmen. Normalerweise kommen aber in einer Situation nicht alle Worst-Case-Szenarien zusammen. Beim Platooning von LKWs zum Beispiel würde man auf diese Weise viel Potenzial verschwenden, indem die Fahrzeuge einen viel zu großen Abstand voneinander halten müssten. Hier kommt das dynamische Risikomanagement ins Spiel: Risiken werden zur Laufzeit erfasst und optimal kontrolliert. Oft ist es ausreichend, leicht abzubremsen, anstatt das ganze System abzuschalten. Man versetzt also das System in die Lage, sich des aktuellen Risikos »bewusst« zu werden und dementsprechend angepasst darauf zu reagieren.

Funktioniert dieses dynamische Risikomanagement auch ohne die vollständige Vernetzung der Systeme?

Adler: Im Prinzip schon. Ohne Vernetzung hat das System nur weniger Informationen zur Verfügung, um das aktuelle Risiko richtig abzuschätzen. Außerdem kann es das Verhalten der anderen Systeme nicht beeinflussen, um das Risiko zu kontrollieren. Im Kontext von Warnsystemen und einfachen Assistenzsystemen gibt es sogar heute schon standardisierte Maße, beispielsweise die »Time-to-Collision«, um das Risiko eines Auffahrunfalls zu messen. Für hochautomatisiertes oder gar autonomes Fahren ist das aber nicht ausreichend. Wir verfolgen hier einen mehrschichtigen Ansatz, bei dem das Risiko bezüglich unterschiedlicher Zeithorizonte gemessen und kontrolliert wird. So werden Gefahrensituationen nicht nur beherrscht, sondern auch konstruktiv vermieden.

Und wie unterstützen Sie als Fraunhofer IESE auf dem Weg zum autonomen System?

Liggesmeyer: Zunächst einmal bieten wir unseren Kunden Kreativitätsworkshops, um mit ihnen gemeinsam alle Aspekte der Situation zu beleuchten: Was ist der Nutzen der autonomen Lösung? Wie sehen die Geschäftsmodelle dazu aus und wie sieht der Weg vom aktuellen System zur angestrebten Lösung aus? Hauptsächlich aber helfen wir unseren Kunden beim Engineering der autonomen Systeme. Wir bieten sehr leistungsfähige Verfahren zur Modellierung und Simulation der Systeme und ihrer Umgebung an. Wir sind aber auch bereit, die Modellierung und die darauf aufsetzenden Analysen für unsere Kunden durchzuführen. Das gilt insbesondere für das Safety und Security Engineering. Neben Modellierungs- und Analysewerkzeugen liefern wir auch ganz konkrete technische Lösungen, z. B. MYDATA Control Technologies für die Datennutzungskontrolle oder BaSyx als Industrie-4.0-Lösung.

Das Interview führte Claudia Reis,
Pressereferentin beim Fraunhofer IESE.