CN112693475A - 自动驾驶控制系统 - Google Patents

Abstract

本申请提供一种自动驾驶控制系统。自动驾驶车辆通过驾驶控制装置而以自动驾驶模式进行行驶。操作员能够经由触摸面板的SLOWDOWN按键而实施减速或停止的指示。在SLOWDOWN按键中产生了异常的情况下，在触摸面板中，实施促使进行紧急停止开关的操作的显示。在操作员操作了紧急停止开关的情况下，紧急停止控制将被实施。

Description

自动驾驶控制系统

本申请要求于2019年10月4日提交的日本专利申请No.2019-183574的优先权，该日本专利申请的包括说明书、权利要求书、说明书附图和说明书摘要在内的全部内容，以引用的方式被并入本文。

技术领域

本公开涉及一种在自动驾驶车辆中被实现的自动驾驶控制系统。

背景技术

已知一种能够自动驾驶的自动驾驶车辆。自动驾驶是指，计算机执行包括车速控制或者转向控制等在内的驾驶控制的全部或一部分的情况。在自动驾驶车辆中，一般具备包括实施自动驾驶的自动驾驶模式、或者在自动驾驶车辆中乘车的操作员实施驾驶控制的手动驾驶模式在内的多个驾驶模式。此外，在自动驾驶车辆中，存在在自动驾驶模式下受理来自操作员的操作输入而实施控制的方式。

在日本特开2018-12478号公报中，记载了在于自动驾驶车辆中产生了无法持续进行自动驾驶的状况的情况下，实施促使相当于操作员的乘员进行驾驶的显示的技术。而且，在该乘员不实施驾驶的情况下，与警告声的发声一起，在触摸面板上显示紧急停止按键，从而促使全部乘员进行向紧急停止按键的触摸。

发明内容

考虑到设置在自动驾驶模式下的驾驶过程中受理操作员的指示而使车辆停止的停止按键、或受理操作员的指示而使车辆起步的起步按键。在该情况下，当产生了无法对按键进行操作的状况时，将会不清楚如何使车辆停止或起步。例如，还考虑到在触摸面板上显示按键的情况下因触摸面板自身或触摸面板的通信系统的异常而无法对按键进行操作的状况。在上述日本特开2018-12478号公报中，针对这样的状况而并未实施研究。

本公开的目的在于，在具有能够在自动驾驶模式下的行驶过程中从操作员受理减速或停止的指示的减速操作装置的自动驾驶车辆中，在产生了与减速操作装置相关的异常的情况下，能够进行采取了操作员的判断的应对。

本公开所涉及的自动驾驶控制系统具备：自动驾驶控制装置，其对自动驾驶车辆的自动驾驶模式下的行驶进行控制；减速操作装置，其在所述自动驾驶模式下的行驶过程中，受理来自操作员的操作，并对所述自动驾驶控制装置实施减速或停止的指示；紧急停止操作装置，其以独立于所述减速操作装置的方式而被设置，并受理来自所述操作员的操作而对紧急停止进行指示；传达装置，其在所述减速操作装置中产生了异常的情况下向所述操作员实施如下的传达，即，实施促使所述操作员进行所述紧急停止操作装置的操作的传达。

在自动驾驶控制系统的一个方式中，所述减速操作装置为被显示于触摸面板上的按键，所述传达装置在所述触摸面板上显示消息，从而实施促使进行所述紧急停止操作装置的操作的传达。

在自动驾驶控制系统的一个方式中，还具备控制装置，所述控制装置在所述自动驾驶控制装置中产生了异常的情况、或在向所述自动驾驶控制装置输出检测数据的自动驾驶用传感器中产生了异常的情况下，实施强制性地使该自动驾驶车辆紧急停止的控制。

在自动驾驶控制系统的一个方式中，在从所述紧急停止操作装置指示了紧急停止的情况下，由所述自动驾驶控制装置所实施的行驶的控制被无效化，而实施紧急停止的控制。

在自动驾驶控制系统的一个方式中，由所述自动驾驶控制装置所实施的行驶的控制的无效化通过该自动驾驶控制装置的关闭、或该自动驾驶控制装置所输出的控制信号的无效化而被实施。

在自动驾驶控制系统的一个方式中，在所述紧急停止操作装置被操作了的情况下，当所述自动驾驶车辆处于减速时的运行状况稳定性较低的状态时，使由所述自动驾驶控制装置所实施的行驶的控制在经过第一时间后无效化，当所述自动驾驶车辆处于减速时的运行状况稳定性较高的状态时，使由所述自动驾驶控制装置所实施的行驶的控制在经过短于所述第一时间的第二时间后无效化。

在自动驾驶控制系统中，在所述紧急停止操作装置被操作了的情况下，当所述自动驾驶车辆处于减速时的运行状况稳定性较低的状态时，实施第一减速以进行紧急停止，当所述自动驾驶车辆处于减速时的运行状况稳定性较高的状态时，实施与所述第一减速相比更急速的第二减速以进行紧急停止。

发明效果

根据本公开，在减速操作装置中发生了异常的情况下，能够使操作员对是否实施紧急停止进行判断。因此，能够期待如下的情况，即，通过操作员实施与状况相应的适当的判断，从而与一律实施紧急停止的情况相比能够提高安全性。

附图说明

图1为本实施方式所涉及的自动驾驶车辆的外观图。

图2为表示本实施方式所涉及的自动驾驶车辆的车厢内的第一立体图。

图3为表示本实施方式所涉及的自动驾驶车辆的车厢内的第二立体图。

图4为表示停止时的触摸面板的画面的图。

图5为表示自动行驶时的触摸面板的画面的图。

图6为机械式操作部的立体图。

图7为本实施方式所涉及的驾驶控制装置的功能框图。

图8为表示紧急停止开关操作时的处理的流程的流程图。

图9为表示触摸面板上的显示的示例的图。

图10为表示在触摸面板的显示中发生了异常的情况下的示例的图。

图11为表示与扬声器相关的处理流程的流程图。

图12为表示与驾驶控制装置相关的处理流程的流程图。

图13为表示与预备驾驶控制装置相关的处理流程的流程图。

图14为表示与转向相关的处理流程的流程图。

图15为表示与驱动电机相关的处理流程的流程图。

图16为表示与制动器相关的处理流程的流程图。

图17为表示与危险报警灯点亮相关的处理流程的流程图。

图18为基于减速时的运行状况稳定性的紧急停止控制的流程图。

图19为实施强制的紧急停止控制的情况下的流程图。

具体实施方式

以下，参照附图，对实施方式进行说明。虽然在说明中为了便于理解而示出了具体的方式，但这些方式为对实施方式进行例示的方式，除此以外，也能够采用各种各样的实施方式。

图1为本实施方式所涉及的自动驾驶车辆10的外观图。在本说明书的各图中，前(FR)以及后的用词是指车辆前后方向的前后，左(LH)以及右的用词是指朝向前方时的左右，上(UP)以及下是指车辆上下方向的上下。

自动驾驶车辆10为大致长方体，且具有前后对称的形状，该外观设计也成为前后对称。在俯视观察的四角处，设置有在上下方向上延伸的支柱12，在各支柱12的下侧设置有车轮14。自动驾驶车辆10的前后左右的侧面壁的大部分成为半透明的面板16。面板16既可以成为显示器面板，也可以在其上显示文字等。

左侧面的一部分的面板成为可滑动的车门18，通过该车门18进行滑动而打开，从而能够使乘员上下车。另外，虽然在图1中未图示，但在车门18的下部收纳有可收放的斜坡。该斜坡被使用于轮椅的上下车等。

此外，自动驾驶车辆10为可进行自动驾驶的车辆。具体而言，自动驾驶车辆10能够在包括自动驾驶模式以及手动驾驶模式在内的多个驾驶模式下进行驾驶。在本实施方式中，作为自动驾驶模式而设置了由管理中心所实施的控制模式和由自动驾驶车辆10所实施的控制模式。

自动驾驶模式是指，以驾驶控制为主而由计算机所实施的驾驶模式。在本说明书中，驾驶控制是指，包括换档控制、车速控制或者转向控制在内的概念。车速控制是指，包括自动驾驶车辆10的起步控制、停止控制以及加减速控制在内的概念。转向控制是指，与转向角的维持和变更相关的控制。

自动驾驶模式中的由管理中心所实施的控制模式是指，在来自管理中心的驾驶控制下实施由被搭载于自动驾驶车辆10上的计算机所实施的驾驶控制的模式。管理中心是为了对多台自动驾驶车辆10进行管理以及控制而被设置的，其以能够与各自动驾驶车辆10进行通信的方式而构筑有网络。在由管理中心所实施的控制模式下，通过管理中心的控制而规定了自动驾驶车辆10的行驶路线。此外，由被搭载于自动驾驶车辆10上的计算机所实施的多数的驾驶控制是在管理中心的控制下被执行。但是，在本实施方式中，从停止状态起的起步控制是通过受理由搭乘于自动驾驶车辆10上的操作员的操作所实施的输入而被实施的。

自动驾驶模式中的由自动驾驶车辆10所实施的控制模式是指，在原则上不接受来自外部的控制，而仅通过被搭载于自动驾驶车辆10上的计算机的判断来实施自动驾驶车辆10的大部分驾驶控制的驾驶模式。在本实施方式中，在由自动驾驶车辆10所实施的控制模式下，不接受来自管理中心的控制，而是基于由被设置于自动驾驶车辆10上的各种自动驾驶用传感器(例如摄像机或者雷达等)所实施的检测结果来使自动驾驶车辆10的计算机实施驾驶控制，并在被预先规定的路线上行驶。但是，从停止状态起的起步控制是通过受理由搭乘于自动驾驶车辆10上的操作员的操作所实施的输入而被实施的。

手动驾驶模式是指，自动驾驶车辆10不实施自动驾驶，而使在自动驾驶车辆10上乘车的操作员实施自动驾驶车辆10的驾驶控制的模式。

另外，操作员是指，在自动驾驶车辆10上乘车并参与自动驾驶车辆10的控制的人。在自动驾驶模式中，由于管理中心或者自动驾驶车辆10自身主要实施驾驶控制，因此，操作员实施驾驶控制的机会较少。但是，可以说，操作员除了涉及从停止状态起的起步控制之外，还具有实施减速控制等的权限，并参与了自动驾驶车辆10的控制。可以说，在手动驾驶模式中，操作员起到了作为直接实施自动驾驶车辆10的驾驶操作的驾驶员的作用，并参与了自动驾驶车辆10的控制。

自动驾驶车辆10为不特定多数的乘员进行同乘的同乘型的车辆。在本实施方式中，自动驾驶车辆10作为在于特定的占地内沿着规定的路线而行驶的同时运送乘客的公共汽车而被利用。因此，自动驾驶车辆10被设想了以较高的频率反复进行停车和起步的情况。此外，自动驾驶车辆10被设想了较低速下(例如30km/h以下)的行驶。

但是，在本说明书中所公开的自动驾驶车辆10的利用方式能够适当地进行变更，例如，自动驾驶车辆10既可以作为可移动的商业空间而被利用，也可以作为陈列销售各种商品的零售店、或烹调并提供餐饮的餐饮店等店铺而被使用。此外，作为其他的方式，自动驾驶车辆10也可以作为用于实施事务工作或与客户的洽谈等的办公室而被使用。此外，自动驾驶车辆10的利用场景并不限于商业，例如，自动驾驶车辆10也可以作为个人的移动工具而被使用。此外，自动驾驶车辆10的行驶模式或车速也可以被适当地变更。

自动驾驶车辆10为，作为原动机而具有接受来自蓄电池的电力供给的驱动电机的电动汽车。该蓄电池为可充放电的二次电池且定期地通过外部电力而被充电。另外，自动驾驶车辆10并不限于电动汽车，也可以为其他形式的汽车。例如，自动驾驶车辆10既可以为作为原动机而搭载了发动机的发动机汽车，也可以为作为原动机而搭载了发动机以及驱动电机的混合动力汽车。而且，自动驾驶车辆10也可以为通过由燃料电池发电产生的电力而对驱动电机进行驱动的氢能汽车。

图2以及图3为表示自动驾驶车辆10的车厢内的立体图。如上文所述，由于自动驾驶车辆10作为公共汽车而被利用，因此，车厢内的中央部成为用于站立乘车的乘员或者用于装载乘员所坐的轮椅的地板20。此外，沿着车厢内的侧壁而设置有乘员用的座位22。

在自动驾驶车辆10上，设置有实施自动驾驶车辆10的驾驶控制、以及被设置于自动驾驶车辆10上的各个设备(空调器、刮水器等)的操作的操作员用的操作员座24。虽然在图2中，示出了操作员座24的座部24a放下而使座面24b露出的状态，但是，座部24a能够弹起。虽然在本实施方式中，操作员座24被设置于车厢内的左侧面且车门18的前侧附近，但操作员座24也可以被设置于车厢内的右侧面上。

在操作员座24的前侧，设置有用于供坐在操作员座24上的操作员放置胳膊的在前后方向上伸长的肘靠26。如上文所述，在本实施方式中，由于操作员座24被设置于车厢内的左侧面上，因此，肘靠26被配置于车厢内的左侧端部处。如果操作员座24被设置在车厢内的右侧面上，则肘靠26被配置在车厢内的右侧端部处。肘靠26被设置于与可落座状态下的操作员座24的座面24b相比靠上侧处。

在肘靠26的前端部处，设置有从肘靠26的上表面起向上侧竖立设置的触摸面板28(参照图3)。触摸面板28朝向后侧(即操作员座24侧)。因此，操作员坐在操作员座24上，并能够在将胳膊放置在肘靠26上的同时用手对触摸面板28进行操作。触摸面板28为用户界面，其除了自动驾驶模式中的与驾驶相关的操作的输入(车速控制的操作等)之外，还能够进行驾驶以外的操作。作为驾驶以外的操作，例如，可以列举出针对被设置于自动驾驶车辆10上的车载设备(转向灯、喇叭、前照灯、空调器、刮水器等)的控制操作的示例。关于触摸面板28的显示画面的详细情况，将在后文叙述。

此外，在肘靠26中，设置有能够将用于进行驾驶控制的操作的机械式操作部相对于自动驾驶车辆10而进行收纳的收纳部30。收纳部30被盖32所覆盖，也就是说，机械式操作部在被收纳于收纳部30中的状态下会成为未露出于车厢内的状态。在本实施方式中，肘靠26的上表面与盖32成为同一个面。另外，虽然在本实施方式中收纳部30被设置于肘靠26上，但收纳部30也可以被设置于肘靠26以外的场所。即使在该情况下，收纳部30只要被设置在不显眼的场所、例如车厢内的前后左右侧中的任意一侧的端部上即可。关于收纳部30、盖32以及机械式操作部的详细情况，将在后文叙述。

而且，在肘靠26的上表面上，设置有紧急停止开关34。紧急停止开关34与位于背后的信号发送电路等一起构成了用于供操作员向自动驾驶车辆10输入紧急停止的指示的紧急停止操作装置。在本实施方式中，紧急停止开关34被形成为按键型，且通过操作员进行按压而进行动作。作为紧急停止操作装置，除此以外，例如还能够采用被显示于触摸面板28上的按键、用摄像机对操作员的紧急停止的手势进行拍摄的装置等各种各样的装置。

在自动驾驶车辆10中，作为用于对自动驾驶车辆10的车速进行操作的操作装置而仅设置有触摸面板28、机械式操作部以及紧急停止开关34这三个构件。即，在自动驾驶车辆10中，并未设置有被设置于现有汽车等中的如加速踏板或者制动踏板那样的用于对车速进行操作的用脚操作的脚踏板。

另外，在车厢内的前侧左角处，设置有显示与自动驾驶车辆10相关的信息的显示器36(参照图3)。在显示器36中，例如，显示有自动驾驶车辆10的车速、外部气温、接下来停靠的停靠点等的信息。显示器36也与触摸面板28同样地朝向后侧，由此，当从坐在操作员座上的操作员进行观察时，能够并排观察到触摸面板28和显示器36。由此，操作员能够目视确认到触摸面板28和显示器36的双方。例如，显示器36被设置于与触摸面板28相同的高度上。具体而言，被设置为，显示器36的上端与触摸面板28的上端成为相同的高度，或者，显示器36的下端和触摸面板28的下端成为相同的高度，或者，显示器36的高度方向的中央和触摸面板28的高度方向的中央成为相同的高度。此外，虽然省略了图示，但在车内还在其他场所处设置有显示器，从而向乘客实施了信息提供。而且，在车内也设置有扬声器(未图示)，从而也向乘客实施了基于语音而进行的信息提供。

在图4以及图5中，示出了被显示在触摸面板28上的画面、和被设置于触摸面板28的下方的紧急停止开关34。图4中的触摸面板28是自动驾驶车辆10为自动驾驶模式、且正在停止时的显示画面。此外，图5中的触摸面板28是自动驾驶车辆10为自动驾驶模式、且正在行驶时的显示画面。

首先，参照图4，对自动驾驶车辆10为自动驾驶模式时、且处于停止时的触摸面板28的显示进行说明。在触摸面板28上，显示了用于向自动驾驶车辆10输入车速控制指示的作为车速控制按键的GO(出发)按键40。GO按键40为，用于针对自动驾驶车辆10而输入起步指示的按键，当GO按键40被操作时，自动驾驶车辆10开始(在此情况下为自动驾驶模式下的)行驶。

接下来，参照图5，对自动驾驶车辆10为自动驾驶模式时、且正在行驶时的触摸面板28的显示进行说明。在触摸面板28中，代替GO按键40，而显示了作为车速控制按键的SLOWDOWN(减速)按键42。SLOWDOWN按键42为用于针对自动驾驶车辆10而输入减速控制指示的按键，当SLOWDOWN按键42被操作时，自动驾驶车辆10将减速。也可以通过反复地对SLOWDOWN按键42进行操作，从而使自动驾驶车辆10停止。SLOWDOWN按键42与触摸面板28以及信号发送电路等一起构成了能够在自动驾驶模式下供操作员输入减速或停止的指示的减速操作装置。

在本实施方式中，当为自动驾驶模式、且正在行驶时，操作员仅能够输入减速控制指示以作为车速控制。但是，除了SLOWDOWN按键42之外，也可以显示用于输入加速控制指示的按键或者用于输入停止指示的按键，从而能够输入加速控制指示或者停止指示。当然，在自动驾驶模式下，自动驾驶车辆10能够根据来自管理中心的指示而自动地减速或者停止。当自动驾驶车辆10停止时，将再次如图4所示，代替SLOWDOWN按键42而显示有GO按键40。

在触摸面板28上，除了车速控制按键之外，还显示有用于输入驾驶模式的变更指示的驾驶模式按键44、用于输入换档控制指示的换档按键46、用于输入电动停车制动器的工作/解除指示的P制动器按键48、以及用于针对被设置于自动驾驶车辆10上的设备而输入设备控制指示的各种设备控制按键。其中，驾驶模式按键44为用于对驾驶的模式进行设定的按键，并具备设定成自动驾驶模式的“AUTO(自动)”、设定成一部分的自动驾驶模式的“S-AUTO(半自动)”、和设定成手动驾驶模式的“MANUAL(手动)”。

在图4以及图5的示例中，作为设备控制按键而显示有用于对转向灯进行控制的转向灯按键50、用于使危险报警灯进行工作的危险报警灯按键52、用于使喇叭进行工作的喇叭按键54、用于对前照灯或尾灯进行控制的灯按键56、用于对空调器进行控制的空调器图标58、以及用于对刮水器进行控制的刮水器图标60。当触摸空调器图标58时，将显示用于对空调器进行控制的各种按键，当触摸刮水器图标60时，将显示用于对刮水器进行控制的各种按键。另外，驾驶模式按键44仅能够在自动驾驶车辆10处于停止中时进行操作。此外，在本实施方式中，在自动驾驶模式中，由于不能通过操作员操作而进行换档，因此，换档按键46无法操作。

此外，在触摸面板28上，显示了自动驾驶车辆10的蓄电池剩余量、或者、车门18的开闭状态、斜坡的状态、以及被设置于自动驾驶车辆10上的各种传感器的检测状态等。

紧急停止开关34被设置于触摸面板28的下方。紧急停止开关34与被设置于触摸面板28上的各种按键不同，是被物理性地设置的按键。由于紧急停止开关34位于触摸面板28的附近，因此，操作员在感觉到紧急停止的必要性的情况下，通过立即实施按压紧急停止开关34的操作，从而能够使自动驾驶车辆10紧急停止。关于紧急停止时的具体的处理，将在后文进行叙述。此外，在紧急停止开关34中埋入有发光二极管，如后文所述，能够通过发光而促使操作员进行按压。

在图6中，示出了从收纳部30被拉出的机械式操作部70。机械式操作部70为杆状，且以在上下方向上伸长的姿态而被收纳于收纳部30中。通过使机械式操作部70被收纳于收纳部30中，从而减少了操作员对机械式操作部70进行误操作的可能性、或者其他的乘员对机械式操作部70进行操作的可能性。也可以将盖32锁上，以使操作员以外的乘员无法打开盖32。此外，通过使机械式操作部70被收纳于收纳部30中，从而能够有效地运用车内空间。

通过由操作员打开盖32并将机械式操作部70向上侧拉出，从而成为图6所示的这种、机械式操作部70可操作的状态。或者，也可以在收纳部30的内部等设置开关，当对该开关进行操作时，机械式操作部70自动地从收纳部30向上侧移动。在可操作的状态下，机械式操作部70成为从肘靠26的上表面向上侧竖立设置的状态。如上所述，由于肘靠26被设置于与可落座状态下的操作员座24的座面24b相比靠上侧处，因此，机械式操作部70也被设置于与可落座状态下的座面24b相比靠上侧处。

机械式操作部70主要在自动驾驶车辆10的驾驶模式为手动驾驶模式的情况下被从收纳部30中拉出。在自动驾驶车辆10的驾驶模式为自动驾驶模式的情况下，为了防止机械式操作部70的误操作，只要预先将机械式操作部70收纳在收纳部30中即可。

机械式操作部70能够进行杠杆操作。即，机械式操作部70能够以下端为支点而向前后左右方向倾倒。当使机械式操作部70向前方向倾倒时，将针对自动驾驶车辆10而输入加速控制指示，当使机械式操作部70向后方向倾倒时，将针对自动驾驶车辆10而输入减速控制指示。此外，当使机械式操作部70向左方向倾倒时，将针对自动驾驶车辆10而输入左转弯控制指示，当使机械式操作部70向右方向倾倒时，将针对自动驾驶车辆10而输入右转弯控制指示。

此外，在机械式操作部70的上部设置有机械式的设备控制开关，所述设备控制开关用于输入针对被设置于自动驾驶车辆10上的设备的设备控制指示。在本实施方式中，作为这样的设备控制开关而设置有用于实施向车外的报知控制的开关。具体而言，设置有用于使转向灯进行工作的转向灯开关72、以及用于使喇叭进行工作的喇叭开关74。这样，通过机械式操作部70，不仅能够实施加减速控制指示以及转弯控制指示，还能够使转向灯或喇叭进行工作。当然，作为设备控制开关，也可以使用于对其他的设备进行控制的开关被设置于机械式操作部70上。

在本实施方式中，触摸面板28被配置于肘靠26的前端部处，机械式操作部70被竖立设置于肘靠26的上侧处。也就是说，触摸面板28和机械式操作部70以接近的方式而被配置。在本实施方式中，即使在使用机械式操作部70来实施驾驶控制的情况下，也使用触摸面板28来实施被设置于自动驾驶车辆10上的设备的操作等。因此，通过使触摸面板28和机械式操作部70相接近，从而使操作员能够对触摸面板28和机械式操作部70的双方进行操作。

接下来，参照图7而对自动驾驶车辆10的控制机构进行说明。图7为，表示自动驾驶车辆10中的与驾驶控制相关联的结构的简要的功能框图。

在图7的右上方，图示了前述的机械式操作部70、触摸面板28、紧急停止开关34。此外，扬声器80为，被设置于车厢内且对操作员或乘客实施语音传达的装置。

接口处理装置82为，与触摸面板28、紧急停止开关34、扬声器80等的用户接口相连接、并实施与这些用户接口相关联的控制的用户接口控制装置之一。接口处理装置82通过软件而对处理器等计算机硬件进行控制并进行工作。接口处理装置82也与构成作为被设置于自动驾驶车辆10内的网络的CAN100(Controller Area Network，控制器区域网络)的总线100a相连接。在接口处理装置82中，实施如下的处理，即，将从触摸面板28被输入的操作信号发送至总线100a、并将从总线100a接收的信号输送至触摸面板28等的处理。

在接口处理装置82中内置有紧急停止控制装置82a，在从紧急停止开关34输入了操作信号的情况下，也实施与紧急停止动作相关的控制。在紧急停止控制中，可列举出驾驶控制装置84及预备驾驶控制装置88的关闭、朝向扬声器80等的紧急语音/显示的输出、发向转向ECU104等的使之进行紧急停止动作的控制信号的输出等。关于紧急停止控制，将在后文叙述。

在驾驶控制装置84中，内置有实施自动驾驶模式中的驾驶控制的自动驾驶控制装置84a、和实施手动驾驶模式中的驾驶控制的手动驾驶控制装置84b，并具备这两个装置的功能。驾驶控制装置84通过软件来对处理器等计算机硬件进行控制，从而进行工作，例如，能够作为ECU(Electric Control Unit，电子控制单元)来进行安装。驾驶控制装置84与CAN100的总线100a连接，并经由接口处理装置82而输入来自触摸面板28的操作信号。从触摸面板28被输入有关于操作员所选择的驾驶模式的操作信号。驾驶控制装置84根据所选择的驾驶模式而实施自动驾驶模式(由管理中心所实施的控制模式、或者由自动驾驶车辆10所实施的控制模式)、或者手动驾驶模式下的控制。

驾驶控制装置84与通信模块86连接，并能够输入来自管理中心的控制等。在自动驾驶模式中的由管理中心所实施的控制模式下，实施基于来自管理中心的控制的驾驶控制。此外，驾驶控制装置84也与摄像机、激光雷达等各种自动驾驶用传感器87连接，并输入由自动驾驶用传感器87所检测到的检测数据。在自动驾驶模式中，对自动驾驶用传感器87的检测结果进行处理，从而实施自动驾驶。在自动驾驶模式中，从触摸面板28被输入的GO按键40、SLOWDOWN按键42等的操作信号也被输入至驾驶控制装置84中。

驾驶控制装置84以不经由CAN100的方式而与机械式操作部70连接。在手动驾驶模式下，驾驶控制装置84输入来自机械式操作部70的操作信号，从而实施驾驶控制。

驾驶控制装置84经由CAN100而向转向ECU104、动力ECU108、制动器ECU112以及车灯ECU116等输出控制信号。由此，驾驶控制装置84实施具体的驾驶操作。

通信模块86为经由天线等而与外部实施通信的装置。通信模块是通过对具备通信处理电路等的硬件进行软件控制而被构建的。在通信模块86中，从管理中心接收关于驾驶的控制信号，并输出至驾驶控制装置84。另外，虽然省略了图示，但通信模块86也与自动驾驶车辆10的其他结构连接，并负责自动驾驶车辆10与车外的各种通信。

预备驾驶控制装置88为被预备性地设置的装置，在驾驶控制装置84未进行工作的情况下等，预备驾驶控制装置88代替驾驶控制装置84而被使用。预备驾驶控制装置88通过软件而对处理器等计算机硬件进行控制并进行工作，例如，作为ECU而被安装。但是，预备驾驶控制装置88不具有自动驾驶模式中的驾驶控制功能，而是仅实施手动驾驶模式中的驾驶控制的手动驾驶控制装置。因此，预备驾驶控制装置88未与通信模块86连接。

预备驾驶控制装置88与机械式操作部70连接，并输入关于手动驾驶的操作信号。此外，预备驾驶控制装置88与CAN100的总线100a连接，并经由CAN100而向转向ECU104、动力ECU108、制动器ECU112以及车灯ECU116等输出控制信号。预备驾驶控制装置88内置有开关(SW)88a。开关88a在接收到来自接口处理装置82的停止信号的情况下，关闭预备驾驶控制装置88。

辅助设备蓄电池90为，向自动驾驶车辆10中的各种辅助设备供给电力的蓄电池。在自动驾驶车辆10中，以独立于向驱动电机供给电力的主蓄电池的方式而设置有辅助设备蓄电池90。在图中，作为辅助设备蓄电池90的供电对象，仅示出了接口处理装置82、预备驾驶控制装置88、驾驶控制装置84这三个装置。经由供电线92而向接口处理装置82供给电力，经由供电线94而向预备驾驶控制装置88供给电力，并且经由供电线96而向驾驶控制装置84供给电力。

在供电线92、94、96的上游设置有开关(SW)91。开关91为在启动自动驾驶车辆10之前被操作的基本的开关，其例如使用继电器而被形成，并作为被设置于自动驾驶车辆10的外壁上的车外开关而被设置。车外开关为如下的开关，即，操作员在乘车前实施设为开启的操作、并在乘车后实施设为关闭的操作的开关。在将开关91设为开启的情况下，开始进行从辅助设备蓄电池90向接口处理装置82、预备驾驶控制装置88、驾驶控制装置84的电力供给，而在设为关闭的情况下，电力供给被停止。而且，操作员在将车外开关设为开启的状态下进入车内，并通过将启动开关(未图示)设为开启，从而将自动驾驶车辆10设为可行驶的状态。

在开关91被操作为开启之后，始终经由供电线92而从辅助设备蓄电池90向接口处理装置82供给电力。即，在开关91为开启的情况下，接口处理装置82始终处于被启动的状态。接口处理装置82为实施用户接口的控制的用户接口控制装置，并被设定为，即便在紧急停止开关34被操作了的情况下，也维持启动状态并能够对各种车载设备进行控制。

在开关91被操作为开启之后，针对预备驾驶控制装置88也始终经由供电线94而从辅助设备蓄电池90供给有电力。因此，在开关91为开启的情况下，原则上预备驾驶控制装置88处于被启动的状态。但是，接口处理装置82能够通过向预备驾驶控制装置88所具备的开关88a发送停止信号，从而关闭预备驾驶控制装置88。开关88a的种类未被特别限定，能够使用例如半导体来制作。接口处理装置82在紧急停止开关34被操作了的情况下，将停止信号发送至开关88a，以使预备驾驶控制装置88关闭。在此，关闭是指，预备驾驶控制装置88不实施任何驾驶控制的动作的状态。

在开关91被操作为开启之后，原则上驾驶控制装置84经由供电线96而从辅助设备蓄电池90接受电力的供给。因此，在开关91为开启的情况下，原则上驾驶控制装置84处于被启动的状态。但是，接口处理装置82能够通过向被设置于供电线96上的开关(SW)98发送停止信号，从而使由供电线96所实施的电力供给停止，以关闭驾驶控制装置84。开关98的结构未被特别限定，例如使用继电器而被形成。在紧急停止开关34被操作了的情况下，接口处理装置82通过将停止信号发送至开关98而切断供电线96，从而使驾驶控制装置84关闭。

CAN100为具备总线100a、100b的车内网络。在CAN100中，实施了依照预定的协议的通信。总线100a、100b与CGW(Central GateWay，中央网关)102连接。CGW102为在CAN100中对总线100a、100b间的通信进行控制的装置。

在总线100b上，连接有转向ECU104、动力ECU108、制动器ECU112以及车灯ECU116。这些设备均通过对具备处理器的硬件进行软件控制而被构建。

转向ECU104为，对作为驾驶机构的转向机构106进行管理并实施指示的驾驶机构指示装置。转向机构106为，实施转向角(即车轮14的朝向)的维持以及变更、并对自动驾驶车辆10的行进方向进行控制的机械性的装置。转向ECU104向转向机构106发送指示转向的信号，从而实施转向的控制。

动力ECU108为，对作为驾驶机构的PCU(Power Control Unit，动力控制单元)110进行管理并实施指示的驾驶机构指示装置。PCU110与驱动电机一起构成了实施自动驾驶车辆10的加速或减速的系统。PCU110为，具备对向驱动电机的电力供给、或者从驱动电机的电力再生进行控制的动力半导体的装置。动力ECU108通过向PCU110发送对动力半导体的动作进行指示的信号，从而对驱动电机的旋转、以及自动驾驶车辆10的加速、减速进行控制。

制动器ECU112为，对作为驾驶机构的制动器114进行管理并实施指示的驾驶机构指示装置。制动器114为通过付加摩擦力而使车轮14的旋转停止的机械性的装置。制动器ECU112实施如下的控制，即，通过对制动器114所施加的摩擦力的大小等进行指示，从而使自动驾驶车辆10减速或者停止的控制。

车灯ECU116为，对转向灯/危险报警灯118进行管理并实施指示的指示装置。转向灯/危险报警灯118为，由对车辆的行进方向进行指示的转向灯、和通知车辆的危险的危险报警灯而构成的驾驶辅助装置。但是，转向灯和危险报警灯通常利用相同的灯而构成，并且通过使点亮方式不同而被区分。车灯ECU116对转向灯/危险报警灯118的点亮、熄灭进行控制。

在本实施方式中，利用如下的装置等而形成了自动驾驶控制系统，所述装置包括：作为自动驾驶控制装置而发挥作用的驾驶控制装置84、作为减速操作装置的包含SLOWDOWN按键42并且实施显示的触摸面板28、和作为紧急停止操作装置的紧急停止开关34。以下，对通过自动驾驶控制系统而被实施的紧急停止控制进行具体的说明。

图8为表示紧急停止的整体流程的流程图。在图8的流程图中，首先，设想了自动驾驶车辆10以被实施基于自动驾驶模式的驾驶的方式而行驶的状况(S2)。在该阶段中，驾驶控制装置84向转向ECU104、动力ECU108、制动器ECU112以及车灯ECU116发送控制信号，从而实施着自动驾驶车辆的驾驶控制。

在自动驾驶行驶过程中，设为接口处理装置82检测出SLOWDOWN按键42的异常(S4)。SLOWDOWN按键42的异常包括未显示SLOWDOWN按键42等的与显示相关的异常、无法进行对SLOWDOWN按键42的操作等的与操作输入相关的异常。此外，操作信号未从SLOWDOWN按键42向接口处理装置82进而向驾驶控制装置84被输出的通信上的异常也可以说是SLOWDOWN按键42的异常。

在检测出SLOWDOWN按键42的异常的情况下，接口处理装置82使触摸面板28实施异常发生和促使进行紧急停止开关34的操作的显示(S6)。同时，接口处理装置82也向扬声器80指示异常发生和促使进行紧急停止开关34的操作的语音输出(S8)。即，触摸面板28和扬声器80作为传达装置而被使用。

在此，参照图9以及图10，对促使操作员进行紧急停止的触摸面板28上的显示等进行说明。图9为，表示在步骤S6中被实施的向触摸面板28的显示例等的图。虽然在触摸面板28中，通常进行了图5所示的显示，但在SLOWDOWN按键42的异常被检测出之后，SLOWDOWN按键42的显示将消失。由此，操作员能够在视觉上掌握无法操作SLOWDOWN按键42的情况。

而且，在触摸面板28中，在显示了SLOWDOWN按键42的位置附近，显示了消息150。消息150显示为，“在SLOWDOWN按键中发生异常，是否紧急停止？”。由此，操作员在视觉上掌握到在SLOWDOWN按键42中发生了异常的情况、以及被促使进行紧急停止的情况。但是，是否进行紧急停止的判断被交由操作员处理。这是因为，即使不对SLOWDOWN按键42进行操作自动驾驶车辆10也能够自主地进行行驶，从而也可以实施不进行紧急停止的判断。

因此，消息150也可以设为，例如“能够进行紧急停止”、“紧急停止开关位于正下方”、“在欲进行紧急停止的情况下，请按压紧急停止开关34”、“也可以不进行紧急停止”等。可以说，在任意一个情况下，都能够将具有进行紧急停止的余地的情况传达至操作员，从而可以说是促使进行了紧急停止开关34的操作的结构。

在促使进行紧急停止的操作的情况下，在紧急停止开关34中，如图9所示，发光二极管开始闪烁。因此，操作员能够立即在视觉上掌握紧急停止开关34的位置。此外，操作员也从紧急停止开关34感受到了促使其进行紧急停止的操作的情况。

图10为，表示在SLOWDOWN按键42中产生了与显示相关的异常的示例的图。在图10所示的示例中，触摸面板28的下部160变暗，从而变得无法进行图5所示的正常的显示。而且，位于下部160的SLOWDOWN按键42也未被显示。根据触摸面板28的异常原因，也具有通过对SLOWDOWN按键42所存在的位置进行按压从而能够对SLOWDOWN按键42进行操作的可能性。此外，如上文所述，即使不按压SLOWDOWN按键42，自动驾驶车辆10也能够行驶。但是，由于在SLOWDOWN按键42中产生异常，因此，将实施促使操作员进行异常停止的传达。

在图10所示的示例中，与图9所示的示例不同，无法在显示了SLOWDOWN按键42的位置上显示消息。因此，在该示例中，在触摸面板28上不实施显示，而经由扬声器80来实施语音输出。此外，使紧急停止开关34的发光二极管进行闪烁，从而向操作员传达异常的发生，并且促使其进行紧急停止开关34的操作。

返回至图8，并继续进行说明。在操作员按压了紧急停止开关34的情况下(S10)，在紧急停止开关34中，将按压操作转换为电信号，并输出至接口处理装置82。接口处理装置82将该电信号作为紧急停止的指示信号而输入(S12)。而且，接口处理装置82实施以下详细说明的紧急停止控制(S14)。其结果为，自动驾驶车辆10进行紧急停止(S16)。另一方面，在操作员未按压紧急停止开关34的情况下，持续进行基于自动驾驶模式的行驶。

在自动驾驶车辆10中，在进行了紧急停止的情况下，接口处理装置82的启动状态将被维持，此外，自动驾驶以外的装置原则上也会被维持为启动状态(S18)。例如，通过维持接口处理装置82的启动，从而使作为用户接口的触摸面板28可受理除了与驾驶控制相关的功能以外的功能。因此，也能够进行经由触摸面板28而被控制的转向灯、前照灯、空调器、刮水器等车载设备的控制等。此外，通信模块86也被维持为，能够受理来自管理中心的驾驶控制以外的部分的方式。因此，例如，能够迅速地实施安全确认、与管理中心之间的联系等。另外，在紧急停止后是否能够进行手动驾驶，如后文所述，依存于针对预备驾驶控制装置88的紧急停止控制方式。

图11～图17为表示在紧急停止的过程中所实施的各自的处理的流程的流程图。图11示出了图8的步骤S14所示的由接口处理装置82所实施的紧急停止控制中的针对扬声器80而实施的处理的流程。接口处理装置82在输入了紧急停止信号的情况下将预先存储的“紧急减速”这样的语音数据输出至扬声器80(S20)。在扬声器80中，输入该语音数据并输出“紧急减速”的语音，从而通知乘客进行紧急减速的情况(S22)。

此外，在自动驾驶车辆10停止后，接口处理装置82输出预先存储于扬声器80中的“紧急停车中”的语音数据(S24)。在扬声器80中，在输入了语音数据的情况下，输出“紧急停车中”的语音，并通知乘客正在进行紧急停止的情况(S26)。扬声器80隔开适当地间隔而反复输出“紧急停车中”的语音。在接口处理装置82中，也以同样的方式，针对显示器36而实施“紧急减速”的显示和“紧急停车中”的显示。

图12示出了图8的步骤S14所示的由接口处理装置82所实施的紧急停止控制中的针对驾驶控制装置84的控制的流程。接口处理装置82在输入了紧急停止信号的情况下向开关98输出停止信号(S30)。由此，开关98切断供电线96，从而使向驾驶控制装置84的供电停止(S32)。驾驶控制装置84在供电停止的情况下变为无法进行动作从而关闭(S34)。其结果为，从驾驶控制装置84向转向ECU104、动力ECU108、制动器ECU112以及车灯ECU116的控制信号的发送也变为无法实施，从而由驾驶控制装置84所实施的自动驾驶控制结束。

图13示出了图8的步骤S14所示的由接口处理装置82所实施的紧急停止控制中的针对预备驾驶控制装置88的控制的流程。接口处理装置82在输入了紧急停止信号的情况下向开关88a输出停止信号(S40)。由此，开关88a关闭预备驾驶控制装置88(S42)。例如通过由开关88a停止向预备驾驶控制装置88的供电，从而实施关闭。

预备驾驶控制装置88在由驾驶控制装置84所实施的自动驾驶模式下的行驶过程中未实施特殊处理。但是，预备驾驶控制装置88能够在功能上向转向ECU104、动力ECU108、制动器ECU112以及车灯ECU116发送控制信号。因此，通过关闭预备驾驶控制装置88，从而可靠地实现了不向转向ECU104、动力ECU108、制动器ECU112以及车灯ECU116发送控制信号的情况。

但是，也能够采取不关闭预备驾驶控制装置88而是使之持续启动的方式。在该情况下，预备驾驶控制装置88进行如下的设定，即，在紧急停止完成后、或者在进一步实施了预定的检查后能够利用这样的设定。由此，能够在手动驾驶模式下重新开始已停止了的自动驾驶车辆10的驾驶。

图14示出了图8的步骤S14所示的由接口处理装置82所实施的紧急停止控制中的与转向相关的控制的流程。接口处理装置82在输入了紧急停止信号的情况下向转向ECU104发送控制信号，以取消在当前时间点处所受的控制，并实施作为紧急停止动作的转向方向的现状维持(S50)。转向ECU104在接受到控制信号的情况下，立即对转向机构106实施指示，以维持转向方向的现状(S52)。转向机构106基于指示而进行动作，以维持转向方向的现状(S54)。

另外，与转向相关的紧急停止动作也可以设定为其他的方式。作为具体示例，列举了将转向角设定为直线前进方向的方式、或者选择该时间点处的与车速、转向角、路面状况、周围的状况等相应的最佳的转向角的方式等。最佳的转向角例如也可以设为，在紧急停止开关34被按压以前，在驾驶控制装置84中随时进行计算，并传达至接口处理装置82。

图15示出了图8的步骤S14所示的由接口处理装置82所实施的紧急停止控制中的与驱动电机相关的控制的流程。接口处理装置82在输入了紧急停止信号的情况下向动力ECU108发送控制信号，以取消在当前时间点处所受的控制，并实施作为紧急停止动作的紧急减速(S60)。动力ECU108在接受到控制信号的情况下立即对PCU110的动力半导体进行指示，以实施急速的再生开关(S62)。由此，PCU110进行如下的动作，即，实施急速的再生开关并使驱动电机紧急减速的动作(S64)。另外，作为紧急停止动作，还能够采取在不实施由使驱动电机再生而导致的减速的条件下使驱动电机空转的方式。

图16示出了图8的步骤S14所示的由接口处理装置82所实施的紧急停止控制中的制动器控制的流程。接口处理装置82在输入了紧急停止信号的情况下向制动器ECU112发送控制信号，以取消在当前时间点处所受的控制，并实施作为紧急停止动作的紧急制动(S70)。制动器ECU112在接受到控制信号的情况下立即使制动器114实施紧急制动(S72)。由此，制动器114进行如下的动作，即，实施紧急制动而使自动驾驶车辆10停止的动作(S74)。另外，紧急制动中的减速在能够确保乘客的安全的范围内被实施。制动器114的载荷例如也可以设为，根据该时间点处的车速、转向角、路面状况等而选择最佳的值。最佳的载荷例如也可以设为，在紧急停止开关34被按压以前，在驾驶控制装置84中随时进行计算，并传达至接口处理装置82。

图17示出了图8的步骤S14所示的由接口处理装置82所实施的紧急停止控制中的危险报警灯点亮控制的流程。接口处理装置82在输入了紧急停止信号的情况下向车灯ECU116发送控制信号，以取消在当前时间点处所受的控制，并实施危险报警灯的点亮(S80)。车灯ECU116在接受到控制信号的情况下立即对转向灯/危险报警灯118进行指示，以使危险报警灯点亮(S82)。然后，转向灯/危险报警灯118实施危险报警灯的点亮(S84)。

参照图11～图17而说明的各处理设想了如下情况，即，尽管存在接口处理装置82中的因处理顺序而导致的微小的差异，但是实质上同时开始实施的情况。但是，在因处理顺序而产生微小的时间差的情况下，也可以考虑使停止最优先、从而首先对控制信号向制动器ECU112的输出进行处理的情况。或者，也可以考虑如下的情况，即，重视在促使乘客进行注意之后停止的情况，从而首先对图9所示的来自扬声器80的语音的输出、进而向显示器36的显示进行处理的情况。此外，也能够考虑信号传达所需的时间、处理所需的时间从而适当地变更处理顺序或者设置到处理开始为止的等待时间。

此外，在以上的处理中，为了实施驾驶控制装置84以及预备驾驶控制装置88的关闭，从而在紧急停止处理开始以后，未从驾驶控制装置84或预备驾驶控制装置88向转向ECU104、动力ECU108、制动器ECU112或车灯ECU116发送控制信号。但是，根据控制系统的硬件结构或者软件结构，也可以考虑如下的情况，即，根据关闭所需的时间差等，转向ECU104、动力ECU108、制动器ECU112或车灯ECU116在输入了来自接口处理装置82的控制信号之后，输入来自驾驶控制装置84或预备驾驶控制装置88的控制信号。因此，也可以设定为，在转向ECU104、动力ECU108、制动器ECU112以及车灯ECU116中，在从接口处理装置82输入了控制信号的情况下，在此后至少一定时间内，不接受接下来的控制信号、或者不实施基于接下来的控制信号的处理。

在自动驾驶车辆10中，在紧急停止后实施安全确认。而且，在安全被确认的情况、或者被设为能够驾驶的情况下等，将以驾驶的重新开始作为目标。在该过程中，例如，操作员实施将被设置在车内的启动开关再次设为开启的操作。在该情况下，在实施了依照程序而进行的安全确认之后，驾驶控制装置84和预备驾驶控制装置88被重新启动。由此，能够重新开始所选择的模式(自动驾驶模式或者手动驾驶模式)下的驾驶。此外，在重新启动的过程中，例如，在驾驶控制装置84中发现不良状况的情况下，仅预备驾驶控制装置88被重新启动。在该情况下，仅能够重新开始基于手动驾驶模式的驾驶。

接下来，参照图18，对由接口处理装置82所实施的紧急停止控制的改变例进行说明。图18为，表示代替图8的步骤S14所示的接口处理装置82而被实施的控制的流程图。

在图18所示的示例中，在紧急停止开关34被操作(图8的S10)、且紧急停止信号被输入至接口处理装置82中的情况(图8的S12)下，对接口处理装置82是否处于减速时的运行状况稳定性较高的状态进行评价(S90)。减速时的运行状况稳定性较高的状态是指，在到达停止为止的过程中，自动驾驶车辆10的速度、姿态、位置等的误差较小、且容易控制的状态。一般而言，在速度较快、转向角较大(正在于急转弯处转弯)、轮胎路面间的摩擦较小等的要素中哪怕存在一种的情况下，运行状况稳定性也会变低。在接口处理装置82中，例如，通过以较短的时间间隔而从转向ECU104、动力ECU108、制动器ECU112等或者从驾驶控制装置84中输入速度、转向角、摩擦系数等信息，从而始终掌握运行状况稳定性的高度。而且，接口处理装置82在输入了紧急停止信号的情况下立即对运行状况稳定性的高度进行评价。

在运行状况稳定性较低的情况下，接口处理装置82对驾驶控制装置84进行指示，以在使运行状况稳定化的范围内实施急速的减速(S92)。而且，在经过较短的时间后，再次实施步骤S90的评价。

在自动驾驶车辆10中，例如通过使速度逐渐降低、或者以不经过急转弯的方式而驶上直线道路，从而在不久后使减速时的运行状况稳定性升高。在此情况下，接口处理装置82实施上述的紧急停止控制(S94)。

因此，在自动驾驶车辆10中，在减速时的运行状况稳定性较低的情况下，在紧急停止开关34被操作后、至为了实施紧急停止控制而使驾驶控制装置84的行驶的控制被无效化为止所需的时间(将其称为“第一时间”)变长。此外，在减速时的运行状况稳定性较低的情况下，在紧急停止开关34被操作后、至使自动驾驶车辆10停止为止的减速(将其称为“第一减速”)整体上被较缓慢地实施。

与此相对，在减速时的运行状况稳定性较高的情况下，在紧急停止开关34被操作后、至驾驶控制装置84的行驶的控制被无效化为止所需的时间(将其称为“第二时间”)变得非常短。此外，在减速时的运行状况稳定性较高的情况下，在紧急停止开关34被操作后、至使自动驾驶车辆10停止为止的减速(将其称为“第二减速”)整体上被急速地实施。

另外，在以自动驾驶模式而进行行驶的情况下，也可能始终在减速时的运行状况稳定性较高的状态下行驶。在该情况下，如上所述，在紧急停止开关34被操作后，能够立即使驾驶控制装置84的行驶的控制无效化，从而进行紧急停止。

最后，参照图19，对不是向操作员委托紧急停止的实施而是强制性地实施紧急停止的形态进行说明。图19的流程图为，表示产生了在自动驾驶模式下难以行驶的异常的情况下被实施的控制的流程的流程图。

在自动驾驶车辆10中，在以自动驾驶模式而进行行驶的期间内(S100)，实施各种部位是否正常地发挥功能的判断。而且，在自动驾驶车辆10中，设为在驾驶控制装置84或自动驾驶用传感器87中产生了异常(S102)。在该情况下，难以进行自动驾驶模式下的继续行驶。因此，并不委托操作员进行判断，而是强制性地实施紧急停止控制(S104)。如上所述，通过接口处理装置82而实施了紧急停止控制。但是，由于与来自紧急停止开关34的输入无关，因此，驾驶控制装置84等其他的装置也可以实施紧急停止控制。

以上所说明的紧急停止控制也在针对经由通信模块86的由第三者所实施的非法访问(以下，将实施非法访问的第三人称为骇客(cracker)。骇客有时也被称为黑客(hacker))的应对中发挥效果。在自动驾驶车辆10中，在包括通信模块86的控制软件中采取了高安全对策，通常情况下，骇客无法实施非法访问。但是，考虑到骇客发现安全漏洞而访问驾驶控制装置84，从而实施驾驶控制装置84中的程序的改写、虚假信号向驾驶控制装置84的输入、来自驾驶控制装置84的虚假信号的输出等的情况。

在因骇客的攻击而在自动驾驶车辆10的运行动作等中产生了不良状况的情况下，当操作员注意到时，操作员将按压紧急停止开关34。此外，在自动驾驶车辆10的控制部检测到难以继续行驶的异常的情况下，将强制性地开始实施紧急停止控制。此时，在自动驾驶车辆10中，由于接口处理装置82立即实施驾驶控制装置84的关闭，因此，能够防止因驾驶控制装置84而引起的不良状况的扩大。此外，通过实施预备驾驶控制装置88的关闭，从而也防止了因预备驾驶控制装置88而引起的不良状况的扩大。

另外，骇客也有可能从驾驶控制装置84经由CAN100等而对接口处理装置82、转向ECU104、动力ECU108、制动器ECU112或车灯ECU116尝试非法访问。但是，接口处理装置82、转向ECU104、动力ECU108、制动器ECU112或车灯ECU116为独立于驾驶控制装置84的硬件，从而进行非法访问更加困难。因此，将成为访问的起点的驾驶控制装置84关闭的本实施方式是有效的。

但是，通常，操作员并未认识到异常的原因是因骇客的非法访问而引起的。此外，自动驾驶车辆10中的接口处理装置82、驾驶控制装置84等的控制部也无法事先设想受到骇客的攻击的情况下的动作。因此，在产生某种不良状况的情况下，如果不良状况不妨碍自动行驶的继续进行，则设想了与强制性地实施紧急停止控制的情况相比委托操作员进行判断的方式更好的状况。因此，在本实施方式中，在产生了有关SLOWDOWN按键42的异常的情况下，实施了促使操作员进行紧急停止的处理。

Claims (7)

1.一种自动驾驶控制系统，其特征在于，具备：

自动驾驶控制装置，其对自动驾驶车辆的自动驾驶模式下的行驶进行控制；

减速操作装置，其在所述自动驾驶模式下的行驶过程中，受理来自操作员的操作，并对所述自动驾驶控制装置实施减速或停止的指示；

紧急停止操作装置，其以独立于所述减速操作装置的方式而被设置，并受理来自所述操作员的操作而对紧急停止进行指示；

传达装置，其在所述减速操作装置中产生了异常的情况下向所述操作员实施如下的传达，即，促使所述操作员进行所述紧急停止操作装置的操作的传达。

2.如权利要求1所述的自动驾驶控制系统，其特征在于，

所述减速操作装置为被显示于触摸面板上的按键，

所述传达装置在所述触摸面板上显示消息，从而实施促使进行所述紧急停止操作装置的操作的传达。

3.如权利要求1或2所述的自动驾驶控制系统，其特征在于，

还具备控制装置，所述控制装置在所述自动驾驶控制装置中产生了异常的情况、或在向所述自动驾驶控制装置输出检测数据的自动驾驶用传感器中产生了异常的情况下，实施强制性地使该自动驾驶车辆紧急停止的控制。

4.如权利要求1至3中的任意一项所述的自动驾驶控制系统，其特征在于，

在从所述紧急停止操作装置指示了紧急停止的情况下，由所述自动驾驶控制装置所实施的行驶的控制被无效化，而实施紧急停止的控制。

5.如权利要求4所述的自动驾驶控制系统，其特征在于，

由所述自动驾驶控制装置所实施的行驶的控制的无效化通过该自动驾驶控制装置的关闭、或该自动驾驶控制装置所输出的控制信号的无效化而被实施。

6.如权利要求4或5所述的自动驾驶控制系统，其特征在于，

在所述紧急停止操作装置被操作了的情况下，

当所述自动驾驶车辆处于减速时的运行状况稳定性较低的状态时，使由所述自动驾驶控制装置所实施的行驶的控制在经过第一时间后无效化，

当所述自动驾驶车辆处于减速时的运行状况稳定性较高的状态时，使由所述自动驾驶控制装置所实施的行驶的控制在经过短于所述第一时间的第二时间后无效化。

7.如权利要求4所述的自动驾驶控制系统，其特征在于，

在所述紧急停止操作装置被操作了的情况下，

当所述自动驾驶车辆处于减速时的运行状况稳定性较低的状态时，实施第一减速以进行紧急停止，

当所述自动驾驶车辆处于减速时的运行状况稳定性较高的状态时，实施与所述第一减速相比更急速的第二减速以进行紧急停止。

Images