CN114620064A - 车辆控制系统、自动驾驶车辆以及车辆控制方法 - Google Patents

Abstract

本发明涉及车辆控制系统、自动驾驶车辆以及车辆控制方法。本车辆控制系统基于与车辆的周边环境相关的信息来预测车辆应该回避的危险。在预测到危险的情况下，本车辆控制系统判定自动驾驶系统是否拒绝了对自动驾驶的干预，此外，进行自动驾驶系统是正常还是异常的诊断。然后，在自动驾驶系统未拒绝对自动驾驶的干预的情况下，或者，在即使拒绝了对自动驾驶的干预但自动驾驶系统为异常的情况下，本车辆控制系统进行对自动驾驶的干预以回避预测到的危险。但是，在自动驾驶系统在正常的状态下拒绝了对自动驾驶的干预的情况下，本车辆控制系统停止对自动驾驶的干预。

Description

车辆控制系统、自动驾驶车辆以及车辆控制方法

技术领域

本发明涉及车辆控制系统、自动驾驶车辆以及车辆控制方法。

背景技术

在日本特开2016－203882中，公开了如下现有技术：通过行驶计划制作部基于目标路线和周边信息来制作车辆的行驶计划，并通过行驶控制部来使车辆基于行驶计划自动地行驶。行驶计划制作部生成目标轨迹来作为行驶计划，该目标轨迹是在目标路线中车辆前进的轨迹。此时，行驶计划制作部基于车辆的周边的障碍物的状况，以避免与障碍物的接触的方式生成车辆的目标轨迹。

在上述的现有技术中，考虑障碍物的存在来生成目标轨迹。但是，例如，对于由于先行车辆的急停车、人突然出现在车辆的前方等障碍物的非预期的急动作、突发性的障碍物的出现而产生的危险，难以通过目标轨迹的生成来应对。作为避免与障碍物的碰撞的技术，已知有通过干预车辆的行驶控制来回避危险的预防安全功能。PCS(Pre-Crash Safety：预碰撞安全)是预防安全功能的一个例子。PCS在感测到存在碰撞的可能性的障碍物的情况下，通过自动的制动控制来使车辆减速或者停止，由此避免与障碍物的碰撞。在PCS被应用于现有技术的情况下，通常进行基于目标轨迹的自动驾驶，在感测到存在碰撞的可能性的障碍物的情况下，进行通过PCS实现的对自动驾驶的干预。

但是，若PCS这样的预防安全功能干预自动驾驶，则车辆的动作成为与目标轨迹的实现所要求的动作不同的动作。因此，虽然需要可靠地回避危险，但希望抑制在谋求目标轨迹的实现的状况下预防安全功能不必要地对自动驾驶进行干预。

发明内容

本发明是鉴于上述的问题而完成的，其目的在于，提供一种能可靠地回避危险并且抑制谋求目标轨迹的实现的状况下的对自动驾驶的不必要的干预的车辆控制技术。

首先，对本发明的车辆控制系统进行说明。本发明的车辆控制系统是搭载于进行自动驾驶的车辆，基于与车辆的周边环境相关的信息来预测危险，并对自动驾驶进行干预以回避预测到的危险的系统。本发明的车辆控制系统具备：至少一个存储器，包含至少一个程序；以及至少一个处理器，与至少一个存储器耦合。至少一个处理器通过至少一个程序的执行来执行以下的动作。第一动作是与自动驾驶系统进行通信。自动驾驶系统是生成车辆的目标轨迹，并使车辆通过自动驾驶以追随目标轨迹的方式行驶的系统。第二动作是从自动驾驶系统接收拒绝对自动驾驶的干预的超控信号。第三动作是进行自动驾驶系统是正常还是异常的诊断。然后，第四动作是仅在接收到超控信号并且自动驾驶系统为正常的情况下停止对自动驾驶的干预。

根据具有上述特征的车辆控制系统，在自动驾驶系统为正常的情况下，车辆控制系统接到从自动驾驶系统发送的超控信号而停止对自动驾驶的干预。由此，谋求目标轨迹的实现的状况下的对自动驾驶的不必要的干预被抑制。另一方面，在自动驾驶系统为异常的情况下，车辆控制系统即使从自动驾驶系统接收到超控信号也不停止对自动驾驶的干预。由此，能实现危险的可靠的回避。

在本发明的车辆控制系统中，也可以是，至少一个处理器从自动驾驶系统接收自我诊断的结果，并基于自我诊断的结果来进行自动驾驶系统是正常还是异常的诊断。据此，如果从自动驾驶系统申报的自我诊断的结果为正常，则可以诊断为自动驾驶系统为正常，如果所申报的自我诊断的结果为异常，则可以诊断为自动驾驶系统为异常。

在本发明的车辆控制系统中，也可以是，至少一个处理器接收从自动驾驶系统周期性地发送的生存确认信号，并基于生存确认信号来进行自动驾驶系统是正常还是异常的诊断。据此，在从自动驾驶系统周期性地发送生存确认信号的期间，可以诊断为自动驾驶系统为正常，在生存确认信号中断了的情况下，可以诊断为自动驾驶系统为异常。

在本发明的车辆控制系统中，也可以是，至少一个处理器对自动驾驶系统不定期或定期地进行呼叫，并基于来自自动驾驶系统的对呼叫的响应来进行自动驾驶系统是正常还是异常的诊断。据此，在自动驾驶系统响应来自车辆控制系统的呼叫的期间，可以诊断为自动驾驶系统为正常，在不再响应呼叫的情况下，可以诊断为自动驾驶系统为异常。

在本发明的车辆控制系统中，也可以是，至少一个处理器进行对自动驾驶系统所进行的自动驾驶的评价，并基于该评价的结果来进行自动驾驶系统是正常还是异常的诊断。自动驾驶系统是正常还是异常表现在自动驾驶的结果中，因此，通过进行对自动驾驶的评价，能诊断自动驾驶系统是正常还是异常。

接着，对本发明的自动驾驶车辆进行说明。本发明的自动驾驶车辆具备：自动驾驶系统，生成目标轨迹，并以追随目标轨迹的方式进行自动驾驶；以及车辆控制系统，基于与周边环境相关的信息来预测危险，并对自动驾驶进行干预以回避预测到的危险。自动驾驶系统在不需要由车辆控制系统进行的对自动驾驶的干预的情况下，向车辆控制系统发送拒绝对自动驾驶的干预的超控信号。车辆控制系统从自动驾驶系统接收超控信号，并且进行自动驾驶系统是正常还是异常的诊断。然后，仅在接收到来自自动驾驶系统的超控信号并且自动驾驶系统为正常的情况下，车辆控制系统停止对自动驾驶的干预。

根据具有上述特征的自动驾驶车辆，在自动驾驶系统为正常的情况下，车辆控制系统接到从自动驾驶系统发送的超控信号而停止对自动驾驶的干预。由此，谋求目标轨迹的实现的状况下的由车辆控制系统进行的对自动驾驶的不必要的干预被抑制。另一方面，在自动驾驶系统为异常的情况下，车辆控制系统即使从自动驾驶系统接收到超控信号也不停止对自动驾驶的干预。由此，能实现由车辆控制系统进行的危险的可靠的回避。

在本发明的自动驾驶车辆中，也可以是，自动驾驶系统在估计出由车辆控制系统进行的对自动驾驶的干预，并且不需要估计出的对自动驾驶的干预的情况下，向车辆控制系统发送超控信号。据此，在自动驾驶系统为正常的情况下，在进行估计出的由车辆控制系统进行的对自动驾驶的干预之前，对车辆控制系统发送超控信号，从而能使对自动驾驶的干预停止。

在本发明的自动驾驶车辆中，也可以是，车辆控制系统在对自动驾驶进行干预的情况下，向自动驾驶系统预告对自动驾驶的干预，自动驾驶系统在不需要所预告的对自动驾驶的干预的情况下，向车辆控制系统发送超控信号。据此，在自动驾驶系统为正常的情况下，在进行从车辆控制系统预告的对自动驾驶的干预之前，对车辆控制系统发送超控信号，从而能使对自动驾驶的干预停止。

在本发明的自动驾驶车辆中，也可以是，自动驾驶系统进行自身是正常还是异常的自我诊断，并向车辆控制系统发送自我诊断的结果。然后，也可以是，车辆控制系统从自动驾驶系统接收自我诊断的结果，并基于自我诊断的结果来进行自动驾驶系统是正常还是异常的诊断。据此，如果从自动驾驶系统申报的自我诊断的结果为正常，则可以诊断为自动驾驶系统为正常，如果所申报的自我诊断的结果为异常，则可以诊断为自动驾驶系统为异常。

在本发明的自动驾驶车辆中，也可以是，自动驾驶系统向车辆控制系统周期性地发送生存确认信号。然后，也可以是，车辆控制系统从自动驾驶系统接收生存确认信号，并基于生存确认信号来进行自动驾驶系统是正常还是异常的诊断。据此，在从自动驾驶系统周期性地发送生存确认信号的期间，可以诊断为自动驾驶系统为正常，在生存确认信号中断了的情况下，可以诊断为自动驾驶系统为异常。

在本发明的自动驾驶车辆中，也可以是，自动驾驶系统对来自车辆控制系统的不定期或定期的呼叫进行响应。然后，也可以是，车辆控制系统基于来自自动驾驶系统的响应来进行自动驾驶系统是正常还是异常的诊断。据此，在自动驾驶系统响应来自车辆控制系统的呼叫的期间，可以诊断为自动驾驶系统为正常，在不再响应呼叫的情况下，可以诊断为自动驾驶系统为异常。

在本发明的自动驾驶车辆中，也可以是，车辆控制系统进行对自动驾驶系统所进行的自动驾驶的评价，并基于该评价的结果来进行自动驾驶系统是正常还是异常的诊断。自动驾驶系统是正常还是异常表现在自动驾驶的结果中，因此，通过进行对自动驾驶的评价，能诊断自动驾驶系统是正常还是异常。

接着，对本发明的车辆控制方法进行说明。本发明的车辆控制方法是对通过自动驾驶系统以追随目标轨迹的方式进行自动驾驶的车辆进行控制的方法。根据本发明的车辆控制方法，基于与车辆的周边环境相关的信息来预测车辆应该回避的危险。在预测到车辆应该回避的危险的情况下，根据本发明的车辆控制方法，判定自动驾驶系统是否拒绝了对自动驾驶的干预，并且进行自动驾驶系统是正常还是异常的诊断。在自动驾驶系统为异常或者自动驾驶系统未拒绝对自动驾驶的干预的情况下，根据本发明的车辆控制方法，进行对自动驾驶的干预以回避预测到的危险。但是，在自动驾驶系统在正常的状态下拒绝了对自动驾驶的干预的情况下，根据本发明的车辆控制方法，停止对自动驾驶的干预。

根据具有上述特征的车辆控制方法，在自动驾驶系统为正常的情况下，如果自动驾驶系统拒绝了干预，则停止对自动驾驶的干预。由此，谋求目标轨迹的实现的状况下的对自动驾驶的不必要的干预被抑制。另一方面，在自动驾驶系统为异常的情况下，即使自动驾驶系统拒绝了干预也进行对自动驾驶的干预。由此，能实现危险的可靠的回避。

在本发明的车辆控制方法中，自动驾驶系统是正常还是异常的诊断可以基于以下的至少一个来进行。

a：由自动驾驶系统进行的自我诊断的结果

b：从自动驾驶系统周期性地发送的生存确认信号

c：对自动驾驶系统不定期或定期地进行了呼叫的情况下的来自自动驾驶系统的对呼叫的响应

d：对自动驾驶系统所进行的自动驾驶的评价的结果

根据本发明，在自动驾驶系统为正常的情况下，如果自动驾驶系统拒绝了干预，则停止对自动驾驶的干预，在自动驾驶系统为异常的情况下，即使自动驾驶系统拒绝了干预也进行对自动驾驶的干预。由此，能可靠地回避应该回避的危险，并且抑制谋求目标轨迹的实现的状况下的对自动驾驶的不必要的干预。

附图说明

以下，参照附图，对本发明的示例性实施例的特征、优点以及技术和工业意义进行说明，其中，相同的附图标记表示相同的元件，其中：

图1是对通过自动驾驶功能实现的预防安全功能的超控进行说明的图。

图2是对通过自动驾驶功能实现的预防安全功能的超控的问题进行说明的图。

图3是表示本发明的实施方式的自动驾驶车辆的控制体系的构成的框图。

图4是表示本发明的实施方式的自动驾驶系统和车辆控制系统的功能的框图。

图5是表示由本发明的实施方式的车辆控制系统进行的对自动驾驶的干预的执行/停止的判断的流程的流程图。

图6是对自动驾驶系统的第一诊断方法进行说明的时序图。

图7是对自动驾驶系统的第二诊断方法进行说明的时序图。

图8是对自动驾驶系统的第三诊断方法进行说明的时序图。

图9是对自动驾驶系统的第四诊断方法进行说明的时序图。

图10A是对与自动驾驶系统的第四诊断方法相关的自动驾驶的评价方法进行说明的图。

图10B是对与自动驾驶系统的第四诊断方法相关的自动驾驶的评价方法进行说明的图。

具体实施方式

以下，参照附图对本发明的实施方式进行说明。不过，在以下所示的实施方式中提及了各要素的个数、数量、量、范围等数值的情况下，除了特别明示的情况、原理上明显地确定为该数值的情况之外，本发明并不限定于该提及的数值。此外，就在以下所示的实施方式中说明的构造、步骤等而言，除了特别明示的情况、原理上明显地确定为该构造、步骤等的情况之外，在本发明中不一定是必须的。

1.本实施方式的自动驾驶车辆的概要

1－1.自动驾驶功能和预防安全功能

本实施方式的自动驾驶车辆是具有以追随目标轨迹的方式自动地驾驶车辆的自动驾驶功能和回避波及车辆的危险的预防安全功能的车辆。

自动驾驶基于包括地图信息和与本车的周边环境相关的信息的行驶上的必要信息来进行。具体而言，基于地图信息来决定到目的地的最佳路线。然后，制作用于使车辆遵守交通规则并且安全地沿着最佳路线行驶的行驶计划。在行驶计划中包括维持当前的行驶车道、进行车道变更等动作。

在自动驾驶中，以行驶计划为基础来生成目标轨迹。目标轨迹是车辆最终应该采取的行驶轨迹，是在考虑了根据与本车的周边环境相关的信息得到的与车辆前方的所有障碍物的碰撞之后决定的。目标轨迹包括车辆所行驶的道路内的车辆的目标位置的集合和每个目标位置的目标速度。在自动驾驶中，为了使车辆追随目标轨迹而进行：算出车辆与目标轨迹之间的偏差(横向偏差、横摆角偏差、速度偏差等)，并以该偏差减小的方式控制车辆的转向、制动或驱动。

预防安全功能是为了回避逼近车辆的危险而进行的、对车辆的制动、驱动、转向或它们的组合的控制。本说明书中的逼近车辆的危险是指能由传感器检测并且能通过车辆的控制进行回避的这一类的危险。其代表性的是与包括障碍物在内的物体的碰撞。在自动驾驶的执行中预测到逼近车辆的危险的情况下，进行作为预防安全功能的对自动驾驶的干预。作为预防安全功能的具体例，可以列举出PCS(Pre-Crash Safety：预碰撞安全)。在PCS中，使用由制动致动器进行的自动制动来作为预防安全的方法。

1－2.通过自动驾驶功能实现的预防安全功能的超控及其问题

预防安全功能是在确保车辆的安全方面最重要的功能。因此，原则上，预防安全功能优先于其他功能。但是，在车辆的安全的确保这一点上，在自动驾驶中也进行考虑了与周围的物体的碰撞的目标轨迹的生成。用于预防安全的安全的基准和自动驾驶中的安全的基准未必一致。因此，在自动驾驶功能和预防安全功能完全独立地发挥功能的情况下，尽管以不发生与周围的物体的碰撞的方式生成了目标轨迹，恐怕预防安全功能也会进行工作从而无法实现追随目标轨迹的行驶。

例如，作为预防安全功能，以PCS为例进行说明。在图1的上层，示出了自动驾驶车辆(以下，也仅称为车辆)2要越过中心线CL而超越先行车辆3的例子。在该情况下，在自动驾驶功能中，先行车辆3被摄像机、LiDAR(Light Detection and Ranging：激光雷达)等识别为物标4，以不与物标4碰撞的方式生成目标轨迹TR。此外，在目标轨迹TR的生成中，为了不产生与正在邻接车道行驶的后续车辆5的干扰，也考虑后续车辆5相对于自动驾驶车辆2的相对位置和相对速度。另一方面，在作为预防安全功能的PCS中，通过摄像机、毫米波雷达等来识别先行车辆3，并计测先行车辆3相对于自动驾驶车辆2的横向位置和先行车辆3相对于自动驾驶车辆2的TTC(Time To Collision：碰撞时间)。然后，判定先行车辆3是否进入了由横向位置的左右的极限位置和TTC的极限时间决定的反应区域RA。

在自动驾驶车辆2要以追随目标轨迹TR的方式超越先行车辆3的情况下，如图1的下层所示，根据目标轨迹TR与先行车辆3的位置关系，先行车辆3可能会进入反应区域RA。在该情况下，预防安全功能干预自动驾驶，施加制动BK以避免自动驾驶车辆2与先行车辆3的碰撞。其结果是，自动驾驶车辆2的行驶轨迹会与目标轨迹偏离，不仅无法超越先行车辆3，而且在跨越了中心线CL的状态下急减速，由此恐怕会发生自动驾驶车辆2与后续车辆5的接触。

为了防止发生这样的状况并以追随目标轨迹TR的方式使自动驾驶车辆2行驶，准许了通过自动驾驶功能实现的预防安全功能的超控。超控是在预测到预防安全功能将要进行工作的状况下拒绝通过预防安全功能实现的对自动驾驶的干预的功能。在图2的上层所示的例子中，在生成了超越先行车辆3的目标轨迹TR时，从自动驾驶功能对预防安全功能进行超控的请求。若该请求在预防安全功能中被接受，则预防安全功能的干预被暂时地停止。由此，自动驾驶车辆2能以追随目标轨迹TR的方式超越先行车辆3而不会被预防安全功能的干预妨碍。

但是，无法保证自动驾驶功能始终正常地发挥功能。在自动驾驶功能未正常地发挥功能的情况下，恐怕会无法以追随目标轨迹TR的方式使自动驾驶车辆2行驶，或者生成的目标轨迹TR与先行车辆3发生干扰。在这样的情况下，从预防安全的观点来看，对自动驾驶功能允许超控是不优选的。若尽管自动驾驶功能不正常也允许超控，则例如如图2的下层所示那样，在目标轨迹TR与先行车辆3发生干扰时，预防安全功能不进行工作，因此与先行车辆3的碰撞的危险恐怕会提高。

如以上那样，若始终允许通过自动驾驶功能实现的预防安全功能的超控，则根据自动驾驶功能的状态，恐怕会无法回避应该回避的危险。本实施方式的自动驾驶车辆2具备用于可靠地回避应该回避的危险并且抑制谋求目标轨迹的实现的状况下的对自动驾驶的不必要的干预的构成。以下，对本实施方式的自动驾驶车辆2的构成进行说明。

2.本实施方式的自动驾驶车辆的构成

2－1.自动驾驶车辆的控制体系的构成

图3是表示本实施方式的自动驾驶车辆2的控制体系的构成的框图。自动驾驶车辆2具备：自动驾驶系统10；车辆控制系统20；车载传感器30，向自动驾驶系统10和车辆控制系统20输入传感器信息；以及车辆致动器40，通过从车辆控制系统20输出的信号进行动作。它们通过车内网络连接。

车载传感器30包括外部传感器31、内部传感器32以及GPS(Global PositioningSystem：全球定位系统)接收器33。外部传感器31是获取与自动驾驶车辆2的周边环境相关的信息的传感器。外部传感器31包括摄像机、毫米波雷达以及LiDAR。基于通过外部传感器31得到的信息来进行如下处理：存在于自动驾驶车辆2的周边的物体的感测、感测到的物体相对于自动驾驶车辆2的相对位置和相对速度的计测以及感测到的物体的形状的识别等。内部传感器32是获取与自动驾驶车辆2的运动相关的信息的传感器。内部传感器32例如包括车轮速度传感器、加速度传感器、横摆角速度传感器以及转向角传感器。GPS接收器33用于与自动驾驶车辆2的当前位置相关的信息的获取。除了这些之外，在自动驾驶车辆2中还具备接收来自道路交通信息通信系统的信息的接收器等。

车辆致动器40包括对自动驾驶车辆2进行转向的转向致动器41、对自动驾驶车辆2进行驱动的驱动致动器42以及对自动驾驶车辆2进行制动的制动致动器43。在转向致动器41中例如包括动力转向系统、线控转向式转向系统以及后轮转向系统。在驱动致动器42中例如包括发动机、EV(Electric Vehicle：电动汽车)系统、混合动力系统。在制动致动器43中例如包括液压制动器、电力再生制动器。

自动驾驶系统10和车辆控制系统20是指分别独立的ECU(Electronic ControlUnit：电子控制单元)。自动驾驶系统10和车辆控制系统20分别具备处理器10a、20a和存储器10b、20b。处理器10a、20a优选为多核处理器。在存储器10b、20b中存储有各种程序、数据。在此所说的存储器10b、20b包括主存储装置和辅助存储装置。在自动驾驶系统10与车辆控制系统20之间，例如经由CAN(Controller Area Network：控制器局域网络)通信来进行必要的信息的输入输出。

虽然详情将在后文进行叙述，但自动驾驶系统10是管理自动驾驶车辆2的自动驾驶的系统。在自动驾驶系统10所具备的存储器10b中存储有能由处理器10a执行的用于自动驾驶的程序和与该程序关联的各种信息。在信息中包括地图信息。自动驾驶程序由处理器10a执行，由此在自动驾驶系统10中自动驾驶功能发挥功能。自动驾驶系统10生成用于自动驾驶的目标轨迹，并将所生成的目标轨迹输入至车辆控制系统20。此外，自动驾驶系统10在拒绝作为预防安全功能的对自动驾驶的干预的情况下，将超控信号输入至车辆控制系统20。

虽然详情将在后文进行叙述，但车辆控制系统20是负责自动驾驶车辆2的运动的管理的系统。车辆控制系统20以使自动驾驶车辆2追随从自动驾驶系统10输入的目标轨迹的方式操作车辆致动器40。在车辆控制系统20所具备的存储器20b中存储有能由处理器20a执行的程序和与该程序关联的各种信息。在程序中包括预防安全程序。预防安全程序由处理器20a执行，由此车辆控制系统20作为预防安全系统发挥功能。作为预防安全系统的车辆控制系统20在预测到逼近自动驾驶车辆2的危险的情况下，干预自动驾驶使得以回避危险的方式使自动驾驶车辆2进行动作。不过，在从自动驾驶系统10输入了超控信号的情况下，车辆控制系统20仅在满足了规定的干预停止条件的情况下停止预防安全功能的干预。

2－2.自动驾驶系统和车辆控制系统的功能

图4是表示本实施方式的自动驾驶系统10和车辆控制系统20的功能的框图。以下，参照图4对自动驾驶系统10和车辆控制系统20的各功能的详情进行说明。

自动驾驶系统10具备地图数据库(地图DB)11、行驶计划制作部12、目标轨迹生成部13以及超控请求判断部14。它们在存储于存储器10b的程序由处理器10a执行时，被实现为自动驾驶系统10的功能。前述的地图信息由地图DB11管理。地图DB11被预先储存于SSD(Solid State Disk：固态硬盘)、HDD(Hard Disk Drive：硬盘驱动器)等辅助存储装置。不过，也可以经由因特网从外部服务器下载地图信息，也可以参照外部服务器上的地图信息。

行驶计划制作部12从地图DB11获取到目的地的最佳路线，并以使自动驾驶车辆2遵守交通规则并且安全地沿着最佳路线行驶的方式制作行驶计划。在行驶计划中包括车辆的行驶路线和维持当前的行驶车道、进行车道变更等自动驾驶车辆2的动作。

目标轨迹生成部13以行驶计划为基础来生成目标轨迹。目标轨迹是自动驾驶车辆2最终应该采取的行驶轨迹，目标轨迹生成部13在考虑了与自动驾驶车辆2的前方的所有障碍物的碰撞之后决定目标轨迹。目标轨迹生成部13例如使用LiDAR、摄像机、LiDAR与摄像机的融合或者它们与毫米波雷达的融合来获取自动驾驶车辆2的周围的信息，并基于该信息来生成目标轨迹。目标轨迹生成部13优选以具有多个由固定于自动驾驶车辆2的坐标系中的目标位置p和各目标点处的速度v(或者加速度)这两个要素构成的组即配位坐标(p，v)的方式生成目标轨迹。在此，各个目标位置p至少具有固定于车辆的坐标系中的x坐标、y坐标的位置或与该位置等价的信息。目标轨迹生成部13将所生成的目标轨迹输入至车辆控制系统20。

超控请求判断部14判断是否对车辆控制系统20请求预防安全功能的超控。在超控请求判断部14中预先登记有通过自动驾驶实现的自动驾驶车辆2的动作会使预防安全功能进行工作的状况。例如，超越如前述那样行驶的先行车辆的场景是预防安全功能会进行工作的状况之一。除此之外，作为预防安全功能会进行工作的状况，还可列举出从停车车辆、坠落物的旁边擦过的场景、进行车道变更的场景。超控请求判断部14根据由目标轨迹生成部13生成的目标轨迹来判断预防安全功能是否会进行工作，在预防安全功能会进行工作的情况下，将超控信号输入至车辆控制系统20。

车辆控制系统20具备运动管理器21、预防安全系统22以及自动驾驶系统诊断部23。它们在存储于存储器20b的程序由处理器20a执行时，被实现为车辆控制系统20的功能。不过，在车辆控制系统20由多个ECU构成的情况下，也可以向各个ECU分配运动管理器21的功能和预防安全系统22(以及自动驾驶系统诊断部23)的功能。

运动管理器21进行用于使自动驾驶车辆2追随目标轨迹的追随控制。在追随控制中，基于由速度传感器算出的实际加速度与目标轨迹中的目标加速度的偏差，来算出用于使两者一致的制驱动力。算出的制驱动力被分配为对制动致动器43请求的请求制动力和对驱动致动器42请求的请求驱动力。此外，在追随控制中，算出用于使车辆的实际的行驶轨迹与目标轨迹一致的转向角来作为对转向致动器41请求的请求转向角。运动管理器21将用于使自动驾驶车辆2追随目标轨迹的请求制动力、请求驱动力以及请求转向角分别转换为操作信号，并输入至对应的车辆致动器40。不过，在接下来说明的从预防安全系统22收到回避行动的指示的情况下，运动管理器21使来自预防安全系统22的指示优先。

预防安全系统22基于来自外部传感器31的传感器信息来感测自动驾驶车辆2的前方的障碍物。预防安全系统22所使用的传感器信息既可以与目标轨迹生成部13所使用的传感器信息共用也可以不同。例如，可以使用摄像机和毫米波雷达来进行障碍物的感测。在自动驾驶车辆2的前方感测到障碍物的情况下，预防安全系统22对自动驾驶车辆2与障碍物的碰撞的危险性进行判断。具体而言，预防安全系统22根据从自动驾驶车辆2起至感测到的障碍物为止的相对距离和相对速度来计算TTC。然后，在TTC为阈值以下，并且障碍物相对于自动驾驶车辆2的横向位置与自动驾驶车辆2重叠的情况下，预防安全系统22判断为自动驾驶车辆2与感测到的障碍物碰撞的危险性高。预防安全系统22在判断为碰撞的危险性高的状况下，除了满足了规定的干预停止条件的情况之外，以采取回避危险的回避行动的方式对运动管理器21进行指示。即，预防安全系统22干预自动驾驶。对运动管理器21指示的回避行动的内容典型的是由制动致动器43进行的紧急制动、由驱动致动器42进行的驱动力的限制、由转向致动器41进行的回避转向或者它们的组合。

自动驾驶系统诊断部23进行自动驾驶系统10是正常还是异常的诊断。上述的干预停止条件是指从自动驾驶系统10向预防安全系统22输入了超控信号，并且自动驾驶系统10为正常。从自动驾驶系统诊断部23向预防安全系统22输入自动驾驶系统10的诊断结果。由自动驾驶系统10进行的诊断的方法将在后文进行叙述。

2－3.对自动驾驶的干预的执行/停止的判断的流程

如以上那样，在本实施方式中，在预测到危险的情况下，通过车辆控制系统20来进行对自动驾驶的干预，但在满足了规定的干预停止条件的情况下，停止对自动驾驶的干预。图5用流程图表示由车辆控制系统20进行的对自动驾驶的干预的执行/停止的判断的流程。需要说明的是，图5也表示本实施方式的车辆控制方法。

首先，车辆控制系统20基于通过外部传感器31得到的与自动驾驶车辆2的周边环境相关的传感器信息来预测危险(步骤S1)。然后，车辆控制系统20基于步骤S1的预测结果来判定有无自动驾驶车辆2应该回避的危险(步骤S2)。如果不存在应该回避的危险，则原本就不进行对自动驾驶的干预，因此跳过剩余的处理。

在存在应该回避的危险的情况下，车辆控制系统20判定有无来自自动驾驶系统10的超控信号的接收(步骤S3)。如果未接收到超控信号，则自动驾驶系统10未拒绝被预防安全功能干预。因此，在该情况下，车辆控制系统20执行通过预防安全功能实现的对自动驾驶的干预(步骤S6)。

在接收到超控信号的情况下，车辆控制系统20通过后述的诊断方法来判定自动驾驶系统10是否为正常(步骤S4)。在自动驾驶系统10不正常的情况下，例如，在所生成的目标轨迹与障碍物发生干扰这样的情况下，即使自动驾驶系统10请求了超控，也不能允许该超控。因此，在自动驾驶系统10不正常的情况下，车辆控制系统20废弃来自自动驾驶系统10的超控的请求，执行通过预防安全功能实现的对自动驾驶的干预(步骤S6)。

需要说明的是，不能使发生了异常的自动驾驶系统10保持原样地继续驾驶。因此，在步骤S4的判定中判断为自动驾驶系统10不正常的情况下，车辆控制系统20在对自动驾驶的干预之后，使自动驾驶车辆2紧急停止，或者使自动驾驶车辆2移动至能确保安全的场所并使自动驾驶车辆2停止在那里。

在自动驾驶系统10请求了超控，并且自动驾驶系统10为正常的情况下，车辆控制系统20停止通过预防安全功能实现的对自动驾驶的干预(步骤S5)。如此，在自动驾驶系统10为正常的情况下，如果自动驾驶系统10拒绝了干预，则车辆控制系统20停止对自动驾驶的干预。但是，在自动驾驶系统10为异常的情况下，即使自动驾驶系统10拒绝了干预，也执行对自动驾驶的干预。由此，能可靠地回避应该回避的危险，并且抑制谋求目标轨迹的实现的状况下的对自动驾驶的不必要的干预。

2－4.自动驾驶系统的诊断方法

2－4－1.第一诊断方法

在自动驾驶系统10的诊断方法中有第一诊断方法至第四诊断方法这四个诊断方法。首先，使用图6对自动驾驶系统10的第一诊断方法进行说明。图6是对自动驾驶系统10的第一诊断方法进行说明的时序图。

如图6所示，在第一诊断方法中，自动驾驶系统10进行自我诊断。在自我诊断中，对与自动驾驶有关的规定的项目进行检查。在向车辆控制系统20发送超控信号的情况下，自动驾驶系统10将自我诊断的结果与超控信号一起发送。车辆控制系统20从自动驾驶系统10接收自我诊断的结果，并基于自我诊断的结果来进行自动驾驶系统10是正常还是异常的诊断。据此，如果从自动驾驶系统10申报的自我诊断的结果为正常，则可以诊断为自动驾驶系统10为正常，如果所申报的自我诊断的结果为异常，则可以诊断为自动驾驶系统10为异常。

需要说明的是，在时序图中，自动驾驶系统10同时送出超控信号和自我诊断结果，但也可以先送出自我诊断结果。在先送出的自我诊断结果为正常的情况下，车辆控制系统20在接收超控信号之后重新确认自我诊断结果。然后，如果重新确认到的自我诊断结果仍保持正常，则车辆控制系统20停止对自动驾驶的干预，但如果自我诊断结果变为异常，则执行对自动驾驶的干预。

2－4－2.第二诊断方法

接着，使用图7对自动驾驶系统10的第二诊断方法进行说明。图7是对自动驾驶系统10的第二诊断方法进行说明的时序图。

如图7所示，在第二诊断方法中，自动驾驶系统10对车辆控制系统20周期性地发送生存确认信号。在车辆控制系统20与自动驾驶系统10之间，也可以设置用于生存确认信号的收发的专用的信道。车辆控制系统20接收从自动驾驶系统10周期性地发送的生存确认信号，并基于生存确认信号来进行自动驾驶系统10是正常还是异常的诊断。具体而言，在从自动驾驶系统10周期性地发送生存确认信号的期间，可以诊断为自动驾驶系统10为正常，在生存确认信号中断了的情况下，可以诊断为自动驾驶系统10为异常。在图7所示的例子中，在接收超控信号之前生存确认信号中断了。由此，在该例子中，车辆控制系统20诊断为自动驾驶系统10为异常，并执行对自动驾驶的干预。

需要说明的是，在图7所示的例子中，根据接收超控信号之前的生存确认信号的中断来判断了自动驾驶系统10的正常/异常，但也可以基于接收到超控信号之后的生存确认信号来进行诊断。在该情况下，车辆控制系统20一接收到超控信号就开始对自动驾驶的干预或者准备开始干预。如果在接收超控信号之后不能确认到生存确认信号，则车辆控制系统20继续进行对自动驾驶的干预，如果能确认到生存确认信号，则车辆控制系统20停止对自动驾驶的干预。

2－4－3.第三诊断方法

接着，使用图8对自动驾驶系统10的第三诊断方法进行说明。图8是对自动驾驶系统10的第三诊断方法进行说明的时序图。

如图8所示，在第三诊断方法中，从车辆控制系统20对自动驾驶系统10反复进行呼叫，自动驾驶系统10对每次的呼叫进行响应。来自车辆控制系统20的呼叫既可以是定期的也可以是不定期的。此外，在车辆控制系统20与自动驾驶系统10之间，也可以设置用于呼叫和响应的信号的交换的专用的信道。车辆控制系统20基于来自自动驾驶系统10的对呼叫的响应来进行自动驾驶系统10是正常还是异常的诊断。具体而言，在自动驾驶系统10响应来自车辆控制系统20的呼叫的期间，可以诊断为自动驾驶系统10为正常，在不再响应呼叫的情况下，可以诊断为自动驾驶系统10为异常。在图8所示的例子中，在接收超控信号之前，没有了来自车辆控制系统20的对呼叫的响应。由此，在该例子中，车辆控制系统20诊断为自动驾驶系统10为异常，并执行对自动驾驶的干预。

需要说明的是，与图8所示的例子不同，也可以在接收到超控信号之后对自动驾驶系统10进行呼叫，并根据有无对该呼叫的响应来诊断自动驾驶系统的正常/异常。在该情况下，车辆控制系统20一接收到超控信号就开始对自动驾驶的干预或者准备开始干预。之后，如果自动驾驶系统10未响应接收超控信号之后的呼叫，则车辆控制系统20继续进行对自动驾驶的干预，在自动驾驶系统10响应了呼叫的情况下，车辆控制系统20停止对自动驾驶的干预。

2－4－4.第四诊断方法

接着，使用图9、图10A以及图10B对自动驾驶系统10的第四诊断方法进行说明。图9是对自动驾驶系统10的第四诊断方法进行说明的时序图。图10A和图10B是对与自动驾驶系统10的第四诊断方法相关的自动驾驶的评价方法进行说明的图。

如图9所示，在第四诊断方法中，车辆控制系统20进行对自动驾驶系统10所进行的自动驾驶的评价。然后，基于该评价的结果来进行自动驾驶系统10是正常还是异常的诊断。自动驾驶系统10是正常还是异常表现在自动驾驶的结果中，因此，通过进行对自动驾驶的评价，能诊断自动驾驶系统10是正常还是异常。

例如，如图10A和图10B所示，对自动驾驶的评价可以基于由自动驾驶系统10实现的自动驾驶车辆2的纵向控制量和横向控制量来进行。在纵向控制量中例如包括速度和加速度，在横向控制量中例如包括转向量和横向位置。在图10A中，示出了车辆控制系统20所假定的纵向控制量的安全行驶区域和高风险区域。在图10B中，示出了车辆控制系统20所假定的横向控制量的安全行驶区域和高风险区域。如这些图所示，在通过自动驾驶系统10实现的自动驾驶车辆2的行为超出安全行驶区域的情况下，可以估计为自动驾驶系统10处于无法充分地考虑事故风险的状态。

需要说明的是，在图9所示的例子中，在接收超控信号之前进行了对自动驾驶的评价，但也可以在接收到超控信号之后进行对自动驾驶的评价。在该情况下，车辆控制系统20一接收到超控信号就开始对自动驾驶的干预或者准备开始干预。之后进行对自动驾驶的评价，如果根据其评价结果不能确认到自动驾驶系统10的正常，则车辆控制系统20继续进行对自动驾驶的干预，如果能确认到自动驾驶系统10的正常，则停止对自动驾驶的干预。

3.其他实施方式

在上述实施方式中，自动驾驶系统10在估计出由车辆控制系统20进行的对自动驾驶的干预，并且不需要估计出的对自动驾驶的干预的情况下，向车辆控制系统20发送超控信号。在该情况下，需要预先假定车辆控制系统20来干预自动驾驶的情况。因此，在本发明的自动驾驶车辆中，也可以是，车辆控制系统20在对自动驾驶进行干预的情况下，向自动驾驶系统10预告对自动驾驶的干预。然后，也可以是，自动驾驶系统10在不需要所预告的对自动驾驶的干预的情况下，向车辆控制系统20发送超控信号。据此，在自动驾驶系统10为正常的情况下，在进行从车辆控制系统20预告的对自动驾驶的干预之前向车辆控制系统20发送超控信号，由此能使对自动驾驶的干预停止。

Claims (14)

1.一种车辆控制系统，搭载于进行自动驾驶的车辆，基于与所述车辆的周边环境相关的信息来预测危险，并对所述自动驾驶进行干预以回避预测到的所述危险，

所述车辆控制系统的特征在于，具备：

至少一个存储器，包含至少一个程序；以及

至少一个处理器，与所述至少一个存储器耦合，

所述至少一个处理器通过所述至少一个程序的执行来执行：

与自动驾驶系统进行通信，该自动驾驶系统生成所述车辆的目标轨迹，并使所述车辆通过所述自动驾驶以追随所述目标轨迹的方式行驶；

从所述自动驾驶系统接收拒绝对所述自动驾驶的干预的超控信号；

进行所述自动驾驶系统是正常还是异常的诊断；以及

仅在接收到所述超控信号并且所述自动驾驶系统为正常的情况下停止对所述自动驾驶的干预。

2.根据权利要求1所述的车辆控制系统，其特征在于，

所述至少一个处理器从所述自动驾驶系统接收自我诊断的结果，并基于所述自我诊断的结果来进行所述诊断。

3.根据权利要求1所述的车辆控制系统，其特征在于，

所述至少一个处理器接收从所述自动驾驶系统周期性地发送的生存确认信号，并基于所述生存确认信号来进行所述诊断。

4.根据权利要求1所述的车辆控制系统，其特征在于，

所述至少一个处理器对所述自动驾驶系统不定期或定期地进行呼叫，并基于对所述呼叫的响应来进行所述诊断。

5.根据权利要求1所述的车辆控制系统，其特征在于，

所述至少一个处理器进行对所述自动驾驶系统所进行的所述自动驾驶的评价，并基于所述评价的结果来进行所述诊断。

6.一种自动驾驶车辆，其特征在于，具备：

自动驾驶系统，生成目标轨迹，并以追随所述目标轨迹的方式进行自动驾驶；以及

车辆控制系统，基于与周边环境相关的信息来预测危险，并对所述自动驾驶进行干预以回避预测到的所述危险，

所述自动驾驶系统执行：在不需要由所述车辆控制系统进行的对所述自动驾驶的干预的情况下，向所述车辆控制系统发送拒绝对所述自动驾驶的干预的超控信号，

所述车辆控制系统执行：

从所述自动驾驶系统接收所述超控信号；

进行所述自动驾驶系统是正常还是异常的诊断；以及

仅在接收到所述超控信号并且所述自动驾驶系统为正常的情况下停止对所述自动驾驶的干预。

7.根据权利要求6所述的自动驾驶车辆，其特征在于，

所述自动驾驶系统在估计出由所述车辆控制系统进行的对所述自动驾驶的干预，并且不需要估计出的对所述自动驾驶的干预的情况下，向所述车辆控制系统发送所述超控信号。

8.根据权利要求6所述的自动驾驶车辆，其特征在于，

所述车辆控制系统在对所述自动驾驶进行干预的情况下，向所述自动驾驶系统预告对所述自动驾驶的干预，

所述自动驾驶系统在不需要所预告的对所述自动驾驶的干预的情况下，向所述车辆控制系统发送所述超控信号。

9.根据权利要求6至8中任一项所述的自动驾驶车辆，其特征在于，

所述自动驾驶系统进行自身是正常还是异常的自我诊断，并向所述车辆控制系统发送所述自我诊断的结果，

所述车辆控制系统从所述自动驾驶系统接收所述自我诊断的结果，并基于所述自我诊断的结果来进行所述诊断。

10.根据权利要求6至8中任一项所述的自动驾驶车辆，其特征在于，

所述自动驾驶系统向所述车辆控制系统周期性地发送生存确认信号，

所述车辆控制系统从所述自动驾驶系统接收所述生存确认信号，并基于所述生存确认信号来进行所述诊断。

11.根据权利要求6至8中任一项所述的自动驾驶车辆，其特征在于，

所述自动驾驶系统对来自所述车辆控制系统的不定期或定期的呼叫进行响应，

所述车辆控制系统基于来自所述自动驾驶系统的所述响应来进行所述诊断。

12.根据权利要求6至8中任一项所述的自动驾驶车辆，其特征在于，

所述车辆控制系统进行对所述自动驾驶系统所进行的所述自动驾驶的评价，并基于所述评价的结果来进行所述诊断。

13.一种车辆控制方法，对通过自动驾驶系统以追随目标轨迹的方式进行自动驾驶的车辆进行控制，所述车辆控制方法的特征在于，

基于与所述车辆的周边环境相关的信息来预测所述车辆应该回避的危险，

在预测到所述危险的情况下，

判定所述自动驾驶系统是否拒绝了对所述自动驾驶的干预，

进行所述自动驾驶系统是正常还是异常的诊断，

在所述自动驾驶系统为异常或者所述自动驾驶系统未拒绝对所述自动驾驶的干预的情况下，进行对所述自动驾驶的干预以回避预测到的所述危险，

在所述自动驾驶系统在正常的状态下拒绝了对所述自动驾驶的干预的情况下，停止对所述自动驾驶的干预。

14.根据权利要求13所述的车辆控制方法，其特征在于，

基于由所述自动驾驶系统进行的自我诊断的结果、从所述自动驾驶系统周期性地发送的生存确认信号、对所述自动驾驶系统不定期或定期地进行了呼叫的情况下的来自所述自动驾驶系统的对所述呼叫的响应以及对所述自动驾驶系统所进行的所述自动驾驶的评价的结果中的至少一个，来进行所述自动驾驶系统是正常还是异常的诊断。

Images