CN116783106A - 处理方法、处理系统、处理程序、处理装置 - Google Patents

Abstract

为了执行与主移动体的驾驶控制相关的处理，通过处理器执行的处理方法包含：监视通过探测主移动体的内外环境生成的探测信息的障碍；以及在判定为产生了障碍的情况下，通过基于安全模型，设定与探测信息对应的驾驶控制中的制约，上述安全模型遵循驾驶策略，且对预期的功能的安全性进行了建模。

Description

处理方法、处理系统、处理程序、处理装置

相关申请的交叉引用

该申请主张于2021年1月22日在日本申请的专利申请第2021－9033号的优先权，并在此引用其全部内容。

技术领域

本公开涉及用于执行与主移动体的驾驶控制相关的处理的处理技术。

背景技术

专利文献1所公开的技术根据与主车的内外环境相关的探测信息计划与主车的导航动作相关的驾驶控制。因此，在基于根据驾驶策略的安全模型和探测信息判断为有潜在的事故责任的情况下，对驾驶控制施加制约。

专利文献1：日本专利第6708793号公报

但是，在专利文献1所公开的技术中设想难以确保驾驶控制的精度的情况。

发明内容

本公开的课题在于提供确保驾驶控制的精度的处理方法。本公开的其它的课题在于提供确保驾驶控制的精度的处理系统。本公开的其它的课题在于提供确保驾驶控制的精度的处理程序。本公开的其它的课题在于提供确保驾驶控制的精度的处理装置。

以下，对用于解决课题的本公开的技术手段进行说明。

本公开的第一方式是为了执行与主移动体的驾驶控制相关的处理，而通过处理器执行的处理方法，包含：

监视通过探测主移动体的内外环境生成的探测信息的障碍；以及

在判定为产生了障碍的情况下，通过基于安全模型，设定与探测信息对应的驾驶控制中的制约，其中，上述安全模型遵循驾驶策略，且对预期的功能的安全性进行了建模。

本公开的第二方式是包含处理器，并执行与主移动体的驾驶控制相关的处理的处理系统，

处理器构成为执行：

监视通过探测主移动体的内外环境生成的探测信息的障碍；以及

在判定为产生了障碍的情况下，通过基于安全模型，设定与探测信息对应的驾驶控制中的制约，其中，上述安全模型遵循驾驶策略，且对预期的功能的安全性进行了建模。

本公开的第三方式是存储于存储介质，且包含为了执行与主移动体的驾驶控制相关的处理而使处理器执行的命令的处理程序，

命令包含：

使处理器监视通过探测主移动体的内外环境生成的探测信息的障碍；以及

使处理器在判定为产生了障碍的情况下，通过基于安全模型，设定与探测信息对应的驾驶控制中的制约，其中，上述安全模型遵循驾驶策略，且对预期的功能的安全性进行了建模。

本公开的第四方式是包含处理器(12)，构成为能够搭载于主移动体(2)，且执行与主移动体的驾驶控制相关的处理的处理装置，

处理器构成为执行：

监视通过探测主移动体的内外环境生成的探测信息的障碍；以及

在判定为产生了障碍的情况下，通过基于安全模型，设定与探测信息对应的驾驶控制中的制约，其中，上述安全模型遵循驾驶策略，且对预期的功能的安全性进行了建模。

根据这些第一～第四方式，在判定为产生了监视的探测信息的障碍的情况下，通过基于遵循驾驶策略的模型，且为对预期的功能的安全性进行了建模的安全模型，设定与探测信息对应的驾驶控制中的制约。据此，能够对产生了探测信息的障碍的场景设定适当的制约，能够确保驾驶控制的精度。

附图说明

图1是表示本公开中的术语的说明的说明表。

图2是表示本公开中的术语的说明的说明表。

图3是表示本公开中的术语的说明的说明表。

图4是表示本公开中的术语的定义的说明表。

图5是表示本公开中的术语的定义的说明表。

图6是表示第一实施方式的处理系统的框图。

图7是表示第一实施方式应用的主车的行驶环境的示意图。

图8是表示第一实施方式的处理系统的框图。

图9是说明第一实施方式的车道结构中的感测的示意图。

图10是说明第一实施方式的车道结构中的感测的示意图。

图11是说明第一实施方式的车道结构中的感测的示意图。

图12是表示第一实施方式的处理方法的流程图。

图13是表示第一实施方式的安全包络的概念的示意图。

图14是表示第一实施方式的制约设定子流程的流程图。

图15是说明第一实施方式的安全模型的图表。

图16是说明第一实施方式的安全模型的图表。

图17是说明第一实施方式的车道结构中的感测的示意图。

图18是说明第一实施方式的车道结构中的感测的示意图。

图19是说明第一实施方式的车道结构中的感测的示意图。

图20是说明第二实施方式的车道结构中的感测的示意图。

图21是说明第二实施方式的车道结构中的感测的示意图。

图22是表示第二实施方式的处理方法的流程图。

图23是表示第二实施方式的制约设定子流程的流程图。

图24是表示第三实施方式的处理方法的流程图。

图25是说明第四实施方式的虚拟环境中的安全模型的示意图。

图26是说明第四实施方式的虚拟环境中的安全模型的示意图。

图27是说明第四实施方式的安全模型的示意图。

图28是说明第四实施方式的安全模型的示意图。

图29是说明第四实施方式的安全模型的示意图。

图30是表示第四实施方式的处理方法的流程图。

图31是表示第四实施方式的制约设定子流程的流程图。

图32是说明第四实施方式的安全模型的示意图。

图33是说明第四实施方式的安全模型的图表。

图34是说明第四实施方式的安全模型的图表。

图35是说明第四实施方式的安全模型的图表。

图36是说明第四实施方式的安全模型的图表。

图37是表示第五实施方式的处理方法的流程图。

图38是表示第六实施方式的处理方法的流程图。

图39是表示第六实施方式的制约设定子流程的流程图。

图40是表示第七实施方式的处理系统的框图。

图41是表示第七实施方式的处理方法的流程图。

图42是表示第八实施方式的处理系统的框图。

图43是表示第八实施方式的处理系统的框图。

图44是表示第八实施方式的处理方法的流程图。

图45是表示第九实施方式的处理系统的框图。

图46是表示图20的变形例的示意图。

具体实施方式

以下，基于附图对本公开的多个实施方式进行说明。另外，有通过对各实施方式中对应的构成要素附加相同的附图标记，省略重复的说明的情况。另外，在各实施方式中仅对构成的一部分进行说明的情况下，该构成的其它的部分能够应用先行说明的其它的实施方式的构成。并且，不仅是各实施方式的说明中明示的构成的组合，只要组合未特别产生妨碍，则即使未明示也能够部分地组合多个实施方式的构成彼此。

图1～5示出与本公开的各实施方式相关的术语的说明。但是，术语的定义并不限定于图1～5所示的说明进行解释，能够在不脱离本公开的主旨的范围内进行解释。

(第一实施方式)

图6所示的第一实施方式的处理系统1执行与主移动体的驾驶控制相关的处理(以下，表述为驾驶控制处理)。处理系统1作为驾驶控制处理的对象的主移动体是图7所示的主车2。在主车2的视点下，主车2可以说是本车辆(ego-vehicle)。例如在搭载处理系统1的全部的情况下等主车2可以说是对于该处理系统1来说的本车辆(ego-vehicle)。

在主车2中执行自动驾驶。自动驾驶根据动态驾驶任务(Dynamic Driving Task：以下，表述为DDT)中的乘客的手动介入度，进行分级。可以通过带条件的驾驶自动化、高度驾驶自动化、或者完全驾驶自动化等工作时的系统执行全部的DDT的自主行驶控制实现自动驾驶。也可以在驾驶辅助、或者部分驾驶自动化等由作为乘客的驾驶员执行一部分或者全部的DDT的高度驾驶辅助控制中实现自动驾驶。也可以通过这些自主行驶控制和高度驾驶辅助控制的任意一方、组合或者切换来实现自动驾驶。

在主车2搭载有图6、8所示的传感器系统5、通信系统6、地图DB(Data Base：数据库)7、以及信息提示系统4。传感器系统5通过主车2中的外界以及内界的检测来获取能够通过处理系统1利用的传感器数据。为此传感器系统5构成为包含外界传感器50以及内界传感器52。

外界传感器50可以检测在主车2的外界存在的物标。物标检测类型的外界传感器50例如是照相机、LiDAR(Light Detection and Ranging/Laser Imaging Detection andRanging：光探测与测距/激光成像探测与测距)、激光雷达、毫米波雷达、以及超声波声呐等中至少一种。外界传感器50也可以检测主车2的外界的大气的状态。大气检测类型的外界传感器50例如是外部空气温度传感器、以及湿度传感器等中至少一种。

内界传感器52可以检测主车2的内界中与车辆运动相关的特定的物理量(以下，表述为运动物理量)。物理量检测类型的内界传感器52例如是速度传感器、加速度传感器、以及陀螺仪传感器等中至少一种。内界传感器52也可以检测主车2的内界中的乘客的状态。乘客检测类型的内界传感器52例如是促动器传感器、驾驶员状态监视器、生物体传感器、落座传感器、以及车内设备传感器等中至少一种。这里特别是作为促动器传感器，能够采用检测与主车2的运动促动器相关的乘客的操作状态的例如加速器传感器、制动器传感器、以及转向操纵传感器等中至少一种。

通信系统6通过无线通信获取能够通过处理系统1利用的通信数据。通信系统6可以从存在于主车2的外界的GNSS(Global Navigation Satellite System：全球导航卫星系统)的人工卫星接收测位信号。测位类型的通信系统6例如是GNSS接收机等。通信系统6也可以在与存在于主车2的外界的V2X系统之间，发送接收通信信号。V2X类型的通信系统6例如是DSRC(Dedicated Short Range Communications：专用短程通信)通信机、以及蜂窝V2X(C-V2X)通信机等中至少一种。通信系统6也可以在与存在于主车2的内界的终端之间，发送接收通信信号。终端通信类型的通信系统6例如是蓝牙(Bluetooth：注册商标)设备、Wi－Fi(注册商标)设备、以及红外线通信设备等中至少一种。

地图DB7存储能够通过处理系统1利用的地图数据。地图DB7例如构成为包含半导体存储器、磁介质、以及光学介质等中至少一种非迁移实体存储介质(non-transitorytangible storage medium)。地图DB7也可以是估计包含自身位置的主车2的自身状态量的定位器的DB。地图DB也可以是对主车2的行驶路径进行导航的导航单元的DB。也可以通过多个种类的DB的组合构建地图DB7。

地图DB7例如通过经由V2X类型的通信系统6的与外部中心的通信等，获取并存储最新的地图数据。地图数据作为表示主车2的行驶环境的数据，二维或者三维地数据化。作为三维的地图数据，可以采用高精度地图的数字数据。地图数据例如可以包含表示道路结构的位置坐标、形状、以及路面状态等中至少一种的道路数据。地图数据例如也可以包含表示附属于道路的道路标志、道路显示、以及车道划分线的位置坐标及形状等中至少一种的标示数据。地图数据所包含的标示数据也可以表示地标中例如交通标志、箭头标记、车道标记、停止线、方向标志、地标信标、长方形标志、商业标志或者道路的线型变化等。地图数据例如也可以包含表示面向道路的建筑物以及信号灯的位置坐标以及形状等中至少一种的结构物数据。地图数据所包含的标示数据也可以表示地标中例如街灯、道路的边缘、反射板、杆或者道路标志的背侧等。

信息提示系统4提示朝向主车2的包含驾驶员的乘客的报告信息。信息提示系统4构成为包含视觉提示单元、听觉提示单元、以及皮肤感觉提示单元。视觉提示单元通过刺激乘客的视觉，提示报告信息。视觉提示单元例如是HUD(Head-up Display：平视显示器)、MFD(Multi Function Display：多功能显示器)、组合仪表、导航单元、以及发光单元等中至少一种。听觉提示单元通过刺激乘客的听觉，提示报告信息。听觉提示单元例如是扬声器、蜂鸣器、以及振动单元等中至少一种。皮肤感觉提示单元通过刺激乘客的皮肤感觉，提示报告信息。在通过皮肤感觉提示单元刺激的皮肤感觉中例如包含有触觉、温觉、以及风觉等中至少一种。皮肤感觉提示单元例如是方向盘的振动单元、驾驶座的振动单元、方向盘的反作用力单元、加速器踏板的反作用力单元、制动踏板的反作用力单元、以及空调单元等中至少一种。

如图6所示，处理系统1例如经由LAN(Local Area Network：局域网)、线束、内部总线、以及无线通信线路等中至少一种与传感器系统5、通信系统6、地图DB7、以及信息提示系统4连接。处理系统1构成为包含至少一个专用计算机。构成处理系统1的专用计算机可以是综合主车2的驾驶控制的综合ECU(Electronic Control Unit：电子控制单元)。构成处理系统1的专用计算机也可以是判断主车2的驾驶控制中的DDT的判断ECU。构成处理系统1的专用计算机也可以是监视主车2的驾驶控制的监视ECU。构成处理系统1的专用计算机也可以是评价主车2的驾驶控制的评价ECU。

构成处理系统1的专用计算机也可以是对主车2的行驶路径进行导航的导航ECU。构成处理系统1的专用计算机也可以是估计主车2的包含自身位置的自身状态量的定位器ECU。构成处理系统1的专用计算机也可以是控制主车2的运动促动器的促动器ECU。构成处理系统1的专用计算机也可以是控制主车2中的信息提示的HCU(HMI(Human MachineInterface：人机界面)Control Unit：控制单元)。构成处理系统1的专用计算机例如也可以是构建能够经由通信系统6进行通信的外部中心或者移动终端等的至少一个外部计算机。

构成处理系统1的专用计算机至少各具有一个存储器10以及处理器12。存储器10是非暂时地存储能够通过计算机读取的程序以及数据等的例如半导体存储器、磁介质、以及光学介质等中至少一种非迁移实体存储介质(non-transitory tangible storagemedium)。处理器12例如包含CPU(Central Processing Unit：中央处理器)、GPU(GraphicsProcessing Unit：图形处理器)、以及RISC(Reduced Instruction Set Computer：精简指令集计算机)－CPU等中至少一种作为核心。

处理器12执行作为软件存储于存储器10的处理程序所包含的多个命令。由此处理系统1构建多个用于执行主车2的驾驶控制处理的功能模块。这样在处理系统1中，为了执行主车2的驾驶控制处理而存储于存储器10的处理程序通过使处理器12执行多个命令，来构建多个功能模块。如图8所示，在通过处理系统1构建的多个功能模块中包含有探测模块100、计划模块120、风险监视模块140、以及控制模块160。

探测模块100从传感器系统5的外界传感器50以及内界传感器52获取传感器数据。探测模块100从通信系统6获取通信数据。探测模块100从地图DB7获取地图数据。探测模块100通过将这些获取数据作为输入进行融合，探测主车2的内外环境。通过内外环境的探测，探测模块100生成给予后段的计划模块120和风险监视模块140的探测信息。像这样可以说在探测信息的生成时探测模块100从传感器系统5以及通信系统6获取数据，识别或者理解获取数据的意思，并综合获取数据来掌握包含主车2的外界状况以及在其中的自身所处的状况、以及主车2的内界状况的状况整体。探测模块100可以对计划模块120和风险监视模块140给予实质相同的探测信息。探测模块100也可以对计划模块120和风险监视模块140给予不同的探测信息。

探测模块100生成的探测信息记述在主车2的行驶环境下对每个场景探测出的状态。探测模块100可以通过探测主车2的外界的包含道路用户、障碍物、以及结构物的物体，来生成该物体的探测信息。物体的探测信息例如可以表示到物体为止的距离、物体的相对速度、物体的相对加速度、基于物体的追踪探测的估计状态等中至少一种。物体的探测信息也可以进一步表示根据探测出的物体的状态识别或者确定的种类。探测模块100也可以通过探测主车2的当前以及将来行驶的跑道，来生成该跑道的探测信息。跑道的探测信息例如可以表示路面、车道、道路端、以及自由空间等中至少一种状态。

探测模块100也可以通过估计地探测主车2的包含自身位置的自身状态量的定位(Localization)，生成该自身状态量的探测信息。探测模块100也可以与自身状态量的探测信息同时生成与主车2的跑道相关的地图数据的更新信息，并将该更新信息反馈给地图DB7。探测模块100也可以通过探测与主车2的跑道建立相关关系的标识，生成该标识的探测信息。标识的探测信息例如可以表示标志、车道划分线、以及信号灯等中至少一种的状态。标识的探测信息也可以进一步表示根据标识的状态识别或者确定的交通规则。探测模块100也可以通过探测主车2行驶的每个场景的气象状况，生成该气象状况的探测信息。探测模块100也可以通过探测主车2的每个行驶场景的时刻，生成该时刻的探测信息。

计划模块120从探测模块100获取探测信息。计划模块120根据获取的探测信息计划主车2的驾驶控制。在驾驶控制的计划中，生成与主车2的导航动作以及驾驶员的辅助动作相关的控制指令。即计划模块120实现生成控制指令作为主车2的运动控制请求的DDT功能。计划模块120生成的控制指令可以包含用于控制主车2的运动促动器的控制参数。作为成为控制指令的输出对象的运动促动器，例如能够列举内燃机、电动马达、以及组合了它们的动力总成、制动装置、以及转向操纵装置等中至少一种。

计划模块120也可以通过使用驾驶策略和根据其安全性记述的安全模型，将控制指令生成为适合该驾驶策略。例如基于保证预期的功能的安全性(Safety Of TheIntended Functionality：预期功能安全，以下，表述为SOTIF)的车辆等级安全战略规定安全模型遵循的驾驶策略。换句话说，通过遵循成为车辆等级安全战略的实际安装的驾驶策略，并且通过对SOTIF进行建模，记述安全模型。计划模块120也可以通过使驾驶控制结果反向传播到安全模型的机械学习算法，对安全模型进行训练。作为训练的安全模型，例如可以使用基于DNN(Deep Neural Network：深度神经网络)等神经网络的深度学习、以及强化学习等中至少一种学习模型。这里安全模型既可以定义为表现了基于对其它的道路用户的能够合理地预见的行动的假定的驾驶行动的安全相关侧面的安全相关模型(safety-relatedmodels)本身，也可以定义为构成该安全相关模型中一部分的模型。这样的安全模型例如可以以将车辆等级安全公式化的数理模型、以及执行遵循该数理模型的处理的计算机程序等中至少一种形态构建。

计划模块120也可以在控制指令的生成之前计划通过驾驶控制使主车2将来行驶的路径。例如可以基于探测信息通过模拟等运算执行路径计划，以对主车2进行导航。即计划模块120可以实现计划路径作为主车2的战术行动的DDT功能。计划模块120也可以进一步在控制指令的生成之前，对沿着计划路径的主车2计划基于获取的探测信息的适当的轨道。即计划模块120也可以实现计划主车2的轨道的DDT功能。计划模块120计划的轨道例如可以按照时间序列规定行驶位置、速度、加速度、以及横摆率等中至少一种，作为与主车2相关的运动物理量。时间序列的轨道计划构建基于主车2的导航的将来行驶的方案。计划模块120也可以根据使用了安全模型的计划生成轨道。该情况下，可以通过运算对生成的轨道给予成本的成本函数，并通过基于该运算结果的机械学习算法对安全模型进行训练。

计划模块120也可以根据获取的探测信息计划主车2中的自动驾驶等级的调整。可以在自动驾驶等级的调整中也包含有自动驾驶与手动驾驶之间的交接。可以通过执行自动驾驶的运行设计区域(Operational Design Domain：以下，表述为ODD)的设定，在伴随对该ODD的进入或者退出的方案中实现自动驾驶与手动驾驶之间的交接。在从ODD的退出方案，即从自动驾驶向手动驾驶的交接方案中，例如能够列举基于安全模型等判断为存在不合理的风险的不合理的状况作为用例。在该用例中计划模块120也可以计划用于成为接管预备用户的驾驶员给予主车2最小风险操作使主车2移至最小风险状态的DDT接管。

在自动驾驶等级的调整在也可以包含有主车2的降级行驶。在降级行驶的方案中，能够列举例如基于安全模型等判断为由于向手动驾驶的交接而存在不合理的风险的不合理的状况作为用例。在该用例中计划模块120也可以计划用于通过自主行驶以及自主停止使主车2移至最小风险状态的DDT接管。用于使主车2移至最小风险状态的DDT接管不仅在降低自动驾驶等级的调整中实现，也可以在维持自动驾驶等级并使其降级行驶的调整例如MRM(Minimum Risk Maneuver：最小风险操作)等中实现。在用于使主车2移至最小风险状态的DDT接管中，例如可以通过照明、喇叭声、信号、以及手势等中至少一种提高该移行状况的明显性。

风险监视模块140从探测模块100获取探测信息。风险监视模块140通过基于获取的探测信息，对每个场景监视主车2与其它的目标移动体3(参照图7)之间的风险。风险监视模块140按照时间序列执行基于探测信息的风险监视，以对目标移动体3保证主车2的SOTIF。在风险监视中假定的目标移动体3是存在于主车2的行驶环境的其它的道路用户。在目标移动体3中例如包含有汽车、卡车、摩托车、以及自行车等没有脆弱性的道路用户、和行人等脆弱的道路用户。也可以在目标移动体3中还包含有动物。

风险监视模块140基于获取的每个场景的探测信息设定在主车2中保证SOTIF的例如基于车辆等级安全战略等的安全包络。风险监视模块140也可以使用遵循上述的驾驶策略的安全模型，设定主车2以及目标移动体3间的安全包络。用于安全包络的设定的安全模型也可以设计为根据事故责任规则避免由于不合理的风险或者道路用户的误用引起的潜在的事故责任。换句话说安全模型也可以设计为主车2遵守遵循驾驶策略的事故责任规则。作为这样的安全模型，例如能够列举专利文献1所公开的责任敏感型安全模型(Responsibility Sensitive Safety model)等。

这里安全包络也可以定义为一系列的限制以及条件，该一系列的限制以及条件被设计为使系统为了在能够允许的风险的等级内维持操作而作为制约或者控制的对象进行动作。这样的安全包络能够作为包含主车2以及目标移动体3的各道路用户的周围的物理基础的余量，例如通过距离、速度、以及加速度等中至少一种运动物理量相关的余量设定。例如在安全包络的设定中，也可以通过基于假定遵循驾驶策略的针对主车2以及目标移动体3的安全模型，根据至少一种运动物理量相关的曲线，假定安全距离。安全距离对预测的目标移动体3的运动，划定在主车2的周围确保物理基础的余量的边界。也可以进一步考虑到通过道路用户执行适当的响应为止的反应时间来假定安全距离。安全距离也可以假定为遵守事故责任规则。例如在存在车道等车道结构的场景下，可以运算在主车2的纵向避免追尾以及正面碰撞的风险的安全距离、和在主车2的横向上避免侧面碰撞的风险的安全距离。另一方面，在不存在车道结构的场景下，可以运算在主车2的任意方向上避免轨道碰撞的风险的安全距离。

风险监视模块140也可以在上述的安全包络的设定之前确定主车2以及目标移动体3之间的相对运动的每个场景的状况。例如在存在车道等车道结构的场景下，可以确定在纵向假定追尾以及正面碰撞的风险的状况、和在横向上假定侧面碰撞的风险的状况。在这些纵向以及横向的状况确定中，可以将与主车2以及目标移动体3相关的状态量转换到将直线状的车道作为前提的坐标系。另一方面，在不存在车道结构的场景下，可以确定假定轨道在主车2的任意方向上碰撞的风险的状况。另外，对于以上的状况确定功能来说，也可以通过由探测模块100执行至少一部分，将状况确定结果作为探测信息给予风险监视模块140。

风险监视模块140基于设定的安全包络、和获取的每个场景的探测信息执行主车2以及目标移动体3间的安全判定。即风险监视模块140通过测试在主车2以及目标移动体3间基于探测信息解释的行驶场景中是否有安全包络的违反，来实现安全判定。在安全包络的设定中假定安全距离的情况下，可以根据主车2以及目标移动体3间的现实距离超过该安全距离，来进行没有安全包络的违反的判定。另一方面，可以根据主车2以及目标移动体3间的现实距离在安全距离以下，来进行有安全包络的违反的判定。

风险监视模块140在进行了有安全包络的违反的判定的情况下，可以通过模拟运算用于给予主车2作为适当的响应应该采取的适当的行动的合理的方案。在合理的方案的模拟中，可以通过估计主车2以及目标移动体3间的状态迁移，设定在每个迁移的状态应该采取的行动，作为对主车2的制约(后面详述)。在行动的设定中，可以运算对给予主车2的至少一种运动物理量假定的限制值，以限制该运动物理量作为对主车2的制约。

风险监视模块140也可以通过基于假定遵循驾驶策略的针对主车2以及目标移动体3的安全模型，根据与至少一种运动物理量相关的曲线，直接地运算用于遵守事故责任规则的限制值。可以说直接的限制值的运算其本身既是安全包络的设定，也是对驾驶控制的制约的设定。因此，也可以在探测到与限制值相比在安全侧的现实值的情况下，进行没有安全包络的违反的判定。另一方面，也可以在探测到违背限制值的一侧的现实值的情况下，进行有安全包络的违反的判定。

风险监视模块140例如也可以将用于安全包络的设定的探测信息、表示安全包络的判定结果的判定信息、左右该判定结果的探测信息、以及模拟的方案等中至少一种证据信息存储于存储器10。存储证据信息的存储器10根据构成处理系统1的专用计算机的种类，既可以搭载于主车2内，例如也可以设置于主车2外的外部中心等。证据信息既可以以非加密状态存储，也可以进行加密或者散列化并存储。在有安全包络的违反的判定的情况下，至少执行证据信息的存储。当然，也可以在没有安全包络的违反的判定的情况下，也执行证据信息的存储。没有安全包络的违反的判定的情况下的证据信息在存储时刻能够作为滞后指标有效利用，对于将来也能够作为超前指标有效利用。

控制模块160从计划模块120获取控制指令。控制模块160从风险监视模块140获取与安全包络相关的判定信息。即控制模块160实现控制主车2的运动的DDT功能。控制模块160在获取了没有安全包络的违反的判定信息的情况下，根据控制指令执行已计划的主车2的驾驶控制。

与此相对控制模块160在获取了有安全包络的违反的判定信息的情况下，基于判定信息对已计划的主车2的驾驶控制给予遵循驾驶策略的制约。对驾驶控制的制约可以是功能上的制约(functional restriction)。对驾驶控制的制约也可以是降级的制约(degraded constraints)。对驾驶控制的制约也可以是与它们不同的制约。通过控制指令的限制给予驾驶控制制约。在通过风险监视模块140模拟合理的方案的情况下控制模块160也可以根据该方案限制控制指令。此时，在关于主车2的运动物理量设定了限制值的情况下，也可以基于该限制值修正控制指令所包含的运动促动器的控制参数。

以下，对第一实施方式的详细进行说明。

如图9～11所示第一实施方式假定划分了车道的车道结构Ls。车道结构Ls将车道延伸的方向作为纵向，限制主车2以及目标移动体3的运动。车道结构Ls将车道的宽度方向或者排列方向作为横向，限制主车2以及目标移动体3的运动。

例如在目标移动体3为目标车辆3a的情况下，车道结构Ls中的主车2以及目标移动体3间的驾驶策略规定为以下的(A)～(E)等。另外，将主车2作为基准的前方例如是指主车2的当前转向角下的转弯圆上的行进方向、与主车2的车轴正交的通过车辆重心的直线的行进方向、或者从主车2的传感器系统5中前照相机模块向该照相机的FOE(Focus ofExpansion：延伸焦点)的轴线上的行进方向等。

(A)车辆不从后方追尾在前方行驶的车辆。

(B)车辆不强行插入其它的车辆间。

(C)车辆即使在自身优先的情况下，也根据状况与其它的车辆互让。

(D)车辆在视野较差的位置，慎重地进行驾驶。

(E)车辆不管自责他责，只要是能够通过自身防止事故的状况，则为此采取合理的行动。

遵循驾驶策略且为对SOTIF进行建模的安全模型假定不会达到不合理的状况的道路用户的行动，作为应该采取的适当的合理的行动。车道结构Ls中的主车2以及目标移动体3间的不合理的状况是指正面碰撞、追尾、以及侧面碰撞。在相对于主车2的目标移动体3是目标车辆3a的情况下，正面碰撞时的合理的行动例如包含对逆行的车辆实施制动等。在相对于主车2的目标移动体3是目标车辆3a的情况下，追尾时的合理的行动例如包含不对在前方行驶的车辆实施恒定以上的紧急制动、以及以该情况为前提避免在后方行驶的车辆追尾等。在相对于主车2的目标移动体3是目标车辆3a的情况下，侧面碰撞时的合理的行动例如包含并行的车辆彼此向彼此的分离方向进行转向操纵等。无论是车道弯曲的车道结构Ls、和车道高低不平的车道结构Ls的哪一种，在合理的行动的假定时与主车2以及目标移动体3相关的状态量都转换为假定直线状并且平面状的车道结构Ls规定纵向以及横向的正交坐标系。

可以根据由未采取合理的行动的移动体承担事故责任的事故责任规则设计安全模型。在车道结构Ls中的事故责任规则下，为了监视主车2以及目标移动体3间的风险而使用的安全模型对主车2设定针对主车2的安全包络，以通过合理的行动避免潜在的事故责任。因此，处理系统1的整体正常的状况下的风险监视模块140通过在每个行驶场景将基于安全模型的安全距离与主车2以及目标移动体3间的现实距离进行对照，判定安全包络违反的有无。正常的状况下的风险监视模块140在有安全包络的违反的情况下，模拟用于给予主车2合理的行动的方案。通过模拟风险监视模块140例如设定与速度以及加速度等中至少一方相关的限制值，作为对控制模块160中的驾驶控制的制约。在以下的说明中，正常的状况下的违反判定功能以及制约设定功能表述为正常时安全功能。

与此相对，在作为处理系统1异常的状况，产生了探测模块100中的探测信息的障碍的情况下，通过各模块100、120、140、160的合作执行根据图12所示的流程图执行驾驶控制处理的处理方法。反复执行本处理方法。另外，在以下的说明中处理方法的各“S”是指根据处理程序所包含的多个命令执行的多个步骤。

在处理方法的S100中探测模块100按照每个控制周期的时间序列监视探测信息的障碍。第一实施方式中的障碍包含搭载于主车2并成为探测信息的生成源的传感器系统5的感测异常。作为感测异常，能够列举构成传感器系统5的外界传感器50的、例如起因于故障、包含天气影响的干扰、包含死角的检测极限等中至少一种类，而不能够生成探测信息本身的异常，或者探测信息的精度或者可靠度降低的异常。

如图9、10所示第一实施方式的外界传感器50包含在主车2的纵向上设定检测范围As的单一的纵向传感器500。如图11所示第一实施方式的外界传感器50也包含在主车2的横向上分别设定实质相同尺寸并且相互邻接的检测范围As的多个横向传感器501、502。因此在S100中，在对纵向传感器500以及横向传感器501、502中任意一个的检测范围As确认了感测异常的情况下，探测模块100进行产生了探测信息的障碍的判定。

在S100中，探测模块100进行了由于感测异常而产生了探测信息的障碍的判定的情况下，处理方法并行地移至S101、S102。另一方面，在探测模块100进行了正常的探测信息未产生障碍的判定的情况下，结束处理方法的这次流程。另外，也可以在S100中进行了障碍产生的判定的情况下，在存储器10中存储与障碍产生时的行驶场景相关的场景信息。在这种情况下场景信息例如可以至少存储探测信息的障碍内容、安全包络的设定范围、安全包络的违反内容、虚拟移动体(后述)的信息、制约的设定结果、降级的有无、驾驶控制结果、特定日期起点的时间戳、以及当前时间等中的障碍内容，或者至少将两种信息相互建立关联并存储。也可以在S100中进行了障碍产生的判定的情况下，通过信息提示系统4向乘客提示与障碍产生时的行驶场景相关的场景信息。在这种情况下场景信息例如可以至少提示探测信息的障碍内容、安全包络的设定范围、安全包络的违反内容、虚拟移动体(后述)的信息、制约的设定结果、降级的有无、驾驶控制结果、特定日期起点的时间戳、以及当前时间等中的障碍内容，或者至少将两种信息相互建立关联并提示。也可以通过计划模块120以及风险监视模块140的至少一方执行S100中的监视以及判定。

在处理方法的S101中计划模块120按照每个控制周期的时间序列计划用于执行降级行驶或者向手动驾驶的交接的驾驶控制，作为主车2中的自动驾驶等级的调整。在安全包络的概念中图13示意地示出与细虚线所示的正常时相比，在粗虚线所示的障碍产生时，将指示给控制模块160的驾驶控制降级。即，可以说S101中的计划模块120计划驾驶控制的降级。另外，在S101中计划模块120也可以计划为不使指示给控制模块160的驾驶控制降级，而以最大努力(Best Efforts)继续驾驶控制。

在处理方法的S102中风险监视模块140通过基于车道结构Ls的安全模型，按照每个控制周期的时间序列设定给予在S101中计划的驾驶控制的制约。障碍产生时的制约设定功能通过遵循图14所示的子流程，与正常时安全功能相比使对驾驶控制的制约降级。可以在与S101的驾驶控制的降级开始同时开始制约设定子流程。也可以从S101的驾驶控制的降级开始起，等待该驾驶控制的规定控制周期之后开始制约设定子流程。也可以与S101的驾驶控制的降级开始相比，提前规定控制周期开始制约设定子流程。

制约设定子流程的S110中的风险监视模块140判定在障碍产生前的行驶场景中在障碍产生对象的检测范围As是否存在目标移动体3。在风险监视模块140进行了在检测范围As未存在目标移动体3的判定的情况下，制约设定子流程移至S111。另一方面，在风险监视模块140进行了在检测范围As存在目标移动体3的判定的情况下，制约设定子流程移至S112。

在制约设定子流程的S111中风险监视模块140如图9～11所示那样，在障碍产生对象的检测范围As中位于检测极限的距离的远点Pf假定虚拟目标移动体3。即，成为虚拟移动体的目标移动体3的位置假定在检测极限距离的远点Pf。这里远点Pf定义为检测范围As中在纵向或者横向上成为最长距离的检测极限距离的位置。因此在S111中，通过基于远点Pf的目标移动体3与主车2之间的车道结构Ls的安全模型，设定与障碍产生对象的检测范围As对应的纵向或者横向的速度限制值，作为对主车2的驾驶控制的制约。根据障碍的产生场景，例如通过模型切换以及参数调整等中至少一种假定用于制约及其设定的安全模型。此时，相对于根据障碍产生前的探测信息识别或者估计出的种类的目标移动体3假定与车道结构Ls相关的安全模型。

作为主车2能够在图9、10所示的从纵向传感器500到远点Pf为止的检测极限距离d_s内安全地停止的速度，通过以下的式子1、2运算在纵向假定的速度限制值亦即上限速度v_r，max。式子1、2表示如图15所示基于安全模型规定的加减速度曲线的函数式。在基于式子1、2的运算中d_f是根据基于安全模型的加减速度曲线到目标移动体3在纵向停止为止的距离。a_r是主车2的纵向上的最大加速度。b_r是主车2的纵向上的最小减速度。a_f是目标移动体3的纵向上的最大加速度。b_f，min是目标移动体3的最小减速度。b_f，max是目标移动体3的纵向上的最大减速度。Ρ是主车2以及目标移动体3的反应时间。v_f是目标移动体3的纵向上的速度。

[数1]

[数2]

因此特别是如图10所示那样假定正面碰撞的风险的场景的速度v_f可以设定为例如基于法定速度等对目标移动体3假定的最大速度。另一方面，如图9所示那样假定追尾的风险的场景，或者即使正面碰撞也仅由目标移动体3承担事故责任的场景的速度v_f可以设定为零速度(0)。这里即使正面碰撞也仅由目标移动体3承担事故责任的场景例如是指单行道的车道结构Ls或者有中央分离带的车道结构Ls等中的行驶场景。并且，在假定正面碰撞以及追尾双方的风险的场景下，可以将速度v_f设定为在正常时安全功能中根据安全模型假定的安全距离较长的正面碰撞的情况下的最大速度。

在假定正面碰撞的风险的情况下，作为安全包络避免正面碰撞的风险的安全速度比避免追尾的风险的安全速度小。因此，在假定正面碰撞的风险的情况下未限制最高速度的第一场景下，目标移动体3的纵向上的速度v_f例如也可以设定为基于道路宽度、过去的主车2以及目标移动体3的行驶数据、基于周围环境的当前速度等中至少一种假定的速度。此时，可以在基于通过证实实验得到的数据进行了初始设定之后，基于根据市场环境得到的数据更新假定的速度。另一方面在假定正面碰撞的风险的情况下限制最高速度的第二场景下，速度v_f也可以设定为该最高速度。

例如在汽车专用道路、通过中央分离带分离的道路、或者单行道道路等中，不假定正面碰撞的风险的情况下，仅假定追尾的风险即可。因此，在不假定正面碰撞的风险的情况下未限制最低速度的第三场景下，目标移动体3的纵向上的速度v_f也可以设定为零速度(0)。另一方面，在不假定正面碰撞的风险的情况下限制最低速度的第四场景下，速度v_f也可以设定为该最低速度。

通过这样的每个场景的设定，作为安全包络的纵向上的安全距离按照第一、第二、第三、以及第四场景的顺序变短。随之，主车2的纵向上的上限速度v_r，max按照第一、第二、第三、以及第四场景的顺序增大。

作为主车2能够在图11所示的从第一横向传感器501或者第二横向传感器502到远点Pf为止的检测距离d_s内安全地停止的速度，通过以下的式子3、4运算在横向上假定的速度限制值亦即上限速度v_1，max。式子3、4表示如图16所示基于安全模型规定的加减速度曲线的函数式。在基于式子3、4的运算中d₂是基于安全模型的加减速度曲线上目标移动体3在横向上停止为止的距离。a₁是主车2的横向上的最大加速度。b₁是主车2的横向上的最小减速度。a₂是目标移动体3的横向上的最大加速度。b₂是目标移动体3的横向上的最小减速度。Ρ是主车2以及目标移动体3的反应时间。v₁是主车2的横向上的速度。v₂是目标移动体3的横向上的速度。

[数3]

[数4]

因此特别是假定侧面碰撞的风险的场景的速度v₂例如可以设定为基于法定速度等对目标移动体3假定的最大速度。这里目标移动体3的最大速度例如可以假定为基于道路宽度、过去的主车2以及目标移动体3的行驶数据、以及周围环境的当前速度等中至少一种的速度。此时，可以在基于通过证实实验得到的数据进行了初始设定之后，基于根据市场环境得到的数据更新假定的最大速度。

在安全包络的概念中图13示意地示出与细实线所示的正常时相比，在粗实线所示的障碍产生时，也使给予进行了降级的驾驶控制的制约降级。因此，在S111中风险监视模块140可以通过基于成为制约的上限速度v_r，max或者上限速度v_1，max，判定安全包络的违反。此时，可以在主车2超过上限速度v_r，max超过或者上限速度v_1，max的情况下，进行有安全包络的违反的判定。

在制约设定子流程的S112中风险监视模块140如图17～19所示，在基于障碍产生前的目标移动体3的存在位置估计出的估计位置Pp虚拟目标移动体3。即，将成为虚拟移动体的目标移动体3的位置假定在估计位置Pp。也可以在障碍产生对象的检测范围As内中，在障碍产生前的行驶场景中目标移动体3存在的位置虚构估计位置Pp。也可以根据障碍产生对象的检测范围As中，在障碍产生前的行驶场景中存在目标移动体3的位置上的速度以及经过时间，运算估计位置Pp。估计位置Pp也可以设定为这些虚构位置以及运算位置中风险较高的一方。由此在S112中，基于除了远点Pf代替估计位置Pp以外依据S111的车道结构Ls的安全模型，设定对主车2的驾驶控制的制约。另外在S112中，也可以根据S111判定安全包络的违反。

如图12所示，处理方法从S101、S102移至共用的S103。在S103中控制模块160对在S101中计划的驾驶控制给予在S102的制约设定子流程中的S111或者S112通过风险监视模块140设定的制约。受到了制约的主车2的速度被限制在上限速度v_r，max以下或者上限速度v_1，max以下，从而能够避免安全包络的违反。在S103的执行完成后，处理方法的这次流程结束。

另外，在先前说明的专利文献1所公开的技术中，假定在由于成为探测信息的生成源的传感器系统的例如故障，干扰，或者检测极限等，而产生了探测信息的障碍的情况下，难以给予驾驶控制适当的制约。与此相对，根据在以上进行了说明的第一实施方式，在判定为产生了监视的探测信息的障碍的情况下，通过基于遵循驾驶策略的模型，且为对SOTIF进行了建模的安全模型，设定与探测信息对应的驾驶控制中的制约。据此，能够对产生了探测信息的障碍的场景，特别是在第一实施方式中对产生了感测异常的场景设定适当的制约，确保驾驶控制的精度。

(第二实施方式)

第二实施方式是第一实施方式的变形例。

如图20、21所示第二实施方式的外界传感器50包含设定为在纵向上的检测范围As部分地重复的多个纵向传感器2501、2502。对于检测范围As彼此重复的检测角度下的检测极限距离来说，与第一纵向传感器2501相比在第二纵向传感器2502侧，设定为距离主车2为远距离。另外，第一纵向传感器2501相当于“第一传感器”，第二纵向传感器2502相当于“第二传感器”。

对于这样的第二实施方式的处理方法来说，若进行产生了探测信息的障碍的判定，则如图22所示，从S100中的障碍的产生判定移至S2100。在S2100中探测模块100判定作为障碍产生的感测异常的外界传感器50是否是第二纵向传感器2502。

在S2100中，探测模块100进行了感测异常的外界传感器50是第二纵向传感器2502以外的判定的情况下，处理方法并行地移至S101、S102。另一方面，在探测模块100进行了感测异常的外界传感器50是第二纵向传感器2502的判定的情况下，处理方法并行地移至S2101、S2102。另外，也可以通过计划模块120以及风险监视模块140的至少一方执行S2100中的判定的处理。

在处理方法的S2101中计划模块120根据S101计划驾驶控制的降级。在处理方法的S2102中风险监视模块140通过基于车道结构Ls的安全模型，设定给予在S2101中计划的驾驶控制的制约。障碍产生时的制约设定的处理根据图23所示那样与S101不同的子流程，与正常时安全功能相比使对驾驶控制的制约降级。其中，S2101、S2102彼此的执行定时也可以根据S101、S102彼此的执行定时进行调整。

在制约设定子流程的S110中，风险监视模块140进行了在检测范围As不存在目标移动体3的判定的情况下，制约设定子流程移至S2111。另一方面在S110中，风险监视模块140进行了在检测范围As存在目标移动体3的判定的情况下，制约设定子流程移至S2112。

在制约设定子流程的S2111中风险监视模块140如图20所示在多个位置虚拟目标移动体3。作为多个虚拟位置，假定作为障碍产生对象的第二纵向传感器2502的检测范围As中的检测极限距离的远点Pf2、和正常的第一纵向传感器2501的检测范围As中的检测极限距离的远点Pf1。因此在S2111中，根据控制周期的发展设定从基于远点Pf2的目标移动体3与主车2之间的安全模型的制约到基于远点Pf1的目标移动体3与主车2之间的安全模型的制约的逐渐变化。此时，假定基于安全模型的纵向的上限速度v_r，max或者横向的上限速度v_1，max从远点pf2上的值以规定的减速度间隔(例如0.2G等)慢慢地变化到远点pf1上的值。

制约设定子流程的S2112中的风险监视模块140如图23所示在多个位置虚拟目标移动体3。作为多个虚拟位置，假定第二纵向传感器2502的检测范围As中的基于障碍产生前的目标移动体3的存在位置的估计位置Pp、和正常的第一纵向传感器2501的检测范围As中的检测极限距离的远点Pf1。因此在S2112中，根据控制周期的发展设定从基于估计位置Pp的目标移动体3与主车2之间的安全模型的制约到基于远点Pf1的目标移动体3与主车2之间的安全模型的制约的逐渐变化。此时，基于安全模型的纵向的上限速度v_r，max或者横向的上限速度v_1，max假定为从估计位置Pp上的值以规定的减速度间隔(例如0.2G等)慢慢地变化到远点pf1上的值。

在这样的S2111、2112中，也可以根据S111判定安全包络的违反。另外，如图22所示处理方法从S2101、S2102移至共用的S103并且从S101、S102也移至共用的S103。在这样的第二实施方式中，除了依据第一实施方式的原理之外，还能够按照检测极限距离不同的多个传感器2501、2502的感测异常设定适当的制约，能够确保驾驶控制的精度。

(第三实施方式)

第三实施方式是第一实施方式的变形例。

如图24所示在第三实施方式的处理方法中，执行代替S100的S3100。在S3100中探测模块100监视的障碍包含探测信息中与目标移动体3的距离相关的信息的精度异常。作为精度异常，能够列举由于传感器系统5中与目标移动体3的距离检测优异的例如毫米波雷达的故障、包含天气影响的干扰、包含死角的检测极限等中至少一种，而不能够通过探测模块100生成正规的距离信息的异常。另外，也可以专用于产生了在第一以及第二实施方式的S101中也可以说是感测异常的精度异常的情况执行这样的第三实施方式的S3100。

在S3100中，探测模块100进行了由于精度异常而产生了探测信息的障碍的判定的情况下，处理方法并行地移至S101、S102，之后移至S103。在这样的第三实施方式中，能够通过依据第一实施方式的原理，对产生了精度异常的场景设定适当的制约，能够确保驾驶控制的精度。

另外，在S3100中，探测模块100进行了由于精度异常而产生了探测信息的障碍的判定的情况下，也可以代替S102的执行，而执行正常时安全功能。在该情况下的正常时安全功能中，也可以基于分别将目标移动体3的距离、速度、以及方向假定为作为最坏情况的最小、最大、以及与主车2的逆行方向的安全模型，例如设定加速度限制值等制约。

(第四实施方式)

第四实施方式是第一实施方式的变形例。

如图25、26所示第四实施方式假定对主车2以及目标移动体3解除了车道结构Ls的纵向以及横向的限制的虚拟环境4004。在目标移动体3为目标车辆3a的情况下，虚拟环境4004中的主车2以及目标移动体3间的驾驶策略例如规定为以下的(F)～(H)等。

(F)车辆彼此相互实施制动。

(G)在避免由于制动而到达不合理的状况的场景下，不实施制动。

(H)在不存在前方的其它的车辆的情况下，许可车辆前进。

虚拟环境4004的安全模型将主车2以及目标移动体3的各轨道碰撞定义为不合理的状况。换句话说，通过对主车2以及目标移动体3消除轨道碰撞这样的不合理的风险的SOTIF的建模，规定虚拟环境4004的安全模型。通过以下的第一以及第二条件中至少一方的成立保证轨道碰撞的消除状况。如图25所示第一条件是主车2以及目标移动体3的各轨道间的最小距离d_min例如比基于事故责任规则等的安全设计值大。通过第一条件的成立，到主车2以及目标移动体3停止为止的各行驶距离始终在恒定值以上。如图26所示第二条件是主车2的停止时的相对位置向量与目标移动体3的行进方向所成的角度θ_stop例如比基于事故责任规则等的安全设计值小。通过第二条件的成立，到主车2在轨道上停止为止的距离始终在恒定以上，并在停止的主车2的前方存在目标移动体3。

虚拟环境4004的安全模型设定不会达到轨道碰撞这样的不合理的状况的安全包络。通过以下的第一～第三安全状态中任意一个的成立确保安全包络。如图27所示第一安全状态是指到主车2以及目标移动体3均停止为止，在两者能够到达的范围内不产生轨道彼此的碰撞的状态。如图28所示第二安全状态是指在主车2例如执行制动等停止动作，另一方面目标移动体3保持原样前进的情况下，在两者能够到达的范围(图28的实线范围)内不产生轨道彼此的碰撞的状态。该第二状态避免在目标移动体3执行停止动作，另一方面主车2保持原样前进的情况下，在两者能够到达的范围(图28的双点划线范围)产生轨道彼此的碰撞的情况。如图29所示第三安全状态是指在目标移动体3执行停止动作，另一方面主车2保持原样前进的情况下，在两者能够到达的范围(图29的实线范围)不产生轨道彼此的碰撞的状态。该第三状态避免在主车2执行停止动作，另一方面目标移动体3保持原样前进的情况下，在两者能够到达的范围(图29的双点划线的范围)产生轨道彼此的碰撞的情况。

虚拟环境4004的安全模型假定以下的第一～第三行动，作为即使万一成为不合理的状况主车2也应该采取的适当的合理的行动。在第一行动中，在从主车2以及目标移动体3的两者完全停止的状态陷入不合理的状况的情况下，若目标移动体3不位于主车2的前方，则主车2移动而远离目标移动体3。此时优选主车2与目标移动体3相比高速地向前方移动。另外另一方面在第一行动中，即使在从两者的完全停止状态陷入不合理的状况的情况下，若目标移动体3位于主车2的前方，则主车2也继续完全停止状态直至消除不合理的状况为止。在第二行动中，在主车2从上述的第二或者第三状态陷入不合理的状况的情况下，只要目标移动体3不停止，则主车2继续前进。在第二行动中，若在该前进继续中目标移动体3停止的情况下，目标移动体3不位于前方，则进一步使主车2继续前进。另外另一方面在第二行动中，若在前进继续中目标移动体3停止的情况下，目标移动体3位于前方，则主车2执行停止动作。在第三行动中，在第一以及第二行动以外的情况下，主车2执行停止动作。另外，在第一以及第二行动中基于上述的第二条件判断目标移动体3是否位于主车2的前方。

如图30所示在第四实施方式的处理方法中，代替S100、S102而执行S4100、S4102。在S4100中探测模块100监视的障碍包含探测信息中与目标移动体3的种类相关的信息的识别异常。作为识别异常，能够列举由于传感器系统5中目标移动体3的种类识别优异的例如照相机的故障、包含天气影响的干扰、包含死角的检测极限等中至少一种，而不能够通过探测模块100生成正规的种类信息的异常。另外，也可以专用于在第一以及第二实施方式的S101中产生了也可以说是感测异常的识别异常的情况执行这样的第四实施方式的S4100。

在S4100中，探测模块100进行了由于识别异常而产生了探测信息的障碍的判定的情况下，处理方法并行地移至S101、S4102，之后移至S103。在S4102中风险监视模块140通过代替车道结构Ls而基于虚拟环境4004的安全模型，设定给予通过S101计划的驾驶控制的制约。在识别异常所引起的障碍产生时制约设定的处理通过遵循图31所示的子流程，使对驾驶控制的制约与正常时安全功能相比降级。另外，也可以根据S101、S102彼此的执行定时调整S101、S4102彼此的执行定时。

在制约设定子流程的S110中，风险监视模块140进行了在障碍产生对象的检测范围As不存在目标移动体3的判定的情况下，制约设定子流程移至S4111。另一方面在S110中，风险监视模块140进行了在检测范围As存在目标移动体3的判定的情况下，制约设定子流程移至S4112。

在制约设定子流程的S4111中风险监视模块140依据S111基于在远点Pf假定的虚拟位置的目标移动体3与主车2之间的虚拟环境4004的安全模型，设定对主车2的驾驶控制的制约。即使在虚拟环境4004的情况下也根据障碍产生对象的检测范围As，在主车2的纵向或者横向设定制约。在基于虚拟环境4004的安全模型的制约设定中，也可以将目标移动体3假定为脆弱的道路用户中例如由主车2承担事故责任的风险较高的行人等与场景对应的特定物体。在这种情况下，在基于安全模型的安全包络的设定中，可以假定进行了假定的特定物体的安全距离。在基于虚拟环境4004的安全模型的制约设定中，如图32所示也可以假定目标移动体3为未确认物体(unknown)。在这种情况下，在基于安全模型的安全包络的设定中，可以假定在假定的未确认物体的行进方向上较长的安全距离。

在纵向的情况下作为制约假定的限制值如图33、34所示运算为基于安全模型规定的加减速度曲线的函数值。即在纵向的情况下，加速度的限制值成为制约。在纵向的限制值运算中c_max，ac是主车2前进的移动中的最大加速度。c_max，br是主车2前进的移动中的最大减速度。e_max，ac是主车2停止的移动中的最大加速度。e_max，br是主车2停止的移动中的最大减速度。e_min，br是主车2停止的移动中的最小减速度。Ρ是主车2的反应时间。

在横向的情况下作为制约假定的限制值如图35、36所示运算为基于安全模型规定的横摆率曲线以及曲率变化率曲线的各函数值中至少一方。即在横向的情况下，横摆率以及轨道曲率变化率的各限制值中至少一方成为制约。在横向的限制值运算中f_max是作用给主车2的横摆率的最大值。g_max是主车2的在曲率变化的轨道上的时间变化率的最大值。Ρ是主车2的反应时间。

在制约设定子流程的S4112中风险监视模块140依据S112通过基于在估计位置Pp假定的虚拟位置的目标移动体3与主车2之间的虚拟环境4004的安全模型，设定依据S4111的制约。另外，在S4111、4112中，也可以依据S111判定安全包络的违反。在以上说明的第四实施方式中，能够通过依据第一实施方式的原理，在产生了识别异常的场景设定适当的制约，能够确保驾驶控制的精度。

(第五实施方式)

第五实施方式是第四实施方式的变形例。

如图37所示在第五实施方式的处理方法中，执行代替S100的S5100。在S3100中探测模块100监视的障碍包含探测信息中与主车2的位置相关的信息的定位异常。作为定位异常，例如能够列举由于地图DB7中的地图信息的不良、V2X类型的通信系统6的包含地图信息的发送延迟的发送障碍、测位类型的通信系统6的测位信号的接收不良、以及与传感器系统5的自身状态量相关的感测异常等中至少一种，而不能够通过探测模块100生成正规的定位信息的异常。另外，也可以专用于在第一以及第二实施方式的S101中产生了起因于感测异常的定位异常的情况执行这样的第五实施方式的S5100。

在S5100中，探测模块100进行了由于定位异常而产生了探测信息的障碍的判定的情况下，处理方法并行地移至S101、S4102，之后移至S103。另外，在第五实施方式的S4102中执行的制约设定子流程中，对根据障碍产生前的探测信息识别或者估计出的种类的目标移动体3假定制约设定所使用的虚拟环境4004的安全模型。在这样的第五实施方式中，能够通过依据第一实施方式的原理，在产生了定位异常的场景设定适当的制约，能够确保驾驶控制的精度。

(第六实施方式)

第六实施方式是第一实施方式的变形例。

如图38所示在第六实施方式的控制模块6160中，省去了从风险监视模块140获取与安全包络相关的判定信息的处理。因此第六实施方式的计划模块6120从风险监视模块140获取与安全包络相关的判定信息。计划模块6120在获取了没有安全包络的违反的判定信息的情况下，依据计划模块120计划主车2的驾驶控制。另一方面，在获取了有安全包络的违反的判定信息的情况下计划模块6120在依据计划模块120的计划驾驶控制的阶段，给予该驾驶控制基于判定信息的制约。即计划模块6120限制计划的驾驶控制。无论在哪种的情况下，均由控制模块6160执行通过计划模块6120计划的主车2的驾驶控制。

如图39所示在第六实施方式的处理方法中，不执行S101，并依次执行代替S103的S6103、S6104。在S6103中计划模块6120对计划的驾驶控制给予在S102的制约设定子流程中的S111或者S112中通过风险监视模块140设定的制约。即，也可以说是S6103中的计划模块6120计划驾驶控制的降级。在S6104中控制模块6160执行通过S6103给予了制约的驾驶控制。由此主车2的速度被限制在纵向的上限速度v_r，max以下或者横向的上限速度v_1，max以下，从而能够避免安全包络的违反。因此，在这样的第六实施方式中，能够通过依据第一实施方式的原理给予驾驶控制适当的制约，能够确保驾驶控制的精度。

(第七实施方式)

第七实施方式是第一实施方式的变形例。

如图40所示在第七实施方式的控制模块7160中，省去从风险监视模块7140获取与安全包络相关的判定信息的处理。因此第七实施方式的风险监视模块7140获取表示通过控制模块7160对主车2执行的驾驶控制的结果的信息。风险监视模块7140通过对驾驶控制的结果执行基于安全包络的安全判定，来评价该驾驶控制。

如图41所示在第七实施方式的处理方法中，不执行S102，并依次执行代替S103的S7103～S7105。在S7103中控制模块7160执行通过S101计划的驾驶控制。在S7104中风险监视模块7140通过依据S102的制约子流程设定对S7103的驾驶控制的制约。在S7105中风险监视模块7140基于成为制约的纵向的上限速度v_r，max或者横向的上限速度v_1，max，评价S7103的驾驶控制。此时，在主车2超过上限速度v_r，max超过或者上限速度v_1，max的情况下，进行有安全包络的违反的判定，作为对驾驶控制的评价。

也可以每当在存储器10存储表示S7103的驾驶控制的结果的信息的一个控制周期的量，则执行S7104、S7105。也可以每当在存储器10存储表示S7103的驾驶控制的结果的信息的一个控制周期的量则执行S7104，与此相对，在存储器10存储了表示S7103的驾驶控制的结果的信息的多个控制周期的量之后执行S7015。也可以在存储器10存储了表示S7103的驾驶控制的结果的信息的多个控制周期的量之后执行S7104、S7105。在以上说明的第七实施方式中，能够通过依据第一实施方式的原理适当地设定并且评价驾驶控制，能够确保驾驶控制的精度。

(第八实施方式)

第八实施方式是第一以及第七实施方式的变形例。

如图42、43所示，在处理系统1的观点中在成为第一实施方式的变形例的第八实施方式中追加例如为了安全性认可等测试处理系统1的驾驶控制的测试模块8180。在测试模块8180中给予依据探测模块100以及风险监视模块140的功能。也可以通过由图42所示的处理系统1执行追加到构建各模块100、120、140、160的处理程序的测试程序，来构建测试模块8180。也可以通过由图43所示那样与处理系统1不同的测试用的处理系统8001执行与构建各模块100、120、140、160的处理程序不同的测试用的处理程序，来构建测试模块8180。这里，可以通过为了测试驾驶控制而与处理系统1连接(省略通过通信系统6的连接的情况下的图示)的具有存储器10以及处理器12的至少一个专用计算机构成测试用的处理系统8001。

如图44所示，在处理方法的观点中成为第七实施方式的变形例的第八实施方式中，不执行与S101、S7103对应的步骤，而执行分别与S100、S7104、S7105对应的S8100、S8104、S8105。在S8100中测试模块8180依据S100监视并且判定探测信息的障碍。另外，在图41、42中，对用于监视并且判定探测信息的障碍的数据获取的路径省略图示。

在S8104中测试模块8180通过与S7104相同的依据S102的制约子流程设定对处理系统1中的S103的驾驶控制的制约。在S8105中测试模块8180依据S7105测试处理系统1中的S103的驾驶控制。此时，在主车2超过上限速度v_r，max超过或者上限速度v_1，max的情况下，进行有安全包络的违反的判定，作为对驾驶控制的测试结果。

也可以每当在处理系统1或者其它的处理系统8001的存储器10存储表示S103的驾驶控制的结果的信息的一个控制周期的量，则执行S8104、S8105。也可以每当在处理系统1或者其它的处理系统8001的存储器10存储表示S103的驾驶控制的结果的信息的一个控制周期的量则执行S8104，与此相对在该存储器10存储了表示S103的驾驶控制的结果的信息的多个控制周期的量之后执行S8105。也可以在处理系统1或者其它的处理系统8001的存储器10存储了表示S103的驾驶控制的结果的信息的多个控制周期的量之后执行S8104、S8105。在以上说明的第八实施方式中，能够通过依据第一实施方式的原理适当地设定并且评价驾驶控制，能够确保驾驶控制的精度。

(第九实施方式)

第九实施方式是第六实施方式的变形例。

如图45所示，在第九实施方式的计划模块9120中作为风险监视子模块9140得到风险监视模块140的功能。因此第九实施方式的计划模块9120在通过风险监视子模块9140获取了没有安全包络的违反的判定信息的情况下，依据计划模块120计划主车2的驾驶控制。另一方面，在通过风险监视子模块9140获取了有安全包络的违反的判定信息的情况下计划模块9120在依据计划模块120的计划驾驶控制的阶段，给予该驾驶控制基于判定信息的制约。即计划模块9120限制计划的驾驶控制。无论在哪种情况下，均由控制模块6160执行通过计划模块9120计划的主车2的驾驶控制。

在这样的第九实施方式的处理方法中，通过计划模块9120的风险监视子模块9140执行S102。因此，在S6103中计划模块9120对计划的驾驶控制给予通过在S102的制约设定子流程中的S111或者S112中通过风险监视子模块9140设定的制约。在这样的第九实施方式中，能够通过依据第一实施方式的原理给予驾驶控制适当的制约，能够确保驾驶控制的精度。

(其它的实施方式)

以上，对多个实施方式进行了说明，但本公开并不限定于这些实施方式进行解释，能够在不脱离本公开的主旨的范围内应用于各种实施方式以及组合。

在变形例中构成处理系统1的专用计算机也可以包含数字电路、以及模拟电路中至少一方作为处理器。这里数字电路例如是指ASIC(Application Specific IntegratedCircuit：专用集成电路)、FPGA(Field Programmable Gate Array：现场可编程门阵列)、SOC(System on a Chip：系统级芯片)、PGA(Programmable Gate Array：可编程门阵列)、以及CPLD(Complex Programmable Logic Device：复杂可编程逻辑器件)等中至少一种。另外这样的数字电路也可以具有存储了程序的存储器。

如图46所示在第二实施方式中，也可以将第一纵向传感器2501的从纵向向横向跨越的检测范围As中，与第一横向传感器501的检测范围As部分地重复的检测角度下的检测极限距离设定为与第一横向传感器501相比距离主车2远。在该情况下的制约设定子流程中，也可以从第一纵向传感器2501的检测范围As中的检测极限距离的远点Pf，或者估计位置Pp，到第一横向传感器501的检测范围As中的检测极限距离的远点Pf假定制约的逐渐变化。另外，该情况下的各远点Pf可以定义为检测范围As彼此重复的检测角度下成为最远距离的检测极限距离。另外，该情况下，第一横向传感器501相当于“第一传感器”，第一纵向传感器2051相当于“第二传感器”。

第二～第五实施方式也可以依据第六、第七、第八、以及第九实施方式的任意一个进行变形。也可以作为变形例并行地执行第三～五实施方式中至少两个实施方式的处理方法。

除了到此为止的说明方式之外上述的实施方式以及变形例也可以作为构成为能够搭载于主移动体且至少各具有一个处理器12以及存储器10的装置，以处理电路(例如处理ECU等)或者半导体装置(例如半导体芯片等)方式实施。

Claims (15)

1.一种处理方法，是为了执行与主移动体(2)的驾驶控制相关的处理，而通过处理器(12)执行的处理方法，其中，包含：

监视通过探测上述主移动体的内外环境生成的探测信息的障碍；以及

在判定为产生了上述障碍的情况下，通过基于安全模型，设定与上述探测信息对应的上述驾驶控制中的制约，其中，上述安全模型遵循驾驶策略，且对预期的功能的安全性进行了建模。

2.根据权利要求1所述的处理方法，其中，

设定上述制约包含基于根据上述障碍的产生场景假定的上述安全模型。

3.根据权利要求1或者2所述的处理方法，其中，

在上述主移动体搭载有成为上述探测信息的生成源的传感器系统(5)，

设定上述制约包含在上述传感器系统所设定的检测范围(As)不存在目标移动体(3)的场景下判定为产生了上述障碍的情况下，基于在上述传感器系统的检测极限距离假定了虚拟移动体的上述安全模型，设定上述制约。

4.根据权利要求3所述的处理方法，其中，

上述传感器系统包含第一传感器(2501)、和与上述第一传感器相比检测极限距离设定为距离上述主移动体远的第二传感器(2502)，

设定上述制约包含在上述第一传感器的上述检测范围不存在目标移动体(3)的场景下判定为产生了上述障碍的情况下，设定从上述第二传感器的检测极限距离上的上述制约到上述第一传感器的检测极限距离上的上述制约为止的逐渐变化。

5.根据权利要求4所述的处理方法，其中，

设定上述制约包含在上述第一传感器的上述检测范围存在目标移动体(3)的场景下判定为产生了上述障碍的情况下，设定从该目标移动体的估计位置上的上述制约到上述第一传感器的检测极限距离上的上述制约为止的逐渐变化。

6.根据权利要求1～5中任意一项所述的处理方法，其中，

上述障碍包含搭载于上述主移动体且成为上述探测信息的生成源的传感器系统(5)的感测异常。

7.根据权利要求1～6中任意一项所述的处理方法，其中，

上述障碍包含上述探测信息中与目标移动体(3)的距离相关的信息的精度异常。

8.根据权利要求6或者7所述的处理方法，其中，

上述制约包含基于对上述主移动体限制纵向以及横向的车道结构下的上述安全模型设定的、纵向或者横向上的速度的限制值。

9.根据权利要求1～8中任意一项所述的处理方法，其中，

上述障碍包含上述探测信息中与目标移动体(3)的种类相关的信息的识别异常。

10.根据权利要求1～9中任意一项所述的处理方法，其中，

上述障碍包含上述探测信息中与上述主移动体的位置相关的信息的定位异常。

11.根据权利要求9或者10所述的处理方法，其中，

上述制约包含基于对上述主移动体解除纵向以及横向的限制的虚拟环境下的上述安全模型设定的、纵向上的加速度的限制值。

12.根据权利要求9～11中任意一项所述的处理方法，其中，

上述制约包含基于对上述主移动体解除纵向以及横向的限制的虚拟环境下的上述安全模型设定的、横向上的横摆率以及轨道曲率变化率中至少一方的限制值。

13.一种处理系统，是包含处理器(12)，并执行与主移动体(2)的驾驶控制相关的处理的处理系统，其中，

上述处理器构成为执行：

监视通过探测上述主移动体的内外环境生成的探测信息的障碍；以及

在判定为产生了上述障碍的情况下，通过基于安全模型，设定与上述探测信息对应的上述驾驶控制中的制约，其中，上述安全模型遵循驾驶策略，且对预期的功能的安全性进行了建模。

14.一种处理程序，是存储于存储介质(10)，且包含为了执行与主移动体(2)的驾驶控制相关的处理而使处理器(12)执行的命令的处理程序，其中，

上述命令包含：

使上述处理器监视通过探测上述主移动体的内外环境生成的探测信息的障碍；以及

使上述处理器在判定为产生了上述障碍的情况下，通过基于安全模型，设定与上述探测信息对应的上述驾驶控制中的制约，其中，上述安全模型遵循驾驶策略，且对预期的功能的安全性进行了建模。

15.一种处理装置，是包含处理器(12)，构成为能够搭载于主移动体(2)，并执行与上述主移动体的驾驶控制相关的处理的处理装置，其中，

上述处理器构成为执行：

监视通过探测上述主移动体的内外环境生成的探测信息的障碍；以及

在判定为产生了上述障碍的情况下，通过基于安全模型，设定与上述探测信息对应的上述驾驶控制中的制约，其中，上述安全模型遵循驾驶策略，且对预期的功能的安全性进行了建模。