CN116829432A - 处理方法、处理系统、处理程序、处理装置 - Google Patents

Abstract

本发明提供一种处理方法、处理系统、处理程序、处理装置。其中，为了执行与主移动体的驾驶控制相关的处理而由处理器执行的处理方法包含：在手动驾驶的主移动体中检测驾驶员的手动操作偏离稳态操作的手动偏差；以及存储容许反应时间(ρp)，该容许反应时间是通过基于安全模型而获取的、作为在手动偏差的产生过程中主移动体做出反应的反应时间而被允许的时间，上述安全模型是依据驾驶策略的模型，是对预期的功能的安全性进行建模而获得的模型。

Description

处理方法、处理系统、处理程序、处理装置

相关申请的交叉引用

本申请以于2021年2月5日在日本申请的专利申请第2021－17658号为基础，整体上通过参照引用基础申请的内容。

技术领域

本公开涉及用于执行与主移动体的驾驶控制相关的处理的处理技术。

背景技术

专利文献1所公开的技术根据与主车辆的内外环境相关的检测信息来计划与主车辆的导航动作相关的驾驶控制。因此，在基于按照驾驶策略的安全模型和检测信息判断为有潜在的事故责任的情况下，对驾驶控制给予了安全制约。在该安全制约中，考虑了主车辆以及目标车辆的反应时间。

专利文献1：日本专利第6708793号公报

在专利文献1的公开技术中，对自动驾驶时的主车辆设想了反应时间。另外，在专利文献1的公开技术中，对主车辆和目标车辆设想了共用的反应时间。在这样的设想下，设想有难以确保驾驶控制的精度的情况。

发明内容

本公开的课题在于提供一种确保驾驶控制的精度的处理方法。本公开的另一个课题在于提供一种确保驾驶控制的精度的处理系统。本公开的又一个课题在于提供一种确保驾驶控制的精度的程序。本公开的又一个课题在于提供一种确保驾驶控制的精度的处理装置。

以下对用于解决课题的本公开的技术手段进行说明。

本公开的第一方式是为了执行与主移动体的驾驶控制相关的处理，而由处理器执行的处理方法，包含：

在手动驾驶的主移动体中检测驾驶员的手动操作偏离稳态操作的手动偏差；以及

输出容许反应时间，上述容许反应时间是基于安全模型获取的、作为在手动偏差的产生过程中主移动体做出反应的反应时间而被允许的时间，上述安全模型是依据驾驶策略的模型，是对预期的功能的安全性进行建模而获得的模型。

本公开的第二方式是处理系统，该处理系统包含处理器，执行与主移动体的驾驶控制相关的处理，

处理器构成为执行如下处理：

在手动驾驶的主移动体中检测驾驶员的手动操作偏离稳态操作的手动偏差；以及

输出容许反应时间，上述容许反应时间是基于安全模型获取的、作为在手动偏差的产生过程中主移动体做出反应的反应时间而被允许的时间，上述安全模型是依据驾驶策略的模型，是对预期的功能的安全性进行建模而获得的模型。

本公开的第三方式是一种处理程序，该处理程序存储于存储介质，包含为了执行与主移动体的驾驶控制相关的处理而使处理器执行的指令，

指令使处理器执行如下处理：

在手动驾驶的主移动体中检测驾驶员的手动操作偏离稳态操作的手动偏差；

输出容许反应时间，上述容许反应时间是基于安全模型获取的、作为在手动偏差的产生过程中主移动体做出反应的反应时间而被允许的时间，上述安全模型是依据驾驶策略的模型，是对预期的功能的安全性进行建模而获得的模型。

本公开的第四方式是一种处理装置，上述处理装置包含处理器，构成为可以搭载于主移动体，执行与主移动体的驾驶控制相关的处理，

处理器构成为执行如下处理：

在手动驾驶的主移动体中检测驾驶员的手动操作偏离稳态操作的手动偏差；以及

输出容许反应时间，上述容许反应时间是基于安全模型获取的、作为在手动偏差的产生过程中主移动体做出反应的反应时间而被允许的时间，上述安全模型是依据驾驶策略的模型，是对预期的功能的安全性进行建模而获得的模型。

根据这些第一～第四方式，在手动驾驶的主移动体中，在驾驶员的手动操作偏离稳态操作的手动偏差的产生过程中，主移动体所允许的容许反应时间是根据基于安全模型的获取而输出的，其中，上述安全模型是依据驾驶策略的模型，是对预期的功能的安全性进行建模而获得的模型。由此，由于能够设想专用于手动偏差的产生场景的容许反应时间，能够对手动驾驶的主移动体设定适当的制约来确保驾驶控制的精度。

本公开的第五方式是一种处理方法，上述处理方法是为了执行与主移动体的驾驶控制相关的处理，而由处理器执行的，包含：

检测相对于自动驾驶的主移动体后续行驶的目标移动体；以及

输出容许反应时间，上述容许反应时间是通过基于安全模型而获取的、作为目标移动体做出反应的反应时间而被允许的时间，上述安全模型是依据驾驶策略的模型，是对预期的功能的安全性进行建模而获得的模型。

本公开的第六方式是一种处理系统，该处理系统包含处理器，执行与主移动体的驾驶控制相关的处理，

处理器构成为执行如下处理：

检测相对于自动驾驶的主移动体后续行驶的目标移动体；以及

输出容许反应时间，上述容许反应时间是通过基于安全模型而获取的、作为目标移动体做出反应的反应时间而被允许的时间，上述安全模型是依据驾驶策略的模型，是对预期的功能的安全性进行建模而获得的模型。

本公开的第七方式是一种处理程序，该处理程序存储于存储介质，包含为了执行与主移动体的驾驶控制相关的处理而使处理器执行的指令，

指令使处理器执行如下处理：

检测相对于自动驾驶的主移动体后续行驶的目标移动体；以及

输出容许反应时间，上述容许反应时间是通过基于安全模型而获取的、作为目标移动体做出反应的反应时间而被允许的时间，上述安全模型是依据驾驶策略的模型，是对预期的功能的安全性进行建模而获得的模型。

本公开的第八方式是一种处理装置，上述处理装置包含处理器，构成为可以搭载于主移动体，执行与主移动体的驾驶控制相关的处理，

处理器构成为执行如下处理：

检测相对于自动驾驶的主移动体后续行驶的目标移动体；以及

输出容许反应时间，上述容许反应时间是通过基于安全模型而获取的、作为目标移动体做出反应的反应时间而被允许的时间，上述安全模型是依据驾驶策略的模型，是对预期的功能的安全性进行建模而获得的模型。

根据这些第五～第八方式，在自动驾驶的主移动体中，在目标移动体的后续行驶中，目标移动体所允许的容许反应时间是根据基于安全模型的获取而输出的，其中，上述安全模型是依据驾驶策略的模型，是对预期的功能的安全性进行建模而获得的模型。由此，由于能够设想专用于目标移动体的后续行驶场景的容许反应时间，因此能够对自动驾驶的主移动体设定适当的制约来确保驾驶控制的精度。

附图说明

图1是表示本公开中的术语的说明的说明表。

图2是表示本公开中的术语的说明的说明表。

图3是表示本公开中的术语的说明的说明表。

图4是表示本公开中的术语的定义的说明表。

图5是表示本公开中的术语的定义的说明表。

图6是表示第一实施方式的处理系统的框图。

图7是表示第一实施方式所应用的主车辆的行驶环境的示预期。

图8是表示第一实施方式的处理系统的框图。

图9是表示第一实施方式的车道结构例的示预期。

图10是表示第一实施方式的处理方法的流程图。

图11是表示第二实施方式的处理方法的流程图。

图12是表示第三实施方式的处理系统的框图。

图13是表示第三实施方式的处理方法的流程图。

图14是表示第四实施方式的处理方法的流程图。

图15是表示第五实施方式的处理系统的框图。

图16是表示第五实施方式的处理方法的流程图。

图17是表示第六实施方式的处理方法的流程图。

图18是表示第七实施方式的处理系统的框图。

图19是表示第七实施方式的处理系统的框图。

图20是表示第八实施方式的处理系统的框图。

图21是表示第八实施方式的处理方法的流程图。

图22是表示第九实施方式的处理方法的流程图。

具体实施方式

以下，基于附图对本公开的多个实施方式进行说明。此外，有通过对各实施方式中对应的构成要素标注相同的附图标记，而省略重复的说明的情况。另外，当在各实施方式中仅对结构的一部分进行说明的情况下，对于该结构的其他部分，能够应用之前说明的其他实施方式的结构。并且，不仅是在各实施方式的说明中明确示出的结构的组合，特别是只要组合不产生障碍，即使未明确示出也能够将多个实施方式的结构彼此部分地组合。

图1～5示出与本公开的各实施方式相关的术语的说明。但是，术语的定义并不限定于图1～5所示的说明来解释，而是在不脱离本公开的主旨的范围内进行解释。

(第一实施方式)

图6所示的第一实施方式的处理系统1执行与主移动体的驾驶控制相关的处理(以下，记作驾驶控制处理)。作为处理系统1的驾驶控制处理的对象的主移动体是图7所示的主车辆2。从主车辆2的观点来看，也可以说主车辆2是本车辆(ego-vehicle)。

在主车辆2中，执行自动驾驶。自动驾驶根据动态驾驶任务(Dynamic DrivingTask：以下记作DDT)中的乘员的手动干预度，进行等级划分。自动驾驶也可以通过有条件驾驶自动化、高度驾驶自动化、或者完全驾驶自动化这样的工作时的系统执行所有DDT的自主行驶控制来实现。自动驾驶也可以通过在驾驶辅助、或者部分驾驶自动化这样的作为乘员的驾驶员执行一部分或者所有DDT的高度驾驶辅助控制中实现。自动驾驶也可以通过这些自主行驶控制和高度驾驶辅助控制中的任意一方、组合、或者切换来实现。

在主车辆2中，搭载图6、图8所示的传感器系统5、通信系统6、以及地图DB(DataBase：数据库)7、以及信息提示系统4。传感器系统5通过主车辆2中的外界以及内界的检测来获取可由处理系统1利用的传感器数据。为此，传感器系统5包含外界传感器50以及内界传感器52而构成。

外界传感器50也可以检测存在于主车辆2的外界的物标。物标检测类型的外界传感器50例如是相机、LiDAR(Light Detection and Ranging/Laser Imaging Detectionand Ranging)、激光雷达、毫米波雷达、以及超声波声纳等中的至少一种。外界传感器50也可以检测主车辆2的外界中的大气的状态。大气检测类型的外界传感器50例如是外部气温传感器以及湿度传感器等中的至少一种。

内界传感器52也可以在主车辆2的内界检测与车辆运动相关的特定的物理量(以下，记作运动物理量)。物理量检测类型的内界传感器52例如是速度传感器、加速度传感器以及陀螺仪传感器等中的至少一种。内界传感器52也可以检测主车辆2的内界中的乘员的状态。乘员检测类型的内界传感器52例如是致动器传感器、驾驶员状态监视器、生物体传感器、落座传感器以及车内设备传感器等中的至少一种。这里特别是作为致动器传感器，采用检测与主车辆2的运动致动器相关的乘员的操作状态的例如加速器传感器、制动传感器以及转向操纵传感器等中的至少一种。

通信系统6通过无线通信获取可由处理系统1利用的通信数据。通信系统6也可以从存在于主车辆2的外界的GNSS(Global Navigation Satellite System：全球导航卫星系统)的人造卫星接收定位信号。定位类型的通信系统6例如是GNSS接收机等。通信系统6也可以在与存在于主车辆2的外界的V2X系统之间收发通信信号。V2X类型的通信系统6例如是DSRC(Dedicated Short Range Communications：专用短程通信)通信器、以及蜂窝V2X(C-V2X)通信器等中的至少一种。通信系统6也可以在与存在于主车辆2的内界的终端之间收发通信信号。终端通信类型的通信系统6例如是蓝牙(Bluetooth：注册商标)设备、Wi－Fi(注册商标)设备、以及红外线通信设备等中的至少一种。

地图DB7存储可由处理系统1利用的地图数据。地图DB7例如包含半导体存储器、磁介质以及光学介质等中的至少一种非过渡实体存储介质(non-transitory tangiblestorage medium)而构成。地图DB7也可以是用于推断包含自身位置的主车辆2的自身状态量的定位器的DB。地图DB也可以是对主车辆2的行驶路径进行导航的导航单元的DB。地图DB7也可以由多种DB的组合来构建。

地图DB7例如通过经由V2X类型的与通信系统6的外部中心的通信等，获取并存储最新的地图数据。地图数据被数据化为二维或者三维，作为表示主车辆2的行驶环境的数据。作为三维的地图数据，也可以采用高精度地图的数字数据。地图数据也可以包含例如表示道路结构的位置坐标、形状、以及路面状态等中的至少一种的道路数据。地图数据也可以包含例如表示附属于道路的道路标志、道路显示及区划线的位置坐标以及形状等中的至少一种的标识数据。地图数据所包含的标识数据也可以表示路标中的例如交通标志、箭头标记、车道标记、停止线、方向标志、路标信标、长方形标志、商业标志、或者道路的线图变化等。地图数据也可以包含例如表示面向道路的建筑物以及信号灯的位置坐标以及形状等中的至少一种结构物数据。地图数据所包含的标识数据也可以表示路标中的例如路灯、道路边缘、反射板、电线杆或者道路标志的背侧等。

信息提示系统4向包含主车辆2的驾驶员的乘员提示报告信息。信息提示系统4包含视觉提示单元、听觉提示单元以及皮肤感觉提示单元而构成。视觉提示单元通过刺激乘员的视觉来提示报告信息。视觉提示单元例如是HUD(Head-up Display：平视显示器)、MFD(Multi Function Display：多功能显示器)、组合仪表、导航单元以及发光单元等中的至少一种。听觉提示单元通过刺激乘员的听觉来提示报告信息。听觉提示单元例如是扬声器、蜂鸣器以及振动单元等中的至少一种。皮肤感觉提示单元通过刺激乘员的皮肤感觉来提示报告信息。被皮肤感觉提示单元刺激的皮肤感觉例如包含触觉、温度、以及风等中的至少一种。皮肤感觉提示单元例如是方向盘的振动单元、驾驶座的振动单元、方向盘的反作用力单元、加速踏板的反作用力单元、制动踏板的反作用力单元以及空调单元等中的至少一种。

如图6所示，处理系统1例如经由LAN(Local Area Network：局域网)、线束、内部总线以及无线通信线路等中的至少一种与传感器系统5、通信系统6、地图DB7以及信息提示系统4连接。处理系统1包含至少一个专用计算机而构成。构成处理系统1的专用计算机也可以是统合主车辆2的驾驶控制的统合ECU(Electronic Control Unit：电子控制单元)。构成处理系统1的专用计算机也可以是判断主车辆2的驾驶控制中的DDT的判断ECU。构成处理系统1的专用计算机也可以是监视主车辆2的驾驶控制的监视ECU。构成处理系统1的专用计算机也可以是评价主车辆2的驾驶控制的评价ECU。

构成处理系统1的专用计算机也可以是对主车辆2的行驶路径进行导航的导航ECU。构成处理系统1的专用计算机也可以是推断包含主车辆2的自身位置的自身状态量的定位器ECU。构成处理系统1的专用计算机也可以是控制主车辆2的运动致动器的致动器ECU。构成处理系统1的专用计算机也可以是控制主车辆2中的信息提示的HCU(HMI(HumanMachine Interface：人机界面)Control Unit)。构成处理系统1的专用计算机也可以是至少一个外部计算机，该外部计算机构建例如能够经由通信系统6进行通信的外部中心或者移动终端等。

构成处理系统1的专用计算机具有存储器10以及处理器12各至少一个。存储器10是非暂时地存储计算机可读取的程序以及数据等，例如半导体存储器、磁介质以及光学介质等中的至少一种非过渡实体存储介质(non-transitory tangible storage medium)。处理器12例如包含CPU(Central Processing Unit：中央处理单元)、GPU(GraphicsProcessing Unit：图形处理器)、以及RISC(Reduced Instruction Set Computer：精简指令集计算机)－CPU等中的至少一种作为核心。

处理器12执行作为软件存储于存储器10的处理程序所包含的多个指令。由此，处理系统1构建多个用于进行主车辆2的驾驶控制处理的功能模块。像这样，在处理系统1中，通过为了执行主车辆2的驾驶控制处理而存储于存储器10的处理程序使处理器12执行多个指令，来构建多个功能模块。如图8所示，由处理系统1构建的多个功能模块包含检测块100、计划块120、风险监视块140以及控制块160。

检测块100从传感器系统5的外界传感器50以及内界传感器52获取传感器数据。检测块100从通信系统6获取通信数据。检测块100从地图DB7获取地图数据。检测块100通过将这些获取数据作为输入进行融合，来检测主车辆2的内外环境。通过内外环境的检测，检测块100生成给予后段的计划块120和风险监视块140的检测信息。这样，在生成检测信息时，检测块100从传感器系统5以及通信系统6获取数据，并识别或者理解获取数据的含义，可以说是统合获取数据来把握包括主车辆2的外界状况和自身在其中所处的状况、以及主车辆2的内界状况在内的所有状况。检测块100也可以对计划块120和风险监视块140给予实质相同的检测信息。检测块100也可以对计划块120和风险监视块140给予不同的检测信息。

检测块100所生成的检测信息描述在主车辆2的行驶环境中按每个场景检测的状态。检测块100也可以通过检测包含主车辆2的外界中的道路用户、障碍物以及结构物的物体，来生成该物体的检测信息。物体的检测信息也可以表示例如到物体的距离、物体的相对速度、物体的相对加速度、基于物体的追踪检测的推断状态等中的至少一种。物体的检测信息还可以表示根据检测出的物体的状态识别或者确定出的种类。检测块100也可以通过检测主车辆2当前以及将来行驶的行驶路线，来生成该行驶路线的检测信息。行驶路线的检测信息例如也可以表示路面、车道、路边以及自由空间等中的至少一种的状态。

检测块100也可以通过推断性地检测包含主车辆2的自身位置的自身状态量的定位，来生成该自身状态量的检测信息。检测块100也可以与自身状态量的检测信息同时，生成与主车辆2的行驶路线相关的地图数据的更新信息，并将该更新信息反馈给地图DB7。检测块100也可以通过检测与主车辆2的行驶路线建立有关联的标识，来生成该标识的检测信息。标识的检测信息例如也可以表示标志、区划线以及信号灯等中的至少一种的状态。标识的检测信息还可以表示根据标识的状态识别或者确定的交通规则。检测块100也可以通过检测主车辆2所行驶的每个场景的气象状况，来生成该气象状况的检测信息。检测块100也可以通过检测主车辆2的每个行驶场景的时刻，来生成该时刻的检测信息。

计划块120从检测块100获取检测信息。计划块120根据获取到的检测信息来计划主车辆2的驾驶控制。在驾驶控制的计划中，生成与主车辆2的导航动作以及驾驶员的辅助动作相关的控制指令。即，计划块120实现生成控制指令来作为主车辆2的运动控制请求的DDT功能。计划块120所生成的控制指令也可以包含用于控制主车辆2的运动致动器的控制参数。作为成为控制指令的输出对象的运动致动器，例如可举出内燃机、电动马达、以及它们组合而成的动力总成、制动装置、以及转向操纵装置等中的至少一种。

计划块120也可以通过使用根据驾驶策略及其安全性描述的安全模型，以适合该驾驶策略的方式生成控制指令。安全模型所依据的驾驶策略例如基于保证预期的功能的安全性(Safety Of The Intended Functionality：以下，记作SOTIF)的车辆等级安全战略来规定。换言之，安全模型通过依据实现车辆等级安全战略的驾驶策略，并且通过对SOTIF建模来描述。计划块120也可以通过使驾驶控制结果反向传播至安全模型的机器学习算法，来训练安全模型。作为训练的安全模型，例如也可以使用基于DNN(Deep Neural Network：深度神经网络)这样的神经网络的深度学习、以及强化学习等中的至少一种的学习模型。在这里，所谓的安全模型可以定义为安全相关模型(safety-related models)本身，该安全相关模型表示基于对其他道路用户可合理预见的行动的假定的驾驶行动的安全相关方面，也可以定义为构成该安全相关模型中的一部分的模型。这样的安全模型可以以例如将车辆等级安全公式化的数学模型、以及执行依据该数学模型的处理的计算机程序等中的至少一种形式来构建。

计划块120也可以在生成控制指令之前计划通过驾驶控制使主车辆2将来行驶的路径。也可以为了基于检测信息对主车辆2进行导航，例如通过模拟等运算来执行路径计划。即，计划块120也可以实现计划路径作为主车辆2的战术行动的DDT功能。计划块120还可以在生成控制指令之前，对沿着计划路径的主车辆2计划基于获取到的检测信息的适当的轨道。即，计划块120也可以实现计划主车辆2的轨道的DDT功能。计划块120所计划的轨道也可以按时间序列规定例如行驶位置、速度、加速度以及横摆率等中的至少一种，作为与主车辆2相关的运动物理量。时间序列的轨道计划构建基于主车辆2的导航的将来行驶的方案。计划块120可以通过使用了安全模型的计划来生成轨道。在该情况下，也可以通过运算对所生成的轨道给予成本的成本函数，通过基于该运算结果的机器学习算法来训练安全模型。

计划块120也可以根据获取到的检测信息来计划主车辆2中的自动驾驶等级的调整。自动驾驶等级的调整也可以包含自动驾驶与手动驾驶之间的交接。自动驾驶与手动驾驶之间的交接可以通过执行自动驾驶的运行设计区域(Operational Design Domain：以下，记作ODD)的设定，在伴随着针对该ODD的进入或者退出的方案中实现。在从ODD的退出方案，即，从自动驾驶向手动驾驶的交接方案中，例如基于安全模型等判断为存在不合理的风险的不合理的状况被作为用例举出。在该用例中，计划块120也可以计划DDT回退，该DDT回退用于成为回退预备用户的驾驶员对主车辆2给予最小风险操作使主车辆2移至最小风险状态。

在自动驾驶等级的调整中，也可以包含主车辆2的降级行驶。在降级行驶的方案中，若由于向手动驾驶的交接而存在不合理的风险，则例如基于安全模型等判断出的不合理的状况被作为用例举出。在该用例中，计划块120也可以计划用于通过自主行驶以及自主停止使主车辆2移至最小风险状态的DDT回退。用于使主车辆2移至最小风险状态的DDT回退不仅在降低自动驾驶等级的调整中实现，还在维持自动驾驶等级进行降级行驶的调整，例如MRM(Minimum Risk Maneuver：最低风险控制)等中实现。在用于使主车辆2移至最小风险状态的DDT回退中，例如也可以通过照明、喇叭音、信号以及手势等中的至少一种来提高该转移状况的明显性。

风险监视块140从检测块100获取检测信息。风险监视块140通过基于获取到的检测信息，按每个场景来监视主车辆2与其他目标移动体3(参照图7)之间的风险。风险监视块140以对目标移动体3保证主车辆2的SOTIF的方式，按时间序列执行基于检测信息的风险监视。在风险监视中设想的目标移动体3是存在于主车辆2的行驶环境中的其他道路用户。目标移动体3例如包含汽车、卡车、摩托车以及自行车这样的没有脆弱性的道路用户、以及行人这样的脆弱的道路用户。目标移动体3还可以包含动物。

风险监视块140基于获取到的每个场景的检测信息来设定在主车辆2中保证SOTIF的例如基于车辆等级安全战略等的安全包络。风险监视块140可以使用依据上述的驾驶策略的安全模型，来设定主车辆2和目标移动体3间的安全包络。安全包络的设定中所使用的安全模型也可以被设计为以遵守事故责任规则避免由不合理的风险或者道路用户的误用引起的潜在的事故责任。换言之，安全模型也可以设计为主车辆2遵守依据驾驶策略的事故责任规则。作为这样的安全模型，例如可举出专利文献1所公开的责任敏感型安全性模型(Responsibility Sensitive Safety model)等。

在这里，所谓的安全包络可以定义为一系列的限制以及条件，这些限制以及条件是以系统作为制约或者控制的对象而动作以便在可允许的风险等级内维持操作的方式设计的。这样的安全包络作为包含主车辆2和目标移动体3的各道路用户周围的基于物理的余量，能够通过例如与距离、速度以及加速度等中的至少一种运动物理量相关的余量来设定。例如，在安全包络的设定中，可以通过基于对假定为依据驾驶策略的主车辆2和目标移动体3的安全模型，根据与至少一种运动物理量相关的曲线，来设想安全距离。安全距离限定针对要预测的目标移动体3的运动在主车辆2的周围确保了基于物理的余量的边界。安全距离也可以考虑到道路用户执行适当的响应为止的反应时间来设想。安全距离也可以设想为遵守事故责任规则。例如，在存在车道等车道结构的场景中，也可以运算在主车辆2的纵向避免追尾以及正面碰撞的风险的安全距离和在主车辆2的横向避免侧面碰撞的风险的安全距离。另一方面，在不存在车道结构的场景下，可以运算在主车辆2的任意方向上避免轨道碰撞的风险的安全距离。

风险监视块140也可以在设定上述的安全包络之前确定主车辆2和目标移动体3间的每个相对运动的场景的状况。例如，在存在车道等车道结构的场景下，也可以确定设想在纵向追尾以及正面碰撞的风险的状况和设想在横向侧面碰撞的风险的状况。在这些纵向以及横向的状况确定中，也可以将与主车辆2和目标移动体3相关的状态量转换到以直线状的车道为前提的坐标系。另一方面，在不存在车道结构的场景中，也可以确定在主车辆2的任意方向上设想轨道碰撞的风险的状况。此外，对于以上的状况确定功能，也可以通过由检测块100执行至少一部分，来将状况确定结果作为检测信息给予给风险监视块140。

风险监视块140基于设定的安全包络和获取到的每个场景的检测信息，来执行主车辆2和目标移动体3间的安全判定。即，风险监视块140通过在主车辆2和目标移动体3间基于检测信息解释的行驶场景，测试是否存在违反安全包络的安全包络违反，来实现安全判定。当在安全包络的设定中设想了安全距离的情况下，可以通过主车辆2和目标移动体3间的现实距离超过该安全距离，来做出没有安全包络违反的判定。另一方面，可以通过主车辆2和目标移动体3间的现实距离为安全距离以下，做出有安全包络违反的判定。

风险监视块140在做出有安全包络违反的判定的情况下，也可以通过模拟来运算用于将应作为适当的响应采取的适当的行动给予给主车辆2的合理的方案。在合理方案的模拟中，也可以通过推断主车辆2和目标移动体3间的状态迁移，将每个迁移的状态应采取的行动设定为针对主车辆2的制约(在后面详细叙述)。在行动的设定中，也可以以将给予给主车辆2的至少一种运动物理量限制为针对主车辆2的制约的方式，运算对该运动物理量假定的限制值。

风险监视块140也可以通过基于针对假定为依据驾驶策略的主车辆2和目标移动体3的安全模型，根据与至少一种运动物理量相关的曲线，直接运算用于遵守事故责任规则的限制值。直接的限制值的运算其本身是安全包络的设定，也可以说是针对驾驶控制的制约的设定。因此，在检测到比限制值更靠近安全侧的现实值的情况下，也可以做出没有安全包络违反这样的判定。另一方面，在检测到偏离限制值一侧的现实值的情况下，也可以做出有安全包络违反的判定。

风险监视块140可以将例如用于安全包络的设定的检测信息、表示安全包络的判定结果的判定信息、左右了该判定结果的检测信息、以及模拟的方案等中的至少一种证据信息存储至存储器10。存储证据信息的存储器10也可以根据构成处理系统1的专用计算机的种类，搭载于主车辆2内，例如可以设置于主车辆2外的外部中心等。证据信息可以以非加密状态存储，也可以加密或者散列化来存储。证据信息的存储至少在判定为有安全包络违反的情况下执行。当然，也可以在判定为没有安全包络违反的情况下，执行证据信息的存储。判定为没有安全包络违反的情况下的证据信息在存储时刻可以作为滞后型指标来有效利用，对于将来也可以作为超前型指标来有效利用。

控制块160从计划块120获取控制指令。控制块160从风险监视块140获取与安全包络相关的判定信息。即，控制块160实现控制主车辆2的运动的DDT功能。控制块160在获取到没有安全包络违反这样的判定信息的情况下，根据控制指令执行所计划的主车辆2的驾驶控制。

与此相对，控制块160在获取到有安全包络违反的判定信息的情况下，对所计划的主车辆2的驾驶控制，基于判定信息给予依据驾驶策略的制约。对驾驶控制的制约也可以是功能性的制约(functional restriction)。对驾驶控制的制约也可以是降级的制约(degraded constraints)。对驾驶控制的制约也可以是与这些制约不同的制约。通过控制指令的限制对驾驶控制给予制约。在通过风险监视块140模拟了合理的方案的情况下，控制块160也可以根据该方案来限制控制指令。此时，在关于主车辆2的运动物理量设定了限制值的情况下，也可以基于该限制值来修正控制指令所包含的运动致动器的控制参数。

以下，对第一实施方式的详细内容进行说明。

如图9所示，第一实施方式设想划分车道的车道结构Ls。车道结构Ls将车道延伸的方向作为纵向，限制主车辆2和目标移动体3的运动。车道结构Ls将车道的宽度方向或者排列的方向作为横向，限制主车辆2和目标移动体3的运动。

车道结构Ls中的主车辆2和目标移动体3间的驾驶策略例如在目标移动体3为目标车辆3a的情况下，规定为下面的(A)～(E)等。此外，所谓的以主车辆2为基准的前方意味着例如主车辆2的当前转向角下的旋转圆上的行进方向、通过与主车辆2中的车轴正交的车辆重心的直线的行进方向、或者主车辆2中的传感器系统5中从前相机模块向该相机的FOE(Focus of Expansion：延伸焦点)的轴线上的行进方向等。

(A)车辆不从后方追尾在前方行驶的车辆。

(B)车辆不强行插入到其他车辆间。

(C)车辆即使在自己优先的情况下，也会根据状况与其他车辆互让。

(D)车辆在视野不好的场所，慎重地驾驶。

(E)车辆无论自责他责，只要是自己能够防止事故发生的状况，就为此采取合理行动。

是依据驾驶策略的模型，且是对SOTIF建模而成的安全模型将不达到不合理的状况的道路用户的行动设想为应采取的适当的合理行动。所谓的车道结构Ls中的主车辆2和目标移动体3间的不合理的状况是正面碰撞、追尾以及侧面碰撞。例如在针对主车辆2的目标移动体3是目标车辆3a的情况下，正面碰撞中的合理行动包含逆向行驶的车辆施加制动等。例如在针对主车辆2的目标移动体3为目标车辆3a的情况下，追尾时的合理行动包含在前方行驶的车辆未施加一定以上的紧急制动、以及以此为前提避免在后方行驶的车辆追尾等。例如在针对主车辆2的目标移动体3为目标车辆3a的情况下，侧面碰撞中的合理行动包含并行的车辆彼此向相互的分离方向转向操纵等。在设想合理行动时与主车辆2以及目标移动体3相关的状态量无论是车道转弯的车道结构Ls、还是车道高低的车道结构Ls，都被转换为假定直线状并且平面状的车道结构Ls来规定纵向以及横向的正交坐标系。

安全模型可以按照事故责任规则来设计未采取合理行动的移动体承担事故责任。在车道结构Ls中的事故责任规则下，用于监视主车辆2和目标移动体3间的风险的安全模型以通过合理行动避免潜在的事故责任的方式，对主车辆2设定针对主车辆2的安全包络。因此，处理系统1的整体为正常的状况下的风险监视块140针对主车辆2和目标移动体3间的现实距离，通过按每个行驶场景对照基于安全模型的安全距离，来判定有无安全包络违反。在有安全包络违反的情况下，风险监视块140模拟用于对主车辆2给予合理行动的方案。通过模拟，风险监视块140例如设定与速度以及加速度等中的至少一方相关的限制值，作为针对控制块160中的驾驶控制的制约。

在第一实施方式中，由多个功能模块共同执行根据图10所示的流程图执行驾驶控制理的处理方法。第一实施方式的处理方法在由计划块120计划的手动驾驶中被反复执行。此外，在以下的说明中，处理方法的各“S”分别是指由处理程序所包含的多个指令执行的多个步骤。

在处理方法的S100中，风险监视块140判定是否由检测块100检测到在手动驾驶的主车辆2中驾驶员的手动操作偏离稳态操作的手动偏差。由检测块100进行手动偏差的检测基于作为从传感器系统5中的例如致动器传感器等内界传感器52获取的传感器数据的、表示驾驶员的操作状态的操作数据。

在判定是否检测到手动偏差时，风险监视块140获取与稳态操作相关的稳态信息。稳态操作是指在自动驾驶的主车辆2中按每个场景控制的对运动致动器的合理的或者最小风险的操作。因此，稳态信息可以包含合理的或者最小风险的操作量来获取，并且还可以包含该操作量的分散值(即，容许误差)来获取。风险监视块140也可以从计划块120获取稳态信息，其中，该计划块120在自动驾驶中计划基于稳态操作的轨道。风险监视块140通过基于根据自动驾驶中的安全模型设想的运动物理量曲线的例如模拟等运算，来获取稳态信息。

在判定是否检测到手动偏差时，风险监视块140关于偏差产生操作获取检测信息，其中，该偏差产生操作是由检测块100基于操作数据生成的、给予手动偏差的驾驶员的手动操作。偏差产生操作可以是对于每个场景的风险以驾驶员在心理上或者感觉上偏离高度驾驶辅助控制中的稳态操作的方式以手动给予的、用于风险避免的追加的手动操作。偏差产生操作也可以是按自动驾驶未干预的手动驾驶的每个场景因驾驶员通过手动给予而偏离稳态操作的手动操作。偏差产生操作也可以是例如针对与弯道的曲率等一致的转向操纵的稳态操作的包含转动以及转回方向盘的微调操作(即，修正转向)。偏差产生操作也可以是例如针对直线路或者弯道等处的制动断开的稳态操作的制动接通操作。偏差产生操作也可以是例如针对直线路或者弯道出口等处的踩加速器的稳态操作的加速器接通操作。为了表示这样的偏差产生操作，检测信息包含在手动驾驶中针对运动致动器的驾驶员的操作量而获取。

S100中的风险监视块140通过稳态信息以及检测信息各自所表示的操作量彼此的差分是否在设定范围外，来判定是否检测到手动偏差。成为是否检测到的判定基准的设定范围可以设定为小于应判定为产生手动偏差的差分的下限值、或者应判定为稳态操作的范围的差分的上限值以下。稳态信息包含操作量的分散值的情况下的差分的设定范围可以设定为在操作量上在安全侧加上该分散值所得的上限值以下。

在S100中，在操作量彼此的差分在设定范围内的情况下，通过风险监视块140做出没有检测到手动偏差的判定，结束处理方法的本次流程。另一方面，当在S100中操作量彼此的差分在设定范围外的情况下，通过风险监视块140做出检测到手动偏差的判定，处理方法移至S101。

在处理方法的S101中，风险监视块140获取容许反应时间ρp，该容许反应时间ρp是通过基于安全模型，作为针对目标移动体3的主车辆2的反应时间ρ而被允许的时间，上述安全模型是依据驾驶策略的模型，且是对SOTIF建模而成。在主车辆2中的产生手动偏差时，反应时间ρ是指到主车辆2也包含驾驶员的反应在内的整体对驾驶员的偏差产生操作做出反应所需的时间。

主车辆2的反应时间ρ与在安全模型中决定对主车辆2的驾驶控制的制约的安全距离dmin相关。即，主车辆2的反应时间ρ作为变量用于安全函数L，该安全函数L表示用于根据式1运算安全距离dmin的运动物理量曲线。在式1中，Q是用于运动曲线的至少一种运动物理量。作为运动物理量Q，根据设想安全模型的每个方案或者场景来选择与主车辆2和目标移动体3中的至少一方相关的例如速度、加减速度、方位角、方位角速度以及位置偏移量等。

[式1]

dmin＝L(ρ，Q)

安全函数L的反函数R通过根据主车辆2和目标移动体3间的安全模型满足式2的函数式或者算法来定义。式2中的dr是在判定安全包络违反时与安全距离dmin对比的现实距离，即，执行S101时当时的主车辆2和目标移动体3间的分离距离。根据这些，S101中的风险监视块140通过依据使用反函数R的式3，来运算主车辆2的容许反应时间ρp。在完成S101的执行后，处理方法移至S102。

[式2]

dr≥L(R(dr，Q)，Q)

[式3]

ρp＝R(dr，Q)

在处理方法的S102中，风险监视块140通过基于由S101获取到的主车辆2的容许反应时间ρp，来获取在主车辆2中对驾驶员的手动操作给予的操作裕度时间ρo。操作裕度时间ρo也可以说是根据主车辆2和目标移动体3间的安全模型，主车辆2中的驾驶员的偏差产生操作所允许的充裕时间。操作裕度时间ρo通过依据使用容许反应时间ρp的式4来运算。在式4中，ρv是在不合理的状况下避免不合理的风险的主车辆2的行为所需的最小时间，被定义为行为所需时间。行为所需时间ρv被设定为在自动驾驶干预手动驾驶之后，按照每个方案或者场景预料到风险避免为止所需的预料的时间。在完成S102的执行后，处理方法移至S103。

[式4]

ρo＝ρp-ρv

在处理方法的S103中，风险监视块140将包含由S101获取到的容许反应时间ρp和由S102获取到的操作裕度时间ρo中的至少一方的证据信息输出至存储器10。证据信息将所输出的时间ρp、ρo中的至少一方与表示运算对象场景的产生时刻的时间戳建立关联地存储至存储器10。证据信息中可以包含例如包含运动物理量Q的容许反应时间ρp的运算变量、包含行为所需时间ρv的操作裕度时间ρo的运算变量、可识别目标移动体3的检测信息、以及包含目标移动体3的行为的检测信息等中的至少一种。证据信息的输出可以以与控制周期相应的处理方法的每一个周期的间隔来执行。S103中的证据信息的输出例如以排除噪声信息等为目的，以比处理方法的一个周期长的每个设定周期的间隔、或者以处理方法的每多个周期的间隔来执行。成为每个设定周期或者每多个周期的输出的情况下，在非输出的时机跳过S103本身。

在S103中，证据信息可以通过向搭载于主车辆2内的存储器10的输出进行存储、或者通过向成为外部中心的存储器10的输出的远程分发来存储，其中，该外部中心成为主车辆2外。输出证据信息的存储器10在搭载于主车辆2内的情况下，即使主车辆2发生碰撞也可以机械式地进行保护。输出证据信息的存储器10在搭载于主车辆2内的情况下，也可以在具有耐火性的搭载位置进行保护。在输出证据信息的存储器10在搭载于主车辆2内的情况下，也可以在具有耐浸水性的搭载位置进行保护。像这样在主车辆2内进行保护的保护存储器10中，也可以存储被加密或者被散列化的证据信息。在为被加密的证据信息的情况下，可以将解密密钥存储于主车辆2内的保护存储器10、主车辆2内的非保护存储器10、以及外部中心的存储器10等中的至少一种。在为被散列化的证据信息的情况下，可以将包含散列值的事务存储于主车辆2内的保护存储器10、主车辆2内的非保护存储器10、以及外部中心的存储器10等中的至少一种。在完成S103的执行后，处理方法移至S104。

在处理方法的S104中，风险监视块140判定由S102获取到的操作裕度时间ρo是否在容许范围外。成为操作裕度时间ρo的判定基准的容许范围例如可以设定为超过判断为需要DDT回退或者降级等风险避免的时间ρo的上限值、或者判断为不需要该风险避免的时间ρo的下限值以上。操作裕度时间ρo的容许范围可以设定为超过了设想为大于0值的上限值的范围，在这种情况下，设定范围外是指在该上限值以下夹着0值的正侧和负侧。操作裕度时间ρo的容许范围可以设定为超过了设想为上限值的0值的范围，在这种情况下，设定范围外是指该0值以下的负侧。

当在S104中风险监视块140做出操作裕度时间ρo为容许范围外的判定的情况下，处理方法移至S105。另一方面，当在S104中风险监视块140做出操作裕度时间ρo为容许范围内的判定的情况下，处理方法移至S108。

在处理方法的S105中，风险监视块140对主车辆2的运动控制设定用于使自动驾驶干预主车辆2的手动驾驶的制约。用于干预的制约可以是对控制块160的干预指令。在该情况下，通过在手动驾驶中也将自动驾驶中的控制指令与手动驾驶中的控制指令一起从计划块120给予给控制块160，在控制块160中可以根据干预指令选择自动驾驶中的控制指令。在完成S105的执行后，处理方法移至S106。

在处理方法的S106中，风险监视块140对主车辆2的运动控制设定用于使自动驾驶的主车辆2避免不合理的风险的制约。用于风险避免的制约可以是对控制块160的降级指令，该降级指令是针对车辆2尽力而为的，通过执行例如紧急退避行动或者MRM等降级行驶，而使自动驾驶中的驾驶控制继续。用于风险避免的制约也可以是作为用于基于安全模型使自动驾驶的主车辆2移至最小风险状态的制约，根据有安全包络违反的判定信息对控制块160的限制指令。在限制指令作为制约被给予的情况下，将操作裕度时间ρo是否在容许范围外的判定作为是否有安全包络违反的判定来利用。

在S106中，可以将操作裕度时间ρo的容许范围被设定为超过了大于0值的上限值的范围的情况下的在容许范围外中，针对大于0值的正侧的操作裕度时间ρo将降级指令作为制约，针对0值以下的操作裕度时间ρo将限制指令作为制约，来进行切换。通过这样的切换，能够设定正侧的操作裕度时间ρo消失的情况下的限制指令比在正侧保留操作裕度时间ρo的情况下的降级指令严格的安全侧的限制。在完成S106的执行后，处理方法移至S107。

在处理方法的S107中，风险监视块140在存储器10中保持(即，蓄积)由S103输出的包含容许反应时间ρp以及操作裕度时间ρo中的至少一方的证据信息。作为证据信息的保持目的地的存储器10相对于通过S103存储证据信息的存储器10，可以是相同或者不同中的任意一个。在不同的情况下，证据信息可以在将存储目的地变更为搭载于主车辆2内的存储器10后进行保持，或者在将存储目的地变更为成为主车辆2外的外部中心的存储器10后进行保持。另外，在不同的情况下，通过将从S103的存储(即，临时的一次存储)到基于S107的存储目的地变更的保持(即，二次存储)的间隔设定为比关于S103上述的存储的间隔短，即使主车辆2的电源被切断，也可以可靠地保持证据信息。

在S107中保持证据信息的存储器10搭载于主车辆2内的情况下，即使主车辆2发生碰撞也可以机械式地进行保护。保持证据信息的存储器10在搭载于主车辆2内的情况下，也可以在具有耐火性的搭载位置进行保护。保持证据信息的存储器10在搭载于主车辆2内的情况下，也可以在具有耐浸水性的搭载位置进行保护。像这样在主车辆2内被保护的保护存储器10中，也可以保持加密或者散列化的证据信息。在加密的证据信息的情况下，可以将解密密钥保持在主车辆2内的保护存储器10、主车辆2内的非保护存储器10、以及外部中心的存储器10等中的存储目的地变更前或者存储目的地变更后的至少一种。在散列化的证据信息的情况下，可以将包含散列值的事务保持于主车辆2内的保护存储器10、主车辆2内的非保护存储器10、以及外部中心的存储器10等中的至少一种。

通过执行这样的S107，可以将成为不合理的状况或者不合理的风险状态的方案或者场景下的驾驶员的操作行为历史作为证据信息保留。在完成S107的执行后，处理方法的本次流程结束。此外，在执行S107时，与证据信息的保持不同，可以基于在产生手动偏差时存储于存储器10的证据信息，来观测操作裕度时间ρo的时间变化。在该情况下，通过基于时间变化的推移，来判断例如疲劳度等驾驶员状态，可以将该判断结果有效利用于例如驾驶控制的计划或执行、或者安全包络违反的判定等。

如图10所示，在操作裕度时间ρo为容许范围内的情况下的处理方法的S108中，风险监视块140判定在主车辆2中驾驶员的偏差产生操作是否已结束，即，检测块100是否检测出偏差产生操作的结束。因此，偏差产生操作的结束判定基于根据S100的检测块100中的检测信息。当在S108中风险监视块140做出偏差产生操作还在继续的判定的情况下，处理方法的本次流程结束。另一方面，当在S108中风险监视块140做出偏差产生操作结束了的判定的情况下，处理方法移至S109。

即，在判定为操作裕度时间ρo在保持在容许范围内的状态下偏差产生操作结束了的情况下，执行处理方法的S109。在S109中，风险监视块140通过基于由S103输出的操作裕度时间ρo，来更新在安全模型中设想的安全距离dmin。在这里，安全距离dmin作为在自动驾驶中根据安全模型在主车辆2与目标移动体3之间确保的距离，通过式1的安全函数L来运算。因此，安全距离dmin的更新也可以通过风险监视块140调整或者学习安全函数L的参数系数来执行。在完成S109的执行后，处理方法移至S110。

在处理方法的S110中，风险监视块140将表示偏差产生操作的结束场景的场景信息存储至存储器10并保持。场景信息也可以说是表示偏差产生操作的结束事件的事件信息。场景信息与表示偏差产生操作的结束时刻的时间戳建立关联地存储以及保持。场景信息的存储以及保持也可以根据上述的证据信息的情况来执行。通过执行这样的S110，可以保留无自动驾驶干预地避免了风险的方案或者场景下的驾驶员的操作行为历史，作为与容许反应时间ρp以及操作裕度时间ρo中的至少一方不同的证据信息。在完成S110的执行后，处理方法的本次流程结束。

在完成S108以及S110的执行时，风险监视块140可以删除通过S103存储的包含容许反应时间ρp以及操作裕度时间ρo中的至少一方的证据信息。在完成S108以及S110的执行时，风险监视块140根据S107将通过S103存储的证据信息保持于存储器10。风险监视块140也可以在完成本次流程的S108或者S110的执行后的下一次流程的S103中，用新的证据信息覆盖通过本次流程的S103存储的证据信息。

如上所述，在专利文献1的公开技术中，对自动驾驶时的主车辆设想了反应时间。但是，在手动驾驶时，例如由于驾驶员操作的个性化等，反应时间与自动驾驶时不同。因此，即使将专利文献1的公开技术应用于手动驾驶，也存在在主车辆中很难通过适当的安全制约来确保驾驶控制的精度的担忧。另外，如上所述，在专利文献1的公开技术中，对主车辆和目标车辆设想了共用的反应时间。但是，在主车辆后方行驶的目标车辆中，例如由于是自动驾驶以及手动驾驶中的哪一个、或者车辆种类等，反应时间与主车辆不同。因此，存在在目标车辆跟随行驶的主车辆中通过自动驾驶时的适当的安全制约很难确保驾驶控制的精度的担忧。

与此相对，根据以上说明的第一实施方式，在手动驾驶的主车辆2中发生驾驶员的手动操作偏离稳态操作的手动偏差时，根据基于安全模型的获取来输出主车辆2所允许的容许反应时间ρp，该安全模型是依据驾驶策略的模型，是对SOTIF建模而成的。由此，由于能够设想对手动偏差的发生场景特定的容许反应时间ρp，因此能够对手动驾驶的主车辆2设定适当的制约来确保驾驶控制的精度。

(第二实施方式)

第二实施方式是第一实施方式的变形例。

如图11所示，在第二实施方式的处理方法的S200中，风险监视块140判定是否由检测块100检测出作为相对于自动驾驶的主车辆2后续行驶的目标移动体3的目标车辆3a(以下，称为后续车辆3a)。由检测块100进行的后续车辆3a的检测基于从传感器系统5的外界传感器50和V2X类型的通信系统6中的至少一方获取的数据。在判定是否检测到后续车辆3a时，风险监视块140获取包含后续车辆3a的信息的检测信息。

当在S200中风险监视块140做出没有检测到后续车辆3a的判定的情况下，结束处理方法的本次流程。另一方面，当在S200中风险监视块140做出检测到后续车辆3a的判定的情况下，处理方法移至S201。

在处理方法的S201中，风险监视块140获取容许反应时间ρp，该容许反应时间ρp是通过基于安全模型，作为针对主车辆2的后续车辆3a的反应时间ρ而被允许的时间，该安全模型是依据驾驶策略的模型，是对SOTIF进行建模而获得的模型。在正在进行自动驾驶或者正在进行手动驾驶的后续车辆3a中，反应时间ρ意味着到后续车辆3a也包含驾驶员的反应在内的整体做出反应所需的时间。

后续车辆3a的反应时间ρ根据S101作为变量用于式1的安全函数L，该安全函数L的反函数R根据S101由满足式2的函数式或者算法来定义。其中，式2中的dr是在判定安全包络违反时与安全距离dmin对比的现实距离，即，执行S201时当下的主车辆2以及后续车辆3a间的分离距离。根据这些，S201中的风险监视块140根据S101，依据式3，推断性地运算后续车辆3a的容许反应时间ρp。

图8所示的风险监视块140通过在自动驾驶中模拟主车辆2和后续车辆3a间的合理方案，来管理该方案的状态以及切换。在这样的方案管理中，风险监视块140保持主车辆2以及后续车辆3a间的合理方案的状态。并且，每当所保持的方案的状态迁移，风险监视块140就判断主车辆2以及后续车辆3a各自的适当的响应亦即合理行动。

因此，在图11所示的S201中，风险监视块140关于在容许反应时间ρp的运算中关注的合理行动，管理与方案的状态迁移同步的开始场景以及结束场景间的关注期间。作为所关注的合理行动的开始场景，例如可以确定对于主车辆2的信号停止状态下的后续车辆3a的碰撞风险等这样的重要度较高的事故风险需要避免的事件。作为所关注的合理行动的结束场景，可以确定合理方案的安全的结束事件、以及安全包络违反的发生事件中的任意一个。根据这些，风险监视块140也可以对合理行动的关注期间执行依据式3的容许反应时间ρp的运算。在完成S201的执行后，处理方法移至S202。

在处理方法的S202中，风险监视块140通过基于由S201获取到的后续车辆3a的容许反应时间ρp，来获取被给予给主车辆2中的自动驾驶时的自动操作的操作裕度时间ρo。操作裕度时间ρo也可以说是根据主车辆2和后续车辆3a间的安全模型风险避免操作所允许的富余时间。风险监视块140根据S102，通过依据式4，来运算主车辆2相对于后续车辆3a的操作裕度时间ρo。其中，行为所需时间ρv被设定为根据每个方案或者每个场景从发生不合理的状况或不合理的风险状态到风险避免所需的预计时间。在完成S202的执行后，处理方法移至S203。

在处理方法的S203中，风险监视块140根据S103将包含由S201获取到的容许反应时间ρp和由S202获取到的操作裕度时间ρo中的至少一方的证据信息输出至存储器10。其中，在S203中，证据信息中可以包含表示关注的合理行动的开始场景以及结束场景中的至少一方的场景信息。通过S203存储于输出目的地的存储器10的操作裕度时间ρo也可以用于根据S109更新在安全模型中设想的安全距离dmin。在完成S203的执行后，处理方法移至S204。

在处理方法的S204中，风险监视块140根据S104来判定由S202获取到的操作裕度时间ρo是否在容许范围外。当在S204中风险监视块140做出操作裕度时间ρo在容许范围外的判定的情况下，处理方法移至S205。另一方面，当在S204中风险监视块140做出操作裕度时间ρo在容许范围内的判定的情况下，处理方法移至S208。

在处理方法的S205中，风险监视块140将对主车辆2的运动控制给予制约的自动操作作为风险避免操作，在存储器10中设置表示该风险避免操作中的风险避免标志。在完成S205的执行后，处理方法移至S206。

在处理方法的S206中，风险监视块140对主车辆2的运动控制设定用于使自动驾驶的主车辆2避免对后续车辆3a的不合理的风险的制约。用于风险避免的制约也可以是对主车辆2的尽力而为，例如通过早期减速或者降低减速度等，尽可能地避免后续车辆3a的碰撞的避免指令。用于风险避免的制约作为用于基于安全模型使自动驾驶的主车辆2移至最小风险状态的制约，也可以是基于有安全包络违反的判定信息对控制块160的限制指令。在限制指令作为制约被给予的情况下，操作裕度时间ρo是否在容许范围外的判定也可以作为是否有安全包络违反的判定来利用。

在S206中，可以将操作裕度时间ρo的容许范围被设定为超过了大于0值的上限值的范围的情况下的容许范围外中，针对大于0值的正侧的操作裕度时间ρo将避免指令作为制约，针对0值以下的操作裕度时间ρo将限制指令作为制约，来进行切换。通过这样的切换，能够设定正侧的操作裕度时间ρo消失的情况下的限制指令比在正侧保留操作裕度时间ρo的情况下的避免指令严格的安全侧的限制。在完成S206的执行后，处理方法移至S207。

在处理方法的S207中，风险监视块140根据S107将包含容许反应时间ρp以及操作裕度时间ρo中的至少一方而输出的证据信息保持(即，蓄积)于存储器10。其中，在S207中保持的证据信息中，也可以包含所关注的合理行动的开始场景和结束场景、以及表示风险避免操作的开始场景中的至少一种的场景信息。在S207中所保持的证据信息中，作为表示针对主车辆2中的风险避免操作的后续车辆3a的行为的检测信息，例如包含刹车灯的点亮信息等。通过执行这样的S207，可以将成为不合理的状况或者不合理的风险状态的方案或者场景中的车辆2、3a的操作行为历史作为证据信息保留。在完成S207的执行后，处理方法移至S208。

如图11所示，在操作裕度时间ρo在容许范围内的情况下的处理方法的S208中，风险监视块140判定在存储器10中是否设置有风险避免标志。当在S208中风险监视块140做出未设置风险避免标志的判定的情况下，处理方法的本次流程结束。另一方面，当在S208中风险监视块140做出设置有风险避免标志的判定的情况下，处理方法移至S209。

即，在判定为暂时在容许范围外的操作裕度时间ρo通过风险避免操作返回到容许范围内的情况下，执行处理方法的S209。在S209中，风险监视块140将表示风险避免操作的结束场景的场景信息存储于存储器10并保持，作为与容许反应时间ρp以及操作裕度时间ρo中的至少一方不同的证据信息。通过执行这样的S209，可以将从成为不合理的状况或者不合理的风险状态的方案或者场景恢复的情况下的车辆2、3a的操作行为历史作为与容许反应时间ρp以及操作裕度时间ρo中的至少一方不同的证据信息保留。在完成S209的执行后，处理方法移至S210。

在处理方法的S210中，风险监视块140在存储器10中解除存储器10中的风险避免标志。在完成S210的执行后，处理方法的本次流程结束。

在未设置风险避免标志的情况下的S208、以及完成S210的执行时，风险监视块140可以删除由S103存储的包含容许反应时间ρp以及操作裕度时间ρo中的至少一方的证据信息。在未设置风险避免标志的情况下的S208、以及完成S210的执行时，风险监视块140可以根据S107、S207将由S103存储的证据信息保持于存储器10。风险监视块140也可以在本次流程中未设置风险避免标志的情况下的S208、或者完成本次流程的S210的执行后的下一次流程的S103中，用新的证据信息覆盖由本次流程的S103存储的证据信息。

根据以上说明的第二实施方式，在自动驾驶的主车辆2中，在作为目标移动体3的后续车辆3a的跟随行驶中，根据基于安全模型的获取来输出该后续车辆3a所允许的容许反应时间ρp，其中，该安全模型是依据驾驶策略的模型，是对SOTIF建模而获得的模型。由此，由于能够设想特定于后续车辆3a的跟随行驶场景的容许反应时间ρp，因此能够对自动驾驶的主车辆2设定适当的制约来确保驾驶控制的精度。

(第三实施方式)

第三实施方式是第一实施方式的变形例。

如图12所示，在第三实施方式的系统结构的控制块3160中，从风险监视块140中省略了与安全包络相关的判定信息的获取处理。因此，第三实施方式的计划块3120从风险监视块140获取与安全包络相关的判定信息。计划块3120在获取到没有安全包络违反这样的判定信息的情况下，依据计划块120来计划主车辆2的驾驶控制。另一方面，在获取到有安全包络违反的判定信息的情况下，计划块3120在计划依据计划块120的驾驶控制的阶段，对该驾驶控制给予基于判定信息的制约。即，计划块3120限制要计划的驾驶控制。在任何情况下，由控制块3160执行由计划块3120计划的主车辆2的驾驶控制。

如图13所示，在第三实施方式的处理方法的S305中，风险监视块140除了通过对计划块3120的干预指令执行用于自动驾驶干预手动驾驶的制约以外，依据S105。在第三实施方式的处理方法的S306中，风险监视块140除了通过对计划块3120的降级指令或者限制指令来执行用于风险避免的制约设定以外，依据S106。在这样的第三实施方式中，通过依据第一实施方式的原理，能够对手动驾驶的主车辆2设定适当的制约来确保驾驶控制的精度。

(第四实施方式)

第四实施方式是将第三实施方式的系统结构应用于第二实施方式的处理方法的变形例。

如图14所示，在第四实施方式的处理方法的S406中，风险监视块140除了通过对计划块3120的避免指令或者限制指令来执行用于风险避免的制约设定以外，依据S206。在这样的第四实施方式中，通过依据第二实施方式的原理，能够对自动驾驶的主车辆2设定适当的制约来确保驾驶控制的精度。

(第五实施方式)

第五实施方式是第一实施方式的变形例。

如图15所示，在第五实施方式的系统结构的控制块5160中，省略从风险监视块5140获取与安全包络相关的判定信息的处理。因此，第五实施方式的风险监视块5140获取表示通过控制块5160对主车辆2执行的驾驶控制的结果的信息。风险监视块5140通过对驾驶控制的结果执行基于安全包络的安全判定，来评价该驾驶控制。

如图16所示，在第五实施方式的处理方法的S505中，风险监视块5140除了评价为需要为了自动驾驶干预手动驾驶而设定的制约的状况以外，依据S105。在第五实施方式的处理方法的S506中，风险监视块5140除了评价为需要为了避免风险而设定的制约的状况以外，依据S106。在这样的第五实施方式中，能够通过依据第一实施方式的原理，基于对手动驾驶的主车辆2适当地设定的制约来评价驾驶控制，确保驾驶控制的精度。

(第六实施方式)

第六实施方式是将第五实施方式的系统结构应用于第二实施方式的处理方法的变形例。

如图17所示，在第六实施方式的处理方法的S606中，风险监视块5140除了评价为需要为了避免风险而设定的制约的状况的以外，依据S206。在这样的第六实施方式中，能够通过依据第二实施方式的原理，基于对自动驾驶的主车辆2适当地设定的制约来评价驾驶控制，确保驾驶控制的精度。

(第七实施方式)

第七实施方式是第五或者第六实施方式的变形例。

如图18、19所示，在第七实施方式的系统结构中，追加了测试块7180，该测试块7180用于测试控制块160的驾驶控制以用于例如安全性认可等。对测试块7180给予依据检测块100以及风险监视块5140的功能。测试块7180也可以通过图18所示的处理系统1执行被追加至构建各块100、120、5140、160的处理程序的测试程序来构建。测试块7180也可以通过如图19所示与处理系统1不同的测试用的处理系统7001执行与构建各块100、120、5140、160的处理程序不同的测试用的处理程序来构建。在这里，测试用的处理系统7001也可以由至少一个专用计算机来构成，该专用计算机为了测试驾驶控制而与处理系统1连接(省略通过通信系统6的连接的情况下的图示)，具有存储器10以及处理器12。

在第七实施方式的处理方法中，测试块7180代替风险监视块5140或在风险监视块5140的基础上来执行第五或者第六实施方式的处理方法的各步骤。其中，图18、图19省略了测试块7180获取检测信息的路径的图示。在这样的第七实施方式中，能够通过依据第一实施方式的原理对手动驾驶的主车辆2基于适当地设定的限制来评价驾驶控制，确保驾驶控制的精度，或者通过依据第二实施方式的原理对自动驾驶的主车辆2，基于适当地设定的制约来评价驾驶控制，确保驾驶控制的精度。

(第八实施方式)

第八实施方式是第三实施方式的变形例。

如图20所示，在第八实施方式的计划块8120中，合并有风险监视块140的功能作为风险监视子块8140。因此，第八实施方式的计划块8120在通过风险监视子块8140获取到没有安全包络违反这样的判定信息的情况下，依据计划块120来计划主车辆2的驾驶控制。另一方面，在通过风险监视子块8140获取到有安全包络违反这样的判定信息的情况下，计划块8120在计划依据计划块120的驾驶控制的阶段，对该驾驶控制给予基于判定信息的制约。即，计划块8120限制要计划的驾驶控制。在任何情况下，都由控制块3160来执行由计划块8120计划的主车辆2的驾驶控制。

如图21所示，在第八实施方式的处理方法的S805中，风险监视子块8140除了通过计划块8120中的干预计划来执行用于自动驾驶干预手动驾驶的制约以外，依据第一实施方式中说明的S105。在第八实施方式的处理方法的S806中，风险监视子块8140除了通过计划块8120中的降级计划或者限制计划来执行用于风险避免的制约设定以外，依据第一实施方式中说明的S106。在这样的第八实施方式中，通过依据第一实施方式的原理，能够对手动驾驶的主车辆2设定适当的限制来确保驾驶控制的精度。

(第九实施方式)

第九实施方式是将第八实施方式的系统结构应用于第二实施方式的处理方法的变形例。

如图22所示，在第九实施方式的处理方法的S906中，风险监视子块8140除了通过计划块3120中的避免计划或者限制计划执行用于风险避免的制约设定以外，依据第二实施方式中说明的S206。在这样的第九实施方式中，根据依据第二实施方式的原理，能够对自动驾驶的主车辆2设定适当的制约来确保驾驶控制的精度。

(其他实施方式)

以上，对多个实施方式进行了说明，但本公开不应解释为限定于这些实施方式，能够在不脱离本公开的主旨的范围内应用于各种实施方式以及组合。

在变形例中构成处理系统1的专用计算机也可以包含数字电路以及模拟电路中的至少一方作为处理器。这里所谓的数字电路例如是ASIC(Application SpecificIntegrated Circuit：专用集成电路)、FPGA(Field Programmable Gate Array：现场可编程门阵列)、SOC(System on a Chip：片上系统)、PGA(Programmable Gate Array：可编程门阵列)、以及CPLD(Complex Programmable Logic Device：复杂可编程逻辑器件)等中的至少一种。另外，这样的数字电路也可以具有存储有程序的存储器。

变形例的处理方法也可以限定于S100～S103、S107来执行。在变形例的处理方法中，也可以分别省略S105、S305、S505、S805以及S106、S306、S506、S806中的至少S106、S306、S506、S806的执行。变形例的处理方法也可以限定于S200～S203、S207来执行。在变形例的处理方法中，也可以分别省略S206、S406、S606、S906的执行。在变形例的处理方法中，也可以省略S108～S110的执行。在变形例的处理方法中，也可以省略S205、S208～S210的执行。

除了上述的说明方式以外，上述的实施方式以及变形例也可以作为构成为可搭载于主移动体且至少处理器12以及存储器10各具有一个的装置，以处理电路(例如处理ECU等)或者半导体装置(例如半导体晶片等)的方式实施。

Claims (19)

1.一种处理方法，是为了执行与主移动体(2)的驾驶控制相关的处理而由处理器(12)执行的处理方法，包含：

在手动驾驶的上述主移动体中检测驾驶员的手动操作偏离稳态操作的手动偏差；以及

输出容许反应时间(ρp)，上述容许反应时间是通过基于安全模型而获取的、作为在上述手动偏差的产生过程中上述主移动体做出反应的反应时间而被允许的时间，上述安全模型是依据驾驶策略的模型，是对预期的功能的安全性进行建模而获得的模型。

2.根据权利要求1所述的处理方法，其中，

还包含输出操作裕度时间(ρo)，上述操作裕度时间通过基于上述容许反应时间而获取，并在上述主移动体中被给予给上述驾驶员的上述手动操作。

3.根据权利要求2所述的处理方法，其中，

还包含：在判定为上述操作裕度时间在容许范围外的情况下，保持上述容许反应时间以及上述操作裕度时间中被输出的至少一方的存储。

4.根据权利要求2或3所述的处理方法，其中，

还包含：在判定为上述操作裕度时间在容许范围外的情况下，对上述驾驶控制设定用于使自动驾驶干预上述主移动体的上述手动驾驶的制约。

5.根据权利要求4所述的处理方法，其中，

还包含：在判定为上述操作裕度时间在容许范围外的情况下，对上述驾驶控制设定用于使自动驾驶的上述主移动体避免不合理的风险的制约。

6.根据权利要求5所述的处理方法，其中，

还包含：在判定为上述操作裕度时间已消失的情况下，对上述驾驶控制设定用于使自动驾驶的上述主移动体基于上述安全模型移至最小风险状态的制约。

7.根据权利要求2～6中任一项所述的处理方法，其中，

还包含：在判定为上述操作裕度时间保持在容许范围内，且给予上述手动偏差的上述手动操作已结束的情况下，通过基于上述操作裕度时间，来更新在自动驾驶中上述主移动体根据上述安全模型在与目标移动体(3)之间确保的安全距离(dmin)。

8.一种处理系统，是包含处理器(12)，进行与主移动体(2)的驾驶控制相关的处理的处理系统，

上述处理器构成为执行如下处理：

在手动驾驶的上述主移动体中检测驾驶员的手动操作偏离稳态操作的手动偏差；以及

输出容许反应时间(ρp)，上述容许反应时间是通过基于安全模型而获取的、作为在上述手动偏差的产生过程中上述主移动体做出反应的反应时间而被允许的时间，上述安全模型是依据驾驶策略的模型，是对预期的功能的安全性进行建模而获得的模型。

9.一种处理程序，该处理程序存储于存储介质(10)，且包含为了执行与主移动体(2)的驾驶控制相关的处理而使处理器(12)执行的指令，

上述指令使处理器执行如下处理：

在手动驾驶的上述主移动体中检测驾驶员的手动操作偏离稳态操作的手动偏差；以及

输出容许反应时间(ρp)，上述容许反应时间是通过基于安全模型而获取的、作为在上述手动偏差的产生过程中上述主移动体做出反应的反应时间而被允许的时间，上述安全模型是依据驾驶策略的模型，是对预期的功能的安全性进行建模而获得的模型。

10.一种处理方法，是为了执行与主移动体(2)的驾驶控制相关的处理，而由处理器(12)执行的处理方法，包含：

检测相对于自动驾驶的上述主移动体后续行驶的目标移动体(3、3a)；以及

输出容许反应时间(ρp)，上述容许反应时间是通过基于安全模型而获取的、作为上述目标移动体做出反应的反应时间而被允许的时间，上述安全模型是依据驾驶策略的模型，是对预期的功能的安全性进行建模而获得的模型。

11.根据权利要求10所述的处理方法，其中，

还包含输出操作裕度时间(ρo)，上述操作裕度时间通过基于上述容许反应时间而获取，并被给予给上述主移动体中的上述自动驾驶中的自动操作。

12.根据权利要求11所述的处理方法，其中，

还包含：在判定为上述操作裕度时间在容许范围外的情况下，保持上述容许反应时间以及上述操作裕度时间中被输出的至少一方的存储。

13.根据权利要求11或12所述的处理方法，其中，

还包含：在判定为上述操作裕度时间在容许范围外的情况下，对上述驾驶控制设定用于使自动驾驶的上述主移动体避免不合理的风险的制约。

14.根据权利要求13所述的处理方法，其中，

还包含：在判定为上述操作裕度时间已消失的情况下，对上述驾驶控制设定用于使自动驾驶的上述主移动体基于上述安全模型移至最小风险状态的制约。

15.一种处理系统，该处理系统包含处理器(12)，执行与主移动体(2)的驾驶控制相关的处理，

上述处理器构成为执行如下处理：

检测相对于自动驾驶的上述主移动体后续行驶的目标移动体(3、3a)；以及

输出容许反应时间(ρp)，上述容许反应时间是通过基于安全模型而获取的、作为上述目标移动体做出反应的反应时间而被允许的时间，上述安全模型是依据驾驶策略的模型，是对预期的功能的安全性进行建模而获得的模型。

16.一种处理程序，该处理程序被存储于存储介质(10)，且包含为了执行与主移动体(2)的驾驶控制相关的处理而使处理器(12)执行的指令，

上述指令包含：

检测相对于自动驾驶的上述主移动体后续行驶的目标移动体(3、3a)；以及

输出容许反应时间(ρp)，上述容许反应时间是通过基于安全模型而获取的、作为上述目标移动体做出反应的反应时间而被允许的时间，上述安全模型是依据驾驶策略的模型，是对预期的功能的安全性进行建模而获得的模型。

17.一种存储介质，其中，

在权利要求3或12所述的处理方法中，在判定为上述操作裕度时间在容许范围外的情况下，上述存储介质保持上述容许反应时间以及上述操作裕度时间中被输出的至少一方的存储。

18.一种处理装置，该处理装置包含处理器(12)，构成为能够搭载于主移动体(2)，执行与上述主移动体的驾驶控制相关的处理，

上述处理器构成为执行如下处理：

在手动驾驶的上述主移动体中检测驾驶员的手动操作偏离稳态操作的手动偏差；以及

输出容许反应时间(ρp)，上述容许反应时间是通过基于安全模型而获取的、作为在上述手动偏差的产生过程中上述主移动体做出反应的反应时间而被允许的时间，上述安全模型是依据驾驶策略的模型，是对预期的功能的安全性进行建模而获得的模型。

19.一种处理装置，该处理装置包含处理器(12)，且构成为能够搭载于主移动体(2)，执行与上述主移动体的驾驶控制相关的处理，

上述处理器构成为执行如下处理：

检测相对于自动驾驶的上述主移动体后续行驶的目标移动体(3、3a)；以及

输出容许反应时间(ρp)，上述容许反应时间是通过基于安全模型而获取的、作为上述目标移动体做出反应的反应时间而被允许的时间，上述安全模型是依据驾驶策略的模型，是对预期的功能的安全性进行建模而获得的模型。