JP2018506461A - 自律準備車両 - Google Patents

Abstract

自律または遠隔制御のドライブ・バイ・ワイヤコントローラを車両の制御モジュールとインターフェース接続させるためのシステムおよび方法を提供する。ステアリング、制動、発進などを含む車両の機能は、制御ネットワークを介してバイワイヤで制御が可能である。遠隔または自律コントローラと車両の制御モジュールとの間のインターフェースとしてＣＡＮアーキテクチャが使用される。ＣＡＮモジュールインターフェースは、車両制御システムと、監視、遠隔、自律、又はドライブ・バイ・ワイヤのコントローラとの間の通信を提供する。このインターフェースは、監視制御が、所定の範囲内でかつ制御アルゴリズムを使用して車両の操作を制御することを許可する。

Description

関連出願の相互参照

本出願は、Ａｕｔｏｎｏｍｏｕｓ Ｒｅａｄｙ Ｖｅｈｉｃｌｅと題する２０１４年１２月１５日に出願された米国仮特許出願第６２／０９１，９４６号に対する優先権を主張するＰＣＴ出願であり、その優先権は、本出願によって主張され、その開示は、本出願によって参照により援用される。

本開示は、自律準備車両に関する。より具体的には、本開示は、車両の機能を制御するための自律コントローラまたは遠隔コントローラからのコマンドを受信するように構成される車両に関する。

本開示の一つの例示的な実施形態において、自律制御または遠隔制御のドライブ・バイ・ワイヤコントローラを車両の制御モジュールとインターフェースで接続するためのシステムおよび方法が提供される。操縦、制動、発進などを含む車両の機能は、制御ネットワークを介してバイワイヤで制御可能である。例えば、ポラリスインダストリーズ社（Ｐｏｌａｒｉｓ Ｉｎｄｕｓｔｒｉｅｓ，Ｉｎｃ．）から入手可能なＣＡＮアーキテクチャが、本開示の例示的な一実施形態では遠隔／自律コントローラと車両の制御モジュールとの間のインターフェースとして使用される。ＣＡＮモジュールインターフェースは、一例として、車両制御システムと監視、遠隔、自律、またはドライブ・バイ・ワイヤのコントローラとの間の通信を提供する。このインターフェースは、監視コントローラが、所定の範囲内でかつ制御アルゴリズムを使用して車両の操作を制御することを許可する。

別の実施形態では、複数の車両デバイスが結合される通信ネットワークと、この通信ネットワークに結合され、車両の作動を実施するためにこの通信ネットワークを介して前記複数の車両デバイスの第一のサブセットを制御することができる車両制御ユニットであって、この車両制御ユニットは、前記通信ネットワークを介して当該車両デバイスの第二のサブセットからの入力を受信するように、かつ車両デバイスのこの第二のサブセットから受信した前記入力に応答して前記複数の車両デバイスの前記第一のサブセットを制御するように動作可能であり、車両デバイスの前記第二のサブセットからの入力は、前記車両デバイスのうちの一つ以上とのオペレータの相互作用を示す車両制御ユニットと、ネットワークインターフェースであって、前記ネットワークインターフェースは、自律車両コントローラが、車両デバイスの前記第二のサブセットからの入力とは無関係に車両デバイスの前記第一のサブセットを介して車両の作動を実施することができるように前記自律車両コントローラに結合するように動作可能であるネットワークインターフェースとを含む車両が提供される。

本開示の別の実施形態によれば、自律車両操作を提供する方法であって、複数の車両操作デバイスが結合された通信ネットワークを車両に提供するステップであって、この複数の車両操作デバイスは、当該車両を動作することができ、この複数の車両操作デバイスは、車両制御ユニットからの命令に基づいて作動する車両デバイスの第一のサブセットを含み、この複数の車両操作デバイスは、前記車両制御ユニットへ入力を提供する車両デバイスの第二のサブセットを含み、この入力は、前記車両操作デバイスのうちの一つ以上とのオペレータの相互作用を示すステップと、前記通信ネットワークへのインターフェースを提供するステップと、このインターフェースを介して、自律車両コントローラからの入力を受信し、それによって、この自律車両コントローラが車両デバイスの前記第二のサブセットからの入力とは無関係に車両デバイスの前記第一のサブセットを制御することを可能にするステップとを含む方法が提供される。

本開示の別の実施形態によれば、非一時的な命令を有するコンピュータ可読媒体であって、これらの非一時的な命令は、プロセッサによって解釈されるときに、このプロセッサに、車両を操作することができ、車両通信ネットワークを介して提供される車両制御ユニットからの命令に基づいて作動する、車両デバイスの第一のサブセットに対して命令を提供させ、車両デバイスの第二のサブセットから、これらの車両デバイスのうちの一つ以上とのオペレータの相互作用を示す入力を、前記通信ネットワークを介して受信させ、この通信ネットワークへのインターフェースを介して、自律車両コントローラからの入力を受信させ、それにより、この自律車両コントローラが、車両デバイスの前記第二のサブセットからの入力とは無関係に車両デバイスの前記第一のサブセットを制御することを可能にするコンピュータ可読媒体が提供される。

本発明のさらなる特徴は、現在認められる本発明の実施する最良の形態を例示する例示的な実施形態の以下の詳細な説明を検討すれば当業者には明らかになるだろう。

図面の詳細な説明では、特に、以下の添付の図面を参照する。
本開示の例示的な一実施形態の自律準備車両のコンポーネントを示すブロック図である。 車両のＣＡＮ通信ネットワークモジュールとアクセサリハードウェアプラットフォームとアクセサリソフトウェアとの間の通信を示すブロック図である。 自律または遠隔制御モードにおける通常操作時およびロックアウトモードの操作時に行われるステップを示すフローチャートである。 車両のイグニッションのバイ・ワイヤオーバーライド制御を提供するために使用される例示的なワイヤリングハーネスである。 車両への命令を送信するモジュールを認証するために行われる例示的なステップを示すフローチャートである。 車両の自律操作を許可する例示的なステップを示すフローチャートである。

本開示の原理の理解を促すために、これから、特定の例示的な実施形態および図面が参照される。以下に開示される実施形態では、網羅的であること、または以下の詳細な説明に開示された正確な形態に本発明を限定することは意図されていない。むしろ、これらの実施形態は、当業者がそれらの教示を利用することができるように選択されて説明されている。それにより、本発明の範囲の限定は意図されていないことが理解されるだろう。本発明は、例示の装置および説明された方法におけるいかなる変更およびさらなる修正と、本発明に関連する当業者が通常想到し得る本発明の原理のさらなる応用とを含む。

米国特許出願公開第２０１４／０２８８７６３号明細書、米国特許第８，５３４，３９７号明細書、国際公開第２０１４／１３４１４８号、および米国特許出願公開第２０１４／０２４４１１０号明細書は、全て本明細書に参照によって明示的に援用される。本明細書に開示される特徴は、これらの特許文書に開示された特徴と組み合わされ使用されてよい。

図１は、本開示の自律準備車両１０のコンポーネントを示す。車両１０は、自律または遠隔コントローラ１２によって制御されるように構成される。コントローラ１２は、人間との相互作用なしに車両１０を制御するための自律コントローラでよい。コントローラ１２は、オペレータが、ペダル、ジョイスティック、コンピュータ、または車両１０を案内するためのその他のコントローラなどの入力装置を使用する遠隔コントローラでもよい。コントローラ１２の機能は、障害回避も含む。コントローラ１２は、車両の動きを制御するために車両１０に特定のコマンドを送信する。また、コントローラ１２は、車両１０からのフィードバックを受信する。コントローラ１２との通信は、車両１０上のゲートウェイインターフェースモジュール、すなわち通信インターフェースモジュール（ＣＩＭ）１４を介して行われる。例示の実施形態では、通信インターフェースモジュールは、コントローラエリアネットワーク（ＣＡＮ）モジュールである。ＣＩＭ１４は、コンポーネント間の伝送のために情報をパッケージ化する。

モジュール１４に結合されたモードスイッチ１６は、ユーザが手動操作モードと自律または遠隔制御モードの間で選択することを許可する。手動モードでは、車両１０は、ステアリングデバイス（ステアリングタイアームなど）、ブレーキアクチュエータ、トランスミッションシフタコントローラ、スロットル、およびイグニッションリレーなどのその他の車両デバイス（一般的に、このようなデバイスを操作するためのあらゆる車両デバイスまたはアクチュエータ）の操作をそれぞれ引き起こす、ステアリングデバイス（操作レバー、ハンドル、ジョイスティックなど）、ブレーキペダル、ギヤシフト、アクセルペダル、およびイグニッションスイッチ（または上記のいずれかの操作を検出するセンサ）などの車両デバイスに対するオペレータの動作を介して、通常の方法で運転者によって操作される。全体として、任意の操作の入力デバイスに関して、物理的接続を利用する実施形態が想定されており、かつ、センサが入力デバイス上に設置され、そのデバイスの操作が電気信号を介して通信される実施形態が想定されていると理解されるべきである。同様に、アクチュエータにおける動作を駆動するために物理的接続が使用される実施形態が想定されており、かつアクチュエータがそれらの操作を指示する電気信号を受信する実施形態が想定されている。

一実施形態では、モードスイッチ１６は物理的スイッチである。別の実施形態では、モードスイッチ１６は、有人ユーザ入力、および自律または遠隔のユーザ入力のうちの一方を使用してソフトウェアで作動される。通信インターフェースモジュール１４は、システムオン／オフ機能１８およびイグニッション中断機能２０を制御する。通信インターフェースモジュール１４は、車両１０内のディスプレイ２２とも通信する。ディスプレイ２２は、好ましくは高解像度のカラーディスプレイである。ディスプレイ２２は、車両のゲージディスプレイによって提供されてもよい。

通信インターフェースモジュール１４は、さらに電子パワーステアリング制御装置２４と通信する。パワーステアリング制御装置２４は、車両１０を案内するためのステアリング配置機能２６を制御する。

通信インターフェースモジュール１４は、さらにエンジン制御モジュール（ＥＣＭ）２８と通信する。ＥＣＭ２８は、ペダル配置機能３０を制御し、それに応答する。ＥＣＭ２８は、さらにエンジン始動／停止機能３２を制御する。ペダル配置機能３０は、車両のスロットル位置を制御するために、フットペダルの実際の位置を承認するか、コントローラ１２から受信した加速コマンドを承認するかの命令を通信インターフェースモジュール１４から受信する。例えば、手動モードでは、ペダル配置機能３０が、スロットル適用のためにペダルからの物理的な応答を得るが、自律または遠隔モードでは、コントローラ１２が、スロットルの物理的適用と同様に適用されるべきスロットルの割合を提供する。

通信インターフェースモジュール１４は、さらに車両制御モジュール３４と通信する。車両制御モジュール３４は、トランスミッション配置機能３６、ブレーキ配置機能３８、およびパーキングブレーキ配置機能４０を制御する。車両の移動は、手動モード時は運転者によって、または自律または遠隔制御モードでは通信インターフェースモジュール（ＣＩＭ）１４を介してコントローラ１２から受信する信号によって制御される。また、車両制御モジュール３４は、通信インターフェースモジュール１４を介してコントローラ１２へ車両ステータスおよびセンサ情報を返す。車両ステータスおよびセンサ情報は、例えば、車両速度、ステアリング角、要求された速度、要求されたステアリング角、ブレーキステータス、燃料レベル、加速度計データ、ブレーキセンサ、スロットル位置センサ、車輪速度センサ、ギア選択センサ、温度センサ、圧力センサ、排出レベル、故障コード、エラーメッセージなどを含む。ブレーキ配置機能３８は、一例として、ボッシュ社（Ｂｏｓｃｈ）から入手可能なｉ−Ｂｏｏｓｔｅｒインテリジェントブレーキ制御装置を使用して実施される。

さらに、ＥＣＭ２８のペダル配置機能３０とＶＣＭ３４のブレーキ配置機能３８との間で相互作用すなわち矛盾するメッセージが発生した場合、ＣＩＭ１４は、外部コントローラ１２に伝達すべき適切な通信メッセージをフィルタリングし、それによって入力すなわちペダル位置に関する相互作用の問題を回避する。

車両制御モジュール３４は、ギアを入れ換える要求を検出し、次に、条件が正しいときには入れ換え信号を提供することによってトランスミッション配置機能３６を制御する。ブレーキ配置機能は、車両ブレーキ３８またはパーキングブレーキ４０を適用するために、ペダル位置検出器からの入力、および通信インターフェースモジュール１４を介して受信されるブレーキコマンドを受信する。

また、自律または遠隔コントローラ１２は、通信インターフェースモジュール１４を介してサスペンション部品を制御してよい。車両のセンサの出力は、コントローラ１２によって受信されて処理され、次に、車両のサスペンションの調整可能なばねまたは調整可能なショックアブソーバを制御するための信号が、通信インターフェースモジュール１４を介してコントローラ１２から送信される。例えば、２０１４年１０月６日に出願された米国特許出願公開第２０１４／０１２５０１８号明細書および米国特許出願公開第１４／５０７，３５５号明細書を参照し、それらの開示は、調整可能なサスペンション部品の詳細に関して明示的に本明細書に参照によって援用される。

図２は、車両１０のアクセサリハードウェアプラットフォーム５６へＣＡＮバス５４を介して通信するアクセサリＣＡＮポート５２を有する例示的なアクセサリ統合デバイス５０を示す。具体的には、ＣＡＮバス５４は、ハードウェアＣＡＮトランシーバ５８と通信する。トランシーバ５８は、アクセサリソフトウェア６０のハードウェアプラットフォームファームウェア６２と通信する。ハードウェアプラットフォームファームウェア６２は、ＣＡＮアクセサリアプリケーションプログラミングインターフェース（ＡＰＩ）ソフトウェア６４と通信する。ＡＰＩソフトウェア６４は、サードパーティアプリケーションソフトウェア６６と通信する。

ＣＡＮアクセサリＡＰＩソフトウェア６４は、コンパイル済みコードのライブラリを含む。このライブラリは、固有のＣＡＮネットワークとアプリケーションプログラマのアプリケーションコードとの間のインターフェースを提供する。これにより、サードパーティのアクセサリ作成者は、ＣＡＮネットワーク上の特定かつ限定的な情報にアクセスすることができ、したがって、ＣＡＮネットワークの固有情報にアクセスすることなく、かつ車両通信を妨げることなく、スマートアクセサリの作成を可能にする。さらに、このインターフェースは、車両の意図する操作またはネットワークの安全性を損なう余地がない。

一実施形態では、コンパイル済みコードのライブラリは、一組の固有の安全な定義済みの関数呼び出しを含む。これらの関数呼び出しは、例えば、ｇｅｔＥｎｇｉｎｅＲＰＭ（）、ｇｅｔＶｅｈｉｃｌｅＳｐｅｅｄ（）、またはｇｅｔＥｎｇｉｎｅＴｅｍｐｅｒａｔｕｒｅ（）などのアイテムを含む。サードパーティのアプリケーションプログラマは、アクセス可能な車両情報をアプリケーションプログラマのアプリケーションコードに取り込むためにこれらの関数呼び出しを使用することができる。

一例では、このコードライブラリは、大規模なオープンソースのエレクトロニクスプラットフォームと互換性がある場合がある。ソフトウェアライブラリに加えて、クイックスタートカスタムアクセサリは、高耐久性ハウジングと、サードパーティの開発者が使用し得るハードウェア周辺機器とを含む。その周辺機器は、例えば、ＬＥＤバーおよび基本的なＬＣＤディスプレイなどを含む。

本開示は、任意のサードパーティが、車両のその他の機能を妨げることなく車両と共に使用するためのソフトウェアアプリケーションを作成することを許可する。したがって、サードパーティは、車両と共に使用するためのスマートアクセサリを開発することができる。これにより、車両のユーザは、車両のアクセサリにおける革新を推進することができる。

（矛盾の解決）
一実施形態では、車両１０が自律または遠隔制御モードであるときに個別または多数の手動入力と自律または遠隔コントローラ１２から受信する入力命令との間に矛盾が生じた場合、車両は、自律制御の手動オーバーライドで対応することができ、ＣＩＭ１４は、ＣＡＮメッセージを送信し続ける間、命令を実行することなく遠隔の入力メッセージに注意し続けることができる。

別の実施形態では、ユーザが、車両内で、すなわち、ハンドル上で検知された入力トルクを介して検出され、それにより、手動操作が自律の特定の機能または全ての機能をオーバーライドすることができる。

別の実施形態は、車両への手動制御入力の自律または遠隔コントローラ１２によるオーバーライドを含む。例えば、コントローラ１２からのメッセージが検出されて、自律制御が有人モード操作の特定の機能または全ての機能をオーバーライドすることを可能にすることができる。

一部の車両は、自律または遠隔モードから有人モードへ移行するためのスイッチを実装する。一部の例では、スイッチ位置が、矛盾するメッセージをオーバーライドする。例えば、スイッチが自律モードであり、かつ車両のペダルからのメッセージが受信される場合、車両は、自律モードで作動し続ける。

（自律におけるブレーキとスロットルとの相互作用）
一部の例では、入力が、矛盾しているまたは同時に発生する、有人メッセージおよび自律または遠隔メッセージを含む可能性がある。例えば、ブレーキ適用およびスロットル適用のためのコマンドが検知される場合、ＣＩＭ１４は、ブレーキ適用が優先されるように較正されることができる。さらに、プロファイルは、ペダルの配置が意図する動作であったか否かを決定することができる。その動作が意図されていなかった場合、車両はロックアウトモードに移行することができる。その動作が意図されていた場合、車両制御の応答は、予め選択された制限値に較正されることができる。

別の例では、車両の応答は、有人入力および自律または遠隔入力のうちの少なくとも一つの混合適用を含んでよい。例えば、ＣＩＭ１４は、スロットル適用およびブレーキ適用のためのメッセージを受信することができる。混合応答は、車両のブレーキがエンジンに対するスロットル適用を圧倒するように十分に低い較正されたレベルまでスロットルを低減することができる。その他の状況では、別の較正が望ましい場合がある。これらの較正は、矛盾するメッセージの発生時に優先権を有する車両機能を予め選択するプロファイルを備える。

車両１０が自律または遠隔制御モードであるときの、矛盾する個別または多数の手動入力と自律または遠隔コントローラ１２から受信される個別または多数の入力命令との例示的な車両システムの応答は、以下のようであってもよい。

・ブレーキ：車両１０は、機械的なブレーキ制御と電気的なブレーキ制御の両方を有する。ブレーキペダル入力とコントローラ１２からのブレーキ要求命令との間に矛盾が生じる場合、オーバーライドにより、最も強い（有人または自律／遠隔）ブレーキ要求が実施される。したがって、車両の乗員は、ブレーキを使用して遠隔コマンドをオーバーライドし、車両１０を停止することができる。

・ステアリング：ステアリングは、手動入力に応答しない。

・トランスミッション：トランスミッションは、手動入力に応答しない。

・エンジン：アクセルペダルは、手動入力に応答しない。

（ロックアウトモード）
本開示のロックアウト機能は、有人モードと自律または遠隔のモードの両方を支持する車両１０において実施される。有人モードでは、車両は普通に作動し、ペダル、ハンドル、およびシフトレバーを介して運転者からの入力を受信する。遠隔モードでは、車両１０は、ゲートウェイ通信インターフェースモジュール１４を介して通信する外部コントローラ１２からコマンドを受信することによって作動し、ゲートウェイ通信インターフェースモジュール１４は、車両のＣＡＮネットワークに対してコマンドを適応させて翻訳する。ロックアウト機能は、承認されたサードパーティにのみ、遠隔制御または自律モードにおける車両のゲートウェイを介してコマンドを送信することを許可する。車両１０は、車両ゲートウェイ１４と外部コントローラ１２との間の通信の喪失または破損の発生時には既知の方法で挙動する。

ロックアウト機能は、一例として、サードパーティがコントローラ１２およびインターフェースモジュール１４を介して車両と通信して車両を駆動することを可能にするソフトウェアの一部である。ロックアウトモードでは、車両の操作は、制御された停止に至ること、パーキングに切り替えること、エンジンを停止すること、ステアリングコラム／ブレーキ／クラッチをロックすること、ディスプレイを停止すること／通信を一時停止すること、車両への電力を遮断すること、車両の発進を抑制することを含んでよい。承認されたサードパーティのみがゲートウェイモジュール１４にアクセスしていることを保証するため、サードパーティの外部コントローラは、認証シーケンスを成功裏に完了しなければならない。例示の実施形態では、認証は、Ｊ１９３９のシード鍵の交換に基づいている。その他の認証技術が使用されてもよいことは理解される。その他の実施形態の認証プロトコルが、図５に関して以下に説明される。

（ロックアウトモードへの移行）
認証されたサードパーティのみが遠隔モードにおいてゲートウェイモジュール１４にアクセスしていることを保証するため、サードパーティの外部コントローラ１２は、認証シーケンスを成功裏に完了しなければならない。例示の一例では、認証シーケンスは、Ｊ１９３９またはその他のシード鍵の交換に基づいている。例えば、少なくとも５分間に一回、認証シーケンスが開始されず、成功裏に完了しない場合、車両は、ロックアウトモードに移行する。さらに、外部モジュールから車両のゲートウェイに来る任意のメッセージにおける、チェックサム、メッセージカウンタ、またはその他の通信エラーを使用して保証され得る通信の完全性が損なわれる場合は、車両は、ロックアウトモードに移行する。

（ロックアウトモードを実行するための車両の制御）
ゲートウェイ制御モジュール１４は、外部コントローラ１２から入力される任意のＣＡＮメッセージを無視することによってロックアウトモードを実行する。次に、モジュール１４は、車両の内部ＣＡＮネットワークを介してゼロのスロットルコマンドを送信し、ブレーキに車両１０を停止するように命令し始める。使用される制動力は、車両速度およびステアリング角に依存する較正可能なマップによって決定される。車両が移動を停止すると、トランスミッションは、パーキングに切り替えるように命令され、エンジンが停止される。ゲートウェイモジュール１４は、ロックアウトモードが終了するまで、外部コントローラ１２から入力されるメッセージを無視し、エンジンを停止状態に維持し、トランスミッションをパーキングに切り替えた状態に維持し、ブレーキを踏み込んだ状態に維持する。

（ロックアウトモードの終了）
ロックアウトモードの終了は、手動のキーサイクルなどにより、再認証、すなわち、通信を再構築することによって行われることができる。一実施形態では、ロックアウトモードは、車両１０が完全な制御された停止に至り、エンジンが停止され、かつトランスミッションがパーキングに切り替えられた後に終了する。別の実施形態では、ロックアウトモードは、シャットダウンシーケンス中（すなわち、完全な制御された停止が生じる前、エンジンが停止される前、またはトランスミッションがパーキングに切り替えられる前）に再認証すなわち再構築された通信が発生する場合は、そのシャットダウンシーケンス中に終了することができる。ロックアウトが通信の喪失または破壊された通信によって生じた場合は、ロックアウトモードは、通信が再構築されると終了する。ロックアウトモードが認証の失敗によって生じた場合は、ロックアウトモードは、認証シーケンスが成功裏に完了すると終了する。車両が停止、エンジンの停止、およびパーキングの途中にある間にロックアウトモードを終了する条件が満足された場合、ロックアウトモードは、車両が完全な停止に至り、エンジンを停止させ、パーキングに切り替えられたら終了する。

自律または遠隔制御モードおよびロックアウトモードにおける通常の操作の更なる詳細が図３に示されている。通常操作時、ブロック７０に示すように、自律または遠隔コントローラ１２は、通信インターフェースモジュール、すなわちゲートウェイインターフェースモジュール１４に運転要求を送信する。インターフェースモジュール１４は、コントローラ１２に車両ステータス情報を送信する。また、モジュール１４は、上述のように、コントローラ１２から受信した運転要求に基づき、車両通信ノード（ＣＡＮ、イーサネット（登録商標）など）に運転コマンドを送信する。車両ノードは、インターフェースモジュール１４にステータス情報を送信する。

次に、通信インターフェースモジュール１４は、ブロック７２に示すように、自律または遠隔コントローラ１２が、例えばシード鍵の交換などの認証を開始して成功裏に完了したか否かを決定する。ブロック７２にて認証が成功裏に完了した場合、モジュール１４は、ブロック７４にて認証タイマをリセットし、ブロック７０にて通常の操作を続ける。ブロック７２にて認証が成功裏に完了しなかった場合、モジュール１４は、ブロック７６に示すように、最後に成功した認証から所定の時間、例えば５分が経過したか否かを決定する。ブロック７６にてこの所定の時間が経過していなければ、ブロック７０にて通常の操作が続けられる。ブロック７６にて所定の時間が経過していれば、モジュール１４はブロック７８にてロックアウトモードに移行する。

モジュール１４は、ブロック７８に示すように、制御された方法で車両をロックアウト状態にするために車両ノードに運転コマンドを送信する。モジュール１４は、車両を制御された停止に至らしめるために、車両の速度およびステアリング角に基づいて車両の制動を制御する。次に、エンジン制御モジュール２８が、ブロック３２においてエンジン機能を停止する。ロックアウトモードでは、コントローラ１２は、通信インターフェースモジュール１４に運転要求を送信し続けることができる。インターフェースモジュール１４は、コントローラ１２に車両ステータス情報を送信し続ける。インターフェースモジュール１４は、車両のロックアウトを維持するために、車両ノードに運転コマンドを送信する。車両ノードは、インターフェースモジュール１４にステータス情報を送り返す。

別の例示の実施形態では、コントローラ１２から車両のＣＩＭ１４への通信は、車両がロックアウトモードであるにもかかわらず依然として生じる。所定数の失敗に終わった認証の試み、または通信における一回の失敗の後、ＣＩＭ１４は、車両に対するコマンドの実行を停止する。車両のＣＩＭ１４は、コントローラ１２からの通信を依然として受信するが、コントローラ１２へ通信を送信しなくなる。

さらに別の例示の実施形態では、車両１０がロックアウトモードに移行した時、コントローラ１２とＣＩＭ１４との間の外部の通信ネットワークが遮断される一方で、車両の通信ネットワークの全体は依然として機能する。

さらに別の例示の実施形態では、車両の通信ネットワークの個別の車両のノードに対して能動的な制御が提供される。ロックアウト認証は、ロックアウト機能を実施するために、任意の二つの車両のノードまたは車両の通信ネットワーク間に適用される。この技術は、認証されていない車両のノードがＣＡＮネットワークに追加されることを防止するためにも使用される。

次に、インターフェースモジュール１４は、ブロック８２に示すように、コントローラ１２が、例えばシード鍵交換によって認証を開始して成功裏に完了したか否かを決定する。否であれば、インターフェースモジュール１４は、ブロック８０にてロックアウトモードを維持する。ブロック８２にて認証が成功していれば、インターフェースモジュール１４は、ブロック７４にて認証タイマをリセットし、車両が再び自律または遠隔コントローラ１２によって制御される通常の操作を再開する。

車両１０が自律または遠隔制御モードであるときに、通信の失敗が生じる場合がある。メッセージカウンタおよびチェックサム、並びに、もしあれば、Ｊ１９３９が定義する「エラー」メッセージに関する問題を含む通信の失敗が発生した時、通信インターフェースモジュール１４は、上述のロックアウトモードに移行する。遠隔モジュールが、０％を超えるブレーキおよび０％を超えるスロットルを命令する場合、通信インターフェースモジュール１４は、ブレーキコマンドに従い、スロットルコマンドを無視し、外部のＣＡＮネットワークを介して診断故障コードを送信する。以下は、遠隔モードで制御される各サブシステムに関してＪ１９３９の「利用不可（ｎｏｔ ａｖａｉｌａｂｌｅ）」メッセージが受信された場合に通信インターフェースモジュール１４によって取られる例示的な動作である。一例において、
・ブレーキ：０％と解釈されるブレーキコマンド
・ステアリング：最後の有効な要求された角度に維持されるステアリング角
・トランスミッション：最後の有効な要求されたギアに維持される要求されたギア
・エンジン：０％と解釈されるペダルコマンド、エンジン停止と解釈されるエンジン始動／停止コマンド。

例示の一例において、ＣＩＭ１４がブレーキコマンドを受信し、データによればそのコマンドが利用不可である場合、ＣＩＭ１４は、このコマンドは無効であると決定し、別のメッセージを受信するか否かを確認するために待機する。ロックアウトまたは別の操作が生じる前に、メッセージの数を制限する。多数の入力コマンド（ブレーキ、ステアリングなど）が有効でない場合、これは問題があることを示唆している可能性があり、ＣＩＭ１４は、これらのコマンドが続くことを止めるためにロックアウトモードに移行する。ＣＩＭ１４は、任意のペダルコマンド、任意のステアリングコマンド、予め設定された「リンプホーム」コマンドなどに対するオプションを可能にすることができる。チェックサムまたはデータエラーに関する問題が生じた場合、ＣＩＭ１４は、最後の有効なコマンドを使用するが、条件が未だ有効ではない場合、車両は結果的にロックアウトモードまたはリンプホーム／低下モード条件に移行することになる。

（遠隔的な車両の電源入力および遠隔モードの選択）
別の実施形態では、当該システムは、遠隔的に遠隔モードの選択および電源の入力を許可する。通信インターフェースモジュール１４は、コントローラ１２からのＣＡＮメッセージが受信されたときに起動する低電力モードを有する。モードの選択は、遠隔コントローラ１２からのＣＡＮメッセージによって制御される（存在しない場合は、手動モードに戻る）。起動すると、通信インターフェースモジュール１４は、遠隔モードの場合はキースイッチを迂回するために図４における回路を制御する。従来のワイヤハーネスは、図４に示すキースイッチコネクタの後方にインラインコネクタを追加することによって修正される。ＥＣＭ２８のための自動発信制御線は、既存のキースイッチ線によって５ピンコネクタにルーティングされる。また、図４は、自動／手動バイパス回路を介在させた新しいパススルーコネクタの両側を示している。

車両１０が動いている間に自律または遠隔制御モードにおいて通信が失われた場合、「停止手続き」が実施される。当該システムは、車両を停止させるために、地上の車両速度およびステアリング角を監視し、次に、これらの二つの入力に基づいてブレーキを適用する。車両（速度、ステアリング角およびブレーキの割合）に対して較正された３Ｄマップに基づくアプリケーションを使用して、周囲の地形のフィードバックを提供することができる。

例示的な実施形態では、コントローラ１２は、次の特徴のうちの一つ以上を実施する。

・人間の運転者を模倣するレベルの車両監視制御
・感覚性融像
・ＧＰＳ補正慣性航法または要求された精度で位置を決定することができるその他のシステムによるナビゲーション
・定位
・車線検出および車線逸脱
・リアルタイムまたは略リアルタイムの検出、予め記録されたマップおよび車線構造、計画された旅程および追跡された旅程、衝突回避システム（ＬＩＤＡＲ、ビデオ、センサ）、並びに適応走行制御を使用する広範な地形および障害物の検出、回避およびデータベース特性評価
・コントローラ１２からの通信がない場合は、車両は、完全自律モードで作動する能力を有する。

通信インターフェースモジュール１４は、以下を提供してもよい。

・走行／自動発進、速度／加速制御、ステアリング、制動、ギア選択、および照明などのその他のシャーシ機能
・ヨーレートモデル対ステアリングコマンドが、車両の制御レベルで使用される
・コマンドモードは、標準的および最大の変化率のプロファイルを備える目標条件および率を含む
・遠隔のダッシュボードメッセージ
・車両センサから運転プロファイルを作成すること
・停電モード
・赤外線（ＩＲ）モード
・二輪駆動、四輪駆動および芝土モードなどを含む運転モードを実行することによって駆動系制御を自動化すること
・ＣＡＮを介して送信されるステータスメッセージは、コントローラの矛盾するコマンド、車両の健康データ、および車両のロックアウトモードのステータスおよび条件を含む。

さらに、車両１０（およびコントローラ３４）が、横断する地形に関する情報を（ＧＰＳを介してまたはその他の方法で、単独でまたはその他の情報源と組み合わせて）提供される実施形態が想定される。この情報は、地形の種類、地形の変化、または車両の操作に影響すると予想される状況を車両１０に知らせるための情報を含んでもよい。次に、車両１０は、この情報を使用して車両の操作に影響を与える。一例において、車両１０は、丘を越える方向に移動していることが決定される。車両１０は、この情報を使用して、車両の安全性を増すために電気的に調整可能なショックアブソーバの剛性の設定に影響を与える。同様に、その他の例としては、一般道路の状況を横断しているか一般道路外の状況を横断しているかを決定することによってショックアブソーバの設定を調整することを含む。

図５を参照して、認証された存在のみが、車両の操作を指示するためにＣＡＮネットワークにアクセスすることができることを保証するための別の実施形態の認証プロトコルが説明される。ブロック５００にて、自律モードを有効にすると、ＣＩＭ１４は、遠隔モジュール１２に認証要求を送信する。この要求は、シード値を含有する。シード値は、一例として、乱数に近似するように生成された７バイト長の鍵である。ブロック５１０にて、遠隔モジュール１２は、この要求を受信し、シード値およびアルゴリズムに基づいて鍵（秘密鍵）を計算する。次に、ブロック５２０にて、モジュール１２は、ＣＩＭ１４に公開鍵の値を送り返す。次に、ＣＩＭ１４は、送り返された値を、ＣＩＭ１４が内部で計算し、したがって送り返された値と一致して認証モジュール１２を示すと期待される値と比較する。公開鍵の値を受信すると、ブロック５３０にて、ＣＩＭ１４は、規定のタイミングウィンドウ内で応答が受信されたか否かを決定する。このタイミング要求は、何回も応答を試みる（すなわち、「ブルートフォース」のハッキングの試み）ための時間をサードパーティが無制限に有する能力を制限する。ブロック５４０にて、公開鍵の応答が、要求されたタイミングウィンドウ内で受信され、公開鍵が期待された応答と一致する場合、ブロック５５０にて、モジュールは認証され、モジュール１２は制御信号を送信することが許可される。

タイミングウィンドウ内で受信された公開鍵が一致しない場合、または公開鍵の応答が、要求されたウィンドウの外で受信された場合、ブロック５６０にて、ＣＩＭ１４は、モジュール１２をロックアウトし、ロックアウトモードに移行する（これにより、車両を停止させるか、車両を手動のユーザ制御に戻す）。

次に、ブロック５７０にて、ＣＩＭ１４は、モジュール１２（失敗した公開鍵の応答を提供したものと同一のモジュール１２でも異なるモジュール１２でもよい）からの別の認証要求を待つ。別の認証要求を受信すると、ブロック５８０にて、ＣＩＭ１４は、この場合もブルートフォース型の攻撃の成功の可能性を低減するために遅延を強制する。遅延時間が経過していなければ、ブロック５９０にて、ＣＩＭ１４は、再度モジュール１２をロックアウトし、次に、別の認証要求を待つ。遅延時間が経過した場合、ＣＩＭ１４は、ブロック５１０に戻り、再びモジュール１２の認証を試みる。

上記のように、モジュール１２が認証されると、モジュール１２は、車両１０の操作を指示するためにＣＩＭモジュール１４にコマンドを送信することが許可される。この一部として、ブロック６００にて、ＣＩＭ１４は、モジュール１２からの入力コマンドを受信する。各受信したメッセージには、チェックサムおよびメッセージカウンタ値が添付されている。ブロック６１０、６２０、６３０にて、ＣＩＭ１４は、このメッセージ内のチェックサムおよびカウンタを内部で計算される（したがってメッセージから期待される）ものと比較する。カウンタまたはチェックサムのいずれかが一致しなければ、ブロック５６０にて、ＣＩＭ１４はモジュール１２をロックアウトする。カウンタおよびチェックサムが一致すれば、ブロック６４０にて、受信されたコマンド入力は受け入れられ、その呼び出しが行われるように車両１０内に分配される。

全体として、図６を参照すると、自律コントローラとの車両の準備接続を可能にする方法が開示されていると理解されるべきである。ブロック７００にて、車両は、複数の車両操作デバイスが結合された通信ネットワークが提供され、これらの複数の車両操作デバイスは、車両を操作することができ、これらの複数の車両操作デバイスは、車両制御ユニットからの命令に基づいて作動するデバイスの第一のサブセットを含み、これらの複数の車両操作デバイスは、車両制御ユニットへの入力を提供するデバイスの第二のサブセットを含み、その入力は、車両デバイスのうちの一つ以上とのオペレータの相互作用を指示する。ブロック７１０にて、通信ネットワークへのインターフェースが提供される。ブロック７２０にて、自律車両コントローラからインターフェースを介して入力が受信され、それにより、自律車両コントローラは、車両デバイスの第二のサブセットからの入力とは無関係に車両デバイスの第一のサブセットを制御することができる。

本明細書に記載の開示の様々な実施形態の論理演算は、（１）コンピュータ内のプログラマブル回路上で動作する一連のコンピュータ実施ステップ、演算、または手続き、および／または（２）ディレクトリシステム、データベース、またはコンパイラ内のプログラマブル回路上で動作する一連のコンピュータ実施ステップ、演算、または手続きとして実施される。

開示の実施形態は、個別の電子要素を備える様々な種類の電気回路、論理ゲートを含有するパッケージ化されたまたは一体化された電子チップ、マイクロプロセッサを利用する回路を使用して、または電子要素またはマイクロプロセッサを含有するシングルチップ上で実現されることができる。本開示の実施形態は、機械技術、光学技術、流体技術、量子技術を含むがそれらに限定されない、例えば、ＡＮＤ、ＯＲ、およびＮＯＴなどの論理演算を実行することができるその他の技術を使用して実現されることもできる。さらに、本明細書に記載の方法の態様は、汎用コンピュータ内で、または任意のその他の回路またはシステムにおいて実現されることができる。

本開示の実施形態は、コンピュータプロセス（方法）すなわち演算システムとして、またはコンピュータプログラム製品またはコンピュータ可読媒体などの製造物品として実施される。コンピュータプログラム製品は、コンピュータシステムによって読み取り可能でありかつコンピュータプロセスを実行するための命令のコンピュータプログラムを符号化するコンピュータ記憶媒体でよい。したがって、本開示の実施形態は、ハードウェアおよび／またはソフトウェア（ファームウェア、常駐ソフトウェア、マイクロコードなどを含む）で具現化されることができる。言い換えれば、本開示の実施形態は、コンピュータで使用可能なまたはコンピュータが読み取り可能なプログラムコードが埋め込まれた、命令実行システムによって使用されるまたはそれに接続されるコンピュータが使用可能なまたはコンピュータが読み取り可能な記憶媒体上のコンピュータプログラム製品の形をとることができる。コンピュータが使用可能なまたはコンピュータが読み取り可能な媒体は、命令実行システム、装置、またはデバイスによって使用されるまたはそれに接続される、そのプログラムを含有または記憶することができる媒体を含む任意の媒体を含む。

本開示の実施形態は、例えば、本開示の実施形態に係る方法、システム、およびコンピュータプログラム製品のブロック図および／または演算図を参照して上記に説明されている。それらのブロックに記載の機能／動作は、フローチャートに示す順番から逸脱して起きてもよい。例えば、連続して図示された二つのブロックは、実際には、実質的に同時に実行されてもよく、またはこれらのブロックは、場合によっては、伴う機能／動作に応じて、逆の順序で実行されてもよい。

本発明は、例示的な設計を有するものとして説明されているが、本発明は、本開示の精神および範囲内でさらに修正されることができる。したがって、本出願は、その一般的原理を使用する本発明の任意の変形、用途、または改造を包含することが意図されている。さらに、本出願は、本発明が属する技術において既知または通例の慣習の範囲内に含まれるような本開示からの逸脱を包含することが意図されている。

１０ 車両
１２ 自律または遠隔コントローラ
１４ 通信インターフェースモジュール（ＣＩＭ）
１６ モードスイッチ
１８ システムオン／オフ機能
２０ イグニッション中断機能
２２ ディスプレイ
２４ 電子パワーステアリング制御装置
２６ ステアリング配置機能
２８ エンジン制御モジュール（ＥＣＭ）
３０ ペダル配置機能
３２ エンジン始動／停止機能
３４ 車両制御モジュール
３６ トランスミッション配置機能
３８ ブレーキ配置機能
４０ パーキングブレーキ配置機能
５０ アクセサリ統合デバイス
５２ ＣＡＮポート
５４ ＣＡＮバス
５６ アクセサリハードウェアプラットフォーム
５８ ハードウェアＣＡＮトランシーバ
６０ アクセサリソフトウェア
６２ ハードウェアプラットフォームファームウェア
６４ ＣＡＮアクセサリＡＰＩソフトウェア
６６ サードパーティアプリケーションソフトウェア
７０、７２、７４、７６、７８、８０、８２、５００、５１０、５２０、５３０、５４０、５５０、５６０、５７０、５８０、５９０、６００、６１０、６２０、６３０、６４０、７００、７１０、７２０ ブロック

Claims (27)

1. 複数の車両デバイスが結合される通信ネットワークと、
   該通信ネットワークに結合され、車両の作動を実施するために該通信ネットワークを介して該複数の車両デバイスの第一のサブセットを制御することができる車両制御ユニットであって、該車両制御ユニットは、該通信ネットワークを介して該車両デバイスの第二のサブセットからの入力を受信するように、かつ車両デバイスの該第二のサブセットから受信した該入力に応答して該複数の車両デバイスの該第一のサブセットを制御するように動作可能であり、車両デバイスの該第二のサブセットからの入力は、該車両デバイスのうちの一つ以上とのオペレータの相互作用を示す車両制御ユニットと、
   ネットワークインターフェースであって、該ネットワークインターフェースは、自律車両コントローラが、車両デバイスの該第二のサブセットからの入力とは無関係に車両デバイスの該第一のサブセットを介して車両の作動を実施することができるように該自律車両コントローラに結合するように動作可能であるネットワークインターフェースと
   を含む車両。
2. 車両デバイスの前記第一のサブセットは、ステアリングコントローラ、ブレーキ、トランスミッションシフトコントローラ、車両速度コントローラ、および車両オン／オフコントローラのうちの一つ以上を含む請求項１に記載の車両。
3. 車両デバイスの前記第二のサブセットは、ブレーキペダル、ステアリングデバイス、シフトレバー、シフトボタン、アクセルペダル、およびオン／オフモードセレクタのうちの一つ以上を含む請求項１に記載の車両。
4. プロセッサによって解釈されるときに、該プロセッサに、車両デバイスの前記第一のサブセットを制御するために前記ネットワークインターフェースを介して受信されたコマンドを再調査させる命令をさらに含み、該再調査は、該コマンドの実施により該車両が許容不可能な状態になる場合は該コマンドの実施を阻止するために該コマンドを一組の許容条件と比較する請求項１に記載の車両。
5. モードスイッチをさらに含み、該モードスイッチは、車両デバイスの前記第一のサブセットが車両デバイスの前記第二のサブセットに応じて制御される第一の状態を有し、該モードスイッチは、車両デバイスの前記第一のサブセットが前記ネットワークインターフェースを介して受信されたコマンドに応じて制御される第二の状態を有する請求項１に記載の車両。
6. 前記スイッチは、物理的操作および物理的操作を介して動作可能な物理的スイッチなしで状態を変えることができるソフトウェアスイッチの一つである請求項５に記載の車両。
7. 前記車両制御ユニットは、前記複数の車両デバイスの前記第二のサブセットからの入力を受信し、前記ネットワークインターフェースからの入力を受信し、前記複数の車両デバイスの前記第一のサブセットを制御するためにどちらの入力を使用すべきかを決定する請求項１に記載の車両。
8. 前記車両制御ユニットは、モードスイッチの状態の決定に応じてどちらの入力を使用すべきかを決定する請求項７に記載の車両。
9. 車両デバイスの前記第二のサブセットはブレーキアクチュエータを含み、前記車両制御ユニットは、どちらの入力が該ブレーキアクチュエータの最も大きな作動を示しているかに基づいてどちらの入力を使用すべきかを決定する請求項７に記載の車両。
10. 前記複数の車両デバイスは複数のセンサを含み、前記車両制御ユニットは、前記車両の一つ以上の操作上のエラー状態を決定するために該複数のセンサからの入力を受信するように動作可能であり、該車両制御ユニットは、該複数のセンサおよび車両デバイスの前記第一のサブセットのうちの少なくとも一つから受信された入力と前記ネットワークインターフェースを介して受信された入力との間の矛盾するコマンドを決定するようにさらに動作可能であり、矛盾するコマンドの検出は、一つ以上のエラー状態を決定するために使用され、該制御ユニットは、低下操作モードに移行することによって一つ以上のエラー状態の決定に応じる請求項１に記載の車両。
11. プロセッサによって解釈されるときに、前記ネットワークインターフェースを介して受信されるコマンドが、認証されたソースから送信されているか否かを決定するための認証プロトコルを呼び出す命令をさらに含む請求項１に記載の車両。
12. 前記ネットワークインターフェースを介して受信されるコマンドが認証されたソースからではないとの決定を受けて、前記車両コントローラは、車両デバイスの前記第二のサブセットを介して命令される操作およびシャットダウンモードを介する操作のうちの一方として車両の操作を命令する請求項１１に記載の車両。
13. 前記シャットダウンモードは、前記車両が移動しているときに該車両を停止させ、前記認証プロトコルが成功裏に完了されるような時間まで前記ネットワークインターフェースを介して命令を拒否する請求項１２に記載の車両。
14. 自律車両操作を提供する方法であって、
    複数の車両操作デバイスが結合された通信ネットワークを車両に提供するステップであって、該複数の車両操作デバイスは、該車両を動作することができ、該複数の車両操作デバイスは、車両制御ユニットからの命令に基づいて作動する車両操作デバイスの第一のサブセットを含み、該複数の車両操作デバイスは、該車両制御ユニットへ入力を提供する車両操作デバイスの第二のサブセットを含み、該入力は、該車両操作デバイスのうちの一つ以上とのオペレータの相互作用を示すステップと、
    該通信ネットワークへのインターフェースを提供するステップと、
    該インターフェースを介して、自律車両コントローラからの入力を受信し、それによって、該自律車両コントローラが車両操作デバイスの該第二のサブセットからの入力とは無関係に車両操作デバイスの前記第一のサブセットを制御することを可能にするステップと
    を含む方法。
15. 車両操作デバイスの前記第一のサブセットは、ステアリングコントローラ、ブレーキ、トランスミッションシフトコントローラ、車両速度コントローラ、および車両オン／オフコントローラのうちの一つ以上を含む請求項１４に記載の方法。
16. 車両操作デバイスの前記第二のサブセットは、ブレーキペダル、ステアリングデバイス、シフトレバー、シフトボタン、アクセルペダル、およびオン／オフモードセレクタのうちの一つ以上を含む請求項１４に記載の方法。
17. 車両操作デバイスの前記第一のサブセットを制御するために前記ネットワークインターフェースを介して受信されるコマンドを再調査するステップをさらに含み、該再調査するステップは、該コマンドの実施により前記車両が許容不可能な状態になる場合は該コマンドの実施を阻止するために該コマンドを一組の許容条件と比較するステップを含む請求項１４に記載の方法。
18. モードスイッチの状態を検出するステップをさらに含み、該モードスイッチは、車両操作デバイスの前記第一のサブセットが車両操作デバイスの前記第二のサブセットに応じて制御される第一の状態を有し、該モードスイッチは、車両操作デバイスの前記第一のサブセットが前記ネットワークインターフェースを介して受信されたコマンドに応じて制御される第二の状態を有する請求項１４に記載の方法。
19. 前記スイッチは、物理的操作および物理的操作を介して動作可能な物理的スイッチなしで状態を変えることができるソフトウェアスイッチの一つである請求項１８に記載の方法。
20. 前記車両制御ユニットによって、前記複数の車両操作デバイスの前記第二のサブセットからの入力を受信するステップと、
    前記車両制御ユニットによって、前記ネットワークインターフェースからの入力を受信するステップと、
    前記複数の車両操作デバイスの前記第一のサブセットを制御するためにどちらの入力を使用すべきかを決定するステップと
    をさらに含む請求項１４に記載の方法。
21. 前記決定するステップは、モードスイッチの状態の決定に応じて前記車両制御ユニットによって行われる請求項２０に記載の方法。
22. 車両操作デバイスの前記第二のサブセットはブレーキアクチュエータを含み、前記車両制御ユニットは、どちらの入力が該ブレーキアクチュエータの最も大きな作動を示しているかに基づいてどちらの入力を使用すべきかを決定する請求項２０に記載の方法。
23. 前記複数の車両操作デバイスは複数のセンサを含み、
    該複数のセンサから前記車両制御ユニットによって入力を受信し、該入力に応じて前記車両の操作上の一つ以上のエラー状態を決定するステップと、
    該制御ユニットによって、該複数のセンサおよび車両操作デバイスの第一のサブセットのうちの少なくとも一つから受信された入力と前記ネットワークインターフェースを介して受信された入力との間の矛盾するコマンドを決定するステップと、
    矛盾するコマンドの検出に応じて、一つ以上のエラー状態を決定するステップと、
    該一つ以上のエラー状態の存在の決定に応じて、低下操作モードに移行するステップと
    をさらに含む請求項１４に記載の方法。
24. 前記ネットワークインターフェースを介して受信されたコマンドが、認証されたソースから送信されているか否かを決定するための認証プロトコルを呼び出すステップをさらに含む請求項１４に記載の方法。
25. 前記ネットワークインターフェースを介して受信されるコマンドが認証されたソースからではないと決定し、それを受けて、車両操作デバイスの前記第二のサブセットを介して命令された操作およびシャットダウンモードを介する操作のうちの一方として前記車両の操作を命令するステップをさらに含む請求項２４に記載の方法。
26. 前記シャットダウンモードを介した操作は、前記車両が移動しているときに該車両を停止させ、前記認証プロトコルが成功裏に完了されるような時間まで前記ネットワークインターフェースを介して命令を拒否する請求項２５に記載の方法。
27. 非一時的な命令を有するコンピュータ可読媒体であって、該非一時的な命令は、プロセッサによって解釈されるときに、該プロセッサに、
    車両を操作することができ、車両通信ネットワークを介して提供される車両制御ユニットからの命令に基づいて作動する、車両デバイスの第一のサブセットに対して命令を提供させ、
    車両デバイスの第二のサブセットから、該車両デバイスのうちの一つ以上とのオペレータの相互作用を示す入力を、該通信ネットワークを介して受信させ、
    該通信ネットワークへのインターフェースを介して、自律車両コントローラからの入力を受信させ、それにより、該自律車両コントローラが、車両デバイスの該第二のサブセットからの入力とは無関係に車両デバイスの該第一のサブセットを制御することを可能にするコンピュータ可読媒体。

Images