JP2021516816A - 自動運転安全性評価方法、装置、およびシステム - Google Patents

Abstract

本出願は、自動運転安全性評価方法を提供し、この方法は、rbとrcを取得するステップであって、rbは、第1の測定単位のシャドウ運転モードでの車両のリスク値であり、rcは、第1の測定単位の事前設定ルートに基づく自動運転モードでの車両のリスク値であり、シャドウ運転モードは、リアルタイムルートに基づく車両の自動運転モードであり、リアルタイムルートは、手動運転モードでの車両の位置と移動パラメータに基づいて予測されたルートであり、第1の測定単位は期間または距離である、ステップと；rbに基づいてRBを決定するステップであって、RBは、複数の測定単位のシャドウ運転モードでの車両のリスク値であり、複数の測定単位は第1の測定単位を含む、ステップと；rcに基づいてRCを決定するステップであって、RCは複数の測定単位の事前設定ルートに基づく自動運転モードでの車両のリスク値である、ステップと、を含み、RBとRCは、自動運転モードでの車両の安全性が要件を満たすかどうかを判断するために使用される。上記の方法によれば、自動運転の安全性がより正確に評価されることができる。

Description

本出願は、2018年3月16日に中国特許庁に提出された、”SELF−DRIVING SAFETY EVALUATION METHOD，APPARATUS，AND SYSTEM”と題された中国特許出願第201810220891．X号に対する優先権を主張し、その全体が参照により本明細書に組み込まれる。

本出願は、自動運転の分野に関し、特に、自動運転安全性評価の方法、装置、およびシステムに関する。

自動運転車は、無人運転自動車とも呼ばれ、レーダ等のセンサを利用して環境情報を取得し、環境情報に基づいて車両の走行を制御することにより、運転者によって実行される車両制御の時間を短縮することができる。自動運転車は交通違反を減らすなどの利点がある。しかしながら、自動運転モードにおいて運転者によって実行される車両制御の時間は、従来の手動運転モードにおいて運転者によって実行される車両制御の時間よりも短い。したがって、自動運転車には依然として多くの不確実性がある。自動運転車を乗客が使用するリスクを低減するためには、自動運転車が販売される前に自動運転車の安全性が厳しく評価される必要がある。

自動運転車の安全性を評価するためには、自動運転車の大量の走行データ、例えば、500万から600万キロメートルを走行する自動運転車によって生成されたデータが収集される必要がある。これは自動車メーカーに非常に高いコストをもたらす。

既存の自動運転安全性評価方法は、手動運転ルートを模擬自動運転システムに入力し、手動運転モードと自動運転モードで安全関連要因を別々に計算し、手動運転モードと自動運転モードで定量化された値を取得するものである。上記の方法によれば、手動運転モードのデータを用いて自動運転モードの安全性が評価されることができ、それにより自動運転車の量産にかかるコストサイクルを低減することができる。しかしながら、運転者によって車両制御が行われるという現実のシナリオは、模擬自動運転システムに基づいて安全性評価を行うことによって復元されることはできない。その結果、模擬自動運転システムに基づいて得られた安全性評価結果と実際の自動運転安全性との間には比較的大きな偏差がある。

本出願は、安全性評価の結果と実際の自動運転安全性との間の偏差を低減するための自動運転安全性評価方法および装置を提供する。

第1の態様によれば、自動運転安全性評価方法が提供される。この方法は、r_bとr_cを取得するステップであって、r_bは、第1の測定単位のシャドウ運転モードでの車両のリスク値であり、r_cは、第1の測定単位の事前設定ルートに基づく自動運転モードでの車両のリスク値であり、シャドウ運転モードは、リアルタイムルートに基づく車両の自動運転モードであり、リアルタイムルートは、手動運転モードでの車両の位置と移動パラメータに基づいて予測されたルートであり、第1の測定単位は期間または距離である、ステップと；r_bに基づいてR_Bを決定するステップであって、R_Bは、複数の測定単位のシャドウ運転モードでの車両のリスク値であり、複数の測定単位は第1の測定単位を含む、ステップと；r_cに基づいてR_Cを決定するステップであって、R_Cは複数の測定単位の事前設定ルートに基づく自動運転モードでの車両のリスク値である、ステップと、を含み、R_BとR_Cは、自動運転モードでの車両の安全性が要件を満たすかどうかを判断するために使用される。

r_bとr_cは、リスクが事故に発展する確率を反映している。本出願で提供される自動運転安全性評価方法では、事前設定ルートに基づく自動運転モードで生成されるリスクデータの収集に加えて、リアルタイムルートに基づく自動運転モードで生成されるリスクデータがさらに収集される。リアルタイムルートは、手動運転モードでの車両の位置と移動パラメータに基づいて予測されたルートである。例えば、運転者が車両を制御して事前設定ルートを変更する場合、車載安全性評価装置は、運転者によって実行される車両制御のルートに基づいて自動運転ルートを再計画し、再計画された自動運転ルートに基づいて、自動運転の安全性を判断することができ、これにより自動運転の安全性をより正確に評価する。

オプションの実装では、この方法は、R_BとR_Cの合計を計算するステップと、R_BとR_Cの合計が自動運転リスク閾値以下の場合、自動運転モードでの車両の安全性が要件を満たしていると判断するステップと、をさらに含む。

上記実施形態は、R_BおよびR_Cを別のデバイスに送信し、別のデバイスによって自動運転モードでの車両の安全性を評価する必要なく、R_BとR_Cを決定するための装置によって実装され得、それにより自動運転モードの安全性評価のリアルタイム性能を改善する。

オプションの実装では、自動運転リスク閾値はα（R_A＋R’_A）であり、ここで、αはリスク許容係数、R_Aは複数の測定単位の手動運転モードでの車両のリスク値であり、複数の測定単位で車両が通過する道路区間が第1の道路区間であり、R’_Aは、手動運転モードに基づく複数の測定単位の外側の第1の道路区間を通過する車両のリスク値である。

自動運転のリスク値は手動運転のリスク値と比較されることができ、自動運転のリスク値が受け入れられることができる許容係数が設定されて、自動運転の安全性が要件を満たすかどうかを判断することができる。

オプションの実装では、r_bに基づいてR_Bを決定するステップと、r_cに基づいてR_Cを決定するステップは、

に基づいてR_BまたはR_Cを決定するステップを含み、eventはリスクシナリオを表し、s_eventはリスクシナリオにおける事故の重大度の係数を表し、Xは複数の測定単位を表し、r_iがr_bを表すとき、R_iはR_Bを表し、r_iがr_cを表すとき、R_iはR_Cを表す。

s_eventは、さまざまなリスクシナリオでの事故の重大度を反映している。例えば、衝突シナリオでは、人との衝突の重大度は、別のオブジェクトとの衝突の重大度よりもはるかに高くなる。したがって、人との衝突の重大度は1に設定されることができ、他のオブジェクトとの衝突の重大度は、オブジェクトの特性に基づいて、例えば、0．1から0．9の範囲で選択されることができる。r_iはリスクが事故に発展する確率を反映し、Σは複数の測定単位でのリスクの累積を反映し、R_iはリスクが測定単位で事故に発展する平均確率を反映する。上記の式は、自動運転リスクを客観的に反映できる。

オプションの実装では、r_bとr_cを取得するステップは：リスクシナリオが衝突シナリオの場合、次のパラメータ：衝突オブジェクトに対する車両の速度Δv、衝突オブジェクトの移動軌跡に基づいて推定された車両と衝突オブジェクトとの衝突までの時間（time to collision，TTC）、車両と衝突オブジェクトとの間の距離に基づいて推定された車両の前進までの時間（time to headway，THW）、および車両と衝突オブジェクトとの間の距離、の少なくとも1つに基づいてr_bとr_cを決定するステップを含み、Δvはr_bまたはr_cと正の相関があり、TTCはr_bまたはr_cと負の相関があり、THWはr_bまたはr_cと負の相関があり、車両と衝突オブジェクトとの間の距離は、r_bまたはr_cと負の相関がある。

衝突シナリオでは、相対移動速度が高いほど、リスクが事故に発展する確率が高く、つまり、Δvはr_bまたはr_cと正の相関がある：衝突までの時間が長いほど、車両が走行ルートを調整して衝突を回避できる可能性が高くなり、衝突の発生確率が低くなるため、TTCはr_bまたはr_cと負の相関がある：前進までの利用可能な時間が長いほど、衝突が発生する確率が低くなるため、THWはr_bまたはr_cと負の相関がある：また、車両と衝突オブジェクトとの間の距離が長いほど、車両が走行ルートを調整して衝突を回避できる可能性が高くなり、衝突が発生する確率が低くなるため、車両と衝突オブジェクトとの間の距離はr_bまたはr_cと負の相関がある。

オプションの実装では、次のパラメータ：衝突オブジェクトに対する車両の速度Δv、衝突オブジェクトの移動軌跡に基づいて推定された車両と衝突オブジェクトとの衝突までの時間TTC、車両と衝突オブジェクトとの間の距離に基づいて推定された車両の前進までの時間THW、および車両と衝突オブジェクトとの間の距離、の少なくとも1つに基づいてr_bとr_cを決定するステップは：r_SG1＝f（t）_maxに基づいてr_bとr_cを決定するステップを含み、ここで、衝突シナリオではr_SG1はr_bまたはr_cであり、t∈｛t_event，h（t_event，obj）＝1｝、f（t）＝Δv（t）＊exp（−min｛r₀TTC（t），r₁THW（t），r₂s｝）であり、｛t_event，h（t_event，obj）＝1｝は衝突リスクが発生する期間を表し、TTC（t）はt時点のTTCを表し、THW（t）はt時点のTHWを表し、

r₀，r₁，r₂はそれぞれ正規化されたパラメータ、vはt時点の車両の速度、Δv（t）はt時点のΔv、expは底が自然定数である指数であり、sは車両と衝突オブジェクトとの間の距離を表す。

オプションの実装では、r_bとr_cを取得するステップは、リスクシナリオが交通信号灯器シナリオの場合、車両の速度と車両から交通信号灯器までの距離に基づいてr_bとr_cを決定するステップを含み、車両の速度はr_bまたはr_cと正の相関があり、車両から交通信号灯器までの距離はr_bまたはr_cと負の相関がある。

交通信号灯器シナリオでは、車両の速度が高いほど、交通信号灯器に違反する（例えば、赤信号を通過する）確率が高くなり、したがって、車両の速度は、r_bまたはr_cと正の相関がある：また、車両から交通信号灯器までの距離が長いほど、車両が走行状態を変更する時間が長くなり、交通信号灯器を通過する確率が低くなるため、車両から交通信号灯器までの距離は、r_bまたはr_cと負の相関がある。

オプションの実装では、車両の速度と車両から交通信号灯器までの距離に基づいてr_bとr_cを決定するステップは：r_SG2＝f（t）_maxに基づいてr_bとr_cを決定するステップを含み、交通信号灯器シナリオではr_SG2はr_bまたはr_cであり、t∈｛t_event，h（t_event，Light）＝1｝，

r₃は正規化されたパラメータであり、｛t_event，h（t_event，Light）＝1｝は交通信号灯器に違反するリスクが発生する期間を表し、v（t）はt時点での車両の速度を表し、gは重力加速度定数であり、s（t）はt時点での車両から交通信号灯器までの距離を表す。

オプションの実装では、r_bとr_cを取得するステップは、リスクシナリオが、車両が道路の境界から飛び出すシナリオである場合、車両が車線から飛び出すのにかかる推定時間に基づいてr_bとr_cを決定するステップを含み、車両が車線から飛び出すのにかかる推定時間は、r_bまたはr_cと負の相関がある。

車両が道路の境界から飛び出すシナリオでは、車両が車線から飛び出すのにかかる推定時間が長いほど、車両が走行状態を調整する時間が長くなり、車両が道路から飛び出す確率が低くなる。したがって、車両が車線から飛び出すのにかかる推定時間は、r_bまたはr_cと負の相関がある。

オプションの実装では、車両が車線から飛び出すのにかかる推定時間に基づいてr_bとr_cを決定するステップは、

に基づいてr_bとr_cを決定するステップを含み、車両が道路の境界から飛び出すシナリオではr_SG3はr_bまたはr_cであり、TLC_thresholdは車両が道路から飛び出すのに必要な時間の臨界値を表し、

eは自然定数、t_lcは車両が車線から飛び出すのにかかる推定時間、yは道路の境界での車両の横方向オフセット、W_roadは道路の幅、v_longは車両の縦方向速度、v_latは車両の横方向速度であり、φ−φ_dは、車両の進行方向と道路接線方向との間の角度を表し、r₄は正規化されたパラメータである。

オプションの実装では、r_bとr_cを取得するステップは：リスクシナリオが非通常走行シナリオである場合、次のパラメータ：車両の縦方向加速度、車両の横方向加速度、および車両の速度の少なくとも1つに基づいてr_bとr_cを決定するステップを含み、車両の縦方向加速度はr_bまたはr_cと正の相関があり、車両の横方向加速度はr_bまたはr_cと正の相関があり、車両の速度はr_bまたはr_cと正の相関がある。

非通常走行シナリオは、例えば、車両が横方向加速度を有する走行シナリオであってもよい。縦方向加速度が大きいほど、車両の過速度または車両の急ブレーキの可能性が高くなる。したがって、車両の縦方向加速度は、r_bまたはr_cと正の相関がある。横方向加速度が大きいほど、車両が急に曲がる可能性が高くなる。したがって、車両の横方向加速度はr_bまたはr_cと正の相関がある。車両の速度が高いほど、過速度などの非通常走行が発生する確率が高くなる。したがって、車両の速度はr_bまたはr_cと正の相関がある。

オプションの実装では、次のパラメータ：車両の縦方向加速度、車両の横方向加速度、および車両の速度の少なくとも1つに基づいてr_bとr_cを決定するステップは：r_SG4＝r₅に基づいてr_bとr_cを決定するステップを含み、非通常走行シナリオではr_SG4はr_bまたはr_cであり、（｜α_long｜＞α_threshold1）｜｜（｜α_lat｜＞α_threshold2）｜｜（v≧v_safe）、α_longは車両の縦方向加速度を表し、α_latは車両の横方向加速度を表し、α_threshold1は安全走行状態での横方向加速度の閾値を表し、α_threshold2は安全走行状態での縦方向加速度の閾値を表し、vは車両の速度を表し、v_safeは安全走行状態での速度閾値を表し、r₅は正規化されたパラメータである。

オプションの実装では、r_bとr_cを取得するステップは：ある期間における車両の運転モードとリスクシナリオを決定するステップであって、期間の開始点は第1の時点であり、期間の終了点は第2の時点であり、運転モードは、自動運転モードおよび／または手動運転モードを含む、ステップと；現時点のリスクシナリオに対応するリスク識別方法に基づいて、期間中の運転モードのリスク値を決定するステップであって、現時点が第1の時点の後であり、現時点が第2の時点の前である、ステップと、を含む。

期間は測定単位であってもよく、期間中の運転モードのリスク値は、例えば、r_bとr_cである。車両は、距離を走行するのに必要な複数の期間からある期間を選択し、期間中の時点（すなわち現時点）で、既知の走行情報と予測走行情報を使用して期間中の対応する運転モードのリスク値を決定する。例えば、決定された期間は1秒であり、現時点は0．4秒の時点である。過去0．4秒間に過速度走行状態が発生した場合、期間中の運転モードでの非通常運転のリスク値は1であると車両が判断し、具体的には、過速度の発生確率は100％である。過去0．4秒間に過速度走行状態が発生せず、現在の車両の速度と加速度に基づいて、その後0．6秒間の車両速度が適正な走行速度のままであると車両が判断した場合、期間中の非通常運転のリスク値は1未満の値であると車両が判断し、具体的には、過速度の発生確率は100％未満である。本実施形態では、距離を走行するのに必要な期間は複数の期間に分割され、各期間の運転モードにおけるリスク値は、期間中の交通状況に基づいて決定されることで、リスクはより客観的に識別されることができる。

オプションの実装では、現時点で、リスクシナリオに対応するリスク識別方法に基づいて、期間中の運転モードでのリスク値を決定する前に、方法は：第1の時点における車両の位置および移動パラメータを決定するステップであって、車両は手動運転モードに基づいて第1の時点で走行する、ステップと；第1の時点における車両の位置および移動パラメータに基づいて、第3の時点における車両の位置を予測するステップであって、第3の時点は第1の時点より遅い、ステップと；第1の時点の位置と第3の時点の位置に基づいて、第1の時点の位置から第3の時点の位置までの車両のシャドウ運転モードを予測するステップであって、シャドウ運転モードは、手動運転モードでの車両の位置と移動パラメータに基づいて予測される車両の自動運転モードである、ステップと、をさらに含む。現時点で、リスクシナリオに対応するリスク識別方法に基づいて、期間中の運転モードでのリスク値を決定するステップは：リスクシナリオに対応するリスク識別方法に基づいて、現時点で、r_a、r_b、およびr_cを決定するステップを含み、r_aは期間中の手動運転モードのリスク値、r_bは期間中のシャドウ運転モードのリスク値、r_cは期間中の事前設定ルートに基づく自動運転モードのリスク値である。

車両は、第1の時点における車両の位置および移動パラメータに基づいて、将来の期間後の車両の位置を予測することができ、すなわち、第3の時点における車両の位置を予測することができる。車両は、第1の時点で手動運転状態にあり、その後、車両は、第1の時点の位置から第3の時点の位置までの車両のシャドウ運転モードを予測する。上記実施形態では、自動運転のルートが手動運転モードの位置と移動パラメータに基づいて連続的に変更されることにより、自動運転モードのルートを手動運転モードのルートに近づけることができる。したがって、より客観的な自動運転リスクデータが得られることができる。

第2の態様によれば、本出願は、車両の運転リスクを決定するための方法をさらに提供する。この方法は、自動運転モードと手動運転モードを備えた車両に適用される。この方法は：ある期間における車両の運転モードとリスクシナリオを決定するステップであって、期間の開始点は第1の時点であり、期間の終了点は第2の時点であり、運転モードは、自動運転モードおよび／または手動運転モードを含む、ステップと；現時点で、リスクシナリオに対応するリスク識別方法に基づいて期間中の運転モードのリスク値を決定するステップであって、現時点が第1の時点の後であり、現時点が第2の時点の前である、ステップと、を含む。

車両は、距離を走行するために必要な複数の期間からある期間を選択し、既知の走行情報と期間中の時点（つまり現時点）での予測走行情報を使用して、期間中の対応する運転モードでのリスク値を決定する。例えば、決定された期間は1秒であり、現時点は0．4秒の時点である。過去0．4秒間に過速度走行状態が発生した場合、期間中の運転モードにおける非通常運転のリスク値は1であると車両が判断することができ、具体的には、過速度の発生確率は100％である。過去0．4秒間に過速度走行状態が発生せず、現在の車両の速度と加速度に基づいて、その後0．6秒間の車両速度が適正な走行速度のままであると車両が判断した場合、期間中の非通常運転のリスク値は1未満の値であると車両が判断し、具体的には、過速度の発生確率は100％未満である。本実施形態では、距離を走行するのに必要な期間は複数の期間に分割され、各期間の運転モードにおけるリスク値は、期間中の交通状況に基づいて決定されることで、リスクはより客観的に識別されることができる。

オプションの実装では、現時点で、リスクシナリオに対応するリスク識別方法に基づいて、期間中の運転モードでのリスク値を決定する前に、方法は：第1の時点における車両の位置および移動パラメータを決定するステップであって、車両は手動運転モードに基づいて第1の時点で走行する、ステップと；第1の時点における車両の位置および移動パラメータに基づいて、第3の時点における車両の位置を予測するステップであって、第3の時点は第1の時点より遅い、ステップと；第1の時点の位置と第3の時点の位置に基づいて、第1の時点の位置から第3の時点の位置までの車両のシャドウ運転モードを予測するステップであって、シャドウ運転モードは、手動運転モードでの車両の位置と移動パラメータに基づいて予測される車両の自動運転モードである、ステップと、をさらに含む。現時点で、リスクシナリオに対応するリスク識別方法に基づいて、期間中の運転モードでのリスク値を決定するステップは：リスクシナリオに対応するリスク識別方法に基づいて、現時点で、r_a、r_b、およびr_cを決定するステップを含み、r_aは期間中の手動運転モードのリスク値、r_bは期間中のシャドウ運転モードのリスク値、r_cは期間中の事前設定ルートに基づく自動運転モードのリスク値である。

車両は、第1の時点における車両の位置および移動パラメータに基づいて、将来の期間後の車両の位置を予測することができ、すなわち、第3の時点における車両の位置を予測することができる。車両は、第1の時点で手動運転状態にあり、その後、車両は、第1の時点の位置から第3の時点の位置までの車両のシャドウ運転モードを予測する。上記実施形態では、自動運転のルートが手動運転モードの位置と移動パラメータに基づいて連続的に変更されることにより、自動運転モードのルートを手動運転モードのルートに近づけることができる。したがって、より客観的な自動運転リスクデータが得られることができる。

オプションの実装では、リスクシナリオに対応するリスク識別方法に基づいて、現時点で、r_a、r_b、およびr_cを決定するステップは：リスクシナリオが衝突シナリオの場合、次のパラメータ：衝突オブジェクトに対する車両の速度Δv、衝突オブジェクトの移動軌跡に基づいて推定された車両と衝突オブジェクトとの衝突までの時間TTC、車両と衝突オブジェクトとの間の距離に基づいて推定された車両の前進までの時間THW、および車両と衝突オブジェクトとの間の距離、の少なくとも1つに基づいてr_a、r_b、およびr_cを決定するステップを含み、Δvはr_a、r_b、またはr_cと正の相関があり、TTCはr_a、r_b、またはr_cと負の相関があり、THWはr_a、r_b、またはr_cと負の相関があり、車両と衝突オブジェクトとの間の距離は、r_a、r_b、またはr_cと負の相関がある。

衝突シナリオでは、相対移動速度が高いほど、リスクが事故に発展する確率が高く、つまり、Δvはr_a、r_b、またはr_cと正の相関がある：衝突までの時間が長いほど、車両が走行ルートを調整して衝突を回避できる可能性が高くなり、衝突の発生確率が低くなるため、TTCはr_a、r_b、またはr_cと負の相関がある：前進までの利用可能な時間が長いほど、衝突が発生する確率が低くなるため、THWはr_a、r_b、またはr_cと負の相関がある：また、車両と衝突オブジェクトとの間の距離が長いほど、車両が走行ルートを調整して衝突を回避できる可能性が高くなり、衝突が発生する確率が低くなるため、車両と衝突オブジェクトとの間の距離はr_a、r_b、またはr_cと負の相関がある。

オプションの実装では、次のパラメータ：衝突オブジェクトに対する車両の速度Δv、衝突オブジェクトの移動軌跡に基づいて推定された車両と衝突オブジェクトとの衝突までの時間TTC、車両と衝突オブジェクトとの間の距離に基づいて推定された車両の前進までの時間THW、および車両と衝突オブジェクトとの間の距離、の少なくとも1つに基づいてr_a、r_b、およびr_cを決定するステップは：r_SG1＝f（t）_maxに基づいてr_a、r_b、およびr_cを決定するステップを含み、ここで、衝突シナリオではr_SG1はr_a、r_b、またはr_cであり、t∈｛t_event，h（t_event，obj）＝1｝、f（t）＝Δv（t）＊exp（−min｛r₀TTC（t），r₁THW（t），r₂s｝）であり、｛t_event，h（t_event，obj）＝1｝は衝突リスクが発生する期間を表し、TTC（t）はt時点のTTCを表し、THW（t）はt時点のTHWを表し、

r₀，r₁，r₂はそれぞれ正規化されたパラメータ、vはt時点の車両の速度、Δv（t）はt時点のΔv、expは底が自然定数である指数であり、sは車両と衝突オブジェクトとの間の距離を表す。

オプションの実装では、リスクシナリオに対応するリスク識別方法に基づいて、現時点で、r_a、r_b、およびr_cを決定するステップは、リスクシナリオが交通信号灯器シナリオの場合、車両の速度と車両から交通信号灯器までの距離に基づいてr_a、r_b、およびr_cを決定するステップを含み、車両の速度はr_a、r_b、またはr_cと正の相関があり、車両から交通信号灯器までの距離はr_a、r_b、またはr_cと負の相関がある。

交通信号灯器シナリオでは、車両の速度が高いほど、交通信号灯器に違反する（例えば、赤信号を通過する）確率が高くなり、したがって、車両の速度は、r_a、r_b、またはr_cと正の相関がある：また、車両から交通信号灯器までの距離が長いほど、車両が走行状態を変更する時間が長くなり、交通信号灯器を通過する確率が低くなるため、車両から交通信号灯器までの距離は、r_a、r_b、またはr_cと負の相関がある。

オプションの実装では、車両の速度と車両から交通信号灯器までの距離に基づいてr_a、r_b、およびr_cを決定するステップは：r_SG2＝f（t）_maxに基づいてr_a、r_b、およびr_cを決定するステップを含み、交通信号灯器シナリオではr_SG2はr_a、r_b、またはr_cであり、t∈｛t_event，h（t_event，Light）＝1｝，

r₃は正規化されたパラメータであり、｛t_event，h（t_event，Light）＝1｝は交通信号灯器に違反するリスクが発生する期間を表し、v（t）はt時点での車両の速度を表し、gは重力加速度定数であり、s（t）はt時点での車両から交通信号灯器までの距離を表す。

オプションの実装では、リスクシナリオに対応するリスク識別方法に基づいて、現時点で、r_a、r_b、およびr_cを決定するステップは、リスクシナリオが、車両が道路の境界から飛び出すシナリオである場合、車両が車線から飛び出すのにかかる推定時間に基づいてr_a、r_b、およびr_cを決定するステップを含み、車両が車線から飛び出すのにかかる推定時間は、r_a、r_b、またはr_cと負の相関がある。

車両が道路の境界から飛び出すシナリオでは、車両が車線から飛び出すのにかかる推定時間が長いほど、車両が走行状態を調整する時間が長くなり、車両が道路から飛び出す確率が低くなる。したがって、車両が車線から飛び出すのにかかる推定時間は、r_bまたはr_cと負の相関がある。

オプションの実装では、車両が車線から飛び出すのにかかる推定時間に基づいてr_a、r_b、およびr_cを決定するステップは、

に基づいてr_a、r_b、およびr_cを決定するステップを含み、車両が道路の境界から飛び出すシナリオではr_SG3はr_a、r_b、またはr_cであり、TLC_thresholdは車両が道路から飛び出すのに必要な時間の臨界値を表し、

eは自然定数、t_lcは車両が車線から飛び出すのにかかる推定時間、yは道路の境界での車両の横方向オフセット、W_roadは道路の幅、v_longは車両の縦方向速度、v_latは車両の横方向速度であり、φ−φ_dは、車両の進行方向と道路接線方向との間の角度を表し、r₄は正規化されたパラメータである。

オプションの実装では、リスクシナリオに対応するリスク識別方法に基づいて、現時点で、r_a、r_b、およびr_cを取得するステップは：リスクシナリオが非通常走行シナリオである場合、次のパラメータ：車両の縦方向加速度、車両の横方向加速度、および車両の速度の少なくとも1つに基づいてr_a、r_b、およびr_cを決定するステップを含み、車両の縦方向加速度はr_a、r_b、またはr_cと正の相関があり、車両の横方向加速度はr_a、r_b、またはr_cと正の相関があり、車両の速度はr_a、r_b、またはr_cと正の相関がある。

縦方向加速度が大きいほど、車両の過速度または車両の急ブレーキの可能性が高くなる。したがって、車両の縦方向加速度は、r_a、r_b、またはr_cと正の相関がある。横方向加速度が大きいほど、車両が急に曲がる可能性が高くなる。したがって、車両の横方向加速度は、r_a、r_b、またはr_cと正の相関がある。車両の速度が高いほど、過速度などの非通常走行が発生する確率が高くなる。したがって、車両の速度はr_a、r_b、またはr_cと正の相関がある。

オプションの実装では、次のパラメータ：車両の縦方向加速度、車両の横方向加速度、および車両の速度の少なくとも1つに基づいてr_a、r_b、およびr_cを決定するステップは：r_SG4＝r₅に基づいてr_a、r_b、およびr_cを決定するステップを含み、非通常走行シナリオではr_SG4はr_a、r_b、またはr_cであり、（｜α_long｜＞α_threshold1）｜｜（｜α_lat｜＞α_threshold2）｜｜（v≧v_safe）、α_longは車両の縦方向加速度を表し、α_latは車両の横方向加速度を表し、α_threshold1は安全走行状態での横方向加速度の閾値を表し、α_threshold2は安全走行状態での縦方向加速度の閾値を表し、vは車両の速度を表し、v_safeは安全走行状態での速度閾値を表し、r₅は正規化されたパラメータである。

オプションの実装では、方法は、r_a、r_b、およびr_cをセーフティセンターに送信するステップをさらに含み、r_a、r_b、およびr_cが使用されて、手動運転モードとシャドウ運転モードでの安全性を評価する。

r_a、r_b、またはr_cを取得した後、車両はリスクデータまたはリスクデータに対応する元のデータ（例えば、センサで測定された車両の速度値）をセーフティセンターに送信することができ、セーフティセンターは、手動運転モードとシャドウ運転モードで安全性を評価することで、車載プロセッサの運用負荷を軽減する。

オプションの実装では、方法は：セーフティセンターによって送信されたセーフティシナリオ情報を受信するステップであって、セーフティシナリオ情報は、自動運転モードに設定された安全運転交通シナリオを示すために使用される、ステップと；セーフティシナリオ情報に基づいて自動運転モードに設定された安全運転交通シナリオを決定するステップと；現在の交通シナリオが安全運転交通シナリオセットに属していない場合、車両によって、運転者が手動運転を実行するように促すプロンプト情報を再生および／または表示するステップ、および／または車両によって、安全停止処理を実行するステップと、をさらに含む。

セーフティセンターは、車両から報告されたリスクデータに基づいてリスクシナリオを識別し、セーフティシナリオ情報を車両に送信することにより、車両のリスク識別メカニズムとリスク管理ポリシーを更新することができる。例えば、リスクが自動運転システムの潜在的なリスクによって引き起こされる場合、セーフティシナリオ情報は、安全運転交通シナリオセットからリスクシナリオを除外するように車両に指示することができる。車両は、セーフティシナリオ情報を受信した後、安全運転交通シナリオセットを更新する。現在の交通シナリオが、更新された安全運転交通シナリオセットに属していない場合、車両は安全対策を講じ、例えば、運転者に手動運転を実行するように促すプロンプト情報を再生および／または表示したり、かつ／あるいは安全停止処理を実行したりする。

第3の態様によれば、自動運転安全性評価装置が提供される。装置は、第1の態様の方法における機能を実装することができる。これらの機能は、ハードウェアによって実現されてもよく、ハードウェアによって対応するソフトウェアを実行することにより実現されてもよい。ハードウェアまたはソフトウェアは、1つまたは複数の機能に対応するユニットまたはモジュールを含む。

可能な設計では、装置は、プロセッサおよびトランシーバを含む。プロセッサは、第1の態様の方法における機能を実行する際に装置をサポートするように構成される。トランシーバは、装置と別の装置との間の通信をサポートするように構成される。装置はメモリをさらに含み得る。メモリは、プロセッサに結合するように構成され、メモリは、装置に必要なプログラム命令およびデータを格納する。

第4の態様によれば、コンピュータ可読記憶媒体が提供される。コンピュータ可読記憶媒体は、コンピュータプログラムコードを格納する。コンピュータプログラムコードが処理ユニットまたはプロセッサによって実行されると、自動運転安全性評価装置は、第1の態様における方法を実行することを可能にされる。

第5の態様によれば、チップが提供される。チップは命令を格納する。自動運転安全性評価装置で命令が実行されると、チップは、第1の態様の方法を実行することを可能にされる。

第6の態様によれば、コンピュータプログラム製品が提供される。コンピュータプログラム製品は、コンピュータプログラムコードを含む。コンピュータプログラムコードが、自動運転安全性評価装置の通信ユニットまたはトランシーバおよび処理ユニットまたはプロセッサによって実行されると、自動運転安全性評価装置は、第1の態様の方法を実行することを可能にされる。

第7の態様によれば、車両の運転リスクを決定するための装置が提供される。装置は、第2の態様の方法における機能を実装することができる。これらの機能は、ハードウェアを用いて実現されてもよく、対応するソフトウェアをハードウェアによって実行することにより実現されてもよい。ハードウェアまたはソフトウェアは、1つまたは複数の機能に対応するユニットまたはモジュールを含む。

可能な設計では、装置は、プロセッサおよびトランシーバを含む。プロセッサは、第1の態様の方法における機能を実行する際に装置をサポートするように構成される。トランシーバは、装置と別の装置との間の通信をサポートするように構成される。装置はメモリをさらに含み得る。メモリは、プロセッサに結合するように構成され、メモリは、装置に必要なプログラム命令およびデータを格納する。

第8の態様によれば、コンピュータ可読記憶媒体が提供される。コンピュータ可読記憶媒体は、コンピュータプログラムコードを格納する。コンピュータプログラムコードが処理ユニットまたはプロセッサによって実行されると、車両の運転リスクを決定するための装置は、第2の態様における方法を実行することを可能にされる。

第9の態様によれば、チップが提供される。チップは命令を格納する。車両の運転リスクを決定するための装置で命令が実行されると、チップは、第2の態様における方法を実行することを可能にされる。

第10の態様によれば、コンピュータプログラム製品が提供される。コンピュータプログラム製品は、コンピュータプログラムコードを含む。コンピュータプログラムコードが、車両の運転リスクを決定するための装置の通信ユニットまたはトランシーバおよび処理ユニットまたはプロセッサによって実行されると、車両の運転リスクを決定するための装置は、第2の態様における方法を実行することを可能にされる。

第11の態様によれば、自動運転安全性評価システムが提供される。システムは、リスク管理モジュール、リスクポリシーモジュール、および安全性評価モジュールを含む。リスク管理モジュールは、第1の態様のオプションの実装における方法を実行して、自動運転モードでリスクを決定するように構成される。リスクポリシーモジュールは、リスク管理モジュールで決定された自動運転モードでのリスクに基づいてリスク管理ポリシーを決定するように構成され、リスク管理ポリシーは、自動運転モードでのリスクを低減または排除するために使用される。安全性評価ポリシーは、リスク管理モジュールによって決定された自動運転モードのリスクに基づいて、自動運転モードの安全性を評価するために使用される。

第12の態様によれば、自動運転安全性評価システムが提供される。システムは、リスク管理モジュール、リスクポリシーモジュール、および安全性評価モジュールを含む。リスク管理モジュールは、自動運転モードでリスクを決定するために、第2の態様のオプションの実装における方法を実行するように構成される。リスクポリシーモジュールは、自動運転モードの、リスク管理モジュールによって決定されるリスクに基づいてリスク管理ポリシーを決定するように構成され、リスク管理ポリシーは、自動運転モードでのリスクを低減または排除するために使用される。安全性評価ポリシーは、リスク管理モジュールによって決定された自動運転モードのリスクに基づいて、自動運転モードの安全性を評価するために使用される。

従来の自動車製品リリースのフローチャートである。 手動運転のさまざまなリスクおよび自動運転のさまざまなリスクの概略図である。 自動運転車の量産を行うルートの概略図である。 本出願による自動運転安全性評価システムの概略図である。 本出願による自動運転安全性評価方法の概略フローチャートである。 本出願による自動運転安全性評価方法の概略図である。 本出願による衝突シナリオにおけるリスクの概略図である。 本出願による交通信号灯器シナリオにおけるリスクの概略図である。 本出願による車両の運転リスクを決定するための方法の概略図である。 本出願による自動運転の車両制御軌跡の概略図である。 本出願によるシャドウ運転モードの概略フローチャートである。 本出願による運転者の運転意図を識別するための方法の概略フローチャートである。 本出願によるシャドウ運転モードに基づいてシャドウ軌跡を予測する概略図である。 本出願によるシャドウ運転モードのリスクと手動運転モードのリスクとの比較を示す概略図である。 本出願によるリスク管理方法の概略フローチャートである。 本出願による安全運転シナリオフェンスの概略図である。 本出願による車両側装置の概略図である。 本出願による別の車両側装置の概略図である。 本出願によるクラウド装置の概略図である。 本出願による別のクラウド装置の概略図である。

以下では、添付図面を参照して本出願の技術的解決策について説明する。

図1は、従来の自動車製品のリリース手順である。手順には、製品の計画、開発、検証、リリース、欠陥が公開されているかどうか、および終了（つまり、製造の終了）が含まれる。自動運転システムの安全性レベル要件は、従来の自動車エレクトロニクス分野と同様である。ただし、図1に示される従来のリリース手順を実装することは、自動運転によって導入される未知の潜在的なリスクと、運転シナリオの複雑さによって導入されるドライブテストの累積走行距離（100万キロメートルクラス）要件のため、自動運転システムにとって困難である。

図2は、自動運転によって導入される未知の潜在的なリスクを示している。円の最外層はすべての運転シナリオを示し、重要でないシナリオ（A領域）が運転シナリオの大部分を占める。既存の知識では、既に発生した交通事故（C領域）の分析のみが使用されて、手動運転リスクシナリオ（B領域）と自動運転で保護されることができる手動運転のリスク（E領域）を識別できる。ただし、自動運転によって導入される新たな未知の潜在的リスク（F領域）に関する十分な知識は蓄積されていない。そのため、実際に自動運転システムが利用される前に、自動運転システムの客観的な安全性評価を行うことは難しい。

自動運転車の早期量産化と自動運転車産業の発展を促進するために、自動運転車のバッチ式の生産ルートマップを提案している団体もある。図3に示されるように、自動運転車の量産ルートは2つある。

ルート1：自動運転システムが搭載された自動車が少量ずつ生産される。自動運転システムの安全性は、安全性評価方法を用いて評価され、自動運転システムの安全性の検証を試みる。自動運転システムの安全性能が要件を満たすことができれば、大量に生産が行われるフェーズに入ることができると判断される。

ルート2：高度補助運転システムが搭載された自動車が大量に生産され、安全性評価方法を用いて高度な補助運転システムの安全性が評価される。高度な補助運転システムの機能が信頼性の高い安全性レベルに達すると、高度な補助運転システムが搭載された自動車は自動運転車にアップグレードされてもよい。

ルート1とルート2は、それぞれ自動運転車の量産のための2つのルートを表している。自動運転車が走行する過程で、車両はリスク識別方法を用いて自動運転システムの欠陥に起因されるリスクを識別し、リスク管理ポリシーを適時に更新し、リスクが事故に発展する前にリスク管理対策を講じて、事故発生確率を低減する。

以下、本出願で提供される自動運転安全性評価方法、装置、およびシステムについて説明する。

図4は、本出願による自動運転安全性評価システムを示している。システム400は、車両側装置410およびクラウド装置420を含む。

車両側装置410は、センサ411、リアルタイム環境センシングモジュール412、自動運転モジュール413、シャドウ運転モジュール414、リスク識別モジュール415、およびリスク管理モジュール416を含む。

クラウド装置420は、リスクポリシーモジュール421および安全性評価モジュール422を含む。

センサ411は、環境情報を収集するように構成される。センサ411は、例えば、カメラまたはレーダであり得る。

リアルタイム環境センシングモジュール412は、モジュールのその後の使用のためにセンサ411によって収集された環境情報を処理するように構成される。例えば、カメラは車両の前に障害物があることを検出し、レーダも車両の前に障害物があることを検出する。実際には、カメラとレーダで検出された障害物は同じ障害物であり得る。リアルタイム環境センシングモジュール412は、カメラおよびレーダによって収集された情報に基づいて、実際に前方に存在する障害物の数を決定する必要がある。

自動運転モジュール413は、リアルタイム環境センシングモジュール412によって出力されるデータ（すなわち、センシング結果）に基づいて車両の走行を制御し、自動運転の車両制御軌跡を出力するように構成される。

シャドウ運転モジュール414は、自動車が手動で運転されるとき、リアルタイム環境センシングモジュール412によって出力されたデータに基づいて自動運転をシミュレートし、シャドウ軌跡を生成するように構成される。以下、シャドウ運転モジュール414の動作過程を詳細に説明する。

リスク識別モジュール415は、手動運転、自動運転、およびシャドウ運転のリスクシナリオを識別して、リスクデータを生成するように構成される。リスク識別モジュール415は、リアルタイム環境センシングモジュール412によって出力されたセンシング結果に基づいて手動運転リスクを識別し、自動運転モジュール413によって出力された自動運転の車両制御軌跡に基づいて自動運転リスクを識別し、シャドウ運転モジュール414によって出力されたシャドウ軌跡に基づいてシャドウ運転リスクを識別する。

リスクポリシーモジュール421は、自動運転システムの既に識別された潜在的なリスクについてのリスク管理ポリシーを策定するように構成される。リスク管理モジュール416は、リスクを低減または排除するためにクラウドによって発行されたリスク管理ポリシーに基づいて対策を講じるように構成される。

安全性評価モジュール422は、蓄積されたリスクデータを使用することによって自動運転システムの安全性を評価するように構成される。

図4は、機能分割の観点からのシステム400の例示的な説明である。さまざまなモジュールの機能は、ソフトウェアの形で実装されてもよく、またはハードウェアの形で実装されてもよく、またはソフトウェアとハードウェアの組み合わせの形で実装されてもよい。システム400内のモジュールの機能が実装される特定の形態については、実際の事例に基づいて決定されることができる。これは本出願において限定されない。

図4は、一般性を失うことなく、システム400を車両側装置とクラウド装置に分割しているが、システム400のアーキテクチャはこれに限定されない。例えば、リスク識別モジュール415は、クラウド装置420に配備されてもよく、車両側装置410は、リスク識別処理を実行する必要がない。これにより、車両側装置410のプロセッサの負荷が軽減されることができる。別の例では、リスクポリシーモジュールおよび安全性評価モジュールは、車両側装置410に配備されてもよい。このように、車両側装置410がオフライン状態であっても、車両側装置410は、自動運転システムによって引き起こされた既に識別されたリスクに基づいてリスクポリシーを策定し、自動運転システムの安全性を評価することもできる。

システム400に基づいて、図5は、本出願による自動運転安全性評価方法の概略フローチャートである。

方法500では、S501は、センサ411によって実行され得る。センサ411は、リアルタイム情報を収集し、静的および動的環境データを再構築し、センサ411が配置されている車両（「自車両」と呼ばれることもある）のデータを追跡する。

S502は、異なる車両制御モードにおけるリスクを識別するために、リスク識別モジュール415によって実行され得る。自車両が自動運転モードにある場合、リスク識別モジュール415は、自動運転の車両制御軌跡に基づいて自動運転のリスク特徴を計算する。車両が手動運転モードにある場合、リスク識別モジュール415は、運転者によって実行された車両制御の軌跡に基づいて手動運転のリスク特徴を計算し、シャドウ軌跡に基づいてシャドウ運転のリスク特徴を計算する。

S503は、リスク管理モジュール416によって実行され得る。リスク管理モジュール416は、リスク識別モジュール415による計算を通じて得られた自動運転モードのリスク特徴およびシャドウ運転モードのリスク特徴に基づいて自動運転システムの潜在的な欠陥を識別し、リスク管理ポリシーを更新する。

S504は、安全性評価モジュール422によって実行され得る。安全性評価モジュール422は、さまざまな運転モードにおける累積リスク特徴に基づいて自動運転モードにおける安全性を評価し、評価結果が安全性検証および量産およびリリースの基礎として使用される。

以下は、方法500の手順に基づいて、本出願で提供される自動運転安全性評価の解決策をさらに詳細に説明する。

図6は、本出願による自動運転安全性評価方法を示している。方法600は、以下のステップを含む。

S610．r_bとr_cを取得し、ここで、r_bは、第1の測定単位のシャドウ運転モードでの車両のリスク値であり、r_cは、第1の測定単位の事前設定ルートに基づく自動運転モードでの車両のリスク値であり、シャドウ運転モードは、リアルタイムルートに基づく車両の自動運転モードであり、リアルタイムルートは、手動運転モードにおける車両の位置および移動パラメータに基づいて予測されるルートであり、第1の測定単位は、期間または距離である。

S620．r_bに基づいてR_Bを決定し、ここで、R_Bは、複数の測定単位のシャドウ運転モードでの車両のリスク値であり、複数の測定単位は第1の測定単位を含む。

S630．r_cに基づいてR_Cを決定し、ここで、R_Cは、複数の測定単位の事前設定ルートに基づく自動運転モードでの車両のリスク値であり、R_BおよびR_Cは、自動運転モードでの車両の安全性が要件を満たすかどうかを判断するために使用される。

方法600は、クラウド装置420によって実行されてもよく、または安全性評価モジュールが構成されている車両側装置によって実行されてもよい。

S610では、r_bおよびr_cは、リスクが事故に発展する確率を反映しており、リスクが事故に発展する確率の値であってもよく、または自動運転リスクを定量化するために使用されることができる別のタイプの値であってもよい。r_bとr_cの測定単位は、期間であっても、距離であってもよい。

リスク行動は、安全目標に違反する明示的または暗示的な運転行動（手動運転、自動運転、およびシャドウ運転を含む）として定義され得る。「明示的」は運転行動が事故に発展したことを示し、「暗示的」は運転行動が事故に発展した可能性があることを示す。したがって、リスク行動の識別は以下を含む：

明示的なリスクの識別、例えば、衝突または赤信号や青信号のルールへの違反。

暗示的なリスクの識別、例えば、前方の車両から十分な安全距離を確保していない、安全な走行速度の最大値に達したときに加速し続ける、または交差点でタイムリーに減速しない。暗示的なリスクは、異常な運転行動をさらに含む。これらの運転行動は、他の車両によるタイムリーな反応の失敗を引き起こす可能性があり、その結果、例えば、異常な加速または減速および道路方向に走行しないなどの受動的事故を引き起こす。

リスクシナリオの自動識別は、対応するシナリオでこれらのリスク行動の特徴を定義および計算することによって実現されることができる。

安全目標（safety goal，SG）は、次の定義を含むが、これらに限定されない。

SG 1：人や他のオブジェクトとの衝突を避ける。

SG 2：交通信号灯器のルールに準拠する。

SG 3：道路の境界から飛び出さないようにする。

SG 4：非通常走行（過速度、異常な加速または減速、および旋回を含む）を避ける。

安全目標ごとに、明示的なリスクが発生した場合、リスク値は1として定義され得る；リスクが発生しない場合、リスク値は0として定義され得る；暗示的リスクのリスク値は、0より大きく1より小さい値である。以下に、各シナリオにおけるリスク値を計算するための方法について詳しく説明する。

第1の測定単位は任意の測定単位である。事前設定ルートに基づく自動運転モードは、図5に示される自動運転モードである。モードは、自動運転モジュール413が車両を制御する運転モードである。自動運転モジュール413は、距離（すなわち、事前設定ルート）の開始点と終了点を取得した後、車両を制御して距離を走行させ、運転者は運転に参加しない。リアルタイムルートに基づく運転モードは、運転者が車両の走行を制御するプロセスにおいて、シャドウ運転モジュール414によってシミュレートされる自動運転モードである。シャドウ運転モジュール414は、運転者によって車両制御が行われた際に存在する車両の位置や移動パラメータに基づいて、シャドウ軌跡を継続的に修正し、自動運転のルートがBストリートを通り、運転者によって車両制御が行われるルートがAストリートを通るような事態を回避し、自動運転の安全性評価をより客観的にする。

S620およびS630において、R_Bは、例えば、複数の測定単位のr_bの和を複数の測定単位で除算して得られた平均値であってもよいし、すべての測定単位のr_bと重み係数との積の和を複数の測定単位で除算して得られた平均値であってもよい。同様に、R_Cは、例えば、複数の測定単位のr_cの和を複数の測定単位で除算して得られた平均値であってもよいし、すべての測定単位のr_cと重み係数との積の和を複数の測定単位で除算して得られた平均値であってもよい。また、R_BとR_Cは、他の方法を用いた計算で得られた値であってもよく、R_BとR_Cの計算方法は、この用途に限定されない。

結論として、本出願で提供される自動運転安全性評価方法では、事前設定ルートに基づく自動運転モードで生成されるリスクデータの収集に加えて、リアルタイムルートに基づく自動運転モードにより生成されるリスクデータがさらに収集される。リアルタイムルートは、手動運転モードでの車両の位置と移動パラメータに基づいて予測された自動運転ルート（つまり、シャドウ軌跡）である。例えば、運転者が車両を制御し、ルートを変更するとき、シャドウ運転モジュール414は、運転者によって実行される車両制御のルートに基づいて自動運転ルートを再計画し、再計算された自動運転ルートに基づいて自動運転の安全性を判断することができ、それにより自動運転の安全性をより正確に評価する。

任意選択で、方法600は、以下のステップをさらに含む。

S640．R_BとR_Cの合計を計算する。

S641．R_BとR_Cの合計が自動運転リスク閾値以下の場合、自動運転モードでの車両の安全性が要件を満たしていると判断する。

上記実施形態は、R_BおよびR_Cを別のデバイスに送信し、別のデバイスによって自動運転モードでの車両の安全性を評価する必要なく、R_BとR_Cを決定するための装置によって実装され得、それにより自動運転モードでの安全性評価のリアルタイム性能を改善する。

S641において、自動運転リスク閾値は、各測定単位の自動運転モードにおけるリスク値の閾値である。自動運転リスク閾値は、統計結果に基づいて設定される値、例えば、車両が走行した100万キロメートルの走行距離における1キロメートルあたりの平均自動運転リスク値の最大値であってもよい。車両が100万キロメートル走行した後、R_B＋R_Cの値が最大値以下であれば、車両の自動運転機能が安全要件を満たし、量産が実施されることができる。車両が100万キロメートル走行した後、R_B＋R_Cの値が最大値を超える場合、車両の自動運転機能が安全要件を満たせなくなり、量産は実施されることができなくなり、改善が行われる必要がある。

R_B＋R_CのR_BとR_Cにそれぞれ対応する走行距離は、100万キロメートルごとに設定され得る。例えば、R_B＋R_CのR_Cに対応する走行距離は、100万キロメートルごとに10万キロメートル以上に設定され得、自動運転の安全性がより客観的かつ正確に評価されることができるようになる。

オプションの実装では、自動運転リスク閾値はα（R_A＋R’_A）であり、ここで、αはリスク許容係数であり、R_Aは、例えば複数の測定単位の手動運転モードでの車両のリスク値の平均値であり、複数の測定単位で車両が通過する道路区間が第1の道路区間であり、R’_Aは、例えば、手動運転モードに基づく複数の測定単位の外側の第1の道路区間を通過する車両のリスク値の平均値である。

自動運転のリスク値は手動運転のリスク値と比較されることができ、自動運転のリスク値が受け入れられることができる許容係数が設定されて、自動運転の安全性が要件を満たすかどうかを判断することができる。

例えば、R_Aは手動運転モードで車両が50万キロ走行した後に取得されるリスク値であり、車両が50万キロを走行する道路区間は第1の道路区間であり、R’_Aは車両が手動運転モードで再び第1の道路区間を通過した後に取得されるリスク値である。R_B＋R_Cは、自動運転モードで車両が100万キロメートル走行した後に取得されるリスク値である。αは、走行距離が同じ長さの場合、自動運転のリスク値は手動運転のリスク値とαの積よりも小さい必要があることを示し、この場合にのみ、自動運転モードの安全性は要件を満たすと判断され得、通常、αは0より大きく1より小さい定数である。

オプションの実装では、r_bに基づいてR_Bを決定すること、およびr_cに基づいてR_Cを決定することは、次のステップを含む。

S650．

に基づいてR_BまたはR_Cを決定し、eventはリスクシナリオを表し、s_eventはリスクシナリオにおける事故の重大度の係数を表し、Xは複数の測定単位を表し、r_iがr_bを表すとき、R_iはR_Bを表し、r_iがr_cを表すとき、R_iはR_Cを表す。

s_eventはさまざまなリスクシナリオでの事故の重大度を反映し、r_iはリスクが事故に発展する確率を反映し、Σは複数の測定単位のリスクの累積を反映する。

例えば、衝突シナリオでは、人との衝突の重大度は、別のオブジェクトとの衝突の重大度よりもはるかに高くなる。したがって、人と衝突した場合のs_eventは1に設定されることができ、他のオブジェクトと衝突した場合のs_eventはオブジェクトの性質に応じて0．1〜0．9から選択されることができる。

別の例として、交通ルールの違反、走行中の道路範囲または方向からの逸脱、過速度、および従来の運転ルールの違反などの行動は、事故を構成するいくつかの主要な要因である。したがって、解決策では、s_eventは事故統計データに基づいて定義され得る。前述の動作のいずれかが車両で発生すると、対応するs_eventは0．01になる。

Xは、車両が走行した走行距離または車両が走行した時間であってもよく、走行距離または時間がR_iに対応し、R_iは、リスクが各測定単位（例えば、1キロメートルまたは1時間あたり）で事故に発展する平均確率を反映する。上記の式は、自動運転リスクを客観的に反映できる。

オプションの実装では、r_bとr_cの取得は次のステップを含む。

S611．リスクシナリオが衝突シナリオの場合、次のパラメータ：衝突オブジェクトに対する車両の速度Δv、衝突オブジェクトの移動軌跡に基づいて推定された車両と衝突オブジェクトとの衝突までの時間TTC、車両と衝突オブジェクトとの間の距離に基づいて推定された車両の前進までの時間THW、および車両と衝突オブジェクトとの間の距離、の少なくとも1つに基づいてr_bとr_cを決定し、Δvはr_bまたはr_cと正の相関があり、TTCはr_bまたはr_cと負の相関があり、THWはr_bまたはr_cと負の相関があり、車両と衝突オブジェクトとの間の距離は、r_bまたはr_cと負の相関がある。

衝突シナリオでは、相対移動速度が高いほど、リスクが事故に発展する確率が高く、つまり、Δvはr_bまたはr_cと正の相関がある：衝突までの時間が長いほど、車両が走行ルートを調整して衝突を回避できる可能性が高くなり、衝突の発生確率が低くなるため、TTCはr_bまたはr_cと負の相関がある：前進までの利用可能な時間が長いほど、衝突が発生する確率が低くなるため、THWはr_bまたはr_cと負の相関がある：また、車両と衝突オブジェクトとの間の距離が長いほど、車両が走行ルートを調整して衝突を回避できる可能性が高くなり、衝突が発生する確率が低くなるため、車両と衝突オブジェクトとの間の距離はr_bまたはr_cと正の相関がある。

図7は、本出願による衝突シナリオにおけるリスクの概略図である。

図7において、自車両の軌跡は、状態（t2，s2，v2，a2）から状態（t0，s0，v0，a0）への線分であり、他車両の軌跡は、状態（t1，s1，v1，a1）から状態（t’0，s’0，v’0，a’0）への線分である。2台の車両が互いに近づくと、図に示される2本の線の交点で衝突する。

前述の2つの軌跡は両方とも、自車両によって予測された軌跡である。自車両は、センサの感知結果に基づいて、将来の期間（例えば5秒間）に自車両の軌跡と交差するオブジェクトを識別する。自車両と前述のオブジェクトとの衝突リスク値の最大値は、将来の期間の衝突リスク値として使用される。

例えば、r_bおよびr_cは、r_SG1＝f（t）_maxに基づいて決定され得、ここで、r_SG1は、衝突シナリオではr_bまたはr_cであり、t∈｛t_event，h（t_event，obj）＝1｝、f（t）＝Δv（t）＊exp（−min｛r₀TTC（t），r₁THW（t），r₂s｝）であり、｛t_event，h（t_event，obj）＝1｝は衝突リスクが発生する期間を表し、TTC（t）はt時点でのTTCを表し、THW（t）はt時点でのTHWを表し、

r₀，r₁，およびr₂はそれぞれ正規化されたパラメータ、vはt時点での車両の速度、Δv（t）はt時点でのΔv、expは底が自然定数である指数であり、sは車両と衝突オブジェクトとの間の距離を表す。

上記の式では、t∈｛t_event，h（t_event，obj）＝1｝は衝突リスクが発生する識別された期間を表し、h（t_event，obj）は、衝突リスクイベント（obj）が期間（t_event）内で潜在的な衝突イベントを引き起こすことを表し、またはh（t_event，obj）は、衝突リスクイベント（obj）の発生が、期間（t_event）内での衝突の発生確率の増加を引き起こすことを表し、h（t_event，obj）＝1は衝突リスクイベント（obj）が発生することを表し、h（t_event，obj）＝0は衝突リスクイベントが発生しないことを表す、と理解され得る。リスクイベントは通常、発生から消失までの期間続く。したがって、衝突リスクイベント（すなわち、h（t_event，obj）＝1）が発生することを識別するとき、車両側装置410またはクラウド装置420は、リスクイベントが識別される時点の近くの期間t_eventを選択して、期間中のリスク値を計算することができる。この期間は、衝突リスクイベントが識別された時点を含む。各正規化パラメータは、各パラメータの重みを示すために使用される。例えば、正規化された各パラメータは、0以上1以下の値であり得る。

例えば、2台の車両の相対速度が40km／hを超える場合、衝突が発生すると、人身事故の可能性が非常に高くなる。2台の車両の予想衝突時間（つまり、TTC）が1秒未満の場合、2台の車両間の衝突が回避されることができない可能性が非常に高くなる。THWが1秒未満の場合、他車両がブレーキをかけていると、自車両が2台の車両間の衝突を回避できない可能性が非常に高くなる。

前述の「相対速度が40km／hを超える」、「TTCが1秒未満」、「THWが1秒未満」は、すべて衝突リスクイベント（obj）である。衝突発生時点が予測されてもよく、予測された衝突発生時点に近い期間（t_event）が選択されて、期間中の衝突リスク値（衝突発生確率）を計算してもよい。期間中の衝突リスク値としては、期間中の複数の衝突リスク値の最大値（すなわち、f（t）_max）が使用される。

オプションの実装では、r_bとr_cの取得は次のステップを含む。

S612．リスクシナリオが交通信号灯器シナリオである場合、車両の速度と車両から交通信号灯器までの距離に基づいてr_bとr_cを決定し、ここで、車両の速度はr_bまたはr_cと正の相関があり、車両から交通信号灯器までの距離は、r_bまたはr_cと負の相関がある。

交通信号灯器シナリオでは、車両の速度が高いほど、交通信号灯器に違反する（例えば、赤信号を通過する）確率が高くなり、したがって、車両の速度は、r_bまたはr_cと正の相関がある：また、車両から交通信号灯器までの距離が長いほど、車両が走行状態を変更するために使用する時間が長くなり、交通信号灯器を通過する確率が低くなるため、車両から交通信号灯器までの距離は、r_bまたはr_cと負の相関がある。

図8は、本出願による交通信号灯器シナリオにおけるリスクの概略図である。

交通信号灯器シナリオにおけるリスクは、主に交通信号灯器によって示されるルールの違反であり、対応するリスク値は、自車両の速度に基づいて取得され得る。図8に示されるように、自車両と交通信号灯器との距離50m、車両から交差点の停止線までの距離s、自車両の速度v、および車両の加速度aが、自車両の状態を構成する。右の図は、自車両の距離速度曲線を示している。交通信号灯器が通過禁止信号を示している場合、自車両は減速し、停止線の手前で速度を0に下げる必要がある。異なる加速度は異なる速度距離曲線を構成する。

一般加速度が使用されるときに自車両が停止線の手前で停止できると予測された場合、現状の自車両は交通信号灯器を通過するリスクがないと判断される。一般加速度は、絶対値が予め設定された加速度の絶対値よりも小さい加速度である。例えば、事前設定された加速度の値は0．4gであり、−0．3gの加速度を使用している場合、自車両は停止線の前で停止できる。この場合、自車両のr_bまたはr_cは0である。

最大加速度が使用されるときに自車両が停止線の手前で停止できないと予測された場合、現状の自車両が必然的に交通信号灯器を通過する事故を引き起こす、すなわち、この場合のリスクは明示的なリスクであると判断され、r_bまたはr_cは1である。

自車両のデータ距離曲線が図8に示される曲線1と曲線2との間に位置される場合、自車両は、交通信号灯器を通過する暗示的なリスクを有する。この場合、停止線の前に自車両が速度を0に下げるために必要な加速度の絶対値が大きいほど、r_bまたはr_cの値は大きくなる。

例えば、r_bおよびr_cは、r_SG2＝f（t）_maxに基づいて決定され得、ここで、交通信号灯器シナリオではr_SG2はr_bまたはr_cであり、t∈｛t_event，h（t_event，Light）＝1｝，

r₃は正規化されたパラメータであり、v（t）はt時点の車両の速度を表し、gは重力加速度定数であり、s（t）はt時点の車両から交通信号灯器までの距離を表す。

上記の式では、t∈｛t_event，h（t_event，Light）＝1｝は、交通信号灯器シナリオのリスクが発生する識別された期間を表し、h（t_event，Light）は、交通信号灯器に違反する発生確率が交通信号灯器のリスクイベント（Light）の発生により、期間（t_event）中に増加することを表し、h（t_event，Light）＝1は、交通信号灯器のリスクイベント（Light）が発生することを表し、h（t_event，Light）＝0は、交通信号灯器のリスクイベントが発生しないことを表す。リスクイベントは通常、発生から消失までの期間続く。したがって、交通信号灯器シナリオでリスクイベントが発生する（すなわち、h（t_event，Light）＝1）と識別すると、車両側装置410またはクラウド装置420は、リスクイベントが識別される時点の近くの期間t_eventを選択して、期間中のリスク値を計算することができる。この期間は、衝突リスクイベントが識別された時点を含む。正規化されたパラメータは、パラメータの重みを表すために使用される。例えば、正規化された各パラメータは、0以上1以下の値であり得る。

例えば、車両が交差点から50m離れていて、交差点の交通信号灯器が通過禁止信号を表示しており、車両の速度が100km／hである場合、交通信号灯器を通過する（例えば、赤信号を通過する）リスクの発生確率が非常に高い。前述の「車両が交差点から50m離れていて、交差点の交通信号灯器は通過禁止信号を表示しており、車両の速度は100km／hである」は、交通信号灯器のリスクイベント（Light）である。赤信号を通過する時点が予測されることができ、赤信号を通過する予測時点の近くの期間（t_event）が選択されて、期間中の赤信号通過リスク値（すなわち、赤信号を通過する発生確率）を計算することができる。ある期間における複数の赤信号通過リスク値の最大値（すなわち、f（t）_max）が、期間中の赤信号通過リスク値として選択される。

オプションの実装では、r_bとr_cの取得は次のステップを含む。

S613．リスクシナリオが、車両が道路の境界から飛び出すシナリオである場合、車両が車線から飛び出すのにかかる推定時間に基づいてr_bとr_cを決定し、車両が車線から飛び出すのにかかる推定時間は、r_bまたはr_cと負の相関がある。

車両が道路の境界から飛び出すシナリオでは、車両が車線から飛び出すのにかかる推定時間が長いほど、車両が走行状態を調整する時間が長くなり、車両が道路から飛び出す確率が低くなる。したがって、車両が車線から飛び出すのにかかる推定時間は、r_bまたはr_cと負の相関がある。

例えば、

に基づいてr_bとr_cが決定され得、車両が道路の境界から飛び出すシナリオではr_SG3はr_bまたはr_cであり、TLC_thresholdは車両が道路から飛び出すのに必要な時間の臨界値を表し、

eは自然定数、t_lcは車両が車線から飛び出すのにかかる推定時間、yは道路の境界での車両の横方向オフセット、W_roadは道路の幅、v_longは車両の縦方向速度、v_latは車両の横方向速度であり、φ−φ_dは、車両の進行方向と道路接線方向との間の角度を表し、r₄は正規化されたパラメータであり、正規化されたパラメータはパラメータの重みを表す。

オプションの実装では、r_bとr_cの取得は次のステップを含む。

S614．リスクシナリオが非通常走行シナリオ（例えば、現在車両に横方向の加速度がある走行シナリオ）の場合、次のパラメータ：車両の縦方向加速度、車両の横方向加速度、および車両の速度の少なくとも1つに基づいてr_bとr_cを決定し、車両の縦方向加速度はr_bまたはr_cと正の相関があり、車両の横方向加速度はr_bまたはr_cと正の相関があり、車両の速度はr_bまたはr_cと正の相関がある。縦方向加速度とは、加速度方向が速度方向と同じ方向または反対方向である加速度（例えば、直進時にアクセルを踏んだり、ブレーキを踏んだりしたときの加速度）である。横方向加速度とは、加速度方向が速度方向とゼロでない角度を有する加速度（例えば、車両が旋回しているときに車両のドリフトを引き起こす加速度）である。

縦方向加速度が大きいほど、車両の過速度または車両の急ブレーキの可能性が高くなる。したがって、車両の縦方向加速度は、r_bまたはr_cと正の相関がある。横方向加速度が大きいほど、車両が急に曲がる可能性が高くなる。したがって、車両の横方向加速度はr_bまたはr_cと正の相関がある。車両の速度が高いほど、過速度などの非通常走行が発生する確率が高くなる。したがって、車両の速度はr_bまたはr_cと正の相関がある。

例えば、r_SG4＝r₅に基づいてr_bとr_cが決定されることができ、ここで、非通常走行シナリオではr_SG4はr_bまたはr_cであり、（｜α_long｜＞α_threshold1）｜｜（｜α_lat｜＞α_threshold2）｜｜（v≧v_safe）、α_longは車両の縦方向加速度の絶対値を表し、α_latは車両の横方向加速度の絶対値を表し、α_threshold1は安全運転状態での横方向加速度の閾値を表し、例えば0．5gであってもよく、α_threshold2は安全運転状態での縦方向加速度の閾値を表し、例えば0．7gであってもよく、vは車両の速度を表し、v_safeは安全運転状態での速度閾値を表し、道路の制限速度を参照して決定されてもよく、r₅は正規化されたパラメータである。

上記の式で、（｜α_long｜＞α_threshold1）｜｜（｜α_lat｜＞α_threshold2）｜｜（v≧v_safe）は、横方向加速度、縦方向加速度、および車両の速度の少なくとも1つが対応する閾値を超えることを表す。

以上、本出願で提供される自動運転安全性評価方法について詳細に説明した。クラウド装置420によって車両側装置410から受信された情報がr_bまたはr_cである場合、クラウド装置420は、S611〜S614を実行する必要はない。クラウド装置420によって車両側装置410から受信された情報がセンサで感知されたデータである場合、クラウド装置420は、r_bおよびr_cを取得するためにS611〜S614をさらに実行する必要がある。

上記の実施形態は、r_bまたはr_cを生成するための解決策のみを説明しており、S611〜S614は、手動運転のリスク値r_aの計算にも適用可能であることを理解されたい。

自動運転安全性評価方法の技術的効果に影響を与える重要な要因は、リスク値が実際のリスクレベルを反映できるかどうかであることが方法600からわかる。以下は、本出願において提供される車両の運転リスクを決定するための方法を詳細に説明する。

図9は、本出願による車両の運転リスクを決定するための方法を示している。方法900は、自動運転モードおよび手動運転モードを有する車両に適用され、方法900は、以下のステップを含む。

S910．ある期間における車両の運転モードとリスクシナリオを決定し、ここで、期間の開始点は第1の時点であり、期間の終了点は第2の時点であり、運転モードは自動運転モードおよび／または手動運転モードを含む。

S920．リスクシナリオに対応するリスク識別方法に基づいて、現時点で、期間中の運転モードでのリスク値を決定し、現時点は第1の時点の後であり、現時点は第2の時点の前である。

方法900は、例えば、車両側装置410によって実行されてもよい。車両側装置410は、距離を走行するために車両に必要とされる複数の期間からある期間を選択し、期間中の時点（すなわち現時点）で、既知の走行情報と予測走行情報を使用して期間中の対応する運転モードのリスク値を決定する。例えば、決定された期間は1秒であり、現時点は0．4秒の時点である。過去0．4秒間に過速度走行状態が発生した場合、期間中の運転モードにおける非通常運転のリスク値は1であると車両が判断することができ、すなわち、過速度の発生確率は100％である。過去0．4秒間に過速度走行状態が発生せず、現在の車両の速度と加速度に基づいて、その後0．6秒間の車両速度が適正な走行速度のままであると車両が判断した場合、期間中の非通常運転のリスク値は1未満の値であると車両が判断し、すなわち、過速度の発生確率は100％未満である。本実施形態では、距離を走行するために必要な期間は複数の期間に分割され、各期間における運転モードのリスク値は、期間中の交通状況（すなわち、現時点の前および現時点の後の交通環境に関する情報）に基づいて決定され、リスクはより客観的に識別されることができるようになる。

期間を決定する前述の方法は、説明のための単なる例である。車両側装置410は、代替的に、他の方法を用いて期間を決定してもよく、例えば、距離および速度に基づいて、距離を走行するのに必要な期間を決定してもよい。期間は、S910に記載された「期間」である。別の例では、第1の時点および第2の時点が現時点で決定されるので、S910に記載された「期間」が決定される。

上記実施形態では、自動運転モードおよび／または手動運転モードにおけるリスク値が決定されることができる。自動運転モードはシャドウ運転モードを含み、自動運転システムの安全性をシャドウ運転モードのリスク値に基づいて評価することは、従来技術と比較してより優れた技術的効果を実現するために本出願で提供される自動運転安全性評価方法を可能にする重要な要因である。

シャドウ運転モードの目的は、手動運転モードにおいてシステムバックグラウンドで実行されるソフトウェアとハードウェアを使用して自動運転のシミュレートされた車両制御軌跡を生成し、自動運転システムの潜在的なリスクを識別し、さらに、自動運転システムの潜在的なリスクを識別し、安全性評価に必要なデータを蓄積することである。

上記の目的を達成するための主な難点は、車両が手動運転モードにある場合、自動運転モジュールが実際に車両を制御できず、シャドウ軌跡が自動運転システムの実際のリスクレベルにどのように近づくかである。

センサの感知データに基づいて直接生成された自動運転の車両制御軌跡は、自動運転システムの実際のリスクレベルを表すことができない。その結果、自動運転安全性評価結果に歪みが生じる。

図10は、自動運転の車両制御軌道の概略図である。破線の矢印は、手動運転モードにおける車両の実際の軌道を表す。実線の矢印は、センサの感知データに基づいてシミュレートされた自動運転軌跡を表す。感知データは、左車線に別の車両があることを示しているため、自動運転システムは、元の車線に沿って走行し続けるために車両によって使用される軌道をシミュレートする。実際には、車両は元の車線に沿って移動するのではなく、車線を変更する。センサの感知データに基づいてシミュレートされた自動運転軌跡は、実際の運転状況を反映することができず、軌跡に基づいた自動運転安全性評価の結果に歪みが生じる。

以下では、本出願で提供されるシャドウ運転モードが、前述の結果の歪みの問題をどのように解決するかを詳しく説明する。

オプションの実装では、S920の前に、方法900は以下のステップをさらに含む。

S901．第1の時点の車両の位置と移動パラメータを決定し、車両は手動運転モードに基づいて第1の時点で走行する。

S902．第1の時点の車両の位置と移動パラメータに基づいて第3の時点の車両の位置を予測し、第3の時点は第1の時点より後である。

S903．第1の時点の位置と第3の時点の位置に基づいて、第1の時点の位置から第3の時点の位置までの車両のシャドウ運転モードを予測し、シャドウ運転モードは、手動運転モードでの車両の位置と移動パラメータに基づいて予測される車両の自動運転モードである。

S920は、以下のステップを含む。

S921．リスクシナリオに対応するリスク識別方法に基づいて、現時点でのr_a、r_b、およびr_cを決定し、r_aは期間中の手動運転モードでのリスクであり、r_bは期間中のシャドウ運転モードのリスクであり、r_cは、期間中の事前設定ルートに基づく自動運転モードのリスクである。

車両は、第1の時点における車両の位置および移動パラメータに基づいて、将来の期間後の車両の位置を予測することができ、すなわち、第3の時点における車両の位置を予測することができる。車両は、第1の時点で手動運転状態にあり、その後、車両は、第1の時点の位置から第3の時点の位置までの車両のシャドウ運転モードを予測する。上記実施形態では、自動運転のルートが手動運転モードの位置および移動パラメータに基づいて連続的に変更されることにより、自動運転モードのルートを手動運転モードのルートに近づけることができる。したがって、より客観的な自動運転リスクデータが得られることができる。

第3の時点は、S920で記述された現時点であってもよく、または第2の時点であってもよく、または第2の時点の後の時点であってもよい。

図11は、本出願によるシャドウ運転モードのフローチャートである。

運転者が自動車を運転するとき、シャドウ運転モジュール414は、第1の時点で、車両の移動パラメータ（例えば、速度および加速度）に基づいて、運転者の運転意図、すなわちS901〜S903に記述された内容を識別し、次に、識別された運転者の運転意図をシャドウ運転モード414の入力情報として使用して、シャドウ軌跡を生成し、それにより、シャドウ軌跡と運転者によって実行される車両制御の軌跡との間の重なりの程度を改善する。

運転者の運転意図は、現在の車線に沿った走行、旋回、および車線変更の少なくとも1つを含むが、これらに限定されない。

図12は、本出願による運転者の意図を識別するための方法のフローチャートである。

時点T（第1の時点に相当）から時点T＋1（第3の時点に相当）まで、自車両の軌跡が車線を完全に横切った場合、運転者の運転意図は車線を変更することであると判断される。

時点Tから時点T＋1まで、自車両の軌道が、車線を左折または右折して旋回を完了する軌道である場合；あるいは、時点Tの前でかつ時点Tに隣接する期間において、ヨーレート（YawRate）が連続的に角速度閾値よりも大きい場合、運転者の運転意図が旋回であると判断される。

時点Tから時点T＋1まで、自車両の軌跡が現在の車線を完全に横切らない場合、運転者の運転意図は現在の車線に沿った走行であると判断され、車線内の障害物回避、前方車両の最初の走行、前方車両の追従などの行動はすべて、現在の車線の走行に属する。

上記実施形態では、現在の情報を用いて将来の時点の情報が予測され、予測された将来の情報を用いて現在の運転者の運転意図が判断されることで、センサの感知データに基づく運転者の意図の判断による逸脱をなくしている。

図13は、本出願によるシャドウ運転モードに基づいてシャドウ軌跡を予測する概略図である。

図13に示されるシャドウ軌跡は、運転者によって実行される車両制御の軌跡とほぼ同じであるが、若干の違いがある。運転者によって実行される車両制御の軌跡とシャドウ軌跡に基づいてそれぞれ異なるリスク値が取得され、リスク値の差に基づいて手動運転モードと自動運転モードのどちらが安全かが推定されてもよい。

例えば、運転者の運転意図がリスク意図（例えば、積極的な割り込み）である場合、この場合にリスクを正しく識別すると、シャドウ運転モジュール414は、運転者の運転意図に適合するシャドウ軌跡を生成しないが、より安全な決定（例えば、車線を正しい方向に移動し続けること）を選択することでシャドウ軌跡を生成する。シャドウ軌跡のリスクと実際の車両制御結果のリスクが識別されるため、運転者の危険な意図のシナリオが取得されることができ、この場合のシャドウ軌跡に対しての安全な決定（または反対）が取得されることができる。

比較的短い期間、例えば3秒では、運転者によって実行される運転の軌跡はシャドウ軌跡とほぼ同じであり、自動運転システムではほぼ閉ループ制御になる可能性がある。この場合、シャドウ軌跡によって発生するリスクシナリオは、実際のシステムが車両を制御するときに発生し得るリスクシナリオに似ている。図14は、図11に示されるシャドウ軌跡を計算するステップで計算されるシャドウ軌跡のリスク値の概略図である。

図14において、実線は、S611〜S614で計算された、運転者によって制御される車両の軌跡に基づいて得られたリスク値を示し、破線は、S611〜S614における各期間（例えば、第1の時点から第3の時点までの期間）に対応するシャドウ軌跡に基づいて計算されたリスク値である。

例1では、運転者によって実行される車両制御の軌跡ではリスク（r_aは0に等しい）は生成されず、シャドウ軌跡では新しいリスク（r_bが0より大きい）が生成される。その結果、リスク指標は安全領域（r＝0）からリスク領域（0＜r＜1）に入る。これにより、自動運転システムのリスクの原因となる潜在的なリスクが識別されることができ、具体的には、図2のF領域に示される「未知の潜在的なリスク」（対角部分）が識別される。

例2では、運転者によって実行される車両制御の軌跡がリスク領域に継続的に含まれ、シャドウ軌跡がリスク領域から安全領域に戻る。これは、システムによって実行される車両の模擬制御により走行リスクが低減されていることを示しており、そのデータは、自動運転システムの安全性能が運転者によって実行される車両制御の安全性能よりも高いことの証拠として使用され得る。

例3では、運転者によって実行される車両制御の軌跡と車両制御シャドウ軌跡の両方がリスク領域に継続的に含まれるが、シャドウ軌跡のリスク値は、運転者によって実行される車両制御の軌跡のリスク値よりも低くなる。これは、自動運転システムによって実行される車両の模擬制御により運転リスクが低減されていることを示しており、そのデータは、自動運転システムの安全性能が運転者によって実行される車両制御の安全性能よりも高いことの証拠として使用され得る。

前述の3つの例におけるすべてのデータは、方法600における自動運転安全性評価を実行するために使用されるデータとして使用されてもよい。

図12〜図14に示される内容から、シャドウ軌跡の生成方法は、自動運転の車両制御のアルゴリズムと整合しているため、シャドウ軌跡のリスクを計算するための方法は、自動運転／運転者の運転軌跡のリスクを計算するため方法と整合していることがわかり、これにより、シャドウ軌跡リスクが自動運転システムのリスクを表すことが保証され得る。

自動運転システムの安全性が評価されると、オプションの実装では、方法900は以下をさらに含む：

S930．r_a、r_b、およびr_cをセーフティセンターに送信し、r_a、r_b、およびr_cは、手動運転モードとシャドウ運転モードの安全性を評価するために使用される。

車両は、r_a、r_b、またはr_cを取得した後、前述のリスクデータをセーフティセンターに送信し、その結果、セーフティセンターが手動運転モードとシャドウ運転モードの安全性を評価することで、車載プロセッサの操作負荷を軽減できる。セキュリティセンターは、例えば、クラウド装置420である。

自動運転車の場合、自動運転モードでの自動運転車の安全性の評価は長期的なプロセスである。自動運転モードでの安全性の評価にパスしても、自動運転モードが100％安全であるとは限らない。したがって、リスクを即座に制御するための解決策を設計する必要があり、つまり、リスク管理モジュール416を介してリスクを低減または排除する必要がある。

図15は、本出願によるリスク管理方法の概略フローチャートである。

図15に示されるように、リスクシナリオデータは、センサ411によって取得されたセンシングデータ、自動運転モジュール413によって生成された軌跡、またはシャドウ運転モジュール414によって生成された軌跡の少なくとも1つを含むが、これらに限定されない。リスク識別モジュール415は、リスクシナリオデータに基づいて、現在のシナリオがリスクシナリオであるかどうかを判断する。リスク識別モジュール415が、現在のシナリオが非リスクシナリオであると決定したが、現在のシナリオが実際にはその後リスクシナリオであることが判明した場合、リスク識別メカニズムは調整されることができ、例えば、リスク識別閾値パラメータが調整され得、リスク識別アルゴリズムが変更され得る。リスク識別モジュール415が、現在のシナリオがリスクシナリオであることを確認し、リスクシナリオが自動運転システムの潜在的なリスクによって引き起こされていると判断した場合、リスク識別モジュール415は、リスクシナリオをリスクポリシーモジュール421に報告する。リスクポリシーモジュール421は、ポリシー更新情報をリスク管理モジュール416に送信し、車両側装置410のリスク管理ポリシーを更新し、リスクシナリオを安全シナリオフェンスから除外する。

オプションの実施形態では、方法900は、以下のステップをさらに含む。

S940．セーフティセンターによって送信されたセーフティシナリオ情報を受信し、セーフティシナリオ情報は、自動運転モードで設定された安全運転交通シナリオを示すために使用される。

S950．セーフティシナリオ情報に基づいて、自動運転モードで設定された安全運転交通シナリオを決定する。

S960．現在の交通シナリオが安全運転交通シナリオセットに属さない場合、車両は、運転者に手動運転の実行を促すプロンプト情報を再生および／または表示し、かつ／または車両は安全停止処理を行う。

セーフティセンターは、車両によって報告されたリスクデータに基づいてリスクシナリオを識別し、セーフティシナリオ情報を車両に送信することにより、車両のリスク識別メカニズムとリスク管理ポリシーを更新することができる。例えば、リスクが自動運転システムの潜在的なリスクによって引き起こされる場合、セーフティシナリオ情報は、安全運転交通シナリオセットからリスクシナリオを除外するように車両に指示することができる。車両は、セーフティシナリオ情報を受信した後、安全運転交通シナリオセットを更新する。現在の交通シナリオが、更新された安全運転交通シナリオセットに属していない場合、車両は安全対策を講じ、例えば、運転者に手動運転を実行するように促すプロンプト情報を再生および／または表示したり、かつ／あるいは安全停止処理を実行したりする。

安全運転交通シナリオセットは、安全運転シナリオフェンスとも呼ばれ、環境、静的シナリオ、動的シナリオ、および自車両の行動を含む。技術的な解決策では、シナリオフェンスの定義が図16に示される。

図16において、丸括弧内の内容は、自動運転システムの安全運転シナリオフェンスに含まれる内容である。クラウド装置420は、自動運転システムの識別された潜在的リスクに基づいてセーフティシナリオ情報を適時に送信し、安全運転シナリオフェンス内の内容を更新する。車両側装置410では、リスク管理モジュール416が、地図入力とリアルタイムセンシング結果に基づいてシナリオフェンスの各要素の識別結果を取得し、クラウド装置420によって送信されたセーフティシナリオ情報に基づいて安全運転シナリオフェンスの内容を更新する。自動運転モジュール413が車両の走行を制御するプロセスにおいて、リスク管理モジュール416が、現在のシナリオが安全運転シナリオフェンスの範囲を超えていると判断した場合、自動運転モジュール413は、運転者に車両を引き継ぐように促すか、または安全ゾーンで停止するように車両を制御する。

図16に示される例（大括弧内の内容）では、リスクイベントは、交差点の幅が20mを超えているため、システムが赤信号と青信号を正確に識別できず、潜在的なリスクが発生することである。この場合、更新された安全運転シナリオフェンスでは、交差点の幅は20m未満である。車両が幅20m以上の交差点に再び移動すると、自動運転システムは保守的な管理ポリシーを採用する（例えば、運転者を促すか、車両を停止させる）。

図16に示される別の例（大括弧内の内容）では、リスクイベントは、自動運転システムが低速車両の速度を時間内に測定できないために潜在的なリスクが発生することである。この場合、更新された安全運転シナリオフェンスでは、動的シナリオで適用可能な車両の流速は、時速10〜50km（kph）である。自車両の流れが10kph未満であることを検出すると、自動運転システムは運転者に車両を引き継ぐように促すか、または車両を徐々に停止させる。

さらに、運転者のインザループポリシーが代わりに調整されることもでき、例えば、アラート間隔が調整されることができる。

以上、本出願において提供される自動運転安全性を評価するための方法および車両の運転リスクを決定するための方法の例を詳細に説明した。前述の機能を実装するために、車両側装置およびクラウド装置は、機能を実行するための対応するハードウェア構造および／またはソフトウェアモジュールを含むことが理解され得る。当業者であれば、本明細書で開示された実施形態で説明した例との組み合わせで、ユニットやアルゴリズムステップが、本出願のハードウェア、またはハードウェアとコンピュータソフトウェアの組み合わせによって実施され得ることを容易に認識するはずである。機能がハードウェアによって実行されるか、コンピュータソフトウェアによって運転されるハードウェアによって実行されるかは、特定のアプリケーションおよび技術的解決策の設計上の制約に依存する。当業者は、特定の各アプリケーションのために説明された機能を実装するために異なる方法を使用することができるが、実装が本出願の範囲外であると考えられるべきではない。

本出願では、上記の方法例に基づいて、車両側装置とクラウド装置に機能ユニット分割が行われてもよい。例えば、各機能ユニットは、対応する機能に基づいて分割することによって得られてもよく、または2つ以上の機能が1つの処理ユニットに統合されてもよい。統合ユニットは、ハードウェアの形態で実装されてもよく、またはソフトウェア機能ユニットの形態で実装されてもよい。本出願において、ユニット分割は一例であり、単なる論理的な機能分割であることに留意されたい。実際の実装では、別の分割方法が使用され得る。

統合ユニットが使用される場合、図17は、上記実施形態における車両側装置の可能な概略構成図である。車両側装置1700は、処理ユニット1702および通信ユニット1703を含む。処理ユニット1702は、車両側装置1700の動作を制御および管理するように構成される。例えば、処理ユニット1702は、S620および／または本明細書で説明される技術に使用される別のプロセスを実行する際に車両側装置1700をサポートするように構成される。通信ユニット1703は、車両側装置1700とクラウド装置との間の通信をサポートするように構成される。車両側装置1700は、車両側装置1700のプログラムコードおよびデータを格納するように構成された記憶ユニット1701をさらに含み得る。

オプションの実施形態では、処理ユニット1702は、S610〜S630を実行するように構成される。処理ユニット1702がS610を実行するとき、処理ユニット1702は、取得ユニット1702と呼ばれることもある。記憶ユニット1701は、処理ユニット1702が上記のステップを実行する過程で生成される中間データを格納する必要がある。例えば、中間データは、r_bとr_cであるので、処理ユニット1702は、複数の測定単位のシャドウ運転モードのリスク値と、事前設定ルートに基づく自動運転モードのリスク値とに基づいて、自動運転モードでの車両の安全性が要件を満たすかどうかを判断する。

別のオプションの実施形態では、処理ユニット1702は、S610を実行して、r_bおよびr_cをクラウド装置に送信するように通信ユニット1703を制御するように構成され、その結果、クラウド装置がS620およびS630を実行する。

第3のオプションの実施形態では、処理ユニット1702は、通信ユニット1703を制御して、クラウド装置に、r_bおよびr_cを計算するために使用される元のデータ（例えば、センサデータ）を送信するように構成され、その結果、クラウド装置がS610〜S630を実行する。

第4のオプションの実施形態では、処理ユニット1702は、S910およびS920を実行するように構成される。任意選択で、処理ユニット1702は、通信ユニット1703を制御してS930を実行するように構成される。

処理ユニット1702は、プロセッサまたはコントローラであってもよく、例えば、中央処理装置（central processing unit，CPU）、汎用プロセッサ、デジタルシグナルプロセッサ（digital signal processor，DSP）、特定用途向け集積回路（application−specific integrated circuit，ASIC）、フィールドプログラマブルゲートアレイ（field programmable gate array，FPGA）、または別のプログラマブルロジックデバイス、トランジスタロジックデバイス、ハードウェアコンポーネント、またはそれらの組み合わせであってもよい。プロセッサは、本出願に開示された内容を参照して説明されたさまざまな例示的な論理ブロック、モジュール、および回路を実装または実行することができる。あるいは、プロセッサは、計算機能を実装するための組み合わせ、例えば、1つまたは複数のマイクロプロセッサの組み合わせ、またはDSPとマイクロプロセッサの組み合わせであってもよい。通信ユニット1703は、トランシーバなどであってもよい。記憶ユニット1701は、メモリであってもよい。

処理ユニット1702がプロセッサであり、通信ユニット1703がトランシーバであり、記憶ユニット1701がメモリである場合、本出願における車両側装置は、図18に示される車両側装置1800であってもよい。

図18に示すように、車両側装置1800は、プロセッサ1802、トランシーバ1803、およびメモリ1801を含む。トランシーバ1803、プロセッサ1802、およびメモリ1801は、内部接続経路を介して互いに通信し、制御信号および／またはデータ信号を送信することができる。

前述の装置およびユニットの詳細な作動プロセスのための、簡便な説明の目的で、上述の方法の実施形態において対応するプロセスが参照されることは、当業者であれば明確に理解することができ、詳細は本明細書では再度説明されない。

統合ユニットが使用される場合、図19は、上記実施形態で説明されたクラウド装置の可能な概略構造図である。クラウド装置1900は、処理ユニット1902および通信ユニット1903を含む。処理ユニット1902は、クラウド装置1900の動作を制御および管理するように構成される。例えば、処理ユニット1902は、S620および／または本明細書で説明される技術に使用される別のプロセスを実行する際にクラウド装置1900をサポートするように構成される。通信ユニット1903は、クラウド装置1900と車両側装置との間の通信をサポートするように構成される。クラウド装置1900は、クラウド装置1900のプログラムコードおよびデータを格納するように構成された記憶ユニット1901をさらに含み得る。

オプションの実施形態では、処理ユニット1902は、通信ユニット1903を制御してS610を実行するように、すなわち、車両側装置からr_bおよびr_cを受信するように構成される。この場合、通信ユニット1903は、取得ユニット1903と呼ばれることもあり、処理ユニット1902は、S620〜S641を実行するようにさらに構成される。記憶ユニット1901は、処理ユニット1902が前述のステップを実行するプロセスで生成された中間データを格納する必要がある。例えば、中間データは、r_bとr_cであるので、処理ユニット1902は、複数の測定単位のシャドウ運転モードのリスク値と、事前設定ルートに基づく自動運転モードのリスク値とに基づいて、自動運転モードでの車両の安全性が要件を満たすかどうかを判断する。

別のオプションの実施形態では、処理ユニット1902は、通信ユニット1903を制御して、車両側装置から、r_bおよびr_cを計算するために使用される元のデータ（例えば、センサデータ）を受信するように構成される。処理ユニット1902は、通信ユニット1903によって受信された元のデータに基づいてr_bおよびr_cを取得するようにさらに構成される。この場合、処理ユニット1902は、取得ユニット1902と呼ばれることもある。処理ユニット1902は、S620〜S641を実行するようにさらに構成される。記憶ユニット1901は、処理ユニット1902が前述のステップを実行するプロセスで生成された中間データを格納する必要がある。例えば、中間データは、r_bとr_cであるので、処理ユニット1902は、複数の測定単位のシャドウ運転モードのリスク値と、事前設定ルートに基づく自動運転モードのリスク値とに基づいて、自動運転モードでの車両の安全性が要件を満たすかどうかを判断する。

第3のオプションの実施形態では、処理ユニット1902は、S910およびS920を実行するように構成される。任意選択で、処理ユニット1902は、通信ユニット1903を制御してS930を実行するように構成される。

処理ユニット1902は、プロセッサまたはコントローラであってもよく、例えば、CPU、汎用プロセッサ、DSP、ASIC、FPGA、または別のプログラマブル論理デバイス、トランジスタ論理デバイス、ハードウェアコンポーネント、またはそれらの任意の組み合わせであってもよい。プロセッサは、本出願に開示された内容を参照して説明されたさまざまな例示的な論理ブロック、モジュール、および回路を実装または実行することができる。あるいは、プロセッサは、計算機能を実装するための組み合わせ、例えば、1つまたは複数のマイクロプロセッサの組み合わせ、またはDSPとマイクロプロセッサの組み合わせであってもよい。通信ユニット1903は、トランシーバなどであってもよい。記憶ユニット1901は、メモリであってもよい。

処理ユニット1902がプロセッサであり、通信ユニット1903がトランシーバであり、記憶ユニット1901がメモリである場合、本出願におけるクラウド装置は、図20に示されるクラウド装置2000であってもよい。

図20に示すように、クラウド装置2000は、プロセッサ2002、トランシーバ2003、およびメモリ2001を含む。トランシーバ2003、プロセッサ2002、およびメモリ2001は、内部接続経路を介して互いに通信し、制御信号および／またはデータ信号を送信することができる。

前述の装置およびユニットの詳細な作動プロセスのための、簡便な説明の目的で、上述の方法の実施形態において対応するプロセスが参照されることは、当業者であれば明確に理解することができ、詳細は本明細書では再度説明されない。

本出願は、前述の1つまたは複数の車両側装置および1つまたは複数のクラウド装置を含む自動運転安全性評価システムをさらに提供する。

本出願のこの実施形態におけるプロセッサは、集積回路チップであってもよく、信号処理能力を有することを理解されたい。実装プロセスにおいて、前述の方法の実施形態におけるステップが、プロセッサ内のハードウェア集積論理回路を使用することによって、またはソフトウェアの形の命令を使用することによって実施されることができる。前述のプロセッサは、汎用プロセッサ、デジタル信号プロセッサ（digital signal processor，DSP）、特定用途向け集積回路（application specific integrated circuit，ASIC）、フィールドプログラマブルゲートアレイ（field Programmable Gate Array，FPGA）もしくは別のプログラマブル論理デバイス、ディスクリートゲートもしくはトランジスタ論理デバイス、またはディスクリートハードウェアコンポーネントであってもよい。プロセッサは、本出願の実施形態において開示されている方法、ステップ、および論理ブロック図を実装または実行することができる。汎用プロセッサはマイクロプロセッサであってもよいし、あるいはプロセッサは任意の従来のプロセッサなどであってもよい。本出願の実施形態を参照して開示される方法のステップは、ハードウェア復号プロセッサを使用することによって直接実行および達成され得、または復号プロセッサにおけるハードウェアおよびソフトウェアモジュールの組み合わせを使用することによって実行および達成され得る。ソフトウェアモジュールは、ランダムアクセスメモリ、フラッシュメモリ、読み出し専用メモリ、プログラマブル読み出し専用メモリ、電気的消去可能プログラマブルメモリ、またはレジスタなどの、当該技術分野で成熟した記憶媒体に配置されてもよい。記憶媒体はメモリ内に配置され、プロセッサはメモリ内の情報を読み取り、プロセッサのハードウェアと組み合わせて前述の方法のステップを完了する。

本出願のこの実施形態におけるメモリは、揮発性メモリまたは不揮発性メモリであってもよく、または揮発性メモリおよび不揮発性メモリを含んでもよいことが理解され得る。不揮発性メモリは、読み出し専用メモリ（read−only memory，ROM）、プログラマブル読み出し専用メモリ（programmable ROM，PROM）、消去可能なプログラマブル読み出し専用メモリ（erasable PROM，EPROM）、電気的に消去可能なプログラマブルメモリ読み出し専用メモリ（electrically EPROM，EEPROM）、またはフラッシュメモリであってもよい。揮発性メモリは、外部キャッシュとして使用されるランダムアクセスメモリ（random access memory，RAM）であってもよい。限定的ではなく例示的な説明を通じて、多くの形式のRAM、例えば、スタティックランダムアクセスメモリ（static RAM，SRAM）、ダイナミックランダムアクセスメモリ（dynamic RAM，DRAM）、同期ダイナミックランダムアクセスメモリ（synchronous DRAM，SDRAM）、ダブルデータレート同期ダイナミックランダムアクセスメモリ（double data rate SDRAM，DDR SDRAM）、拡張同期ダイナミックランダムアクセスメモリ（enhanced SDRAM，ESDRAM）、同期リンクダイナミックランダムアクセスメモリ（synchlink DRAM，SLDRAM）、および直接ラムバスランダムアクセスメモリ（direct rambus RAM，DR RAM）が使用され得る。本明細書で説明されるシステムおよび方法のメモリは、これらおよび他の適切なタイプの任意のメモリを含むことが意図されているがこれらに限定されないことに留意されたい。

本出願は、コンピュータ可読媒体をさらに提供する。コンピュータ可読媒体は、コンピュータプログラムを格納する。コンピュータによって実行されるとき、コンピュータプログラムは、前述の方法の実施形態のいずれか1つの機能を実装する。

本出願は、コンピュータプログラム製品をさらに提供する。コンピュータによって実行されるとき、コンピュータプログラム製品は、前述の方法の実施形態のいずれか1つの機能を実装する。

上記実施形態のすべてまたはいくつかは、ソフトウェア、ハードウェア、ファームウェア、またはそれらの任意の組み合わせを使用することにより実装され得る。ソフトウェアが使用されて実施形態を実装する場合、実施形態は、コンピュータプログラム製品の形で完全にまたは部分的に実装され得る。コンピュータプログラム製品は、1つまたは複数のコンピュータ命令を含む。コンピュータ命令がコンピュータにロードされ実行されると、本出願の実施形態による手順または機能はすべてまたは部分的に生成される。コンピュータは、汎用コンピュータ、専用コンピュータ、コンピュータネットワーク、または他のプログラマブル装置であってもよい。コンピュータ命令は、コンピュータ可読記憶媒体に格納されてもよいし、あるコンピュータ可読記憶媒体から別のコンピュータ可読記憶媒体に伝送されてもよい。例えば、コンピュータ命令は、ウェブサイト、コンピュータ、サーバ、またはデータセンタから別のウェブサイト、コンピュータ、サーバ、またはデータセンタに有線（例えば、同軸ケーブル、光ファイバ、またはデジタル加入者線（digital subscriber line，DSL））または無線（赤外線、ラジオ、マイクロ波など）方式で伝送されてもよい。コンピュータ可読記憶媒体は、コンピュータによってアクセス可能な任意の使用可能な媒体であってもよく、または1つまたは複数の使用可能な媒体を統合するサーバまたはデータセンタなどのデータ記憶デバイスであってもよい。使用可能な媒体は、磁気媒体（例えば、フロッピーディスク、ハードディスク、または磁気テープ）、光学媒体（例えば、高密度デジタル多用途ディスク（digital versatile disc，DVD））、半導体媒体（例えば、ソリッドステートドライブ（solid state disk，SSD））などであってもよい。

本出願は、プロセッサおよびインタフェースを含む処理装置をさらに提供する。プロセッサは、前述の方法の実施形態のいずれか1つで説明されたステップを実行するように構成される。

処理装置はチップであってもよく、プロセッサはハードウェアによって実装されてもよく、またはソフトウェアによって実装されてもよいことを理解されたい。ハードウェアによって実装される場合、プロセッサは論理回路、または集積回路などであってもよい。ソフトウェアによって実装される場合、プロセッサは汎用プロセッサであってもよく、メモリに格納されたソフトウェアコードを読み取ることによって実装される。メモリは、プロセッサに統合されていても、プロセッサの外部に独立して存在していてもよい。

明細書全体で言及される「実施形態」は、実施形態に関連する特定の特性、構造、または特徴が、本出願の少なくとも1つの実施形態に含まれることを意味することを理解されたい。したがって、明細書全体の実施形態は、必ずしも同じ実施形態を指すとは限らない。さらに、これらの特定の特性、構造、または特徴は、任意の適切な方法を使用することによって、1つまたは複数の実施形態で組み合わせることができる。前述のプロセスのシーケンス番号は、本出願のさまざまな実施形態における実行シーケンスを意味しないことを理解されたい。プロセスの実行シーケンスは、プロセスの機能や内部ロジックに基づいて決定されるべきであり、本出願の実施形態の実装プロセスの制限として解釈されるべきではない。

さらに、「システム」および「ネットワーク」という用語は、本明細書では互換的に使用され得る。本明細書における「および／または」という用語は、関連オブジェクトを記述するための関連関係のみを記述し、3つの関係が存在し得ることを表す。例えば、Aおよび／またはBは、Aのみが存在する場合、AとBの両方が存在する場合、Bのみが存在する場合、の3つの場合を表すことができる。さらに、本明細書中の文字「／」は一般に、関連するオブジェクト間の「または」関係を示す。

本出願の実施形態では、「Aに対応するB」は、BがAに関連付けられていることを示し、BはAに従って決定され得ることを理解されたい。しかし、Aに従ってBを決定することは、BがAのみに従って決定されることを意味しない、すなわち、Bは、Aおよび／または他の情報に従って決定され得ることをさらに理解されたい。

当業者であれば、本明細書で開示された実施形態で説明した例との組み合わせで、ユニットやアルゴリズムステップが、電子ハードウェア、コンピュータソフトウェア、またはそれらの組み合わせによって実施され得ることを認識することができる。ハードウェアとソフトウェアとの間の互換性を明確に説明するために、上記では、機能に従って各例の構成およびステップを一般的に説明してきた。機能がハードウェアまたはソフトウェアによって実行されるかどうかは、特定のアプリケーションおよび技術的解決策の設計制約に依存している。当業者は、特定の各アプリケーションのために説明された機能を実装するために異なる方法を使用することができるが、実装が本出願の範囲外であると考えられるべきではない。

前述のシステム、装置、およびユニットの詳細な作動プロセスのための、簡便な説明の目的で、上述の方法の実施形態において対応するプロセスが参照されることは、当業者であれば明確に理解することができ、詳細は本明細書では再度説明されない。

本出願で提供されるいくつかの実施形態では、開示されたシステム、装置、および方法は、他の方法で実現されてもよいことが理解されるべきである。例えば、説明した装置の実施形態は単なる例である。例えば、ユニットの部分は単に論理機能の部分であり、実際の実装においては他の部分であってもよい。例えば、複数のユニットまたはコンポーネントが組み合わされてもよく、または別のシステムに統合されてもよく、あるいは、一部の機能が無視されて、実行されなくてもよい。さらに、表示または議論された相互結合または直接結合または通信接続は、いくつかのインタフェース、装置もしくはユニット間の間接結合または通信接続、または電気的接続、機械的接続、あるいは他の形態の接続を介して実施されてもよい。

別々の部分として記載されたユニットは、物理的に分離されていてもいなくてもよく、ユニットとして表示された部分は、物理的なユニットであってもなくてもよく、1つの位置に配置されていてもよく、または複数のネットワークユニットに分散されていてもよい。ユニットの一部またはすべては、本出願の実施形態の解決策の目的を達成するために実際のニーズに応じて選択されてもよい。

また、本出願の実施形態における機能ユニットは、1つの処理ユニットに統合されもよく、または各ユニットは、単独で、物理的に存在してもよく、または2つ以上のユニットが1つのユニットに統合される。統合ユニットは、ハードウェアの形態で実装されてもよく、またはソフトウェア機能ユニットの形態で実装されてもよい。

前述の実装の説明により、当業者は、本出願がハードウェア、ファームウェア、またはそれらの組み合わせによって実装され得ることを明確に理解することができる。本出願がソフトウェアによって実装される場合、前述の機能は、コンピュータ可読媒体に格納されるか、またはコンピュータ可読媒体内の1つまたは複数の命令またはコードとして送信され得る。コンピュータ可読媒体は、コンピュータ記憶媒体および通信媒体を含み、通信媒体は、コンピュータプログラムをある場所から別の場所に送信できるようにする任意の媒体を含む。記憶媒体は、コンピュータにアクセス可能な任意の利用可能な媒体であってよい。以下に例を示すが、制限はない。コンピュータ可読媒体は、RAM、ROM、EEPROM、CD−ROMもしくは別の光ディスク記憶装置、ディスク記憶媒体もしくは別の磁気記憶デバイス、または予想されるプログラムコードを命令もしくはデータ構造の形式で保持または格納でき、コンピュータからアクセスできるその他の媒体を含み得る。さらに、任意の接続は、コンピュータ可読媒体として適切に定義され得る。例えば、ソフトウェアが、同軸ケーブル、光ファイバ／ケーブル、ツイストペア、デジタル加入者線（DSL）、または赤外線、ラジオ、およびマイクロ波などのワイヤレス技術を使用して、ウェブサイト、サーバ、または別のリモートソースから送信される場合、同軸ケーブル、光ファイバ／ケーブル、ツイストペア、DSL、または赤外線、ラジオ、およびマイクロ波などのワイヤレス技術は、それらが属する媒体の固定に含まれる。本出願で使用されるディスク（Disk）およびディスク（disc）は、コンパクトディスク（CD）、レーザディスク、光ディスク、デジタル多用途ディスク（DVD）、フロッピーディスク、およびブルーレイディスクを含み、ディスクは、通常、データを磁気的にコピーし、ディスクはレーザを使用して光学的にデータをコピーする。前述の組み合わせはまた、コンピュータ可読媒体の保護範囲に含まれるものとする。

結論として、上記で説明されているのは、本出願の技術的解決策の単なる実施形態であり、本出願の保護範囲を限定することを意図していない。本出願の趣旨および原理から逸脱することなくなされた任意の修正、等価の置き換え、または改良は、本出願の保護範囲内に入るものとする。

400 自動運転安全性評価システム
410 車両側装置
411 センサ
412 リアルタイム環境センシングモジュール
413 自動運転モジュール
414 シャドウ運転モジュール
415 リスク識別モジュール
416 リスク管理モジュール
420 クラウド装置
421 リスクポリシーモジュール
422 安全性評価モジュール
500,600,900 方法
1700 車両側装置
1701 記憶ユニット
1702 処理ユニット
1703 通信ユニット
1800 車両側装置
1801 メモリ
1802 プロセッサ
1803 トランシーバ
1900 クラウド装置
1901 記憶ユニット
1902 処理ユニット
1903 通信ユニット
2000 クラウド装置
2001 メモリ
2002 プロセッサ
2003 トランシーバ

交通信号灯器シナリオでは、車両の速度が高いほど、交通信号灯器ルールに違反する（例えば、赤信号を通過する）確率が高くなり、したがって、車両の速度は、r_bまたはr_cと正の相関がある：また、車両から交通信号灯器までの距離が長いほど、車両が走行状態を変更する時間が長くなり、交通信号灯器を通過する確率が低くなるため、車両から交通信号灯器までの距離は、r_bまたはr_cと負の相関がある。

オプションの実装では、車両の速度と車両から交通信号灯器までの距離に基づいてr_bとr_cを決定するステップは：r_SG2＝f（t）_maxに基づいてr_bとr_cを決定するステップを含み、交通信号灯器シナリオではr_SG2はr_bまたはr_cであり、t∈｛t_event，h（t_event，Light）＝1｝，

r₃は正規化されたパラメータであり、｛t_event，h（t_event，Light）＝1｝は交通信号灯器ルールに違反するリスクが発生する期間を表し、v（t）はt時点での車両の速度を表し、gは重力加速度定数であり、s（t）はt時点での車両から交通信号灯器までの距離を表す。

期間は測定単位であってもよく、期間中の運転モードのリスク値は、例えば、r_b またはr_cである。車両は、距離を走行するのに必要な複数の期間からある期間を選択し、期間中の時点（すなわち現時点）で、既知の走行情報と予測走行情報を使用して期間中の対応する運転モードのリスク値を決定する。例えば、決定された期間は1秒であり、現時点は0．4秒の時点である。過去0．4秒間に過速度走行状態が発生した場合、期間中の運転モードでの非通常運転のリスク値は1であると車両が判断し、具体的には、過速度の発生確率は100％である。過去0．4秒間に過速度走行状態が発生せず、現在の車両の速度と加速度に基づいて、その後0．6秒間の車両速度が適正な走行速度のままであると車両が判断した場合、期間中の非通常運転のリスク値は1未満の値であると車両が判断し、具体的には、過速度の発生確率は100％未満である。本実施形態では、距離を走行するのに必要な期間は複数の期間に分割され、各期間の運転モードにおけるリスク値は、期間中の交通状況に基づいて決定されることで、リスクはより客観的に識別されることができる。

交通信号灯器シナリオでは、車両の速度が高いほど、交通信号灯器ルールに違反する（例えば、赤信号を通過する）確率が高くなり、したがって、車両の速度は、r_a、r_b、またはr_cと正の相関がある：また、車両から交通信号灯器までの距離が長いほど、車両が走行状態を変更する時間が長くなり、交通信号灯器を通過する確率が低くなるため、車両から交通信号灯器までの距離は、r_a、r_b、またはr_cと負の相関がある。

オプションの実装では、車両の速度と車両から交通信号灯器までの距離に基づいてr_a、r_b、およびr_cを決定するステップは：r_SG2＝f（t）_maxに基づいてr_a、r_b、およびr_cを決定するステップを含み、交通信号灯器シナリオではr_SG2はr_a、r_b、またはr_cであり、t∈｛t_event，h（t_event，Light）＝1｝，

r₃は正規化されたパラメータであり、｛t_event，h（t_event，Light）＝1｝は交通信号灯器ルールに違反するリスクが発生する期間を表し、v（t）はt時点での車両の速度を表し、gは重力加速度定数であり、s（t）はt時点での車両から交通信号灯器までの距離を表す。

第11の態様によれば、自動運転安全性評価システムが提供される。システムは、リスク管理モジュール、リスクポリシーモジュール、および安全性評価モジュールを含む。リスク管理モジュールは、第1の態様のオプションの実装における方法を実行して、自動運転モードでリスクを決定するように構成される。リスクポリシーモジュールは、リスク管理モジュールで決定された自動運転モードでのリスクに基づいてリスク管理ポリシーを決定するように構成され、リスク管理ポリシーは、自動運転モードでのリスクを低減または排除するために使用される。安全性評価ポリシーモジュールは、リスク管理モジュールによって決定された自動運転モードのリスクに基づいて、自動運転モードの安全性を評価するために使用される。

第12の態様によれば、自動運転安全性評価システムが提供される。システムは、リスク管理モジュール、リスクポリシーモジュール、および安全性評価モジュールを含む。リスク管理モジュールは、自動運転モードでリスクを決定するために、第2の態様のオプションの実装における方法を実行するように構成される。リスクポリシーモジュールは、自動運転モードの、リスク管理モジュールによって決定されるリスクに基づいてリスク管理ポリシーを決定するように構成され、リスク管理ポリシーは、自動運転モードでのリスクを低減または排除するために使用される。安全性評価ポリシーモジュールは、リスク管理モジュールによって決定された自動運転モードのリスクに基づいて、自動運転モードの安全性を評価するために使用される。

図2は、自動運転によって導入される未知の潜在的なリスクを示している。円の最外層はすべての運転シナリオを示し、重要でないシナリオ（A領域）が運転シナリオの大部分を占める。既存の知識では、既に発生した交通事故（C領域）の分析のみが使用されて、手動運転リスクシナリオ（B領域）と自動運転で防がれることができる手動運転のリスク（E領域）を識別できる。ただし、自動運転によって導入される新たな未知の潜在的リスク（F領域）に関する十分な知識は蓄積されていない。そのため、実際に自動運転システムが利用される前に、自動運転システムの客観的な安全性評価を行うことは難しい。

図4は、本出願による自動運転安全性評価システム400を示している。システム400は、車両側装置410およびクラウド装置420を含む。

システム400に基づいて、図5は、本出願による自動運転安全性評価方法500の概略フローチャートである。

図6は、本出願による自動運転安全性評価方法600を示している。方法600は、以下のステップを含む。

交通信号灯器シナリオでは、車両の速度が高いほど、交通信号灯器ルールに違反する（例えば、赤信号を通過する）確率が高くなり、したがって、車両の速度は、r_bまたはr_cと正の相関がある：また、車両から交通信号灯器までの距離が長いほど、車両が走行状態を変更するために使用する時間が長くなり、交通信号灯器を通過する確率が低くなるため、車両から交通信号灯器までの距離は、r_bまたはr_cと負の相関がある。

自車両の速度距離曲線が図8に示される曲線1と曲線2との間に位置される場合、自車両は、交通信号灯器を通過する暗示的なリスクを有する。この場合、停止線の前に自車両が速度を0に下げるために必要な加速度の絶対値が大きいほど、r_bまたはr_cの値は大きくなる。

上記の式では、t∈｛t_event，h（t_event，Light）＝1｝は、交通信号灯器シナリオのリスクが発生する識別された期間を表し、h（t_event，Light）は、交通信号灯器ルールに違反する発生確率が交通信号灯器のリスクイベント（Light）の発生により、期間（t_event）中に増加することを表し、h（t_event，Light）＝1は、交通信号灯器のリスクイベント（Light）が発生することを表し、h（t_event，Light）＝0は、交通信号灯器のリスクイベントが発生しないことを表す。リスクイベントは通常、発生から消失までの期間続く。したがって、交通信号灯器シナリオでリスクイベントが発生する（すなわち、h（t_event，Light）＝1）と識別すると、車両側装置410またはクラウド装置420は、リスクイベントが識別される時点の近くの期間t_eventを選択して、期間中のリスク値を計算することができる。この期間は、リスクイベントが識別された時点を含む。正規化されたパラメータは、パラメータの重みを表すために使用される。例えば、正規化された各パラメータは、0以上1以下の値であり得る。

図9は、本出願による車両の運転リスクを決定するための方法900を示している。方法900は、自動運転モードおよび手動運転モードを有する車両に適用され、方法900は、以下のステップを含む。

シャドウ運転モードの目的は、手動運転モードにおいてシステムバックグラウンドで実行されるソフトウェアとハードウェアを使用して自動運転のシミュレートされた車両制御軌跡を生成し、自動運転システムの潜在的なリスクを識別し、安全性評価に必要なデータを蓄積することである。

図10は、自動運転の車両制御軌道の概略図である。破線の矢印は、手動運転モードにおける自車両の実際の軌道を表す。実線の矢印は、センサの感知データに基づいてシミュレートされた自動運転軌跡を表す。感知データは、左車線に別の車両1があることを示しているため、自動運転システムは、元の車線に沿って走行し続けるために自車両によって使用される軌道をシミュレートする。実際には、自車両は元の車線に沿って移動するのではなく、車線を変更する。センサの感知データに基づいてシミュレートされた自動運転軌跡は、実際の運転状況を反映することができず、軌跡に基づいた自動運転安全性評価の結果に歪みが生じる。

運転者が自動車を運転するとき、シャドウ運転モジュール414は、第1の時点で、車両の移動パラメータ（例えば、速度および加速度）に基づいて、運転者の運転意図、すなわちS901〜S903に記述された内容を識別し、次に、識別された運転者の運転意図をシャドウ運転モジュール414の入力情報として使用して、シャドウ軌跡を生成し、それにより、シャドウ軌跡と運転者によって実行される車両制御の軌跡との間の重なりの程度を改善する。

時点Tから時点T＋1まで、自車両の軌道が、車線を左折または右折して旋回を完了する軌道である場合；あるいは、時点Tの前でかつ時点Tに隣接する期間において、ヨーレート（Yaw Rate）が連続的にヨーレート閾値よりも大きい場合、運転者の運転意図が旋回であると判断される。

比較的短い期間、例えば3秒では、運転者によって実行される運転の軌跡はシャドウ軌跡とほぼ同じであり、自動運転システムではほぼ閉ループ制御になる可能性がある。この場合、シャドウ軌跡によって発生するリスクシナリオは、運転者が車両を制御するときに発生し得るリスクシナリオに似ている。図14は、図11に示されるシャドウ軌跡のリスク値を計算するステップで計算されるシャドウ軌跡のリスク値の概略図である。

例3では、運転者によって実行される車両制御の軌跡とシャドウ軌跡の両方がリスク領域に継続的に含まれるが、シャドウ軌跡のリスク値は、運転者によって実行される車両制御の軌跡のリスク値よりも低くなる。これは、自動運転システムによって実行される車両の模擬制御により運転リスクが低減されていることを示しており、そのデータは、自動運転システムの安全性能が運転者によって実行される車両制御の安全性能よりも高いことの証拠として使用され得る。

自動運転モードでの自動運転車の安全性の評価は長期的なプロセスである。自動運転モードでの安全性の評価にパスしても、自動運転モードが100％安全であるとは限らない。したがって、リスクを即座に制御するための解決策を設計する必要があり、つまり、リスク管理モジュール416を介してリスクを低減または排除する必要がある。

図16に示される別の例（大括弧内の内容）では、リスクイベントは、自動運転システムが低速車両の速度を時間内に測定できないために潜在的なリスクが発生することである。この場合、更新された安全運転シナリオフェンスでは、動的シナリオで適用可能な車両の流速は、時速10〜50km（kph）である。自車両の流速が10kph未満であることを検出すると、自動運転システムは運転者に車両を引き継ぐように促すか、または車両を徐々に停止させる。

統合ユニットが使用される場合、図17は、上記実施形態における車両側装置1700の可能な概略構成図である。車両側装置1700は、処理ユニット1702および通信ユニット1703を含む。処理ユニット1702は、車両側装置1700の動作を制御および管理するように構成される。例えば、処理ユニット1702は、S620および／または本明細書で説明される技術に使用される別のプロセスを実行する際に車両側装置1700をサポートするように構成される。通信ユニット1703は、車両側装置1700とクラウド装置との間の通信をサポートするように構成される。車両側装置1700は、車両側装置1700のプログラムコードおよびデータを格納するように構成された記憶ユニット1701をさらに含み得る。

統合ユニットが使用される場合、図19は、上記実施形態で説明されたクラウド装置1900の可能な概略構造図である。クラウド装置1900は、処理ユニット1902および通信ユニット1903を含む。処理ユニット1902は、クラウド装置1900の動作を制御および管理するように構成される。例えば、処理ユニット1902は、S620および／または本明細書で説明される技術に使用される別のプロセスを実行する際にクラウド装置1900をサポートするように構成される。通信ユニット1903は、クラウド装置1900と車両側装置との間の通信をサポートするように構成される。クラウド装置1900は、クラウド装置1900のプログラムコードおよびデータを格納するように構成された記憶ユニット1901をさらに含み得る。

本出願のこの実施形態におけるプロセッサは、集積回路チップであってもよく、信号処理能力を有することを理解されたい。実装プロセスにおいて、前述の方法の実施形態におけるステップが、プロセッサ内のハードウェア集積論理回路を使用することによって、またはソフトウェアの形の命令を使用することによって実施されることができる。前述のプロセッサは、汎用プロセッサ、デジタル信号プロセッサ（digital signal processor，DSP）、特定用途向け集積回路（application−specific integrated circuit，ASIC）、フィールドプログラマブルゲートアレイ（field Programmable Gate Array，FPGA）もしくは別のプログラマブル論理デバイス、ディスクリートゲートもしくはトランジスタ論理デバイス、またはディスクリートハードウェアコンポーネントであってもよい。プロセッサは、本出願の実施形態において開示されている方法、ステップ、および論理ブロック図を実装または実行することができる。汎用プロセッサはマイクロプロセッサであってもよいし、あるいはプロセッサは任意の従来のプロセッサなどであってもよい。本出願の実施形態を参照して開示される方法のステップは、ハードウェア復号プロセッサを使用することによって直接実行および達成され得、または復号プロセッサにおけるハードウェアおよびソフトウェアモジュールの組み合わせを使用することによって実行および達成され得る。ソフトウェアモジュールは、ランダムアクセスメモリ、フラッシュメモリ、読み出し専用メモリ、プログラマブル読み出し専用メモリ、電気的消去可能プログラマブルメモリ、またはレジスタなどの、当該技術分野で成熟した記憶媒体に配置されてもよい。記憶媒体はメモリ内に配置され、プロセッサはメモリ内の情報を読み取り、プロセッサのハードウェアと組み合わせて前述の方法のステップを完了する。

上記実施形態のすべてまたはいくつかは、ソフトウェア、ハードウェア、ファームウェア、またはそれらの任意の組み合わせを使用することにより実装され得る。ソフトウェアが使用されて実施形態を実装する場合、実施形態は、コンピュータプログラム製品の形で完全にまたは部分的に実装され得る。コンピュータプログラム製品は、1つまたは複数のコンピュータ命令を含む。コンピュータ命令がコンピュータにロードされ実行されると、本出願の実施形態による手順または機能はすべてまたは部分的に生成される。コンピュータは、汎用コンピュータ、専用コンピュータ、コンピュータネットワーク、または他のプログラマブル装置であってもよい。コンピュータ命令は、コンピュータ可読記憶媒体に格納されてもよいし、あるコンピュータ可読記憶媒体から別のコンピュータ可読記憶媒体に伝送されてもよい。例えば、コンピュータ命令は、ウェブサイト、コンピュータ、サーバ、またはデータセンタから別のウェブサイト、コンピュータ、サーバ、またはデータセンタに有線（例えば、同軸ケーブル、光ファイバ、またはデジタル加入者線（digital subscriber line，DSL））または無線（赤外線、ラジオ、マイクロ波など）方式で伝送されてもよい。コンピュータ可読記憶媒体は、コンピュータによってアクセス可能な任意の使用可能な媒体であってもよく、または1つまたは複数の使用可能な媒体を統合するサーバまたはデータセンタなどのデータ記憶デバイスであってもよい。使用可能な媒体は、磁気媒体（例えば、フロッピーディスク、ハードディスク、または磁気テープ）、光学媒体（例えば、高密度デジタル多用途ディスク（digital versatile disc，DVD））、半導体媒体（例えば、ソリッドステートドライブ（solid−state disk，SSD））などであってもよい。

Claims (32)

1. r_bとr_cを取得するステップであって、r_bは、第1の測定単位のシャドウ運転モードでの車両のリスク値であり、r_cは、前記第1の測定単位の事前設定ルートに基づく自動運転モードでの前記車両のリスク値であり、前記シャドウ運転モードは、リアルタイムルートに基づく前記車両の自動運転モードであり、前記リアルタイムルートは、手動運転モードでの前記車両の位置と移動パラメータに基づいて予測されたルートであり、前記第1の測定単位は期間または距離である、ステップと、
   r_bに基づいてR_Bを決定するステップであって、R_Bは、複数の測定単位の前記シャドウ運転モードの前記車両のリスク値であり、前記複数の測定単位は、前記第1の測定単位を含む、ステップと、
   r_cに基づいてR_Cを決定するステップであって、R_Cは前記複数の測定単位の前記事前設定ルートに基づく前記自動運転モードでの前記車両のリスク値である、ステップと、
   を含み、
   R_BとR_Cは、前記自動運転モードでの前記車両の安全性が要件を満たすかどうかを判断するために使用される、
   自動運転安全性評価方法。
2. 前記方法が、
   R_BとR_Cの合計を計算するステップと、
   前記R_BとR_Cの合計が自動運転リスク閾値以下の場合、前記自動運転モードでの前記車両の安全性が前記要件を満たしていると判断するステップと
   をさらに含む、請求項1に記載の方法。
3. 前記自動運転リスク閾値がα（R_A＋R’_A）であり、αはリスク許容係数、R_Aは前記複数の測定単位の前記手動運転モードでの前記車両のリスク値であり、前記複数の測定単位で前記車両が通過する道路区間が第1の道路区間であり、R’_Aは、前記手動運転モードに基づく前記複数の測定単位の外側の前記第1の道路区間を通過する前記車両のリスク値である、請求項2に記載の方法。
4. r_bに基づいてR_Bを決定する前記ステップ、およびr_cに基づいてR_Cを決定する前記ステップが、
   

   

   に基づいてR_BまたはR_Cを決定するステップであって、eventはリスクシナリオを表し、s_eventは前記リスクシナリオにおける事故の重大度の係数を表し、Xは前記複数の測定単位を表し、r_iがr_bを表すとき、R_iはR_Bを表し、r_iがr_cを表すとき、R_iはR_Cを表す、ステップ
   を含む、請求項1から3のいずれか一項に記載の方法。
5. r_bとr_cを取得する前記ステップが、
   前記リスクシナリオが衝突シナリオの場合、次のパラメータ：衝突オブジェクトに対する前記車両の速度Δv、前記衝突オブジェクトの移動軌跡に基づいて推定された前記車両と前記衝突オブジェクトとの衝突までの時間TTC、前記車両と前記衝突オブジェクトとの間の距離に基づいて推定された前記車両の前進までの時間THW、および前記車両と前記衝突オブジェクトとの間の前記距離、の少なくとも1つに基づいてr_bとr_cを決定するステップであって、Δvはr_bまたはr_cと正の相関があり、前記TTCはr_bまたはr_cと負の相関があり、前記THWはr_bまたはr_cと負の相関があり、前記車両と前記衝突オブジェクトとの間の前記距離は、r_bまたはr_cと負の相関がある、ステップ
   を含む、請求項1から4のいずれか一項に記載の方法。
6. 次のパラメータ：衝突オブジェクトに対する前記車両の速度Δv、前記衝突オブジェクトの移動軌跡に基づいて推定された前記車両と前記衝突オブジェクトとの衝突までの時間TTC、前記車両と前記衝突オブジェクトとの間の距離に基づいて推定された前記車両の前進までの時間THW、および前記車両と前記衝突オブジェクトとの間の前記距離、の少なくとも1つに基づいてr_bとr_cを決定する前記ステップが、
   r_SG1＝f（t）_maxに基づいてr_bとr_cを決定するステップであって、前記衝突シナリオではr_SG1はr_bまたはr_cであり、t∈｛t_event，h（t_event，obj）＝1｝、f（t）＝Δv（t）＊exp（−min｛r₀TTC（t），r₁THW（t），r₂s｝）であり、｛t_event，h（t_event，obj）＝1｝は衝突リスクが発生する期間を表し、TTC（t）はt時点のTTCを表し、THW（t）は前記t時点のTHWを表し、
   

   

   r₀，r₁，r₂はそれぞれ正規化されたパラメータ、vは前記t時点の前記車両の速度、Δv（t）は前記t時点のΔv、expは底が自然定数である指数であり、sは前記車両と前記衝突オブジェクトとの間の前記距離を表す、ステップ
   を含む、請求項5に記載の方法。
7. r_bとr_cを取得する前記ステップが、
   前記リスクシナリオが交通信号灯器シナリオの場合、前記車両の速度と前記車両から交通信号灯器までの距離に基づいてr_bとr_cを決定するステップであって、前記車両の前記速度はr_bまたはr_cと正の相関があり、前記車両から前記交通信号灯器までの前記距離はr_bまたはr_cと負の相関がある、ステップ
   を含む、請求項1から4のいずれか一項に記載の方法。
8. 前記車両の速度と前記車両から交通信号灯器までの距離に基づいてr_bとr_cを決定する前記ステップが、
   r_SG2＝f（t）_maxに基づいてr_bとr_cを決定するステップであって、前記交通信号灯器シナリオではr_SG2はr_bまたはr_cであり、t∈｛t_event，h（t_event，Light）＝1｝，
   

   

   r₃は正規化されたパラメータであり、｛t_event，h（t_event，Light）＝1｝は交通信号灯器に違反するリスクが発生する期間を表し、v（t）はt時点での前記車両の速度を表し、gは重力加速度定数であり、s（t）は前記t時点での前記車両から前記交通信号灯器までの距離を表す、ステップ
   を含む、請求項7に記載の方法。
9. r_bとr_cを取得する前記ステップが、
   前記リスクシナリオが、前記車両が道路の境界から飛び出すシナリオである場合、前記車両が車線から飛び出すのにかかる推定時間に基づいてr_bとr_cを決定するステップであって、前記車両が前記車線から飛び出すのにかかる前記推定時間は、r_bまたはr_cと負の相関がある、ステップ
   を含む、請求項1から4のいずれか一項に記載の方法。
10. 前記車両が車線から飛び出すのにかかる推定時間に基づいてr_bとr_cを決定する前記ステップが、
    

    

    に基づいてr_bとr_cを決定するステップであって、前記車両が道路の境界から飛び出す前記シナリオではr_SG3はr_bまたはr_cであり、TLC_thresholdは前記車両が道路から飛び出すのに必要な前記時間の臨界値を表し、
    

    

    eは自然定数、t_lcは前記車両が前記車線から飛び出すのにかかる前記推定時間、yは前記道路の境界での前記車両の横方向オフセット、W_roadは前記道路の幅、v_longは前記車両の縦方向速度、v_latは前記車両の横方向速度であり、φ−φ_dは、前記車両の進行方向と道路接線方向との間の角度を表し、r₄は正規化されたパラメータである、ステップ
    を含む、請求項9に記載の方法。
11. r_bとr_cを取得する前記ステップが、
    前記リスクシナリオが、前記車両が横方向加速度で走行するシナリオである場合、次のパラメータ：前記車両の縦方向加速度、前記車両の横方向加速度、および前記車両の速度の少なくとも1つに基づいてr_bとr_cを決定するステップであって、前記車両の前記縦方向加速度はr_bまたはr_cと正の相関があり、前記車両の前記横方向加速度はr_bまたはr_cと正の相関があり、前記車両の前記速度はr_bまたはr_cと正の相関がある、ステップ
    を含む、請求項1から4のいずれか一項に記載の方法。
12. 次のパラメータ：前記車両の縦方向加速度、前記車両の横方向加速度、および前記車両の速度の少なくとも1つに基づいてr_bとr_cを決定する前記ステップが、
    r_SG4＝r₅に基づいてr_bとr_cを決定するステップであって、非通常運転シナリオではr_SG4はr_bまたはr_cであり、（｜α_long｜＞α_threshold1）｜｜（｜α_lat｜＞α_threshold2）｜｜（v≧v_safe）、α_longは前記車両の前記縦方向加速度を表し、α_latは前記車両の前記横方向加速度を表し、α_threshold1は安全運転状態での前記横方向加速度の閾値を表し、α_threshold2は前記安全運転状態での前記縦方向加速度の閾値を表し、vは前記車両の前記速度を表し、v_safeは前記安全運転状態での速度閾値を表し、r₅は正規化されたパラメータである、ステップ
    を含む、請求項11に記載の方法。
13. 処理ユニットおよび取得ユニットを備えた自動運転安全性評価装置であって、
    前記取得ユニットはr_bとr_cを取得するように構成され、r_bは、第1の測定単位のシャドウ運転モードでの車両のリスク値であり、r_cは、前記第1の測定単位の事前設定ルートに基づく自動運転モードでの前記車両のリスク値であり、前記シャドウ運転モードは、リアルタイムルートに基づく前記車両の自動運転モードであり、前記リアルタイムルートは、手動運転モードでの前記車両の位置と移動パラメータに基づいて予測されたルートであり、前記第1の測定単位は期間または距離であり、
    前記処理ユニットは、前記取得ユニットによって取得されたr_bに基づいてR_Bを決定するように構成され、R_Bは、複数の測定単位の前記シャドウ運転モードでの前記車両のリスク値であり、前記複数の測定単位は、前記第1の測定単位を含み、
    前記処理ユニットは、前記取得ユニットによって取得されたr_cに基づいてR_Cを決定するようにさらに構成され、R_Cは前記複数の測定単位の前記事前設定ルートに基づく前記自動運転モードでの前記車両のリスク値であり、
    R_BとR_Cは、前記自動運転モードでの前記車両の安全性が要件を満たすかどうかを判断するために使用される、
    自動運転安全性評価装置。
14. 前記処理ユニットが、
    R_BとR_Cの合計を計算し、
    前記R_BとR_Cの合計が自動運転リスク閾値以下の場合、前記自動運転モードでの前記車両の前記安全性が前記要件を満たしていると判断する
    ようにさらに構成される、請求項13に記載の装置。
15. 前記自動運転リスク閾値がα（R_A＋R’_A）であり、αはリスク許容係数、R_Aは前記複数の測定単位の前記手動運転モードでの前記車両のリスク値であり、前記複数の測定単位で前記車両が通過する道路区間が第1の道路区間であり、R’_Aは、前記手動運転モードに基づく前記複数の測定単位の外側の前記第1の道路区間を通過する前記車両のリスク値である、請求項14に記載の装置。
16. 前記処理ユニットが、
    

    

    に基づいてR_BまたはR_Cを決定し、eventはリスクシナリオを表し、s_eventは前記リスクシナリオにおける事故の重大度の係数を表し、Xは前記複数の測定単位を表し、r_iがr_bを表すとき、R_iはR_Bを表し、r_iがr_cを表すとき、R_iはR_Cを表す
    ように特に構成される、請求項13から15のいずれか一項に記載の装置。
17. 前記取得ユニットが、
    前記リスクシナリオが衝突シナリオの場合、次のパラメータ：衝突オブジェクトに対する前記車両の速度Δv、前記衝突オブジェクトの移動軌跡に基づいて推定された前記車両と前記衝突オブジェクトとの衝突までの時間TTC、前記車両と前記衝突オブジェクトとの間の距離に基づいて推定された前記車両の前進までの時間THW、および前記車両と前記衝突オブジェクトとの間の前記距離、の少なくとも1つに基づいてr_bとr_cを決定し、Δvはr_bまたはr_cと正の相関があり、前記TTCはr_bまたはr_cと負の相関があり、前記THWはr_bまたはr_cと負の相関があり、前記車両と前記衝突オブジェクトとの間の前記距離は、r_bまたはr_cと負の相関がある
    ように特に構成される、請求項13から16のいずれか一項に記載の装置。
18. 前記取得ユニットが、
    r_SG1＝f（t）_maxに基づいてr_bおよびr_cを決定し、前記衝突シナリオではr_SG1はr_bまたはr_cであり、t∈｛t_event，h（t_event，obj）＝1｝、f（t）＝Δv（t）＊exp（−min｛r₀TTC（t），r₁THW（t），r₂s｝）であり、｛t_event，h（t_event，obj）＝1｝は衝突リスクが発生する期間を表し、TTC（t）はt時点でのTTCを表し、THW（t）は前記t時点でのTHWを表し、
    

    

    r₀，r₁，およびr₂はそれぞれ正規化されたパラメータ、vは前記t時点での前記車両の速度、Δv（t）は前記t時点でのΔv、expは底が自然定数である指数であり、sは前記車両と前記衝突オブジェクトとの間の前記距離を表す
    ように特に構成される、請求項17に記載の装置。
19. 前記取得ユニットが、
    前記リスクシナリオが交通信号灯器シナリオの場合、前記車両の速度と前記車両から交通信号灯器までの距離に基づいてr_bとr_cを決定し、前記車両の前記速度はr_bまたはr_cと正の相関があり、前記車両から前記交通信号灯器までの前記距離はr_bまたはr_cと負の相関がある
    ように特に構成される、請求項13から16のいずれか一項に記載の装置。
20. 前記取得ユニットが、
    r_SG2＝f（t）_maxに基づいてr_bとr_cを決定し、前記交通信号灯器シナリオではr_SG2はr_bまたはr_cであり、t∈｛t_event，h（t_event，Light）＝1｝，
    

    

    r₃は正規化されたパラメータであり、｛t_event，h（t_event，Light）＝1｝は交通信号灯器に違反するリスクが発生する期間を表し、v（t）はt時点での前記車両の速度を表し、gは重力加速度定数であり、s（t）は前記t時点での前記車両から前記交通信号灯器までの距離を表す
    ように特に構成される、請求項19に記載の装置。
21. 前記取得ユニットが、
    前記リスクシナリオが、前記車両が道路の境界から飛び出すシナリオである場合、前記車両が車線から飛び出すのにかかる推定時間に基づいてr_bとr_cを決定し、前記車両が前記車線から飛び出すのにかかる前記推定時間は、r_bまたはr_cと負の相関がある
    ように特に構成される、請求項13から16のいずれか一項に記載の装置。
22. 前記取得ユニットが、
    

    

    に基づいてr_bとr_cを決定し、前記車両が道路の境界から飛び出す前記シナリオではr_SG3はr_bまたはr_cであり、TLC_thresholdは前記車両が道路から飛び出すのに必要な前記時間の臨界値を表し、
    

    

    eは自然定数、t_lcは前記車両が前記車線から飛び出すのにかかる前記推定時間、yは前記道路の境界での前記車両の横方向オフセット、W_roadは前記道路の幅、v_longは前記車両の縦方向速度、v_latは前記車両の横方向速度であり、φ−φ_dは、前記車両の進行方向と道路接線方向との間の角度を表し、r₄は正規化されたパラメータである
    ように特に構成される、請求項21に記載の装置。
23. 前記取得ユニットが、
    前記リスクシナリオが、前記車両が横方向加速度で走行するシナリオである場合、次のパラメータ：前記車両の縦方向加速度、前記車両の横方向加速度、および前記車両の速度の少なくとも1つに基づいてr_bとr_cを決定し、前記車両の前記縦方向加速度はr_bまたはr_cと正の相関があり、前記車両の前記横方向加速度はr_bまたはr_cと正の相関があり、前記車両の前記速度はr_bまたはr_cと正の相関がある
    ように特に構成される、請求項13から16のいずれか一項に記載の装置。
24. 前記取得ユニットが、
    r_SG4＝r₅に基づいてr_bとr_cを決定し、非通常運転シナリオでr_SG4はr_bまたはr_cであり、（｜α_long｜＞α_threshold1）｜｜（｜α_lat｜＞α_threshold2）｜｜（v≧v_safe）、α_longは前記車両の前記縦方向加速度を表し、α_latは前記車両の前記横方向加速度を表し、α_threshold1は安全運転状態での前記横方向加速度の閾値を表し、α_threshold2は前記安全運転状態での前記縦方向加速度の閾値を表し、vは前記車両の前記速度を表し、v_safeは前記安全運転状態での速度閾値を表し、r₅は正規化されたパラメータである
    ように特に構成される、請求項23に記載の装置。
25. 車両運転リスクを決定するための方法であって、前記方法が、
    ある期間における車両の運転モードとリスクシナリオを決定するステップであって、前記期間の開始点は第1の時点であり、前記期間の終了点は第2の時点であり、前記運転モードは、自動運転モードおよび／または手動運転モードを含む、ステップと、
    現時点で、前記リスクシナリオに対応するリスク識別方法に基づいて前記期間中の前記運転モードのリスク値を決定するステップであって、前記現時点は前記第1の時点の後であり、前記現時点は前記第2の時点の前である、ステップと
    を含む、車両運転リスクを決定するための方法。
26. 現時点で、前記リスクシナリオに対応するリスク識別方法に基づいて前記期間中の前記運転モードでのリスク値を決定する前記ステップの前に、前記方法が、
    前記第1の時点における前記車両の位置および移動パラメータを決定するステップであって、前記車両は前記手動運転モードに基づいて前記第1の時点で走行する、ステップと、
    前記第1の時点における前記車両の前記位置および前記移動パラメータに基づいて、第3の時点における前記車両の位置を予測するステップであって、前記第3の時点は前記第1の時点より遅い、ステップと、
    前記第1の時点の前記位置と前記第3の時点の前記位置に基づいて、前記第1の時点の前記位置から前記第3の時点の前記位置までの前記車両のシャドウ運転モードを予測するステップであって、前記シャドウ運転モードは、前記手動運転モードでの前記車両の前記位置と前記移動パラメータに基づいて予測される前記車両の自動運転モードである、ステップと、
    をさらに含み、
    現時点で、前記リスクシナリオに対応するリスク識別方法に基づいて前記期間中の前記運転モードのリスク値を決定する前記ステップは、
    前記現時点で、前記リスクシナリオに対応する前記リスク識別方法に基づいてr_a、r_b、およびr_cを決定するステップであって、r_aは前記期間中の前記手動運転モードのリスク値であり、r_bは前記期間中の前記シャドウ運転モードのリスク値であり、r_cは前記期間中の事前設定ルートに基づく自動運転モードのリスク値である、ステップ
    を含む、
    請求項25に記載の方法。
27. 車両運転リスクを決定するための装置であって、前記装置は処理ユニットおよび記憶ユニットを備え、前記記憶ユニットはコンピュータプログラムコードを格納し、前記コンピュータプログラムコードが前記処理ユニットによって実行されると、前記処理ユニットは、
    ある期間における車両の運転モードとリスクシナリオを決定し、前記期間の開始点は第1の時点であり、前記期間の終了点は第2の時点であり、前記運転モードは、自動運転モードおよび／または手動運転モードを含み、
    現時点で前記リスクシナリオに対応するリスク識別方法に基づいて前記期間中の前記運転モードのリスク値を決定し、前記現時点は前記第1の時点の後であり、前記現時点は前記第2の時点の前である
    ように構成される、車両運転リスクを決定するための装置。
28. 現時点で、前記リスクシナリオに対応するリスク識別方法に基づいて、前記期間中の前記運転モードでのリスク値を決定する前記ステップの前に、前記処理ユニットが、
    前記第1の時点における前記車両の位置および移動パラメータを決定し、前記車両は前記手動運転モードに基づいて前記第1の時点で走行し、
    前記第1の時点における前記車両の前記位置および前記移動パラメータに基づいて、第3の時点における前記車両の位置を予測し、前記第3の時点は前記第1の時点より遅く、
    前記第1の時点の前記位置と前記第3の時点の前記位置に基づいて、前記第1の時点の前記位置から前記第3の時点の前記位置までの前記車両のシャドウ運転モードを予測し、前記シャドウ運転モードは、前記手動運転モードでの前記車両の前記位置と前記移動パラメータに基づいて予測される前記車両の自動運転モードである
    ようにさらに構成され、
    前記処理ユニットは、
    前記現時点で、前記リスクシナリオに対応する前記リスク識別方法に基づいてr_a、r_b、およびr_cを決定し、r_aは前記期間中の前記手動運転モードのリスク値であり、r_bは前記期間中の前記シャドウ運転モードのリスク値であり、r_cは前記期間中の事前設定ルートに基づく自動運転モードのリスク値である
    ように特に構成される、
    請求項27に記載の装置。
29. リスク管理モジュール、リスクポリシーモジュール、および安全性評価モジュールを備えた自動運転安全性評価システムであって、
    前記リスク管理モジュールは、自動運転モードでのリスクを決定するために、請求項1から12のいずれか一項に記載の方法を実行するように構成され、
    前記リスクポリシーモジュールは、前記リスク管理モジュールによって決定される前記自動運転モードの前記リスクに基づいてリスク管理ポリシーを決定するように構成され、前記リスク管理ポリシーは、前記自動運転モードの前記リスクを低減または排除するために使用され、
    前記安全性評価ポリシーは、前記リスク管理モジュールによって決定された前記自動運転モードの前記リスクに基づいて、前記自動運転モードの安全性を評価するために使用される、
    自動運転安全性評価システム。
30. リスク管理モジュール、リスクポリシーモジュール、および安全性評価モジュールを備えた自動運転安全性評価システムであって、
    前記リスク管理モジュールは、自動運転モードでのリスクを決定するために、請求項25または26に記載の方法を実行するように構成され、
    前記リスクポリシーモジュールは、前記リスク管理モジュールによって決定される前記自動運転モードの前記リスクに基づいてリスク管理ポリシーを決定するように構成され、前記リスク管理ポリシーは、前記自動運転モードの前記リスクを低減または排除するために使用され、
    前記安全性評価ポリシーは、前記リスク管理モジュールによって決定された前記自動運転モードの前記リスクに基づいて、前記自動運転モードの安全性を評価するために使用される、
    自動運転安全性評価システム。
31. プログラムまたは命令を含む読み取り可能な記憶媒体であって、前記プログラムまたは前記命令がコンピュータ上で実行されると、請求項1から12のいずれか一項に記載の方法が実行される、読み取り可能な記憶媒体。
32. プログラムまたは命令を含む読み取り可能な記憶媒体であって、前記プログラムまたは前記命令がコンピュータ上で実行されると、請求項25または26に記載の方法が実行される、読み取り可能な記憶媒体。

Images