JP6655624B2 - 条件付き自動化を伴う運転支援システムのためのアーキテクチャ - Google Patents

Description

本発明は、一般に、自動運転支援システムを備える自動車両に関し、より正確には、いわゆる「条件付き自動化」システムに関する。

安全性、機動性、エコドライブ、及び、全ての人にとっての運転のアクセスし易さなどの数多くの課題に取り組むために、運転の自動化が進んでいる。今日では、専用の領域に完全自動化された無人車両を有することが想定し得る。自動路上車両のためのプロジェクトに関しては同じことが成り立たず、これに関しては、特に法的な分野及び安全性の分野において、そのような車両を販売する前に解決されなければならない多数の問題がある。特に、ドライバーの存在下での自動路上車両の場合、ウィーン条約は、その第８．５条において、ドライバーが自分の車両を常に制御できなければならないと定めている。

ＳＡＥ（Ｓｏｃｉｅｔｙ ｏｆ Ａｕｔｏｍｏｔｉｖｅ Ｅｎｇｉｎｅｅｒｓを表わす頭字語）自動路上車両標準規格委員会は、最近、それぞれの分類レベルごとにドライバーと１又は複数の自動化システムとの間で運転の監視を共有するための規則を伴う自動運転レベルの分類を与える新たな報告書を発行した（「路上自動車両自動運転システムに関連する用語のための分類及び定義」、標準規格Ｊ３０１６、２０１４年１月１６日）。より正確には、この報告書は、自動化の様々な度合いにわたって、自動化システムを何ら伴わない車両のためのレベル０から、完全に自動化された車両のためのレベル５までの範囲の６つのレベルを規定し、自動化の度合いに関しては、自動化の負担が毎回高められて、ドライバーの責任の負担が軽減される。したがって：
−レベル１は、車両の縦方向の制御のみに関連する運転支援システム（例えば、頭字語ＡＣＣ、すなわち、「Ａｕｔｏｎｏｍｏｕｓ Ｃｒｕｉｓｅ Ｃｏｎｔｒｏｌ」によって知られるシステム）、又は、車両の横方向の制御のみに関連する運転支援システム（例えば、車線内での進路保持を支援するためのシステム、或いは、追い越しの際に、追い越し後に道路脇に寄る際に、又は、回避行為の際に使用される車線変更を支援するためのシステム）に対応する。

−レベル２は、１又は複数の運転支援システムが車両の横方向及び縦方向の制御を組み合わせることができる、いわゆる「部分自動化」レベルに対応する。

−レベル３は、決定された時間帯にわたって特定のタイプの道路（例えばハイウェイ）でドライバーが運転に注意を払わなくてもよい、いわゆる「条件付き自動化」レベルに対応する。このとき、それに付随する自動化ステムは、車両の横方向及び／又は縦方向の制御を監視するが、問題がある場合には責任をドライバーに譲り渡さなければならない。

−レベル４は、車両の完全な自動化に対応し、この場合、ドライバーは、どのような状況でも、運転を任せることができるとともに、継続時間及び任意の特定の領域とは無関係に、自分がそのように望むときには運転に戻ることができる。

−レベル５は、ドライバーが相互に作用することができない完全に自動化された車両に対応する。

ＳＡＥにしたがったレベル０〜５は、実質的に、交通安全を担当する米国連邦政府機関であるＮＨＴＳＡ（「国家道路交通安全局」）のレベル０〜４に対応する。

前述のウィーン条約の条項のために、レベル３〜５の車両は今日では法律で許可されない。一方、レベル０〜２は、ドライバーが実際に運転の唯一の監督者であり続けるため許可される。

以下で対象となるのは、条件付き自動化システムを備えるＳＡＥ標準規格又はＮＨＴＳＡ標準規格にしたがったレベル３の将来の自動車両のためのプロジェクトである。今日において恒久的なドライバー責任を課すウィーン条約の改正の受諾は、一定数の運転安全手順の実施と、システムの障害の場合にドライバーが運転の監視に戻ることができるようにするための方策の実施とを最低限伴う。

特に重要な方策は、ドライバーが制御を取り戻すことができなかった場合の安全状態への復帰に関連する。この場合、特に車両が比較的低速でハイウェイを走行しているときには、システムがその走行車線で車両を停止させれば足りる場合がある。この方策の適用において一般に実施される様々な段階が図１に概略的に示されており、この図１は、車両の速度に対するこの作用の結果を時間の関数として表わす。

この図１において、ｔ_ｄは、ドライバーが理論的に制御を取り戻すことを必要とする重大な障害の検出の瞬間を表わす。この瞬間から、条件付き自動化システムは、ドライバーに対して明らかに制御を譲り渡さなければならないが、それにもかかわらずドライバーが実際に運転の制御を取り戻すことができるようにするために短い時間帯にわたって、一般的には５〜１０秒にわたって機能を確保しなければならない。この段階は、図中に段階＿１によって表わされており、車両の速度が一定のままであることを示す。ドライバーがこの段階＿１の完了時に反応しなかった場合には、システムが穏やかにブレーキをかけ始める（同様に５〜１０秒である図１中の段階＿２）。最後に、ドライバーがこの段階＿２の完了時にまだ反応しなかった場合、システムは、車両が完全に停止するまでより激しい制動を指示する。この段階が図１中に段階＿３によって表わされる。

機能的な観点から、条件付き自動化システムは、安全状態へのこの復帰を確保するために、車両の前方で何が起きているかをチェックできなければならず、結果として速度を調整するように制動システム及びエンジン制御システムを制御できなければならず、及び、１つの同じ走行車線内にとどまるように電子操向制御システムを制御できなければならない。

動作安全性の観点でのこれらの要求は、冗長性の高いアーキテクチャを使用することを必然的に伴い、それにより、これらのシステムのコストにかなり影響を与える。そのため、特に「ＡＳＩＬ Ａ、ＡＳＩＬ Ｂ、ＡＳＩＬ Ｃ、及び、ＡＳＩＬ Ｄ」（Ａｕｔｏｍｏｔｉｖｅ Ｓａｆｅｔｙ Ｉｎｔｅｇｒｉｔｙ Ｌｅｖｅｌを表わす頭文字）と称される４つのレベルにしたがって障害の危険度の分類を規定する国際標準規格ＩＳＯ２６２６２によれば、レベル３システム（条件付き自動化）はＡＳＩＬ Ｄでなければならず、それにより、特に、車両の環境の１つの同じ領域を観察するために少なくとも３つの異なる技術のセンサを車両に備える必要がある。したがって、良好な検出の性能評定が確保され、ＡＳＩＬ Ｄ安全性目的に十分適合するとともに、外部ジャマーが３つのタイプのセンサを同時に無効にすることが防止される。

更に、既知のアーキテクチャにおいて、システムのコンピュータ、一方ではセンサとこのコンピュータとの間、他方ではシステムのコンピュータと安全状態に戻るための方策に関与する他のコンピュータ（制動システムコンピュータ、エンジン制御コンピュータ、操向制御コンピュータ）との間のやりとりを可能にする一般的にはＣＡＮバスによる接続部、及び、これらのコンピュータの動作のために必要な電源は、一般に、条件付き自動化システムのコンピュータに関連する障害の場合に動作安全性を保証するために倍増される。

本発明の目的は、レベル３の条件付き自動化を伴う運転支援システムのための手ごろなコストのアーキテクチャを提案することである。

したがって、本発明の主題は、
−車両の前方の領域を観察するための少なくとも３つの異なる技術のセンサのセットと、
−第１の上流側データ通信ネットワークを介してセンサの前記セットから情報を受信できるとともに、第１の下流側通信ネットワークを介してコマンドをエンジン制御システムの第１のコンピュータ、制動システムの第２のコンピュータ、及び、操向制御システムの第３のコンピュータへ送信できるメインコンピュータと、
−第２の上流側データ通信ネットワークを介してセンサの前記セットから情報を受信できるバックアップコンピュータと、
−各コンピュータに接続される主電源と、
−バックアップ電源と、
を備える、車両の自動緊急停止を制御できる条件付き自動化を伴う運転支援システムのためのアーキテクチャであって、
コマンドの送信のためにバックアップコンピュータを制動システムの前記第２のコンピュータのみに接続する第２の下流側通信ネットワークを備え、バックアップ電源が、メインコンピュータ、バックアップコンピュータ、及び、制動システムの第２のコンピュータにのみ接続されることを特徴とするアーキテクチャである。

このアーキテクチャの他の想定し得る特徴によれば、
−第１及び第２の上流側及び下流側データ通信ネットワークは、シリアルデータバスネットワークであり、好ましくはＣＡＮネットワークである；
−バックアップコンピュータがメインコンピュータと同一であり、この場合、これらの両方のコンピュータは、同じ障害危険レベル、好ましくはレベルＡＳＩＬ Ｄを有する；
−変形例として、バックアップコンピュータは、メインコンピュータの障害危険レベルよりも低い障害危険レベル、例えばメインコンピュータがＡＳＩＬ ＤであればレベルＡＳＩＬ Ｂを有することができる；
−センサのセットは、例えば、少なくとも１つのイメージセンサ、１つのレーダーセンサ、及び、１つのレーザーセンサを備える；
−バックアップコンピュータは、メインコンピュータに接続され得るとともに、メインコンピュータに関連する障害の場合にのみ第２の上流側データ通信ネットワークを介してセンサの前記セットから情報を受信するように制御され得る；
−変形例として、バックアップコンピュータは、メインコンピュータに関連する障害がない場合でも、第２の上流側データ通信ネットワークを介して、センサの前記セットから情報を恒久的に受信する。

本発明及び本発明が与える様々な利点は、添付の図に関連して与えられる以下の説明を考慮すると更に良く理解できる。

既に前述したこの図は、安全な状態に戻るための既知の方策で条件付き自動化を伴う運転支援システムにより実施される段階を概略的に示す。 条件付き自動化を伴う運転支援システムのための本発明に係る典型的なアーキテクチャを概略的に示す。

本開示の全体にわたって、レベル３（ＳＡＥ／ＮＨＴＳＡ）の任意の運転支援システムは、「条件付き自動化を伴う運転支援システム」と呼ばれる。

図２を参照すると、図１に記載されるシナリオにしたがって車両の自動緊急停止を制御できるとともに安全状態への復帰を保証できる条件付き自動化を伴う運転支援システムのためのアーキテクチャは、従来のように、コア制御モジュール１を備え、このコア制御モジュール１は、
−一方では、第１の上流側データ通信ネットワークを介して、車両の前方の領域を観察できるセンサのセット２から情報を受信できるメインコンピュータ１０と、
−他方では、メインコンピュータ１０に接続されるとともに、第２の上流側データ通信ネットワークを介して、センサの前記セット２から情報を受信できるバックアップコンピュータ１１と、
を備える。

システムはＡＳＩＬ Ｄ障害危険レベルを有し、そのため、セット２に関しては、センサのために３つの異なる技術を使用するようになっている。したがって、セット２は、非限定的な例として、少なくとも１つのレーザーセンサ２０、１つのレーダーセンサ２１、及び、１つのイメージセンサ２２を備えることができる。本発明の原理は、異なる技術（又はタイプ）のどのような組み合わせが使用されても適用できる。

図２において、第１の上流側ネットワークは、センサ２０〜２２とメインコンピュータ１０との間に実線として概略的に示される３つの接続部を備え、一方、第２の上流側ネットワークは、これらの同じセンサ２０〜２２とバックアップコンピュータ１０との間に破線として概略的に示される３つの接続部を備える。

メインコンピュータ１０の役割は、センサ２０〜２２から生じる情報を処理することであり、特に、必要であれば、図１に関連して記載された安全状態に戻るための方策を適用することである。したがって、このメインコンピュータ１０は、この方策に関与する車両の様々なコンピュータに対して、特に、
−エンジン制御システムの第１のコンピュータ３に対して、
−制動システムの第２のコンピュータ４に対して、及び、
−操向制御システムの第３のコンピュータ５に対して、
それぞれ適切なコマンドを送信できる。

コマンドの送信は、メインコンピュータ１０と３つのコンピュータ３，４，５との間の実線の接続部によって表わされる第１の下流側通信ネットワークを介して行われる。

前述した全てのコンピュータは、主電源、例えばバッテリー（図２における＋ＢＡＴ１）によって給電される。

バックアップコンピュータ１１の役割は、それに関する限り、メインコンピュータの障害の場合にそれ自体をメインコンピュータ１０の代わりに用いることである。

本発明によれば、一方ではシステムのコンピュータと３つのコンピュータ３，４，５との間の下流側通信ネットワークを倍増する代わりに、ここでは、コマンドの送信のためにバックアップコンピュータ１１を制動システムの第２のコンピュータ４だけに接続する第２の下流側通信ネットワークを設けるようにする。この第２の下流側通信ネットワークは、バックアップコンピュータ１１と制動コンピュータ４との間の破線によって表わされる。

このタイプの制御は、車両の操向を特に低速で制御するのにも十分である。実際に、制動システムのコンピュータは、現在全てが、各車輪に対する制動を差動態様で命じることができ、したがって、車両がその停止までその車線にとどまるように事態を工夫することができる、いわゆるＥＳＰコンピュータ（Ｅｌｅｃｔｒｏｎｉｃ Ｓｔａｂｉｌｉｔｙ Ｐｒｏｇｒａｍを表わす頭文字）である。

更に、主電源＋ＢＡＴ１の想定し得る機能不良を軽減するために、バックアップ電源（図２における＋ＢＡＴ２）、例えばバッテリーがアーキテクチャに設けられる。ここでも再び、アーキテクチャは、このバックアップ電源がメインコンピュータ１０、バックアップコンピュータ１１、及び、制動システムだけのコンピュータ４のみによって使用されることを条件とすることにより、厳密に必要なものに単純化される。

言い換えると、本発明に係るアーキテクチャは、システムのコンピュータの下流側で、２つの電源及び制動システムのコンピュータ４のためだけの通信ネットワークを冗長にすることにある。

これは、ドライバーが制御を取り戻すことができなかった場合に安全状態への復帰の保証を決して制限しないコスト低減をもたらす。

図２の枠組みの中では、バックアップコンピュータ１１がメインコンピュータ１０に接続され、それにより、メインコンピュータの障害の場合にのみバックアップコンピュータが受信及び放出で動作することが考慮されてきた。

しかしながら、本発明の範囲から逸脱することなく、２つのコンピュータ１０，１１を接続しないことが想定し得る。この場合、２つのコンピュータ１０，１１が恒久的に並行して動作し、下流側のコンピュータ３，４，５がバックアップモードに切り換わるのはメインコンピュータの障害の場合である。このとき、これを「ホットリダンダンシー」と言う。この解決策は、より速い再構成を可能にするが、より多くのエネルギーを消費する。

Claims (9)

1. −車両の前方の領域を観察するための少なくとも３つの異なる技術のセンサのセット（２）と、
   −第１の上流側データ通信ネットワークを介してセンサの前記セット（２）から情報を受信できるとともに、第１の下流側通信ネットワークを介してコマンドをエンジン制御システムの第１のコンピュータ（３）、制動システムの第２のコンピュータ（４）、及び、操向制御システムの第３のコンピュータ（５）へ送信できるメインコンピュータ（１０）と、
   −第２の上流側データ通信ネットワークを介してセンサの前記セットから情報を受信できるバックアップコンピュータ（１１）と、
   −各コンピュータに接続される主電源と、
   −バックアップ電源と、
   を備える、車両の自動緊急停止を制御できる条件付き自動化を伴う運転支援システムのためのアーキテクチャであって、
   コマンドの送信のために前記バックアップコンピュータ（１１）を前記制動システムの前記第２のコンピュータ（４）のみに接続する第２の下流側通信ネットワークを備え、前記バックアップ電源は、前記メインコンピュータ（１０）、前記バックアップコンピュータ（１１）、及び、前記制動システムの前記第２のコンピュータ（４）にのみ接続されることを特徴とするアーキテクチャ。
2. 前記第１及び第２の上流側及び下流側データ通信ネットワークがシリアルデータバスネットワークであることを特徴とする請求項１に記載のアーキテクチャ。
3. 前記第１及び第２の上流側及び下流側データ通信ネットワークがＣＡＮネットワークであることを特徴とする請求項２に記載のアーキテクチャ。
4. 前記バックアップコンピュータ（１１）が前記メインコンピュータ（１０）と同一であることを特徴とする請求項１から３のいずれか一項に記載のアーキテクチャ。
5. 前記バックアップコンピュータ（１１）は、前記メインコンピュータ（１０）の障害危険レベルよりも低い障害危険レベルを有することを特徴とする請求項１から４のいずれか一項に記載のアーキテクチャ。
6. 前記メインコンピュータ（１０）の障害危険レベルがＡＳＩＬ Ｄであり、前記バックアップコンピュータ（１１）の障害危険レベルがＡＳＩＬ Ｂであることを特徴とする請求項５に記載のアーキテクチャ。
7. センサの前記セット（２）は、少なくとも１つのイメージセンサ、１つのレーダーセンサ、及び、１つのレーザーセンサを備えることを特徴とする請求項１から６のいずれか一項に記載のアーキテクチャ。
8. 前記バックアップコンピュータ（１１）は、前記メインコンピュータ（１０）に接続されるとともに、前記メインコンピュータ（１０）に関連する障害の場合にのみ前記第２の上流側データ通信ネットワークを介してセンサの前記セットから情報を受信するように制御されることを特徴とする請求項１から７のいずれか一項に記載のアーキテクチャ。
9. 前記バックアップコンピュータ（１１）は、前記メインコンピュータ（１０）に関連する障害がない場合でも、前記第２の上流側データ通信ネットワークを介して、センサの前記セットから情報を恒久的に受信することを特徴とする請求項１から７のいずれか一項に記載のアーキテクチャ。

Images