JP6900981B2 - 予見安全性を備える車両制御システム、および予見安全性を備える車両制御方法 - Google Patents

Description

本発明は、予見安全性を備える車両制御システム、および予見安全性を備える車両制御方法に関する。

近年、完全な車両制御のための快適システムが絶え間なく開発されてきた。部分的に自動化された車両支援システムは、定義された制限内で運転者の助けを借りずに自動運転を実行するが、高度にまたは完全に自動化された（自律）運転は、自律性の定義に関してより厳しい要件と関連付けられる。したがって、すべてのタイプのエラーと未だ対処されていない状態が自律的に検出され、それに応じて対処されなければならない。これは、引き継ぐように指示するメッセージが運転者に出力された後に運転者の介入がないとき、または運転者が存在しないときに特に重要である。

ＩＳＯ２６２６２は、この状況を自動車の安全度水準（ＡＳＩＬ）の概念と共に考慮に入れている。ＡＳＩＬによって、潜在的なリスクの可能性、可制御性、および潜在的な事故の重大度が評価される。リスクランクは、特別な対策が不要とされ得るＱＭから、ＡＳＩＬ ＡからＡＳＩＬ Ｄまでのランクに及ぶ。これらのリスクレベルの各々は、潜在的なリスクを表し、ＡＳＩＬ Ａは最も低いリスクレベルを表し、ＡＳＩＬ Ｄは最も高いリスクレベルを表す。

自動車両では、複雑な軌道計算が必要となる。これらのために、この計算における系統的およびランダムな誤差に関する機能安全の概念が必要である。同様に、この計算能力における過度の制限を考慮に入れなければならない。結果として、自動運転において、故障安全の概念と能力制限を取り扱うための概念が必要である。

チャネルのうちの１つの故障はチャネルのスイッチオフをもたらすが、２つのチャネルの故障のみが安全機能の損失をもたらす、例えば、診断機能付き１ｏｏ２アーキテクチャ、または、三重処理における多数決を使用して、どのユニットが故障したユニットであるかを十分な安全性をもって確立することができる、例えば、２ｏｏ３アーキテクチャなどの古典的なマルチチャネルシステムは、数多くの欠点を有する。診断機能付き１ｏｏ２アーキテクチャについては、自己診断の問題が解決されなければならない。２ｏｏ３アーキテクチャは、自明ではない軌道の比較可能性を前提としている。加えて、エネルギー消費、ハードウェアコスト、ならびに異種の軌道計算の場合の必要スペースのための費用が２倍または３倍になる。システムエラーが発生した場合、またはシステム制限を超えた場合、システムをオフしても即座に車両が停止するわけではないので、リスクを最小限に抑えた状態に達する方法を見つける必要がある。多くの場合、故障安全メカニズムの実行には運転者とのやり取りが必要となる。自律走行ではＳＡＥレベル４から連絡可能な運転者がいないので、従来のアプローチは故障安全を伴う挙動を保証するために複雑な冗長システムを必要とする。

２０１１年１０月７日にミュンヘン工科大学で承認されたMarkus A. Horwickによる「Sicherheitskonzept fur hochautomatisierte Fahrerassistenzsysteme」の学位論文では、運転者の監視とやり取りを組み合わせた概念が提示されており、安全な非常停止状態の場合、車両自身の運転車線が、合理的な停車場所と見なされる。

米国特許出願公開第２０１５／００８１１５６号明細書から、移動経路に沿った時間配分と関連付けられた、意図された移動経路および計算された速度計画が重要である。軌道の計画と、経時的な軌道の更新のためにオブザーバが使用される。動いているターゲットと静止しているターゲットは避けなければならず、そして、必要ならば完全な停止に対処する。

欧州特許第２３３８０２９号から、車両の自律運転のための制御システムが知られている。例えば、複数の可能な経路を同時に生成するため、冗長性の理由で複数の計画モジュールを使用できることが開示されている。例えば、最短時間、最短距離、障害物による最も少ない影響に従う経路評価が使用され得る。

従来技術は、安全性の概念が、エラーの場合に発動される、事前に定義された緊急シナリオに基づくという事実を共有している。緊急の場合に安全性を保証できるようにするために、周囲環境が既知でなければならない。

本発明の目的は、予見安全性を備えた車両制御システム、および予見安全性を備えた車両制御方法を提供することにあり、それによって車両を高い安全性で、好ましくは要求される安全レベルで運転することができる。ここで、「安全」とは、例えば、軌道や周囲の時間的な状態に依存する、物体との衝突の当面のリスクがないことを意味するものと理解され得る。

この目的は、請求項１および９の発明によって達成される。有利な発展が、従属請求項の発明である。

本発明の第１の態様によれば、予見安全性を備える車両制御システムは、車両の周囲データに基づいて軌道を生成するように動作可能な軌道生成ユニットを備えており、それぞれの軌道にて、車両の周囲データの考慮の下で車両の安全な停止が可能となり、ここで、軌道バッファは、それぞれの軌道にて車両の周囲データの考慮の下で車両の安全な停止が可能である軌道を車両制御ユニットに提供するように動作可能であり、安全オブザーバが提供され、安全オブザーバは、軌道生成ユニットによって生成された新たな軌道が、その新たな軌道に沿って移動する間に、車両が周囲の物体の潜在的な位置範囲と重なるか否かにより、安全であるかどうかを判別するために、軌道バッファに転送する前に判定するように動作可能であり、軌道バッファは、軌道生成ユニットと安全オブザーバに接続され、安全オブザーバ（４０）によって安全と判定された、軌道生成ユニットによって生成された軌道のみが軌道バッファに転送されるように、動作可能である。

請求項１に記載の車両制御システムによれば、車両は、いつでも車両の安全な停止をもたらす軌道を用いて運転され得る。したがって、車両の安全な停止をもたらさない軌道は、車両の運転には使用され得ない。このようにして、車両制御システムの構成要素間の誤った通信の場合に、危険な状態が発生しないとの状況が考慮に入れられている。車両を安全に停止させる軌道が軌道バッファに存在する場合、車両はその軌道で運転され、安全な停止に至る。

第１の態様に依拠する、第２の態様による車両制御システムでは、軌道バッファは、軌道バッファが転送された軌道によって上書きされるように、軌道生成ユニットおよび安全オブザーバに接続される。したがって、軌道バッファは、唯１つの軌道しかその中に格納する必要がないので、複雑さが少なく、簡単に実現され得る。

第１または第２の態様に依拠する、第３の態様による車両制御システムは、軌道バッファと車両制御ユニットを備え、軌道バッファ内の記憶された軌道に基づいて、車両が安全に停止するまで車両制御を実行するように動作可能である。したがって、車両制御が単純な方法で実行され得る。

前述の態様のうちの少なくとも１つに依拠する、第４の態様による車両制御システムは、車両の周囲データを記録するように動作可能であり、安全オブザーバに接続される周囲データ生成ユニットを備える。それゆえ、周囲データ生成ユニットは、車両制御システムの一部であり、その結果、車両の周囲データに関連して、車両制御全体が自律的に実行され得る。

前述の態様のうちの少なくとも１つに依拠する、第５の態様による車両は、周囲データ生成ユニットおよび軌道生成ユニットに接続され、ミッション終了まで車両の経路を定義するように動作可能なミッションプランナを備え、軌道生成ユニットによって生成された軌道によって各区間で運転されるように動作可能である。したがって、ミッションの定義および各軌道における停止位置の定義にもかかわらず、エラーのない状態では、１つの軌道が別の軌道につながることができ、それぞれの定義された安全停止の状態は、各軌道のケースに適用され得ないことが保証され得る。

前述の態様のうちの少なくとも１つに依拠する、第６の態様による車両制御システムでは、軌道バッファおよび／または軌道生成ユニットは、車両内に配置されている。車両制御システムの他のデバイスが車両の外部に設けられるとき、このようにして、車両内のハードウェアの複雑さは低く保たれ得る。

第１から第５の態様のうちの少なくとも１つに依拠する、第７の態様による車両制御システムでは、軌道生成ユニット、および、オプションで安全オブザーバ、周囲データ生成ユニット、および／またはミッションプランナは、車両外部システム、好ましくは、例えば静止パーキングシステムのような静止したものに配置され、軌道バッファに対する軌道の転送は無線で行われるので、例えばバレットパーキングシステムなどの既存のパーキングシステムによって、複数の車両の車両制御が集中的に実行されることができ、車両制御ユニットそのものと共に車両に設けなければならないのは、軌道バッファのみとなる。

第４、または第５から第７の態様の少なくとも１つに依拠する、第８の態様による車両制御システムでは、軌道生成ユニットが、具体化された周囲データの安全要件を満たす軌道のみを軌道バッファに転送するように動作可能であるように、周囲データ生成ユニットが安全オブザーバに接続される。その結果、周囲データの判定に関して増大した安全性要件も考慮に入れることができる。安全オブザーバが周囲データ内の安全リスクを示した場合、現存する軌道にも拘らず、前記軌道の転送は起こらないので、軌道バッファには、周囲データでの誤りが運転挙動に影響を与えることのない、車両の安全な停止をもたらす軌道が格納される。

第９の態様によれば、以下のステップを有する予見安全性を備える車両制御方法が提供される。それぞれの軌道にて、車両の周囲データを考慮した安全な停止が可能である、車両の周囲データに基づく軌道生成ユニットによる軌道の生成、それぞれの軌道にて、車両の周囲データの考慮の下で車両の安全な停止が可能である、軌道バッファに対する軌道の提供、軌道生成ユニットによって生成された新たな軌道を軌道バッファに転送する前に、この生成された新たな軌道が、その新たな軌道に沿って移動する間に、車両が周囲の物体の潜在的な位置範囲と重なるか否かにより、安全であるかどうかの安全オブザーバによる判別、および、安全オブザーバによって安全と判定された、軌道生成ユニットによって生成された軌道のみの転送。

第１０の態様によれば、第９の態様に従う予見安全性を備える車両制御方法が提供され、軌道バッファに軌道を転送するステップの後で、軌道バッファは転送された軌道によって上書きされる。

上述の第９および第１０の態様による車両制御方法では、第１および第２の態様と同様の利点が得られる。

添付の図面および対応する詳細な説明を参照して、本発明が、さらなる目的、特徴および利点に関連して、より詳細に説明される。
本発明の実施例による車両制御システムの概略図を表す。 本発明による予見安全性を備える車両制御方法を表す。 車両の安全な停止を定義した、バレットパーキングシステムにおける車両制御状況を示す。 具体化された安全要件が視覚化された、バレットパーキングシステムにおける車両制御状況を示す。 具体化された安全要件が満たされず、軌道の転送が行われない、ミッション計画経路に沿う追加の軌道に沿って移動した場合のバレットパーキングシステムにおける状況を示す。 ６つの例示的な軌道の棒グラフを示し、これらは、軌道の引き継ぎが異なるため、車両の挙動が異なる結果となる。 第１から第６の軌道に沿う図６に表された車両の運転挙動についての線図において、経時的に移動した距離を示す。 、周囲データが安全監視を受け、したがって軌道の遮断または転送が、軌道に対して具体化された安全要求および周囲データに対して具体化された安全要求に依存する、本発明の実施例の変形例を示す。

以下において、実施例およびそれから外れた予見安全性を備える車両制御システム、および予見安全性を備える車両制御方法が説明される。

本発明による車両制御により、車両が１つの安全な軌道から別の安全な軌道へ移動することを可能にすることができ、その場合、システムの安全性は常に確保される。ここで、「安全」とは、軌道および周囲の時間的な状態に依存する、物体との衝突の当面のリスクがないことを意味するものと理解され得る。空間成分および速度成分によって特徴付けられるそれぞれの軌道は、車両がいずれの経路に沿ってミッション目的地に向かって移動すべきであるかを示すミッション経路に基づく。各軌道は、この軌道が車両の安全な停止によって完結されることを特徴とする。安全性は新しい軌道を実行する前に評価される。したがって、予見安全性という用語が、車両制御システムおよび車両制御方法において使用される。ミッション経路に沿って考察すると、車両は本質的に安全な駐車位置から出発する。それぞれ受け付けられた軌道の更新は安全であるので、車両は軌道内での移動の間、安全なままである。

本発明によれば、安全監視が提供され、それによって軌道の安全性が評価される。安全監視は、軌道生成から切り離されている。安全監視の機能は、生成された軌道が安全であるかないかに関して、安全監視信号に基づいて判定がなされ得ることだけにある。安全オブザーバが軌道を変更することは規定されていない。軌道生成は安全監視から切り離されているので、安全統合レベルも分けることができる。従って、軌道生成は、安全監視とは異なるＡＳＩＬレベルを持つことができる。軌道生成の構成要素と安全監視の構成要素との間で、ＩＳＯ２６２６２に準拠したＡＳＩＬ分解が可能である。

本発明による車両制御システムによって、最新の既知の軌道が軌道バッファから読み出され、車両制御に使用される。安全監視によって新しい軌道を利用可能にすることができない場合、車両の安全な停止まで、軌道バッファ内で得られる軌道に従って車両の動きが生じる。このように、データ転送中にエラーが発生し、従来技術におけるように軌道適合が不可能となる状況も考慮されている。いずれの場合も、車両が安全に停止するまで軌道バッファには軌道が存在する。本発明による車両制御システムによれば、故障安全性においてレベル３以上のＳＡＥ自律性段階が可能である。

本発明の軌道は、時間に関してはミッション経路に沿った冗長経路を可能にするが、空間に関しては可能にしない。安全オブザーバは、ここではゲートキーパとして機能する。

車両制御システムの異なる構成要素は、車両制御のため車両制御ユニットに軌道を供給する軌道バッファが、車両に利用可能とされ得る限り、車両内に又は固定的に設けることができる。軌道バッファ内の現在の軌道を用いて、車両は常に安全な停止に誘導される。

図１は、第１実施例に係る車両制御システム１００を示す。この車両制御システムは、全ての構成要素が車両内に設けられるように設計されている。しかしながら、以下に詳細に説明する、本発明はこれに限定されない。

車両制御システム１００の目的は、車両制御ユニット７０に対しての軌道を生成することである。このために、車両制御システム１００は、周囲データ生成ユニット１０、ミッションプランナ２０、軌道生成ユニット３０、安全オブザーバ４０、遮断／転送ユニット５０、軌道バッファ６０、および、車両制御ユニット７０を備える。

周囲データ生成ユニット１０は、周囲データを記録して、それをミッションプランナ２０、軌道生成ユニット３０、および安全オブザーバ４０に供給する。ミッションプランナ２０は、代わりに静的な周辺マップを使用することもできる。ミッションプランナ２０では、以下に、経路またはミッション経路と呼ばれるグローバル経路が設定される。この経路は、どのルートに沿って車両が移動すべきかを確定する。ミッションプランナ２０のデータは軌道生成ユニット３０に供給され、軌道生成ユニット３０は車両が安全に停止するまで軌道を生成する。軌道生成ユニット３０は、例えば回避操作を実行するため、または道路の端で安全に停止するために、ミッションプランナ２０の経路から逸脱することもできる。軌道の走行には一定の時間（ｔ）を要する。周囲データ生成ユニット１０の周囲データは、軌道生成ユニット３０にも供給される。

軌道生成ユニット３０の生成された軌道と周囲データ生成ユニット１０の周囲データとが安全オブザーバ４０に供給され、安全オブザーバ４０は、生成された軌道が完全な停止までに衝突しないものであるかを評価する。ここで、車両の周囲における物体の潜在的な動きは、時間ｔの範囲で、既知の事柄から推定される。これは、例えばバレットパーキングシステムにおいて、歩行者および車両を間接的に表す破線の円および台形によって示されている。

安全オブザーバ４０の監視結果と軌道生成ユニット３０の生成された軌道は、遮断／転送ユニット５０に供給される。安全オブザーバ４０の評価結果に基づいて、軌道生成ユニット３０によって生成された軌道は、遮断／転送ユニット５０により、軌道バッファ６０に転送されるか、もしくは転送されないかのどちらかである。軌道が軌道バッファ６０に転送されると、この軌道は車両制御ユニット７０による車両制御に用いられる。

各軌道について、この軌道は、各軌道の終了時に完全に停止するまで、車両を誘導することが規定されているので、車両がこの軌道にて軌道の終了まで車両制御が生じるならば、車両は潜在的に完全な停止に到達する。

この手順を説明するために、ケースＡにおいて、軌道生成ユニット３０によって生成される第１の軌道が、安全オブザーバ４０によって安全であると評価されると仮定する。その結果、遮断／転送ユニット５０は、第１の軌道を軌道バッファ６０に転送する。車両は、結果として、軌道バッファ６０にて得られる軌道に沿って移動する。この期間に、軌道生成ユニット３０は第２の軌道を生成し、この生成された軌道の評価が安全オブザーバ４０によって実行される。この第２の軌道が安全であると評価されると、安全オブザーバ４０の評価信号により、遮断／転送ユニット５０が転送状態に切り替えられ、実行されたばかりの軌道が軌道バッファ内で第２の軌道によって上書きされ、その結果、軌道バッファ６０内の第２の軌道が車両制御の運転挙動を決定する。第２の軌道の実行中に、軌道生成ユニット３０によって第３の軌道が計算され、安全オブザーバ４０によって安全でないと評価された場合、遮断／転送ユニット５０は、軌道生成ユニット３０から軌道バッファ６０への第３の軌道の送信を遮断し、その結果、軌道バッファ６０にある第２の軌道が、車両の完全停止まで車両によって走行される。

このシーケンスもまた図２のフローチャートによって示されている。ステップＳ１０において、周囲データ生成ユニット１０による周囲データの提供が行われる。ステップＳ２０において、ミッションプランナ２０によるミッション経路の計算が、オプションとして、提供された周囲データに基づいて行われる。次のステップＳ３０において、軌道生成ユニット３０は、ミッション経路および提供された周囲データに基づいて、車両が完全に停止するまでの軌道を算出する。ステップＳ４０において、安全オブザーバ４０は、軌道生成ユニット３０によって生成された軌道を評価する。ステップＳ５０において、遮断／転送ユニット５０は、安全オブザーバ４０の評価結果に基づいて、ステップＳ３０において軌道生成ユニット３０によって生成された軌道が安全であるか否かを判定する。

生成された軌道が安全ではない場合、ステップＳ３０において新たな軌道を生成するために、ステップＳ５０からステップＳ３０に戻る。

ステップＳ５０において、生成された軌道が安全であると遮断／転送ユニット５０によって評価された場合、軌道バッファ６０が上書きされるステップＳ６０に進む。

次のステップであるステップＳ７０において、軌道バッファ６０が空であるかどうかが評価される。ステップＳ７０でバッファが空であると評価された場合、車両の運転のための軌道が存在しないので、ステップＳ８０において車両は安全に停止したままとなる。ステップＳ７０において、評価が行われ、バッファが空でないと評価された場合、車両は、安全な停止まで軌道バッファ６０に記憶されている軌道に沿って運転される。この安全停止までの運転はステップＳ９０で行われる。このフローチャートは、計画された目的地に達するまで定期的に繰り返される。

本発明は、図１に示すように、車両制御システム１００全体が車両内に設けられている状況に限定されない。第１の実施例の変形例では、軌道バッファ６０、安全オブザーバ４０、遮断／転送ユニット５０、および車両制御ユニット７０のみが車両に設けられ、一方、周囲データ生成ユニット１０、ミッションプランナ２０、および軌道生成ユニット３０は、安全な停止まで、静止した態様で設けられる。また、安全オブザーバ４０の一部を静止した態様で設けることも考えられる。これは、例えばバレットパーキングシステムで実施することができる。軌道生成ユニット３０または周囲データ生成ユニット１０と遮断／転送ユニット５０と安全オブザーバ４０との間の軌道および一部の周囲データの伝送は、例えば無線で行うことができる。このようにして、バレットパーキングシステムでは、複数の車両の集中調整を安全に行うことができる。さらに、各車両における実装コストを削減することができる。静止システムと車両内の設備の両方が安全目標に貢献することができる。各個々の車両は、軌道バッファ６０内に、走行する軌道を有する。各軌道の終わりには、その間に追加の軌道が利用可能とならない限り、安全な停止がある。この場合、安全のためのフェイルセーフデータ接続は必要とされない。

しかし、本発明はこれに限定されない。代わりに、周囲データ生成ユニット１０のみ、またはそれに代わって、ユニット２０、３０、４０および５０の他のものをバレットパーキングシステムに設けることができる。車両内と静止システム内との両方で安全オブザーバ４０および遮断／転送ユニット５０を複数実装することも可能である。周囲データ生成ユニット１０は、車両と静止ユニットとの間の範囲に分散させることができ、その結果、車両のセンサと駐車場のセンサとの間で、単段または多段のセンサフュージョンが生じる。

以下では、図３から図５を参照して、予見安全性を備える車両制御の方法の実施例が、一例として説明される。ここでの特定の焦点は、安全停止までの軌道生成と、安全オブザーバ４０および遮断／転送ユニット５０による遮断／転送の実施との間の区別にある。

図３には、バレットパーキングシステムにおける基準車両ＲＣの安全な停止の画定を伴う車両制御状況が示されている。より正確には、経路Ｐは、ミッションプランナ２０によって基準車両ＲＣに対して予め決定され、その経路に沿って車両は移動すべきである。軌道生成ユニット３０により生成された軌道の実行は、車両前方の通常軌道ＮＴで表され、停止距離ＳＤは、経路Ｐの方向において通常軌道の前方にある。車両の通常の移動は、通常軌道ＮＴの終わりまで行われる。この時点で軌道バッファ６０内に追加の軌道が存在しない場合、基準車両ＲＣは停止距離ＳＤで安全停止するように制動される。

基準車両ＲＣは既にバレットパーキングシステム内、すなわちバリアＳの反対側の車両Ｃ４を基準にして配置されている。基準車両ＲＣの移動方向の経路Ｐと平行に、車両Ｃ１、Ｃ２が描かれている。これに、歩行者Ｆ２１、Ｆ３２を伴う歩道が続き、次いでバリアＳを有する入口、続いて追加の車両Ｃ３が続く。駐車車両Ｃ１、Ｃ２、Ｃ３と基準車両ＲＣとの間には歩道があり、その上には歩行者Ｆ１が、経路Ｐに沿う図の反対側において図に示される車両Ｃ３の近くに位置している。バリアＳを通ってバレットパーキングシステム内に進入しようとしている車両Ｃ４の移動経路は、車両Ｃ４の前方の矢印で表されている。

図３の、このバレットパーキングシステムにおいて、具体化された安全要件が、図４に視覚化されている。車両Ｃ１〜Ｃ４の位置、通常軌道ＮＴおよび停止距離ＳＤを有する基準車両ＲＣの位置、および歩行者Ｆ１、Ｆ２、Ｆ３の位置は、図３と同じである。具体化された安全要件は、基準車両ＲＣが通常軌道ＮＴに沿って停止距離ＳＤの終わりの安全停止まで移動するのに要する時間ｔ内の、物体Ｃ１〜Ｃ４および歩行者Ｆ１、Ｆ２、Ｆ３の潜在的な位置を、既知の事柄から推定する。これらの物体の潜在的な位置は、歩行者について、前記歩行者の周りの円によって図４に示されている。車両Ｃ４については、それがバリアに向かってバレットパーキングシステム内にさらに移動し続けると仮定され、その結果、車両Ｃ４の潜在的な物体位置として、移動方向に台形の領域となる。車両Ｃ１、Ｃ２、Ｃ３の潜在的な物体位置としても台形領域が描かれており、それらは駐車スペースの外への車両Ｃ１〜Ｃ３の移動を与える。

図４に視覚化された、具体化された安全要件では、通常軌道または停止距離と物体Ｃ１〜Ｃ４およびＦ１〜Ｆ３との間に重なりがないので、図３および４に描かれた停止距離ＳＤを有する通常軌道ＮＴが、期間ｔの間は安全であるとランク付けされる。図１において、この場合、軌道生成ユニット３０によって生成された軌道は、安全オブザーバ４０によって遮断／転送ユニット５０に転送され、軌道バッファ６０に供給される。

図５は、経路Ｐに沿う追加の軌道に沿って移動する場合における、図３のバレットパーキングシステムの状況を再現しており、生成された軌道は具体化された安全要件を満たさず、軌道の転送は生じない。

より正確には、基準車両ＲＣは車両Ｃ３に向かってさらに移動しており、まさに今、車両Ｃ３の隣に位置しようとしているが、停止距離ＳＤを有する通常軌道ＮＴの領域が、車両Ｃ３の潜在的物体位置の領域と交差している。潜在的な物体位置と通常軌道ＮＴまたは停止距離ＳＤとのこのような交差の結果は、図１の安全オブザーバ４０が、軌道生成ユニット３０によって生成された当該軌道を遮断／転送ユニット５０を介して軌道バッファ６０に転送しない結果となる。その結果、基準車両ＲＣは以前の軌道を走行し、その以前の軌道から停止距離ＳＤの範囲内でブレーキをかけるので、図５の車両Ｃ３の潜在的な物体位置が考慮される。

図２の予見安全性を備える車両制御のための本発明の方法が、図６の棒グラフおよび図７の時間に対する移動距離の図を参照して、６つの例示的な軌道に基づいて表される。

図６の時間０において、停止距離ＳＤが２．５秒から３秒の間である第１の軌道が生成される。図７において、第１の軌道により、約３秒から車両が安全に停止される状態となる。ほぼ２．５秒の時点で、４秒から５秒の間の停止距離ＳＤが実現され得る、第２の軌道が生成される。この第２の軌道が安全であると評価されると（図６においてＯＫとマークされる）、軌道バッファ６０へのこの第２の軌道の書き込みが行われ、第１の軌道の終わりでの安全な停止は起こらない。約４秒の時点で、停止距離ＳＤが７秒から８秒の間である第３の軌道が生成される。この第３の軌道が安全と評価された場合、４秒の時点で、軌道バッファ６０にある第２の軌道の上書きが行われ、第２の軌道の最後での安全停止は実行されない。第３の軌道の場合、停止距離ＳＤは７秒から８秒の間である。約５．５秒で始まる第４の軌道では、監視エラーが安全オブザーバによって検出され、その結果、第３の軌道は７秒の始まりまで軌道バッファ６０内に残る。７秒の時点で、第５の軌道が生成され、この軌道では、１０秒から１１秒の間での車両の安全な停止が可能である。この第５の軌道は安全であると評価され、軌道バッファ内の第３の軌道と置き換わり、したがって、第３の軌道は車両が停止に至るまで走行されない。続く第６の軌道は実際のところ生成されるが、システムエラーのために拒否される。したがって、１０秒の合計時間の満了後、新たな軌道は存在しないので、約１０秒で、第５の軌道に従って車両の制動が開始されて、車両は停止に至り、合計１１秒の経過後、それ以降は静止する。その結果、基準車両ＲＣは完全停止状態で１１秒から始まる最小危険状態となる。

以上、本発明の実施形態が説明されたが、そこでは、図１の安全オブザーバ４０が軌道生成に対する安全要件を実現する。

本発明はこれに限らず、例えば上記実施形態とは異なり、図８に示すように、周囲データ生成ユニット１０が、安全オブザーバ４０に診断データを供給することもできるし、周囲データの生成において、具体化された安全要件に不適合であることに応じて、軌道生成ユニット３０によって生成された軌道が安全オブザーバの具体化された安全要件に対応するとの事実にも拘らず、軌道生成ユニット３０の出力における軌道の軌道バッファ６０への転送が、遮断／転送ユニット５０によって遮断され得る。したがって、より厳しい故障安全要件を考慮に入れることができる。この実施形態では、周囲データ生成ユニットの利用可能要件は必要とされない。エラー検出で十分である。

１００…車両制御システム、１０…周囲データ生成ユニット、２０…ミッションプランナ、３０… 軌道生成ユニット、４０…安全オブザーバ、５０…遮断／転送ユニット（無効／有効）、６０…軌道バッファ、７０…車両制御ユニット、ＮＴ…通常軌道、ＳＤ…停止距離、Ｆ１〜Ｆ３…歩行者、Ｃ１〜Ｃ４…車両、ＲＣ…自車両、Ｓ…バリア、Ｐ…経路

Claims (10)

1. 車両の周囲データに基づいて軌道を生成するように動作可能な軌道生成ユニット（３０）を備え、それぞれの軌道にて、車両の周囲データの考慮の下で車両の安全な停止が可能であり、軌道バッファ（６０）が、それぞれの軌道にて車両の周囲データの考慮の下で車両の安全な停止が可能である軌道を車両制御ユニット（７０）に提供するように動作可能であって、
   安全オブザーバ（４０）が、軌道生成ユニット（３０）によって生成された新たな軌道について、その新たな軌道に沿って移動する間に、車両が周囲の物体の潜在的な位置範囲と重なるか否かにより、その生成された新たな軌道が安全であるかどうかを、軌道バッファ（６０）に転送する前に判定するように動作可能であり、軌道バッファ（６０）は、軌道生成ユニット（３０）と安全オブザーバ（４０）に接続され、安全オブザーバ（４０）によって安全と判定された、軌道生成ユニット（３０）によって生成された軌道のみが軌道バッファ（６０）に転送されるように、動作可能であることで特徴付けられる予見安全性を備える車両制御システム（１００）。
2. 軌道バッファ（６０）は、軌道バッファ（６０）が転送された軌道によって上書きされるように、軌道生成ユニット（６０）および安全オブザーバ（４０）に接続される、請求項１に記載の車両制御システム（１００）。
3. 軌道バッファ（６０）内の記憶された軌道に基づいて、車両が安全に停止するまで車両制御を実行するように動作可能である、軌道バッファ（６０）と車両制御ユニット（７０）を備える請求項１または２に記載の車両制御システム（１００）。
4. 車両の周囲データを記録するように動作可能であり、安全オブザーバ（４０）に接続される周囲データ生成ユニット（１０）を備える請求項１乃至３のいずれか１項に記載の車両制御システム（１００）。
5. 周囲データ生成ユニット（１０）および軌道生成ユニット（３０）に接続され、ミッション終了まで車両の経路を定義するように動作可能なミッションプランナ（２０）を備え、軌道生成ユニット（３０）によって生成された軌道によって各区間で運転されるように動作可能である請求項１乃至４のいずれか１項に記載の車両制御システム（１００）。
6. 軌道バッファ（６０）および／または軌道生成ユニット（３０）は、車両内に配置される、請求項１乃至５のいずれか１項に記載の車両制御システム（１００）。
7. 軌道生成ユニット（３０）、および、オプションで安全オブザーバ（４０）、周囲データ生成ユニット（１０）、および／またはミッションプランナ（２０）は、車両外部システムに配置され、軌道バッファ（６０）に対する軌道の転送は無線で行われる請求項１乃至５のいずれか１項に記載の車両制御システム（１００）。
8. 軌道生成ユニット（３０）が、具体化された周囲データの安全要件を満たす軌道のみを軌道バッファ（６０）に転送するように動作可能であるように、周囲データ生成ユニット（１０）が安全オブザーバ（４０）に接続される請求項４または５乃至７のいずれか１項に記載の車両制御システム（１００）。
9. それぞれの軌道にて、車両の周囲データを考慮した安全な停止が可能である、車両の周囲データに基づく軌道生成ユニット（３０）による軌道の生成ステップ（Ｓ３０）と、
   それぞれの軌道にて、車両の周囲データの考慮の下で車両の安全な停止が可能である、軌道バッファ（６０）に対する軌道の提供ステップ（Ｓ６０）と、を備え、さらに
   軌道生成ユニット（３０）によって生成された新たな軌道を軌道バッファ（６０）に転送する前に、この生成された新たな軌道が、その新たな軌道に沿って移動する間に、車両が周囲の物体の潜在的な位置範囲と重なるか否かにより、安全であるかどうかの安全オブザーバ（４０）による判別ステップ（Ｓ４０）と、
   安全オブザーバ（４０）によって安全と判定された、軌道生成ユニット（３０）によって生成された軌道のみの転送ステップ（Ｓ５０）と、を備えることによって特徴付けられる予見安全性を備える車両制御方法。
10. 軌道バッファ（６０）に軌道を転送するステップの後で、軌道バッファ（６０）は転送された軌道によって上書きされる（Ｓ６０）請求項９に記載の方法。

Images