JP7073456B2 - 自動運転システムに対するスプーフィング攻撃を検出する方法 - Google Patents

Description

本開示の実施形態は、一般に、自律車両を動作させることに関する。より具体的には、本開示の実施形態は、自律運転車両（ＡＤＶ）に対するサイバー攻撃およびスプーフィング攻撃を検出して軽減することに関する。

自律モード（例えば、無人）で動作している車両は、乗車者、特にドライバーを運転に関連した責任から解放することができる。自律モードで動作している場合、車両は、車載センサを用いて様々な場所へと航行でき、最低限の人とのやりとりで、あるいは、場合によっては搭乗者なしに、車両が移動できるようになる。

モーションプランニングおよび制御は自律運転における重要な動作である。モーションプランニングおよび制御動作の精度および効率は、車両のセンサとセンサから抽出された情報とに多くを依存する。モーションプランニングおよび制御のために、車両のまわりの環境の映像および電磁画像を取り込むように、カメラ、光検出および測距（ＬＩＤＡＲ）ユニット、レーダーなどのセンサが使用される。ＡＤＶはまた、リアルタイム交通情報、データ解析、経路選択サービス、近くのＡＤＶの情報などを得るために、モーションプランニングおよび制御の一部として、通信ネットワークを通じてインフラストラクチャサーバまたは他のＡＤＶと通信してもよい。ＡＤＶの急増ならびにＡＤＶとインフラストラクチャとの間の接続性の向上により、第三者が、ＡＤＶの脆弱なポイントに対して、ＡＤＶの制御を乗っ取ろうとするサイバー攻撃またはスプーフィング攻撃を始めるリスクが増加している。例えば、遠隔攻撃が、車両の行程のルートまたは目的地を変更するために、車両とインフラストラクチャとの間の通信ゲートウェイを通じてアクセスする可能性がある。意図されたルートまたは目的地から車両を遠方へ逸らすために、知覚システムに偽情報を供給するように、センサを非活性化するか、劣化させるか、そうでなければ騙すために、車両のセンサシステムに対してスプーフィング攻撃を始められる可能性もある。

ＡＤＶのなかには、車両通信ゲートウェイを保護すること、個々のセンサの頑健性を高めること、またはセンサ情報を使用して外部のスプーフィングをかわすように知覚システムのアルゴリズムを改善することにより、攻撃の脅威を軽減しようとするものもある。しかしながら、これらの対策のうちのいくつかは実装するのが高くつき、変化する脅威に対して反対行動をとるように適応するのは容易ではない可能性がある。

本開示の実施形態は、同様の参照符号が同様の要素を示す、添付の図面の図中に例として示されており、限定として示されていない。

一実施形態に係るネットワーク化システムを示すブロック図である。 一実施形態に係る自律車両の例を示すブロック図である。 いくつかの実施形態に係る、自律車両によって使用される知覚プランニングシステムの例を示すブロック図である。 いくつかの実施形態に係る、自律車両によって使用される知覚プランニングシステムの例を示すブロック図である。 一実施形態に係る自律運転システムのアーキテクチャを示すブロック図である。 一実施形態に係るＡＤＶの行程のルートまたは目的地を変更しようとする攻撃を検出するために、マップ上の既定の静止物体をグラウンドトゥルースとして使用するための技術を示す図である。 一実施形態に係るＡＤＶを動作させるプロセスの一例を示す流れ図である。 一実施形態に係る、ＡＤＶが、行程のルートまたは目的地を変更しようとするサイバー攻撃を検出して反対行動をとるためのグラウンドトゥルースポイントとして既定の静止物体を使用するための方法を示す流れ図である。 一実施形態に係るＡＤＶを動作させるプロセスの一例を示す流れ図である。 一実施形態に係るＡＤＶが、センサシステムに対するスプーフィング攻撃を検出して反対行動をとるために、既定の静止物体、動的物体、および様々なセンサを使用するための方法を示す流れ図である。

本開示の様々な実施形態および態様が、以下で論じられる詳細を参照しながら説明され、添付の図面は様々な実施形態を示す。以下の説明および図面は、本開示を例示するものであり、本開示を限定するものとして解釈されるべきではない。本開示の様々な実施形態への完全な理解を与えるために、多数の具体的な詳細について説明する。しかしながら、いくつかの事例では、本開示の実施形態の簡潔な議論を提供するために、よく知られている、あるいは、従来の詳細については説明しない。

本明細書における「一実施形態」または「実施形態」に対する言及は、実施形態に関して説明される特定の特徴、構造または特性が本開示の少なくとも１つの実施形態に含まれ得ることを意味する。本明細書中の様々な個所における「一実施形態では」というフレーズの出現は、必ずしも全てが同じ実施形態を指すとは限らない。

いくつかの実施形態によれば、目的地または計画されたルートを変更するためにＡＤＶの通信ゲートウェイにアクセスしようとする攻撃を検出して反対行動をとるために、ＡＤＶの行程の計画されたルートに沿って既定の静止物体を導入するための方法が開示される。静止物体は、高精細（ＨＤ）マップ上の既定の識別可能な物体である。静止物体は、車両センサシステムが同システムのリアルタイムセンサカバレッジを決定するために使用し得るルートに沿った注目点（ＰＯＩ）または注目範囲（ＲＯＩ）ロケーションの一部でもよい。例えば、車両がセンサシステムの稼働状況を検証するために静止物体の既定のロケーションを通って移動するとき、センサシステムは静止物体を検出して識別し得る。ＡＤＶは、ルートプランニング中に、ＨＤマップから、グラウンドトゥルースポイントとして静止物体をあらかじめロードしてもよい。ＡＤＶは、計画されたルートの静止物体をロードした後に、ルートに沿って移動するとき静止物体が識別されることを確認してもよい。静止物体は、ルート変更中に、または目的地が変更されたとき、動的に更新され得る。ＡＤＶは、サイバー攻撃による異常なルート変更または目的地変更を検出するために、静止物体の更新に関する情報を導入してもよい。

一実施形態では、この方法は、行程が終了する前に静止物体が更新されているかどうかを判定するための静止物体検査を実行し得る。静止物体が更新されていたら、この方法は、ルートの目的地が変更されたかどうかを判定してもよい。一実施形態では、この方法は、変更された静止物体が辿るルートを解析することにより、目的地が変更されたと判定し得る。目的地が変更されていたら、この方法は、（いる場合には）車両内の搭乗者に、目的地変更の確認を要求してもよい。搭乗者が目的地変更を確認しなければ、または車両内に搭乗者がいなければ、この方法は、疑わしい目的地変更をサービスプロバイダに報告してもよい。

目的地が変更されていなければ、この方法は、ルート変更があったと判定し得る。一実施形態では、この方法は、新規のルートに関連した新規の静止物体がセンサシステムによって識別されるまで待つことにより、または前のルートに関連した前の静止物体が識別されないことを検証して、ルート変更を確認してもよい。ルート変更が検出されるかまたは確認されると、この方法は、新規のルートおよびルート変更をめぐる情報を解析して、ルート変更が異常であるかどうかを判定してもよい。例えば、この方法は、交通条件、ルート変更の頻度、新規のルートの距離、前のルートとの距離の差、新規のルートの予期される移動時間、前のルートとの移動時間の差などを解析して、ルート変更が異常であるかどうかを判定してもよい。一実施形態では、この方法は、ルート変更が異常であると推論するために、学習された経験に基づく機械学習を使用してもよい。ルート変更が異常であれば、この方法は、異常なルート変更を搭乗者またはサービスプロバイダに報告し得る。一実施形態では、搭乗者は、ＡＤＶに、最も近い安全な場所に停止するように要求することによって旅程から外れることができ、または、サービスプロバイダがＡＤＶから直接報告を受信することがなければ、追加の安全対策としてサービスプロバイダに通知するように促されてもよい。

いくつかの実施形態によれば、ＡＤＶのセンサシステムに対するスプーフィング攻撃を検出して反対行動をとるために、既定の静止物体、動的物体、および様々なセンサを導入するための方法が開示される。この方法は、センサが、スプーフィング攻撃または環境要因によって不能になったり性能が損なわれたりしていないかどうかを判定し得る。この方法は、行程の目的地またはルートを変更しようとする攻撃を検出するために静止物体を導入する方法と同様に、ルートプランニング中に、ＨＤマップから、既定の識別可能な静止物体をグラウンドトゥルースポイントとしてあらかじめロードしてもよい。ルートが動的に更新されるとき、静止物体は動的に更新され得る。この方法は、ＡＤＶが計画されたルートに沿って移動するとき、センサシステムのセンサが静止物体を識別することができるかどうかを判定してもよい。センサが静止物体を識別することができなければ、この方法は、損なわれたセンサを、センサシステムまたは知覚システムによる使用から一時的に除外してもよい。一実施形態では、この方法は、損なわれたセンサを除外することを裁定する前に、別のセンサがこの静止物体を正確に識別することができるかどうかを判定してもよく、または損なわれたセンサが追加の静止物体を識別し得ないことを検証してもよい。

一実施形態では、この方法は、障害物、気象条件などの環境要因によって損なわれたセンサとスプーフィング攻撃によって損なわれたセンサとを区別するために、複数のセンサによって検出された動的物体に対するクロスチェックを実行してもよい。例えば、この方法は、センサカバレッジエリアの範囲内の、ＨＤマップによってあらかじめ定義されていない動的物体（例えば車両、歩行者）または静止物体を全てのセンサが識別することができるかどうかを判定してもよい。複数のセンサが、ＨＤマップから導出されたものではない動的物体または静止物体を識別することができず、これが一時的にのみ起こるのであれば、複数のセンサによる一時的障害は環境要因によるものである可能性が高い。他方では、センサシステムの中の１つのセンサだけが物体を識別することができず、この１つのセンサの障害が長時間にわたるかまたは多くの物体に対して生じる場合には、この障害はスプーフィング攻撃によるものである可能性が高い。この方法は、損なわれたセンサを除外することにより、知覚のためにセンサシステムカバレッジをリアルタイムで動的に調節し得る。一実施形態では、リアルタイムセンサカバレッジが連続動作を許容しない場合には、この方法は、車両の速度を落とすため、または（いる場合には）ドライバーが車両の運転を引き継ぐことを可能にするために、劣化した動作を活性化し得る。一実施形態では、この方法は、車両を最も近い安全な場所に停止させるための故障動作を活性化し得、搭乗者またはサービスプロバイダに通知してもよい。

図１は、本開示の一実施形態に係る自律車両ネットワーク構成を示すブロック図である。図１を参照すると、ネットワーク構成１００は、ネットワーク１０２を介して１または複数のサーバ１０３～１０４に通信可能に接続され得る自律車両１０１を備えている。１つの自律車両が示されているが、複数の自律車両が、ネットワーク１０２を介して互いに、および／または、サーバ１０３～１０４に接続されていてもよい。ネットワーク１０２は、ローカルエリアネットワーク（ＬＡＮ）、インターネットなどのワイドエリアネットワーク（ＷＡＮ）、セルラーネットワーク、衛星ネットワーク、またはこれらの組合せなど、有線または無線の任意のタイプのネットワークであり得る。サーバ１０３～１０４は、ウェブまたはクラウドサーバ、アプリケーションサーバ、バックエンドサーバ、またはそれらの組合せなど、任意の種類のサーバまたはサーバのクラスタであり得る。サーバ１０３～１０４は、データ解析サーバ、コンテンツサーバ、交通情報サーバ、ＭＰＯＩ（ｍａｐ ａｎｄ ｐｏｉｎｔ ｏｆ ｉｎｔｅｒｅｓｔ）サーバまたはロケーションサーバなどであり得る。一実施形態では、自律車両１０１は、自律車両１０１に対するサイバー攻撃またはスプーフィング攻撃を検出して反対行動をとるのに用いる既定の静止物体を、サーバ１０３または１０４からＨＤマップにダウンロードしてもよい。

自律車両とは、ドライバーからの入力が殆どまたは全くない環境下で車両が航行する自律モードにあるように構成され得る車両をいう。そのような自律車両は、車両が動作する環境についての情報を検出するように構成された１または複数のセンサを有するセンサシステムを備えることができる。車両およびこれに関連するコントローラは、検出された情報を使用して、この環境下で航行する。自律車両１０１は、手動モード、完全自律モードまたは部分自律モードで動作することができる。

一実施形態では、自律車両１０１は、これに限定されないが、知覚プランニングシステム１１０と、車両制御システム１１１と、ワイヤレス通信システム１１２と、ユーザインターフェースシステム１１３と、センサシステム１１５とを備えている。自律車両１０１は、例えば、加速信号またはコマンド、減速信号またはコマンド、操舵信号またはコマンド、制動信号またはコマンドなど、様々な通信信号および／またはコマンドを使用して、車両制御システム１１１および／または知覚プランニングシステム１１０によって制御され得る、エンジン、ホイール、ステアリングホイール、トランスミッションなど、通常の車両中に備えられるいくつかの一般的な構成要素をさらに備えていてもよい。

構成要素１１０～１１５は、相互接続、バス、ネットワークまたはこれらの組合せを介して互いに通信可能に接続され得る。例えば、構成要素１１０～１１５は、コントローラエリアネットワーク（ＣＡＮ）バスを介して互いに通信可能に接続され得る。ＣＡＮバスは、マイクロコントローラおよびデバイスが、ホストコンピュータなしにアプリケーション内で互いに通信することを可能にするように設計されたビークルバス規格である。ＣＡＮバスは、元来は、自動車内の多重化電気配線のために設計されたメッセージベースのプロトコルであるが、多くの他の状況においても使用される。

次に図２を参照すると、一実施形態では、センサシステム１１５は、これに限定されないが、１または複数のカメラ２１１と、全地球測位システム（ＧＰＳ）ユニット２１２と、慣性測定ユニット（ＩＭＵ）２１３と、レーダーユニット２１４と、光検出および測距（ＬＩＤＡＲ）ユニット２１５とを備えている。ＧＰＳシステム２１２は、自律車両の位置に関する情報を与えるように動作可能なトランシーバを備えていてもよい。ＩＭＵユニット２１３は、慣性加速度に基づいて自律車両の位置姿勢の変化を感知し得る。レーダーユニット２１４は、無線信号を利用して、自律車両のローカル環境内の物体を感知するシステムであってもよい。いくつかの実施形態では、物体を感知することに加えて、レーダーユニット２１４は、さらに、物体の速度および／または進路を感知し得る。ＬＩＤＡＲユニット２１５は、自律車両がレーザーを使用して位置される環境中の物体を感知し得る。ＬＩＤＡＲユニット２１５は、いくつかあるシステム構成要素の中でも特に、１または複数のレーザー源、レーザースキャナおよび１または複数の検出器を備えることができる。カメラ２１１は、自律車両を囲む環境の画像を取得する１または複数のデバイスを備えていてもよい。カメラ２１１はスチールカメラおよび／またはビデオカメラであってもよい。カメラは、例えば、回転するおよび／または傾斜するプラットフォーム上にカメラを取り付けることによって、機械的に移動可能であってもよい。

センサシステム１１５は、ソナーセンサ、赤外線センサ、操舵センサ、スロットルセンサ、制動センサ、およびオーディオセンサ（例えば、マイクロフォン）など、他のセンサをさらに備えてもよい。オーディオセンサは、自律車両を囲む環境から音を取得するように構成されていてもよい。操舵センサは、車両のステアリングホイール、ホイールの操舵角またはこれらの組合せを感知するように構成されていてもよい。スロットルセンサおよび制動センサは、それぞれ、車両のスロットル位置および制動位置を感知する。いくつかの状況では、スロットルセンサおよび制動センサは一体型スロットル／制動センサとして一体化され得る。

一実施形態では、車両制御システム１１１は、これに限定されないが、ステアリングユニット２０１、（加速ユニットとも呼ばれる）スロットルユニット２０２、および制動ユニット２０３を備えている。ステアリングユニット２０１は、車両の方向または進路を調整するためのものである。スロットルユニット２０２は、車両の速度および加速度を順に制御するモーターまたはエンジンの速度を制御するためのものである。制動ユニット２０３は、摩擦を与えることによって車両を減速させ、車両のホイールまたはタイヤを遅くするためのものである。なお、図２に示されている構成要素は、ハードウェア、ソフトウェアまたはこれらの組合せで実装されてもよい。

再び図１を参照すると、ワイヤレス通信システム１１２は、自律車両１０１と、デバイス、センサ、他の車両など、外部システムとの間の通信を可能にするためのものである。例えば、ワイヤレス通信システム１１２は、１または複数のデバイスと直接、またはネットワーク１０２上のサーバ１０３～１０４など、通信ネットワークを介して、ワイヤレスで通信することができる。ワイヤレス通信システム１１２は、任意のセルラー通信ネットワーク、または、例えば、ＷｉＦｉを使用するワイヤレスローカルエリアネットワーク（ＷＬＡＮ）を使用して、別の構成要素またはシステムと通信することができる。ワイヤレス通信システム１１２は、例えば、赤外リンク、Ｂｌｕｅｔｏｏｔｈ（登録商標）などを使用して、デバイス（例えば、車両１０１内の搭乗者のモバイルデバイス、ディスプレイデバイス、スピーカ）と直接通信することができる。ユーザインターフェースシステム１１３は、例えば、キーワード、タッチスクリーンディスプレイ、マイクロフォンおよびスピーカなどを含む、車両１０１内に実装された周辺デバイスの一部であり得る。

自律車両１０１の機能のいくつかまたは全ては、特に、自律運転モードで動作しているとき、知覚プランニングシステム１１０によって制御または管理され得る。知覚プランニングシステム１１０は、センサシステム１１５、制御システム１１１、ワイヤレス通信システム１１２、および／またはユーザインターフェースシステム１１３から情報を受信し、受信された情報を処理し、出発地点から目的地点までのルートまたは経路を計画し、次いで、プランニングおよび制御情報に基づいて車両１０１を走らせるために必要なハードウェア（例えば、プロセッサ、メモリ、ストレージ）およびソフトウェア（例えば、オペレーティングシステム、プランニングおよびルーティングプログラム）を備えている。あるいは、知覚プランニングシステム１１０が車両制御システム１１１と一体化されていてもよい。

例えば、搭乗者としてのユーザは、例えば、ユーザインターフェースを介して、旅程の出発地および目的地を指定し得る。知覚プランニングシステム１１０は旅程関連データを取得する。例えば、知覚プランニングシステム１１０は、サーバ１０３～１０４の一部であり得るＭＰＯＩサーバから、ロケーションおよびルート情報を取得し得る。ロケーションサーバはロケーションサービスを提供し、ＭＰＯＩサーバは、マップサービスと、自律車両１０１に対するサイバー攻撃またはスプーフィング攻撃を検出して反対行動をとるのに用いる、ＨＤマップ上の計画されたルートの既定の静止物体など特定のロケーションのＰＯＩとを提供する。あるいは、そのようなロケーションおよびＭＰＯＩ情報は、知覚プランニングシステム１１０の永続性ストレージデバイス内にローカルでキャッシュされてもよい。

自律車両１０１がルートに沿って移動している間、知覚プランニングシステム１１０はまた、交通情報システムまたはサーバ（ＴＩＳ）からリアルタイム交通情報を取得し得る。なお、サーバ１０３～１０４は、知覚プランニングシステム１１０がルートを計画するために、知覚プランニングシステム１１０に出発位置および目的位置をダウンロードするサービスプロバイダなどの第三者エンティティによって動作させられてもよい。第三者はまた、計画されたルートに従って移動し始めるように自律車両１０１に指令するために、知覚プランニングシステム１１０に対するコマンドを発行してもよい。あるいは、サーバ１０３～１０４の機能は知覚プランニングシステム１１０と一体化されていてもよい。リアルタイム交通情報、ＭＰＯＩ情報およびロケーション情報、ならびにセンサシステム１１５によって検出または感知されたリアルタイムのローカル環境データ（例えば、障害物、物体、近くの車両）に基づいて、知覚プランニングシステム１１０は、最適ルートを計画し、指定された目的地に安全にかつ効率的に到達するために計画されたルートに従って、例えば、制御システム１１１を介して車両１０１を走らせることができる。

サーバ１０３は、様々なクライアントのためにデータ解析サービスを実行するためのデータ解析システムであってもよい。一実施形態では、データ解析システム１０３はデータコレクタ１２１と機械学習エンジン１２２とを備えている。データコレクタ１２１は、自律車両でも人間のドライバーによって運転される通常の車両でも、様々な車両から運転統計１２３を収集する。運転統計１２３は、異なる時点において車両のセンサによって取得された、発行された運転コマンド（例えば、スロットル、制動、ステアリングコマンド）および車両の応答（例えば、速度、加速、減速、方向）を示す情報を含む。運転統計１２３は、例えば、ルート（出発地および目的地を含む）、ＭＰＯＩ、道路条件、天候条件など、異なる時点における運転環境を記述する情報をさらに含んでいてもよい。

運転統計１２３に基づいて、機械学習エンジン１２２は、様々な目的で、ルール、アルゴリズム、および／または予測モデルのセット１２４を生成するか、またはトレーニングする。一実施形態では、アルゴリズム１２４は、知覚、予測、決定、計画、および／または制御プロセスに関するルールまたはアルゴリズムを含み得、これらは以下でさらに詳細に説明される。アルゴリズム１２４は、その後、リアルタイムで自律運転中に利用されるように、ＡＤＶ上にアップロードされ得る。

図３Ａおよび図３Ｂは、一実施形態に係る、自律車両とともに使用される知覚プランニングシステムの一例を示すブロック図である。システム３００は、これに限定されないが、知覚プランニングシステム１１０、制御システム１１１、およびセンサシステム１１５を備える、図１の自律車両１０１の一部として実装され得る。図３Ａ～図３Ｂを参照すると、知覚プランニングシステム１１０は、これに限定されないが、ローカライゼーションモジュール３０１、知覚モジュール３０２、予測モジュール３０３、決定モジュール３０４、プランニングモジュール３０５、制御モジュール３０６、およびルーティングモジュール３０７を備えている。

モジュール３０１～３０７のいくつかまたは全ては、ソフトウェア、ハードウェア、またはこれらの組合せにおいて実装され得る。例えば、これらのモジュールは、永続性ストレージデバイス３５２内にインストールされ、メモリ３５１にロードされ、１または複数のプロセッサ（図示せず）によって実行され得る。なお、これらのモジュールのいくつかまたは全ては、図２の車両制御システム１１１のいくつかまたは全てのモジュールに通信可能に接続され得るか、またはそれらのモジュールと一体化されてもよい。モジュール３０１～３０７のうちのいくつかは一体型モジュールとして一体化されてもよい。例えば、決定モジュール３０４とプランニングモジュール３０５は単一モジュールとして一体化されてもよい。

ローカライゼーションモジュール３０１は、（例えば、ＧＰＳユニット２１２を活用して）自律車両３００の現在のロケーションを決定し、ユーザの旅程またはルートに関する任意のデータを管理する。（マップおよびルートモジュールとも呼ばれる）ローカライゼーションモジュール３０１は、ユーザの旅程またはルートに関する任意のデータを管理する。ユーザは、例えば、ユーザインターフェースを介して、ログインし、旅程の出発地および目的地を指定し得る。ローカライゼーションモジュール３０１は、旅程関連データを取得するために、マップおよびルート情報３１１など、自律車両３００の他の構成要素と通信する。例えば、ローカライゼーションモジュール３０１は、ロケーションサーバならびにマップおよびＰＯＩ（ＭＰＯＩ）サーバから、ＨＤマップ上の計画されたルートに関するロケーション、ルート情報および既定の静止物体を取得し得る。ロケーションサーバはロケーションサービスを与え、ＭＰＯＩサーバは、マップおよびルート情報３１１の一部としてキャッシュされ得る、マップサービスおよびいくつかのロケーションのＰＯＩを提供する。自律車両３００がルートに沿って移動している間、ローカライゼーションモジュール３０１はまた、交通情報システムまたはサーバからリアルタイム交通情報を取得し得る。

センサシステム１１５によって提供されたセンサデータ、およびローカライゼーションモジュール３０１によって取得されたローカライゼーション情報に基づいて、周囲環境の知覚が知覚モジュール３０２によって決定される。知覚情報は、通常のドライバーが、運転している車両の周囲で知覚するであろうことを表し得る。知覚は、例えば、物体の形態として、車線構成（例えば、真っすぐな車線または曲がった車線）、信号機信号、他の車両の相対位置、歩行者、建築物、横断歩道または他の交通関係標識（例えば、停止標識、前方優先道路標識）などを含むことができる。車線構成は、例えば、車線の形状（例えば、直線または湾曲）、車線の幅、道路にいくつの車線があるか、一方向車線か両方向車線か、合流車線か分割車線か、出車車線など、車線または複数の車線を記述する情報を含む。知覚情報は、ＨＤマップからダウンロードされた静止物体に対応する静止物体をグラウンドトゥルースポイントとして含み得る。

知覚モジュール３０２は、自律車両の環境における物体および／または特徴を識別するために１または複数のカメラによって取得された画像を処理し、分析するためのコンピュータ視覚システムまたはコンピュータ視覚システムの機能を含み得る。物体は、交通信号、車道境界、他の車両、歩行者、グラウンドトゥルースポイントおよび／または障害物などを含むことができる。コンピュータ視覚システムは、物体認識アルゴリズム、ビデオ追跡および他のコンピュータ視覚技法を使用し得る。いくつかの実施形態では、コンピュータ視覚システムは、環境をマッピングすること、物体を追跡すること、物体の速度を推定することなどが可能である。知覚モジュール３０２はまた、レーダーおよび／またはＬＩＤＡＲなど、他のセンサによって提供された他のセンサデータに基づいて物体を検出することができる。

物体の各々について、予測モジュール３０３は、物体がそのような状況下でどのような挙動をするかを予測する。予測は、マップ／ルート情報３１１および交通ルール３１２のセットに鑑みて、その時点における運転環境を知覚する知覚データに基づいて実行される。例えば、物体が反対方向にある車両であり、現在の運転環境が交差点を含む場合、予測モジュール３０３は、車両が直進しそうなのか、または曲がりそうなのかを予測する。知覚データが、交差点に信号機がないことを示す場合、予測モジュール３０３は、車両が交差点に入る前に完全に停止しなければならないかもしれないことを予測し得る。知覚データが、車両が現在左折専用車線または右折専用車線にあることを示す場合、予測モジュール３０３は、それぞれ、車両が左折するまたは右折する可能性がより高いことを予測し得る。

各々の物体について、決定モジュール３０４は、どのように物体を処理するかに関する決定を行う。例えば、特定の物体（例えば、交差するルートにある別の車両）ならびに物体を記述するその物体のメタデータ（例えば、速度、方向、転向角）について、決定モジュール３０４は、どのように物体に遭遇するか（例えば、追い越し、道を譲る、停止、通過）を決定する。決定モジュール３０４は、永続性ストレージデバイス３５２中に記憶され得る交通ルールまたは運転ルール３１２など、ルールのセットに従ってそのような決定を行い得る。

知覚された物体の各々についての決定に基づいて、プランニングモジュール３０５は、自律車両のための経路またはルートならびに運転パラメータ（例えば、距離、速度、および／または転向角）を計画する。すなわち、所与の物体について、決定モジュール３０４は物体にどのように対処するかを決定し、一方、プランニングモジュール３０５はその対処をどのように行うかを決定する。例えば、所与の物体について、決定モジュール３０４は、物体を通過することを決定し得、一方、プランニングモジュール３０５は、物体の左側を通るのか、または右側を通るのかを決定し得る。車両３００が次の移動サイクル（例えば、次のルート／経路セグメント）中にどのように移動するかを記述する情報を含む、プランニングおよび制御データがプランニングモジュール３０５によって生成される。例えば、プランニングおよび制御データは、時速３０マイル（ｍｐｈ）の速度で１０メートル移動し、次いで、２５ｍｐｈの速度で右側車線に変更するように車両３００に命令し得る。

プランニングおよび制御データに基づいて、制御モジュール３０６は、プランニングおよび制御データによって定義されたルートまたは経路に従って、車両制御システム１１１に適切なコマンドまたは信号を送ることによって、自律車両を制御し、運転する。プランニングおよび制御データは、経路またはルートに沿って異なる時点における適切な車両設定または運転パラメータ（例えば、スロットル、制動、およびターニングコマンド）を使用してルートまたは経路の第１のポイントから第２のポイントまで車両を運転するために十分な情報を含む。

一実施形態では、プランニング段階は、例えば、１００ミリ秒（ｍｓ）の時間間隔ごとなど、コマンドサイクルとも呼ばれるいくつかのプランニングサイクル中に実行される。プランニングサイクルまたはコマンドサイクルの各々について、１または複数の制御コマンドがプランニングおよび制御データに基づいて発行される。すなわち、１００ｍｓごとに、プランニングモジュール３０５は、例えば、ターゲット位置およびＡＤＶがターゲット位置に到達するために必要とされる時間を含む、次のルートセグメントまたは経路セグメントを計画する。あるいは、プランニングモジュール３０５は、特定の速度、方向および／または操舵角などをさらに指定し得る。一実施形態では、プランニングモジュール３０５は、５秒など、次の事前決定された時間期間のためにルートセグメントまたは経路セグメントを計画する。各プランニングサイクルについて、プランニングモジュール３０５は、前のサイクル中に計画されたターゲット位置に基づいて現在のサイクル（例えば、次の５秒）のためのターゲット位置を計画する。制御モジュール３０６は、次いで、現在のサイクルのプランニングおよび制御データに基づいて１または複数の制御コマンド（例えば、スロットル、ブレーキ、ステアリング制御コマンド）を生成する。

なお、決定モジュール３０４およびプランニングモジュール３０５は一体型モジュールとして一体化されてもよい。決定モジュール３０４／プランニングモジュール３０５は、自律車両のための運転経路を決定するためのナビゲーションシステムまたはナビゲーションシステムの機能を含んでいてもよい。例えば、ナビゲーションシステムは、概して、最終目的地に至る車道ベースの経路に沿って自律車両を進めながら、知覚された障害物を実質的に回避する経路に沿って自律車両の動きに影響を及ぼすために、一連の速度および方向進路を決定し得る。目的地は、ユーザインターフェースシステム１１３を介してユーザ入力に従って設定され得る。ナビゲーションシステムは、自律車両が動作中である間、運転経路を動的に更新し得る。ナビゲーションシステムは、自律車両のための運転経路を決定するように、ＧＰＳシステムからのデータおよび１または複数のマップを組み込むことができる。

決定モジュール３０４／計画モジュール３０５は、自律車両の環境における可能性のある障害物を、識別し、評価し、かつ回避するための、そうでなければ交渉するための、衝突回避システムまたは衝突回避システムの機能性をさらに備え得る。例えば、衝突回避システムは、制御システム１１１の１または複数のサブシステムを、進路から外れる操縦、進路変更操縦、制動操縦などを引き受けるように動作させることによって、自律車両のナビゲーションの変更を達成してもよい。衝突回避システムは、周囲の交通パターン、道路条件などに基づいて、実現可能な障害物回避の操縦を自動的に決定してもよい。衝突回避システムは、自律車両が進路から逸れて進入しようとしている隣接した領域において、車両、工事防護壁などが他のセンサシステムによって検出されたときには、進路から逸れる操縦に取りかからないように構成され得る。衝突回避システムは、有効でしかも自律車両の乗員の安全性を最大化する操縦を自動的に選択してもよい。衝突回避システムは、自律車両の客室の加速度が最小限になると予測される回避操縦を選択し得る。

ルーティングモジュール３０７は、出発地点から目的地点までの１または複数のルートまたは経路を提供するように構成される。例えば、ユーザから受信された出発地から目的地までの所与の旅程について、ルーティングモジュール３０７は、ルートおよびマップ情報３１１を取得し、目的地に到達するための出発地からの全ての可能なルートまたは経路を決定する。ルーティングモジュール３０７は、ルーティングモジュール３０７が決定した、目的地に到達するための出発地からのルートの各々について、地形図の形態の基準線を生成し得る。基準線とは、他の車両、障害物または交通条件など、他からの干渉がない理想的なルートまたは経路をいう。すなわち、道路上に他の車両、歩行者または障害物がない場合、ＡＤＶは基準線に正確にまたは厳密に従うべきである。地形図は、次いで、決定モジュール３０４および／またはプランニングモジュール３０５に与えられる。決定モジュール３０４および／またはプランニングモジュール３０５は、ローカライゼーションモジュール３０１からの交通条件、知覚モジュール３０２によって知覚された運転環境、および予測モジュール３０３によって予測された交通条件など、他のモジュールによって提供された他のデータに鑑みて、最適なルートのうちの１つを選択し、変更するために、すべての可能なルートを検査する。ＡＤＶを制御するための実際の経路またはルートは、その時点における特定の運転環境に依存してルーティングモジュール３０７によって提供された基準線に近くなり得るか、またはその基準線とは異なり得る。

一実施形態では、セキュリティモジュール３０８は、セキュリティルールのセット３１３に基づいてスプーフ攻撃を検出するように構成される。セキュリティモジュール３０８は知覚モジュール３０２の一部として実装されてよく、または知覚モジュール３０２もしくは他のモジュールと通信してもよい。セキュリティモジュール３０８は、ルートに沿ったマップ上の動的に更新される静止物体と、自律車両の内部の搭乗者またはサービスプロバイダからの確認とを一緒に検査することにより、自律車両の目的地変更または異常なルート変更アクティビティにおけるサイバー攻撃を検出する。セキュリティモジュール３０８は、スプーフィングされたセンサ／アルゴリズムが自律車両の連続動作または故障動作において使用されるのを防止するために、ＨＤマップのグラウンドトゥルースとともに複数のセンサ確認を使用することにより、自律車両のセンサシステムにおけるスプーフィングを検出する。

なお、上記で図示し、説明したような構成要素のいくつかのまたは全ては、ソフトウェア、ハードウェアまたはこれらの組合せにおいて実装されてもよい。例えば、そのような構成要素は、永続性ストレージデバイス中にインストールされ、記憶されるソフトウェアとして実装されてもよく、そのソフトウェアは、本出願全体にわたって説明されるプロセスまたは動作を実行するためのプロセッサ（図示せず）によってメモリにロードされ、実行されてもよい。あるいは、そのような構成要素は、アプリケーションから、対応するドライバおよび／またはオペレーティングシステムを介してアクセスされ得る集積回路（例えば、特定用途向けＩＣまたはＡＳＩＣ）、デジタル信号プロセッサ（ＤＳＰ）またはフィールドプログラマブルゲートアレイ（ＦＰＧＡ）など、専用のハードウェアにプログラムされるか、または埋め込まれる実行可能コードとして実装されてもよい。さらに、そのような構成要素は、１または複数の特定の命令を介してソフトウェア構成要素によってアクセス可能な命令セットの一部としてプロセッサまたはプロセッサコア中の特定のハードウェア論理として実装されてもよい。

図４は、一実施形態に係る自律運転のためのシステムアーキテクチャを示すブロック図である。システムアーキテクチャ４００は、図３Ａおよび図３Ｂで示されたような自律運転システムのシステムアーキテクチャを表し得る。図４を参照して、システムアーキテクチャ４００は、これに限定されないが、アプリケーションレイヤ４０１、プランニングおよび制御（ＰＮＣ）レイヤ４０２、知覚レイヤ４０３、ドライバレイヤ４０４、ファームウェアレイヤ４０５、およびハードウェアレイヤ４０６を備えている。アプリケーションレイヤ４０１は、例えばユーザインターフェースシステム１１３に関連した機能性など、自律運転車両のユーザまたは搭乗者と相互作用するユーザインターフェースまたは構成アプリケーションを備え得る。ＰＮＣレイヤ４０２は、少なくともプランニングモジュール３０５および制御モジュール３０６の機能性を含み得る。知覚レイヤ４０３は、少なくとも知覚モジュール３０２の機能性を含み得る。一実施形態では、予測モジュール３０３および／または決定モジュール３０４の機能性を含んでいる追加のレイヤが存在する。あるいは、そのような機能性はＰＮＣレイヤ４０２および／または知覚レイヤ４０３に含まれ得る。

システムアーキテクチャ４００は、ドライバレイヤ４０４、ファームウェアレイヤ４０５、およびハードウェアレイヤ４０６をさらに備える。ファームウェアレイヤ４０５は、少なくとも、フィールドプログラマブルゲートアレイ（ＦＰＧＡ）の形態で実装され得るセンサシステム１１５の機能性を表し得る。ハードウェアレイヤ４０６は、制御システム１１１など自律運転車両のハードウェアを表し得る。レイヤ４０１～４０３は、デバイスドライバレイヤ４０４を通じてファームウェアレイヤ４０５およびハードウェアレイヤ４０６と通信することができる。一実施形態では、知覚レイヤ４０３は、目的地を変更するかまたはルートを変更しようとする攻撃を検出するために、ＨＤマップからの既定の静止物体における処理変更を含み得る。知覚レイヤ４０３はまた、センサにおけるスプーフィング攻撃を複数のセンサによって検出するために、センサによってＨＤマップからの既定の静止物体の識別を評価することと、静止物体とＨＤマップからのものではない静止物体との識別をクロスチェックすることとを含み得る。

図５は、一実施形態に係るＡＤＶの行程のルートまたは目的地を変更しようとする攻撃を検出するために、マップ上の既定の静止物体をグラウンドトゥルースとして使用するための技術を示す図である。ＡＤＶは現在の位置５０１にあり、現在のルート５０５に沿って現在の目的地５０３の方へ移動している。ＡＤＶの知覚プランニングシステム１１０は、ルートプランニング中に、現在のルート５０５に沿ったグラウンドトゥルースポイントとして、ＨＤマップから、既定の静止物体５１１、５１３および５１５（例えば道路標識、マイル数標識など）をダウンロードしてもよい。静止物体５１１、５１３および５１５は、物体および物体のロケーションについての情報を含み得る。知覚プランニングシステム１１０は、同システムのリアルタイムセンサカバレッジを決定するために、ＡＤＶが物体のロケーションに近づくとき、センサシステム１１５によって取り込んだ情報を基に、静止物体５１１、５１３、および５１５を検出して識別し得る。

知覚プランニングシステム１１０は、移動時間を短縮するために、交通条件、事故、道路閉鎖、および他のリアルタイム状況を基に、現在のルート５０５をルート変更してもよい。他の状況では、サービスプロバイダまたは搭乗者は、現在のルート５０５を変更してよく、中間の停車ポイントを追加してよく、または現在の目的地５０３を変更してもよい。知覚プランニングシステム１１０のリアルタイムルート変更機能を利用するサイバー攻撃の場合には、攻撃が、サービスプロバイダまたは搭乗者に知られることなく現在のルート５０５または現在の目的地５０３を変更する可能性がある。例えば、サイバー攻撃は、現在の目的地５０３を同一に保ったまま現在のルート５０５をルート変更５０７に変更してよく、または、現在のルート５０５を、変更された目的地５０９として示された別の目的地へ移動する新規のルート５０８に変更してもよい。現在のルートが変更されたとき、知覚プランニングシステム１１０はＨＤマップから静止物体を更新し得る。例えば、ルート変更５０７のために、更新される静止物体５１７、５１９、５２１がダウンロードされ得る。新規のルート５０８のために、更新される静止物体５２３および５２５がダウンロードされ得る。知覚プランニングシステム１１０は、サイバー攻撃による異常なルート変更または疑わしい目的地変更を検出するために、静止物体の更新に関する情報を解析してもよい。

一実施形態では、知覚プランニングシステム１１０は、ルート変更５０７へのルート変更を指示する静止物体５１７、５１９、および５２１がダウンロードされたことを検出し得る。一実施形態では、知覚プランニングシステム１１０は、ルート変更５０７に関連した静止物体５１７の検出および識別によってルート変更が生じたことを確認するのを待ってもよい。一実施形態では、知覚プランニングシステム１００は、現在のルート５０５に関連した静止物体５１１が識別され得ないと判定するまで、ルート変更が生じたことを検出しない可能性がある。ルート変更５０７が検出されるかまたは確認されると、知覚プランニングシステム１１０は、交通条件、現在の目的地５０３までの計画されたルートが変更された頻度、ルート変更５０７の距離、ルート変更５０７と現在のルート５０５間のルート距離の差、交通条件に基づいて予期されるルート変更５０７の移動時間、ルート変更５０７と現在のルート５０５間の予期される移動時間の差などを解析して、ルート変更５０７が異常であるかどうかを判定し得る。例えば、ルート変更５０７が、現在のルート５０５に沿った交通条件であったとしても距離および移動時間が大幅に増加する場合、知覚プランニングシステム１００は、ルート変更５０７が異常であるとのフラグを立ててもよい。知覚プランニングシステム１００は、サービスプロバイダまたは（ＡＤＶ内に１人でもいれば）搭乗者に、異常なルート変更を報告してもよい。搭乗者は、最も近い安全な場所に停止するかまたは現在のルート５０５に戻るようにＡＤＶに要求することによって、旅程から外れることが可能になり得る。

一実施形態では、知覚プランニングシステム１１０は、ダウンロードされた静止物体５２３および５２５が辿る新規のルート５０８を解析することにより、新規のルート５０８が変更された目的地５０９へ行くと判定し得る。一実施形態では、知覚プランニングシステム１１０は、新規のルート５０８に関連した静止物体５２３を検出して識別するか、または現在のルート５０５に関連した静止物体５１１が識別され得ないと判定することにより、新規のルート５０８が確認されるのを待ってもよい。目的地が変更され、ＡＤＶ内に搭乗者がいる場合、この方法は、目的地変更が搭乗者によって開始されたという搭乗者からの追認を要求してもよい。搭乗者は、目的地変更を追認しない場合には、最も近い安全な場所に停止するかまたは現在のルート５０５に戻るようにＡＤＶに要求することによって、旅程から外れることが可能になり得る。車両内に搭乗者がいない場合には、知覚プランニングシステム１１０は、疑わしい目的地変更をサービスプロバイダに報告してもよい。

知覚プランニングシステム１１０は、１または複数のセンサに対するスプーフィング攻撃があるかどうかを判定するために、センサシステム１１５のセンサの、静止物体を正確に識別する能力が正常に機能しなくなっているかどうかさらに評価してもよい。例えば、知覚プランニングシステム１１０は、カメラ２１１、レーダーユニット２１４およびＬＩＤＡＲユニット２１５が静止物体５１１を検出して識別することができるかどうか評価してもよい。センサのうちの１つが静止物体５１１を検出することまたは識別することができず、他のセンサができる場合には、知覚プランニングシステム１１０は、正常に機能していないセンサを知覚のための使用から一時的に除外してもよい。一実施形態では、知覚プランニングシステム１１０は、障害が障害物などの環境要因によるものではないことを確認するために、正常に機能していないセンサが静止物体５１３など追加の静止物体を検出して識別することができないかどうか評価してもよい。

一実施形態では、知覚プランニングシステム１１０は、センサカバレッジエリアの範囲内の、ＨＤマップによって定義されていない動的物体（例えば車両、歩行者）または静止物体を、センサが検出して識別することができるかどうか評価してもよい。知覚プランニングシステム１１０は、１つのセンサの障害が環境要因ではなくスプーフィング攻撃によるものであるという強い確信を得るために、センサによって識別された物体間のクロスチェックを実行することによってセンサの多様性を利用し得る。例えば、センサシステム１１５の複数のカメラ２１１のうちの１つだけが、可視性が優れていても複数の動的物体および静止物体を識別することができない場合には、このカメラはスプーフィング攻撃によって正常に機能しなくなった可能性が高い。知覚プランニングシステム１１０は、知覚のために、正常に機能しなくなったセンサを除外することにより、使用されるセンサをリアルタイムで動的に調節してもよい。

図６は、一実施形態に係るＡＤＶを動作させるプロセスの一例を示す流れ図である。このプロセスを実行し得る処理ロジックは、ソフトウェア、ハードウェアまたはこれらの組合せを備え得る。図６を参照して、ブロック６５１において、処理ロジックは出発位置から目的地までの計画されたルートを決定し、これはＡＤＶの運転中に更新され得る。ブロック６５２において、処理ロジックは、マップから所定の静止物体のセットを取得する。ブロック６５３において、処理ロジックは、所定の静止物体に対する更新を検出する。ブロック６５４において、処理ロジックは、目的地までの計画されたルートのルート変更は異常である、または目的地に対する無許可の変更に由来する新規のルートがある、と判定する。ブロック６５５において、処理ロジックは、計画されたルートの異常なルート変更または新規のルートに、警報を生成するなどして応答する。

図７は、一実施形態に係るＡＤＶが、行程のルートまたは目的地を変更しようとするサイバー攻撃を検出して反対行動をとるためのグラウンドトゥルースポイントとして既定の静止物体を使用するための方法６００を示す流れ図である。方法６００を実行し得る処理ロジックは、ソフトウェア、ハードウェア、またはこれらの組合せを備え得る。例えば、方法６００は知覚プランニングシステム１１０によって実行されてもよい。

動作６０１において、この方法は、ＨＤマップによって与えられた情報およびリアルタイム交通情報に基づいて、出発地点から目的地点までのルートを計画する。ＡＤＶにおける搭乗者または搭乗者なしのＡＤＶを動作させる運送会社などのサービスプロバイダが、出発地点および目的地点を指定してもよい。

動作６０３において、この方法は、計画されたルートに沿った既定の静止物体を、グラウンドトゥルースポイントとして、ＨＤマップからロードして更新する。静止物体のセットは、車両センサシステムがリアルタイムセンサカバレッジを決定するために使用し得る、計画されたルートに沿った注目点（ＰＯＩ）または注目範囲（ＲＯＩ）ロケーションの一部でもよい。

動作６０５において、この方法は、静止物体のセットに対して何らかの更新があったかどうかを判定するために静止物体検査を実行する。搭乗者またはサービスプロバイダによって認証されて、目的地が変更されるとき、またはサイバー攻撃によって、計画されたルートもしくは目的地が変更されるとき、静止物体は、交通条件の変化によるルート変更中に動的に更新されてもよい。

この方法は、動作６０７において、静止物体のセットが更新されていると判定した場合には、動作６０９において、計画されたルートに沿った移動が完了しているかどうかを判定する。計画されたルートに沿った行程が完了していなければ、この方法は、動作６０１に戻って、計画されたルートに対する何らかの更新を行い、動作６０３においてあらゆる静止物体を更新し、動作６０５において静止物体検査を実行する。計画されたルートに沿った行程が完了していれば、この方法は終結する。

動作６１１において、静止物体が更新されている場合には、この方法は、静止物体が目的地の変更またはルート変更によって更新されたのかどうかを判定する。この方法は、変更された静止物体が辿るルートを解析することにより、目的地が変更されたと判定し得る。目的地が変更されていなければ、この方法は、同一の目的地までの計画されたルートが変更されていると判定し得る。一実施形態では、この方法は、新規のルートに関連した新規の静止物体がセンサシステムによって識別されるまで待つことにより、または前のルートに関連した前の静止物体が識別されないことを検証して、ルート変更を確認してもよい。

ルート変更によって静止物体が更新されていれば、この方法は、動作６１３において、ルート変更が異常かどうかを判定するためにルート変更およびルート変更を取り巻く情報を解析する。例えば、この方法は、ルート変更が異常かどうかを判定するために、交通条件、目的地までの計画されたルートが変更された頻度、ルート変更の距離、以前に計画されたルートの距離とルート変更後の距離との差、ルート変更において予期される移動時間、以前に計画されたルートとルート変更との予期される移動時間の差などを解析してもよい。一実施形態では、この方法は、ルート変更が異常であると推論するために、学習された経験に基づく機械学習を使用してもよい。

この方法は、動作６１５においてルート変更が異常であると判定した場合には、動作６１７において、サービスプロバイダまたは（ＡＤＶの中にいれば）搭乗者に、異常なルート変更を報告する。サービスプロバイダがＡＤＶから直接報告を受信することがなければ、搭乗者が、追加の安全対策としてサービスプロバイダと連絡を取るように求められてもよい。

この方法は、ルート変更が正常であると判定すると、動作６１９においてルート変更の情報を記録する。目的地までの計画されたルートがルート変更された頻度などの記録された情報は、将来のルート変更が異常であるかどうかを判定するために動作６１３によって解析されてもよい。この方法は、動作６０１に戻って、計画されたルートに対する何らかの更新を行い、動作６０３においてあらゆる静止物体を更新し、動作６０５において静止物体検査を実行する。

この方法は、動作６１１において、目的地の変更のために静止物体が更新されたと判定した場合には、動作６２１において、ＡＤＶ内に搭乗者がいれば、搭乗者に対して目的地変更を確認する。

動作６２３において、目的地変更が搭乗者による要求であることを搭乗者が追認しない場合、またはＡＤＶの中に搭乗者がいない場合には、この方法は、動作６１７において、疑わしい目的地変更をサービスプロバイダに報告する。搭乗者がいる場合には、サービスプロバイダがＡＤＶから直接報告を受信することがなければ、搭乗者が、追加の安全対策としてサービスプロバイダと連絡を取るように求められてもよい。

目的地変更が搭乗者による要求であることを搭乗者が追認すれば、この方法は、動作６１９において目的地変更の情報を記録する。この方法は、動作６０１に戻って、計画されたルートに対する何らかの更新を行い、動作６０３にてあらゆる静止物体を更新し、動作６０５において静止物体検査を実行する。

疑わしい目的地変更または異常なルート変更がある場合、この方法は、動作６２５において、旅程を継続するべきかどうかについての命令を搭乗者に促す。搭乗者が旅程を終結することを選ぶと、この方法は、動作６２７において、最も近い安全な場所に停止することをＡＤＶに要求し、サービスプロバイダに対して旅程の終了を報告する。搭乗者が旅程の継続を望む場合には、この方法は、動作６１９において、疑わしい目的地変更または異常なルート変更の情報を記録し、旅程を継続する。

図８は、一実施形態に係るＡＤＶを動作させるプロセスの一例を示す流れ図である。処理７５０を遂行し得る処理ロジックは、ソフトウェア、ハードウェアまたはこれらの組合せを備え得る。図８を参照して、処理ロジックは、ブロック７５１において、計画されたルートに沿った既定の静止物体のセットをマップから取得する。ブロック７５２において、処理ロジックは、ＡＤＶのセンサの各々が既定の静止物体を識別することができるかどうか評価する。ブロック７５３において、処理ロジックは、センサの各々が、計画されたルートに沿った動的物体を識別することができるかどうか評価する。ブロック７５４において、処理ロジックは、正常に機能していないセンサが静的物体や動的物体を識別することができないという評価に基づいて、１または複数の正常に機能していないセンサを識別する。ブロック７５５において、正常に機能していないセンサは、ＡＤＶの知覚機能による使用から除外される。

図９は、一実施形態に係る、ＡＤＶが、センサシステムに対するスプーフィング攻撃を検出して反対行動をとるために、既定の静止物体、動的物体および様々なセンサを使用するための方法７００を示す流れ図である。方法７００を実行し得る処理ロジックは、ソフトウェア、ハードウェアまたはこれらの組合せを備え得る。例えば、方法７００は知覚プランニングシステム１１０によって実施されてもよい。

動作７０１および７０３は、図７の動作６０１および６０３と同様である。簡単のため、動作７０１および７０３の説明は繰り返さない。動作７０５において、この方法は、センサシステムカバレッジ検査を実行するために、ＡＤＶのロケーションが、ＨＤマップからの静止物体がある計画されたルートに沿ったものであるかどうかを判定する。センサシステムカバレッジ検査は、知覚機能用に使用されるセンサシステムのセンサを識別し得る。

動作７０７において、この方法は、ＨＤマップからの少なくとも１つの静止物体が現在のロケーションにある場合には、この静止物体を使用してセンサシステムカバレッジ検査を実行する。この方法は、センサシステムのセンサが静止物体を検出して識別することができるかどうかを判定し得る。

この方法は、動作７０９において、センサシステムのセンサは現在のロケーションにおいてＨＤマップからの静止物体を検出して識別することができないと判定した場合には、動作７１１においてセンサシステムカバレッジを一時的に更新して、正常に機能していないセンサを知覚機能から除外する。この方法は、センサの障害が障害物などの環境要因によるものではないことを確認するために、正常に機能していないセンサが、ＨＤマップからの追加の静止物体、動的物体またはＨＤマップ以外から導出された静止物体も検出して識別することができないかどうかを評価してもよい。

現在のロケーションにおいて利用可能なＨＤマップからの静止物体がない場合、センサシステムの全てのセンサが現在のロケーションにおいてＨＤマップからの静止物体を検出することができる場合、または、センサシステムカバレッジが、正常に機能していないセンサを除外するように更新されている場合、この方法は、動作７１３で、現在のロケーションにおいて、センサカバレッジエリアの範囲内にＨＤマップによってあらかじめ定義されていない何らかの動的物体（例えば車両、歩行者）または静止物体があるかどうかを判定する。

この方法は、現在のロケーションにおいて、センサシステムカバレッジ検査に利用可能な、少なくとも１つの動的物体またはＨＤマップから導出されたものではない静止物体があると判定した場合には、動作７１５において、センサシステムカバレッジにおける全てのセンサが、動的物体またはＨＤマップから導出されたものではない静止物体を検出して識別することができるかどうかを判定する。この方法は、センサが環境要因またはスプーフィング攻撃によって正常に機能しなくなっているかどうかを確認するために、複数のセンサによって識別された動的物体またはＨＤマップから導出されたものではない静止物体に対するクロスチェックを実行してもよい。例えば、複数のセンサが、動的物体またはＨＤマップから導出されたものではない静止物体をわずかな時間で同時に識別することができない場合には、複数のセンサによる一時的障害が環境要因によるものである可能性が高い。他方では、センサシステムの中の１つのセンサだけが物体を識別することができず、この１つのセンサの障害が長時間にわたるか、または多くの物体に対して生じる場合には、この障害はスプーフィング攻撃によるものである可能性が高い。一実施形態では、この方法は、ＨＤマップからの静止物体を検出することができずにセンサシステムカバレッジから除外された、いずれかの正常に機能していないセンサが、動的物体またはＨＤマップから導出されたものではない静止物体を検出して識別することが依然としてできないかどうかを確認してもよい。

センサのうちのいずれか１つが、動的物体またはＨＤマップから導出されたものではない静止物体を検出して識別することができなければ、この方法は、動作７１７において、正常に機能していないセンサを知覚機能から除外するためにセンサシステムカバレッジを更新してもよい。全てのセンサが、動的物体またはＨＤマップから導出されたものではない静止物体を検出して識別することができる場合には、この方法は、全てのセンサを、知覚機能に対してセンサ入力を供給することができるものとして含めるように、センサシステムカバレッジを更新してもよい。

動作７１９において、この方法は、センサシステムカバレッジが知覚機能の連続動作を許容するかどうかを判定する。一実施形態では、この方法は、センサシステムカバレッジ内に最小数のセンサがあるかどうかを判定してもよい。

センサシステムカバレッジが知覚機能の連続動作を許容しない場合には、この方法は、動作７２１において、車両の速度を落とすため、または（いる場合には）ドライバーが車両の運転を引き継ぐことを可能にするために、劣化した動作を活性化する。一実施形態では、この方法は、車両を最も近い安全な場所に停止させるための故障動作を活性化し得、搭乗者またはサービスプロバイダに故障動作を通知してもよい。

センサシステムカバレッジが知覚機能の連続動作を許容する場合には、この方法は、動作７２３において、旅程が完了しているかどうかを判定する。旅程が計画されたルートに沿って完了していなければ、この方法は、動作７０１に戻って、ＨＤマップからの追加の静止物体、動的物体またはＨＤマップから導出されたものではない静止物体を使用して、センサの多様性に基づき、センサシステムカバレッジ検査を実行する。旅程が完了していれば、この方法は終結する。

データ処理システムは、例えばサイバー攻撃またはスプーフィングを検出する方法など、上記で説明されたプロセスまたは方法のうちの任意のものを実行し得る。データ処理システムは多くの異なる構成要素を備えることができる。これらの構成要素は、集積回路（ＩＣ）、集積回路（ＩＣ）の部分、個別電子デバイスまたはコンピュータシステムのマザーボードもしくはアドインカードなど、回路板に適応される他のモジュールとして、またはコンピュータシステムのシャーシ内に別段に組み込まれる構成要素として実装されてもよい。

データ処理システムは、１または複数のプロセッサと、１または複数の記憶装置と、バスを介して接続されたデバイスとを備え得る。プロセッサは、マイクロプロセッサ、中央処理ユニット（ＣＰＵ）など、１または複数の汎用プロセッサを表し得る。より詳細には、プロセッサは、複合命令セットコンピューティング（ＣＩＳＣ）マイクロプロセッサ、縮小命令セットコンピューティング（ＲＩＳＣ）マイクロプロセッサ、超長命令語（ＶＬＩＷ）マイクロプロセッサ、または他の命令セットを実装するプロセッサ、または命令セットの組合せを実装するプロセッサであり得る。プロセッサはまた、特定用途向け集積回路（ＡＳＩＣ）、セルラーまたはベースバンドプロセッサ、フィールドプログラマブルゲートアレイ（ＦＰＧＡ）、デジタル信号プロセッサ（ＤＳＰ）、ネットワークプロセッサ、グラフィックスプロセッサ、通信プロセッサ、暗号プロセッサ、コプロセッサ、埋込みプロセッサまたは命令を処理することが可能な任意の他のタイプの論理など、１または複数の専用プロセッサであってもよい。プロセッサは、本明細書で論じられた動作およびステップを実行するために、記憶装置に記憶された命令を実行するように構成され得る。

本明細書で説明する処理モジュール／ユニット／論理、構成要素および他の特徴は、個別ハードウェア構成要素として実装されるか、またはＡＳＩＣ、ＦＰＧＡ、ＤＳＰまたは同様のデバイスなど、ハードウェア構成要素の機能に一体化されてもよい。加えて、処理モジュール／ユニット／論理は、ハードウェアデバイス内でファームウェアまたは機能回路として実装されてもよい。さらに、処理モジュール／ユニット／論理は、任意の組合せハードウェアデバイスおよびソフトウェア構成要素中に実装されてもよい。

コンピュータメモリ内のデータビットに対する動作のアルゴリズムおよび記号表現に関して、上記の詳細な説明のいくつかの部分を提示した。これらのアルゴリズムの説明および表現は、データ処理分野における当業者によって、それらの当業者の作業の要旨を最も効果的に他の当業者に伝達するために使用される方法である。ここで使用されるアルゴリズムは、一般に、所望の結果につながる動作の自己矛盾のないシーケンスとして想到される。動作は、物理量の物理的操作を必要とする動作である。

しかしながら、すべてのこれらの用語および同様の用語は適切な物理量に関連するものであり、これらの量に付される便宜上のラベルに過ぎないことに留意されたい。上記の説明から明らかなように、別段に明記されていない限り、説明全体にわたって、以下の特許請求の範囲に記載された用語などの用語を利用する議論は、コンピュータシステムのレジスタおよびメモリ内で物理（電子）量として表されるデータを操作し、コンピュータシステムメモリまたはレジスタまたは他のそのような情報ストレージ、送信またはディスプレイデバイス内で物理量として同様に表される他のデータに変換する、コンピュータシステムまたは同様の電子計算デバイスのアクションおよびプロセスを指すことを諒解されたい。

本開示の実施形態は、本明細書における動作を実行するための装置にも関する。そのようなコンピュータプログラムは非一時的コンピュータ可読媒体に記憶されている。マシン可読媒体は、マシン（例えばコンピュータ）に可読の形態で情報を記憶するための任意の機構を含む。例えば、マシン可読（例えばコンピュータ可読）媒体は、マシン（例えばコンピュータ）可読記憶媒体（例えば読み取り専用メモリ（「ＲＯＭ」）、ランダムアクセスメモリ（「ＲＡＭ」）、磁気ディスク記憶媒体、光記憶媒体、フラッシュメモリ素子）を含む。

上記の図に示されたプロセスまたは方法は、ハードウェア（例えば回路、専用論理など）、（例えば、非一時的コンピュータ可読媒体上で具現化される）ソフトウェアまたは両方の組合せを備える処理ロジックによって実行され得る。プロセスまたは方法について、いくつかの逐次動作に関して上記で説明したが、説明した動作のうちのいくつかは異なる順序で実行され得ることを諒解されたい。その上、いくつかの動作は連続的にではなく並行して実行され得る。

本開示の実施形態は、何らかの特定のプログラム言語を基準として説明されているわけではない。本明細書で説明されたような本開示の実施形態の教示を実装するために、種々のプログラム言語が使用され得ることが理解されよう。

上記の明細書では、本開示の実施形態について、本発明の特定の例示的な実施形態を参照しながら説明した。以下の特許請求の範囲に記載されているように、本開示のより広い趣旨および範囲から逸脱することなく本発明の実施形態に様々な変更が行われ得ることが明らかになろう。明細書および図面は、したがって、限定的な意味ではなく、例示的な意味であると見なされるべきである。

Claims (18)

1. 自律運転車両（ＡＤＶ）に対するスプーフィング攻撃を検出するためのコンピュータ実装方法であって、
   出発位置から目的地までの計画されたルートを決定するステップであって、前記ＡＤＶが前記計画されたルートを移動するとき前記目的地までの前記計画されたルートが更新可能であるステップと、
   前記計画されたルートに沿った複数の既定の静止物体をマップデータベースから取得するステップであって、前記複数の既定の静止物体が、前記計画されたルートが更新されるとき更新可能であるステップと、
   前記複数の既定の静止物体に対する更新を検出するステップと、
   前記複数の既定の静止物体に対する更新を検出するステップに応答して、前記目的地までの前記計画されたルートのルート変更は異常である、または前記目的地に対する無許可の変更に由来する新規のルートがある、と判定するステップと、
   前記計画されたルートのルート変更が異常であることまたは前記新規のルートに対して応答するステップと、
   を含み、
   前記目的地までの計画されたルートのルート変更は異常であると判定するステップが、
   交通条件、前記計画されたルートの過去のルート変更の頻度、前記計画されたルートの距離、前記異常なルート変更と前記計画されたルートの間の距離の差、前記計画されたルートの移動時間または前記異常なルート変更と前記計画されたルートの間の移動時間の差を含む１または複数の要因を解析するステップを含む方法。
2. 前記目的地までの前記計画されたルートのルート変更は異常である、または、前記目的地に対する無許可の変更に由来する新規のルートがある、と判定するステップが、
   前記計画されたルートがルート変更されたことまたは前記新規のルートを確認するために、更新された既定の静止物体が識別されることを検証するステップを含む請求項１に記載の方法。
3. 前記目的地に対する無許可の変更に由来する新規のルートがあると判定するステップが、
   前記目的地に対する変更を判定するために、複数の更新された既定の静止物体が辿る前記新規のルートを解析するステップと、
   前記ＡＤＶ内に搭乗者がいる場合には、該搭乗者が前記目的地に対する変更を要求していないことを確認するステップと、
   を含む請求項１に記載の方法。
4. 前記目的地に対する無許可の変更に由来する新規のルートがあると判定するステップが、
   前記目的地に対する変更を判定するために、複数の更新された既定の静止物体が辿る前記新規のルートを解析するステップと、
   前記ＡＤＶ内に搭乗者がいないことを確認するステップと、
   を含む請求項１に記載の方法。
5. 前記計画されたルートのルート変更が異常であることまたは前記新規のルートに対して応答するステップが、
   前記ＡＤＶ内の搭乗者またはサービスプロバイダに、前記目的地までの前記計画された経路の異常なルート変更または前記目的地に対する無許可の変更の警告を出すステップを含む請求項１に記載の方法。
6. 前記計画されたルートのルート変更が異常であることまたは前記新規のルートに対して応答するステップが、
   前記ＡＤＶ内の搭乗者が前記ＡＤＶの停止を要求することを許容するステップを含む、請求項１に記載の方法。
7. 命令を記憶した非一時的マシン可読媒体であって、前記命令がプロセッサによって実行されたとき、該プロセッサに、自律運転車両（ＡＤＶ）に対するスプーフィング攻撃を検出するための動作を実行させ、該動作が、
   出発位置から目的地までの計画されたルートを決定するステップであって、前記ＡＤＶが前記計画されたルートを移動するとき前記目的地までの前記計画されたルートが更新可能であるステップと、
   前記計画されたルートに沿った複数の既定の静止物体をマップデータベースから取得するステップであって、前記複数の既定の静止物体が、前記計画されたルートが更新されるとき更新可能であるステップと、
   前記複数の既定の静止物体に対する更新を検出するステップと、
   前記複数の既定の静止物体に対する更新を検出するステップに応答して、前記目的地までの前記計画されたルートのルート変更は異常である、または前記目的地に対する無許可の変更に由来する新規のルートがある、と判定するステップと、
   前記計画されたルートのルート変更が異常であることまたは前記新規のルートに対して応答するステップと、
   を含み、
   前記目的地までの計画されたルートのルート変更は異常であると判定するステップが、
   交通条件、前記計画されたルートの過去のルート変更の頻度、前記計画されたルートの距離、前記異常なルート変更と前記計画されたルートの間の距離の差、前記計画されたルートの移動時間または前記異常なルート変更と前記計画されたルートの間の移動時間の差を含む１または複数の要因を解析するステップを含む非一時的マシン可読媒体。
8. 前記目的地までの前記計画されたルートのルート変更は異常である、または前記目的地に対する無許可の変更に由来する新規のルートがある、と判定するステップが、
   前記計画されたルートがルート変更されたこと、または前記新規のルートを確認するために、更新された既定の静止物体が識別されることを検証するステップを含む、請求項７に記載の非一時的マシン可読媒体。
9. 前記目的地に対する無許可の変更に由来する新規のルートがあると判定するステップが、
   前記目的地に対する変更を判定するために、複数の更新された既定の静止物体が辿る前記新規のルートを解析するステップと、
   前記ＡＤＶ内に搭乗者がいる場合には、該搭乗者が前記目的地に対する変更を要求していないことを確認するステップと、
   を含む請求項７に記載の非一時的マシン可読媒体。
10. 前記目的地に対する無許可の変更に由来する新規のルートがあると判定するステップが、
    前記目的地に対する変更を判定するために、複数の更新された既定の静止物体が辿る前記新規のルートを解析するステップと、
    前記ＡＤＶ内に搭乗者がいないことを確認するステップと、
    を含む請求項７に記載の非一時的マシン可読媒体。
11. 前記計画されたルートのルート変更が異常であることまたは前記新規のルートに対して応答するステップが、
    前記ＡＤＶ内の搭乗者またはサービスプロバイダに、前記目的地までの前記計画された経路の異常なルート変更または前記目的地に対する無許可の変更の警告を出すステップを含む請求項７に記載の非一時的マシン可読媒体。
12. 前記計画されたルートのルート変更が異常であることまたは前記新規のルートに対して応答するステップが、
    前記ＡＤＶ内の搭乗者が前記ＡＤＶの停止を要求することを許容するステップを含む、請求項８に記載の非一時的マシン可読媒体。
13. 自律運転車両（ＡＤＶ）のセンサシステムに対するスプーフィング攻撃を検出するためのコンピュータ実装方法であって、
    出発位置から目的地までの計画されたルートを決定するステップと、
    該計画されたルートに沿った複数の既定の静止物体をマップデータベースから取得するステップと、
    前記ＡＤＶが前記複数の既定の静止物体のうちの１つに対応するロケーションにあるとき、前記ＡＤＶの複数のセンサの各々が前記マップデータベースからの前記複数の既定の静止物体のうちの一つを識別することができるかどうか評価するステップと、
    前記複数のセンサの各々が前記計画されたルートに沿った動的物体を識別することができるかどうか評価するステップと、
    前記１つの既定の静止物体または前記動的物体を識別することができない１または複数の正常に機能していないセンサの評価に基づいて、該１または複数の正常に機能していないセンサを識別するステップと、
    該１または複数の正常に機能していないセンサを前記ＡＤＶの知覚機能から除外するステップと、
    を含む方法。
14. 前記１つの既定の静止物体または前記動的物体を識別することができない１または複数の正常に機能していないセンサの評価に基づいて、前記１または複数の正常に機能していないセンサを識別するステップが、
    前記複数のセンサのうちの１つのセンサが前記１つの既定の静止物体を識別することができないと判定するステップと、
    前記１つのセンサが前記動的物体を識別することができないと確認するステップと、
    前記１つのセンサを前記正常に機能していないセンサのうちの１つであると識別するステップと、
    を含む請求項１３に記載の方法。
15. 前記１つの既定の静止物体または前記動的物体を識別することができない１または複数の正常に機能していないセンサの評価に基づいて、前記１または複数の正常に機能していないセンサを識別するステップが、
    前記複数のセンサのうちの１つのセンサのみが前記動的物体を識別することができないと判定するステップと、
    前記１つのセンサを、前記正常に機能していないセンサのうちの１つであると識別するステップと、
    を含む請求項１３に記載の方法。
16. 前記１つの既定の静止物体または前記動的物体を識別することができない１または複数の正常に機能していないセンサの評価に基づいて、前記１または複数の正常に機能していないセンサを識別するステップが、
    前記ＡＤＶが前記複数の既定の静止物体の追加された１つに対応するロケーションにあるときまたは前記１もしくは複数の正常に機能していないセンサが追加の動的物体を識別することができないとき、前記１または複数の正常に機能していないセンサが前記マップデータベースからの前記追加された既定の静止物体を識別することができないことを確認するステップを含む請求項１３に記載の方法。
17. 前記動的物体が、ＨＤマップから導出されたものではない静止物体を含む請求項１３に記載の方法。
18. 前記１または複数の正常に機能していないセンサ以外の前記複数のセンサが、前記ＡＤＶの前記知覚機能の連続動作を許容するかどうかを判定するステップと、
    前記１または複数の正常に機能していないセンサ以外の前記複数のセンサが前記知覚機能の連続動作を許容しないとの判定に応答して、前記ＡＤＶの劣化した動作を活性化するか、または前記ＡＤＶを停止するステップと、
    を含む請求項１３に記載の方法。

Images