JP7146082B2 - 自動運転システム - Google Patents

Description

本願は、自動運転システムに関するものである。

近年、自動運転の機能を備え、自動運転を実行する自動運転車両の実用化に向けた技術開発が進められている。

自動運転車両が実用化された際、自動運転車両が走行する道路は、自動運転車両と自動運転車両以外の車両である非自動運転車両との混在を避けることが望ましい。そのため、自動運転車両のみが走行する自動運転車両専用道路を設けて、自動運転を実行させる前に自動運転車両の自動運転の機能のオン（有効化）またはオフ（無効化）を運転者に選択させる運転モード遷移エリアを構築するインフラ整備が検討されている（例えば、特許文献１参照）。

特開２００２－１６３７５６号公報

上記特許文献１においては、自動運転車両と非自動運転車両との混在を避けることはできるが、自動運転車両専用道路に有料道路が含まれている場合、自動運転の実行中に有料道路の料金所で現金を支払うことは困難なため、ＥＴＣなどの自動料金収受が可能なルートを自動運転車両は走行する必要がある。しかしながら、運転モード遷移エリアは自動運転車両専用道路の進入ゲート手前の分岐箇所などに設置されるため、十分な区間を設けにくく、その短い区間で運転者に走行ルートとともに自動運転の利用可否を求めることは、運転者が自動運転の機能をオンにしたくとも運転モード遷移エリア内でオンにできない場合があるという課題があった。

また、自動運転車両が運転モード遷移エリアに進入した際に、自動運転車両専用道路を走行するために必要な車載設備が要件を満たしていない（例えばＥＴＣ車載器を搭載していない、またはＥＴＣ車載器に電源が入っていない、またはＥＴＣカードが未挿入、またはＥＴＣカードが有効期限切れ等で利用できないなど）場合があり、このような場合は、運転者の意図に関わらず自動運転の機能をオンにできない状況が生じるという課題があった。

本願は前記のような課題を解決するためになされたものであり、自動運転が可能な時に、確実に自動運転が実行される自動運転システムを得ることを目的とする。

本願に開示される自動運転システムは、自動運転の要否を選択する自動運転機能選択装置、自身の動作の状態を示した機器状態情報を出力する車載無線通信装置、運転時に用いる認証情報の利用可否情報を出力する認証情報入出力装置、前記車載無線通信装置と前記認証情報入出力装置の出力に基づいて、前記車載無線通信装置と前記認証情報入出力装置の利用可否状態情報を出力するとともに、前記車載無線通信装置と前記認証情報入出力装置の利用可否情報を出力する車載制御装置、前記利用可否状態情報に基づいて車内に物理的に利用可否の状態を通知する情報提供装置、前記利用可否情報と前記自動運転機能選択装置で選択された自動運転の要否の情報に基づいて、自動運転の実行の可否を判断する自動走行制御装置、および自動運転できる走行車線の位置と属性の情報を含む自動運転走行経路情報を前記車載制御装置に出力する自動運転経路情報出力装置を備え、前記車載制御装置は、入力された前記属性から前記車載無線通信装置と前記認証情報入出力装置の利用の有無を判断して、利用無であれば前記車載制御装置は前記車載無線通信装置と前記認証情報入出力装置からの出力が不要であることを前記自動走行制御装置に通知し、利用有であれば前記車載制御装置は前記車載無線通信装置と前記認証情報入出力装置の出力に基づいて、前記車載無線通信装置と前記認証情報入出力装置の利用可否状態情報を出力するとともに、前記車載無線通信装置と前記認証情報入出力装置の利用可否情報を出力するものである。

本願に開示される自動運転システムによれば、自動運転が可能な時に、確実に自動運転を実行することができる。

実施の形態１に係る自動運転システムの全体構成を示す図である。 実施の形態１に係る自動運転システムの起動時の処理を示すフローチャートである。 実施の形態１に係る自動運転システムの情報受信時の処理を示すフローチャートである。 車載制御装置のハードウエアの一例を示す構成図である。 実施の形態２に係る自動運転システムの全体構成を示す図である。 実施の形態２に係る自動運転システムの起動時の処理を示すフローチャートである。 実施の形態３に係る自動運転システムの全体構成を示す図である。 実施の形態３に係る自動運転システムが備えた監視シーケンス情報の構成の例を示す図である。 実施の形態３に係る自動運転システムが備えた車内通信ゲートウェイ装置の処理を示すフローチャートである。

以下、本願の実施の形態による自動運転システムを図に基づいて説明するが、各図において同一、または相当部材、部位については同一符号を付して説明する。

実施の形態１．
図１は実施の形態１に係る自動運転システム１の全体構成を示す図である。自動運転システム１は、自動運転を実行する自動運転車両（図示せず）が備えるシステムである。自動運転システム１は、車載制御装置１０、車載無線通信装置２０、認証情報入出力装置３０、時刻情報出力装置４０、情報提供装置７０、自動運転機能選択装置８０、および自動走行制御装置１００を備える。車載無線通信装置２０と認証情報入出力装置３０は、車外との通信で得た自動運転に必要な情報および／または自動運転車両の車内に物理的に通知される自動運転に必要な情報を提供する機器に含まれ、車載制御装置１０と接続されている。自動運転システム１は、車載制御装置１０が車載無線通信装置２０と認証情報入出力装置３０の出力に基づいて、車載無線通信装置２０と認証情報入出力装置３０の利用可否状態情報を出力するとともに、車載無線通信装置２０と認証情報入出力装置３０の利用可否情報を出力し、自動走行制御装置１００が自動運転の実行の可否を判断するものである。自動運転システム１が備える各装置の詳細について、以下説明する。

自動走行制御装置１００は、自動運転車両において自動運転の各機能（走行軌跡を作成し、作成した走行軌跡に沿ったモータ、エンジン、ステアリング、およびブレーキなどの制御）を実行する装置で、利用可否情報と自動運転機能選択装置８０で選択された自動運転の要否の情報に基づいて、自動運転の実行の可否を判断する。自動走行制御装置１００は、自動運転の実行に関して「有効モード」、「無効モード」、「緊急停止モード」の３つモードを有する。自動運転機能選択装置８０で選択された自動運転の要否の情報が要で、かつ車載制御装置１０から利用可否情報として「利用可」が自動走行制御装置１００に入力された場合のみ、自動走行制御装置１００において自動運転の実行が可と判断され、自動走行制御装置１００のモードが「有効モード」となり自動運転が実行される。また、自動運転システム１の起動直後は、自動走行制御装置１００のモードは「無効モード」である。自動運転システム１の設計上、異常シーケンスとみなされるタイミングで機器の利用可否情報が「利用不可」となった場合、自動走行制御装置１００は「緊急停止モード」になる。「緊急停止モード」となる条件は、例えば自動走行制御装置１００において、自動運転モードが「有効モード」かつ自動運転の実行時（自動走行制御装置１００の自動運転の機能がオン時）に、車載制御装置１０から自動走行制御装置１００に機器の利用可否情報として「利用不可」が通知された場合である。

車載無線通信装置２０は、無線を介して受信した受信情報および車載無線通信装置２０自身の動作の状態（正常または異常）を示した機器状態情報を車載制御装置１０に出力する。車載無線通信装置２０は、ＥＴＣ（Ｅｌｅｃｔｒｏｎｉｃ Ｔｏｌｌ Ｃｏｌｌｅｃｔｉｏｎ Ｓｙｓｔｅｍ）などで利用されている５．８ＧＨｚ、８０２．１１ｐで利用されている５．９ＧＨｚ帯の周波数を用いた通信、近赤外線などのＤＳＲＣ（Ｄｅｄｉｃａｔｅｄ Ｓｈｏｒｔ Ｒａｎｇｅ Ｃｏｍｍｕｎｉｃａｔｉｏｎ）と呼ばれる狭域無線通信、または３ＧおよびＬＴＥなどの広域無線通信が可能な無線通信装置である。本実施の形態では、狭域または広域のいずれの通信も利用可能であるが、本実施の形態の内容が理解しやすいようにＥＴＣの車載無線通信装置、すなわち５．８ＧＨｚ帯の狭域無線通信（５．８ＧＨｚ帯ＤＳＲＣ）の利用事例を説明する。なお、５．８ＧＨｚ帯ＤＳＲＣは、車外に設置された路側無線装置と車載無線通信装置２０との間の路車間において、路側無線通信装置と車載無線通信装置２０との間の１対１の個別通信と、１：Ｎの同報通信（路側無線通信装置から複数の車載無線通信装置に対して同じ情報を配信）ができるものとする。また、５．８ＧＨｚ帯ＤＳＲＣの通信覆域（通信可能なエリア）は、個別通信では約２０～５０メートル、同報通信は約７０～１５０メートルとする。

受信情報の出力は、情報を受信した際に行われる。受信情報としては、例えば自動運転車両の前方にＥＴＣ料金所があることを示すＥＴＣ料金所予告情報、自動運転車両がＥＴＣ料金所入口を通過した事を示すＥＴＣ入口通過情報、自動運転車両がＥＴＣ料金所出口を通過した事を示すＥＴＣ出口通過情報、ＥＴＣ料金所の有無にかかわらず自動運転を開始するか否かを問合せる自動運転開始確認情報がある。機器状態情報の出力は、車載無線通信装置２０と車載制御装置１０の通信が接続された場合、または車載無線通信装置２０の状態に変更が生じた場合（機器状態情報の内容の更新時）、または一定周期で繰り返して行われる。

認証情報入出力装置３０は、運転時に用いる認証情報の利用可否情報（利用可または利用不可）を車載制御装置１０に出力する。認証情報入出力装置３０は、認証情報入出力装置３０の利用者を認証し、課金決済に利用するＩＤを読み取る装置であり、ＥＴＣカードの読取装置、または電子マネーで利用されているＲＦ－ＩＤの読み取り装置などで実現される。本実施の形態では、本実施の形態の内容が理解しやすいようにＥＴＣカードの読取装置の利用事例を説明する。ＥＴＣカードの読取装置は、車載無線通信装置２０と一体となっており、車載無線通信装置２０の起動時、もしくはＥＴＣカードが挿入された時点でＥＴＣカードの読取り処理を行い、ＥＴＣカードの利用可否を示す利用可否情報を出力するものとする。なお、認証情報入出力装置３０は、認証情報入出力装置３０に挿入されたＥＴＣカードの有効期限（例えば有効期限２０１９年３月３１迄）などを確認して、ＥＴＣカードの利用可否を判定する処理が必要となるため、時刻情報出力装置４０から時刻情報が認証情報入出力装置３０に入力される。

時刻情報出力装置４０は、時刻情報を認証情報入出力装置３０と車載制御装置１０に出力する。時刻情報出力装置４０は、時刻情報をＲＴＣ（Ｒｅａｌ－Ｔｉｍｅ－Ｃｌｏｃｋ）で実現しても良いし、ＧＰＳ（Ｇｌｏｂａｌ Ｐｏｓｉｔｉｏｎｉｎｇ Ｓｙｓｔｅｍ）から受信した時刻情報を利用しても良い。

車載制御装置１０は、車載無線通信装置２０から出力された機器状態情報が「正常」、かつ認証情報入出力装置３０から出力された認証情報利用可否情報が「利用可」であった場合、利用可否状態情報を「利用可」として情報提供装置７０に出力し、利用可否情報を「利用可」として自動走行制御装置１００に出力する。出力された結果が「正常」かつ「利用可」以外の組み合わせであった場合、車載制御装置１０は、利用可否状態情報を「利用不可」として情報提供装置７０に出力し、利用可否情報を「利用不可」として自動走行制御装置１００に出力する。

情報提供装置７０は、車載制御装置１０から出力された利用可否状態情報に基づいて車内に物理的に利用可否の状態を通知する装置であり、具体的には自動運転車両の運転者に音声または表示にて通知する。なお、情報提供装置７０は、運転者に利用可否状態情報を通知するだけでなく、利用可否状態情報に可否の理由を示す情報（例えば、機器状態情報が「正常」、認証装置の利用可否情報が「ＥＴＣカード未挿入」）を加え、運転者に「ＥＴＣカードが未挿入のため自動運転の機能が利用できません」と具体的な理由を音声または表示で通知してもよい。

自動運転機能選択装置８０は、運転者の操作により自動運転の要否を選択して自動走行制御装置１００に選択結果を出力し、自動走行制御装置１００が自動運転を実行することを指示するための装置であり、具体的には、押しボタンまたはスライド式の機械式スイッチ、タッチパネルなどの電子式スイッチ、もしくは音声認識などの手段で構築される。自動走行制御装置１００に出力する信号は、機能の確実性担保の理由から、車載制御装置１０とは接続されておらず、自動走行制御装置１００に対して直接入力される。

次に、自動運転システム１の起動時の処理について説明する。図２は、実施の形態１に係る自動運転システム１の起動時の処理を示すフローチャートである。まず、自動運転システム１が起動する（ステップＳ１０１）。自動運転システム１の起動時とは、自動運転システム１を構成する各装置の電源がオン状態になり利用できる状態となった時であり、例えば自動運転車両の始動時、または運転者が意図して自動運転システム１を起動した時である。

起動後、車載無線通信装置２０が、車載無線通信装置２０自身の動作の状態（正常または異常）を示した機器状態情報を車載制御装置１０に出力する（ステップＳ１０２）。また、認証情報入出力装置３０が、認証情報の利用可否を示す認証情報利用可否情報（利用可または利用不可）を車載制御装置１０に出力する（ステップＳ１０３）。

車載制御装置１０は、車載無線通信装置２０から出力された機器状態情報が「正常」、かつ認証情報入出力装置３０から出力された認証情報利用可否情報が「利用可」であるかを判断する（ステップＳ１０４）。「正常」かつ「利用可」の組み合わせであれば処理をステップＳ１０５へ進め、「正常」かつ「利用可」以外の組み合わせであれば処理をステップＳ１０７へ進める。

「正常」かつ「利用可」の組み合わせの場合、車載制御装置１０は、利用可否状態情報を「利用可」として情報提供装置７０に出力するとともに、利用可否情報を「利用可」として自動走行制御装置１００に出力する（ステップＳ１０５）。情報提供装置７０は、自動運転が「利用可」の状態であることを音声または表示で運転者に通知する。運転者が自動運転機能選択装置８０から自動運転を実行することを指示すれば、自動走行制御装置１００は自動運転の実行の可否を判断して「有効モード」とし、自動運転を実行する（ステップＳ１０６）。

「正常」かつ「利用可」以外の組み合わせの場合、車載制御装置１０は、利用可否状態情報を「利用不可」として情報提供装置７０に出力し、利用可否情報を「利用不可」として自動走行制御装置１００に出力する（ステップＳ１０７）。情報提供装置７０は、自動運転の機能が「利用不可」の状態であることを音声または表示で運転者に通知する。自動走行制御装置１００は自動運転の実行の可否を判断して「無効モード」または「緊急停止モード」とし、運転者が自動運転機能選択装置８０から自動運転を実行することを指示したとしても自動運転の機能を利用できない状態とする（ステップＳ１０８）。

自動運転システム１が起動した際の自動運転システム１の処理について説明したが、自動運転システム１を確実な状態で運用し続けるためには、車載制御装置１０による、情報提供装置７０への自動運転の利用可否状態情報の出力および自動走行制御装置１００への利用可否情報の出力は、自動運転システム１の起動時および予め定められた周期で行われる。周期は、例えば１００ミリ秒または数秒おきである。具体的な実施は、自動走行制御装置１００から車載制御装置１０に対して利用可否情報の入力を任意の周期で要求し取得するリクエスト・レスポンス型の通信形式、車載制御装置１０から一定周期またはＥＴＣカード挿入時などのイベント発生時に車載制御装置１０から自動走行制御装置１００に対して利用可否情報を出力するプッシュ型の通信形式、またはリクエスト・レスポンス型とプッシュ型を併用する通信形式のいずれの形式でも良いものとする。

次に、車載無線通信装置２０が情報を受信した際の自動運転システム１の処理について説明する。図３は、実施の形態１に係る自動運転システム１の情報受信時の処理を示すフローチャートである。まず、車載無線通信装置２０が情報を受信する（ステップＳ１０１－１）。車載無線通信装置２０が受信した情報を車載制御装置１０に出力する（ステップＳ１０１－２）。出力後のステップＳ１０２以降の処理は、図２を用いて説明した内容と同様のため説明を省略する。

受信した情報が自動運転車両の前方にＥＴＣ料金所があることを示すＥＴＣ料金所予告情報である場合は、ＥＴＣ料金所予告情報について車載無線通信装置２０は車載制御装置１０に出力する。前方にＥＴＣ料金所がある場合、必ず自動運転の機能の利用可否を運転者は確認できるため、ＥＴＣカードの未挿入時にも運転者は余裕を持って必要な対応が可能となる。

また、受信した情報がＥＴＣ料金所入口を自動運転車両が通過した事を示すＥＴＣ入口通過情報である場合、ＥＴＣ入口通過情報について車載無線通信装置２０は車載制御装置１０に出力する。この場合、ＥＴＣ料金所入口を通過後に、自動運転の機能の利用可否を運転者が確認できるため、例えば高速道路など自動運転の利用が許可された特定区間でのみ自動運転の機能が利用できるという制約を自動運転車両にかけることができる。このときステップＳ１０２では、車載無線通信装置２０の機器状態情報として「正常」を車載制御装置１０に出力する。なお、ＥＴＣ料金所にも料金所を示す料金所ＩＤがあるため、自動運転が可能な特定区間に設けられた料金所の入り口通過後のみの動作でもよい。自動運転の機能の利用が可能な料金所ＩＤリストを車載制御装置１０に設けた記憶装置等に予め記憶させておく、または車載無線通信装置２０からリストを受信して記憶装置に記憶させておいても構わない。

また、受信した情報がＥＴＣ料金所出口を自動運転車両が通過した事を示すＥＴＣ出口通過情報である場合、ＥＴＣ出口通過情報について車載無線通信装置２０は車載制御装置１０に出力する。この場合、ＥＴＣ入口通過後とは逆に、自動運転可能な特定のＥＴＣ料金所の出口通過後なため、自動運転の機能は利用できない。このときステップＳ１０２では、車載無線通信装置２０の機器状態情報として「無効」を車載制御装置１０に出力する。この「無効」は、車載無線通信装置２０の故障を示す「異常」と区別するために、車載無線通信装置２０の故障とは別に、自動運転システム１に対して機能しない状態にあることを示すものである。

また、受信した情報がＥＴＣ料金所の有無にかかわらず自動運転を開始するか否かを問合せる自動運転開始確認情報である場合、自動運転開始確認情報について車載無線通信装置２０は車載制御装置１０に出力する。自動運転開始確認情報の問合せ元である自動運転管理サーバが信頼できると確認された場合、ステップＳ１０２では、車載無線通信装置２０の機器状態情報として「正常」を車載制御装置１０に出力する。例えば信頼の確認は、以下の手順で行う。車載無線通信装置２０はＴＬＳ（Ｔｒａｎｓｐｏｒｔ Ｌａｙｅｒ Ｓｅｃｕｒｉｔｙ）通信を利用して問合せ元を示す証明書ＣＡ（Ｃｅｒｔｉｆｉｃａｔｉｏｎ Ａｕｔｈｏｒｉｔｙ）を受信し、証明書ＣＡの内容（自動運転管理サーバの名称、組織名、部署名、市区町村名、都道府県名、国コード）、公開鍵、証明書の発行局名と電子署名、有効期間、証明書のバージョン・番号・暗号化方式が、車載無線通信装置２０に予め登録されている証明書ＣＡの内容と一致するか否かを確認し、一致した場合のみ車載無線通信装置２０は問合せ元の自動運転管理サーバと通信を自動運転開始するための通信手続きを開始する。この手続きは、自動運転管理サーバと車載無線通信装置２０との間の自動運転を開始するための通信シーケンスとなる。車載無線通信装置２０は、この通信手続きが完了すると、自動運転管理サーバと常時通信接続が確立される。

接続の確立後、車載無線通信装置２０は、自動運転システム１の識別情報（車両名とＩＤ）、走行位置（緯度・経度・高度）を示す走行位置情報、自動運転車両の速度・加速度・ヨーレートを示す車両挙動情報、または自動運転車両に搭載されたカメラが撮像した画像、またはＬｉＤＡＲ、超音波、ミリ波などのセンサ装置が検出した車載センサ情報の少なくともいずれか１つの情報を、一定周期または特定のタイミング（停車時、所定値以上の加速度で加減速した場合、車線変更時、ウインカー操作時、車間距離が所定値以上の変化をした場合）で自動運転管理サーバに送信し続ける。車載無線通信装置２０は、自動運転管理サーバから送信した情報に対する応答メッセージを受信する。応答メッセージには、自動運転の継続可否を示す自動運転継続可否情報（可または不可）が含まれる。自動運転可否情報が「可」の場合、ステップＳ１０２では、車載無線通信装置２０の機器状態情報として「正常」を車載制御装置１０に出力する。自動運転可否情報が「不可」の場合、ステップＳ１０２では、車載無線通信装置２０の機器状態情報として「異常（通信内容が異常であり自動運転不可、もしくは、道路事情等により自動運転サービス無効）」または「無効（自動運転終了区間内、もしくは、自動運転サービスの有効期間切れ）」を車載制御装置１０に出力する。このようにすることで、車載無線通信装置２０は、ＥＴＣ料金所の位置にかかわらず、すなわち自動運転の開始・終了を通知するＥＴＣの路側無線アンテナが路側に設置されていない区間においても、任意の区間を自動運転専用区間とすることができる。なお、受信した情報が自動運転開始確認情報である場合、車載無線通信装置２０が出力する機器状態情報には、受信情報に基づく情報が含まれる。

また、車載無線通信装置２０は、自動運転開始後に一定周期または特定のタイミングで自動運転管理サーバに情報の送信を続けて、自動運転管理サーバから自動運転継続可否情報を受信する。自動運転管理サーバは任意のタイミングで、特定の自動運転車両の自動運転を中断させることができる。例えば、自動運転管理サーバが事故の発生した道路上の自動運転車両に対して、車載無線通信装置２０が機器状態情報として「異常（道路事情等により自動運転サービス無効）」を出力させるように返信しても良い。さらに、自動運転システム１が自動運転管理サーバから自動運転サービスを有料のサブスクリプションサービスとして購入していた場合は、購入していた自動運転サービスの有効期間外になった場合に、自動運転管理サーバは機器状態情報として「無効（自動運転サービスの有効期間切れ）」を出力させ、情報提供装置７０から「自動運転サービスの追加購入の有無」を運転者に通知して、選択させても構わない。

なお、自動走行制御装置１００に出力される利用可否情報の可否判定は、機器の構成に応じて変化する。例えば、車載無線通信装置２０から車載制御装置１０への車載無線通信装置２０自身の機器状態情報の出力と同様に、時刻情報出力装置４０または情報提供装置７０が正常動作しているか否かを示す機器状態情報を車載制御装置１０に入力し、車載無線通信装置２０と時刻情報出力装置４０と情報提供装置７０の３つの機器が正常動作している状態で、かつ認証情報利用可否情報が「ＥＴＣカードが利用可」の場合に、車載制御装置１０は自動走行制御装置１００に利用可否情報を「利用可」として出力しても構わない。

また、車載制御装置１０および自動走行制御装置１００のハードウエアの一例は図４に示すように、プロセッサ１１０と記憶装置１１１から構成される。車載制御装置１０および自動走行制御装置１００が実行するプログラムを備えた記憶装置１１１は、例えば、ランダムアクセスメモリ等の揮発性記憶装置と、フラッシュメモリ等の不揮発性の補助記憶装置とを具備する。また、フラッシュメモリの代わりにハードディスクの補助記憶装置を具備してもよい。プロセッサ１１０は記憶装置１１１から入力されたプログラムを実行し、車載制御装置１０は利用可否状態情報を情報提供装置７０に出力し、利用可否情報を自動走行制御装置１００に出力する。自動走行制御装置１００は自動運転の実行の可否を判断する。この場合、補助記憶装置から揮発性記憶装置を介してプロセッサ１１０にプログラムが入力される。また、プロセッサ１１０は、演算結果等のデータを記憶装置１１１の揮発性記憶装置に出力してもよいし、揮発性記憶装置を介して補助記憶装置にデータを保存してもよい。

以上のように、実施の形態１による自動運転システム１は、車載制御装置１０が車載無線通信装置２０と認証情報入出力装置３０の出力に基づいて、利用可否状態情報を情報提供装置７０に出力し、利用可否情報を自動走行制御装置１００に出力するため、自動運転システム１の起動時にＥＴＣの利用を開始できずに自動運転が実行できないことを運転者および自動走行制御装置１００に通知し、運転者にあらかじめＥＴＣカードを認証情報入出力装置３０への挿入を促すことができ、自動運転が可能な時に、確実に自動運転を実行することができる。また、自動運転車両専用道路の手前に設けられた自動運転遷移エリアにおいて、自動運転車両専用道路内にＥＴＣの料金所があるため自動運転遷移エリア内で自動運転の利用開始を選択するための条件としてＥＴＣカードの挿入が必要である場合、ＥＴＣカードを未挿入状態のまま自動運転遷移エリアに進入し、自動運転車両の運転者が自動運転を選択できなくなることを未然に防止することができる。また、ＥＴＣカードの挿入忘れなどの人為的なミスにより、自動運転車両がＥＴＣ料金所にＥＴＣ未挿入のまま進入、または現金支払の料金所に進入することを未然に防止することができる。また、自動運転機能選択装置８０で選択された自動運転の要否の情報が要で、かつ車載制御装置１０の利用可否情報についての自動走行制御装置１００への出力が利用可の場合のみ、自動走行制御装置１００において自動運転が実行されるため、車外からのハッキング等に対して自動運転機能選択装置８０が悪意のある介入操作を受け付けることが無く、かつ機器が自動運転できない状態のときに運転者が自動運転を開始することができず、自動運転が可能な時に確実に自動運転を実行することができる。また、車載制御装置１０による、情報提供装置７０への利用可否状態情報の出力および自動走行制御装置１００への利用可否情報の出力は、自動運転システム１の起動時および予め定められた周期で行われるため、継続して確実に自動運転を実行することができる。また、機器状態情報には、車載無線通信装置２０が無線を介して受信した受信情報に基づく情報が含まれるため、受信した情報がＥＴＣ料金所の有無にかかわらず自動運転を開始するか否かを問合せる自動運転開始確認情報であっても、自動運転が可能な時に確実に自動運転を実行することができる。

実施の形態２．
実施の形態２に係る自動運転システム１について説明する。図５は自動運転システム１の全体構成を示す図である。実施の形態２に係る自動運転システム１は、実施の形態１で示した自動運転システム１の構成に加えて、自動運転経路情報出力装置５０を設けた構成になっている。

自動運転経路情報出力装置５０は、自動運転できる走行車線の位置と属性の情報を含む自動運転走行経路情報を車載制御装置１０に出力する。自動運転走行経路情報は、自動運転できる走行車線の経路を示した自動運転用地図と自動運転で走行する自動運転走行車線情報のリストであり、走行車線の位置と走行車線の属性（バス専用レーン、ＥＴＣ料金所進入路、登坂車線、合流路、分流路、駐車場入退ゲート進入路、自動運転遷移区間）が含まれている。自動運転走行経路情報は自動運転経路情報出力装置５０が作成するが、予め自動運転経路情報出力装置５０に保存されていても構わない。

実施の形態１では、機器に含まれる車載無線通信装置２０と認証情報入出力装置３０の利用可否を、情報提供装置７０と自動走行制御装置１００に対して出力していたが、機器の構成は自動運転する走行経路に応じて異なる場合がある。例えば、自動運転車両が有料道路を走行しない（ＥＴＣの料金所を通過しない）場合は、図２に示したステップＳ１０７で、ＥＴＣカードが利用できない場合に自動運転可否状態情報を「利用不可」として情報提供装置７０に出力し、利用可否情報を「利用不可」として自動走行制御装置１００に出力する必要は無い。本実施の形態２では、車載制御装置１０は、入力された走行車線の属性から車載無線通信装置２０と認証情報入出力装置３０の利用の有無を判断する。利用無であれば車載制御装置１０は車載無線通信装置２０と認証情報入出力装置３０からの出力が不要であることを自動走行制御装置１００に通知する。利用有であれば、上述した実施の形態１と同様の処理を行う。

次に、自動運転システム１の起動時の処理について説明する。図６は、実施の形態２に係る自動運転システム１の起動時の処理を示すフローチャートである。まず、自動運転システム１が起動する（ステップＳ２０１）。ステップＳ１０２とステップＳ１０３の処理は、図２と同様なため説明を省略する。

自動運転経路情報出力装置５０が、自動運転できる走行車線の位置と属性の情報を含む自動運転走行経路情報を車載制御装置１０に出力する（ステップＳ２０２）。車載制御装置１０は、自動運転経路情報出力装置５０から出力された自動運転走行経路情報の走行車線の属性に「ＥＴＣ料金所進入路」が含まれるか否かを確認し、車載無線通信装置２０と認証情報入出力装置３０の利用の有無を判断する（ステップＳ２０３）。含まれていれば車載無線通信装置２０と認証情報入出力装置３０を利用するため、処理を図２に示したステップＳ１０４以降の処理へ進める（ステップＳ２０４）。含まれていなければ車載無線通信装置２０と認証情報入出力装置３０を利用しないため、処理をステップＳ２０５へ進める。ステップＳ１０４以降の処理は、図２と同様なため説明を省略する。

車載制御装置１０は、車載無線通信装置２０と認証情報入出力装置３０の利用可否情報として、車載無線通信装置２０と認証情報入出力装置３０からの出力が不要であることを自動走行制御装置１００に通知する（ステップＳ２０５）。運転者が自動運転機能選択装置８０から自動運転を実行することを指示すれば、自動走行制御装置１００は自動運転の実行の可否を判断して「有効モード」とし、自動運転を実行する（ステップＳ２０６）。

以上のように、実施の形態２による自動運転システム１では、自動運転できる走行車線の位置と属性の情報を含む自動運転走行経路情報を車載制御装置１０に出力する自動運転経路情報出力装置５０を備え、車載制御装置１０は入力された属性から車載無線通信装置２０と認証情報入出力装置３０の利用の有無を判断するため、自動運転車両がＥＴＣを利用しない経路を自動走行する場合においては、自動運転システム１はＥＴＣカードを認証情報入出力装置３０に挿入することを運転者に要求しなくなり、運転者は操作に煩わされることなく確実に自動運転を実行することができる。

実施の形態３．
実施の形態３に係る自動運転システム１について説明する。図７は自動運転システム１の全体構成を示す図である。実施の形態３に係る自動運転システム１は、実施の形態２で示した自動運転システム１の構成に加えて、車内通信ゲートウェイ装置９０を設けた構成になっている。

車内通信ゲートウェイ装置９０は、車載制御装置１０と自動走行制御装置１００との間に設けられ、自動走行制御装置１００への車載制御装置１０からの出力を中継する。車内通信ゲートウェイ装置９０は、予め設定された監視シーケンス情報に基づいて車載制御装置１０からの入力の正否を確認し、入力が正であれば車載制御装置１０から自動走行制御装置１００への出力の中継を実行し、入力が否であれば車載制御装置１０からの入力の破棄を実行する。

車外と通信する機能を有した車載無線通信装置２０と接続された車載制御装置１０が、自動走行制御装置１００と直接入出力のやりとりをすると、例えば車外から車載制御装置１０を経由して、自動走行制御装置１００がハッキングなどのサイバー攻撃を受ける可能性がある。車内通信ゲートウェイ装置９０が設けられ、車載制御装置１０から自動走行制御装置１００への出力は、車内通信ゲートウェイ装置９０を経由する。車内通信ゲートウェイ装置９０は監視シーケンス情報に基づき、車載制御装置１０から自動走行制御装置１００に対する出力が、予め決められたプロセス後に行われているかを確認する。確認した結果が予め決められたプロセス後に行われている場合のみ、車内通信ゲートウェイ装置９０は出力を中継するため、車外通信を介した自動走行制御装置１００への悪意のある介入は防止される。

車内通信ゲートウェイ装置９０は、例えば図７に示すように車載無線通信装置２０および認証情報入出力装置３０からの出力を傍受し、監視シーケンス情報は車載無線通信装置２０および認証情報入出力装置３０の通信シーケンスとする。図８は実施の形態３に係る自動運転システム１が備えた監視シーケンス情報の構成の例を示す図である。監視シーケンス情報は、宛先情報と、出力種別情報と、出力種別ごとに出力の正否を確認するための確認条件とを備える。例えば、車載制御装置１０から自動走行制御装置１００に対して出力される出力の種別が利用可否情報（利用可）の場合、確認条件を「利用可否情報（利用可）を出力する時のＴ秒前から、車載制御装置１０に対して、車載無線通信装置２０がＡを出力、かつ認証情報入出力装置３０がＢを出力していること」と定義する。なお、ＡおよびＢは、車載制御装置１０が特定の出力をするために必要な出力とし、各出力の内容については本願に関係しないため、詳細は記載しない。

次に、車内通信ゲートウェイ装置９０の処理について説明する。図９は、実施の形態３に係る自動運転システム１が備えた車内通信ゲートウェイ装置９０の処理を示すフローチャートである。まず、車載制御装置１０は自動走行制御装置１００宛のＸを車内通信ゲートウェイ装置９０に出力する（ステップＳ３０１）。このとき、車内通信ゲートウェイ装置９０には、宛先を示す宛先情報（自動走行制御装置１００）と出力の種別を示す出力種別情報（出力種別：Ｘ）、出力の内容示す出力コンテンツ情報が入力される。

車内通信ゲートウェイ装置９０は、監視シーケンス情報にＸについての宛先情報、出力種別情報、確認条件があるか否かを確認する（ステップＳ３０２）。あれば処理をステップＳ３０３へ進め、なければ処理をステップＳ３０５へ進める。

ある場合、確認条件に沿った出力の正否の確認の処理を行う（ステップＳ３０３）。確認結果が条件と一致し、正と確認されれば処理をステップＳ３０４へ進め、一致せず否と確認されれば処理をステップＳ３０５へ進める。正の場合、車内通信ゲートウェイ装置９０は自動走行制御装置１００に出力されるＸの中継を実行する（ステップＳ３０４）。否の場合、車内通信ゲートウェイ装置９０はＸの破棄を実行する（ステップＳ３０５）。Ｘの破棄は、宛先情報、出力種別情報、確認条件がない場合も実行される。

なお、以上では監視シーケンス情報は車載無線通信装置２０および認証情報入出力装置３０の通信シーケンスとしたがこれに限るものではなく、自動運転経路情報出力装置５０など他の装置の通信シーケンスを含めたものであっても構わない。

以上のように、実施の形態３による自動運転システム１では、車内通信ゲートウェイ装置９０を備え、車内通信ゲートウェイ装置９０は、予め設定された監視シーケンス情報に基づいて車載制御装置１０から自動走行制御装置１００への出力の正否を確認するため、自動走行制御装置１００に対して利用可否情報（利用可）の出力を悪意のあるハッカーが意図したタイミングで入力しようとしても、車内通信ゲートウェイ装置９０で出力を破棄することができ、運転者は確実に自動運転を実行することができる。また、監視シーケンス情報が車載無線通信装置２０および認証情報入出力装置３０の通信シーケンスである場合は、悪意のあるハッカー等による車載制御装置１０のプログラムを車載無線通信装置２０の通信を介して書き換える攻撃を抑制でき、運転者は確実に自動運転を実行することができる。

また本願は、様々な例示的な実施の形態及び実施例が記載されているが、１つ、または複数の実施の形態に記載された様々な特徴、態様、及び機能は特定の実施の形態の適用に限られるのではなく、単独で、または様々な組み合わせで実施の形態に適用可能である。
従って、例示されていない無数の変形例が、本願明細書に開示される技術の範囲内において想定される。例えば、少なくとも１つの構成要素を変形する場合、追加する場合または省略する場合、さらには、少なくとも１つの構成要素を抽出し、他の実施の形態の構成要素と組み合わせる場合が含まれるものとする。

１ 自動運転システム、１０ 車載制御装置、２０ 車載無線通信装置、３０ 認証情報入出力装置、４０ 時刻情報出力装置、５０ 自動運転経路情報出力装置、７０ 情報提供装置、８０ 自動運転機能選択装置、９０ 車内通信ゲートウェイ装置、１００ 自動走行制御装置

Claims (6)

1. 自動運転の要否を選択する自動運転機能選択装置、
   自身の動作の状態を示した機器状態情報を出力する車載無線通信装置、
   運転時に用いる認証情報の利用可否情報を出力する認証情報入出力装置、
   前記車載無線通信装置と前記認証情報入出力装置の出力に基づいて、前記車載無線通信装置と前記認証情報入出力装置の利用可否状態情報を出力するとともに、前記車載無線通信装置と前記認証情報入出力装置の利用可否情報を出力する車載制御装置、
   前記利用可否状態情報に基づいて車内に物理的に利用可否の状態を通知する情報提供装置、
   前記利用可否情報と前記自動運転機能選択装置で選択された自動運転の要否の情報に基づいて、自動運転の実行の可否を判断する自動走行制御装置、
   および自動運転できる走行車線の位置と属性の情報を含む自動運転走行経路情報を前記車載制御装置に出力する自動運転経路情報出力装置を備え、
   前記車載制御装置は、入力された前記属性から前記車載無線通信装置と前記認証情報入出力装置の利用の有無を判断して、
   利用無であれば前記車載制御装置は前記車載無線通信装置と前記認証情報入出力装置からの出力が不要であることを前記自動走行制御装置に通知し、
   利用有であれば前記車載制御装置は前記車載無線通信装置と前記認証情報入出力装置の出力に基づいて、前記車載無線通信装置と前記認証情報入出力装置の利用可否状態情報を出力するとともに、前記車載無線通信装置と前記認証情報入出力装置の利用可否情報を出力することを特徴とする自動運転システム。
2. 前記自動運転機能選択装置で選択された自動運転の要否の情報が要で、かつ前記利用可否情報が利用可の場合のみ、前記自動走行制御装置において自動運転の実行が可と判断されることを特徴とする請求項１に記載の自動運転システム。
3. 前記車載制御装置からの前記利用可否状態情報の出力および前記利用可否情報の出力は、起動時および予め定められた周期で行われることを特徴とする請求項１または請求項２に記載の自動運転システム。
4. 前記機器状態情報には、前記車載無線通信装置が無線を介して受信した受信情報に基づく情報が含まれることを特徴とする請求項１から３のいずれか１項に記載の自動運転システム。
5. 前記車載制御装置と前記自動走行制御装置との間に設けられ、前記自動走行制御装置への前記車載制御装置からの出力を中継する車内通信ゲートウェイ装置を備え、
   前記車内通信ゲートウェイ装置は、予め設定された監視シーケンス情報に基づいて前記車載制御装置からの入力の正否を確認し、
   前記車載制御装置からの入力が正であれば中継を実行し、
   前記車載制御装置からの入力が否であれば前記車載制御装置からの入力の破棄を実行することを特徴とする請求項１から４のいずれか１項に記載の自動運転システム。
6. 前記車内通信ゲートウェイ装置は、前記車載無線通信装置および前記認証情報入出力装置からの出力を傍受し、前記監視シーケンス情報は前記車載無線通信装置および前記認証情報入出力装置の通信シーケンスであることを特徴とする請求項５に記載の自動運転システム。

Images