JP7198056B2 - 車両制御装置及び車両制御方法 - Google Patents

Description

本発明は、車両制御装置及び車両制御方法に関するものである。

自動運転レベル３以上（ＳＡＥ（Ｓｏｃｉｅｔｙ ｏｆ Ａｕｔｏｍｏｔｉｖｅ Ｅｎｇｉｎｅｅｒｓ）定義）ではフェールオペレーショナルが必須となる。フェールオペレーショナルは、故障時に安全な場所または状況まで走行を継続し、ドライバがいる場合には引き継ぎを実施し、ドライバが不在または引き継ぎ要求に応じない時間が一定時間続いた際にはシステムが自動で安全な場所に停止する。

フェールオペレーショナルはＥｍｅｒｇｅｎｃｙ Ｏｐｅｒａｔｉｏｎとも呼ばれる。例えば、自動運転レベル３では、故障発生によって目的地まで自動運転で到達困難な場合には、自動運転システムは運転手に車両操作の引き継ぎを依頼する。引き継ぎが達成できた場合には自動運転からマニュアル運転に切り替わり、未達成である場合には、システムが安全な場所または状況を選択し、停止する。

例えば、フェールオペレーショナルを実現する技術の一つとして、特許文献１ではデバイスの故障箇所や道路の状況に応じて、複数の安全状態候補の中から１つを選択する方法を開示している。

特表２０１８－５００２２０号公報

自動運転においては、認識性能の性能限界が発生し得る。性能限界は、認識性能の低下を意味する。例えば、悪天候（雨、雪、霧など）や悪路（白線が薄い、信号が汚れている等）等の状況及びカメラやＲａｄａｒなどの認識センサの特性に応じて、認識範囲や認識精度が低下し得る。他の例において、特定方向において冗長化された認識機能における一系統の故障により、当該方向における認識範囲や認識精度が低下し得る。しかしながら、特許文献１では認識性能の性能限界を考慮していないため、安全性がより高い安全状態を選択できない可能性がある。

例えば、カメラとＲａｄａｒで前方の認識機能が冗長化された自動運転システムは、Ｒａｄａｒが故障した場合に、故障したＲａｄａｒが冗長系の１系統でありカメラが使用可能であるため、走行継続で問題ないと判断する。しかしながら、例えば、走行道路が高速道路であるとすると、Ｒａｄａｒよりも認識距離が短いカメラによる高速道路での自動運転による高速走行は、安全性を低下させる可能性がある。

他の例において、天候が大雨、走行道路が高速道路であり、特定方向における認識機能の認識距離が大雨により著しく低下している場合、高速道路での自動運転による高速走行は安全性を低下させる可能性がある。

以上のことから、従来の技術において、安全性がより高い安全状態が選択されない可能性がある。本発明は、このような課題を解決するためになされたものであり、自動運転における安全性を高めることを目的とする。

本発明の代表的な一例は、複数機能それぞれの性能発揮状態を判定する機能レベル判定部と、前記性能発揮状態に基づき目標安全状態を選択する、安全状態選択部と、前記目標安全状態と前記性能発揮状態とに基づいて、車両の軌道を含む前記車両の走行条件を決定する軌道生成部と、前記走行条件に基づいて車両を制御する制御指示部と、を含む車両制御装置である。

本発明の代表的な一例によれば、自動運転においてより高い安全性を確保できる。

実施の形態に係る車両システムの構成図 実施の形態に係る機能のデータフロー図 実施の形態に係る故障影響管理テーブルの例 実施の形態に係る故障管理テーブルの例 実施の形態に係る冗長度管理テーブルの例 実施の形態に係る各認識デバイスの認識距離の管理テーブルの例 実施の形態に係る車両の認識距離管理テーブルの例 実施の形態に係る安全状態選択テーブルの例 実施の形態に係る安全状態の要求機能テーブルの例 実施の形態に係る機能の要求認識距離テーブルの例 実施の形態に係るユースケースの例 実施の形態に係る車両の振る舞いの例 実施の形態に係る故障検知部の動作フロー 実施の形態に係る故障レベル判定部の動作フロー 実施の形態に係る制御指示部の動作フロー 実施の形態に係る認識距離検出部の動作フロー 実施の形態に係る機能レベル判定部の動作フロー 実施の形態に係る周囲認知・軌道生成部の動作フロー 実施の形態に係る安全状態選択部の動作フロー 実施の形態に係る車両の振る舞いの他の例

以下、実施の形態を、図面を用いて説明する。以下に説明する実施の形態は特許請求の範囲にかかる発明を限定するものではなく、また実施の形態の中で説明されている特長の組み合わせの全てが発明の解決手段に必須であるとは限らない。

以下に開示される実施の形態は、自動運転システムの安全技術に関する。より具体的には、故障発生又は周囲環境に変化による性能限界を考慮して安全状態を選択する技術が開示される。本実施の形態に係る車両制御装置は、自動運転において、故障の発生、天候、又は道路状況等を考慮した安全状態を選択可能となるため、より高い安全性を確保できる。

性能限界は、認識性能の低下が発生したことを示す。例えば、周辺認識デバイスの特性上、天候条件や道路状態等によって周辺認識デバイスの性能は低下し得る。また、冗長化された周辺認識機能において、一系統の故障によりその性能が低下し得る。認識性能の状態は性能発揮状態であり、例えば、認識距離、認識精度、又は速度で表わすことができる。以下の説明においては、認識性能の低下を認識距離の低下で表現する。

例えば、認識性能の状態を表す速度は、認識距離で停止可能な速度と対応付けることができる。また、物体認識の精度の低下も、認識距離の低下で表現する。例えば、白線が薄れていて高速走行では認識困難な場合でも、低速走行であれば認識精度を向上できる。例えば、認識精度は、白線を認識して白線内を走行できる速度に対応付けることができ、その速度から車両を停止することができる距離を、当該速度に対応する認識距離としてもよい。

図１は、実施の形態に係る車両システム１の構成図を示す。システム１は、自動運転ＥＣＵ１０、冗長系の自動運転ＥＣＵ２０、運動制御ＥＣＵ３０、冗長系の運動制御ＥＣＵ４０、及びＨＭＩ（ヒューマンマシンインタフェース）５０を含む。自動運転ＥＣＵ１０には、５台のＬｉｄａｒ１０１からの出力、６台のＣａｍｅｒａ１０２からの出力、及び地図配信ＥＣＵからの地図１０３が入力される。冗長系の自動運転ＥＣＵ２０には、５台のＲａｄａｒ２０１及び１台のＣａｍｅｒａ２（２０２）それぞれからの出力が入力される。

自動運転ＥＣＵ１０は、マイコンＡ１１２、マイコンＢ１１３、電源１０４、イーサネットスイッチ（ＳＷ）１（１０５）（イーサネットは登録商標、以下同じ）、イーサネットスイッチ（ＳＷ）２（１０６）、バス１（１０７）、バス２（１０８）、バス３（１０９）、バス４（１１０）、バス５（１１１）、バス６（１１４）を含む。

マイコンＡ１１２は、周囲認知・軌道生成部１２１、機能レベル判定部１２２、認識距離検出部１２３、及び故障検知部１２４を含む。マイコンＢ１１２は、安全状態選択部１３１、制御指示部１３２、故障レベル判定部１３３、及び故障検知部１３４を含む。マイコンＡ１１２及びマイコンＢ１１３の各機能部は、例えば、プロセッサがメモリに格納されているプログラムに従って動作することで実現できる、又は、各機能に対応する論理回路で実現できる。なお、図１及び２において、各機能部の「部」の語は省略されている。

運動制御ＥＣＵ３０及び４０は、自動運転ＥＣＵ１０及び２０の出力を、アクチュエータの入力に変換する。ＨＭＩ５は、運転手に自動運転システムの現在状態の表示や、運転手からの指示を受けつける機能を有する。

図２は実施形態に係る車両システム１の機能間のデータフローである。自動運転ＥＣＵ２０には、Ｒａｄａｒ２０１とＣａｍｅｒａ２（２０２）の出力が入力される。マイコンＡ１１２の故障検知部１２４には、Ｌｉｄａｒ１０１の出力、Ｃａｍｅｒａ１（１０２）の出力、地図１０３が入力され、Ｌｉｄａｒ１０１、Ｃａｍｅｒａ１（１０２）、地図１０３及びマイコンＡ１１２内の要素の故障判定を行う。例えば、デバイスからの入力がない又はエラーデータが入力される場合、当該デバイスは故障であると判定される。マイコンＢ１１３の故障検知部１３４は、マイコンＢ内の要素の故障判定を行う。

故障レベル判定部１３３は、故障検知部１２４、１３４及び冗長系自動運転ＥＣＵ２０の出力が示す故障箇所に応じて、縮退オペレーション（Ｅｍｅｒｇｅｎｃｙ Ｏｐｅｒａｔｉｏｎ）の要否（縮退要否）を判定する。本実施形態では自動運転ＥＣＵ２０にも故障検知部が搭載されており、Ｒａｄａｒ２０１、Ｃａｍｅｒａ２（２０２）及び自動運転ＥＣＵ２０の故障検知結果（故障箇所）が、故障レベル判定部１３３に入力される。

認識距離検出部１２３はデバイスの性能を判定するデバイス性能判定部の例であり、Ｌｉｄａｒ１０１、Ｃａｍｅｒａ１（１０２）、Ｒａｄａｒ２０１及びＣａｍｅｒａ２（２０２）及び／又は他のセンサデバイスのセンサ値と故障検知部１２４及び冗長系自動運転ＥＣＵ２０からの故障箇所情報に応じて、認識デバイス１０１、１０２、２０１及び２０２の認識距離を決定し、出力する。

機能レベル判定部１２２は、複数機能それぞれの性能発揮状態を判定する。性能発揮状態は、例えば、各認識方向の車両認識距離や地図機能の使用可否を示す。本実施形態において、機能レベル判定部１２２は、認識方向それぞれにおいて、各認識デバイスの認識距離から車両としての認識距離を算出し、さらに、速度制限、自動車線変更制限、自動信号停止制限、自動右左折停止制限などの機能制限の指示を出力する。速度制限は、車両の最大速度を示し、自動車線変更制限、自動信号停止制限及び自動右左折停止制限は、自動運転システムが、自動車線変更、信号に応じた自動停止、及び右左折時の自動停止を実行しないことを示す。

安全状態選択部１３１は、周囲認知・軌道生成部１２１に第１及び第２目標安全状態についての情報（目標安全状態情報）を出力する。安全状態選択部１３１は、故障レベル判定部１３３による縮退要否の判定結果と機能レベル判定部１２２からの機能制限指示に応じて、第１目標安全状態を選択する。第１目標安全状態にタイムアウト条件が付されている場合、安全状態選択部１３１は、車両システム１の利用可能機能に基づきタイムアウト後の目標安全状態（第２目標安全状態）を選択する。後述するように、利用可能機能は、認識方向方それぞれの車両認識距離に基づき決定される。

目標安全状態についての情報は、第１目標安全状態及び第２目標安全状態（必要であれば）の情報を含む。第２目標安全状態の情報は、タイムアウト後に周囲認知・軌道生成部１２１に通知されてもよい。機能制限は、認識距離に基づくため、目標安全状態の選択は、縮退要否及び認識距離に基づく。

周囲認知・軌道生成部１２１は、車両の走行条件を決定する。走行条件は、例えば、車両の軌道や目標速度を含む。周囲認知・軌道生成部１２１は、Ｌｉｄａｒ１０１、Ｃａｍｅｒａ１（１０２）、Ｒａｄａｒ２０１、及びＣａｍｅｒａ２（２０２）の認識結果、並びに、位置情報及び地図１０３を入力をとして、車両周辺の状況及び現在位置を特定する。周囲認知・軌道生成部１２１は、目的地または安全状態選択部１３１により第２目標安全状態として指定された場所に向けて、機能レベル判定部１２２からの制限を満たすような軌道を、生成する。ＨＭＩ５は、例えば、現状の車両周辺の認識状況、故障の有無、目標安全状態等の情報を表示する。

制御指示部１３２は、周囲認知・軌道生成部１２１からの軌道に応じた制御指令値を出力する。運動制御ＥＣＵ３０及び４０は、制御指示部１３２からの制御指令値を入力として、エンジンやインバータなどのアクチュエータを制御する。

図３は本実施形態に係る故障影響管理テーブル３１０の例である。故障影響管理テーブル３１０は、故障個所が自動運転ＥＣＵ１０に与える影響を管理する。故障影響管理テーブル３１０は、自動運転ＥＣＵ１０のメモリに予め格納されている。故障影響管理テーブル３１０は、故障個所の欄３１１、自動運転ＥＣＵ１０の入力の欄３１２、及び自動運転ＥＣＵ１０の出力の欄３１３を有する。

故障個所の欄３１１は、認識デバイス、電源、マイコン、冗長自動運転ＥＣＵ、イーサスイッチ（ＳＷ）、バス等の故障個所となり得るデバイスを示す。故障個所の欄３１１において、認識デバイスの名称に含まれる方向は、その認識方向を示す。入力欄３１２において、「地図」及び「経路」は、地図が経路の情報を示すことを意味する。

入力の欄３１２は、故障個所の欄３１１が示す故障個所それぞれが、自動運転ＥＣＵ１０の入力に与える影響の有無を示す。影響を受ける入力は、「１」で示されている。例えば、ある認識方向の認識デバイスが故障している場合、当該認識方向における当該認識デバイスからの入力が影響を受ける。電源１０４が故障している場合、自動運転ＥＣＵ１０の全ての入力が影響を受けるＥＣＵの。出力の欄３１３は、故障個所の欄３１１が示す故障個所それぞれが、自動運転ＥＣＵ１０からの出力に影響を与えるか否かを示す。図３の例において、電源１０４、マイコン１１２、１１３、及び特定のバスの故障が、自動運転ＥＣＵ１０からの出力に影響を与える。

図４は本実施形態に係る故障管理テーブル３２０の例である。故障管理テーブル３２０は、自動運転ＥＣＵ１０のメモリに格納され、故障レベル判定部１３３により更新、管理される。故障管理テーブル３２０は、故障により影響を受けている自動運転ＥＣＵ１０の入力及び出力を管理する。故障管理テーブル３２０は、入力欄３２１及び出力欄３２２を示す。各セルは、自動運転ＥＣＵ１０の入力及び出力それぞれの正常動作数を示す。例えば、前方向を認識するＲａｄａｒが故障すると、「前」列と「Ｒａｄａｒ」行で特定されるセルの値が「１」から「０」に変更される。

図５は本実施の形態に係る冗長度管理テーブル３３０の例である。冗長度管理テーブル３３０は、自動運転ＥＣＵ１０のメモリに格納され、故障レベル判定部１３３により更新、管理される。冗長度管理テーブル３３０は、自動運転ＥＣＵ１０の入力及び出力における冗長度を管理する。項目行３３１は、冗長度が管理されている項目を示す。本例において、六つの認識方向における入力、経路（地図）及び出力それぞれの冗長度が管理されている。冗長度行３３２は、各項目の冗長度を示す。例えば、前方の冗長度がいずれかの認識デバイスの故障によって削減された場合には、「３」から「２」に冗長度が削減される。例えば冗長度「２」は、２重系を示す。

図６は本実施の形態に係るデバイス認識距離管理テーブル３４０の例である。デバイス認識距離管理テーブル３４０は、自動運転ＥＣＵ１０のメモリに格納され、認識距離検出部１２３により更新、管理される。デバイス認識距離管理テーブル３４０は、各認識デバイスの現在の認識距離を管理している。デバイス認識距離管理テーブル３４０は、デバイス欄３４１及び認識距離欄３４２を有する。

デバイス欄３４１は、車両周囲を認識する認識デバイスの種類を示す。認識距離欄３４２は、認識方向それぞれにおける、各認識デバイスによる現在の認識距離を示す。認識デバイスによる認識距離は、認識デバイスの故障の有無や車両周囲の状況（天候や道路状態等）によって変化し得る。したがって、デバイス認識距離管理テーブル３４０の値は、随時、例えば定期的に更新される。例えば、前方を認識するＲａｄａｒが故障すると、その認識距離が、２００から０に変更される。

図７は本実施の形態に係る車両認識距離管理テーブル３５０の例である。車両認識距離管理テーブル３５０は、自動運転ＥＣＵ１０のメモリに格納され、機能レベル判定部１２２により更新、管理される。車両認識距離管理テーブル３５０は、車両全体の認識距離を管理している。車両認識距離管理テーブル３５０は、認識距離欄３５１を有し、認識方向それぞれにおける車両としての現在の認識距離を示す。図７の例において、各認識方向における車両認識距離は、各認識方向における認識デバイスの最大認識距離である。

例えば、前方の認識デバイスが全て正常に動作している場合、Ｒａｄａｒの認識距離が最大であり、その値は２００である。したがって、前方の車両認識距離は２００である。前方を認識するＲａｄａｒが故障すると、前方の認識デバイスの最大認識距離は、２００から１０に変化する。したがって、前方の車両認識距離も２００から１０に変更される。このように、車両認識距離管理テーブル３５０は、デバイスの故障の有無や動作中デバイスに性能変化に応じた機能の性能（性能発揮状態）を管理できる。

図８は本実施の形態に係る安全状態選択テーブル３６０の例である。安全状態選択テーブル３６０は、自動運転ＥＣＵ１０のメモリに予め格納されている。安全状態選択テーブル３６０は、第１目標安全状態を決定するために参照される。安全状態選択テーブル３６０は、縮退オペレーション（Ｅｍｅｒｇｅｎｃｙ Ｏｐｅｒａｔｉｏｎ）及び機能レベル判定部１２２に決定される制限下における第１目標安全状態を管理する。安全状態選択テーブル３６０は、縮退要否欄３６１、速度制限欄３６２、第１目標安全状態欄３６３、及びタイムアウト欄３６４を有する。

縮退要否欄３６１は、縮退オペレーションの要否を示す。セルの値が「要」の際に、縮退オペレーションが実行され、セルの値が「否」の際には、縮退オペレーションは実行されない。速度制限欄３６２は、機能レベル判定部１２２に決定される速度制限との比較される参照値を格納している。

第１目標安全状態欄３６３は、第１目標安全状態である動作モードを示す。タイムアウト欄３６４は、第１目標安全状態欄３６３が示す「ドライバ引き継ぎ」が未達成と判定される時間制約を示している。

安全状態選択テーブル３６０は、第１目標安全状態を選択する条件として、制限速度と異なる機能制限を含んでもよい。例えば、自動車線変更制限、自動右左折停止、自動信号停止制限等を含むことができる。例えば、自動車線変更制限は、後方の認識距離が低下し、システム単独では車線変更を行えない動作モードである。目的地まで到達するために車線変更が必要な場合、第１目標安全状態として「ドライバ引き継ぎ」が選択されてもよい。第１目標安全状態欄３６３は、図８に示す例と異なる動作モードを含んでよい。例えば、第１目標安全状態欄３６３は、後述する安全状態要求機能テーブル３７０が示す態様の車両停止を含んでもよい。

図９は本実施の形態に係る安全状態要求機能テーブル３７０の例である。安全状態要求機能テーブル３７０は、自動運転ＥＣＵ１０のメモリに予め格納されている。安全状態要求機能テーブル３７０は、安全状態選択テーブル３６０が示すタイムアウト後の目標安全状態（第２目標安全状態）と、第２目標安全状態が要求する機能との関係を管理する。安全状態要求機能テーブル３７０は、タイムアウト後の目標安全状態（第２目標安全状態）欄３７１及び要求機能欄３７２を有する。要求機能欄３７２は、タイムアウト後の目標安全状態（第２目標安全状態）欄３７１が示す第２目標安全状態それぞれが要求する機能を示す。

図１０は本実施の形態に係る機能要求認識距離テーブル３８０の例である。機能要求認識距離テーブル３８０は、自動運転ＥＣＵ１０のメモリに予め格納されている。機能要求認識距離テーブル３８０は、安全状態要求機能テーブル３７０の要求機能欄３７２が示す機能それぞれが要求する認識距離を管理する。機能要求認識距離テーブル３８０は、機能欄３８１及び要求認識距離欄３８２を有する。機能欄３８１は、安全状態要求機能テーブル３７０の要求機能欄３７２に対応付けられている。要求認識距離欄３８２は、機能欄３８１が示す機能それぞれが要求する、認識方向それぞれの認識距離を示す。

図１１は本実施の形態に係るユースケースの例である。本ユースケースは自車４０１が大雨の高速道路を自動運転モードで走行中に、前方のＲａｄａｒが故障している状況を示している。自車の前方には他車４０２が走行している。

図１２は、図１１に示すユースケースにおける、本実施の形態に係る車両４０１の振る舞いの例を示している。図１２は、車両４０１の状態遷移、認識距離、車両速度を示す。横軸は時間を示す。大雨の高速道路を自動運転レベル３で自動走行中に、時刻Ｔ０において前方Ｒａｄａｒが故障する。

これにより、前方認識距離が、Ｒａｄａｒの２００ｍから、悪天候により認識距離が低下したカメラによる認識距離１０ｍに低下する。さらに、前方認識距離の低下に伴い、速度制限における制限速度がＶ０からＶ２に低下する。自動運転モードにおける走行速度は、前方Ｒａｄａｒの故障により、速度Ｖ０より遅い１００ｋｍ／ｈから速度Ｖ２（５５ｋｍ／ｈ）に低下する。これに伴い、車両４０１の状態は、自動運転から時刻Ｔ０でドライバ引き継ぎに遷移し、さらに、時刻Ｔ１でドライバ引き継ぎが達成されてドライバ運転に遷移する。

以降より、本実施の形態に係る動作フローの詳細を説明する。図１３は、マイコンＡ１１２及びマイコンＢ１１３の故障検知部１２４及び１３４の動作フローである。故障検知部１２４及び１３４は、故障個所を監視している。以下、図１３の各ステップについて説明する。故障検知部１２４及び１３４は、それぞれ、認識デバイス、バス、電源、マイコン等の故障診断を行う（Ｓ１０１）。例えば、故障検知部１２４及び１３４は対象箇所から正常に信号を受信できない場合、当該対象箇所において故障が発生していると判定する。

いずれか１以上の箇所で故障が発生している場合（Ｓ１０１：Ｙ）、故障検知部１２４及び１３４は、故障個所を故障レベル判定部１３３に通知する（Ｓ１０２）。故障箇所がない場合（Ｓ１０１：Ｎ）、本フローは終了する。

図１４は故障レベル判定部１３３の動作フローである。以下、図１４の各ステップについて説明する。故障レベル判定部１３３は、故障検知部１２４及び１３４、並びに、冗長系自動運転ＥＣＵ２０から故障箇所の通知を受ける。故障レベル判定部１３３は、故障影響管理テーブル３１０を参照し、故障個所の通知に応じて故障管理テーブル３２０を更新する（Ｓ１５１）。

故障レベル判定部１３３は、故障箇所に影響を受けた箇所（故障管理テーブル３２０において更新された箇所）に基づいて、冗長度管理テーブル３３０を更新し、現在の構成における出力及び複数の認識方向における入力それぞれの冗長度を判定する（Ｓ１５２）。故障レベル判定部１３３は、冗長度管理テーブル３３０が示すいずれかの箇所、つまり、いずれか認識方向における入力又は出力において、冗長度が０であるか否かを判定する（Ｓ１５３）。

冗長度管理テーブル３３０が示すいずれかの箇所の冗長度が０である場合（Ｓ１５３：Ｙ）、故障レベル判定部１３３は、安全状態選択部１３１に縮退要求を出力する（Ｓ１５４）。いずれの箇所の冗長度も０より大きい場合（Ｓ１５３：Ｎ）、本フローは終了する。なお、縮退要求を出力する条件は、いずれかの箇所の冗長度が１以下であることであってもよい。このように、冗長度が所定の閾値以下となる場合に縮退要求を出力することで、安全性を高めることができる。

図１５は制御指示部１３２の動作フローである。以下、図１５の各ステップについて説明する。制御指示部１３２は、周囲認知・軌道生成部１２１から車両が進むべき軌道の情報を受信し、当該軌道に基づいた制御指令値を、運動制御ＥＣＵ３０及び冗長系運動制御ＥＣＵ４０に出力する（Ｓ２０１）。制御指示部１３２は、ドライバ引き継ぎが達成されると出力を停止する。

図１６は認識距離検出部１２３の動作フローである。以下、図１６の各ステップについて説明する。認識距離検出部１２３はＬｉｄａｒ１０１、Ｃａｍｅｒａ１（１０２）、Ｒａｄａｒ２０１及びＣａｍｅｒａ２（２０２）及び／又は他のセンサデバイスのセンサ値と故障検知部１２４及び冗長系自動運転ＥＣＵ２０からの故障箇所情報とに応じて、認識デバイス１０１、１０２、２０１及び２０２の認識距離を決定する（Ｓ２５１）。認識距離検出部１２３は、決定した認識距離によって、デバイス認識距離管理テーブル３４０を更新する。認識距離検出部１２３は、当該処理を随時、例えば、定期的に実行する。

上述のように、認識デバイスが故障すると、当該認識デバイスの認識距離は０となる。また、動作中の認識デバイスの認識距離（現在性能）は、天候や道路状態といった、車両周囲の状況に依存する。例えば、認識距離は、雨、霧、雪といった悪天候によって認識距離が短くなり得る。または、道路の白線が薄くなっている、信号機の色が薄い、信号機が木の枝で隠れているといった状況（悪路）は、白線認識や信号認識などの物体を認識可能な速度、つまり、認識距離を低下させる。さらに、逆光、夜間走行などの条件も、認識距離が短くなる要因となり得る。

認識距離検出部１２３は、例えば、動作中認識デバイス（故障していない認識デバイス）の測定結果に基づき、現在の認識距離（現在の性能）を決定する。具体的には、認識距離検出部１２３は、Ｌｉｄａｒ１０１、Ｃａｍｅｒａ１（１０２）、Ｒａｄａｒ２０１及びＣａｍｅｒａ２（２０２）からのデータに基づき、それぞれの認識距離を決定する。例えば、ステレオカメラにより認識可能な物体の距離（認識距離）はその視差から決定でき、Ｌｉｄａｒの認識距離は、認識可能な物体からの反射強度から決定でき、白線認識の認識距離は当該白線を認識可能な速度から計算できる。

認識距離検出部１２３は、それらの認識距離を決定する認識デバイスと異なるセンサからのデータに基づき、認識デバイスの認識距離を決定してもよい。例えば、車両システム１は天気センサを含み、認識距離検出部１２３は、天気センサにより検出された天気に予め対応付けられている各認識デバイスの認識距離を、現在の認識距離と決定する。認識距離検出部１２３は、認識デバイスの故障の有無及び現在の性能の一方のみに基づき、各認識デバイスの認識距離を決定してもよい。認識距離検出部１２３は、上述のように認識デバイスの故障の有無及び現在の性能の双方に基づき各認識デバイスの認識距離をより適切に決定できる。

図１７は機能レベル判定部１２２の動作フローである。以下、図１７の各ステップについて説明する。機能レベル判定部１２２は、認識方向それぞれの車両認識距離に基づき、速度制限、車線変更制限などの機能制限を決定する制約（Ｓ３０１）。機能レベル判定部１２２は、認識距離検出部１２３から、デバイス認識距離管理テーブル３４０が示す認識距離を受信する。機能レベル判定部１２２は、受信した認識距離に基づき認識方向それぞれ車両認識距離を決定し、車両認識距離管理テーブル３５０を更新する。自動運転ＥＣＵ１０は、認識方向それぞれの車両認識距離と制限それぞれとの関係を特定する情報を予め保持している。機能レベル判定部１２２は、当該情報を参照して、認識方向それぞれ車両認識距離に基づいて、制限を決定する。

上述のように、デバイス認識距離管理テーブル３４０が示す認識距離は、デバイスの故障の有無及び／又はデバイスの現在性能に基づき決定されている。従って、機能レベル判定部１２２は、デバイスの故障の有無及び／又はデバイスの現在性能に基づき車両認識距離を決定している。

図１８は周囲認知・軌道生成部１２１の動作フローである。以下、図１８の各ステップについて説明する。周囲認知・軌道生成部１２１は、安全状態選択部１３１から目標安全状態情報を受信したか判定する（Ｓ３５１）。目標安全状態情報は、第１目標安全状態及び（必要な）第２目標安全状態についての情報を含む。受信していない場合（Ｓ３５１：Ｎ）、周囲認知・軌道生成部１２１は、認識デバイスの認知結果、地図情報、機能レベル判定部１２２からの機能制限に基づき、目的地点に向けた軌道及び目標速度含む走行条件を生成する（Ｓ３５２）。

目標安全状態情報を受信している場合（Ｓ３５１：Ｙ）、かつ、第１目標安全状態が「走行継続」である場合（Ｓ３５３：Ｎ）、周囲認知・軌道生成部１２１は、ステップＳ３５３を実行する。第１目標安全状態が「ドライバ引き継ぎ」である場合（Ｓ３５３：Ｙ）、周囲認知・軌道生成部１２１は、例えばＨＭＩ５０を介して、ドライバに引き継ぎを通知する（Ｓ３５４）。

周囲認知・軌道生成部１２１は、ドライバによる引き継ぎがなされたか判定する（Ｓ３５５）。ドライバによる引き継ぎがなされた場合（Ｓ３５５：Ｙ）、本フローは終了する。ドライバによる引き継ぎがなされていない場合（Ｓ３５５：Ｎ）、周囲認知・軌道生成部１２１は、認識デバイスの認知結果、地図情報、機能レベル判定部１２２からの機能制限に基づき、目的地点に向けた軌道及び目標速度含む走行条件を生成する（Ｓ３５６）。

目標安全状態情報がタイムアウト条件、つまり、第２目標安全状態を含まない場合（Ｓ３５７：Ｎ）、周囲認知・軌道生成部１２１は、ドライバによる引き継ぎがあるまでステップＳ３５６を実行する。目標安全状態情報がタイムアウト条件を含み（Ｓ３５７：Ｙ）、タイムアウト時間の経過した場合（Ｓ３５８：Ｙ）、周囲認知・軌道生成部１２１は、認識デバイスの認知結果、地図情報、機能レベル判定部１２２からの機能制限に基づき、第２目標安全状態が示す地点に向けた軌道及び目標速度含む走行条件を生成する（Ｓ３５９）。図９に示す安全状態要求機能テーブル３７０の例において、第２目標安全状態はサービスエリア又は路肩を目的地として示す。

機能制限に応じた周囲認知・軌道生成部１２１の処理の例を説明する。周囲認知・軌道生成部１２１は、速度制限に基づき、目標速度を決定する。機能制限は、速度制限の他に、自動車線変更制限、自動右左折停止、自動信号停止制限等を含む。

例えば、自動車線変更制限において、周囲認知・軌道生成部１２１は、車線変更要求をドライバにＨＭＩ５０により通知する。ドライバは安全確認後に、ＨＭＩ５０を介してシステムに車線変更の承認を通知する。周囲認知・軌道生成部１２１は、ドライバの承認に応じて車線を変更する。

自動右左折停止制限は、左右の認知距離が低下した状態である。例えば、周囲認知・軌道生成部１２１は、交差点を右折または左折する際に、横断歩道で必ず停止し、ドライバの通過承認を得てから通過する。自動信号停止制限では、例えば、周囲認知・軌道生成部１２１は、ドライバに信号機認識が機能していないことをＨＭＩ５０により伝える。信号が赤の場合、ドライバは、ブレーキを用いて減速する。上述のように、周囲認知・軌道生成部１２１は、機能制限と目標安全状態に基づき、適切な走行条件を決定できる。

図１９は安全状態選択部１３１の動作フローである。以下、図１９の各ステップについて説明する。安全状態選択部１３１は、安全状態選択テーブル３６０を参照し、故障レベル判定部１３３からの縮退要求の有無と機能レベル判定部１２２からの機能制限とに基づいて、第１目標安全状態を選択する。安全状態選択部１３１は、選択した第１目標安全状態にタイムアウトの条件が付されている場合、さらに、安全状態要求機能テーブル３７０を参照して、第２目標安全状態を選択する（Ｓ４０４）。

具体的には、安全状態選択部１３１は、機能要求認識距離テーブル３８０を参照し、認識距離検出部１２３から受信した認識方向それぞれの車両認識距離に基づき、利用可能な機能を決定する。安全状態選択部１３１は、安全状態要求機能テーブル３７０を参照し、利用可能な機能に基づき第２目標安全状態を選択する。いずれの目標安全状態も選択できる場合、予め定められた優先度に基づき選択される。

安全状態選択部１３１は、第１目標安全状態を選択している場合（Ｓ４０２：Ｙ）、第１目標安全状態及び付随する場合には第２目標安全状態の情報を、周囲認知・軌道生成部１２１に通知する。第１目標安全状態が選択されていない場合（Ｓ４０２：Ｎ）、本フローは終了する。

図２０は実施の形態に係るユースケースの他の例である。本ユースケースは、自車４０１の前方には他車４０２が走行しており（図１１参照）、さらに、自車が大雨の高速道路を自動運転モードで走行中に地図配信が故障する状況を示している。時刻Ｔ０において地図配信故障が発生すると、自動運転ＥＣＵ１０はドライバ引き継ぎモードに移行する。タイムアウト時間（時刻Ｔ２）内の時刻Ｔ１に引き継ぎが成功すれば、自動運転ＥＣＵ１０はドライバ運転モードに遷移する。引き継ぎが未達成の場合には、自動運転ＥＣＵ１０は時刻Ｔ２において第２目標安全状態として路肩を選択し、時刻Ｔ３において路肩に停止する。

地図配信機能は正常時に冗長度１であり、その故障に冗長度は０になる。従って、縮退オペレーションが必要である。安全状態選択テーブル３６０において、地図配信機能の故障に対応するエントリの第１目標安全状態欄３６３は、「ドライバ引き継ぎ」であり、タイムアウト欄３６４はタイムアウト時間（秒）を示す。安全状態選択部１３１は、認識方向それぞれの車両認識距離、機能要求認識距離テーブル３８０及び安全状態要求機能テーブル３７０に基づき、第２目標安全状態として路肩を選択する。安全状態選択部１３１は、上記情報を含む目標安全状態情報を周囲認知・軌道生成部１２１に通知する。

周囲認知・軌道生成部１２１は第１目標安全状態として「ドライバ引き継ぎ」の通知及びタイムアウト時間の指定を受信する。タイムアウト時間が経過時に引き継ぎが未達であり、周囲認知・軌道生成部１２１は第２目標安全状態として指定された路肩に停止する。

以上のように、本実施の形態によると、自動運転において機能の性能限界を考慮して車両が制御されるため、安全性が向上する。

なお、本発明は上記した実施の形態に限定されるものではなく、様々な変形例が含まれる。例えば、上記した実施の形態は本発明を分かりやすく説明するために詳細に説明したものであり、必ずしも説明したすべての構成を備えるものに限定されるものではない。また、ある構成例の一部を他の構成例の一部に置き換えることが可能であり、また、ある構成例に他の構成例を加えることも可能である。また、各構成例について、追加・削除・置換をすることが可能である。

また、上記の各構成・機能・処理部等は、それらの一部又は全部を、例えば集積回路で設計する等によりハードウェアで実現してもよい。また、上記の各構成、機能等は、プロセッサがそれぞれの機能を実現するプログラムを解釈し、実行することによりソフトウェアで実現してもよい。各機能を実現するプログラム、テーブル、ファイル等の情報は、メモリや、ハードディスク、ＳＳＤ（Ｓｏｌｉｄ Ｓｔａｔｅ Ｄｒｉｖｅ）等の記録装置、または、ＩＣカード、ＳＤカード等の記録媒体に置くことができる。

また、制御線や情報線は説明上必要と考えられるものを示しており、製品上必ずしもすべての制御線や情報線を示しているとは限らない。実際には殆どすべての構成が相互に接続されていると考えてもよい。

１ 車両システム、１０ 自動運転ＥＣＵ、２０ 冗長系の自動運転ＥＣＵ、３０ 運動制御ＥＣＵ、４０ 冗長系の運動制御ＥＣＵ、５０ ヒューマンマシンインタフェース、１０１ Ｌｉｄａｒ、１０２、２０２ Ｃａｍｅｒａ、１０３ 地図、２０１ Ｒａｄａｒ、１０５、１０６ イーサネットスイッチ、１０７－１１４ バス、１０３ 地図、１０４ 電源、１１２、１１３ マイコン、１２１ 周囲認知・軌道生成部、１２２ 機能レベル判定部、１２３ 認識距離検出部、１２４、１３４ 故障検知部、１３１ 安全状態選択部、１３２ 制御指示部、１３３ 故障レベル判定部、３１０ 故障影響管理テーブル、３２０ 故障管理テーブル、３３０ 冗長度管理テーブル、３４０ デバイス認識距離管理テーブル、３５０ 車両認識距離管理テーブル、３６０ 安全状態選択テーブル、３７０ 安全状態要求機能テーブル、３８０ 機能要求認識距離テーブル、４０１ 自車、４０２ 他車

Claims (6)

1. 複数機能それぞれの性能発揮状態を判定する機能レベル判定部と、
   目標安全状態を選択する、安全状態選択部と、
   前記目標安全状態と前記性能発揮状態とに基づいて、車両の軌道を含む前記車両の走行条件を決定する軌道生成部と、
   前記走行条件に基づいて車両を制御する制御指示部と、
   前記複数機能を実現するデバイスの故障の有無に基づき前記複数機能それぞれの冗長度を決定し、前記冗長度に基づき縮退オペレーションの要否を決定する、故障レベル判定部と、を含み、
   前記複数機能は、前記車両の異なる方向の認識機能を含み、
   前記車両の異なる方向の少なくとも一部の方向それぞれの認識機能に対して、複数種類の認識デバイスが存在し、
   前記機能レベル判定部は、前記少なくとも一部の方向の各方向について、前記複数種類の認識デバイスの性能発揮状態において最も高い現在の性能発揮状態を、各方向の認識機能の性能発揮状態と決定し、
   前記安全状態選択部は、
   前記縮退オペレーションの要否及び前記性能発揮状態に基づき、第１目標安全状態を選択し、かつ、前記第１目標安全状態が達成されない場合の第２目標安全状態の要否を判定し、
   前記第２目標安全状態が必要と判定された場合、前記複数機能の性能発揮状態に基づいて、利用可能な車両機能を決定し、
   複数の第２目標安全状態候補それぞれの要求車両機能と前記利用可能な車両機能とを比較し、前記第２目標安全状態として、前記利用可能な車両機能が満たす要求車両機能を有する第２目標安全状態候補を選択する、車両制御装置。
2. 請求項１に記載の車両制御装置であって、
   前記複数機能を実現している動作中デバイスそれぞれの現在の性能を判定するデバイス性能判定部をさらに含み、
   前記デバイス性能判定部は、前記動作中デバイスそれぞれによる測定結果に基づき前記動作中デバイスそれぞれの現在の性能を判定する、車両制御装置。
3. 請求項１に記載の車両制御装置であって、
   前記認識機能の性能発揮状態は認識距離で表わすことができる、車両制御装置。
4. 請求項１に記載の車両制御装置であって、
   前記機能レベル判定部は、前記性能発揮状態に基づき機能制限を決定し、
   前記軌道生成部は、前記機能制限に基づき前記走行条件を決定する、車両制御装置。
5. 請求項１に記載の車両制御装置であって、
   前記第１目標安全状態はドライバ引き継ぎである、車両制御装置。
6. 複数機能それぞれの性能発揮状態を判定し、
   目標安全状態を選択し、
   前記目標安全状態と前記性能発揮状態とに基づいて、車両の軌道を含む前記車両の走行条件を決定し、
   前記走行条件に基づいて車両を制御し、
   前記複数機能を実現するデバイスの故障の有無に基づき前記複数機能それぞれの冗長度を決定し、前記冗長度に基づき縮退オペレーションの要否を決定する、ことを含み、
   前記複数機能は、前記車両の異なる方向の認識機能を含み、
   前記車両の異なる方向の少なくとも一部の方向それぞれの認識機能に対して、複数種類の認識デバイスが存在し、
   前記性能発揮状態を判定することは、前記少なくとも一部の方向の各方向について、前記複数種類の認識デバイスの性能発揮状態において最も高い現在の性能発揮状態を、各方向の認識機能の性能発揮状態と決定し、
   前記目標安全状態を選択することは、
   前記縮退オペレーションの要否及び前記性能発揮状態に基づき、第１目標安全状態を選択し、かつ、前記第１目標安全状態が達成されない場合の第２目標安全状態の要否を判定し、
   前記第２目標安全状態が必要と判定された場合、前記複数機能の性能発揮状態に基づいて、利用可能な車両機能を決定し、
   複数の第２目標安全状態候補それぞれの要求車両機能と前記利用可能な車両機能とを比較し、前記第２目標安全状態として、前記利用可能な車両機能が満たす要求車両機能を有する第２目標安全状態候補を選択する、ことを含む、車両制御方法。

Images