JP7428273B2 - 処理方法、処理システム、処理プログラム、記憶媒体、処理装置 - Google Patents

Description

関連出願の相互参照

この出願は、２０２１年２月５日に日本に出願された特許出願第２０２１－１７６５８号を基礎としており、基礎の出願の内容を、全体的に、参照により援用している。

本開示は、ホスト移動体の運転制御に関する処理を遂行するための、処理技術に関する。

特許文献１に開示される技術は、ホスト車両のナビゲーション動作に関する運転制御を、ホスト車両の内外環境に関する検知情報に応じて計画している。そこで、運転ポリシに従う安全モデルと検知情報とに基づき潜在的な事故責任があると判断される場合には、運転制御に対して安全制約が与えられている。この安全制約には、ホスト車両及びターゲット車両の反応時間が考慮されている。

特許第６７０８７９３号公報

特許文献１の開示技術では、自動運転時のホスト車両に対して反応時間が想定されている。また、特許文献１の開示技術では、ホスト車両とターゲット車両とに対して共通の反応時間が想定されている。こうした想定下、運転制御の精度を確保することは困難な場合が、想定される。

本開示の課題は、運転制御の精度を確保する処理方法を、提供することにある。本開示のまた別の課題は、運転制御の精度を確保する処理システムを、提供することにある。本開示のさらに別の課題は、運転制御の精度を確保するプログラムを、提供することにある。本開示のさらに別の課題は、運転制御の精度を確保する記憶媒体を、提供することにある。本開示のさらにまた別の課題は、運転制御の精度を確保する処理装置を、提供することにある。

以下、課題を解決するための本開示の技術的手段について、説明する。

本開示の第一態様は、
ホスト移動体の運転制御に関する処理を遂行するために、プロセッサにより実行される処理方法であって、
手動運転のホスト移動体においてドライバの手動操作が定常操作からずれる手動偏差を検知することと、
運転ポリシに従うモデルであって、意図された機能の安全性をモデリングした安全モデルに基づくことにより取得され、手動偏差の発生中にホスト移動体が反応する反応時間として許容される許容反応時間を出力することと、
許容反応時間に基づくことにより取得され、ホスト移動体においてドライバの手動操作に与えられる操作余裕時間を出力することと、
操作余裕時間が許容範囲外であると判定される場合に、許容反応時間及び操作余裕時間のうち出力された少なくとも一方の記憶を保持することとを、含む。
また、第一態様の処理方法等において、操作余裕時間が許容範囲外であると判定される場合に、許容反応時間及び操作余裕時間のうち出力された少なくとも一方の記憶が保持される記憶媒体を、さらに提供してもよい。
本開示の第二態様は、
ホスト移動体の運転制御に関する処理を遂行するために、プロセッサにより実行される処理方法であって、
手動運転のホスト移動体においてドライバの手動操作が定常操作からずれる手動偏差を検知することと、
運転ポリシに従うモデルであって、意図された機能の安全性をモデリングした安全モデルに基づくことにより取得され、手動偏差の発生中にホスト移動体が反応する反応時間として許容される許容反応時間を出力することと、
許容反応時間に基づくことにより取得され、ホスト移動体においてドライバの手動操作に与えられる操作余裕時間を出力することと、
操作余裕時間が許容範囲外であると判定される場合に、ホスト移動体の手動運転に対して自動運転を介入させるための制約を運転制御に対して設定することと、
操作余裕時間が許容範囲外であると判定される場合に、自動運転のホスト移動体に不合理なリスクを回避させるための制約を運転制御に対して設定することとを、含む。
本開示の第三態様は、
ホスト移動体の運転制御に関する処理を遂行するために、プロセッサにより実行される処理方法であって、
手動運転のホスト移動体においてドライバの手動操作が定常操作からずれる手動偏差を検知することと、
運転ポリシに従うモデルであって、意図された機能の安全性をモデリングした安全モデルに基づくことにより取得され、手動偏差の発生中にホスト移動体が反応する反応時間として許容される許容反応時間を出力することと、
許容反応時間に基づくことにより取得され、ホスト移動体においてドライバの手動操作に与えられる操作余裕時間を出力することと、
操作余裕時間が許容範囲内のまま、手動偏差を与える手動操作が終了したと判定される場合に、操作余裕時間に基づくことにより、自動運転においてホスト移動体が安全モデルに従ってターゲット移動体との間に確保する安全距離を更新することとを、含む。

本開示の第四態様は、
プロセッサを含み、ホスト移動体の運転制御に関する処理を遂行する処理システムであって、
プロセッサは、
手動運転のホスト移動体においてドライバの手動操作が定常操作からずれる手動偏差を検知することと、
運転ポリシに従うモデルであって、意図された機能の安全性をモデリングした安全モデルに基づくことにより取得され、手動偏差の発生中にホスト移動体が反応する反応時間として許容される許容反応時間を出力することと、
許容反応時間に基づくことにより取得され、ホスト移動体においてドライバの手動操作に与えられる操作余裕時間を出力することと、
操作余裕時間が許容範囲外であると判定される場合に、許容反応時間及び操作余裕時間のうち出力された少なくとも一方の記憶を保持することとを、実行するように構成される。
本開示の第五態様は、
プロセッサを含み、ホスト移動体の運転制御に関する処理を遂行する処理システムであって、
プロセッサは、
手動運転のホスト移動体においてドライバの手動操作が定常操作からずれる手動偏差を検知することと、
運転ポリシに従うモデルであって、意図された機能の安全性をモデリングした安全モデルに基づくことにより取得され、手動偏差の発生中にホスト移動体が反応する反応時間として許容される許容反応時間を出力することと、
許容反応時間に基づくことにより取得され、ホスト移動体においてドライバの手動操作に与えられる操作余裕時間を出力することと、
操作余裕時間が許容範囲外であると判定される場合に、ホスト移動体の手動運転に対して自動運転を介入させるための制約を運転制御に対して設定することと、
操作余裕時間が許容範囲外であると判定される場合に、自動運転のホスト移動体に不合理なリスクを回避させるための制約を運転制御に対して設定することとを、実行するように構成される。
本開示の第六態様は、
プロセッサを含み、ホスト移動体の運転制御に関する処理を遂行する処理システムであって、
プロセッサは、
手動運転のホスト移動体においてドライバの手動操作が定常操作からずれる手動偏差を検知することと、
運転ポリシに従うモデルであって、意図された機能の安全性をモデリングした安全モデルに基づくことにより取得され、手動偏差の発生中にホスト移動体が反応する反応時間として許容される許容反応時間を出力することと、
許容反応時間に基づくことにより取得され、ホスト移動体においてドライバの手動操作に与えられる操作余裕時間を出力することと、
操作余裕時間が許容範囲内のまま、手動偏差を与える手動操作が終了したと判定される場合に、操作余裕時間に基づくことにより、自動運転においてホスト移動体が安全モデルに従ってターゲット移動体との間に確保する安全距離を更新することとを、実行するように構成される。

本開示の第七態様は、
記憶媒体に記憶され、ホスト移動体の運転制御に関する処理を遂行するためにプロセッサに実行させる命令を含む処理プログラムであって、
命令は、
手動運転のホスト移動体においてドライバの手動操作が定常操作からずれる手動偏差を検知させることと、
運転ポリシに従うモデルであって、意図された機能の安全性をモデリングした安全モデルに基づくことにより取得され、手動偏差の発生中にホスト移動体が反応する反応時間として許容される許容反応時間を出力させることと、
許容反応時間に基づくことにより取得され、ホスト移動体においてドライバの手動操作に与えられる操作余裕時間を出力させることと、
操作余裕時間が許容範囲外であると判定される場合に、許容反応時間及び操作余裕時間のうち出力された少なくとも一方の記憶を保持させることとを、含む。
本開示の第八態様は、
記憶媒体に記憶され、ホスト移動体の運転制御に関する処理を遂行するためにプロセッサに実行させる命令を含む処理プログラムであって、
命令は、
手動運転のホスト移動体においてドライバの手動操作が定常操作からずれる手動偏差を検知させることと、
運転ポリシに従うモデルであって、意図された機能の安全性をモデリングした安全モデルに基づくことにより取得され、手動偏差の発生中にホスト移動体が反応する反応時間として許容される許容反応時間を出力させることと、
許容反応時間に基づくことにより取得され、ホスト移動体においてドライバの手動操作に与えられる操作余裕時間を出力させることと、
操作余裕時間が許容範囲外であると判定される場合に、ホスト移動体の手動運転に対して自動運転を介入させるための制約を運転制御に対して設定させることと、
操作余裕時間が許容範囲外であると判定される場合に、自動運転のホスト移動体に不合理なリスクを回避させるための制約を運転制御に対して設定させることとを、含む。
本開示の第九態様は、
記憶媒体に記憶され、ホスト移動体の運転制御に関する処理を遂行するためにプロセッサに実行させる命令を含む処理プログラムであって、
命令は、
手動運転のホスト移動体においてドライバの手動操作が定常操作からずれる手動偏差を検知させることと、
運転ポリシに従うモデルであって、意図された機能の安全性をモデリングした安全モデルに基づくことにより取得され、手動偏差の発生中にホスト移動体が反応する反応時間として許容される許容反応時間を出力させることと、
許容反応時間に基づくことにより取得され、ホスト移動体においてドライバの手動操作に与えられる操作余裕時間を出力させることと、
操作余裕時間が許容範囲内のまま、手動偏差を与える手動操作が終了したと判定される場合に、操作余裕時間に基づくことにより、自動運転においてホスト移動体が安全モデルに従ってターゲット移動体との間に確保する安全距離を更新させることとを、含む。

本開示の第十態様は、
プロセッサを含み、ホスト移動体に搭載可能に構成され、ホスト移動体の運転制御に関する処理を遂行する処理装置であって、
プロセッサは、
手動運転のホスト移動体においてドライバの手動操作が定常操作からずれる手動偏差を検知することと、
運転ポリシに従うモデルであって、意図された機能の安全性をモデリングした安全モデルに基づくことにより取得され、手動偏差の発生中にホスト移動体が反応する反応時間として許容される許容反応時間を出力することと、
許容反応時間に基づくことにより取得され、ホスト移動体においてドライバの手動操作に与えられる操作余裕時間を出力することと、
操作余裕時間が許容範囲外であると判定される場合に、許容反応時間及び操作余裕時間のうち出力された少なくとも一方の記憶を保持することとを、実行するように構成される。
本開示の第十一態様は、
プロセッサを含み、ホスト移動体に搭載可能に構成され、ホスト移動体の運転制御に関する処理を遂行する処理装置であって、
プロセッサは、
手動運転のホスト移動体においてドライバの手動操作が定常操作からずれる手動偏差を検知することと、
運転ポリシに従うモデルであって、意図された機能の安全性をモデリングした安全モデルに基づくことにより取得され、手動偏差の発生中にホスト移動体が反応する反応時間として許容される許容反応時間を出力することと、
許容反応時間に基づくことにより取得され、ホスト移動体においてドライバの手動操作に与えられる操作余裕時間を出力することと、
操作余裕時間が許容範囲外であると判定される場合に、ホスト移動体の手動運転に対して自動運転を介入させるための制約を運転制御に対して設定することと、
操作余裕時間が許容範囲外であると判定される場合に、自動運転のホスト移動体に不合理なリスクを回避させるための制約を運転制御に対して設定することとを、実行するように構成される。
本開示の第十二態様は、
プロセッサを含み、ホスト移動体に搭載可能に構成され、ホスト移動体の運転制御に関する処理を遂行する処理装置であって、
プロセッサは、
手動運転のホスト移動体においてドライバの手動操作が定常操作からずれる手動偏差を検知することと、
運転ポリシに従うモデルであって、意図された機能の安全性をモデリングした安全モデルに基づくことにより取得され、手動偏差の発生中にホスト移動体が反応する反応時間として許容される許容反応時間を出力することと、
許容反応時間に基づくことにより取得され、ホスト移動体においてドライバの手動操作に与えられる操作余裕時間を出力することと、
操作余裕時間が許容範囲内のまま、手動偏差を与える手動操作が終了したと判定される場合に、操作余裕時間に基づくことにより、自動運転においてホスト移動体が安全モデルに従ってターゲット移動体との間に確保する安全距離を更新することとを、実行するように構成される。

これら第一～第十二態様によると、手動運転のホスト移動体においてドライバの手動操作が定常操作からずれる手動偏差の発生中には、ホスト移動体に許容される許容反応時間が、運転ポリシに従うモデルであって、意図された機能の安全性をモデリングした安全モデルに基づく取得に応じて出力される。これによれば、手動偏差の発生シーンに特化した許容反応時間を想定することができるので、手動運転のホスト移動体に適正な制約を設定して運転制御の精度を確保することが可能となる。

本開示の第十三態様は、
ホスト移動体の運転制御に関する処理を遂行するために、プロセッサにより実行される処理方法であって、
自動運転のホスト移動体に対して後続走行するターゲット移動体を検知することと、
運転ポリシに従うモデルであって、意図された機能の安全性をモデリングした安全モデルに基づくことにより取得され、ターゲット移動体が反応する反応時間として許容される許容反応時間を出力することとを、含む。

本開示の第十四態様は、
プロセッサを含み、ホスト移動体の運転制御に関する処理を遂行する処理システムであって、
プロセッサは、
自動運転のホスト移動体に対して後続走行するターゲット移動体を検知することと、
運転ポリシに従うモデルであって、意図された機能の安全性をモデリングした安全モデルに基づくことにより取得され、ターゲット移動体が反応する反応時間として許容される許容反応時間を出力することとを、実行するように構成される。

本開示の第十五態様は、
記憶媒体に記憶され、ホスト移動体の運転制御に関する処理を遂行するためにプロセッサに実行させる命令を含む処理プログラムであって、
命令は、
自動運転のホスト移動体に対して後続走行するターゲット移動体を検知することと、
運転ポリシに従うモデルであって、意図された機能の安全性をモデリングした安全モデルに基づくことにより取得され、ターゲット移動体が反応する反応時間として許容される許容反応時間を出力することとを、含む。

本開示の第十六態様は、
プロセッサを含み、ホスト移動体に搭載可能に構成され、ホスト移動体の運転制御に関する処理を遂行する処理装置であって、
プロセッサは、
自動運転のホスト移動体に対して後続走行するターゲット移動体を検知することと、
運転ポリシに従うモデルであって、意図された機能の安全性をモデリングした安全モデルに基づくことにより取得され、ターゲット移動体が反応する反応時間として許容される許容反応時間を出力することとを、実行するように構成される。

これら第十三～第十六態様によると、自動運転のホスト移動体においてターゲット移動体の後続走行中には、ターゲット移動体に許容される許容反応時間が、運転ポリシに従うモデルであって、意図された機能の安全性をモデリングした安全モデルに基づく取得に応じて出力される。これによれば、ターゲット移動体の後続走行シーンに特化した許容反応時間を想定することができるので、自動運転のホスト移動体に適正な制約を設定して運転制御の精度を確保することが可能となる。

本開示における用語の説明を示す説明表である。 本開示における用語の説明を示す説明表である。 本開示における用語の説明を示す説明表である。 本開示における用語の定義を示す説明表である。 本開示における用語の定義を示す説明表である。 第一実施形態の処理システムを示すブロック図である。 第一実施形態の適用されるホスト車両の走行環境を示す模式図である。 第一実施形態の処理システムを示すブロック図である。 第一実施形態の車線構造例を示す模式図である。 第一実施形態の処理方法を示すフローチャートである。 第二実施形態の処理方法を示すフローチャートである。 第三実施形態の処理システムを示すブロック図である。 第三実施形態の処理方法を示すフローチャートである。 第四実施形態の処理方法を示すフローチャートである。 第五実施形態の処理システムを示すブロック図である。 第五実施形態の処理方法を示すフローチャートである。 第六実施形態の処理方法を示すフローチャートである。 第七実施形態の処理システムを示すブロック図である。 第七実施形態の処理システムを示すブロック図である。 第八実施形態の処理システムを示すブロック図である。 第八実施形態の処理方法を示すフローチャートである。 第九実施形態の処理方法を示すフローチャートである。

以下、本開示による複数の実施形態を、図面に基づき説明する。尚、各実施形態において対応する構成要素には同一の符号を付すことにより、重複する説明を省略する場合がある。また、各実施形態において構成の一部分のみを説明している場合、当該構成の他の部分については、先行して説明した他の実施形態の構成を適用することができる。さらに、各実施形態の説明において明示している構成の組み合わせばかりではなく、特に組み合わせに支障が生じなければ、明示していなくても複数の実施形態の構成同士を部分的に組み合わせることができる。

図１～５は、本開示の各実施形態に関連する用語の説明を、示している。但し、用語の定義は、図１～５に示される説明に限定して解釈されるものではなく、本開示の要旨を逸脱しない範囲内において解釈されるものである。

（第一実施形態）
図６に示される第一実施形態の処理システム１は、ホスト移動体の運転制御に関する処理（以下、運転制御処理と表記）を、遂行する。処理システム１が運転制御処理の対象とするホスト移動体は、図７に示されるホスト車両２である。ホスト車両２の視点において、ホスト車両２は自車両（ego-vehicle）であるともいえる。

ホスト車両２においては、自動運転が実行される。自動運転は、動的運転タスク（Dynamic Driving Task：以下、ＤＤＴと表記）における乗員の手動介入度に応じて、レベル分けされる。自動運転は、条件付運転自動化、高度運転自動化、又は完全運転自動化といった、作動時のシステムが全てのＤＤＴを実行する自律走行制御により、実現されてもよい。自動運転は、運転支援、又は部分運転自動化といった、乗員としてのドライバが一部若しくは全てのＤＤＴを実行する高度運転支援制御において、実現されてもよい。自動運転は、それら自律走行制御と高度運転支援制御とのいずれか一方、組み合わせ、又は切り替えにより実現されてもよい。

ホスト車両２には、図６，８に示されるセンサ系５、通信系６、及び地図ＤＢ（Data Base）７、及び情報提示系４が搭載される。センサ系５は、処理システム１により利用可能なセンサデータを、ホスト車両２における外界及び内界の検出により取得する。そのためにセンサ系５は、外界センサ５０及び内界センサ５２を含んで構成される。

外界センサ５０は、ホスト車両２の外界に存在する物標を、検出してもよい。物標検出タイプの外界センサ５０は、例えばカメラ、ＬｉＤＡＲ（Light Detection and Ranging / Laser Imaging Detection and Ranging）、レーザレーダ、ミリ波レーダ、及び超音波ソナー等のうち、少なくとも一種類である。外界センサ５０は、ホスト車両２の外界における大気の状態を、検出してもよい。大気検出タイプの外界センサ５０は、例えば外気温センサ、及び湿度センサ等のうち、少なくとも一種類である。

内界センサ５２は、ホスト車両２の内界において車両運動に関する特定の物理量（以下、運動物理量と表記）を、検出してもよい。物理量検出タイプの内界センサ５２は、例えば速度センサ、加速度センサ、及びジャイロセンサ等のうち、少なくとも一種類である。内界センサ５２は、ホスト車両２の内界における乗員の状態を、検出してもよい。乗員検出タイプの内界センサ５２は、例えばアクチュエータセンサ、ドライバステータスモニタ、生体センサ、着座センサ、及び車内機器センサ等のうち、少なくとも一種類である。ここで特にアクチュエータセンサとしては、ホスト車両２の運動アクチュエータに関する乗員の操作状態を検出する、例えばアクセルセンサ、ブレーキサンサ、及び操舵センサ等のうち、少なくとも一種類が採用される。

通信系６は、処理システム１により利用可能な通信データを、無線通信により取得する。通信系６は、ホスト車両２の外界に存在するＧＮＳＳ（Global Navigation Satellite System）の人工衛星から、測位信号を受信してもよい。測位タイプの通信系６は、例えばＧＮＳＳ受信機等である。通信系６は、ホスト車両２の外界に存在するＶ２Ｘシステムとの間において、通信信号を送受信してもよい。Ｖ２Ｘタイプの通信系６は、例えばＤＳＲＣ（Dedicated Short Range Communications）通信機、及びセルラＶ２Ｘ（C-V2X）通信機等のうち、少なくとも一種類である。通信系６は、ホスト車両２の内界に存在する端末との間において、通信信号を送受信してもよい。端末通信タイプの通信系６は、例えばブルートゥース（Bluetooth：登録商標）機器、Ｗｉ－Ｆｉ（登録商標）機器、及び赤外線通信機器等のうち、少なくとも一種類である。

地図ＤＢ７は、処理システム１により利用可能な地図データを、記憶する。地図ＤＢ７は、例えば半導体メモリ、磁気媒体、及び光学媒体等のうち、少なくとも一種類の非遷移的実体的記憶媒体（non-transitory tangible storage medium）を含んで構成される。地図ＤＢ７は、自己位置を含んだホスト車両２の自己状態量を推定するロケータの、ＤＢであってもよい。地図ＤＢは、ホスト車両２の走行経路をナビゲートするナビゲーションユニットの、ＤＢであってもよい。地図ＤＢ７は、複数種類のＤＢの組み合わせにより、構築されてもよい。

地図ＤＢ７は、例えばＶ２Ｘタイプの通信系６を介した外部センタとの通信等により、最新の地図データを取得して記憶する。地図データは、ホスト車両２の走行環境を表すデータとして、二次元又は三次元にデータ化されている。三次元の地図データとしては、高精度地図のデジタルデータが採用されてもよい。地図データは、例えば道路構造の位置座標、形状、及び路面状態等のうち、少なくとも一種類を表した道路データを含んでいてもよい。地図データは、例えば道路に付属する道路標識、道路表示、及び区画線の、位置座標並びに形状等のうち、少なくとも一種類を表した標示データを含んでいてもよい。地図データに含まれる標示データは、ランドマークのうち、例えば交通標識、矢印マーキング、車線マーキング、停止線、方向標識、ランドマークビーコン、長方形標識、ビジネス標識、又は道路のラインパターン変化等を表していてもよい。地図データは、例えば道路に面する建造物及び信号機の、位置座標並びに形状等のうち、少なくとも一種類を表した構造物データを含んでいてもよい。地図データに含まれる標示データは、ランドマークのうち、例えば街灯、道路のエッジ、反射板、ポール、又は道路標識の裏側等を表していてもよい。

情報提示系４は、ホスト車両２のドライバを含む乗員へ向けた報知情報を提示する。情報提示系４は、視覚提示ユニット、聴覚提示ユニット、及び皮膚感覚提示ユニットを含んで構成される。視覚提示ユニットは、乗員の視覚を刺激することより、報知情報を提示する。視覚提示ユニットは、例えばＨＵＤ（Head-up Display）、ＭＦＤ（Multi Function Display）、コンビネーションメータ、ナビゲーションユニット、及び発光ユニット等のうち、少なくとも一種類である。聴覚提示ユニットは、乗員の聴覚を刺激することにより、報知情報を提示する。聴覚提示ユニットは、例えばスピーカ、ブザー、及びバイブレーションユニット等のうち、少なくとも一種類である。皮膚感覚提示ユニットは、乗員の皮膚感覚を刺激することにより、報知情報を提示する。皮膚感覚提示ユニットにより刺激される皮膚感覚には、例えば触覚、温度覚、及び風覚等のうち、少なくとも一種類が含まれる。皮膚感覚提示ユニットは、例えばステアリングホイールのバイブレーションユニット、運転席のバイブレーションユニット、ステアリングホイールの反力ユニット、アクセルペダルの反力ユニット、ブレーキペダルの反力ユニット、及び空調ユニット等のうち、少なくとも一種類である。

図６に示されるように処理システム１は、例えばＬＡＮ（Local Area Network）、ワイヤハーネス、内部バス、及び無線通信回線等のうち、少なくとも一種類を介してセンサ系５、通信系６、地図ＤＢ７、及び情報提示系４に接続される。処理システム１は、少なくとも一つの専用コンピュータを含んで構成される。処理システム１を構成する専用コンピュータは、ホスト車両２の運転制御を統合する、統合ＥＣＵ（Electronic Control Unit）であってもよい。処理システム１を構成する専用コンピュータは、ホスト車両２の運転制御におけるＤＤＴを判断する、判断ＥＣＵであってもよい。処理システム１を構成する専用コンピュータは、ホスト車両２の運転制御を監視する、監視ＥＣＵであってもよい。処理システム１を構成する専用コンピュータは、ホスト車両２の運転制御を評価する、評価ＥＣＵであってもよい。

処理システム１を構成する専用コンピュータは、ホスト車両２の走行経路をナビゲートする、ナビゲーションＥＣＵであってもよい。処理システム１を構成する専用コンピュータは、ホスト車両２の自己位置を含む自己状態量を推定する、ロケータＥＣＵであってもよい。処理システム１を構成する専用コンピュータは、ホスト車両２の運動アクチュエータを制御する、アクチュエータＥＣＵであってもよい。処理システム１を構成する専用コンピュータは、ホスト車両２における情報提示を制御する、ＨＣＵ（HMI（Human Machine Interface） Control Unit）であってもよい。処理システム１を構成する専用コンピュータは、例えば通信系６を介して通信可能な外部センタ又はモバイル端末等を構築する、少なくとも一つの外部コンピュータであってもよい。

処理システム１を構成する専用コンピュータは、メモリ１０及びプロセッサ１２を、少なくとも一つずつ有している。メモリ１０は、コンピュータにより読み取り可能なプログラム及びデータ等を非一時的に記憶する、例えば半導体メモリ、磁気媒体、及び光学媒体等のうち、少なくとも一種類の非遷移的実体的記憶媒体（non-transitory tangible storage medium）である。プロセッサ１２は、例えばＣＰＵ（Central Processing Unit）、ＧＰＵ（Graphics Processing Unit）、及びＲＩＳＣ（Reduced Instruction Set Computer）－ＣＰＵ等のうち、少なくとも一種類をコアとして含む。

プロセッサ１２は、ソフトウェアとしてメモリ１０に記憶された処理プログラムに含まれる複数の命令を、実行する。これにより処理システム１は、ホスト車両２の運転制御処理を遂行するための機能ブロックを、複数構築する。このように処理システム１では、ホスト車両２の運転制御処理を遂行するためにメモリ１０に記憶された処理プログラムが複数の命令をプロセッサ１２に実行させることにより、複数の機能ブロックが構築される。処理システム１により構築される複数の機能ブロックには、図８に示されるように検知ブロック１００、計画ブロック１２０、リスク監視ブロック１４０、及び制御ブロック１６０が含まれる。

検知ブロック１００は、センサ系５の外界センサ５０及び内界センサ５２からセンサデータを取得する。検知ブロック１００は、通信系６から通信データを取得する。検知ブロック１００は、地図ＤＢ７から地図データを取得する。検知ブロック１００は、これらの取得データを入力としてフュージョンすることにより、ホスト車両２の内外環境を検知する。内外環境の検知により検知ブロック１００は、後段の計画ブロック１２０とリスク監視ブロック１４０とへ与える検知情報を生成する。このように検知情報の生成に当たって検知ブロック１００は、センサ系５及び通信系６からデータを取得し、取得データの意味を認識又は理解し、ホスト車両２の外界状況及びその中での自己の置かれた状況、並びにホスト車両２の内界状況を含む状況全般を、取得データを統合して把握するといえる。検知ブロック１００は、計画ブロック１２０とリスク監視ブロック１４０とへ実質同一の検知情報を与えてもよい。検知ブロック１００は、計画ブロック１２０とリスク監視ブロック１４０とへ相異なる検知情報を与えてもよい。

検知ブロック１００が生成する検知情報は、ホスト車両２の走行環境においてシーン毎に検知される状態を、記述している。検知ブロック１００は、ホスト車両２の外界における道路ユーザ、障害物、及び構造物を含んだ物体を検知することにより、当該物体の検知情報を生成してもよい。物体の検知情報は、例えば物体までの距離、物体の相対速度、物体の相対加速度、物体の追尾検知による推定状態等のうち、少なくとも一種類を表していてもよい。物体の検知情報はさらに、検知された物体の状態から認識又は特定される種別を、表していてもよい。検知ブロック１００は、ホスト車両２の現在及び将来に走行する走路を検知することにより、当該走路の検知情報を生成してもよい。走路の検知情報は、例えば路面、車線、道路端、及びフリースペース等のうち、少なくとも一種類の状態を表していてもよい。

検知ブロック１００は、ホスト車両２の自己位置を含む自己状態量を推定的に検知するローカリゼーションにより、当該自己状態量の検知情報を生成してもよい。検知ブロック１００は、自己状態量の検知情報と同時に、ホスト車両２の走路に関する地図データの更新情報を生成して、当該更新情報を地図ＤＢ７へフィードバックしてもよい。検知ブロック１００は、ホスト車両２の走路に関連付けられた標示を検知することにより、当該標示の検知情報を生成してもよい。標示の検知情報は、例えば標識、区画線、及び信号機等のうち、少なくとも一種類の状態を表していてもよい。標示の検知情報はさらに、標示の状態から認識又は特定される交通ルールを、表していてもよい。検知ブロック１００は、ホスト車両２の走行するシーン毎の気象状況を検知することにより、当該気象状況の検知情報を生成してもよい。検知ブロック１００は、ホスト車両２の走行シーン毎の時刻を検知することにより、当該時刻の検知情報を生成してもよい。

計画ブロック１２０は、検知ブロック１００から検知情報を取得する。計画ブロック１２０は、取得した検知情報に応じてホスト車両２の運転制御を計画する。運転制御の計画では、ホスト車両２のナビゲーション動作及びドライバの支援動作に関する制御指令が生成される。即ち計画ブロック１２０は、ホスト車両２の運動制御要求として制御指令を生成する、ＤＤＴ機能を実現する。計画ブロック１２０が生成する制御指令は、ホスト車両２の運動アクチュエータを制御するための制御パラメータを、含んでいてもよい。制御指令の出力対象となる運動アクチュエータとしては、例えば内燃機関、電動モータ、及びそれらが組み合わされたパワトレイン、ブレーキ装置、並びに操舵装置等のうち、少なくとも一種類が挙げられる。

計画ブロック１２０は、運転ポリシとその安全性に従って記述された安全モデルを用いることにより、当該運転ポリシと適合するように制御指令を生成してもよい。安全モデルの従う運転ポリシとは、例えば意図された機能の安全性（Safety Of The Intended Functionality：以下、ＳＯＴＩＦと表記）を保証する車両レベル安全戦略を踏まえて、規定される。換言すれば安全モデルは、車両レベル安全戦略の実装となる運転ポリシに従うことにより、且つＳＯＴＩＦをモデリングすることにより、記述される。計画ブロック１２０は、運転制御結果を安全モデルに逆伝播させる機械学習アルゴリズムにより、安全モデルをトレーニングしてもよい。トレーニングされる安全モデルとしては、例えばＤＮＮ（Deep Neural Network）といったニュラーラルネットワークによるディープラーニング、及び強化学習等のうち、少なくとも一種類の学習モデルが用いられてもよい。ここで安全モデルとは、他の道路ユーザの合理的に予見可能な行動についての仮定に基づく運転行動の安全関連側面を表現した、安全関連モデル（safety-related models）そのものに定義されてもよいし、当該安全関連モデルのうち一部を構成するモデルに定義されてもよい。このような安全モデルは、例えば車両レベル安全を定式化した数理モデル、及び当該数理モデルに従った処理を実行するコンピュータプログラム等のうち、少なくとも一種類の形態で構築されているとよい。

計画ブロック１２０は、運転制御によってホスト車両２に将来走行させる経路を、制御指令の生成に先立って計画してもよい。経路計画は、検知情報に基づいてホスト車両２をナビゲートするために、例えばシミュレーション等の演算によって実行されてもよい。即ち計画ブロック１２０は、ホスト車両２の戦術的行動として経路を計画する、ＤＤＴ機能を実現してもよい。計画ブロック１２０はさらに、計画経路を辿るホスト車両２に対して、取得した検知情報に基づく適正な軌道を、制御指令の生成に先立って計画してもよい。即ち計画ブロック１２０は、ホスト車両２の軌道を計画する、ＤＤＴ機能を実現してもよい。計画ブロック１２０が計画する軌道は、ホスト車両２に関する運動物理量として、例えば走行位置、速度、加速度、及びヨーレート等のうち、少なくとも一種類を時系列に規定してもよい。時系列な軌道計画は、ホスト車両２のナビゲートによる将来走行のシナリオを、構築する。計画ブロック１２０は、安全モデルを用いた計画によって軌道を生成してもよい。この場合には、生成された軌道に対してコストを与えるコスト関数が演算されることにより、当該演算結果に基づく機械学習アルゴリズムによって安全モデルがトレーニングされてもよい。

計画ブロック１２０は、ホスト車両２における自動運転レベルの調整を、取得した検知情報に応じて計画してもよい。自動運転レベルの調整には、自動運転と手動運転との間での引き継ぎも含まれていてもよい。自動運転と手動運転との間での引き継ぎは、自動運転を実行する運行設計領域（Operational Design Domain：以下、ＯＤＤと表記）の設定により、当該ＯＤＤに対する進入又は退出に伴うシナリオにおいて実現されてもよい。ＯＤＤからの退出シナリオ、即ち自動運転から手動運転への引き継ぎシナリオでは、例えば安全モデル等に基づき不合理なリスクが存在すると判断される不合理な状況が、ユースケースとして挙げられる。このユースケースにおいて計画ブロック１２０は、フォールバック予備ユーザとなるドライバが最小リスク操作をホスト車両２に与えてホスト車両２を最小リスク状態へ移行させるためのＤＤＴフォールバックを、計画してもよい。

自動運転レベルの調整には、ホスト車両２の縮退走行が含まれてもよい。縮退走行のシナリオでは、手動運転への引き継ぎによっては不合理なリスクが存在すると、例えば安全モデル等に基づき判断される不合理な状況が、ユースケースとして挙げられる。このユースケースにおいて計画ブロック１２０は、自律走行及び自律停止によりホスト車両２を最小リスク状態へ移行させるためのＤＤＴフォールバックを、計画してもよい。ホスト車両２を最小リスク状態へ移行させるためのＤＤＴフォールバックは、自動運転レベルを引き下げる調整において実現されるだけでなく、自動運転レベルを維持して縮退走行させる調整、例えばＭＲＭ（Minimum Risk Maneuver）等において実現されてもよい。ホスト車両２を最小リスク状態へ移行させるためのＤＤＴフォールバックでは、例えば照明、ホーン音、信号、及びジェスチャー等のうち、少なくとも一種類により当該移行状況の目立ち易さが高められてもよい。

リスク監視ブロック１４０は、検知ブロック１００から検知情報を取得する。リスク監視ブロック１４０は、取得した検知情報に基づくことにより、ホスト車両２とその他のターゲット移動体３（図７参照）との間におけるリスクを、シーン毎に監視する。リスク監視ブロック１４０は、ターゲット移動体３に対してホスト車両２のＳＯＴＩＦを保証するように、検知情報に基づくリスク監視を時系列に実行する。リスク監視において想定されるターゲット移動体３は、ホスト車両２の走行環境に存在する他の道路ユーザである。ターゲット移動体３には、例えば自動車、トラック、バイク、及び自転車といった脆弱性のない道路ユーザと、歩行者といった脆弱な道路ユーザとが、含まれる。ターゲット移動体３にはさらに、動物が含まれてもよい。

リスク監視ブロック１４０は、ホスト車両２においてＳＯＴＩＦを保証する、例えば車両レベル安全戦略等を踏まえた安全エンベロープを、取得したシーン毎の検知情報に基づき設定する。リスク監視ブロック１４０は、上述の運転ポリシに従う安全モデルを用いて、ホスト車両２及びターゲット移動体３間における安全エンべーロープを設定してもよい。安全エンベロープの設定に用いられる安全モデルは、不合理なリスク又は道路ユーザの誤用に起因する潜在的な事故責任を、事故責任規則に則って回避するように設計されてもよい。換言すれば安全モデルは、運転ポリシに従う事故責任規則をホスト車両２が遵守するように設計されてもよい。こうした安全モデルとしては、例えば特許文献１に開示されるような責任敏感型安全性モデル（Responsibility Sensitive Safety model）等が、挙げられる。

ここで安全エンベロープとは、許容可能なリスクのレベル内で操作を維持するためにシステムが制約又は制御の対象として動作するように設計されている、一連の制限及び条件として定義されてもよい。このような安全エンベロープは、ホスト車両２及びターゲット移動体３を含んだ各道路ユーザの周囲における物理ベースのマージンとして、例えば距離、速度、及び加速度等のうち少なくとも一種類の運動物理量に関するマージンにより、設定可能である。例えば安全エンベロープの設定では、運転ポリシに従うと仮定したホスト車両２及びターゲット移動体３に対する安全モデルに基づくことにより、少なくとも一種類の運動物理量に関するプロファイルから、安全距離が想定されてもよい。安全距離は、予測されるターゲット移動体３の運動に対して、ホスト車両２の周囲に物理ベースのマージンを確保した境界を、画定する。安全距離は、道路ユーザにより適切な応答が実行されるまでの反応時間を加味して、想定されてもよい。安全距離は、事故責任規則を遵守するように、想定されてもよい。例えば車線等の車線構造が存在するシーンでは、ホスト車両２の縦方向において追突及び正面衝突のリスクを回避する安全距離と、ホスト車両２の横方向において側面衝突のリスクを回避する安全距離とが、演算されてもよい。一方、車線構造が存在しないシーンでは、ホスト車両２の任意方向において軌道の衝突するリスクを回避する安全距離が、演算されてもよい。

リスク監視ブロック１４０は、ホスト車両２及びターゲット移動体３間における相対運動のシーン毎での状況を、上述した安全エンベロープの設定に先立って特定してもよい。例えば車線等の車線構造が存在するシーンでは、縦方向において追突及び正面衝突のリスクが想定される状況と、横方向において側面衝突のリスクが想定される状況とが、特定されてもよい。これら縦方向及び横方向の状況特定では、直線状の車線を前提とする座標系へ、ホスト車両２及びターゲット移動体３に関する状態量が変換されてもよい。一方、車線構造が存在しないシーンでは、ホスト車両２の任意方向において軌道が衝突するリスクの想定される状況が、特定されてもよい。尚、以上の状況特定機能については、検知ブロック１００により少なくとも一部が実行されることにより、状況特定結果が検知情報としてリスク監視ブロック１４０に与えられてもよい。

リスク監視ブロック１４０は、ホスト車両２及びターゲット移動体３間における安全判定を、設定した安全エンベロープと、取得したシーン毎の検知情報とに基づき、実行する。即ちリスク監視ブロック１４０は、ホスト車両２及びターゲット移動体３間において検知情報に基づき解釈される走行シーンには、安全エンベロープの違反となる安全エンベロープ違反があるか否かをテストすることにより、安全判定を実現する。安全エンベロープの設定において安全距離が想定される場合には、ホスト車両２及びターゲット移動体３間の現実距離が当該安全距離超過となることにより、安全エンベロープ違反はないとの判定が下されてもよい。一方、ホスト車両２及びターゲット移動体３間の現実距離が安全距離以下となることにより、安全エンベロープ違反があるとの判定が下されてもよい。

リスク監視ブロック１４０は、安全エンベロープ違反ありとの判定を下した場合に、適切な応答として取るべき適正な行動をホスト車両２へ与えるための合理的なシナリオを、シミュレーションにより演算してもよい。合理的シナリオのシミュレーションでは、ホスト車両２及びターゲット移動体３間での状態遷移が推定されることにより、遷移する状態毎に取るべき行動が、ホスト車両２に対する制約（後に詳述）として設定されてもよい。行動の設定では、ホスト車両２へ与える少なくとも一種類の運動物理量を、ホスト車両２に対する制約として制限するように、当該運動物理量に対して仮定される制限値が演算されてもよい。

リスク監視ブロック１４０は、運転ポリシに従うと仮定したホスト車両２及びターゲット移動体３に対しての安全モデルに基づくことにより、少なくとも一種類の運動物理量に関するプロファイルから、事故責任規則を遵守するための制限値を直接的に演算してもよい。直接的な制限値の演算は、それ自体が安全エンべーロープの設定であって、運転制御に対する制約の設定でもあるといえる。そこで、制限値よりも安全側の現実値が検知される場合、安全エンベロープ違反なしとの判定が下されてもよい。一方、制限値を外れる側の現実値が検知される場合、安全エンベロープ違反ありとの判定が下されてもよい。

リスク監視ブロック１４０は、例えば安全エンベロープの設定に用いられた検知情報、安全エンベロープの判定結果を表す判定情報、当該判定結果を左右した検知情報、及びシミュレートしたシナリオ等のうち、少なくとも一種類のエビデンス情報をメモリ１０に記憶してもよい。エビデンス情報の記憶されるメモリ１０は、処理システム１を構成する専用コンピュータの種類に応じて、ホスト車両２内に搭載されていてもよいし、例えばホスト車両２外の外部センタ等に設置されていてもよい。エビデンス情報は、非暗号化状態で記憶されてもよいし、暗号化又はハッシュ化されて記憶されてもよい。エビデンス情報の記憶は、安全エンベロープ違反はあるとの判定の場合に、少なくとも実行される。勿論、安全エンベロープ違反はないとの判定の場合にも、エビデンス情報の記憶は実行されてもよい。安全エンベロープ違反なしとの判定の場合におけるエビデンス情報は、記憶時点では遅行型指標として利活用可能であり、将来に対しては先行型指標としても利活用可能となる。

制御ブロック１６０は、計画ブロック１２０から制御指令を取得する。制御ブロック１６０は、リスク監視ブロック１４０から安全エンベロープに関する判定情報を取得する。即ち制御ブロック１６０は、ホスト車両２の運動を制御する、ＤＤＴ機能を実現する。制御ブロック１６０は、安全エンベロープ違反なしとの判定情報を取得した場合に、計画されたホスト車両２の運転制御を、制御指令に従って実行する。

これに対して制御ブロック１６０は、安全エンベロープ違反ありとの判定情報を取得した場合に、計画されたホスト車両２の運転制御に対して、判定情報に基づき運転ポリシに従う制約を与える。運転制御に対する制約は、機能的な制約（functional restriction）であってもよい。運転制御に対する制約は、縮退した制約（degraded constraints）であってもよい。運転制御に対する制約は、これらとは別の制約であってもよい。運転制御に対して制約は、制御指令の制限によって与えられる。合理的なシナリオがリスク監視ブロック１４０によりシミュレートされている場合に制御ブロック１６０は、当該シナリオに従って制御指令を制限してもよい。このとき、ホスト車両２の運動物理量に関して制限値が設定されている場合には、制御指令に含まれる運動アクチュエータの制御パラメータが、当該制限値に基づき補正されてもよい。

以下、第一実施形態の詳細を説明する。

図９に示されるように第一実施形態は、車線の区切られた車線構造Ｌｓを、想定する。車線構造Ｌｓは、車線の延伸する方向を縦方向として、ホスト車両２及びターゲット移動体３の運動を規制する。車線構造Ｌｓは、車線の幅方向又は並ぶ方向を横方向として、ホスト車両２及びターゲット移動体３の運動を規制する。

車線構造Ｌｓにおけるホスト車両２及びターゲット移動体３間の運転ポリシは、例えばターゲット移動体３がターゲット車両３ａの場合、次の（Ａ）～（Ｅ）等に規定される。尚、ホスト車両２を基準とする前方とは、例えばホスト車両２の現在舵角における旋回円上の進行方向、ホスト車両２における車軸と直交する車両重心を通る直線の進行方向、又はホスト車両２におけるセンサ系５のうちフロントカメラモジュールから同カメラのＦＯＥ(Focus of Expansion)の軸線上における進行方向等を、意味する。
（Ａ） 車両は、前方を走行している車両に、後方から追突しない。
（Ｂ） 車両は、他の車両間に強引な割り込みをしない。
（Ｃ） 車両は、自己が優先の場合でも、状況に応じて他の車両と譲り合う。
（Ｄ） 車両は、見通しの悪い場所では、慎重に運転する。
（Ｅ） 車両は、自責他責に関わらず、自己で事故を防止可能な状況であれば、そのために合理的行動を取る。

運転ポリシに従うモデルであって、ＳＯＴＩＦのモデリングされた安全モデルは、不合理な状況には至らない道路ユーザの行動を、取るべき適正な合理的行動として想定する。車線構造Ｌｓにおけるホスト車両２及びターゲット移動体３間での不合理な状況とは、正面衝突、追突、及び側面衝突である。正面衝突における合理的行動は、例えばホスト車両２に対するターゲット移動体３がターゲット車両３ａの場合、逆走している車両がブレーキを掛けること等を、含む。追突における合理的行動は、例えばホスト車両２に対するターゲット移動体３がターゲット車両３ａの場合、前方を走行している車両が一定以上の急ブレーキを掛けないこと、及びそれを前提として後方を走行している車両が追突を回避すること等を、含む。側面衝突における合理的行動は、例えばホスト車両２に対するターゲット移動体３がターゲット車両３ａの場合、並走する車両同士が互いの離間方向へ操舵すること等を、含む。合理的行動の想定に際してホスト車両２及びターゲット移動体３に関する状態量は、車線がカーブする車線構造Ｌｓと、車線が高低する車線構造Ｌｓとのいずれであっても、直線状且つ平面状の車線構造Ｌｓを仮定して縦方向及び横方向を規定する、直交座標系に変換される。

安全モデルは、合理的行動を取らなかった移動体が事故責任を負うとする、事故責任規則に則って設計されるとよい。車線構造Ｌｓでの事故責任規則下、ホスト車両２及びターゲット移動体３間のリスクを監視するために用いられる安全モデルは、合理的行動によって潜在的な事故責任を回避するように、ホスト車両２に対する安全エンベロープをホスト車両２に対して設定する。そこで、処理システム１の全体が正常な状況でのリスク監視ブロック１４０は、ホスト車両２及びターゲット移動体３間の現実距離に対して、走行シーン毎に安全モデルに基づく安全距離を照らし合わせることにより、安全エンベロープ違反の有無を判定する。安全エンベロープ違反がある場合にリスク監視ブロック１４０は、合理的行動をホスト車両２へ与えるためのシナリオを、シミュレーションする。シミュレーションによりリスク監視ブロック１４０は、制御ブロック１６０での運転制御に対する制約として、例えば速度及び加速度等のうち少なくとも一方に関する制限値を、設定する。

第一実施形態では、図１０に示されるフローチャートに従って運転制御理を遂行する処理方法が、複数機能ブロックの共同により実行される。第一実施形態の処理方法は、計画ブロック１２０により計画される手動運転において、繰り返し実行される。尚、以下の説明において処理方法の各「Ｓ」は、処理プログラムに含まれた複数命令により実行される複数ステップを、それぞれ意味する。

処理方法のＳ１００においてリスク監視ブロック１４０は、手動運転のホスト車両２においてドライバの手動操作が定常操作からずれる手動偏差が、検知ブロック１００により検知されたか否かを、判定する。検知ブロック１００による手動偏差の検知は、センサ系５のうち、例えばアクチュエータセンサ等の内界センサ５２から取得されるセンサデータとして、ドライバの操作状態を表す操作データに基づく。

手動偏差の検知有無を判定するに当たってリスク監視ブロック１４０は、定常操作に関する定常情報を取得する。定常操作は、自動運転のホスト車両２においてシーン毎に合わせて制御される、運動アクチュエータへの合理的又は最小リスクの操作を意味する。そこで定常情報は、合理的又は最小リスクの操作量を含んで取得され、さらに当該操作量の分散値（即ち、許容誤差）も含んで取得されてもよい。リスク監視ブロック１４０は、自動運転において定常操作による軌道を計画する計画ブロック１２０から、定常情報を取得してもよい。リスク監視ブロック１４０は、自動運転での安全モデルに従って想定される運動物理量プロファイルに基づいた、例えばシミュレーション等の演算により、定常情報を取得してもよい。

手動偏差の検知有無を判定するに当たってリスク監視ブロック１４０は、検知ブロック１００により操作データに基づき生成された、手動偏差を与えるドライバの手動操作である偏差発生操作に関して、検知情報を取得する。偏差発生操作は、シーン毎のリスクに対して心理的又は感覚的にドライバが高度運転支援制御での定常操作から外れるように手動で与える、リスク回避のための追加の手動操作であってもよい。偏差発生操作は、自動運転が介入しない手動運転のシーン毎にドライバが手動で与えることにより定常操作から外れる、手動操作であってもよい。偏差発生操作は、例えばカーブ路の曲率等に合わせた操舵の定常操作に対する、ステアリングホイールの切り足し及び切り戻しを含む微調整操作（即ち、修正舵）であってもよい。偏差発生操作は、例えば直線路又はカーブ路等でのブレーキオフの定常操作に対する、ブレーキオン操作であってもよい。偏差発生操作は、例えば直線路又はカーブ路出口等でのアクセルオンの定常操作に対する、アクセルオフ操作であってもよい。このような偏差発生操作を表すように検知情報は、手動運転において運動アクチュエータに対するドライバの操作量を含んで取得される。

Ｓ１００におけるリスク監視ブロック１４０は、定常情報及び検知情報それぞれの表す操作量同士の差分が設定範囲外となったか否かにより、手動偏差の検知有無を判定する。検知有無の判定基準となる設定範囲は、手動偏差の発生と判定すべき差分の下限値未満、又は定常操作の範囲と判定すべき差分の上限値以下に、設定されるとよい。定常情報が操作量の分散値を含む場合での差分の設定範囲は、操作量に当該分散値を安全側に加算した上限値以下に、設定されてもよい。

Ｓ１００において操作量同士の差分が設定範囲内である場合には、手動偏差の検知なしとの判定をリスク監視ブロック１４０が下すことにより、処理方法の今回フローが終了する。一方、Ｓ１００において操作量同士の差分が設定範囲外である場合には、手動偏差の検知ありとの判定をリスク監視ブロック１４０が下すことにより、処理方法がＳ１０１へ移行する。

処理方法のＳ１０１においてリスク監視ブロック１４０は、運転ポリシに従うモデルであって、ＳＯＴＩＦをモデリングした安全モデルに基づくことにより、ターゲット移動体３に対するホスト車両２の反応時間ρとして許容される許容反応時間ρｐを、取得する。ホスト車両２での手動偏差の発生中において反応時間ρは、ホスト車両２がドライバの反応も含めた全体としてドライバの偏差発生操作に反応するまでに要する時間を、意味する。

ホスト車両２の反応時間ρは、安全モデルにおいてホスト車両２の運転制御に対する制約を決める、安全距離ｄｍｉｎと相関する。即ちホスト車両２の反応時間ρは、安全距離ｄｍｉｎを数１に従って演算するための運動物理量プロファイルを表す安全関数Ｌに、変数として用いられる。数１においてＱは、運動プロファイルに用いられる少なくとも一種類の運動物理量である。運動物理量Ｑとしては、ホスト車両２及びターゲット移動体３のうち少なくとも一方に関する、例えば速度、加減速度、方位角、方位角速度、及び位置ずれ量等が、安全モデルの想定されるシナリオ又はシーン毎に応じて選択される。

安全関数Ｌの逆関数Ｒは、ホスト車両２及びターゲット移動体３間の安全モデルに従って数２を満たす関数式又はアルゴリズムにより、定義される。数２におけるｄｒは、安全エンベロープ違反の判定に当たっては安全距離ｄｍｉｎと対比される現実距離、即ちＳ１０１の実行時現在でのホスト車両２及びターゲット移動体３間の離間距離である。これらのことから、Ｓ１０１におけるリスク監視ブロック１４０は、逆関数Ｒを用いた数３に従うことにより、ホスト車両２の許容反応時間ρｐを演算する。Ｓ１０１の実行完了後、処理方法はＳ１０２へ移行する。

処理方法のＳ１０２においてリスク監視ブロック１４０は、Ｓ１０１によって取得されたホスト車両２の許容反応時間ρｐに基づくことにより、ホスト車両２においてドライバの手動操作に与えられる操作余裕時間ρｏを、取得する。操作余裕時間ρｏは、ホスト車両２及びターゲット移動体３間の安全モデルに従ってホスト車両２におけるドライバの偏差発生操作に許容される、余裕時間ともいえる。操作余裕時間ρｏは、許容反応時間ρｐを用いた数４に従うことにより、演算される。数４においてρｖは、不合理な状況において不合理なリスクを回避するホスト車両２の挙動に必要な最小時間であって、挙動必要時間と定義される。挙動必要時間ρｖは、手動運転に対して自動運転が介入してから、シナリオ又はシーン毎に応じてリスク回避までに要すると予想される時間に、設定される。Ｓ１０２の実行完了後、処理方法はＳ１０３へ移行する。

処理方法のＳ１０３においてリスク監視ブロック１４０は、Ｓ１０１によって取得された許容反応時間ρｐと、Ｓ１０２によって取得された操作余裕時間ρｏとのうち、少なくとも一方を含むエビデンス情報を、メモリ１０に出力する。エビデンス情報は、出力された時間ρｐ，ρｏのうち少なくとも一方を、演算対象シーンの発生時刻を表すタイムスタンプと関連付けて、メモリ１０に記憶される。エビデンス情報には、例えば運動物理量Ｑを含む許容反応時間ρｐの演算変数、挙動必要時間ρｖを含む操作余裕時間ρｏの演算変数、ターゲット移動体３を識別可能な検知情報、及びターゲット移動体３の挙動を含む検知情報等のうち、少なくとも一種類が含まれていてもよい。エビデンス情報の出力は、制御周期に応じた処理方法の一サイクル毎の間隔にて、実行されてもよい。Ｓ１０３におけるエビデンス情報の出力は、例えばノイズ情報の排除等を目的として、処理方法の一サイクルよりも長い設定周期毎の間隔、又は処理方法の複数サイクル毎の間隔にて、実行されてもよい。設定周期毎又は複数サイクル毎の出力となる場合、非出力のタイミングではＳ１０３自体がスキップされる。

Ｓ１０３においてエビデンス情報は、ホスト車両２内に搭載されるメモリ１０への出力によって記憶、又はホスト車両２外となる外部センタのメモリ１０への出力となる遠隔配信によって記憶されてもよい。エビデンス情報の出力されるメモリ１０は、ホスト車両２内に搭載の場合、ホスト車両２がクラッシュしたとしても機械的に保護されていてもよい。エビデンス情報の出力されるメモリ１０は、ホスト車両２内に搭載の場合、耐火性のある搭載箇所において保護されていてもよい。エビデンス情報の出力されるメモリ１０は、ホスト車両２内に搭載の場合、耐浸水性のある搭載箇所において保護されていてもよい。このようにホスト車両２内において保護されている保護メモリ１０には、暗号化又はハッシュ化されたエビデンス情報が記憶されてもよい。暗号化されたエビデンス情報の場合、ホスト車両２内の保護メモリ１０、ホスト車両２内の非保護メモリ１０、及び外部センタのメモリ１０等のうち少なくとも一種類に、復号キーが記憶されてもよい。ハッシュ化されたエビデンス情報の場合、ホスト車両２内の保護メモリ１０、ホスト車両２内の非保護メモリ１０、及び外部センタのメモリ１０等のうち少なくとも一種類に、ハッシュ値を含むトランザクションが記憶されてもよい。Ｓ１０３の実行完了後、処理方法はＳ１０４へ移行する。

処理方法のＳ１０４においてリスク監視ブロック１４０は、Ｓ１０２によって取得された操作余裕時間ρｏが許容範囲外であるか否かを、判定する。操作余裕時間ρｏの判定基準となる許容範囲は、例えばＤＤＴフォールバック又は縮退等のリスク回避が必要と判断される時間ρｏの上限値超過、又は当該リスク回避は不要と判断される時間ρｏの下限値以上に、設定されるとよい。操作余裕時間ρｏの許容範囲は、０値よりも大きく想定される上限値を超過した範囲に設定されてもよく、この場合に設定範囲外とは、当該上限値以下において０値を挟んだプラス側とマイナス側とを意味する。操作余裕時間ρｏの許容範囲は、上限値として想定される０値を超過した範囲に設定されてもよく、この場合に設定範囲外とは、当該０値以下のマイナス側を意味する。

Ｓ１０４において操作余裕時間ρｏは許容範囲外であるとの判定をリスク監視ブロック１４０が下した場合には、処理方法がＳ１０５へ移行する。一方、Ｓ１０４において操作余裕時間ρｏは許容範囲内であるとの判定をリスク監視ブロック１４０が下した場合には、処理方法がＳ１０８へ移行する。

処理方法のＳ１０５においてリスク監視ブロック１４０は、ホスト車両２の手動運転に対して自動運転を介入させるための制約を、ホスト車両２の運動制御に対して設定する。介入のための制約は、制御ブロック１６０への介入指令であってもよい。この場合、手動運転においても自動運転での制御指令が手動運転での制御指令と共に計画ブロック１２０から制御ブロック１６０へと与えられていることにより、制御ブロック１６０では介入指令に応じて自動運転での制御指令が選択されるとよい。Ｓ１０５の実行完了後、処理方法はＳ１０６へ移行する。

処理方法のＳ１０６においてリスク監視ブロック１４０は、自動運転のホスト車両２に不合理なリスクを回避させるための制約を、ホスト車両２の運動制御に対して設定する。リスク回避のための制約は、ホスト車両２に対するベストエフォートで、例えば緊急退避行動又はＭＲＭ等の縮退走行を実行させることにより、自動運転での運転制御を継続させる、制御ブロック１６０への縮退指令であってもよい。リスク回避のための制約は、自動運転のホスト車両２を安全モデルに基づき最小リスク状態へと移行させるための制約として、安全エンベロープ違反ありとの判定情報による制御ブロック１６０への制限指令であってもよい。制限指令が制約として与えられる場合、操作余裕時間ρｏが許容範囲外であるか否かの判定が、安全エンベロープ違反があるか否かの判定として利用されてもよい。

Ｓ１０６では、操作余裕時間ρｏの許容範囲が０値よりも大きな上限値を超過した範囲に設定される場合の許容範囲外のうち、０値よりも大きいプラス側の操作余裕時間ρｏに対しては縮退指令、０値以下の操作余裕時間ρｏに対しては制限指令が、それぞれ制約として切り替えられてもよい。このような切り替えにより、プラス側の操作余裕時間ρｏが消失した場合における制限指令は、プラス側に操作余裕時間ρｏが残る場合の縮退指令よりも厳しい、安全側の制約を設定することが可能となる。Ｓ１０６の実行完了後、処理方法はＳ１０７へ移行する。

処理方法のＳ１０７においてリスク監視ブロック１４０は、Ｓ１０３によって出力された、許容反応時間ρｐ及び操作余裕時間ρｏの少なくとも一方を含むエビデンス情報を、メモリ１０において保持（即ち、蓄積）する。エビデンス情報の保持先となるメモリ１０は、Ｓ１０３によってエビデンス情報の記憶されるメモリ１０に対して、同一又は相違のいずれであってもよい。相違の場合にエビデンス情報は、ホスト車両２内に搭載のメモリ１０に記憶先を変更されてから保持、又はホスト車両２外となる外部センタのメモリ１０への記憶先を変更されてから保持されてもよい。また相違の場合には、Ｓ１０３の記憶（即ち、一時的な一次記憶）からＳ１０７の記憶先変更による保持（即ち、二次記憶）までの間隔が、Ｓ１０３に関して上述した記憶の間隔よりも短く設定されることで、ホスト車両２の電源が遮断されたとしてもエビデンス情報の確実な保持が可能となっていてもよい。

Ｓ１０７においてエビデンス情報の保持されるメモリ１０は、ホスト車両２内に搭載の場合、ホスト車両２がクラッシュしたとしても機械的に保護されているとよい。エビデンス情報の保持されるメモリ１０は、ホスト車両２内に搭載の場合、耐火性のある搭載箇所において保護されていてもよい。エビデンス情報の保持されるメモリ１０は、ホスト車両２内に搭載の場合、耐浸水性のある搭載箇所において保護されていてもよい。このようにホスト車両２内において保護されている保護メモリ１０には、暗号化又はハッシュ化されたエビデンス情報が保持されてもよい。暗号化されたエビデンス情報の場合、ホスト車両２内の保護メモリ１０、ホスト車両２内の非保護メモリ１０、及び外部センタのメモリ１０等のうち、記憶先変更前又は記憶先変更後の少なくとも一種類に、復号キーが保持されてもよい。ハッシュ化されたエビデンス情報の場合、ホスト車両２内の保護メモリ１０、ホスト車両２内の非保護メモリ１０、及び外部センタのメモリ１０等のうち少なくとも一種類に、ハッシュ値を含むトランザクションが保持されてもよい。

このようなＳ１０７の実行より、不合理な状況若しくは不合理なリスク状態に至ったシナリオ又はシーンでのドライバの操作挙動履歴を、エビデンス情報として残すことが可能となる。Ｓ１０７の実行完了後、処理方法の今回フローが終了する。尚、Ｓ１０７の実行に当たっては、エビデンス情報の保持とは別に、手動偏差の発生中にメモリ１０に記憶されたエビデンス情報に基づき、操作余裕時間ρｏの時間変化が観測されてもよい。この場合には、時間変化の推移に基づき、例えば疲労度等のドライバ状態が判断されることにより、例えば運転制御の計画若しくは実行、又は安全エンベロープ違反の判定等に当該判断結果が利活用されてもよい。

図１０に示されるように操作余裕時間ρｏが許容範囲内であった場合となる、処理方法のＳ１０８においてリスク監視ブロック１４０は、ホスト車両２ではドライバの偏差発生操作が終了したか否か、即ち偏差発生操作の終了が検知ブロック１００により検知されたか否かを、判定する。そこで偏差発生操作の終了判定は、Ｓ１００に準ずる検知ブロック１００での検知情報に基づく。Ｓ１０８において偏差発生操作が継続しているとの判定をリスク監視ブロック１４０が下した場合には、処理方法の今回フローが終了する。一方、Ｓ１０８において偏差発生操作が終了したとの判定をリスク監視ブロック１４０が下した場合には、処理方法がＳ１０９へ移行する。

即ち処理方法のＳ１０９は、操作余裕時間ρｏが許容範囲内のまま偏差発生操作が終了したと判定される場合に、実行される。Ｓ１０９においてリスク監視ブロック１４０は、Ｓ１０３によって出力された操作余裕時間ρｏに基づくことにより、安全モデルにおいて想定される安全距離ｄｍｉｎを更新する。ここで安全距離ｄｍｉｎは、自動運転において安全モデルに従ってホスト車両２がターゲット移動体３との間に確保する距離として、数１の安全関数Ｌにより演算される。そこで安全距離ｄｍｉｎの更新は、リスク監視ブロック１４０が安全関数Ｌのパラメータ係数を調整又は学習することより、実行されてもよい。Ｓ１０９の実行完了後、処理方法はＳ１１０へ移行する。

処理方法のＳ１１０においてリスク監視ブロック１４０は、偏差発生操作の終了シーンを表すシーン情報を、メモリ１０に記憶して保持する。シーン情報は、偏差発生操作の終了事象を表す、事象情報ともいえる。シーン情報は、偏差発生操作の終了時刻を表すタイムスタンプと関連付けて、記憶及び保持される。シーン情報の記憶及び保持は、上述したエビデンス情報の場合に準じて実行されるとよい。このようなＳ１１０の実行により、自動運転の介入なしにリスク回避されたシナリオ又はシーンでのドライバの操作挙動履歴を、許容反応時間ρｐ及び操作余裕時間ρｏの少なくとも一方とは別のエビデンス情報として、残すことが可能となる。Ｓ１１０の実行完了後、処理方法の今回フローが終了する。

Ｓ１０８及びＳ１１０の実行完了に当たってリスク監視ブロック１４０は、Ｓ１０３によって記憶された、許容反応時間ρｐ及び操作余裕時間ρｏの少なくとも一方を含むエビデンス情報を、削除してもよい。Ｓ１０８及びＳ１１０の実行完了に当たってリスク監視ブロック１４０は、Ｓ１０３によって記憶されたエビデンス情報を、Ｓ１０７に準じてメモリ１０に保持してもよい。リスク監視ブロック１４０は、今回フローのＳ１０３によって記憶されたエビデンス情報を、今回フローのＳ１０８又はＳ１１０の実行完了後となる次回フローのＳ１０３において、新たなエビデンス情報により上書きしてもよい。

さて、先に説明したように特許文献１の開示技術では、自動運転時のホスト車両に対して反応時間が想定されている。しかし、手動運転時には、例えばドライバ操作の属人性等に起因して、反応時間が自動運転時とは異なってくる。そのため、特許文献１の開示技術が手動運転に適用されたとしても、ホスト車両において適正な安全制約により運転制御の精度を確保することは、困難となるおそれがある。また、先に説明したように特許文献１の開示技術では、ホスト車両とターゲット車両とに対して共通の反応時間が想定されている。しかし、ホスト車両に後続走行するターゲット車両では、例えば自動運転及び手動運転のいずれであるか、又は車両種別等に起因して、ホスト車両とは反応時間が異なってくる。そのため、ターゲット車両が後続走行するホスト車両において自動運転時の適正な安全制約により運転制御の精度を確保することは、困難となるおそれがあった。

これに対して、以上説明した第一実施形態によると、手動運転のホスト車両２においてドライバの手動操作が定常操作からずれる手動偏差の発生中には、ホスト車両２に許容される許容反応時間ρｐが、運転ポリシに従うモデルであって、ＳＯＴＩＦをモデリングした安全モデルに基づく取得に応じて出力される。これによれば、手動偏差の発生シーンに特化した許容反応時間ρｐを想定することができるので、手動運転のホスト車両２に適正な制約を設定して運転制御の精度を確保することが可能となる。

（第二実施形態）
第二実施形態は、第一実施形態の変形例である。

図１１に示されるように、第二実施形態による処理方法のＳ２００においてリスク監視ブロック１４０は、自動運転のホスト車両２に対して後続走行するターゲット移動体３としてのターゲット車両３ａ（以下、後続車両３ａという）が検知ブロック１００により検知されたか否かを、判定する。検知ブロック１００による後続車両３ａの検知は、センサ系５の外界センサ５０とＶ２Ｘタイプの通信系６とのうち、少なくとも一方から取得されるデータに基づく。後続車両３ａの検知有無を判定するに当たってリスク監視ブロック１４０は、後続車両３ａの情報を含む検知情報を、取得する。

Ｓ２００において後続車両３ａの検知なしとの判定をリスク監視ブロック１４０が下した場合には、処理方法の今回フローが終了する。一方、Ｓ２００において後続車両３ａの検知ありとの判定をリスク監視ブロック１４０が下した場合には、処理方法がＳ２０１へ移行する。

処理方法のＳ２０１においてリスク監視ブロック１４０は、運転ポリシに従うモデルであって、ＳＯＴＩＦをモデリングした安全モデルに基づくことにより、ホスト車両２に対する後続車両３ａの反応時間ρとして許容される許容反応時間ρｐを、取得する。自動運転中又は手動運転中の後続車両３ａにおいて反応時間ρは、後続車両３ａがドライバの反応も含めた全体として反応するまでに要する時間を、意味する。

後続車両３ａの反応時間ρは、Ｓ１０１に準じて数１の安全関数Ｌに変数として用いられ、当該安全関数Ｌの逆関数Ｒは、Ｓ１０１に準じて数２を満たす関数式又はアルゴリズムにより定義される。但し、数２におけるｄｒは、安全エンベロープ違反の判定に当たっては安全距離ｄｍｉｎと対比される現実距離、即ちＳ２０１の実行時現在でのホスト車両２及び後続車両３ａ間の離間距離である。これらのことから、Ｓ２０１におけるリスク監視ブロック１４０は、Ｓ１０１に準じて数３に従うことにより、後続車両３ａの許容反応時間ρｐを推定的に演算する。

図８に示されるリスク監視ブロック１４０は、自動運転においてホスト車両２及び後続車両３ａ間の合理的なシナリオをシミュレーションすることにより、当該シナリオの状態及び切り替えを管理する。こうしたシナリオ管理においてリスク監視ブロック１４０は、ホスト車両２及び後続車両３ａ間の合理的シナリオの状態を、保持する。さらにリスク監視ブロック１４０は、ホスト車両２及び後続車両３ａそれぞれの適切な応答である合理的行動を、保持したシナリオの状態遷移毎に判断する。

そこで、図１１に示されるＳ２０１においてリスク監視ブロック１４０は、許容反応時間ρｐの演算において着目する合理的行動に関して、シナリオの状態遷移と同期する開始シーン及び終了シーン間の、着目期間を管理する。着目される合理的行動の開始シーンとしては、例えばホスト車両２の信号停止状態における後続車両３ａの衝突リスク等といった、重要度の高い事故リスクに対して回避の必要な事象が、特定されてもよい。着目される合理的行動の終了シーンとしては、合理的シナリオの安全な終了事象、及び安全エンベロープ違反の発生事象のうち、いずれかが特定されてもよい。これらのことからリスク監視ブロック１４０は、数３に従う許容反応時間ρｐの演算を、合理的行動の着目期間に対して実行してもよい。Ｓ２０１の実行完了後、処理方法はＳ２０２へ移行する。

処理方法のＳ２０２においてリスク監視ブロック１４０は、Ｓ２０１によって取得された後続車両３ａの許容反応時間ρｐに基づくことにより、ホスト車両２における自動運転での自動操作に与えられる操作余裕時間ρｏを、取得する。操作余裕時間ρｏは、ホスト車両２及び後続車両３ａ間の安全モデルに従ってリスク回避操作に許容される、余裕時間ともいえる。リスク監視ブロック１４０は、Ｓ１０２に準じて数４に従うことにより、後続車両３ａに対するホスト車両２の操作余裕時間ρｏを演算する。但し、挙動必要時間ρｖは、不合理な状況若しくは不合理なリスク状態が発生してから、シナリオ又はシーン毎に応じてリスク回避までに要すると予想される時間に、設定される。Ｓ２０２の実行完了後、処理方法はＳ２０３へ移行する。

処理方法のＳ２０３においてリスク監視ブロック１４０は、Ｓ２０１によって取得された許容反応時間ρｐと、Ｓ２０２によって取得された操作余裕時間ρｏとのうち、少なくとも一方を含むエビデンス情報を、Ｓ１０３に準じてメモリ１０に出力する。但し、Ｓ２０３においてエビデンス情報には、着目された合理的行動の開始シーン及び終了シーンの少なくとも一方を表す、シーン情報が含まれていてもよい。Ｓ２０３によって出力先のメモリ１０に記憶される操作余裕時間ρｏは、安全モデルにおいて想定される安全距離ｄｍｉｎをＳ１０９に準じて更新するために、用いられてもよい。Ｓ２０３の実行完了後、処理方法はＳ２０４へ移行する。

処理方法のＳ２０４においてリスク監視ブロック１４０は、Ｓ２０２によって取得された操作余裕時間ρｏが許容範囲外であるか否かを、Ｓ１０４に準じて判定する。Ｓ２０４において操作余裕時間ρｏは許容範囲外であるとの判定をリスク監視ブロック１４０が下した場合には、処理方法がＳ２０５へ移行する。一方、Ｓ２０４において操作余裕時間ρｏは許容範囲内であるとの判定をリスク監視ブロック１４０が下した場合には、処理方法がＳ２０８へ移行する。

処理方法のＳ２０５においてリスク監視ブロック１４０は、ホスト車両２の運動制御に制約を与える自動操作をリスク回避操作として、当該リスク回避操作中を表すリスク回避フラグを、メモリ１０においてセットする。Ｓ２０５の実行完了後、処理方法はＳ２０６へ移行する。

処理方法のＳ２０６においてリスク監視ブロック１４０は、後続車両３ａに対する不合理なリスクを自動運転のホスト車両２に回避させるための制約を、ホスト車両２の運動制御に対して設定する。リスク回避のための制約は、ホスト車両２に対するベストエフォートで、例えば早期減速又は減速度低下等により、後続車両３ａの衝突を可及的に回避させる、回避指令であってもよい。リスク回避のための制約は、自動運転のホスト車両２を安全モデルに基づき最小リスク状態へ移行させるための制約として、安全エンベロープ違反ありとの判定情報による制御ブロック１６０への制限指令であってもよい。制限指令が制約として与えられる場合、操作余裕時間ρｏが許容範囲外であるか否かの判定が、安全エンベロープ違反があるか否かの判定として利用されてもよい。

Ｓ２０６では、操作余裕時間ρｏの許容範囲が０値よりも大きな上限値を超過した範囲に設定される場合の許容範囲外のうち、０値よりも大きいプラス側の操作余裕時間ρｏに対しては回避指令、０値以下の操作余裕時間ρｏに対しては制限指令が、それぞれ制約として切り替えられてもよい。このような切り替えにより、プラス側の操作余裕時間ρｏが消失した場合における制限指令は、プラス側に操作余裕時間ρｏが残る場合の回避指令よりも厳しい、安全側の制約を設定することが可能となる。Ｓ２０６の実行完了後、処理方法はＳ２０７へ移行する。

処理方法のＳ２０７においてリスク監視ブロック１４０は、許容反応時間ρｐ及び操作余裕時間ρｏの少なくとも一方を含んで出力されたエビデンス情報を、Ｓ１０７に準じてメモリ１０に保持（即ち、蓄積）する。但し、Ｓ２０７において保持されるエビデンス情報には、着目された合理的行動の開始シーン及び終了シーン、並びにリスク回避操作の開始シーンのうち、少なくとも一種類を表すシーン情報が含まれていてもよい。Ｓ２０７において保持されるエビデンス情報には、ホスト車両２でのリスク回避操作に対する後続車両３ａの挙動を表す検知情報として、例えばブレーキランプの点灯情報等が含まれていてもよい。このようなＳ２０７の実行より、不合理な状況若しくは不合理なリスク状態に至ったシナリオ又はシーンでの車両２，３ａの操作挙動履歴を、エビデンス情報として残すことが可能となる。Ｓ２０７の実行完了後、処理方法はＳ２０８へ移行する。

図１１に示されるように操作余裕時間ρｏが許容範囲内であった場合となる、処理方法のＳ２０８においてリスク監視ブロック１４０は、メモリ１０にリスク回避フラグがセットされているか否かを、判定する。Ｓ２０８においてリスク回避フラグがセットされていないとの判定をリスク監視ブロック１４０が下した場合には、処理方法の今回フローが終了する。一方、Ｓ２０８においてリスク回避フラグがセットされているとの判定をリスク監視ブロック１４０が下した場合には、処理方法がＳ２０９へ移行する。

即ち処理方法のＳ２０９は、一旦許容範囲外となった操作余裕時間ρｏがリスク回避操作により許容範囲内へと戻ったと判定される場合に、実行される。Ｓ２０９においてリスク監視ブロック１４０は、許容反応時間ρｐ及び操作余裕時間ρｏの少なくとも一方とは別のエビデンス情報として、リスク回避操作の終了シーンを表すシーン情報を、メモリ１０に記憶して保持する。このようなＳ２０９の実行より、不合理な状況若しくは不合理なリスク状態に至ったシナリオ又はシーンから復帰した場合での車両２，３ａの操作挙動履歴を、許容反応時間ρｐ及び操作余裕時間ρｏの少なくとも一方とは別のエビデンス情報として、残すことが可能となる。Ｓ２０９の実行完了後、処理方法はＳ２１０へ移行する。

処理方法のＳ２１０においてリスク監視ブロック１４０は、メモリ１０におけるリスク回避フラグをメモリ１０において解除する。Ｓ２１０の実行完了後、処理方法の今回フローが終了する。

リスク回避フラグがセットされていない場合でのＳ２０８、及びＳ２１０の実行完了に当たってリスク監視ブロック１４０は、Ｓ１０３によって記憶された、許容反応時間ρｐ及び操作余裕時間ρｏの少なくとも一方を含むエビデンス情報を、削除してもよい。リスク回避フラグがセットされていない場合でのＳ２０８、及びＳ２１０の実行完了に当たってリスク監視ブロック１４０は、Ｓ１０３によって記憶されたエビデンス情報を、Ｓ１０７，Ｓ２０７に準じてメモリ１０に保持してもよい。リスク監視ブロック１４０は、今回フローのＳ１０３によって記憶されたエビデンス情報を、今回フローにおいてリスク回避フラグがセットされていない場合でのＳ２０８、又は今回フローのＳ２１０の実行完了後となる次回フローのＳ１０３において、新たなエビデンス情報により上書きしてもよい。

以上説明した第二実施形態によると、自動運転のホスト車両２においてターゲット移動体３としての後続車両３ａの後続走行中には、当該後続車両３ａに許容される許容反応時間ρｐが、運転ポリシに従うモデルであって、ＳＯＴＩＦをモデリングした安全モデルに基づく取得に応じて出力される。これによれば、後続車両３ａの後続走行シーンに特化した許容反応時間ρｐを想定することができるので、自動運転のホスト車両２に適正な制約を設定して運転制御の精度を確保することが可能となる。

（第三実施形態）
第三実施形態は、第一実施形態の変形例である。

図１２に示されるように、第三実施形態によるシステム構成の制御ブロック３１６０では、リスク監視ブロック１４０から安全エンベロープに関する判定情報の取得処理が、省かれている。そこで第三実施形態の計画ブロック３１２０は、リスク監視ブロック１４０から安全エンベロープに関する判定情報を取得する。計画ブロック３１２０は、安全エンベロープ違反なしとの判定情報を取得した場合に、計画ブロック１２０に準じてホスト車両２の運転制御を計画する。一方、安全エンベロープ違反ありとの判定情報を取得した場合に計画ブロック３１２０は、計画ブロック１２０に準じた運転制御を計画する段階において、判定情報に基づく制約を当該運転制御に与える。即ち計画ブロック３１２０は、計画する運転制御を制限する。いずれの場合においても、計画ブロック３１２０により計画されたホスト車両２の運転制御を、制御ブロック３１６０が実行する。

図１３に示されるように、第三実施形態による処理方法のＳ３０５においてリスク監視ブロック１４０は、手動運転に対する自動運転の介入のための制約を、計画ブロック３１２０への介入指令によって実行する以外は、Ｓ１０５に準ずる。第三実施形態による処理方法のＳ３０６においてリスク監視ブロック１４０は、リスク回避のための制約設定を、計画ブロック３１２０への縮退指令又は制限指令によって実行する以外は、Ｓ１０６に準ずる。このような第三実施形態では、第一実施形態に準ずる原理により、手動運転のホスト車両２に適正な制約を設定して運転制御の精度を確保することが可能となる。

（第四実施形態）
第四実施形態は、第三実施形態のシステム構成を第二実施形態に適用した処理方法の変形例である。

図１４に示されるように、第四実施形態による処理方法のＳ４０６においてリスク監視ブロック１４０は、リスク回避のための制約設定を、計画ブロック３１２０への回避指令又は制限指令によって実行する以外は、Ｓ２０６に準ずる。このような第四実施形態では、第二実施形態に準ずる原理により、自動運転のホスト車両２に適正な制約を設定して運転制御の精度を確保することが可能となる。

（第五実施形態）
第五実施形態は、第一実施形態の変形例である。

図１５に示されるように、第五実施形態によるシステム構成の制御ブロック５１６０では、リスク監視ブロック５１４０から安全エンベロープに関する判定情報の取得処理が、省かれている。そこで第五実施形態のリスク監視ブロック５１４０は、ホスト車両２に対して制御ブロック５１６０により実行された運転制御の結果を表す情報を、取得する。リスク監視ブロック５１４０は、運転制御の結果に対して安全エンベロープに基づく安全判定を実行することにより、当該運転制御を評価する。

図１６に示されるように、第五実施形態による処理方法のＳ５０５においてリスク監視ブロック５１４０は、手動運転に対する自動運転の介入のために設定する制約が必要な状況と評価する以外は、Ｓ１０５に準ずる。第五実施形態による処理方法のＳ５０６においてリスク監視ブロック５１４０は、リスク回避のために設定する制約が必要な状況と評価する以外は、Ｓ１０６に準ずる。このような第五実施形態では、第一実施形態に準ずる原理により、手動運転のホスト車両２に対して適正に設定した制約に基づき運転制御を評価して、運転制御の精度を確保することが可能となる。

（第六実施形態）
第六実施形態は、第五実施形態のシステム構成を第二実施形態に適用した処理方法の変形例である。

図１７に示されるように、第六実施形態による処理方法のＳ６０６においてリスク監視ブロック５１４０は、リスク回避のために設定する制約が必要な状況と評価する以外は、Ｓ２０６に準ずる。このような第六実施形態では、第二実施形態に準ずる原理により、自動運転のホスト車両２に対して適正に設定した制約に基づき運転制御を評価して、運転制御の精度を確保することが可能となる。

（第七実施形態）
第七実施形態は、第五又は第六実施形態の変形例である。

図１８，１９に示されるように、第七実施形態によるシステム構成では、制御ブロック１６０による運転制御を、例えば安全性認可用等にテストするテストブロック７１８０が、追加されている。テストブロック７１８０には、検知ブロック１００及びリスク監視ブロック５１４０に準ずる機能が、与えられる。テストブロック７１８０は、各ブロック１００，１２０，５１４０，１６０を構築する処理プログラムに追加されるテストプログラムを、図１８に示される処理システム１が実行することにより、構築されてもよい。テストブロック７１８０は、各ブロック１００，１２０，５１４０，１６０を構築する処理プログラムとは異なるテスト用の処理プログラムを、図１９に示されるように処理システム１とは異なるテスト用の処理システム７００１が実行することにより、構築されてもよい。ここでテスト用の処理システム７００１は、運転制御をテストするために処理システム１と接続される（通信系６を通じた接続の場合の図示は省略）、メモリ１０及びプロセッサ１２を有した少なくとも一つの専用コンピュータにより、構成されるとよい。

第七実施形態による処理方法では、第五又は第六実施形態による処理方法の各ステップを、リスク監視ブロック５１４０に代えて若しくは加えて、テストブロック７１８０が実行する。但し、図１８，１９は、テストブロック７１８０が検知情報を取得する経路の図示を、省略している。このような第七実施形態では、第一実施形態に準ずる原理により手動運転のホスト車両２に対して、又は第二実施形態に準ずる原理により自動運転のホスト車両２に対して、適正に設定した制約に基づき運転制御を評価して、運転制御の精度を確保することが可能となる。

（第八実施形態）
第八実施形態は、第三実施形態の変形例である。

図２０に示されるように、第八実施形態による計画ブロック８１２０には、リスク監視ブロック１４０の機能がリスク監視サブブロック８１４０として取り込まれている。そこで第八実施形態の計画ブロック８１２０は、リスク監視サブブロック８１４０により安全エンベロープ違反なしとの判定情報を取得した場合に、計画ブロック１２０に準じてホスト車両２の運転制御を計画する。一方、リスク監視サブブロック８１４０により安全エンベロープ違反ありとの判定情報を取得した場合に計画ブロック８１２０は、計画ブロック１２０に準じた運転制御を計画する段階において、判定情報に基づく制約を当該運転制御に与える。即ち計画ブロック８１２０は、計画する運転制御を制限する。いずれの場合においても、計画ブロック８１２０により計画されたホスト車両２の運転制御を、制御ブロック３１６０が実行することになる。

図２１に示されるように、第八実施形態による処理方法のＳ８０５においてリスク監視サブブロック８１４０は、手動運転に対する自動運転の介入のための制約を、計画ブロック８１２０での介入計画によって実行する以外は、第一実施形態で説明のＳ１０５に準ずる。第八実施形態による処理方法のＳ８０６においてリスク監視サブブロック８１４０は、リスク回避のための制約設定を、計画ブロック８１２０での縮退計画又は制限計画によって実行する以外は、第一実施形態で説明のＳ１０６に準ずる。このような第八実施形態では、第一実施形態に準ずる原理により、手動運転のホスト車両２に適正な制約を設定して運転制御の精度を確保することが可能となる。

（第九実施形態）
第九実施形態は、第八実施形態のシステム構成を第二実施形態に適用した処理方法の変形例である。

図２２に示されるように、第九実施形態による処理方法のＳ９０６においてリスク監視サブブロック８１４０は、リスク回避のための制約設定を、計画ブロック３１２０での回避計画又は制限計画によって実行する以外は、第二実施形態で説明のＳ２０６に準ずる。このような第九実施形態では、第二実施形態に準ずる原理により、自動運転のホスト車両２に適正な制約を設定して運転制御の精度を確保することが可能となる。

（他の実施形態）
以上、複数の実施形態について説明したが、本開示は、それらの実施形態に限定して解釈されるものではなく、本開示の要旨を逸脱しない範囲内において種々の実施形態及び組み合わせに適用することができる。

変形例において処理システム１を構成する専用コンピュータは、デジタル回路、及びアナログ回路のうち、少なくとも一方をプロセッサとして含んでいてもよい。ここでデジタル回路とは、例えばＡＳＩＣ（Application Specific Integrated Circuit）、ＦＰＧＡ（Field Programmable Gate Array）、ＳＯＣ（System on a Chip）、ＰＧＡ（Programmable Gate Array）、及びＣＰＬＤ（Complex Programmable Logic Device）等のうち、少なくとも一種類である。またこうしたデジタル回路は、プログラムを記憶したメモリを、有していてもよい。

変形例の処理方法は、Ｓ１００～Ｓ１０３，Ｓ１０７に限定して実行されてもよい。変形例の処理方法では、Ｓ１０５，Ｓ３０５，Ｓ５０５，Ｓ８０５と、Ｓ１０６，Ｓ３０６，Ｓ５０６，Ｓ８０６とのうち、少なくともＳ１０６，Ｓ３０６，Ｓ５０６，Ｓ８０６の実行がそれぞれ省かれてもよい。変形例の処理方法は、Ｓ２００～Ｓ２０３，Ｓ２０７に限定して実行されてもよい。変形例の処理方法では、Ｓ２０６，Ｓ４０６，Ｓ６０６，Ｓ９０６の実行がそれぞれ省かれてもよい。変形例の処理方法では、Ｓ１０８～Ｓ１１０の実行が省かれてもよい。変形例の処理方法では、Ｓ２０５，Ｓ２０８～Ｓ２１０の実行が省かれてもよい。

ここまでの説明形態の他に上述の実施形態及び変形例は、ホスト移動体に搭載可能に構成されてプロセッサ１２及びメモリ１０を少なくとも一つずつ有する装置として、処理回路（例えば処理ＥＣＵ等）又は半導体装置（例えば半導体チップ等）の形態で実施されてもよい。

Claims (25)

1. ホスト移動体（２）の運転制御に関する処理を遂行するために、プロセッサ（１２）により実行される処理方法であって、
   手動運転の前記ホスト移動体においてドライバの手動操作が定常操作からずれる手動偏差を検知することと、
   運転ポリシに従うモデルであって、意図された機能の安全性をモデリングした安全モデルに基づくことにより取得され、前記手動偏差の発生中に前記ホスト移動体が反応する反応時間として許容される許容反応時間（ρｐ）を出力することと、
   前記許容反応時間に基づくことにより取得され、前記ホスト移動体において前記ドライバの前記手動操作に与えられる操作余裕時間（ρｏ）を出力することと、
   前記操作余裕時間が許容範囲外であると判定される場合に、前記許容反応時間及び前記操作余裕時間のうち出力された少なくとも一方の記憶を保持することとを、含む処理方法。
2. 前記操作余裕時間が許容範囲外であると判定される場合に、前記ホスト移動体の前記手動運転に対して自動運転を介入させるための制約を前記運転制御に対して設定することを、さらに含む請求項１に記載の処理方法。
3. 前記操作余裕時間が許容範囲外であると判定される場合に、自動運転の前記ホスト移動体に不合理なリスクを回避させるための制約を前記運転制御に対して設定することを、さらに含む請求項２に記載の処理方法。
4. ホスト移動体（２）の運転制御に関する処理を遂行するために、プロセッサ（１２）により実行される処理方法であって、
   手動運転の前記ホスト移動体においてドライバの手動操作が定常操作からずれる手動偏差を検知することと、
   運転ポリシに従うモデルであって、意図された機能の安全性をモデリングした安全モデルに基づくことにより取得され、前記手動偏差の発生中に前記ホスト移動体が反応する反応時間として許容される許容反応時間（ρｐ）を出力することと、
   前記許容反応時間に基づくことにより取得され、前記ホスト移動体において前記ドライバの前記手動操作に与えられる操作余裕時間（ρｏ）を出力することと、
   前記操作余裕時間が許容範囲外であると判定される場合に、前記ホスト移動体の前記手動運転に対して自動運転を介入させるための制約を前記運転制御に対して設定することと、
   前記操作余裕時間が許容範囲外であると判定される場合に、自動運転の前記ホスト移動体に不合理なリスクを回避させるための制約を前記運転制御に対して設定することとを、含む処理方法。
5. 前記操作余裕時間が消失したと判定される場合に、自動運転の前記ホスト移動体を前記安全モデルに基づき最小リスク状態へ移行させるための制約を前記運転制御に対して設定することを、さらに含む請求項３又は４に記載の処理方法。
6. 前記操作余裕時間が許容範囲内のまま、前記手動偏差を与える前記手動操作が終了したと判定される場合に、前記操作余裕時間に基づくことにより、自動運転において前記ホスト移動体が前記安全モデルに従ってターゲット移動体（３）との間に確保する安全距離（ｄｍｉｎ）を更新することを、さらに含む請求項１～５のいずれか一項に記載の処理方法。
7. ホスト移動体（２）の運転制御に関する処理を遂行するために、プロセッサ（１２）により実行される処理方法であって、
   手動運転の前記ホスト移動体においてドライバの手動操作が定常操作からずれる手動偏差を検知することと、
   運転ポリシに従うモデルであって、意図された機能の安全性をモデリングした安全モデルに基づくことにより取得され、前記手動偏差の発生中に前記ホスト移動体が反応する反応時間として許容される許容反応時間（ρｐ）を出力することと、
   前記許容反応時間に基づくことにより取得され、前記ホスト移動体において前記ドライバの前記手動操作に与えられる操作余裕時間（ρｏ）を出力することと、
   前記操作余裕時間が許容範囲内のまま、前記手動偏差を与える前記手動操作が終了したと判定される場合に、前記操作余裕時間に基づくことにより、自動運転において前記ホスト移動体が前記安全モデルに従ってターゲット移動体（３）との間に確保する安全距離（ｄｍｉｎ）を更新することとを、含む処理方法。
8. プロセッサ（１２）を含み、ホスト移動体（２）の運転制御に関する処理を遂行する処理システムであって、
   前記プロセッサは、
   手動運転の前記ホスト移動体においてドライバの手動操作が定常操作からずれる手動偏差を検知することと、
   運転ポリシに従うモデルであって、意図された機能の安全性をモデリングした安全モデルに基づくことにより取得され、前記手動偏差の発生中に前記ホスト移動体が反応する反応時間として許容される許容反応時間（ρｐ）を出力することと、
   前記許容反応時間に基づくことにより取得され、前記ホスト移動体において前記ドライバの前記手動操作に与えられる操作余裕時間（ρｏ）を出力することと、
   前記操作余裕時間が許容範囲外であると判定される場合に、前記許容反応時間及び前記操作余裕時間のうち出力された少なくとも一方の記憶を保持することとを、実行するように構成される処理システム。
9. プロセッサ（１２）を含み、ホスト移動体（２）の運転制御に関する処理を遂行する処理システムであって、
   前記プロセッサは、
   手動運転の前記ホスト移動体においてドライバの手動操作が定常操作からずれる手動偏差を検知することと、
   運転ポリシに従うモデルであって、意図された機能の安全性をモデリングした安全モデルに基づくことにより取得され、前記手動偏差の発生中に前記ホスト移動体が反応する反応時間として許容される許容反応時間（ρｐ）を出力することと、
   前記許容反応時間に基づくことにより取得され、前記ホスト移動体において前記ドライバの前記手動操作に与えられる操作余裕時間（ρｏ）を出力することと、
   前記操作余裕時間が許容範囲外であると判定される場合に、前記ホスト移動体の前記手動運転に対して自動運転を介入させるための制約を前記運転制御に対して設定することと、
   前記操作余裕時間が許容範囲外であると判定される場合に、自動運転の前記ホスト移動体に不合理なリスクを回避させるための制約を前記運転制御に対して設定することとを、実行するように構成される処理システム。
10. プロセッサ（１２）を含み、ホスト移動体（２）の運転制御に関する処理を遂行する処理システムであって、
    前記プロセッサは、
    手動運転の前記ホスト移動体においてドライバの手動操作が定常操作からずれる手動偏差を検知することと、
    運転ポリシに従うモデルであって、意図された機能の安全性をモデリングした安全モデルに基づくことにより取得され、前記手動偏差の発生中に前記ホスト移動体が反応する反応時間として許容される許容反応時間（ρｐ）を出力することと、
    前記許容反応時間に基づくことにより取得され、前記ホスト移動体において前記ドライバの前記手動操作に与えられる操作余裕時間（ρｏ）を出力することと、
    前記操作余裕時間が許容範囲内のまま、前記手動偏差を与える前記手動操作が終了したと判定される場合に、前記操作余裕時間に基づくことにより、自動運転において前記ホスト移動体が前記安全モデルに従ってターゲット移動体（３）との間に確保する安全距離（ｄｍｉｎ）を更新することとを、実行するように構成される処理システム。
11. 記憶媒体（１０）に記憶され、ホスト移動体（２）の運転制御に関する処理を遂行するためにプロセッサ（１２）に実行させる命令を含む処理プログラムであって、
    前記命令は、
    手動運転の前記ホスト移動体においてドライバの手動操作が定常操作からずれる手動偏差を検知させることと、
    運転ポリシに従うモデルであって、意図された機能の安全性をモデリングした安全モデルに基づくことにより取得され、前記手動偏差の発生中に前記ホスト移動体が反応する反応時間として許容される許容反応時間（ρｐ）を出力させることと、
    前記許容反応時間に基づくことにより取得され、前記ホスト移動体において前記ドライバの前記手動操作に与えられる操作余裕時間（ρｏ）を出力させることと、
    前記操作余裕時間が許容範囲外であると判定される場合に、前記許容反応時間及び前記操作余裕時間のうち出力された少なくとも一方の記憶を保持させることとを、含む処理プログラム。
12. 記憶媒体（１０）に記憶され、ホスト移動体（２）の運転制御に関する処理を遂行するためにプロセッサ（１２）に実行させる命令を含む処理プログラムであって、
    前記命令は、
    手動運転の前記ホスト移動体においてドライバの手動操作が定常操作からずれる手動偏差を検知させることと、
    運転ポリシに従うモデルであって、意図された機能の安全性をモデリングした安全モデルに基づくことにより取得され、前記手動偏差の発生中に前記ホスト移動体が反応する反応時間として許容される許容反応時間（ρｐ）を出力させることと、
    前記許容反応時間に基づくことにより取得され、前記ホスト移動体において前記ドライバの前記手動操作に与えられる操作余裕時間（ρｏ）を出力させることと、
    前記操作余裕時間が許容範囲外であると判定される場合に、前記ホスト移動体の前記手動運転に対して自動運転を介入させるための制約を前記運転制御に対して設定させることと、
    前記操作余裕時間が許容範囲外であると判定される場合に、自動運転の前記ホスト移動体に不合理なリスクを回避させるための制約を前記運転制御に対して設定させることとを、含む処理プログラム。
13. 記憶媒体（１０）に記憶され、ホスト移動体（２）の運転制御に関する処理を遂行するためにプロセッサ（１２）に実行させる命令を含む処理プログラムであって、
    前記命令は、
    手動運転の前記ホスト移動体においてドライバの手動操作が定常操作からずれる手動偏差を検知させることと、
    運転ポリシに従うモデルであって、意図された機能の安全性をモデリングした安全モデルに基づくことにより取得され、前記手動偏差の発生中に前記ホスト移動体が反応する反応時間として許容される許容反応時間（ρｐ）を出力させることと、
    前記許容反応時間に基づくことにより取得され、前記ホスト移動体において前記ドライバの前記手動操作に与えられる操作余裕時間（ρｏ）を出力させることと、
    前記操作余裕時間が許容範囲内のまま、前記手動偏差を与える前記手動操作が終了したと判定される場合に、前記操作余裕時間に基づくことにより、自動運転において前記ホスト移動体が前記安全モデルに従ってターゲット移動体（３）との間に確保する安全距離（ｄｍｉｎ）を更新させることとを、含む処理プログラム。
14. ホスト移動体（２）の運転制御に関する処理を遂行するために、プロセッサ（１２）により実行される処理方法であって、
    自動運転の前記ホスト移動体に対して後続走行するターゲット移動体（３，３ａ）を検知することと、
    運転ポリシに従うモデルであって、意図された機能の安全性をモデリングした安全モデルに基づくことにより取得され、前記ターゲット移動体が反応する反応時間として許容される許容反応時間（ρｐ）を出力することとを、含む処理方法。
15. 前記許容反応時間に基づくことにより取得され、前記ホスト移動体における自動運転での自動操作に与えられる操作余裕時間（ρｏ）を出力することを、さらに含む請求項１４に記載の処理方法。
16. 前記操作余裕時間が許容範囲外であると判定される場合に、前記許容反応時間及び前記操作余裕時間のうち出力された少なくとも一方の記憶を保持することを、さらに含む請求項１５に記載の処理方法。
17. 前記操作余裕時間が許容範囲外であると判定される場合に、自動運転の前記ホスト移動体に不合理なリスクを回避させるための制約を前記運転制御に対して設定することを、さらに含む請求項１５又は１６に記載の処理方法。
18. 前記操作余裕時間が消失したと判定される場合に、自動運転の前記ホスト移動体を前記安全モデルに基づき最小リスク状態へ移行させるための制約を前記運転制御に対して設定することを、さらに含む請求項１７に記載の処理方法。
19. プロセッサ（１２）を含み、ホスト移動体（２）の運転制御に関する処理を遂行する処理システムであって、
    前記プロセッサは、
    自動運転の前記ホスト移動体に対して後続走行するターゲット移動体（３，３ａ）を検知することと、
    運転ポリシに従うモデルであって、意図された機能の安全性をモデリングした安全モデルに基づくことにより取得され、前記ターゲット移動体が反応する反応時間として許容される許容反応時間（ρｐ）を出力することとを、実行するように構成される処理システム。
20. 記憶媒体（１０）に記憶され、ホスト移動体（２）の運転制御に関する処理を遂行するためにプロセッサ（１２）に実行させる命令を含む処理プログラムであって、
    前記命令は、
    自動運転の前記ホスト移動体に対して後続走行するターゲット移動体（３，３ａ）を検知することと、
    運転ポリシに従うモデルであって、意図された機能の安全性をモデリングした安全モデルに基づくことにより取得され、前記ターゲット移動体が反応する反応時間として許容される許容反応時間（ρｐ）を出力することとを、含む処理プログラム。
21. 請求項１又は１６に記載の処理方法において、前記操作余裕時間が許容範囲外であると判定される場合に、前記許容反応時間及び前記操作余裕時間のうち出力された少なくとも一方の記憶が保持される記憶媒体。
22. プロセッサ（１２）を含み、ホスト移動体（２）に搭載可能に構成され、前記ホスト移動体の運転制御に関する処理を遂行する処理装置であって、
    前記プロセッサは、
    手動運転の前記ホスト移動体においてドライバの手動操作が定常操作からずれる手動偏差を検知することと、
    運転ポリシに従うモデルであって、意図された機能の安全性をモデリングした安全モデルに基づくことにより取得され、前記手動偏差の発生中に前記ホスト移動体が反応する反応時間として許容される許容反応時間（ρｐ）を出力することと、
    前記許容反応時間に基づくことにより取得され、前記ホスト移動体において前記ドライバの前記手動操作に与えられる操作余裕時間（ρｏ）を出力することと、
    前記操作余裕時間が許容範囲外であると判定される場合に、前記許容反応時間及び前記操作余裕時間のうち出力された少なくとも一方の記憶を保持することとを、実行するように構成される処理装置。
23. プロセッサ（１２）を含み、ホスト移動体（２）に搭載可能に構成され、前記ホスト移動体の運転制御に関する処理を遂行する処理装置であって、
    前記プロセッサは、
    手動運転の前記ホスト移動体においてドライバの手動操作が定常操作からずれる手動偏差を検知することと、
    運転ポリシに従うモデルであって、意図された機能の安全性をモデリングした安全モデルに基づくことにより取得され、前記手動偏差の発生中に前記ホスト移動体が反応する反応時間として許容される許容反応時間（ρｐ）を出力することと、
    前記許容反応時間に基づくことにより取得され、前記ホスト移動体において前記ドライバの前記手動操作に与えられる操作余裕時間（ρｏ）を出力することと、
    前記操作余裕時間が許容範囲外であると判定される場合に、前記ホスト移動体の前記手動運転に対して自動運転を介入させるための制約を前記運転制御に対して設定することと、
    前記操作余裕時間が許容範囲外であると判定される場合に、自動運転の前記ホスト移動体に不合理なリスクを回避させるための制約を前記運転制御に対して設定することとを、実行するように構成される処理装置。
24. プロセッサ（１２）を含み、ホスト移動体（２）に搭載可能に構成され、前記ホスト移動体の運転制御に関する処理を遂行する処理装置であって、
    前記プロセッサは、
    手動運転の前記ホスト移動体においてドライバの手動操作が定常操作からずれる手動偏差を検知することと、
    運転ポリシに従うモデルであって、意図された機能の安全性をモデリングした安全モデルに基づくことにより取得され、前記手動偏差の発生中に前記ホスト移動体が反応する反応時間として許容される許容反応時間（ρｐ）を出力することと、
    前記許容反応時間に基づくことにより取得され、前記ホスト移動体において前記ドライバの前記手動操作に与えられる操作余裕時間（ρｏ）を出力することと、
    前記操作余裕時間が許容範囲内のまま、前記手動偏差を与える前記手動操作が終了したと判定される場合に、前記操作余裕時間に基づくことにより、自動運転において前記ホスト移動体が前記安全モデルに従ってターゲット移動体（３）との間に確保する安全距離（ｄｍｉｎ）を更新することとを、実行するように構成される処理装置。
25. プロセッサ（１２）を含み、ホスト移動体（２）に搭載可能に構成され、前記ホスト移動体の運転制御に関する処理を遂行する処理装置であって、
    前記プロセッサは、
    自動運転の前記ホスト移動体に対して後続走行するターゲット移動体（３，３ａ）を検知することと、
    運転ポリシに従うモデルであって、意図された機能の安全性をモデリングした安全モデルに基づくことにより取得され、前記ターゲット移動体が反応する反応時間として許容される許容反応時間（ρｐ）を出力することとを、実行するように構成される処理装置。

Images