WO2018190024A1

WO2018190024A1 - 車両のデータ記憶装置

Info

Publication number: WO2018190024A1
Application number: PCT/JP2018/008114
Authority: WO
Inventors: 長谷　智実; 宣昭池本; 光晴東谷
Original assignee: 株式会社デンソー
Priority date: 2017-04-11
Filing date: 2018-03-02
Publication date: 2018-10-18
Also published as: CN110494340A; CN110494340B; US20200043254A1; DE112018001965T5; JP2018180843A; JP6790977B2

Abstract

データ記憶装置（９０）は、自動運転制御装置により自動運転制御が実行される車両に搭載されている。データ記憶装置は、異常検出部（９１０）と、制御部（９１１）と、を備える。異常検出部は、車両の乗員の異常、及び車両の周辺環境の異常の少なくとも一つを含む異常状態を検出する。制御部は、異常検出部により異常状態が検出された際に、車両の運転主体が自動運転制御装置であったか否かを判断することの可能な判断情報を記憶媒体（９２，９３）に記憶させる。判断情報には、自動運転制御の制御量、制御量の根拠情報、車両の操作量、及び実際の車両の出力情報、直接的に自動運転か否かを示す情報の少なくとも一つが含まれている。

Description

車両のデータ記憶装置

関連出願の相互参照

　本出願は、２０１７年４月１１日に出願された日本国特許出願２０１７－０７８１３８号に基づくものであって、その優先権の利益を主張するものであり、その特許出願の全ての内容が、参照により本明細書に組み込まれる。

　本開示は、車両のデータ記憶装置に関する。

　従来、特許文献１に記載の車載装置がある。特許文献１に記載の車載装置は、センサの検出結果に基づいて車両の挙動の異常を検出した場合、車両の外部に対して緊急撮像リクエスト信号を送信する。また、車載装置は、車載カメラにより撮像された画像データをメモリに記憶するとともに、車両外部から緊急撮像リクエスト信号を受信した場合、その受信前後の一定期間分だけ記憶された画像データを事故解析サーバに送信する。これにより、車載装置を搭載する車両が事故を起こした場合であっても、緊急撮像リクエスト信号が送信されていれば、車載装置を搭載する他車両から画像データが事故解析サーバに送信される。

特開２００９－２０５３６８号公報

　自動運転が可能な車両では、車両に何らかの異常が生じた際に、その異常の原因を事後的に解析することがある。なお、車両の異常には、車両の実質的な異常だけでなく、運転者が異常と感じるような車両の挙動も含まれる。自動運転が可能な車両では、運転主体が制御装置及び人のいずれかに切り替わる。例えば自動運転が許可されている状況では運転主体が制御装置となり、自動運転が許可されていない状況では運転主体が人になる。そのため、異常の原因の解析事項の一つとして、異常が生じた際の運転主体が制御装置及び人のいずれであったかを解析する必要がある。

　特許文献１に記載の車載装置では、車両に何らかの異常が生じた際に、車載カメラにより撮像された画像データがメモリに記憶されるとともに、その画像データが事故解析サーバに送信されることになる。しかしながら、メモリに記憶された画像データや、事故解析サーバに送信された画像データを解析するだけでは、異常が生じた際の運転主体が人及び制御装置のいずれであるかを認定することが困難である。

　本開示の目的は、自動運転の可能な車両において、異常が生じた際の運転主体が人及び制御装置のいずれであるかを解析することの可能な車両のデータ記憶装置を提供することにある。

　本開示の一態様によるデータ記憶装置は、自動運転制御装置により自動運転制御が実行される車両に搭載されている。データ記憶装置は、異常検出部と、制御部と、を備える。異常検出部は、車両の乗員の異常、及び車両の周辺環境の異常の少なくとも一つを含む異常状態を検出する。制御部は、異常検出部により異常状態が検出された際に、車両の運転主体が自動運転制御装置であったか否かを判断することの可能な判断情報を記憶媒体に記憶させる。判断情報には、自動運転制御の制御量、制御量の根拠情報、車両の操作量、及び実際の車両の出力情報、直接的に自動運転か否かを示す情報の少なくとも一つが含まれている。

　あるいは、異常検出部は、車両の異常を推定する。制御部は、異常検出部により異常状態が発生すると推定された際に、車両の運転主体が自動運転制御装置であったか否かを判断することの可能な判断情報を記憶媒体に記憶させる。

　これらの構成によれば、車両に何らかの異常が生じた場合、あるいは異常が発生すると推定される場合には、判断情報が記憶媒体に記憶される。そのため、記憶媒体に記憶されている判断情報を解析することにより、異常が生じた際の運転主体が人及び自動運転制御装置のいずれであるかを解析することができる。

図１は、第１実施形態の車両の概略構成を示すブロック図である。図２は、第１実施形態のデータ記憶装置の概略構成を示すブロック図である。図３は、第１実施形態の制御部により実行される処理の手順を示すフローチャートである。図４は、第１実施形態の自動運転に関連する情報の具体的な内容を示す図表である。図５は、第１実施形態の手動運転に関連する情報の具体的な内容を示す図表である。図６は、第１実施形態の管理情報の具体的な内容を示す図表である。図７は、第１実施形態の車両の走行モードの情報の具体的な内容を示す図表である。図８（Ａ），（Ｂ）は、第１実施形態の常時記憶媒体及び保存用記憶媒体に記憶されるデータの推移を示すタイミングチャートである。図９（Ａ），（Ｂ）は、第１実施形態の常時記憶媒体及び保存用記憶媒体に記憶されるデータの推移を示すタイミングチャートである。図１０は、第１実施形態の第１変形例のデータ記憶装置の概略構成を示すブロック図である。図１１は、第１実施形態の第２変形例のデータ記憶装置の概略構成を示すブロック図である。図１２（Ａ），（Ｂ）は、第１実施形態の第３変形例の常時記憶媒体及び保存用記憶媒体に記憶されるデータの推移を示すタイミングチャートである。図１３（Ａ），（Ｂ）は、第１実施形態の第４変形例の常時記憶媒体及び保存用記憶媒体に記憶されるデータの推移を示すタイミングチャートである。図１４（Ａ），（Ｂ）は、第１実施形態の第５変形例の常時記憶媒体及び保存用記憶媒体に記憶されるデータの推移を示すタイミングチャートである。図１５（Ａ）～（Ｃ）は、第１実施形態の第６変形例の常時記憶媒体、第１保存用記憶媒体、及び第２保存用記憶媒体に記憶されるデータの推移を示すタイミングチャートである。図１６（Ａ），（Ｂ）は、第１実施形態の第７変形例の常時記憶媒体及び保存用記憶媒体に記憶されるデータの推移を示すタイミングチャートである。図１７（Ａ），（Ｂ）は、第１実施形態の第８変形例の常時記憶媒体及び保存用記憶媒体に記憶されるデータの推移を示すタイミングチャートである。図１８（Ａ），（Ｂ）は、第１実施形態の第８変形例の常時記憶媒体及び保存用記憶媒体に記憶されるデータの推移を示すタイミングチャートである。図１９は、第１実施形態の第９変形例のデータ記憶装置の概略構成を示すブロック図である。図２０は、第１実施形態の第９変形例の常時記憶媒体に記憶されるデータの推移を示すタイミングチャートである。図２１（Ａ），（Ｂ）は、第１実施形態の第１０変形例の常時記憶媒体及び保存用記憶媒体に記憶されるデータの推移を示すタイミングチャートである。図２２（Ａ），（Ｂ）は、第１実施形態の第１１変形例の常時記憶媒体及び保存用記憶媒体に記憶されるデータの推移を示すタイミングチャートである。図２３は、第１実施形態の第１２変形例における実際の車両の出力情報の内容を示す図表である。図２４（Ａ），（Ｂ）は、第１実施形態の第１３変形例の常時記憶媒体及び保存用記憶媒体に記憶されるデータの推移を示すタイミングチャートである。図２５（Ａ），（Ｂ）は、第１実施形態の第１３変形例の常時記憶媒体及び保存用記憶媒体に記憶されるデータの推移を示すタイミングチャートである。図２６は、第１実施形態の第１３変形例における異常の種類と、異常の箇所と、想定される制御の例と、制御が安定するまでの時間の例と、サンプリング期間の例との対応関係を示す図表。図２７は、第１実施形態の第１３変形例における異常の種類と、異常の箇所と、想定される制御の例と、制御が安定するまでの時間の例と、サンプリング期間の例との対応関係を示す図表。図２８は、第２実施形態の制御部により実行される処理の手順を示すフローチャートである。図２９は、第２実施形態の車両の動作例を模式的に示す図である。図３０は、第２実施形態の車両の動作例を模式的に示す図である。図３１は、第２実施形態の第２変形例の制御部により実行される処理の手順を示すフローチャートである。図３２は、第２実施形態の第２変形例の車両の動作例を模式的に示す図である。図３３は、第３実施形態の制御部により実行される処理の手順を示すフローチャートである。図３４は、第４実施形態の制御部により実行される処理の手順を示すフローチャートである。

　以下、車両のデータ記憶装置の実施形態について図面を参照しながら説明する。説明の理解を容易にするため、各図面において同一の構成要素に対しては可能な限り同一の符号を付して、重複する説明は省略する。
　＜第１実施形態＞
　はじめに、本実施形態のデータ記憶装置が搭載される車両の概略構成について説明する。図１に示されるように、本実施形態の車両１０には、車両の各種制御を実行するための制御装置として、エンジンＥＣＵ（Electronic Control Unit）２０、電子制御ブレーキシステム３０、電動パワーステアリングシステム４０、エアバックＥＣＵ５０、車載ＥＣＵ６０、及び自動運転ＥＣＵ７０等を備えている。これらのＥＣＵは、ＣＰＵやＲＯＭ、ＲＡＭ等を有するマイクロコンピュータを中心に構成されている。また、これらのＥＣＵは、車載ネットワーク８０を介して互いに通信可能に接続されている。なお、以下では、電子制御ブレーキシステム３０を「ＥＣＢ３０」と、電動パワーステアリングシステム４０を「ＥＰＳ４０」と略記する。

　エンジンＥＣＵ２０は、車両１０の走行用の動力を生成するエンジン２１を統括的に制御する、いわゆるエンジン制御を実行する部分である。具体的には、エンジンＥＣＵ２０には、エンジン系センサ群２２の出力信号が取り込まれている。エンジン系センサ群２２は、エンジン制御を実行するために必要な車両状態量を検出するとともに、検出された車両状態量に応じた信号をエンジンＥＣＵ２０に出力する。エンジン制御を実行するために必要な車両状態量には、車両の走行速度、エンジン冷却水の温度、アクセルペダルの踏み込み量、及び吸入空気量等が含まれている。エンジンＥＣＵ２０は、エンジン系センサ群２２の出力信号に基づいて各種車両状態量を検出するとともに、検出された車両状態量に基づいて燃料噴射制御や点火時期制御等のエンジン２１の各種制御を実行する。

　ＥＣＢ３０は、車両のブレーキ系を統括的に制御する。例えばＥＣＢ３０は、運転者がブレーキペダルを踏み込んだ際に車両１０の前輪及び後輪のそれぞれの回転速度や旋回状態等に応じて各車輪に加わる制動力を最適に分配する、いわゆるアンチロックブレーキ制御を実行する。また、ＥＣＢ３０は、車載ネットワーク８０を介した自動運転ＥＣＵ７０からの要求に基づいて自動ブレーキ制御を実行する。自動ブレーキ制御は、運転者のブレーキペダルの踏み込み操作によらず、車両の各車輪に制動力を自動的に付与する制御である。

　ＥＰＳ４０は、車両１０のステアリングホイールに付与される操舵トルクに応じたアシストトルクをステアリングホイールに付与することにより運転者の操舵を補助する、いわゆるアシスト制御を実行する。また、ＥＰＳ４０は、車載ネットワーク８０を介した自動運転ＥＣＵ７０からの要求に基づいて自動操舵制御を実行する。自動操舵制御は、車両のステアリングシャフト等にトルクを付与することにより、運転者のステアリングホイールの操舵によらずに車両１０の操舵角を自動的に変化させる制御である。

　エアバックＥＣＵ５０は、車両に搭載されたエアバック装置５１を制御する。具体的には、エアバックＥＣＵ５０には、シートベルト着脱センサ５２、衝撃検知センサ５３、及びプリクラッシュセンサ５４のそれぞれの出力信号が取り込まれている。シートベルト着脱センサ５２は、車両１０の乗員がシートベルトを装着されているか否かを検出し、その検出結果に応じた信号を出力する。衝撃検知センサ５３は、加速度センサ等からなり、車両が衝突した際に車両１０に加わる衝撃力を検出するとともに、検出された衝撃力に応じた信号を出力する。プリクラッシュセンサ５４は、カメラやレーダセンサ等からなり、車両１０と障害物との衝突が目前に迫っている状況であることを検出するとともに、その検出結果に応じた信号を出力する。エアバックＥＣＵ５０は、これらのセンサ５２～５４のそれぞれの出力信号に基づいてエアバック装置５１を作動させるべき状況であるか否かを判定するとともに、エアバック装置５１を作動させるべき状況であると判定した場合には、エアバック装置５１を駆動させることにより袋体を膨張させる。これにより、車両１０の乗員が衝撃から保護される。

　車載ＥＣＵ６０は、ＥＣＵ２０，３０，４０，５０，７０以外の複数のＥＣＵをまとめて示したものであり、各種車載機器６１を制御する。車載ＥＣＵ６０には、乗員監視センサ６２の出力信号が取り込まれている。乗員監視センサ６２は、車室内の乗員の状態を検出するとともに、検出された乗員の状態に関する情報を車載ＥＣＵ６０に送信する。乗員監視センサ６２により検出される情報には、例えば運転者が酩酊状態であるか否かといった情報や、運転者が意識を喪失している状態であるか否かといった情報等が含まれている。このような乗員監視センサ６２としては、車室内を撮像するカメラや、乗員の体温を検出することの可能な赤外線センサや、車室内の音声を取得するマイク等を用いることができる。車載ＥＣＵ６０は、他のＥＣＵ２０，３０，４０，５０，７０からの要求に応じて、乗員監視センサ６２により検出される乗員の状態に関する情報を、それらのＥＣＵに送信する。

　自動運転ＥＣＵ７０は、車両１０の自動運転を統括的に制御する、いわゆる自動運転制御を実行する部分である。本実施形態では、自動運転ＥＣＵ７０が自動運転制御装置に相当する。自動運転ＥＣＵ７０は、エンジンＥＣＵ２０やＥＣＢ３０、ＥＰＳ４０、エアバックＥＣＵ５０等と車載ネットワーク８０を介して通信することにより、それらのＥＣＵが取得している情報を得ることができる。

　また、自動運転ＥＣＵ７０には、周辺認知センサ７１、入力装置７２、及び走行情報センサ７３のそれぞれの出力信号が入力されている。
　周辺認知センサ７１は、車両１０の前方の所定範囲や車両１０の後方の所定範囲等、車両１０の周辺に設定された所定範囲に存在する物体を検知するとともに、検知された物体に応じた信号を自動運転ＥＣＵ７０に出力する。周辺認知センサ７１は、例えばカメラやライダ装置により構成されている。自動運転ＥＣＵ７０は、周辺認知センサ７１の出力信号に基づいて、車両１０の周辺に存在する物体を検出する。

　入力装置７２は、車両１０の運転者により操作される部分である。入力装置７２は、自動運転を開始及び停止させる際に操作される操作スイッチ等を備えている。入力装置７２は、運転者の操作に応じた信号を自動運転ＥＣＵ７０に出力する。自動運転ＥＣＵ７０は、入力装置７２の出力信号に基づいて、運転者が入力装置７２に対して行った操作を検出する。

　走行情報センサ７３は、車両１０の走行状態を検出するセンサである。走行情報センサ７３には、車両の走行速度を検出する車速センサや、車両の角速度を検出する角速度センサ等が含まれている。走行情報センサ７３は、車両１０の走行状態量を検出するとともに、検出された車両１０の走行情報量に応じた信号を自動運転ＥＣＵ７０に出力する。

　さらに、自動運転ＥＣＵ７０は、車両１０のカーナビゲーション装置７８と通信可能に接続されている。自動運転ＥＣＵ７０は、車両１０が将来走行する可能性のある道路の勾配や曲率等の走行路に関する情報をカーナビゲーション装置７８から取得することが可能である。

　自動運転ＥＣＵ７０は、各ＥＣＵ２０，３０，４０，５０，６０や周辺認知センサ７１、入力装置７２、走行情報センサ７３、カーナビゲーション装置７８等から取得した各種情報に基づいて自動運転制御を実行する。具体的には、自動運転ＥＣＵ７０は、入力装置７２の出力信号に基づいて、運転者により自動運転の開始操作が行われたことを検出すると、自動運転制御を開始する。本実施形態の自動運転ＥＣＵ７０は、自動運転制御として、エンジン２１やトランスミッション等を含む車両１０の動力系、ＥＣＢ３０等を含む車両１０の制動系、及びＥＰＳ４０等を含む車両の操舵系を自動的に制御する。以下では、自動運転ＥＣＵ７０により自動運転制御が実行されている車両１０の状態を「自動運転モード」と称する。また、自動運転ＥＣＵ７０により自動運転制御が実行されていない車両１０の状態、換言すれば運転者により車両１０が手動操作されている車両１０の状態を「手動運転モード」と称する。

　例えば、自動運転ＥＣＵ７０は、周辺認知センサ７１により、車両前方の車線境界線や前方車両、車両１０の走行にとって障害となる障害物等を検出する。また、自動運転ＥＣＵ７０は、走行情報センサ７３により車両の走行状態を検出する。自動運転ＥＣＵ７０は、検出された車両前方の車線境界線や前方車両、障害物、走行状態等の情報に基づいて車両１０の目標走行ラインを設定するとともに、この目標走行ラインに応じた目標操舵角を演算する。自動運転ＥＣＵ７０は、演算された目標操舵角をＥＰＳ４０に送信することにより、目標操舵角に基づいた自動操舵制御をＥＰＳ４０に実行させる。これにより、車両１０の実際の操舵角が目標操舵角に応じて変化するため、車両１０が目標走行ラインに沿って自動的に走行する。また、自動運転ＥＣＵ７０は、ＥＰＳ４０の制御に併せて、エンジン２１やトランスミッション等も自動的に制御することにより、車両１０の走行速度や変速段等も自動的に変化させる。

　また、自動運転ＥＣＵ７０は、前方車両や障害物の位置に基づいて、車両１０が前方車両や障害物に衝突する可能性があるか否かを判定し、衝突する可能性がある場合には、電子制御ブレーキシステム３０に自動ブレーキ制御を実行させる。これにより、自動運転制御の実行中であっても、車両１０の衝突を未然に回避することができる。

　さらに、自動運転ＥＣＵ７０は、各ＥＣＵ２０，３０，４０，５０，６０から取得可能な車両状態に基づいて車両１０に異常が生じているか否かを監視している。車両１０の異常とは、例えば走行情報センサ７３の出力の異常である。走行情報センサ７３の出力に異常が生じると、自動運転制御を継続することが困難となるため、自動運転ＥＣＵ７０は、この状況を車両の異常として検出する。

　自動運転ＥＣＵ７０は、車両１０の異常を検出した場合には、車両１０の安全を確保するための安全確保制御を実行する。自動運転ＥＣＵ７０は、安全確保制御として、まず、車両１０の運転権限を自動運転ＥＣＵ７０から乗員に移譲する権限移譲制御を実行する。権限移譲制御では、車両１０の警告等の点灯や、車両１０のスピーカからの音声等により、車両１０の運転権限を自動運転ＥＣＵ７０から乗員に移譲する旨の権限移譲報知が行われる。この権限移譲報知に基づいて乗員が入力装置７２に所定の操作を行うと、その操作が自動運転ＥＣＵ７０により検出される。自動運転ＥＣＵ７０は、この所定の操作の検出に基づいて、乗員が車両１０の手動操作を開始できる準備が整ったと判断し、車両１０の運転モードを自動運転モードから手動運転モードに切り替える。これにより、乗員による車両１０の手動操作が可能となる。以下では、権限移譲制御を「ＴＯＲ（Take Over Request）」と略記する。

　一方、権限移譲報知を行った時点から所定時間が経過するまでの期間に入力装置７２に対して所定の操作が行われなかった場合、自動運転ＥＣＵ７０は、乗員が車両１０を手動操作できる準備が整わなかったと判断する。この場合、自動運転ＥＣＵ７０は、退避走行制御を行う。具体的には、自動運転ＥＣＵ７０は、自動運転制御を継続した上で、車両１０を減速させつつ車両１０を路肩等まで自動走行させ、車両１０が路肩まで走行した時点で車両１０を停車させる。以下では、退避走行制御を「ＭＲＭ（Minimum Risk Maneuver）」と略記する。

　なお、自動運転ＥＣＵ７０は、安全確保制御として、権限移譲報知を行うことなく、即座にＭＲＭを行うことも可能である。
　車両１０には、データ記憶装置９０が更に搭載されている。データ記憶装置９０は、車両１０に何らかの異常が発生した際に、その異常が発生した際の車両１０の各種状態量を記憶する。これにより、データ記憶装置９０に記憶されている情報を解析することにより、異常の発生原因を究明することが可能となっている。

　図２に示されるように、データ記憶装置９０には、走行情報センサ７３、車両１０の各種スイッチ７４、イグニッションスイッチ７５，アクセサリスイッチ７６、及び電圧センサ７７等の出力信号が取り込まれている。電圧センサ７７は、車両に搭載されるバッテリの端子間電圧を検出するとともに、検出された電圧に応じた信号を出力する。

　データ記憶装置９０は、演算処理部９１と、常時記憶媒体９２と、少なくとも1つ以上の保存用記憶媒体９３と、検出回路９７と、を備えている。
　検出回路９７は、走行情報センサ７３、スイッチ７４、イグニッションスイッチ７５，アクセサリスイッチ７６、及び電圧センサ７７等の出力信号を取り込むとともに、取り込んだ信号を演算処理部９１に送信する。

　演算処理部９１は、ＣＰＵ等により構成されている。演算処理部９１は、異常検出部９１０と、制御部９１１とを有している。
　異常検出部９１０は、車載ネットワーク８０を介して各ＥＣＵ２０，３０，４０，５０，６０，７０から取得した情報に基づいて異常状態を検出する。具体的には、各ＥＣＵ２０～７０は、それぞれに対応する制御系の異常を個別に監視している。各ＥＣＵ２０～７０は、異常検出部９１０からの要求に基づいて、その都度の制御系の異常検出結果を異常検出部９１０に通知する。異常検出部９１０は、各ＥＣＵ２０～７０から送信される異常検出結果や、センサ７３，７７及びスイッチ７４～７６のそれぞれの出力値等に基づいて異常状態を検出する。異常検出部９１０により検出される異常状態には、車両１０の異常、乗員の異常、車両１０の周辺環境の異常等が含まれている。

　なお、乗員の異常とは、例えば車両は問題なく走行しているものの運転者が居眠り等をしている場合が該当する。また、車両１０の異常には、自動運転制御により制御される車載機器又は車載システムの異常や、車両１０の挙動の異常、並びに車載機器又は車載システムの冗長系の異常等が含まれる。車両１０の挙動の異常とは、車両１０が通常の走行とは異なる蛇行運転等を行った場合や、車両１０が故障しているか否かは問わずに急加速した場合等が該当する。すなわち、異常検出部９１０は、車両１０に実際に発生している異常に限らず、車両が通常の走行とは異なる蛇行運転を行った場合等、車両の一部の機器が故障している可能性があるが車両１０の走行には問題がなさそうな状態も異常状態として検出する。また、異常検出部９１０は、車両が故障しているか否かは問わず急加速した場合等、今後車両１０が問題を起こしそうな状態も異常状態として検出する。

　具体的には、異常検出部９１０は、乗員監視センサ６２を通じて車載ＥＣＵ６０により検出される乗員の状態に基づいて、乗員の異常を検出する。異常検出部９１０は、例えば乗員に運転権限を移譲できない状態である場合には、乗員が異常な状態であると判断する。異常検出部９１０は、例えば以下の（ａ１）～（ａ５）に示される事項に該当することに基づいて、乗員に運転権限を移譲できない状態であると判定する。

　（ａ１）乗員監視センサ６２に含まれる臭いセンサ等により、乗員の飲酒が検出された場合。
　（ａ２）乗員監視センサ６２に含まれるカメラ等により、乗員の意識が不明であることが検出された場合。乗員の意識が不明な状況とは、具体的には、乗員が睡眠状態である状況、乗員が眠たそうな状況、乗員が気絶又は意識喪失している状況、乗員が死亡している状況である。
　（ａ３）乗員監視センサ６２に含まれる着座センサ等により、乗員が運転席に着座していないことが検出された場合。
　（ａ４）乗員監視センサ６２に含まれる着脱センサ等により、乗員がシートベルト等の安全装置を外していることが検出された場合。

　また、異常検出部９１０は、例えば以下の（ｂ１）～（ｂ９）に示される事項に該当することに基づいて、車載機器又は車載システムの異常を検出する。
　（ｂ１）認知機能の異常。この異常には、周辺認知センサ７１に含まれるカメラやライダ装置等の異常が含まれる。また、この異常には、ワイパ装置や照明装置等の制御に必要なセンサの異常も含まれる。ワイパ装置に異常が生じた場合、周辺認知センサ７１の視界を遮るかたちでワイパが停止する可能性があるため、これも認知機能の異常として検出する。
　（ｂ２）判断機能の異常。この異常には、各ＥＣＵ２０～７０の異常が含まれる。
　（ｂ３）操作機能の異常。この異常には、エンジン系、ＥＣＢ３０、及びＥＰＳ４０のアクチュエータやポンプ等の異常が含まれる。
　（ｂ４）電源系の異常。この異常には、断線、ショート、ＤＤＣ、電圧電流、ＩＧスイッチ、Ｒｅａｄｙスイッチなどの異常が含まれる。
　（ｂ５）燃料系の異常。この異常には、燃料不足や燃料漏れ等が含まれる。
　（ｂ６）安全系の異常。この異常には、エアバック装置の異常や、プリテンショナーを含むシートベルト装置の異常が含まれる。
　（ｂ７）運転支援システムの異常。運転支援システムとは、特に安全に関わり自動運転で前提となっている支援システムである。この異常には、ＡＢＳ、ＶＳＣ、衝突軽減ブレーキ等の異常が含まれる。
　（ｂ８）乗員の指示系統の異常。この異常には、カーナビゲーション装置、ブレーキペダルのセンサ、アクセルペダルのセンサ、ステアリングのセンサ等の異常が含まれる。
　（ｂ９）状況表示系統の異常。この異常には、カーナビゲーション装置、インストルメントパネル、シフト表示、燃料表示等の異常が含まれる。

　さらに、異常検出部９１０は、例えば以下の（ｃ１）及び（ｃ２）に示される事項に該当することに基づいて、周辺環境の異常を検出する。
　（ｃ１）陥没、雪、集中豪雨（スコール）等、自動運転により対応できない環境である場合。
　（ｃ２）その他の環境原因により自動運転ＥＣＵ７０において障害物等を認知できない場合。例えば自動運転ＥＣＵ７０での認知限界を超えた場合。

　また、異常検出部９１０は、外部環境因子による意図せぬ横加速度や急加速、急減速が
車両１０に発生することに基づいて、異常状態を検出する。外部環境因子には、例えば他車両との接触、地震等による振動、陥没等による急な落下等が含まれる。例えば、異常検出部９１０は、車両１０の実際の加速度と、自動運転制御において設定される車両１０の目標加速度との偏差が所定値以上になることに基づいて、外部環境因子に基づく異常状態を検出する。

　制御部９１１は、センサ７３，７７及びスイッチ７４～７６のそれぞれの出力値や、各ＥＣＵ２０～７０から取得した情報を常時記憶媒体９２に常時記憶させる。また、異常検出部９１０により異常状態が検出された場合には、制御部９１１が常時記憶媒体９２に記憶されているデータを少なくとも1つ以上の保存用記憶媒体９３のそれぞれにコピーする。常時記憶媒体９２は、例えば不揮発性又は揮発性の記憶媒体からなる。保存用記憶媒体９３は、不揮発性の記憶媒体からなる。

　次に、図３を参照して、制御部９１１により実行される処理の具体的な手順について説明する。なお、制御部９１１は、図３に示される処理を所定の周期で繰り返し実行する。
　図３に示されるように、制御部９１１は、まず、ステップＳ１０の処理として、センサ７３，７７及びスイッチ７４～７６の出力値、並びに各ＥＣＵ２０～７０から取得した情報を常時記憶媒体９２に記憶させる。

　制御部９１１が各ＥＣＵ２０～７０から取得する情報は、大きくは、図４に示される自動運転に関連する情報と、図５に示される手動運転に関連する情報と、図６に示される管理情報とに分類可能である。図４に示されるように、自動運転の関連情報には、「自動運転制御の根拠情報」、及び「自動運転制御の制御量」が含まれている。「自動運転制御の制御量」には、例えば自動運転ＥＣＵ７０から各ＥＣＵ２０～６０に送信される制御量等が含まれている。「自動運転制御の根拠情報」は、自動運転ＥＣＵ７０から各ＥＣＵ２０～６０に送信される制御量の根拠となる情報を示す。「自動運転制御の根拠情報」では、車両の状態だけでなく、人の状態も残す。図５に示されるように、手動運転の関連情報には、「車両の操作量」、及び「実際の車両１０の出力情報」が含まれている。「車両の操作量」は、乗員から車両への入力情報であり、乗員が車両を操作した操作量に相当する。自動運転に関連する情報、手動運転に関連する情報、及び管理情報のそれぞれの具体的な内容は、図４～図６の「項目」の欄に記載される通りである。

　なお、各項目に記載の情報及び信号は、そのものでなくとも、その情報及び信号を算出するために必要なセンサ値や情報、信号等であってもよい。
　制御部９１１は、図４～図６に示される自動運転に関連する情報、手動運転に関連する情報、及び管理情報に該当する各項目のうち、運転主体が自動運転ＥＣＵ７０であったか否かを解析することの可能な少なくとも一つの情報を常時記憶媒体９２に記憶させる。本実施形態では、図４～図６に示される各項目に記載される情報、並びにセンサ７３，７７及びスイッチ７４～７６の出力値が、異常検出部９１０により異常状態が検出された際に車両１０の運転主体が自動運転ＥＣＵ７０であったか否かを判断することの可能な判断情報に相当する。

　なお、制御部９１１は、少なくとも以下の（α）の情報を取得し、更に好ましくは以下の（β）に示される情報を取得し、更に好ましくは以下の（γ）に示される情報を取得する。
　（α）運転主体が自動運転ＥＣＵ７０か否かを解析することの可能な情報。
　（β）自動運転ＥＣＵ７０の処理の妥当性を解析することの可能な情報。
　（γ）自動運転中の種々制御のトリガとなる車両や人の正常・異常を解析することの可能な情報。

　制御部９１１は、上記の（α）の情報として、少なくとも以下の（α１）及び（α２）のいずれかを常時記憶媒体９２に記憶させる。
　（α１）「自動運転中か否かのフラグ等の信号」。本実施形態では、このフラグが、直接的に自動運転か否かを示す情報に相当する。
　（α２）「自動運転機能から車両への駆動、操舵、制動、シフトの要求値の入力情報」及び「乗員からの駆動、操舵、制動、シフトの入力情報」。

　また、制御部９１１は、上記の（β）の情報として、少なくとも以下の（β１）～（β３）のいずれかを常時記憶媒体９２に記憶させる。
　（β１）自動運転制御の制御量として「自動運転機能から車両への駆動、操舵、制動、シフトの要求値の入力情報」。
　（β２）自動運転制御の根拠情報として「自車、他車と周辺の状況」。
　（β３）実際の車両の出力情報として「駆動、操舵、制動、シフトの制御値」。

　さらに、制御部９１１は、上記の（γ）の情報として、少なくとも以下の（γ１）を常時記憶媒体９２に記憶させる。
　（γ１）自動運転中の種々制御のトリガとなる事象を解析することの可能な情報として「異常情報」、「ドライバの状態」。
　なお、常時記憶媒体９２に記憶される情報には、（α）のみ、「（α）＋（β）」、及び「（α）＋（β）＋（γ）」の３つの組み合わせの情報がある。

　図３に示されるように、制御部９１１がステップＳ１０の処理を実行した後、異常検出部９１０は、ステップＳ１１の処理として、各ＥＣＵ２０～７０から異常検出結果を取得するとともに、取得した異常検出結果に応じた情報を常時記憶媒体９２に記憶させる。また、異常検出部９１０は、図７に示される車両１０の走行モードの情報に該当する各項目のうちの少なくとも一つの情報を常時記憶媒体９２に記憶させる。本実施形態では、この車両１０の走行モードの情報も判断情報に含まれる。

　なお、図７の車両１０の走行モードの情報における「異常発生中か否か？＆ＭＲＭ中か否か？」に関しては、ＭＲＭ中か否かは異常発生からの時間で判断してもよいため、ＭＲＭ中か否かのフラグを異常発生からの時間で代替してもよい。また、異常発生後にＭＲＭに移行するため、異常発生からＭＲＭに移行するまでの時間等が決まっていれば、異常発生中か否かだけでもよい。

　図３に示されるように、制御部９１１は、ステップＳ１１の処理に続いて、ステップＳ１２の処理として、各ＥＣＵ２０～７０から取得した異常検出結果に基づいて車両１０に異常が生じているか否かを判断する。制御部９１１は、ステップＳ１２の処理で肯定判断した場合には、すなわち車両１０に異常が生じている場合には、ステップＳ１３の処理として、常時記憶媒体９２に記憶されているデータを少なくとも1つ以上の保存用記憶媒体９３のそれぞれにコピーして保存する。具体的には、図８（Ａ），（Ｂ）に示されるように、制御部９１１は、異常が検出された時刻ｔ１０から所定時間Ｔａだけ前の時刻ｔ２０を基準時刻として設定するとともに、この基準時刻ｔ２０から所定時間Ｔｂだけ経過した時刻ｔ２１までの期間に常時記憶媒体９２に記憶されたデータを少なくとも1つ以上の保存用記憶媒体９３のそれぞれにコピーする。

　なお、制御部９１１は、図９（Ａ），（Ｂ）に示されるように、異常が検出された時刻ｔ１０以降、常時記憶媒体９２に各種情報を記憶させる処理と、常時記憶媒体９２に記憶されているデータを少なくとも1つ以上の保存用記憶媒体９３にコピーする処理とを平行して実行してもよい。

　図３に示されるように、制御部９１１は、ステップＳ１３を実行した場合には、一連の処理を一旦終了する。また、制御部９１１は、ステップＳ１２の処理で否定判断した場合にも、すなわち車両１０に異常が生じていない場合にも、一連の処理を一旦終了する。
　以上説明した本実施形態のデータ記憶装置９０によれば、以下の（１）及び（２）に示される作用及び効果を得ることができる。

　（１）車両１０に何らかの異常が生じた場合には、図４～図７に示されるような判断情報が保存用記憶媒体９３に記憶される。そのため、保存用記憶媒体９３に記憶された判断情報を解析することにより、異常が生じた際の運転主体が人及び自動運転ＥＣＵ７０のいずれであったかを解析することができる。

　（２）制御部９１１は、異常検出部９１０により異常状態が検出された時刻ｔ１０に基づき設定される基準時刻ｔ２０から所定時間Ｔｂが経過するまでの期間、判断情報を保存用記憶媒体９３に記憶させる。これにより、保存用記憶媒体９３に記憶された判断情報を解析することにより、基準時刻ｔ２０から所定時間Ｔｂが経過するまでの期間において運転主体が人及び自動運転ＥＣＵ７０のいずれであったかを容易に解析することができる。

　（第１変形例）
　次に、第１実施形態のデータ記憶装置９０の第１変形例について説明する。なお、以下では、便宜上、第１実施形態の常時記憶媒体９２に記憶される各種データを「常時記憶データ」と称し、第１実施形態の保存用記憶媒体９３に記憶される各種データを「保存用記憶データ」と称する。

　図１０に示されるように、本変形例のデータ記憶装置９０は、常時記憶媒体９２及び保存用記憶媒体９３に代えて、一つの記憶媒体９４を備えている。記憶媒体９４は、不揮発性の記憶媒体からなる。記憶媒体９４には、常時記憶領域９４０と、少なくとも1つ以上の保存用記憶領域９４１とが設けられている。制御部９１１は、常時記憶データを常時記憶領域９４０に記憶させるとともに、保存用記憶データを保存用記憶領域９４１にそれぞれ記憶させる。

　（第２変形例）
　次に、第１実施形態のデータ記憶装置９０の第２変形例について説明する。
　図１１に示されるように、本変形例のデータ記憶装置９０は、常時記憶媒体９２及び保存用記憶媒体９３に代えて、第１記憶媒体９５と、第２記憶媒体９６とを備えている。第１記憶媒体９５及び第２記憶媒体９６は、不揮発性の記憶媒体からなる。

　第１記憶媒体９５には、常時記憶領域９５０と、少なくとも1つ以上保存用記憶領域９５１とが設けられている。異常検出部９１０により異常状態が検出された場合には、制御部９１１は、常時記憶データを第１記憶媒体９５の常時記憶領域９６０に記憶させるとともに、保存用記憶データを第１記憶媒体９５の少なくとも1つ以上保存用記憶領域９６１にそれぞれ記憶させる。

　第２記憶媒体９６にも、常時記憶領域９６０と、少なくとも1つ以上の保存用記憶領域９６１とが設けられている。制御部９１１は、車両１０の運転モードが手動運転モードから自動運転モードに切り替えられた際に、常時記憶データを第２記憶媒体９６の常時記憶領域９６０に記憶させるとともに、保存用記憶データを第２記憶媒体９６の少なくとも1つ以上の保存用記憶領域９６１にそれぞれ記憶させる。

　（第３変形例）
　次に、第１実施形態のデータ記憶装置９０の第３変形例について説明する。
　図１２（Ａ），（Ｂ）に示されるように、本変形例の制御部９１１は、異常検出部９１０により異常状態が検出された時刻ｔ１０を基準時刻として、この基準時刻ｔ１０から所定時間Ｔｂが経過するまでの期間、保存用記憶データを保存用記憶媒体９３に記憶させる。

　（第４変形例）
　次に、第１実施形態のデータ記憶装置９０の第４変形例について説明する。
　本変形例の制御部９１１は、図１３（Ａ），（Ｂ）に示されるように、異常検出部９１０により異常状態が時刻ｔ１０で検出された場合、その時点から所定時間Ｔａだけ前の時刻ｔ２０までの期間に常時記憶媒体９２に記憶されているデータを少なくとも1つ以上保存用記憶媒体９３に記憶させる。また、制御部９１１は、時刻ｔ１０以降、常時記憶媒体９２へのデータの記憶を中断するとともに、判断情報等のデータを保存用記憶媒体９３に記憶させる。制御部９１１は、時刻ｔ２１以降、保存用記憶媒体９３へのデータの記憶を中断するとともに、常時記憶媒体９２へのデータの記憶を再開する。

　このような構成によれば、常時記憶媒体９２から保存用記憶媒体９３にデータをコピーする際に消費される電力を削減することができる。
　（第５変形例）
　次に、第１実施形態のデータ記憶装置９０の第５変形例について説明する。

　図１４（Ａ），（Ｂ）に示されるように、本変形例の制御部９１１は、時刻ｔ１０で異常検出部９１０により異常状態が検出された場合には、第１異常発生フラグと共に保存用記憶データを保存用記憶媒体９３に記憶させる。また、制御部９１１は、基準時刻ｔ２０から所定時間Ｔｂが経過する時刻ｔ２１までの期間内における時刻ｔ１１で更に異常検出部９１０により異常状態が検出された場合には、第２異常発生フラグを保存用記憶データに記憶させるとともに、少なくとも1つ以上の保存用記憶媒体９３に保存用記憶データを記憶させる期間を所定時間Ｔｅだけ延長する。

　このような構成によれば、仮に多重異常が発生した場合でも、保存用記憶媒体９３に記憶されている判断情報を解析することにより、異常が生じた際の運転主体が人及び自動運転ＥＣＵ７０のいずれであったかを解析することができる。また、異常発生フラグに基づいて、保存用記憶媒体９３に記憶されているデータと異常との対応関係を容易に判断することができる。

　なお、制御部９１１は、異常状態の発生に限らず、所定のトリガが発生した際に、所定時間Ｔｂや延長時間Ｔｅを変更してもよい。所定のトリガとは、例えば以下の（ｄ１）～（ｄ６）に示される項目の少なくとも一つである。
　（ｄ１）自動運転モードへ移行した場合。例えば車両１０に異常が発生した後に運転者が自動運転モードへの移行を指示した場合。
　（ｄ２）自動運転に支障をきたす異常が発生した場合。例えば機器の異常、雪等の認知不可等が発生した場合。
　（ｄ３）自動運転ＥＣＵ７０において障害物等を認知できない場合。例えば自動運転ＥＣＵ７０での認知限界を超えた場合。
　（ｄ４）車両１０の横加速度の異常値や、意図しない車両１０の急加速や急減速等が検知された場合。
　（ｄ５）乗員への運転権限の移譲が行われた場合。
　（ｄ６）運転者に異常が生じた場合。例えば運転者が意識不明、酒気帯び、シートベルトを解除している状態である場合。
　また、制御部９１１は、これらのトリガ情報を保存用記憶媒体９３に記憶させてもよい。

　（第６変形例）
　次に、第１実施形態のデータ記憶装置９０の第６変形例について説明する。
　本変形例では保存用記憶媒体９３を複数備えている。
　本変形例の制御部９１１は、図１５（Ａ）～（Ｃ）に示されるように、時刻ｔ３０で異常検出部９１０により異常状態が検出された場合には、複数の保存用記憶媒体９３のうちの第１保存用記憶媒体に保存用記憶データを記憶させる。また、制御部９１１は、時刻ｔ３０以降の時刻ｔ３１で同一の異常が検出された場合には、第１保存用記憶媒体に保存用記憶データを記憶させる。また、制御部９１１は、時刻ｔ３１以降の時刻ｔ３２で別の異常が検出された場合には、第１保存用記憶媒体とは別の第２保存用記憶媒体に保存用記憶データを記憶させる。このように、本変形例の制御部９１１は、異常の種類に応じて保存用記憶媒体を切り替える。なお、保存用記憶媒体を切り替えるという方法に代えて、記憶媒体内の記憶領域を切り替えるという方法を採用してもよい。

　（第７変形例）
　次に、第１実施形態のデータ記憶装置９０の第７変形例について説明する。
　図１６（Ａ），（Ｂ）に示されるように、本変形例の制御部９１１は、基準時刻ｔ２０から、車両１０の運転モードが自動運転モードから手動運転モードに切り替わる時刻ｔ２２までの期間、常時記憶媒体９２に記憶されているデータを少なくとも1つ以上の保存用記憶媒体９３のそれぞれにコピーする。なお、時刻ｔ２２は、車両１０に運転権限が自動運転ＥＣＵ７０から乗員に移譲される時刻に相当する。また、制御部９１１は、時刻ｔ２２以降、保存用記憶媒体９３へのデータのコピーを中断する。すなわち、乗員に運転権限がある場合には、仮に自動運転ＥＣＵ７０等を含む自動運転システムに異常が生じた場合でも、その異常は保存用記憶媒体９３に記憶されない。

　なお、時刻ｔ２２は、車両１０の運転権限が自動運転ＥＣＵ７０から乗員に移譲された時刻に限らない。例えば、乗員に運転権限を移譲した後に車両１０の停止操作が行われた時刻を時刻ｔ２２に設定してもよい。また、異常状態が解消された時刻を時刻ｔ２２に設定してもよい。

　このような構成によれば、車両１０の運転モードが自動運転モードである期間に限って判断情報等のデータが保存用記憶媒体９３に記憶されるため、保存用記憶媒体９３の使用データ量が過度に増加することを回避できる。
　（第８変形例）
　次に、第１実施形態のデータ記憶装置９０の第８実施形態について説明する。

　図１７（Ａ），（Ｂ）に示されるように、本変形例の制御部９１１は、時刻ｔ３０で異常検出部９１０により異常状態が検出された場合、時刻ｔ３０の前後の期間に常時記憶媒体９２に記憶されているデータを少なくとも1つ以上の保存用記憶媒体９３のそれぞれにコピーする。さらに、時刻ｔ３１で車両１０の運転モードが自動運転モードから手動運転モードに切り替わった場合、制御部９１１は、時刻ｔ２３の前後の期間に常時記憶媒体９２に記憶されているデータを少なくとも1つ以上の保存用記憶媒体９３のそれぞれにコピーする。

　なお、図１８に示されるように、制御部９１１は、時刻ｔ３０から所定時間が経過するまでの期間、常時記憶媒体９２に記憶されているデータを少なくとも1つ以上の保存用記憶媒体９３のそれぞれにコピーしてもよい。また、制御部９１１は、時刻ｔ３１から所定時間が経過するまでの期間、常時記憶媒体９２に記憶されているデータを少なくとも1つ以上の保存用記憶媒体９３のそれぞれにコピーしてもよい。

　（第９変形例）
　次に、第１実施形態のデータ記憶装置９０の第９変形例について説明する。
　図１９に示されるように、本変形例のデータ記憶装置９０は、常時記憶媒体９２のみを有している。制御部９１１は、１トリップ分の判断情報を常時記憶媒体９２に記憶させる。１トリップとは、車両１０の走行が開始された時点から、車両１０の走行が終了するまでの期間を示す。

　具体的には、図２０に示されるように、本変形例の制御部９１１は、１トリップに相当する時刻ｔ４０から時刻ｔ４４までの期間、判断情報等のデータを常時記憶媒体９２に記憶させる。なお、時刻ｔ４０は、車両１０の走行が開始された時刻を示す。また、時刻ｔ４４は、車両１０の走行が終了した時刻を示す。これにより、時刻ｔ４１で車両１０の運転モードが自動運転モードに切り替えられた後、時刻ｔ４２，ｔ４３で車両１０に異常が生じたような場合には、それらの時点における判断情報等のデータが常時記憶媒体９２に記憶される。したがって、常時記憶媒体９２に記憶されているデータを解析することにより、異常が生じた際の運転主体が人及び自動運転ＥＣＵ７０のいずれであったかを解析することができる。

　また、異常の発生に伴い時刻ｔ４４で車両が一旦停止した後、時刻ｔ４５で車両１０の走行が開始されたとする。このような場合でも、制御部９１１は、時刻ｔ４５から１トリップが経過する時刻ｔ４８までの期間、判断情報等のデータを常時記憶媒体９２に記憶させる。そのため、その後の時刻ｔ４６の時点で車両１０の運転モードが自動運転モードに切り替えられた後、時刻ｔ４７で車両１０の運転権限が乗員に移譲されたような場合でも、それらの時点における判断情報等のデータが常時記憶媒体９２に記憶されている。よって、仮に車両１０に異常が生じた場合でも、常時記憶媒体９２に記憶されているデータを解析することにより、異常が生じた際の運転主体が人及び自動運転ＥＣＵ７０のいずれであったかを解析することができる。

　なお、制御部９１１は、常時記憶媒体９２の使用データ量が記憶容量の上限値に達した場合には、古いデータから順に削除する。
　（第１０変形例）
　次に、第１実施形態のデータ記憶装置９０の第１０変形例について説明する。

　図２１（Ａ），（Ｂ）に示されるように、本変形例の制御部９１１は、１トリップに相当する時刻ｔ４０から時刻ｔ４４までの期間、及び時刻ｔ４５から時刻ｔ４８までの期間、判断情報を常時記憶媒体９２に記憶させる。また、制御部９１１は、時刻ｔ４１や時刻ｔ４６で車両１０の運転モードが自動運転モードに切り替えられた場合には、それ以降に常時記憶媒体９２に記憶されるデータを保存用記憶媒体９３にコピーする。

　（第１１変形例）
　次に、第１実施形態のデータ記憶装置９０の第１１変形例について説明する。
　本変形例の制御部９１１は、図２２（Ａ），（Ｂ）に示されるように、常時記憶媒体９２に記憶されている１トリップ分のデータを、１トリップ終了後や次のトリップ以降に保存用記憶媒体９３に記憶させる。なお、制御部９１１は、数トリップ終了後においては、会社や自宅等の特定の場所に車両１０が到着した際に、常時記憶媒体９２に記憶されているデータを保存用記憶媒体９３に記憶させてもよい。

　（第１２変形例）
　次に、第１実施形態のデータ記憶装置９０の第１２変形例について説明する。
　本変形例の制御部９１１は、図２３に示されるように、異常検出部９１０により検出される異常の種類に応じて、常時記憶媒体９２及び保存用記憶媒体９３に記憶されるデータを変更する。なお、図２３において丸印が付されているデータは、常時記憶媒体９２及び保存用記憶媒体９３に記憶されるデータとして選択される可能性があるデータを示す。丸印が付されていないデータは、常時記憶媒体９２及び保存用記憶媒体９３に記憶されないデータを示す。また、図２３では「実際の車両１０の出力情報」に関するものについてのみ例示しているが、図４に示される自動運転に関連する情報、図５に示される手動運転に関連する情報、及び図６に示される管理情報についても同様に異常の種類に応じて選択すべきデータが設定されている。制御部９１１は、異常検出部９１０により検出される異常の種類に応じた少なくとも一つのデータを常時記憶媒体９２及び保存用記憶媒体９３に記憶させる。

　なお、制御部９１１は、異常の発生に伴い常時記憶媒体９２及び保存用記憶媒体９３にデータを記憶している際に他の異なる異常が生じた場合には、それぞれの異常に対応する項目の論理和に対応するデータを常時記憶媒体９２及び保存用記憶媒体９３に記憶させる。例えば一方の異常に対応する項目に丸印が付されておらず、且つ他方の異常に対応する項目に丸印が付されている場合には、その項目に該当するデータは常時記憶媒体９２及び保存用記憶媒体９３に記憶されることになる。

　（第１３変形例）
　次に、第１実施形態のデータ記憶装置９０の第１３変形例について説明する。
　本変形例の制御部９１１は、異常検出部９１０により異常状態が検出された場合、及び所定のトリガ事象が発生した場合に、判断情報等のデータを保存用記憶媒体９３に記憶させる時間的な間隔を短くする。以下では、保存用記憶媒体９３に記憶されるデータの時間的な間隔を「サンプリング間隔」と称する。また、保存用記憶媒体９３に記憶されるデータの時間的な期間を「サンプリング期間」と称する。

　トリガ事象としては、例えば上記の（ｄ１）～（ｄ６）に示される事象を用いることができる。また、トリガ事象としては、手動運転モードから自動運転モードの切り替え、ＴＯＲの実行、ＭＲＭの実行、及び自動運転ＥＣＵ７０から乗員への運転権限の移譲等を用いることができる。

　例えばトリガ事象として、自動運転ＥＣＵ７０から乗員へ運転権限を移譲する事象が用いられているとする。また、図２４（Ａ）に示されるように、制御部９１１が、第１記憶間隔Ｔ１で常時記憶媒体９２にデータを記憶させているとする。なお、図２４（Ａ），（Ｂ）において逆三角形のマークは、データの記憶タイミングを示している。この場合、図２４（Ｂ）に示されるように、異常検出部９１０により異常状態が時刻ｔ５０，ｔ５１，ｔ５３で検出され、且つ自動運転ＥＣＵ７０から乗員へ運転権限を移譲する事象が時刻ｔ５２で発生した場合、制御部９１１は、時刻ｔ５０～時刻ｔ５３のそれぞれの前後の所定期間において、常時記憶媒体９２に記憶されているデータを保存用記憶媒体９３に記憶させる。また、制御部９１１は、時刻ｔ５０～時刻ｔ５３のそれぞれの前後の所定期間以外の期間において、第１記憶間隔Ｔ１よりも長い第２記憶間隔Ｔ２を用いて、常時記憶媒体９２に記憶されてデータを保存用記憶媒体９３に記憶させる。このような構成によれば、異常検出部９１０により異常状態が検出された場合、及びトリガ事象が発生した際に、保存用記憶媒体９３におけるデータのサンプリング間隔を短くすることができる。

　あるいは、図２５（Ａ）に示されるように、制御部９１１は、時刻ｔ５０～時刻ｔ５３のそれぞれの前後の期間において、第１記憶間隔Ｔ１で常時記憶媒体９２にデータを記憶させるとともに、それ以外の期間において、第２記憶間隔Ｔ２で判断情報を常時記憶媒体９２に記憶させてもよい。この場合、図２５（Ｂ）に示されるように、制御部９１１は、常時記憶媒体９２に記憶されているデータを保存用記憶媒体９３にそのまま記憶させる。このような構成であっても、異常検出部９１０により異常状態が検出された場合、及びトリガ事象が発生した際に、保存用記憶媒体９３におけるデータのサンプリング間隔を短くすることができる。

　本変形例のデータ記憶装置９０によれば、異常の発生前後及びトリガ事象の発生前後における運転主体の解析精度を高めることができる。また、保存用記憶媒体９３における使用データ量を減らすことができるため、保存用記憶媒体９３への判断情報の記憶をより長時間実行することができる。

　（第１４変形例）
　次に、第１実施形態のデータ記憶装置９０の第１４変形例について説明する。
　手動運転モードから自動運転モードへの切り替え、ＴＯＲの実行、ＭＲＭの実行、及び自動運転ＥＣＵ７０から乗員への運転権限の移譲等が行われた場合、それらの制御が安定するまでの時間がそれぞれ異なる。そこで、本変形例の制御部９１１は、それらのトリガ事象が発生したタイミングで、常時記憶媒体９２及び保存用記憶媒体９３におけるデータのサンプリング間隔及びサンプリング期間の少なくとも一方を変化させる。

　なお、車両１０に発生した異常の種類や異常の箇所に応じて制御が安定するまでの時間が異なる。そのため、制御部９１１は、異常の種類や異常の箇所に応じて常時記憶媒体９２及び保存用記憶媒体９３におけるデータのサンプリング間隔及びサンプリング期間の少なくとも一方を変化させてもよい。

　具体的には、図２６及び図２７の「異常の種類」及び「異常の箇所」の欄に記載されるような異常が発生した場合、「想定される制御の例」の欄に記載されるような制御が車両１０において行われることが想定される。この場合、その制御が安定するまでには、「制御が安定するまでの時間の例」の欄に記載されるような時間を要する。ここで挙げられているような事例の場合、制御部９１１は、「サンプリング期間の例」の欄に記載されるまでの期間、サンプリング間隔を通常よりも短くする。

　また、車両１０に発生した異常が、車両１０の挙動の異常や、自動運転制御を実行するために必要な機器の異常である場合には、自動運転制御に異常が発生していたか否かを確認するために、常時記憶媒体９２及び保存用記憶媒体９３におけるデータのサンプリング間隔を短くする。例えば認知系の周辺認知センサ７１や操作系のＥＰＳ４０に異常が生じた場合等、自動運転制御に即座に影響が生じる可能性がある異常が発生した場合には、常時記憶媒体９２及び保存用記憶媒体９３におけるデータのサンプリング間隔を短くする。すなわち、常時記憶媒体９２及び保存用記憶媒体９３にデータを密に記憶させる。

　一方、人自身の状態異常や、人が操作するための機器の異常時には自動運転制御の問題ではないとして、常時記憶媒体９２及び保存用記憶媒体９３におけるデータのサンプリング間隔を長くする。例えば運転者の睡眠や燃料系の燃料不足、シフト表示の異常、ワイパの異常等の場合には、当面は自動運転制御を正常に保つことができるため、常時記憶媒体９２及び保存用記憶媒体９３におけるデータのサンプリング間隔を長くする。すなわち、常時記憶媒体９２及び保存用記憶媒体９３にデータを粗に記憶させる。

　（第１５変形例）
　次に、第１実施形態のデータ記憶装置９０の第１５変形例について説明する。
　図２に破線で示されるように、演算処理部９１は、走行状況検出部９１２を更に備えている。走行状況検出部９１２は、各ＥＣＵ２０～７０から取得される各種情報に基づいて、車両１０の走行している車線や走行路面の状態等の車両の走行状況を検出する。

　本変形例の制御部９１１は、走行状況検出部９１２により検出される車両１０の走行状況が解析ニーズの高い状況であると判定した場合には、常時記憶媒体９２及び保存用記憶媒体９３におけるデータのサンプリング間隔を短くしたり、サンプリング期間を長くしたりする。

　なお、解析ニーズの高い状況とは、周囲の車両の流れを遮るように車両１０が走行している状況、路面状態の悪い道路を車両１０が走行している状況である。周囲の車両の流れを遮るように車両１０が走行している状況とは、車両１０がレーンチェンジを行う状況や、車両１０の走行している車線が他の車線に合流する状況、車両１０が交差点を走行する状況、車両が右左折を行う状況等である。また、路面状態の悪い道路を車両１０が走行している状況とは、車両１０が雪道を走行している状況や、気温が氷点下以下であって路面凍結の可能性のある状況で車両１０が走行している状況、降雨中に車両１０が走行している状況、車両１０が水たまりを走行している状況、凹凸路を車両１０が走行している状況等である。さらに、解析ニーズの高い状況には、例えば車両１０が高速道路を走行している状況も含まれる。

　＜第２実施形態＞
　次に、第２実施形態のデータ記憶装置９０について説明する。以下、第１実施形態のデータ記憶装置９０との相違点を中心に説明する。
　図１に破線で示されるように、本実施形態の車両１０には、他車両１１０及び管理センタ１２０の少なくとも一方と通信可能な通信装置１００が設けられている。

　管理センタ１２０は、自車両１０とは別にデータを記憶させることの可能なサービスを提供する機関である。管理センタ１２０では、複数車両のデータを記憶することが可能であったり、データを長時間記憶することが可能であったりする。管理センタ１２０には、公共の管理センタや私的な管理センタがある。公共の管理センタとは、車種や用途の制限なく通信データを授受できる機関、あるいはサービス加入者のみが利用できる機関である。私的な管理センタとは、会社等の特定の車両を対象とする機関、あるいは個人所有のＰＣ等に記憶するものである。

　なお、管理センタ１２０への通信方法は、無線通信である。また、管理センタ１２０への通信方法は、パーソナルコンピュータ等を経由して車両から管理センタ１２０へ送信するといった方法を用いることもできる。
　通信装置１００は、車載ネットワーク８０を介して各ＥＣＵ２０～７０及びデータ記憶装置９０と通信可能に接続されている。したがって、各ＥＣＵ２０～７０及びデータ記憶装置９０は、通信装置１００を通じて他車両１１０及び管理センタ１２０の少なくとも一方にデータを送信することができる。

　図２８に示されるように、制御部９１１は、ステップＳ１３の処理を実行した場合、あるいはステップＳ１２の処理で否定判断した場合には、ステップＳ１４の処理として、通信装置１００を通じて、常時記憶媒体９２又は保存用記憶媒体９３に記憶されているデータを他車両１１０及び管理センタ１２０の少なくとも一方に送信する。このデータには、車両１０の判断情報が含まれている。これにより、自車両１０の判断情報を他車両１１０及び管理センタ１２０にて保存することが可能となる。

　なお、制御部９１１から他車両１１０及び管理センタ１２０の少なくとも一方に送信される判断情報には、図６に示される管理情報の車両識別情報が含まれている。これにより、他車両１１０及び管理センタ１２０の少なくとも一方が判断情報を受信した際に、受信した判断情報に対応する車両を特定することが可能となる。

　以上説明した本実施形態のデータ記憶装置９０によれば、以下の（３）及び（４）に示される作用及び効果を得ることができる。
　（３）保存用記憶媒体９３に異常が生じた場合や、保存用記憶媒体９３の使用データ量が記憶容量の上限値に達した場合でも、他車両１１０や管理センタ１２０において自車両の判断情報を保存することができる。また、管理センタ１２０に自車両の判断情報を保存することで、管理センタ１２０にて判断情報を即座に解析することができるため、異常状態の確認が容易になる。さらに、管理センタ１２０に判断情報を送信できない状況も考えられるため、他車両１１０に判断情報を送信することにより、より確実に判断情報を保存することができる。

　（４）図２９に示されるように、車両１０に異常が生じた場合には、判断情報が車両識別情報と共に車両１０から他車両１１０に送信されるため、他車両１１０では、受信した判断情報に対応する車両を容易に特定することができる。同様に、図３０に示されるように、車両１０に異常が生じた場合、判断情報が車両識別情報と共に車両１０から管理センタ１２０にも送信されるため、管理センタ１２０でも、受信した判断情報に対応する車両を容易に特定することができる。

　（第１変形例）
　次に、第２実施形態のデータ記憶装置９０の第１変形例について説明する。
　本変形例の制御部９１１は、データの送信先に応じて、常時記憶媒体９２又は保存用記憶媒体９３におけるデータのサンプリング間隔を変化させる。例えば制御部９１１は、送信先への送信速度や送信量の制限により判断情報等のデータの送信に長時間を要する場合や、送信先の記憶容量の上限値が少ない場合には、常時記憶媒体９２又は保存用記憶媒体９３におけるデータのサンプリング間隔を長くしてもよい。

　（第２変形例）
　次に、第２実施形態のデータ記憶装置９０の第２変形例について説明する。
　本変形例では、車両１０から送信される判断情報等のデータを受信する他車両１１０の制御部９１１が図３１に示される処理を実行する。なお、他車両１１０の制御部９１１は、図３１に示される処理を所定の周期で実行している。

　図３１に示されるように、制御部９１１は、まず、ステップＳ２０の処理として、周辺車両の異常を検知する。具体的には、制御部９１１は、Ｖ２Ｖや管理センタ１２０経由で異常信号を受信することに基づいて周辺車両の異常を検知する。あるいは、制御部９１１は、自動運転ＥＣＵ７０の周辺認知センサ７１やマイク等のセンサにより周辺の異常走行車両が検出されることに基づいて、周辺車両の異常を検知する。異常走行している周辺車両とは、例えばハザード等の異常を示すライトを点灯させている車両、他の前後車両と比較して速度が遅い車両、路肩を走行している車両である。

　制御部９１１は、ステップＳ２１の処理として、ステップＳ２０の検知結果に基づいて、周辺に異常車両が存在するか否かを判断する。すなわち、制御部９１１は、ステップＳ２０の処理で異常車両が検知された場合には、周辺に異常車両が存在すると判断する。また、制御部９１１は、ステップＳ２０の処理で異常車両が検知されなかった場合には、周辺に異常車両が存在しないと判断する。制御部９１１は、ステップＳ２１の処理で肯定判断した場合には、すなわち周辺に異常車両が存在する場合には、ステップＳ２２の処理として、その異常車両からデータを取得する。このデータには、異常車両の判断情報が含まれている。

　制御部９１１は、ステップＳ２２の処理を実行した後、ステップＳ２３の処理として、
管理センタ１２０に送信されていない異常車両のデータが存在するか否かを判断する。また、制御部９１１は、ステップＳ２１の処理で否定判断した場合にも、すなわち周辺車両の異常が検出されていない場合にも、ステップＳ２３の処理を実行する。

　制御部９１１は、ステップＳ２３の処理で肯定判断した場合には、すなわち管理センタ１２０に送信されていない異常車両のデータが存在する場合には、ステップＳ２４の処理として、管理センタ１２０と通信可能な状況であるか否かを判断する。制御部９１１は、ステップＳ２４の処理で肯定判断した場合には、すなわち管理センタ１２０と通信可能な状況である場合には、ステップＳ２５の処理として、異常車両のデータを管理センタ１２０に送信した後、一連の処理を一旦終了する。

　制御部９１１は、ステップＳ２３の処理で否定判断した場合、あるいはステップＳ２４の処理で否定判断した場合にも、一連の処理を終了する。
　このような構成によれば、図３２に示されるように、異常の発生した車両１０から送信される判断情報等のデータが他車両１１０を介して管理センタ１２０に送信される。これにより、車両１０が山奥を走行している状況や、記憶媒体９２，９３の異常で通信やデータの記憶ができない状況でも、周辺を走行している他車両１１０が通信可能な場所まで移動した際に管理センタ１２０に判断情報等のデータを送信することができる。また、判断情報等のデータを複数の他車両１１０で部分的に保持するとともに、それらの情報を管理センタ１２０に送信して統合することで、容量の大きな判断情報等のデータを外部に記憶させることができる。

　（第３変形例）
　次に、第２実施形態のデータ記憶装置９０の第３変形例について説明する。
　本変形例のデータ記憶装置９０は、図１９に示されるデータ記憶装置９０と同一の構成を有している。すなわち、データ記憶装置９０は、常時記憶媒体９２のみを有している。制御部９１１は、１トリップ分又は数トリップ分の判断情報等のデータを常時記憶媒体９２に記憶させる。また、制御部９１１は、常時記憶媒体９２へのデータの記憶が終了した後、１トリップ分又は数トリップ分の判断情報等のデータの全て又は一部を管理センタ１２０に送信する。

　＜第３実施形態＞
　次に、第３実施形態のデータ記憶装置９０について説明する。以下、第１実施形態のデータ記憶装置９０との相違点を中心に説明する。
　本実施形態の制御部９１１は、図３３に示される処理を所定の周期で繰り返し実行する。なお、図３３に示される処理において、図３に示される処理と同一の処理については同一の符号を付すことにより重複する説明を割愛する。

　図３３に示されるように、制御部９１１は、ステップＳ１０の処理として判断情報を常時記憶媒体９２に記憶させた後、ステップＳ３０の処理として、入力装置７２の出力信号を取得する。そして、制御部９１１は、ステップＳ３１の処理として、入力装置７２の出力信号に基づいて自動運転の開始操作が行われたか否かを判断する。

　制御部９１１は、ステップＳ３１の処理で肯定判断した場合には、ステップＳ１１の処理として、各ＥＣＵ２０～７０から異常検出結果を取得するとともに、取得した異常検出結果に応じた情報を常時記憶媒体９２に記憶させる。その後、制御部９１１は、ステップＳ１２の処理として、各ＥＣＵ２０～７０から取得した異常検出結果に基づいて車両１０に異常が生じているか否かを判断する。制御部９１１は、ステップＳ１２の処理で肯定判断した場合には、すなわち車両１０に異常が生じている場合には、ステップＳ１３の処理として、常時記憶媒体９２に記憶されているデータを少なくとも1つ以上の保存用記憶媒体９３のそれぞれにコピーする。具体的には、制御部９１１は、自動運転の開始操作が行われた時刻から所定時間だけ前の時刻を基準時刻として、この基準時刻から所定時間が経過するまでの期間、常時記憶媒体９２に記憶されているデータを少なくとも1つ以上の保存用記憶媒体９３のそれぞれにコピーする。

　制御部９１１は、ステップＳ１３を実行した後、一連の処理を一旦終了する。また、制御部９１１は、ステップＳ３１の処理で否定判断した場合、あるいはステップＳ１２で比定判断した場合にも、一連の処理を一旦終了する。
　以上説明した本実施形態のデータ記憶装置９０によれば、第１実施形態の（１）に示される作用及び効果に加え、以下の（５）に示される作用及び効果を得ることができる。

　（５）制御部９１１は、車両１０の運転モードが手動運転モードから自動運転モードに切り替えられる際に異常検出部９１０により異常状態が検出された場合には、判断情報を保存用記憶媒体９３に記憶させる。これにより、車両１０の運転モードが手動運転モードから自動運転モードに切り替えられる際に車両１０に異常が発生した場合でも、異常が生じた際の運転主体が人及び自動運転制御装置のいずれであるかを容易に解析することができる。

　＜第４実施形態＞
　次に、第４実施形態のデータ記憶装置９０について説明する。以下、第１実施形態のデータ記憶装置９０との相違点を中心に説明する。
　本実施形態の制御部９１１は、図３４に示される処理を所定の周期で実行する。図３４に示されるように、制御部９１１は、まず、ステップＳ４０の処理として、記憶媒体９２，９３に記憶可能なデータ量を検出した後、ステップＳ４１の処理として、そのデータ量が所定の閾値未満であるか否かを判断する。制御部９１１は、ステップＳ４１の処理で肯定判断した場合には、すなわち記憶媒体９２，９３に記憶可能なデータ量が閾値未満である場合には、ステップＳ４２として、車両１０の自動運転の機能を制限する。例えば、制御部９１１は、自動運転の機能の制限として、以下の（ｅ１）～（ｅ３）に示される項目のうちの少なくとも一つを実行する。

　（ｅ１）自動運転の禁止。
　（ｅ２）乗員が乗車していない状態での自動運転の禁止。
　（ｅ３）運転者による操作の必要な部分的な自動運転のみを許可。例えば制御部９１１は、レーンキーピングやトラクションコントロール、クルーズコントロール、自動ブレーキのうちの少なくとも一つを許可する。

　制御部９１１は、ステップＳ４１の処理で否定判断した場合には、すなわち記憶媒体９２，９３に記憶可能なデータ量が閾値以上である場合には、ステップＳ４３の処理として、記憶媒体９２，９３にデータを記憶中であるか否かを判断する。制御部９１１は、ステップＳ４３の処理で否定判断した場合には、すなわち記憶媒体９２，９３がデータの記憶中でない場合には、ステップＳ４６の処理として、自動運転の機能を制限しない。

　制御部９１１は、ステップＳ４３の処理で肯定判断した場合には、すなわち記憶媒体９２，９３がデータの記憶中である場合には、ステップＳ４４の処理として、記憶媒体９２，９３の状態をチェックする。具体的には、制御部９１１は、以下の（ｆ１）～（ｆ３）に示される項目をチェックする。

　（ｆ１）ＲＡＭ及びＲＯＭチェック。
　（ｆ２）常時記憶媒体９２及び保存用記憶媒体９３にテスト書き込み及びテスト書き出しを行い、データを記憶できているかをチェック。
　（ｆ３）常時記憶媒体９２は車両１０の始動時にチェックし、保存用記憶媒体９３はデータの記憶停止中に定期的にチェックする。

　続いて、制御部９１１は、ステップＳ４５の処理として、ステップＳ４４のチェック結果に基づいて、記憶媒体９２，９３に異常が生じているか否かを判断する。制御部９１１は、ステップＳ４５の処理で肯定判断した場合には、すなわち記憶媒体９２，９３に異常が生じている場合には、ステップＳ４２の処理として、自動運転の機能を制限する。また、制御部９１１は、ステップＳ４５の処理で否定判断した場合には、すなわち記憶媒体９２，９３に異常が生じていない場合には、ステップＳ４６の処理として、自動運転の機能を制限しない。

　以上説明した本実施形態のデータ記憶装置９０によれば、以下の（６）に示される作用及び効果を更に得ることができる。
　（６）制御部９１１は、記憶媒体９２，９３に異常が生じている場合には、車両１０の自動運転の機能を制限する。また、制御部９１１は、記憶媒体９２，９３に記憶可能なデータ量が所定の閾値未満である場合にも、車両１０の自動運転の機能を制限する。これにより、記憶媒体９２，９３に判断情報を記憶させることが困難な状況においては、より安全サイドで車両１０の走行が行われることになる。

　＜第５実施形態＞
　次に、第５実施形態のデータ記憶装置９０について説明する。以下、第１実施形態のデータ記憶装置９０との相違点を中心に説明する。
　判断情報を保存用記憶媒体９３に全て残す場合、車両１０が走行し続けると、記憶媒体９２，９３の使用データ量が記憶容量の上限値に達するため、記憶媒体９２，９３に記憶されているデータを削除する必要がある。そこで、本実施形態の制御部９１１は、以下の（ｇ１）～（ｇ５）に示される削除タイミングで、記憶媒体９２，９３に記憶されているデータの一部又は全部を削除する。

　（ｇ１）所定時間が経過したとき。
　（ｇ２）使用データ量が所定の閾値を超えたとき。
　（ｇ３）乗員やディーラにより削除指示が行われたとき。
　（ｇ４）車両１０の給油又は給電が行われたとき。
　（ｇ５）前回の削除タイミング以降に車両１０が数トリップ走行したとき。
　なお、制御部９１１は、上記の削除タイミングで削除可能に設定し、記憶媒体９２，９３の使用データ量が記憶容量の上限値に達したときに、所定の優先順位に基づいて削除してもよい。所定の優先順位は、例えば以下の（ｈ１）～（ｈ５）に示されるように決定される。

　（ｈ１）古いトリップのデータから削除する。
　（ｈ２）車外に転送されたデータから削除する。
　（ｈ３）記録を残すきっかけとなったトリガに応じて優先順位を設定する。
　（ｈ４）周辺車両のデータから削除する。
　（ｈ５）保存用記憶媒体９３に記憶されているデータを削除する必要性が生じた場合には、その旨を乗員に通知し、乗員が許可することに基づいて削除する。なお、乗員が削除するデータを選択してもよい。

　また、上記の（ｈ３）に記載されるトリガは、例えば以下の（ｉ１）～（ｉ６）に示される事象である。
　（ｉ１）乗員への運転権限の移譲が行われた場合。
　（ｉ２）自動運転モードへ移行した場合。例えば車両１０に異常が発生した後に運転者が自動運転モードへの移行を指示した場合。
　（ｉ３）自動運転ＥＣＵ７０において障害物等を認知できない場合。例えば自動運転ＥＣＵ７０での認知限界を超えた場合。
　（ｉ４）自動運転に支障をきたす異常が発生した場合。例えば機器の異常、雪等の認知不可等が発生した場合。
　（ｉ５）運転者に異常が生じた場合。例えば運転者が意識不明、酒気帯び、シートベルトを解除している状態である場合。
　（ｉ６）車両１０の横加速度の異常値や、意図しない車両１０の急加速や急減速等が検知された場合。

　また、制御部９１１は、記憶媒体９２，９３に記憶されているデータに優先順位を付けた上で、優先順位の低いデータから順に削除してもよい。優先順位を付ける方法としては、例えば車両挙動の異常、最初の異常、途中の異常といった順で順番の最初のものほど順位が高くなるように優先順位を付けるといった方法がある。また、以下の（ｊ１）～（ｊ３）に示されるような方法で優先順位を付けても良い。

　（ｊ１）優先順位の低い順に点数を付ける。
　（ｊ２）記憶されてからの経過時間で点数を付ける。
　（ｊ３）優先順位と経過日数とでかけ算して優先順位付けを行う。

　一方、記憶媒体９２，９３は、外部からの指令に基づくデータの削除が制限されている。外部とは、乗員、管理センタ１２０、及びディーラの少なくとも一つである。また、記憶媒体９２，９３に記憶されているデータの削除を制限する方法としては、例えば以下の（ｋ１）～（ｋ３）のうちの少なくとも一つの方法が用いられる。

　（ｋ１）全てのデータの削除を禁止。
　（ｋ２）一部のデータの削除を禁止。
　（ｋ３）常時記憶媒体９２のデータの削除のみを許可。保存用記憶媒体９３のデータの削除を禁止。

　また、上記の（ｋ２）に示される一部のデータの削除としては、例えばデータを記憶させるきっかけとなったトリガに応じて削除を禁止するといった方法を採用することができる。一部のデータの削除は、例えば以下の（ｍ１）及び（ｍ２）で示される方法で行われる。

　（ｍ１）所定のトリガで記憶された判断情報の削除を禁止する。例えば、第１実施形態の第５変形例の（ｄ１）～（ｄ６）に示されるトリガに基づいて記憶された判断情報の削除を禁止する。
　（ｍ２）所定のトリガが発生したトリップ、又はトリガが発生して以降からトリップの終了までのデータの削除を禁止する。例えば、後に解析が必要となる可能性の高いトリガに対応する判断情報の削除を禁止する。後に解析が必要となる可能性の高いトリガとしては、例えば以下の（ｎ１）及び（ｎ２）に示される事象である。

　（ｎ１）車両１０の横加速度の異常値や、意図しない車両１０の急加速や急減速等が検知された場合。
　（ｎ２）運転者に異常が生じた場合。例えば運転者が意識不明、酒気帯び、シートベルトを解除している状態である場合。

　また、記憶媒体９２，９３に記憶されているデータを削除することのできる人を、例えばディーラや管理センタ１２０に制限してもよい。
　さらに、記憶媒体９２，９３に記憶されているデータの削除方法を制限してもよい。例えば外部からのデータの削除が可能な場合には、以下の（ｐ１）～（ｐ３）に示されるような方法を採用することができる。

　（ｐ１）削除するための装置を別に必要とする。
　（ｐ２）削除時にパスワードや、鍵となるハード、又はそれらの両方を必要とする。
　（ｐ３）所定の時間が経過するまでの期間、削除を許可しない。

　また、外部からのデータの削除が不可能な場合には、例えばデータ記憶装置９０にデータ消去用のボタンや信号を設けないといった方法を採用することができる。
　以上説明した本実施形態のデータ記憶装置９０によれば、以下の（７）及び（８）に示される作用及び効果を更に得ることができる。

　（７）記憶媒体９２，９３に記憶されているデータを削除することにより、それらの使用データ量を増加させつつ、運転主体の解析の際に必要となる重要なデータを残すことが可能となる。
　（８）記憶媒体９２，９３は、外部からの指令に基づくデータの削除が制限されている。これにより、重要なデータの喪失を未然に防止することができる。

　＜第６実施形態＞
　次に、第６実施形態のデータ記憶装置９０について説明する。以下、第１実施形態のデータ記憶装置９０との相違点を中心に説明する。
　本実施形態の異常検出部９１０は、車両１０の異常、乗員の異常、及び車両１０の周辺環境の異常等を検出するといった方法に代えて、それらの異常が発生するか否かを推定する。具体的には、異常検出部９１０は、センサ７３，７７及びスイッチ７４～７６のそれぞれの出力値や、各ＥＣＵ２０～７０から取得可能な情報に基づいて、車両１０に異常が発生するか否かを推定する。制御部９１１は、異常検出部９１０により車両１０における異常の発生が推定される場合には、常時記憶媒体９２に記憶されている判断情報を保存用記憶媒体９３にコピーする。

　例えば、異常検出部９１０は、乗員監視センサ６２を通じて車載ＥＣＵ６０により検出される乗員の状態に基づいて、乗員に異常が生じる可能性があるか否かを推定する。乗員の状態には、例えば乗員の体温や顔認識、視線認識、音声による車両１０の会話等が含まれる。

　また、異常検出部９１０は、劣化等のように徐々に値が変化するものについて使用時間や発生頻度等が所定の閾値を超えた場合に、車載機器及び車載システムに異常が生じる可能性があると推定する。例えば異常検出部９１０は、パンク又は自然劣化によりタイヤの空気圧が低下していることを検出した場合には、所定時間内に運転に支障が出る可能性があると推定する。また、異常検出部９１０は、燃料不足を検出した場合には、所定時間内に運転に支障が出ると推定する。

　さらに、異常検出部９１０は、Ｖ２ＶやＶ２Ｘ、気象情報、緊急情報等により降雨、降雪、地震が生じると判断した場合には、周辺環境に異常が生じる可能性があると推定する。
　また、異常検出部９１０は、プリクラッシュセンサ５４や、カメラやライダ装置等により構成される周辺認知センサ７１、Ｖ２Ｖ通信等に基づいて、車両１０の異常挙動を推定したり、車両１０の異常挙動の回避が不可能と判断したりする。

　以上説明した本実施形態のデータ記憶装置９０によれば、以下の（９）に示される作用及び効果を更に得ることができる。
　（９）異常検出部９１０は、車両１０に異常が発生するか否かを推定する。制御部９１１は、異常検出部９１０により車両１０に異常が発生すると推定される場合には、常時記憶媒体９２に記憶されている判断情報等のデータを保存用記憶媒体９３に記憶させる。これにより、仮に車両１０の異常挙動等により自動運転ＥＣＵ７０が車両１０に異常が発生する可能性があると推定してＭＲＭを開始したような場合でも、その後に車両１０に異常が発生すると、判断情報が保存用記憶媒体９３に記憶される。このような状況では、運転者が車両１０の退避走行を車両１０の異常と誤認する可能性があるため、ＭＲＭを行った根拠とその挙動の記録を判断情報として保存用記憶媒体９３に残すことで、実際に車両１０に異常が生じていたか否かを解析することができる。

　＜他の実施形態＞
　なお、各実施形態は、以下の形態にて実施することもできる。
　・車両１０は、エンジン２１のみを動力源とする車両に限らず、モータジェネレータを動力源とする車両、例えばハイブリッド車両や電動自動車、燃料電池車等であってもよい。このような車両１０には、図１に破線で示されるように、モータジェネレータ１３１を制御するモータジェネレータＥＣＵ１３０が搭載されている。

　・第１実施形態の各変形例に記載されるデータ記憶装置９０の構成は、第２～第６実施形態のそれぞれのデータ記憶装置９０に適用することが可能である。
　・演算処理部９１が提供する手段及び／又は機能は、実体的な記憶媒体に記憶されたソフトウェア及びそれを実行するコンピュータ、ソフトウェアのみ、ハードウェアのみ、あるいはそれらの組み合わせにより提供することができる。例えば演算処理部９１がハードウェアである電子回路により提供される場合、それは多数の論理回路を含むデジタル回路、又はアナログ回路により提供することができる。

　・本開示は上記の具体例に限定されるものではない。上記の具体例に、当業者が適宜設計変更を加えたものも、本開示の特徴を備えている限り、本開示の範囲に包含される。前述した各具体例が備える各要素、及びその配置、条件、形状等は、例示したものに限定されるわけではなく適宜変更することができる。前述した各具体例が備える各要素は、技術的な矛盾が生じない限り、適宜組み合わせを変えることができる。

Claims

　自動運転制御装置（７０）により自動運転制御が実行される車両（１０）に搭載されるデータ記憶装置（９０）であって、
　前記車両の異常、前記車両の乗員の異常、及び前記車両の周辺環境の異常の少なくとも一つを含む異常状態を検出する異常検出部（９１０）と、
　前記異常検出部により前記異常状態が検出された際に、前記車両の運転主体が前記自動運転制御装置であったか否かを判断することの可能な判断情報を記憶媒体（９２，９３，９４，９５，９６）に記憶させる制御部（９１１）と、を備え、
　前記判断情報には、
　前記自動運転制御の制御量、前記制御量の根拠情報、前記車両の操作量、及び実際の前記車両の出力情報、直接的に自動運転か否かを示す情報の少なくとも一つが含まれている車両のデータ記憶装置。
　前記制御部は、
　前記異常検出部により前記異常状態が検出された時刻に基づき設定される基準時刻から所定時間が経過するまでの期間に取得した前記判断情報を前記記憶媒体に記憶させる
　請求項１に記載の車両のデータ記憶装置。
　前記制御部は、
　前記異常検出部により前記異常状態が検出された時点から前記所定時間が経過するまでの期間に前記異常検出部により異常が更に検出された場合には、前記所定時間を延長する
　請求項２に記載の車両のデータ記憶装置。
　前記制御部は、
　前記異常検出部により前記異常状態が検出された後、前記車両の運転モードが自動運転モードから手動運転モードに切り替えられた際には、前記記憶媒体への前記判断情報の記憶を中断する
　請求項１～３のいずれか一項に記載の車両のデータ記憶装置。
　前記制御部は、
　前記異常検出部により前記異常状態が検出された時刻に基づき設定される基準時刻から所定時間が経過するまでの期間に取得した前記判断情報を前記記憶媒体に記憶させる際に、前記判断情報を前記記憶媒体に記憶させる時間的なサンプリング間隔を、前記基準時刻から前記所定時間が経過するまでの期間以外の期間と比較して、短くする
　請求項１～４のいずれか一項に記載の車両のデータ記憶装置。
　前記異常検出部は、
　車両の自動運転が実行されている状況で前記異常状態を検出した際に、検出された異常の種類に応じて、前記判断情報を前記記憶媒体に記憶させる時間的なサンプリング間隔及びサンプリング期間の少なくとも一方を変更する
　請求項１～５のいずれか一項に記載の車両のデータ記憶装置。
　車両の走行状況を検出する走行状況検出部（９１２）を更に備え、
　前記異常検出部は、
　前記走行状況検出部により検出される車両の走行状況に基づいて、前記判断情報を前記記憶媒体に記憶させる時間的なサンプリング間隔及びサンプリング期間を変更する
　請求項１～６のいずれか一項に記載の車両のデータ記憶装置。
　前記制御部は、
　前記車両の運転モードが手動運転モードから自動運転モードに切り替えられる際に前記異常検出部により前記異常状態が検出された場合に、前記判断情報を前記記憶媒体に記憶させる
　請求項１に記載の車両のデータ記憶装置。
　前記制御部は、
　前記記憶媒体に異常が生じている場合には、前記車両の自動運転の機能を制限する
　請求項１～８のいずれか一項に記載の車両のデータ記憶装置。
　前記制御部は、
　前記記憶媒体の使用データ量が所定の閾値未満である場合には、前記車両の自動運転の機能を制限する
　請求項１～８のいずれか一項に記載の車両のデータ記憶装置。
　前記制御部は、
　前記記憶媒体に記憶されている前記判断情報を車両外の記憶媒体に送信する
　請求項１～１０のいずれか一項に記載の車両のデータ記憶装置。
　前記異常検出部は、
　前記車両の異常として、自動運転制御により制御される車載機器及び車載システムの異常、前記車両の挙動の異常、及び前記車載機器又は前記車載システムの冗長系の異常の少なくとも一つを検出する
　請求項１～１１のいずれか一項に記載の車両のデータ記憶装置。
　自動運転制御装置（７０）により自動運転制御が実行される車両（１０）に搭載されるデータ記憶装置（９０）であって、
　前記車両の異常、前記車両の乗員の異常、及び前記車両の周辺環境の異常の少なくとも一つを含む異常状態の発生を推定する異常検出部（９１０）と、
　前記異常検出部により前記異常状態が発生すると推定された際に、前記車両の運転主体が前記自動運転制御装置であったか否かを判断することの可能な判断情報を記憶媒体（９２，９３）に記憶させる制御部（９１１）と、を備え、
　前記判断情報には、
　前記自動運転制御の制御量、前記制御量の根拠情報、前記車両の操作量、及び実際の前記車両の出力情報、直接的に自動運転か否かを示す情報の少なくとも一つが含まれている
　データ記憶装置。
　前記記憶媒体は、
　外部からの指令に基づくデータの削除が制限されている
　請求項１～１３のいずれか一項に記載の車両のデータ記憶装置。