WO2022185870A1

WO2022185870A1 - 処理方法、処理システム、処理プログラム

Info

Publication number: WO2022185870A1
Application number: PCT/JP2022/005111
Authority: WO
Inventors: 厚志馬場
Original assignee: 株式会社デンソー
Priority date: 2021-03-05
Filing date: 2022-02-09
Publication date: 2022-09-09
Also published as: DE112022001381T5; CN116917181A; US20230406355A1; JPWO2022185870A1

Abstract

ホスト移動体の運転制御に関する処理を遂行する処理方法は、ホスト車両の走行環境において検知される状態を記述した検知情報を取得すること（Ｓ１００）と、検知情報に基づき、ホスト車両に対して監視すべき状況を判定すること（Ｓ１０１）と、検知情報に基づき、ホスト車両の周囲の物理ベースの境界、マージン又は緩衝区域を定義することを含むように安全エンベロープを設定すること（Ｓ１０５）と、安全エンベロープと、ホスト車両とターゲット移動体との間の距離との比較に基づいて、安全エンベロープの違反を監視すること（Ｓ１１０）と、安全エンベロープを設定するルールには、適用条件が成立したときに適用する限定ルールと、適用条件が不成立のときに適用する標準ルールとが含まれ、適用条件の成否に基づき、安全エンベロープを設定するルールを決定すること（Ｓ１０４）、とを含む。

Description

処理方法、処理システム、処理プログラム

関連出願の相互参照

　この出願は、２０２１年３月５日に日本に出願された特許出願第２０２１－３５４８３号を基礎としており、基礎の出願の内容を、全体的に、参照により援用している。

　本開示は、ホスト移動体の運転制御に関する処理を遂行するための、処理技術に関する。

　特許文献１に開示される技術は、ホスト車両のナビゲーション動作に関する運転制御を、ホスト車両の内外環境に関する検知情報に応じて計画している。運転ポリシに従う安全モデルと検知情報とに基づき潜在的な事故責任があると判断される場合には、運転制御に対して制約が与えられている。

特許第６７０８７９３号公報

　特許文献１に開示される技術は、さらなる変更が求められる。

　本開示の課題は、ホスト車両の運転制御に関する新規の技術を提供することにある。

　以下、課題を解決するための本開示の技術的手段について、説明する。尚、請求の範囲及び本欄に記載された括弧内の符号は、後に詳述する実施形態に記載された具体的手段との対応関係を示すものであり、本開示の技術的範囲を限定するものではない。

　本開示の第一態様は、
　ホスト車両の運転制御に関する処理を遂行するために、プロセッサにより実行される処理方法であって、
　ホスト車両の走行環境において検知される状態を記述した検知情報を取得することと、
　検知情報に基づき、ホスト車両に対して監視すべき状況を判定することと、
　検知情報に基づき、ホスト車両の周囲の物理ベースの境界、マージン又は緩衝区域を定義することを含むように安全エンベロープを設定することと、
　安全エンベロープと、ホスト車両とターゲット移動体との間の位置関係との比較に基づいて、安全エンベロープの違反を監視することと、
　安全エンベロープを設定するルールには、適用条件が成立したときに適用する限定ルールと、適用条件が不成立のときに適用する標準ルールとが含まれ、適用条件の成否に基づき、安全エンベロープを設定するルールを決定すること、とを含む。

　本開示の第二態様は、
　ホスト車両の運転制御に関する処理を遂行するために、プロセッサにより実行される処理方法であって、
　ホスト車両の走行環境において検知される状態を記述した検知情報を取得することと、
　検知情報に基づき、ホスト車両に対して監視すべき状況を判定することと、
　検知情報に基づき、ホスト車両の周囲の物理ベースの境界、マージン又は緩衝区域を定義することを含むように安全エンベロープを設定することと、
　安全エンベロープおよびホスト車両とターゲット車両との間の位置関係とに基づき加速度に対する制限値を設定し、加速度に対する制限値とホスト車両の加速度との比較、および、ホスト車両の速度と速度に対する制限値との比較に基づいて、安全エンベロープの違反を監視することと、を含み、
　加速度に対する制限値と、速度に対する制限値のうちの少なくとも一方は、道路走行に対して定められた法規に適合した走行をするための制限値である。

　本開示の第三態様は、
　プロセッサを含み、ホスト車両の運転制御に関する処理を遂行する処理システムであって、
　プロセッサは、
　ホスト車両の走行環境において検知される状態を記述した検知情報を取得することと、
　検知情報に基づき、ホスト車両に対して監視すべき状況を判定することと、
　検知情報に基づき、ホスト車両の周囲の物理ベースの境界、マージン又は緩衝区域を定義することを含むように安全エンベロープを設定することと、
　安全エンベロープと、ホスト車両とターゲット移動体との間の距離との比較に基づいて、安全エンベロープの違反を監視することと、
　安全エンベロープを設定するルールには、適用条件が成立したときに適用する限定ルールと、適用条件が不成立のときに適用する標準ルールとが含まれ、適用条件の成否に基づき、安全エンベロープを設定するルールを決定すること、とを実行する。

　本開示の第四態様は、
　プロセッサを含み、ホスト車両の運転制御に関する処理を遂行する処理システムであって、
　プロセッサは、
　ホスト車両の走行環境において検知される状態を記述した検知情報を取得することと、
　検知情報に基づき、ホスト車両に対して監視すべき状況を判定することと、
　検知情報に基づき、ホスト車両の周囲の物理ベースの境界、マージン又は緩衝区域を定義することを含むように安全エンベロープを設定することと、
　安全エンベロープおよびホスト車両とターゲット車両との間の位置関係とに基づき加速度に対する制限値を設定し、加速度に対する制限値とホスト車両の加速度との比較、および、ホスト車両の速度と速度に対する制限値との比較に基づいて、安全エンベロープの違反を監視することと、を実行し、
　加速度に対する制限値と、速度に対する制限値のうちの少なくとも一方は、道路走行に対して定められた法規に適合した走行をするための制限値である。

　本開示の第五態様は、
　記憶媒体に記憶され、ホスト車両の運転制御に関する処理を遂行するためにプロセッサに実行させる命令を含む処理プログラムであって、
　命令は、
　ホスト車両の走行環境において検知される状態を記述した検知情報を取得することと、
　検知情報に基づき、ホスト車両に対して監視すべき状況を判定することと、
　検知情報に基づき、ホスト車両の周囲の物理ベースの境界、マージン又は緩衝区域を定義することを含むように安全エンベロープを設定することと、
　安全エンベロープと、ホスト車両とターゲット移動体との間の距離との比較に基づいて、安全エンベロープの違反を監視することと、
　安全エンベロープを設定するルールには、適用条件が成立したときに適用する限定ルールと、適用条件が不成立のときに適用する標準ルールとが含まれ、適用条件の成否に基づき、安全エンベロープを設定するルールを決定すること、とを含む。

　本開示の第六態様は、
　記憶媒体に記憶され、ホスト車両の運転制御に関する処理を遂行するためにプロセッサに実行させる命令を含む処理プログラムであって、
　命令は、
　ホスト車両の走行環境において検知される状態を記述した検知情報を取得することと、
　検知情報に基づき、ホスト車両に対して監視すべき状況を判定することと、
　検知情報に基づき、ホスト車両の周囲の物理ベースの境界、マージン又は緩衝区域を定義することを含むように安全エンベロープを設定することと、
　安全エンベロープおよびホスト車両とターゲット車両との間の位置関係とに基づき加速度に対する制限値を設定し、加速度に対する制限値とホスト車両の加速度との比較、および、ホスト車両の速度と速度に対する制限値との比較に基づいて、安全エンベロープの違反を監視することと、を含み、
　加速度に対する制限値と、速度に対する制限値のうちの少なくとも一方は、道路走行に対して定められた法規に適合した走行をするための制限値である。

　第一、三、五態様によると、適用条件の成否に基づき、安全エンベロープを設定するルールを決定するので、適切な安全エンベロープを設定してその違反を監視することができる。

　第二、四、六態様によると、ホスト車両は、法規に適合した走行を実現できる。

本開示における用語の説明を示す説明表。本開示における用語の説明を示す説明表。本開示における用語の説明を示す説明表。本開示における用語の定義を示す説明表。本開示における用語の定義を示す説明表。第一実施形態の処理システムを示すブロック図。第一実施形態の適用されるホスト車両の走行環境を示す模式図。第一実施形態の処理システムを示すブロック図。ホスト車両がターゲット車両の後続車となって走行している図。リスク監視ブロッが実行する処理方法を示すフローチャート。リスク監視ブロッが実行する処理方法を示すフローチャート。先行車、後続車の速度と加速度の時間変化を示す図。２台の車両が向き合って走行している図。２台の車両が隣り合って走行している図。検出範囲Ａｓの遠点Ｐｆに想定する仮想的なターゲット車両を示す図。検出範囲Ａｓの遠点Ｐｆに想定する仮想的なターゲット車両を示す図。死角エリアの端に想定する仮想的なターゲット車両を示す図。軌道衝突の不在状況を保証する第一条件を説明する図。軌道衝突の不在状況を保証する第二条件を説明する図。構造のない道路における第一安全状態を説明する図。構造のない道路における第二安全状態を説明する図。構造のない道路における第三安全状態を説明する図。構造のない道路における縦方向の加減速プロファイルを示す図。構造のない道路における横方向の速度プロファイルを示す図。ターゲット移動体３が人である場合に設定する安全範囲を示す図。第一実施形態の入出庫ルールにより設定される安全範囲を説明する図。第二実施形態の入出庫ルールにより設定される安全範囲を説明する図。第三実施形態の入出庫ルールにより設定される安全範囲を説明する図。第四実施形態の処理システムを示すブロック図である。第五実施形態の処理システムを示すブロック図である。第六実施形態の処理システムを示すブロック図である。第六実施形態の処理システムを示すブロック図である。

　以下、本開示による複数の実施形態を、図面に基づき説明する。尚、各実施形態において対応する構成要素には同一の符号を付すことにより、重複する説明を省略する場合がある。また、各実施形態において構成の一部分のみを説明している場合、当該構成の他の部分については、先行して説明した他の実施形態の構成を適用することができる。さらに、各実施形態の説明において明示している構成の組み合わせばかりではなく、特に組み合わせに支障が生じなければ、明示していなくても複数の実施形態の構成同士を部分的に組み合わせることができる。

　図１～５は、本開示の各実施形態に関連する用語の説明を、示している。但し、用語の定義は、図１～５に示される説明に限定して解釈されるものではなく、本開示の要旨を逸脱しない範囲内において解釈されるものである。

　（第一実施形態）
　図６に示される第一実施形態の処理システム１は、ホスト移動体の運転制御に関連する処理（以下、運転制御処理と表記）を、遂行する。ホスト車両２の視点において、ホスト車両２は自車両（ego-vehicle）であるともいえる。処理システム１が運転制御処理の対象とするホスト移動体は、図７に示されるホスト車両２である。ホスト車両２は、例えば処理システム１の全てが搭載される場合等には、当該処理システム１にとっての自車両（ego-vehicle）であるといえる。

　ホスト車両２においては、自動運転が実行される。自動運転は、動的運転タスク（Dynamic Driving Task：以下、ＤＤＴと表記）における乗員の手動介入度に応じて、レベル分けされる。自動運転は、条件付運転自動化、高度運転自動化、又は完全運転自動化といった、作動時のシステムが全てのＤＤＴを実行する自律走行制御により、実現されてもよい。自動運転は、運転支援、又は部分運転自動化といった、乗員としてのドライバが一部若しくは全てのＤＤＴを実行する高度運転支援制御において、実現されてもよい。自動運転は、それら自律走行制御と高度運転支援制御とのいずれか一方、組み合わせ、又は切り替えにより、実現されてもよい。

　ホスト車両２には、図６，８に示されるセンサ系５、通信系６、地図ＤＢ（Data Base）７、及び情報提示系４が搭載される。センサ系５は、処理システム１により利用可能なセンサデータを、ホスト車両２における外界及び内界の検出により取得する。そのためにセンサ系５は、外界センサ５０及び内界センサ５２を含んで構成される。

　外界センサ５０は、ホスト車両２の外界に存在する物標を、検出してもよい。物標検出タイプの外界センサ５０は、例えばカメラ、ＬｉＤＡＲ（Light Detection and Ranging / Laser Imaging Detection and Ranging）、レーザレーダ、ミリ波レーダ、及び超音波ソナー等のうち、少なくとも一種類である。外界センサ５０は、ホスト車両２の外界における大気の状態を、検出してもよい。大気検出タイプの外界センサ５０は、例えば外気温センサ、及び湿度センサ等のうち、少なくとも一種類である。

　内界センサ５２は、ホスト車両２の内界において車両運動に関する特定の物理量（以下、運動物理量と表記）を、検出してもよい。物理量検出タイプの内界センサ５２は、例えば速度センサ、加速度センサ、及びジャイロセンサ等のうち、少なくとも一種類である。内界センサ５２は、ホスト車両２の内界における乗員の状態を、検出してもよい。乗員検出タイプの内界センサ５２は、例えばアクチュエータセンサ、ドライバステータスモニタ、生体センサ、着座センサ、及び車内機器センサ等のうち、少なくとも一種類である。ここで特にアクチュエータセンサとしては、ホスト車両２の運動アクチュエータに関する乗員の操作状態を検出する、例えばアクセルセンサ、ブレーキサンサ、及び操舵センサ等のうち、少なくとも一種類が採用される。

　通信系６は、処理システム１により利用可能な通信データを、無線通信により取得する。通信系６は、ホスト車両２の外界に存在するＧＮＳＳ（Global Navigation Satellite System）の人工衛星から、測位信号を受信してもよい。測位タイプの通信系６は、例えばＧＮＳＳ受信機等である。通信系６は、ホスト車両２の外界に存在するＶ２Ｘシステムとの間において、通信信号を送受信してもよい。Ｖ２Ｘタイプの通信系６は、例えばＤＳＲＣ（Dedicated Short Range Communications）通信機、及びセルラＶ２Ｘ（C-V2X）通信機等のうち、少なくとも一種類である。通信系６は、ホスト車両２の内界に存在する端末との間において、通信信号を送受信してもよい。端末通信タイプの通信系６は、例えばブルートゥース（Bluetooth：登録商標）機器、Ｗｉ－Ｆｉ（登録商標）機器、及び赤外線通信機器等のうち、少なくとも一種類である。

　地図ＤＢ７は、処理システム１により利用可能な地図データを、記憶する。地図ＤＢ７は、例えば半導体メモリ、磁気媒体、及び光学媒体等のうち、少なくとも一種類の非遷移的実体的記憶媒体（non-transitory tangible storage medium）を含んで構成される。地図ＤＢ７は、自己位置を含んだホスト車両２の自己状態量を推定するロケータのＤＢであってもよい。地図ＤＢは、ホスト車両２の走行経路をナビゲートするナビゲーションユニットの、ＤＢであってもよい。地図ＤＢ７は、複数種類のＤＢの組み合わせにより、構築されてもよい。

　地図ＤＢ７は、例えばＶ２Ｘタイプの通信系６を介した外部センタとの通信等により、最新の地図データを取得して記憶する。地図データは、ホスト車両２の走行環境を表すデータとして、二次元又は三次元にデータ化されている。三次元の地図データとしては、高精度地図のデジタルデータが採用されてもよい。地図データは、例えば道路構造の位置座標、形状、及び路面状態等のうち、少なくとも一種類を表した道路データを含んでいてもよい。地図データは、例えば道路に付属する道路標識、道路表示、及び区画線の、位置座標並びに形状等のうち、少なくとも一種類を表した標示データを含んでいてもよい。地図データに含まれる標示データは、ランドマークのうち、例えば交通標識、矢印マーキング、車線マーキング、停止線、方向標識、ランドマークビーコン、長方形標識、ビジネス標識、又は道路のラインパターン変化等を表していてもよい。地図データは、例えば道路に面する建造物及び信号機の、位置座標並びに形状等のうち、少なくとも一種類を表した構造物データを含んでいてもよい。地図データに含まれる標示データは、ランドマークのうち、例えば街灯、道路のエッジ、反射板、ポール、又は道路標識の裏側等を表していてもよい。

　情報提示系４は、ホスト車両２のドライバを含む乗員へ向けた報知情報を提示する。情報提示系４は、視覚提示ユニット、聴覚提示ユニット、及び皮膚感覚提示ユニットを含んで構成される。視覚提示ユニットは、乗員の視覚を刺激することより、報知情報を提示する。視覚提示ユニットは、例えばＨＵＤ（Head-up Display）、ＭＦＤ（Multi Function Display）、コンビネーションメータ、ナビゲーションユニット、及び発光ユニット等のうち、少なくとも一種類である。聴覚提示ユニットは、乗員の聴覚を刺激することにより、報知情報を提示する。聴覚提示ユニットは、例えばスピーカ、ブザー、及びバイブレーションユニット等のうち、少なくとも一種類である。皮膚感覚提示ユニットは、乗員の皮膚感覚を刺激することにより、報知情報を提示する。皮膚感覚提示ユニットにより刺激される皮膚感覚には、例えば触覚、温度覚、及び風覚等のうち、少なくとも一種類が含まれる。皮膚感覚提示ユニットは、例えばステアリングホイールのバイブレーションユニット、運転席のバイブレーションユニット、ステアリングホイールの反力ユニット、アクセルペダルの反力ユニット、ブレーキペダルの反力ユニット、及び空調ユニット等のうち、少なくとも一種類である。

　図６に示されるように処理システム１は、例えばＬＡＮ（Local Area Network）、ワイヤハーネス、内部バス、及び無線通信回線等のうち、少なくとも一種類を介してセンサ系５、通信系６、地図ＤＢ７、及び情報提示系４に接続される。処理システム１は、少なくとも一つの専用コンピュータを含んで構成される。処理システム１を構成する専用コンピュータは、ホスト車両２の運転制御を統合する、統合ＥＣＵ（Electronic Control Unit）であってもよい。処理システム１を構成する専用コンピュータは、ホスト車両２の運転制御におけるＤＤＴを判断する、判断ＥＣＵであってもよい。処理システム１を構成する専用コンピュータは、ホスト車両２の運転制御を監視する、監視ＥＣＵであってもよい。処理システム１を構成する専用コンピュータは、ホスト車両２の運転制御を評価する、評価ＥＣＵであってもよい。

　処理システム１を構成する専用コンピュータは、ホスト車両２の走行経路をナビゲートする、ナビゲーションＥＣＵであってもよい。処理システム１を構成する専用コンピュータは、ホスト車両２の自己位置を含む自己状態量を推定する、ロケータＥＣＵであってもよい。処理システム１を構成する専用コンピュータは、ホスト車両２の運動アクチュエータを制御する、アクチュエータＥＣＵであってもよい。処理システム１を構成する専用コンピュータは、ホスト車両２における情報提示を制御する、ＨＣＵ（HMI（Human Machine Interface） Control Unit）であってもよい。処理システム１を構成する専用コンピュータは、例えば通信系６を介して通信可能な外部センタ又はモバイル端末等を構築する、少なくとも一つの外部コンピュータであってもよい。

　処理システム１を構成する専用コンピュータは、メモリ１０及びプロセッサ１２を、少なくとも一つずつ有している。メモリ１０は、コンピュータにより読み取り可能なプログラム及びデータ等を非一時的に記憶する、例えば半導体メモリ、磁気媒体、及び光学媒体等のうち、少なくとも一種類の非遷移的実体的記憶媒体（non-transitory tangible storage medium）である。プロセッサ１２は、例えばＣＰＵ（Central Processing Unit）、ＧＰＵ（Graphics Processing Unit）、及びＲＩＳＣ（Reduced Instruction Set Computer）－ＣＰＵ等のうち、少なくとも一種類をコアとして含む。

　プロセッサ１２は、ソフトウェアとしてメモリ１０に記憶された処理プログラムに含まれる複数の命令を、実行する。これにより処理システム１は、ホスト車両２の運転制御処理を遂行するための機能ブロックを、複数構築する。このように処理システム１では、ホスト車両２の運転制御処理を遂行するためにメモリ１０に記憶された処理プログラムが複数の命令をプロセッサ１２に実行させることにより、複数の機能ブロックが構築される。処理システム１により構築される複数の機能ブロックには、図８に示されるように検知ブロック１００、計画ブロック１２０、リスク監視ブロック１４０、及び制御ブロック１６０が含まれる。

　検知ブロック１００は、センサ系５の外界センサ５０及び内界センサ５２からセンサデータを取得する。検知ブロック１００は、通信系６から通信データを取得する。検知ブロック１００は、地図ＤＢ７から地図データを取得する。検知ブロック１００は、これらの取得データを入力としてフュージョンすることにより、ホスト車両２の内外環境を検知する。内外環境の検知により検知ブロック１００は、後段の計画ブロック１２０とリスク監視ブロック１４０とへ与える検知情報を生成する。このように検知情報の生成に当たって検知ブロック１００は、センサ系５及び通信系６からデータを取得し、取得データの意味を認識又は理解し、ホスト車両２の外界状況及びその中での自己の置かれた状況、並びにホスト車両２の内界状況を含む状況全般を、取得データを統合して把握するといえる。検知ブロック１００は、計画ブロック１２０とリスク監視ブロック１４０とへ実質同一の検知情報を与えてもよい。検知ブロック１００は、計画ブロック１２０とリスク監視ブロック１４０とへ相異なる検知情報を与えてもよい。

　検知ブロック１００が生成する検知情報は、ホスト車両２の走行環境においてシーン毎に検知される状態を、記述している。検知ブロック１００は、ホスト車両２の外界における道路ユーザ、障害物、及び構造物を含んだ物体を検知することにより、当該物体の検知情報を生成してもよい。物体の検知情報は、例えば物体までの距離、物体の相対速度、物体の相対加速度、物体の追尾検知による推定状態等のうち、少なくとも一種類を表していてもよい。物体の検知情報はさらに、検知された物体の状態から認識又は特定される種別を、表していてもよい。検知ブロック１００は、ホスト車両２の現在及び将来に走行する走路を検知することにより、当該走路の検知情報を生成してもよい。走路の検知情報は、例えば路面、車線、道路端、及びフリースペース等のうち、少なくとも一種類の状態を表していてもよい。

　検知ブロック１００は、ホスト車両２の自己位置を含む自己状態量を推定的に検知するローカリゼーションにより、当該自己状態量の検知情報を生成してもよい。検知ブロック１００は、自己状態量の検知情報と同時に、ホスト車両２の走路に関する地図データの更新情報を生成して、当該更新情報を地図ＤＢ７へフィードバックしてもよい。検知ブロック１００は、ホスト車両２の走路に関連付けられた標示を検知することにより、当該標示の検知情報を生成してもよい。標示の検知情報は、例えば標識、区画線、及び信号機等のうち、少なくとも一種類の状態を表していてもよい。標示の検知情報はさらに、標示の状態から認識又は特定される交通ルールを、表していてもよい。検知ブロック１００は、ホスト車両２の走行するシーン毎の気象状況を検知することにより、当該気象状況の検知情報を生成してもよい。検知ブロック１００は、ホスト車両２の走行シーン毎の時刻を検知することにより、当該時刻の検知情報を生成してもよい。

　計画ブロック１２０は、検知ブロック１００から検知情報を取得する。計画ブロック１２０は、取得した検知情報に応じてホスト車両２の運転制御を計画する。運転制御の計画では、ホスト車両２のナビゲーション動作及びドライバの支援動作に関する制御指令が生成される。計画ブロック１２０が生成する制御指令は、ホスト車両２の運動アクチュエータを制御するための制御パラメータを、含んでいてもよい。制御指令の出力対象となる運動アクチュエータとしては、例えば内燃機関、電動モータ、及びそれらが組み合わされたパワトレイン、ブレーキ装置、並びに操舵装置等のうち、少なくとも一種類が挙げられる。

　計画ブロック１２０は、運転ポリシとその安全性に従って記述された安全モデルを用いることにより、当該運転ポリシと適合するように制御指令を生成してもよい。安全モデルの従う運転ポリシとは、例えば意図された機能の安全性（Safety Of The Intended Functionality：以下、ＳＯＴＩＦと表記）を保証する車両レベル安全戦略を踏まえて、規定される。換言すれば安全モデルは、車両レベル安全戦略の実装となる運転ポリシに従うことにより、且つＳＯＴＩＦをモデリングすることにより、記述される。計画ブロック１２０は、運転制御結果を安全モデルに逆伝播させる機械学習アルゴリズムにより、安全モデルをトレーニングしてもよい。トレーニングされる安全モデルとしては、例えばＤＮＮ（Deep Neural Network）といったニュラーラルネットワークによるディープラーニング、及び強化学習等のうち、少なくとも一種類の学習モデルが用いられてもよい。

　計画ブロック１２０は、運転制御によってホスト車両２に将来走行させる経路を、制御指令の生成に先立って計画してもよい。経路計画は、検知情報に基づいてホスト車両２をナビゲートするために、例えばシミュレーション等の演算によって実行されてもよい。計画ブロック１２０はさらに、計画経路を辿るホスト車両２に対して、取得した検知情報に基づく適正な軌道を、制御指令の生成に先立って計画してもよい。計画ブロック１２０が計画する軌道は、ホスト車両２に関する運動物理量として、例えば走行位置、速度、加速度、及びヨーレート等のうち、少なくとも一種類を時系列に規定してもよい。時系列な軌道計画は、ホスト車両２のナビゲートによる将来走行のシナリオを、構築する。計画ブロック１２０は、安全モデルを用いた計画によって軌道を生成してもよい。この場合には、生成された軌道に対してコストを与えるコスト関数が演算されることにより、当該演算結果に基づく機械学習アルゴリズムによって安全モデルがトレーニングされてもよい。

　計画ブロック１２０は、ホスト車両２における自動運転レベルの調整を、取得した検知情報に応じて計画してもよい。自動運転レベルの調整には、自動運転と手動運転との間での引き継ぎも含まれていてもよい。自動運転と手動運転との間での引き継ぎは、自動運転を実行する運行設計領域（Operational Design Domain：以下、ＯＤＤと表記）の設定により、当該運行設計領域に対する進入又は退出に伴うシナリオにおいて実現されてもよい。運行設計領域からの退出シナリオ、即ち自動運転から手動運転への引き継ぎシナリオでは、例えば安全モデル等に基づき不合理なリスクが存在すると判断される不合理な状況が、ユースケースとして挙げられる。このユースケースにおいて計画ブロック１２０は、フォールバック予備ユーザとなるドライバが最小リスク操作をホスト車両２に与えてホスト車両２を最小リスク状態へ移行させるためのＤＤＴフォールバックを、計画してもよい。

　自動運転レベルの調整には、ホスト車両２の縮退走行が含まれてもよい。縮退走行のシナリオでは、手動運転モードへの引き継ぎによっては不合理なリスクが存在すると、例えば安全モデル等に基づき判断される不合理な状況が、ユースケースとして挙げられる。このユースケースにおいて計画ブロック１２０は、自律走行及び自律停止によりホスト車両２を最小リスク状態へ移行させるためのＤＤＴフォールバックを、計画してもよい。ホスト車両２を最小リスク状態へ移行させるためのＤＤＴフォールバックは、自動運転レベルを引き下げる調整において実現されるだけでなく、自動運転レベルを維持して縮退走行させる調整、例えばＭＲＭ（Minimum Risk Maneuver）等において実現されてもよい。

　リスク監視ブロック１４０は、検知ブロック１００から検知情報を取得する。リスク監視ブロック１４０は、取得した検知情報に基づくことにより、ホスト車両２とその他のターゲット移動体３（図７参照）との間におけるリスクを、シーン毎に監視する。リスク監視ブロック１４０は、ターゲット移動体３に対してホスト車両２のＳＯＴＩＦを保証するように、検知情報に基づくリスク監視を時系列に実行する。リスク監視において想定されるターゲット移動体３は、ホスト車両２の走行環境に存在する他の道路ユーザである。ターゲット移動体３には、例えば自動車、トラック、バイク、及び自転車といった脆弱性のない道路ユーザと、歩行者といった脆弱な道路ユーザとが、含まれる。ターゲット移動体３にはさらに、動物が含まれてもよい。

　リスク監視ブロック１４０は、ホスト車両２においてＳＯＴＩＦを保証する、例えば車両レベル安全戦略等を踏まえた安全エンベロープを、取得したシーン毎の検知情報に基づき設定する。リスク監視ブロック１４０は、上述の運転ポリシに従う安全モデルを用いて、ホスト車両２及びターゲット移動体３間における安全エンべーロープを設定してもよい。安全エンベロープの設定に用いられる安全モデルは、不合理なリスク又は道路ユーザの誤用に起因する潜在的な事故責任を、事故責任規則に則って回避するように設計されてもよい。換言すれば安全モデルは、運転ポリシに従う事故責任規則をホスト車両２が遵守するように設計されてもよい。こうした安全モデルとしては、例えば特許文献１に開示されるような責任敏感型安全性モデル（Responsibility Sensitive Safety model）等が、挙げられる。

　安全エンベロープの設定では、運転ポリシに従うと仮定したホスト車両２及びターゲット移動体３に対する安全モデルに基づくことにより、少なくとも一種類の運動物理量に関するプロファイルから、安全距離が想定されてもよい。安全距離は、予測されるターゲット移動体３の運動に対して、ホスト車両２の周囲に物理ベースのマージンを確保した境界を、画定する。安全距離は、道路ユーザにより適切な応答が実行されるまでの反応時間を加味して、想定されてもよい。安全距離は、事故責任規則を遵守するように、想定されてもよい。例えば車線等の車線構造が存在するシーンでは、ホスト車両２の縦方向において追突及び正面衝突のリスクを回避する安全距離と、ホスト車両２の横方向において側面衝突のリスクを回避する安全距離とが、演算されてもよい。一方、車線構造が存在しないシーンでは、ホスト車両２の任意方向において軌道の衝突するリスクを回避する安全距離が、演算されてもよい。

　リスク監視ブロック１４０は、ホスト車両２及びターゲット移動体３間における相対運動のシーン毎での状況を、上述した安全エンベロープの設定に先立って特定してもよい。例えば車線等の車線構造が存在するシーンでは、縦方向において追突及び正面衝突のリスクが想定される状況と、横方向において側面衝突のリスクが想定される状況とが、特定されてもよい。これら縦方向及び横方向の状況特定では、直線状の車線を前提とする座標系へ、ホスト車両２及びターゲット移動体３に関する状態量が変換されてもよい。一方、車線構造が存在しないシーンでは、ホスト車両２の任意方向において軌道が衝突するリスクの想定される状況が、特定されてもよい。尚、以上の状況特定機能については、検知ブロック１００により少なくとも一部が実行されることにより、状況特定結果が検知情報としてリスク監視ブロック１４０に与えられてもよい。

　リスク監視ブロック１４０は、ホスト車両２及びターゲット移動体３間における安全判定を、設定した安全エンベロープと、取得したシーン毎の検知情報とに基づき、実行する。即ちリスク監視ブロック１４０は、ホスト車両２及びターゲット移動体３間において検知情報に基づき解釈される走行シーンには、安全エンベロープの違反があるか否かをテストすることにより、安全判定を実現する。安全エンベロープの設定において安全距離が想定される場合には、ホスト車両２及びターゲット移動体３間の現実距離が当該安全距離超過となることにより、安全エンベロープの違反はないとの判定が下されてもよい。一方、ホスト車両２及びターゲット移動体３間の現実距離が安全距離以下となることにより、安全エンベロープの違反があるとの判定が下されてもよい。

　リスク監視ブロック１４０は、安全エンベロープの違反ありとの判定を下した場合に、適切な応答として取るべき適正な行動をホスト車両２へ与えるための合理的なシナリオを、シミュレーションにより演算してもよい。合理的シナリオのシミュレーションでは、ホスト車両２及びターゲット移動体３間での状態遷移が推定されることにより、遷移する状態毎に取るべき行動が、ホスト車両２に対する制約として設定されてもよい。行動の設定では、ホスト車両２へ与える少なくとも一種類の運動物理量を、ホスト車両２に対する制約として制限するように、当該運動物理量に対して仮定される制限値が演算されてもよい。

　リスク監視ブロック１４０は、運転ポリシに従うと仮定したホスト車両２及びターゲット移動体３に対しての安全モデルに基づくことにより、少なくとも一種類の運動物理量に関するプロファイルから、事故責任規則を遵守するための制限値を直接的に演算してもよい。直接的な制限値の演算は、それ自体が安全エンべーロープの設定であって、運転制御に対する制約の設定でもあるといえる。そこで、制限値よりも安全側の現実値が検知される場合、安全エンベロープの違反なしとの判定が下されてもよい。一方、制限値を外れる側の現実値が検知される場合、安全エンベロープの違反ありとの判定が下されてもよい。

　リスク監視ブロック１４０は、例えば安全エンベロープの設定に用いられた検知情報、安全エンベロープの判定結果を表す判定情報、当該判定結果を左右した検知情報、及びシミュレートしたシナリオ等のうち、少なくとも一種類のエビデンス情報をメモリ１０に記憶してもよい。エビデンス情報の記憶されるメモリ１０は、処理システム１を構成する専用コンピュータの種類に応じて、ホスト車両２内に搭載されていてもよいし、例えばホスト車両２外の外部センタ等に設置されていてもよい。エビデンス情報は、非暗号化状態で記憶されてもよいし、暗号化又はハッシュ化されて記憶されてもよい。エビデンス情報の記憶は、安全エンベロープの違反はあるとの判定の場合に、少なくとも実行される。勿論、安全エンベロープの違反はないとの判定の場合にも、エビデンス情報の記憶は実行されてもよい。安全エンベロープの違反なしとの判定の場合におけるエビデンス情報は、記憶時点では遅行型指標として利活用可能であり、将来に対しては先行型指標としても利活用可能となる。

　制御ブロック１６０は、計画ブロック１２０から制御指令を取得する。制御ブロック１６０は、リスク監視ブロック１４０から安全エンベロープに関する判定情報を取得する。制御ブロック１６０は、安全エンベロープの違反なしとの判定情報を取得した場合に、計画されたホスト車両２の運転制御を、制御指令に従って実行する。

　これに対して制御ブロック１６０は、安全エンベロープの違反ありとの判定情報を取得した場合に、計画されたホスト車両２の運転制御に対して、判定情報に基づき運転ポリシに従う制約を与える。運転制御に対する制約は、機能的な制約（functional restriction）であってもよい。運転制御に対する制約は、縮退した制約（degraded constraints）であってもよい。運転制御に対する制約は、これらとは別の制約であってもよい。運転制御に対して制約は、制御指令の制限によって与えられる。合理的なシナリオがリスク監視ブロック１４０によりシミュレートされている場合に制御ブロック１６０は、当該シナリオに従って制御指令を制限してもよい。このとき、ホスト車両２の運動物理量に関して制限値が設定されている場合には、制御指令に含まれる運動アクチュエータの制御パラメータが、当該制限値に基づき補正されてもよい。

　以下、第一実施形態の詳細を説明する。

　図９に示されるように第一実施形態は、ホスト車両２が車線の区切られた車線構造８を走行する場合に適用できる。また、後述するように、第一実施形態は、ホスト車両２が、車線構造８がない道路を走行する場合にも適用できる。車線構造８は、車線の延伸する方向を縦方向として、ホスト車両２及びターゲット移動体３の運動を規制する。車線構造８は、車線の幅方向又は並ぶ方向を横方向として、ホスト車両２及びターゲット移動体３の運動を規制する。

　車線構造８におけるホスト車両２及びターゲット移動体３間の運転ポリシは、例えばターゲット移動体３がターゲット車両３ａの場合、次の（Ａ）～（Ｅ）等に規定される。尚、ホスト車両２を基準とする前方とは、例えばホスト車両２の現在舵角における旋回円上の進行方向、ホスト車両２の車軸と直交する車両重心を通る直線の進行方向、又はホスト車両２のセンサ系５のうちフロントカメラモジュールから同カメラのＦＯＥ(Focus of Expansion)の軸線上における進行方向等を、意味する。
（Ａ）　車両は、前方を走行している車両に、後方から追突しない。
（Ｂ）　車両は、他の車両間に強引な割り込みをしない。
（Ｃ）　車両は、自己が優先の場合でも、状況に応じて他の車両と譲り合う。
（Ｄ）　車両は、見通しの悪い場所では、慎重に運転する。
（Ｅ）　車両は、自責他責に関わらず、自己で事故を防止可能な状況であれば、そのために合理的行動を取る。

　運転ポリシに従うモデルであって、ＳＯＴＩＦのモデリングされた安全モデルは、不合理な状況には至らない道路ユーザの行動を、取るべき適正な合理的行動として想定する。車線構造８におけるホスト車両２及びターゲット移動体３間での不合理な状況とは、正面衝突、追突、及び側面衝突である。正面衝突における合理的行動は、例えばホスト車両２に対するターゲット移動体３がターゲット車両３ａの場合、逆走している車両がブレーキを掛けること等を、含む。追突における合理的行動は、例えばホスト車両２に対するターゲット移動体３がターゲット車両３ａの場合、前方を走行している車両が一定以上の急ブレーキを掛けないこと、及びそれを前提として後方を走行している車両が追突を回避すること等を、含む。側面衝突における合理的行動は、例えばホスト車両２に対するターゲット移動体３がターゲット車両３ａの場合、並走する車両同士が互いの離間方向へ操舵すること等を、含む。合理的行動の想定に際してホスト車両２及びターゲット移動体３に関する状態量は、車線がカーブする車線構造８と、車線が高低する車線構造８とのいずれであっても、直線状且つ平面状の車線構造８を仮定して縦方向及び横方向を規定する、直交座標系に変換される。

　安全モデルは、合理的行動を取らなかった移動体が事故責任を負うとする、事故責任規則に則って設計されるとよい。車線構造８での事故責任規則下、ホスト車両２及びターゲット移動体３間のリスクを監視するために用いられる安全モデルは、合理的行動によって潜在的な事故責任を回避するように、ホスト車両２に対する安全エンベロープをホスト車両２に対して設定する。そこで、処理システム１の全体が正常な状況でのリスク監視ブロック１４０は、ホスト車両２及びターゲット移動体３間の現実距離に対して、走行シーン毎に安全モデルに基づく安全距離を照らし合わせることにより、安全エンベロープ違反の有無を判定する。正常な状況でのリスク監視ブロック１４０は、安全エンベロープの違反がある場合に、合理的行動をホスト車両２へ与えるためのシナリオを、シミュレーションする。シミュレーションによりリスク監視ブロック１４０は、制御ブロック１６０での運転制御に対する制約として、例えば速度及び加速度等のうち少なくとも一方に関する制限値を、設定する。以下の説明において、正常な状況における違反判定機能及び制約設定機能は、正常時安全機能と表記される。

　図９では、ホスト車両２はターゲット車両３ａに対して後続車である。ターゲット車両３ａはターゲット移動体３の一例である。ターゲット移動体３は、ホスト車両２との間で安全判定を行う移動体である。ホスト車両２との間に他の移動体がいない移動体をターゲット移動体３としてもよい。ホスト車両２との間に他の移動体がいても、安全距離ｄ_ｍｉｎを算出できれば、ターゲット移動体３としてもよい。

　図１０は、リスク監視ブロック１４０が実行する処理方法を示している。処理方法は、一定周期で繰り返し実行する。処理方法のＳ１００では、リスク監視ブロック１４０は、検知ブロック１００から検知情報を取得する。

　処理方法のＳ１０１では、Ｓ１００で取得した検知情報をもとに、状況を判定する。状況は、ターゲット移動体３ごとに判定する。状況を判定する理由は、安全判定（安全エンベロープの違反判定ともいう）の方法を選択するためである。状況は、監視すべき状況あるいは判定すべき状況である。状況は、シナリオ又はシーンであってもよい。Ｓ１０１の処理は、予め定義された複数のシナリオの中から、合理的に予見可能なシナリオを選択する処理であってもよい。

　状況は、縦方向と横方向と分けて判定してもよい。縦方向の状況は、追突を判定する状況と、正面衝突を判定する状況とを含んでいてもよい。追突を判定する状況の一例には、ホスト車両２が先行車であり、ターゲット車両３ａが後続車である状況と、ターゲット車両３ａが先行車であり、ホスト車両２が後続車である状況とを含んでいてもよい。正面衝突を判定する状況には、ホスト車両２とターゲット車両３ａがともに正しい車線を走行している状況と、いずれか一方のみが正しい車線を走行している状況と、いずれも正しくない車線を走行している状況と、車線情報が不明な状況とを含んでいてもよい。ここで、正しい車線を走行している状況とは、法規、道路標識及び道路標示によって定められた正規の進行方向に沿って、車線を走行している状況であってよい。ホスト車両２とターゲット車両３ａがともに正しい車線を走行している状況の例としては、ホスト車両２及びターゲット車両３ａが中央線のない道路を走行している状況などが挙げられる。いずれか一方のみが正しい車線を走行している状況の例としては、当該一方（この車両は、緊急車両であってもよい）が、片側一車線道路の他方の車両（この車両は、路上駐車中の車両であってもよい）を追い越すために対向車線へはみ出して走行している状況、当該一方が一方通行道路を逆走している状況などが挙げられる。いずれも正しくない状況の例としては、両方が通行禁止区間を走行している状況などが挙げられる。車線状況が不明な状況の例としては、走行中の道路が地図に未掲載の道路である状況などが挙げられる。横方向の状況は、側面衝突を判定する状況を含んでいてもよい。側面衝突を判定する状況には、ホスト車両２が右、ターゲット車両３ａが左である状況と、ホスト車両２が左、ターゲット車両３ａが右である状況とを含んでいてもよい。

　処理方法のＳ１０２では、ホスト車両２の走行を、道路走行に対して定められた法規に適合させるためのルールを取得する。法規に適合させるためのルールは、道路走行に対して定められた法規そのものであってもよい。道路走行に対して定められた法規とは、いわゆる道路交通法などの交通法規であってもよい。法規に適合させるためのルールの一例には、ホスト車両２が走行している道路に対して設定されている制限速度以下の速度で走行するというルールがある。法規に適合させるためのルールの一例には、赤信号であれば停止線で停止する、停止線があれば一時停止するというルールがある。法規に適合させるためのルールの一例には、バス以外の車両はバス専用レーンを走行しないというルール、バス優先レーンでは、バス以外の車両はバスが近づいてきたら速やかに他の車線へ移動するというルールがある。法規に適合させるためのルールの一例には、緊急車両が接近してきたときは、道路の左側あるいは右側によって一時停止するというルールがある。法規に適合させるためのルールは、センサ系５、通信系６、地図ＤＢ７の１つ以上から、検知ブロック１００を介して、あるいは、直接に取得することができる。なお、法規に適合させるルールのうち、ホスト車両２が走行している道路によらないルールについては、事前に取得しておいてもよい。

　処理方法のＳ１０３では、ホスト車両２は、車線構造８のある道路を走行しているか否かを判断する。車線区画線の有無によらず、ホスト車両２が走行している道路が１車線以上の車線がある道路であればＳ１０３の判断結果がＹＥＳになる。Ｓ１０３の判断結果がＹＥＳであればＳ１０４に進む。

　処理方法のＳ１０４では、安全距離ｄ_ｍｉｎを設定するルールを決定する。Ｓ１０４において決定し得るルールには、標準ルールと切り替えルールとが含まれている。切り替えルールは、切り替えルールに対する適用条件が成立することを条件に適用する限定的なルール、すなわち、限定ルールである。標準ルールは、切り替えルールが適用されない場合に適用されるルールである。切り替えルールは、Ｓ１０２で説明した、法規に適合させるためのルールをターゲット移動体３が遵守しているとして、標準ルールを修正したルールである。

　切り替えルールには、Ｓ１０２で取得した法規に適合させるルールの１つ以上が含まれ得る。切り替えルールには、Ｓ１０２で取得した法規に適合させるルールの全部が含まれていてもよい。Ｓ１０１～１０４の処理の全体が、すなわち、ルールを決定することを含めた処理が、予め定義された複数のシナリオの中から、合理的に予見可能なシナリオを選択する処理に相当していてもよく、シナリオを選択する処理の例を示すものであってもよい。また、Ｓ１０１～１０４の処理の全体及び後述のＳ１０５の処理の一部を含んだ処理が、すなわち、ルールを決定することを含めた処理が、合理的に予見可能なシナリオを選択する処理及びシナリオ毎の仮定のセットを定義する処理に相当していてもよく、シナリオを選択する処理及び仮定のセットを定義する処理の例を示すものであってもよい。

　処理方法のＳ１０５では、安全距離ｄ_ｍｉｎを設定する。安全距離ｄ_ｍｉｎは、ターゲット移動体３ごとに設定する。安全距離ｄ_ｍｉｎは、Ｓ１０１で判定した状況別に異なる計算式により設定してもよい。安全距離ｄ_ｍｉｎを算出する計算式は、事前に設定されている。安全距離ｄ_ｍｉｎを算出する計算式は、ホスト車両２とターゲット車両３ａのそれぞれの速度ｖと加速度ａとを用いて算出してもよい。安全距離は、他の道路ユーザに対して維持すべき適切な距離（appropriate distances）と言い換えることができる。安全距離ｄ_ｍｉｎの設定は、実質的に、ホスト車両の周囲の物理ベースの境界、マージン又は緩衝区域を定義することを含む安全エンベロープの設定そのものであってもよい。あるいは、安全距離ｄ_ｍｉｎの設定に基づいて、安全エンベロープの設定に含まれる境界、マージン又は緩衝区域が定義されてもよい。安全エンベロープは、シナリオ毎に定義された仮定のセットに基づき、設定されてよい。この仮定のセットは、仮定の最小セット、又は当該最小セットを一部に含むセットであってよい。

　〔標準ルール適用時の安全距離ｄ_ｍｉｎ〕
　図９には、追突を判定する状況における安全距離ｄ_ｍｉｎも図示している。追突を判定する状況における安全距離ｄ_ｍｉｎと、先行車である車両ｃ_ｆの停止距離ｄ_{ｂｒａｋｅ，ｆｒｏｎｔ}と、後続車である車両ｃ_ｒの空走距離ｄ_{ｒｅａｃｔｉｏｎ,ｒｅａｒ}と、車両ｃ_ｒの制動距離ｄ_{ｂｒａｋｅ,ｒｅａｒ}との間には、式１に示す関係がある。
（式１）　ｄ_ｍｉｎ＝ｄ_{ｒｅａｃｔｉｏｎ,ｒｅａｒ}＋ｄ_{ｂｒａｋｅ,ｒｅａｒ}－ｄ_{ｂｒａｋｅ，ｆｒｏｎｔ}
　追突を判定する状況における安全距離ｄ_ｍｉｎは、先行車である車両ｃ_ｆが速度ｖ_ｆで走行中、最大減速度ａ_{ｍａｘ，ｂｒａｋｅ}でブレーキをかけて停車したとき、後続車である車両ｃ_ｒが反応時間ρ秒間、最大加速度ａ_{ｍａｘ，ａｃｃｅｌ}で加速し、その後、最小減速度ａ_{ｍｉｎ，ｂｒａｋｅ}でブレーキをかけて停車したとしても、追突しない距離としてもよい。各車両間の最大減速度ａ_{ｍａｘ，ｂｒａｋｅ}、最大加速度ａ_{ｍａｘ，ａｃｃｅｌ}、最小減速度ａ_{ｍｉｎ，ｂｒａｋｅ}は、同じ値であってもよく、異なっていてもよい。

　最大加速度ａ_{ｍａｘ，ａｃｃｅｌ}は車両が加速能力を最大限に発揮した場合の加速度ａとは異なっていてもよい。例えば、最大加速度ａ_{ｍａｘ，ａｃｃｅｌ}は、安全に走行を継続するという観点で設定する値であってもよい。また例えば、最大加速度ａ_{ｍａｘ，ａｃｃｅｌ}は、ターゲット移動体３（他の道路ユーザ）が示し得る合理的に予見可能な最大想定加速度であってもよい。最大減速度ａ_{ｍａｘ，ｂｒａｋｅ}は、車両が減速能力を最大限に発揮した場合の減速度とは異なっていてもよい。例えば、最小減速度ａ_{ｍｉｎ，ｂｒａｋｅ}は、安全に走行を継続するという観点で設定する値であってもよい。また例えば、最小減速度ａ_{ｍｉｎ，ｂｒａｋｅ}は、ターゲット移動体３（他の道路ユーザ）が示し得る合理的に予見可能な最小想定減速度であってよい。反応時間ρは、先行車が減速を開始してから後続車が減速を開始するまでの時間である。例えば反応時間ρは、事前に設定されていてもよい。尚、減速度は正の値とする。また例えば反応時間ρは、ターゲット移動体３（他の道路ユーザ）が示し得る合理的に予見可能な最大想定反応時間であってもよい。尚、減速度は、マイナスの符号がつくことにより減速を示す。

　図１２には、先行車が減速を開始してからの先行車と後続車の速度ｖと加速度ａの時間変化を示している。先行車が減速を開始してからの先行車と後続車の速度ｖと加速度ａの時間変化は、加減速プロファイルとも言う。

　先行車加速度は、時刻ｔ０から時刻ｔ１まで－ａ_{ｍａｘ，ｂｒａｋｅ}で一定である。後続車加速度は、時刻ｔ０から反応時間ρが経過するまではａ_{ｍａｘ，ａｃｃｅｌ}であり、反応時間ρが経過してから時刻ｔ２までは－ａ_{ｍａｘ，ｂｒａｋｅ}である。したがって、先行車速度の時間変化は３段目のグラフになり、後続車速度の時間変化は４段目のグラフになる。

　正面衝突を判定する状況では、図１３に示すように、車両ｃ_１と車両ｃ_２がそれぞれ速度ｖ_１、ｖ_２で向き合って走行中、反応時間ρ秒間、最大加速度ａ_{ｍａｘ，ａｃｃｅｌ}で加速し、その後、最小減速度ａ_{ｍｉｎ，ｂｒａｋｅ}でブレーキをかけて停車したとしても、正面衝突しない距離を安全距離ｄ_ｍｉｎとしてもよい。ただし、正しい車線を走行している車両については、最小減速度をａ_{ｍｉｎ，ｂｒａｋｅ}より小さいａ_{ｍｉｎ，ｂｒａｋｅ，ｃｏｒｒｅｃｔ}としてもよい。最大加速度ａ_{ｍａｘ，ａｃｃｅｌ}と最小減速度ａ_{ｍｉｎ，ｂｒａｋｅ}の意味は、追突を判定する状況と同じである。

　側面衝突を判定する状況では、図１４に示すように、車両ｃ_１、ｃ_２がそれぞれ横速度ｖ_１、ｖ_２で隣り合って走行中、反応時間ρ秒間、最大加速度ａ_{ｍａｘ，ａｃｃｅｌ，ｌａｔ}で加速し、その後、最小減速度ａ_{ｍｉｎ，ｂｒａｋｅ，ｌａｔ}で横方向に減速したとしても、最低距離μを空けて衝突しない距離を安全距離ｄ_ｍｉｎとしてもよい。例えば最大加速度ａ_{ｍａｘ，ａｃｃｅｌ，ｌａｔ}は、安全に走行を継続するという観点で設定する値であってもよい。また例えば最大加速度ａ_{ｍａｘ，ａｃｃｅｌ，ｌａｔ}は、ターゲット移動体３（他の道路ユーザ）が示し得る合理的に予見可能な最大想定加速度であってもよい。例えば、最小減速度ａ_{ｍｉｎ，ｂｒａｋｅ，ｌａｔ}は、安全に走行を継続するという観点で設定する値であってもよい。また例えば、最小減速度ａ_{ｍｉｎ，ｂｒａｋｅ，ｌａｔ}は、ターゲット移動体３（他の道路ユーザ）が示し得る合理的に予見可能な最小想定減速度であってもよい。最低距離μは事前に設定する値である。

　〔切り替えルール適用時の安全距離ｄ_ｍｉｎ〕
　切り替えルール適用時の安全距離ｄ_ｍｉｎを具体例により説明する。切り替えルールの適用例として、センサ検知範囲外を走行するターゲット車両３ａとの安全距離ｄ_ｍｉｎを説明する。切り替えルールは、センサ検知範囲外を走行するターゲット車両３ａの速度を制限速度とする点において、標準ルールを修正する。制限速度は、道路により異なる。そのため、切り替えルールにおいて、制限速度は変更可能なパラメータである。

　図１５，図１６に示されるように、第一実施形態の外界センサ５０は、ホスト車両２の縦方向に関して検出範囲Ａｓが設定される単一の縦方向センサ５００を含む。切り替えルールでは、検出範囲Ａｓにおいて検出限界の距離にある遠点Ｐｆに、ターゲット車両３ａを仮想する。即ち、仮想的なターゲット車両３ａの位置が、検出限界距離の遠点Ｐｆに想定される。遠点Ｐｆとは、検出範囲Ａｓにおいて縦方向又は横方向に最長距離となる検出限界距離の位置に定義される。図１５では、仮想的なターゲット車両３ａはホスト車両２と同一方向に走行している。図１６では、仮想的なターゲット車両３ａはホスト車両２に向かって走行している。

　標準ルールの一例は、ホスト車両２にとって最も厳しい条件を、換言すると不合理なリスクを最小化する条件を、シナリオ毎に定義された仮定のセットとして定義している。図１５のシナリオにおいて、標準ルールは、センサ検知範囲外を走行するターゲット車両３ａが停車していること、すなわち速度が０であることを想定してもよい。図１６のシナリオにおいて、標準ルールは、センサ検知範囲外を走行するターゲット車両３ａが上限速度を超えた速度で走行していることを想定してもよい。一方、切り替えルールの一例は、標準ルールの条件よりも緩和された条件を、シナリオ毎に定義された仮定のセットとして定義している。ここで標準ルールの条件よりも緩和された条件とは、合理的かつ予見可能な仮定に基づいた条件であってよい。図１５のシナリオにおいて道路の下限速度が法規又は道路標識により規定されている場合、切り替えルールは、センサ検知範囲外を走行するターゲット車両３ａが下限速度で走行していることを想定してもよい。図１６のシナリオにおいて道路の上限速度が法規又は道路標識により規定されている場合、センサ検知範囲外を走行するターゲット車両３ａが上限速度で走行していることを想定してもよい。ターゲット車両３ａの速度が、走行中の道路の制限速度であるとして、ホスト車両２とターゲット車両３ａとの間の安全距離ｄ_ｍｉｎを設定する。ターゲット車両３ａの速度を、走行中の道路の制限速度であると想定する以外は、ターゲット車両３ａが検出できている場合と同じ計算により安全距離ｄ_ｍｉｎを算出してもよい。ターゲット車両３ａの速度を、走行中の道路の制限速度であると想定する以外に、ターゲット車両２ａの最大減速度ａ_{ｍａｘ，ｂｒａｋｅ}、最大加速度ａ_{ｍａｘ，ａｃｃｅｌ}、最小減速度ａ_{ｍｉｎ，ｂｒａｋｅ}、最大反応時間ρ_ｍｉｎなどを、合理的に予見可能なパラメータとして想定した上で、安全距離ｄ_ｍｉｎを算出してもよい。

　車線構造８があり、検出範囲Ａｓ内に存在しているターゲット車両３ａを検出できている場合、検出範囲Ａｓの遠点Ｐｆに仮想的なターゲット車両３ａを想定する必要がない。したがって、切り替えルールの適用条件の１つは、センサの検出範囲のうちホスト車両２が走行している車線と同じ車線上にターゲット車両３ａが検出できていない（存在が確認されていない）ことである。

　切り替えルールの他の適用例を説明する。切り替えルールの他の適用例として、死角からのターゲット車両３ａの飛び出しを説明する。換言すると、死角からのターゲット車両３ａの飛び出しとは、遮蔽領域からのターゲット車両３ａの出現である。切り替えルールは、死角からのターゲット車両３ａの飛び出しを想定する際に、ターゲット車両３ａの速度を制限速度とする。また、ターゲット車両３ａも赤信号であれば停止線で停止し、停止線があれば一時停止すると想定する。これらの点において標準ルールを修正する。

　図１７に示されるように、経路が交差するときにホスト車両２から見て死角エリア９１がある場合、死角エリア９１の端に仮想的なターゲット車両３ａを設定する。交差部に信号があり、仮想的なターゲット車両３ａが走行している道路が赤信号であれば、仮想的なターゲット車両３ａは交差部手前で停止すると想定する。仮想的なターゲット車両３ａが走行している道路に、交差部の手前に停止線があれば、仮想的なターゲット車両３ａは停止線で停止すると想定する。停止線がない場合においても、仮想的なターゲット車両３ａが走行している道路が非優先道路であれば、仮想的なターゲット車両３ａは交差部手前で止まれる速度で走行すると想定する。

　一方、仮想的なターゲット車両３ａが走行している道路が優先であれば、仮想的なターゲット車両３ａは、仮想的なターゲット車両３ａが走行している道路の制限速度で交差部を通過すると想定する。なお、仮想的なターゲット車両３ａは、非優先道路を走行しているホスト車両２よりも交差部に後に進入するのであれば、ホスト車両２に追突しない速度で走行すると想定してもよい。この場合、ホスト車両２よりも交差部に先に進入するのであれば、仮想的なターゲット車両３ａは制限速度で交差部を通過すると想定する。このように想定した速度により、ホスト車両２とターゲット車両３ａとの間の安全距離ｄ_ｍｉｎを設定する。

　センサ検知範囲内に死角エリア９１がない場合には、死角エリア９１の端に仮想的なターゲット車両３ａを想定する必要がない。したがって、切り替えルールの適用条件の１つは、検知範囲内に死角エリア９１があることである。

　説明を図１０に戻す。処理方法のＳ１１０では、安全エンベロープの違反を監視する。Ｓ１１０は、Ｓ１１１～Ｓ１１４を含む。Ｓ１１１では、安全判定をする。安全判定は、状況別に設定した安全距離ｄ_ｍｉｎと、ホスト車両２とターゲット移動体３との間の現在距離とを比較して行う。安全距離ｄ_ｍｉｎが現在距離よりも短ければ安全エンベロープの違反状態と判定する。つまり、安全距離ｄ_ｍｉｎよりも現在距離が長ければ安全エンベロープの違反状態でないと判定する。安全判定はターゲット移動体３ごとに行う。

　処理方法のＳ１１２では、加速度ａを評価する。この評価は、加速度ａの制限値と、ホスト車両２の現在の加速度ａを比較して行う。

　加速度ａの制限値は、安全判定の結果に基づいて決定することができる。安全判定の結果、安全エンベロープの違反状態であるという判定結果であれば、加速度ａには制限は課されない。安全ではないという判定結果になった場合、縦方向及び横方向のうち、安全エンベロープの違反状態ではないとの判定結果になった側の加速度ａが制限されたり、制動が必要になったりする。安全判定は例えばターゲット移動体３ごとに行うので、縦方向及び横方向において、複数の加速度ａの制限値が設定される場合もある。

　さらに、赤信号により交差点手前で停止する必要がある場合、および、停止線があり、停止線の手前で停止する必要がある場合には、停止する必要がある位置で停止する加減速度プロファイルを算出する。ここで算出する加減速度プロファイルは、停止する位置として、ターゲット車両３ａに追突しない位置に代えて、交差点手前あるいは停止線手前において停止する必要がある位置とする。これ以外は、追突を判定する場合において安全距離ｄ_ｍｉｎを算出する場合と同様に算出する。そして、算出した加減速度プロファイルから定まる各位置での加速度ａも加速度ａの制限値とする。

　赤信号により交差点手前で停止すること、および、停止線の手前で停止することは、法規に適合した走行をすることである。赤信号により交差点手前で停止する際の加減速度プロファイル、および、停止線の手前で停止する際の加減速度プロファイルから定まる加速度ａの制限値は、法規に適合するために停止する際に安全に停止する加速度ａの制限値である。

　複数の加速度ａの制限値が設定される場合、複数の制限値を統合して評価する。統合は、複数の制限値のうち、最も制限する値を、ホスト車両２の現在の加速度ａと比較する制限値として採用することであってもよい。

　処理方法のＳ１０６とＳ１１３は、Ｓ１０４からＳ１１２とは独立した処理である。Ｓ１０６とＳ１１３は、Ｓ１０４からＳ１１２と並列的に実行してもよい。また、Ｓ１０６とＳ１１３は、Ｓ１０４からＳ１１２の前または後に実行してもよい。

　Ｓ１０６では、速度ｖの制限値を決定する。速度ｖの制限値の一例は、Ｓ１０２で取得した制限速度である。速度ｖの制限値の他の例を説明する。速度ｖの制限値の他の例は、前述した図１７に示すように、仮想的なターゲット車両３ａを設定する例である。この例において、ホスト車両２が優先道路を走行しており、死角エリア９１から仮想的なターゲット車両３ａが出てくることが想定される。このとき、ホスト車両２が仮想的なターゲット車両３ａよりも交差部に先に進入する場合、ホスト車両２及び仮想的なターゲット車両３ａのうち交差部の通行権は、ホスト車両２に定義される。仮想的なターゲット車両３ａに追突されない下限速度を制限値に設定する。反対に、ホスト車両２が仮想的なターゲット車両３ａよりも後に交差部に進入する場合、ホスト車両２及び仮想的なターゲット車両３ａのうち交差部の通行権は、ターゲット車両３ａに定義される。仮想的なターゲット車両３ａに追突しない上限速度又はターゲット車両３ａと適切な距離を維持できるような上限速度を制限値に設定する。ホスト車両２が非優先道路を走行している場合、交差部の手前で停止できる上限速度を制限値に設定する。

　処理方法のＳ１１３では、速度ｖを評価する。この評価は、速度ｖの制限値と、ホスト車両２の現在の速度ｖを比較して行う。複数の速度ｖの制限値が設定される場合、複数の制限値を統合して評価する。統合は、複数の制限値のうち、最も制限する値を、ホスト車両２の現在の速度ｖと比較する制限値として採用することであってもよい。

　処理方法のＳ１１４では、Ｓ１１２での評価結果、および、Ｓ１１３での評価結果を出力する。評価結果は、制御ブロック１６０に与える。評価結果は、判定情報に含まれて制御ブロック１６０に与えてもよい。判定情報には、Ｓ１１１で実行した安全判定の結果が含まれる。判定情報には、評価結果により規定される制約が含まれ得る。制約は、加速度の制約および速度の制約の一方または両方を含み得る。

　次に図１１を説明する。図１１は、ホスト車両２が構造のない道路を走行している場合に実行する。処理方法のＳ１２１では、安全距離ｄ_ｍｉｎを設定するルールを決定する。Ｓ１２１において決定し得るルールには、フリースペース標準ルールとフリースペース限定ルールとが含まれている。フリースペース限定ルールは、フリースペース限定ルールに対する適用条件が成立することを条件に適用する限定的なルール、すなわち、限定ルールである。フリースペース標準ルールは、切り替えルールが適用されない場合に適用される。

　フリースペース限定ルールは、構造のない道路において、事前に設定された車両動作を行う際に適用されるルールである。フリースペース限定ルールの適用条件は、ホスト車両２が事前に設定された車両動作を行うエリアに位置するという条件とすることができる。フリースペース限定ルールの適用条件は、ホスト車両２が事前に設定された車両動作を行っていることが検出できたという条件とすることができる。フリースペース限定ルールの適用条件は、上記２つの適用条件のＡＮＤ条件とすることもできる。ターゲット移動体３がターゲット車両３ａである場合、フリースペース限定ルールの適用条件は、ホスト車両２およびターゲット車両３ａの少なくとも一方が、事前に設定された車両動作を行うエリアに位置するという条件とすることができる。フリースペース限定ルールの適用条件は、ホスト車両２およびターゲット車両３ａのうち、事前に設定された車両動作を行うエリアに位置する車両が、事前に設定された車両動作を行っていることが検出できたという条件とすることができる。

　〔構造のない道路における標準ルール〕
　フリースペース限定ルールを適用する適用条件を満たさない場合、フリースペース標準ルールを適用する。構造のない道路においてフリースペース標準ルールが前提とする運転ポリシは、例えばターゲット移動体３がターゲット車両３ａの場合、次の（Ｆ）～（Ｈ）等に規定される。
（Ｆ）　車両同士は、互いにブレーキを掛ける。
（Ｇ）　ブレーキにより不合理な状況に至ることを回避するシーンでは、ブレーキを掛けない。
（Ｈ）　車両は、前方における他の車両が不在の場合に、前進を許可される。ここで、フリースペース標準ルールでは、構造のある道路での標準ルール、すなわち（Ａ）～（Ｅ）に基づいたルールのうち一部又は全部が適用されなくてもよい。

　この運転ポリシに従う安全モデルは、ホスト車両２及びターゲット移動体３の各軌道が衝突することを、不合理な状況として定義する。換言すれば安全モデルは、ホスト車両２及びターゲット移動体３に対して、軌道衝突という不合理なリスクを不在にするＳＯＴＩＦのモデリングにより規定されてもよい。ここでいう安全モデルは、安全関連モデル（safety-related models）そのものであってもよく、安全関連モデルのうちの一部を構成するモデルであってもよい。本実施形態におけるすべて又は一部の標準ルール及び限定ルールは、動的運転タスクにおいて使用される安全関連モデルの属性に基づいて、定義されてよい。軌道衝突の不在状況は、次の第一及び第二条件のうち、少なくとも一方の成立により保証される。（Ｇ）において、不合理な状況を、危険な状況（hazardous situation）に置換したルールが採用されてもよい。

　第一条件は、図１８に示す、ホスト車両２及びターゲット移動体３の各軌道間の最小距離Δｄが、例えば事故責任規則等に基づく設計値よりも大きいことである。第一条件の成立により、ホスト車両２及びターゲット移動体３が止まるまでの各走行距離は、常に一定値以上となる。

　第二条件は、図１９に示す、ホスト車両２の停止時における相対位置ベクトルとターゲット移動体３の進行方向とがなす角度θ_ｓｔｏｐが、例えば事故責任規則等に基づく設計値よりも小さいことである。第二条件の成立により、ホスト車両２が軌道上で止まるまでの距離が常に一定以上になると共に、停止したホスト車両２の前方にターゲット移動体３が存在することとなる。

　図２０、図２１、図２２において、ホスト車両２及びターゲット車両３ａから、それらの前方に延びている破線で示す図形は、ホスト車両２及びターゲット車両３ａが制動制御により停止するまでに到達する到達範囲を示す。破線で示す図形は、到達範囲を計算した時点から所定時間経過した後は、到達範囲を計算した時点の軌道を、進行方向右側或いは左側に逸れることを想定している。したがって、到達範囲を示す図形においてホスト車両２及びターゲット車両３ａから最も遠い位置は、円弧形状になっている。破線で示す到達範囲は、構造がある道路において追突を判定する際の加減速プロファイルで制動制御した場合に到達する範囲である。

　図２１、図２２において、ホスト車両２及びターゲット車両３ａから延びている実線で示す図形は、ホスト車両２及びターゲット車両３ａが停止するための制動制御をしないで到達する到達範囲を示している。実線で示す到達範囲は、破線で示す到達範囲と同じ時間で到達する範囲を示している。

　図２３には、構造のない道路における縦方向の加減速プロファイルの一例を示している。図２３においてＣ_ｆ、Ｃ_ｂの意味は図９と同じである。ｃ_ｆの加速度は、車両がそのまま前進する際の加速度の上下限値を示している。そのまま前進するとは、停止するための制動制御に移行しないことを意味する。そのまま前進するので、加速度は変化しない。ａ_{ｍａｘ，ａｃｃｅｌ}は安全モデルにおいて設定されている加速度ａの上限値、－ａ_{ｍａｘ，ｂｒａｋｅ}は安全モデルにおいて設定されている加速度ａの下限値である。車両がそのまま前進する際の加速度ａは変化しない。加速度ａの上下限値は事前に設定されている値である。ｃ_ｂの加速度は、車両が制動制御をして停止する際の加速度の上下限値を示しており、時刻ｔ０において制動制御を開始する。ρは反応時間である。－ａ_{ｍｉｎ，ｂｒａｋｅ}は、最小の減速度、換言すれば減速度の最小値である。

　図２４には、構造のない道路における横方向の速度プロファイルの一例を示している。横方向の速度プロファイルは、ｃ_ｆ、ｃ_ｂで共通である。γ_ｍａｘは最大ヨーレートであり、－γ_ｍａｘは最小ヨーレートである。ｃ’_ｍａｘは曲率変化の最大値であり、ｃ’_ｍａｘは曲率変化の最小値である。これらは、安全モデルにおいて事前に設定されている値である。

　図２３、図２４に示す縦及び横方向の加速度、速度プロファイルに基づき、図２０、　図２１、図２２に示す到達範囲が定まる。このようにして定まる到達範囲を安全範囲とし、ホスト車両２の安全範囲とターゲット移動体３の安全範囲とが重ならないようにするルールが標準ルールである。破線で示す安全範囲を停止時安全範囲とし、実線で示す安全範囲を通過時安全範囲とする。通過時安全範囲は、非停止時安全範囲と言うこともできる。ホスト車両２から安全範囲の円弧状の各点までの距離が安全距離ｄ_ｍｉｎである。

　図２５に、ターゲット移動体３が人である場合に設定する安全範囲を示している。ターゲット移動体３が人である場合にも、停止時安全範囲と通過時安全範囲を設定し得る。ターゲット移動体３が人である場合の安全範囲は、人を含む範囲に設定する。ターゲット移動体３が人である場合、通過時安全範囲は停止時安全範囲を包含する。これら２つの安全範囲の大きさは、固定されていてもよいし、人の移動速度に応じて広くなってもよい。安全範囲は、人の移動する方向に相対的に大きく延びる形状とすることができる。大人と子供とでは、それぞれに予見される行動に応じて、互いに異なる停止時安全範囲と通過時安全範囲とを設定してもよい。自転車、バイク、キックボード、ローラースケート、セグウェイ（登録商標）、車椅子、ベビーカー、馬車、路面電車に対しても、それぞれに予見される行動に応じて、停止時安全範囲と通過時安全範囲とを設定してもよい。

　構造のない道路における安全モデルは、軌道衝突という不合理な状況には至らない安全エンベロープを設定する。安全エンベロープは、次の第一～第三安全状態のうち、いずれかの成立させるように設定される。

　第一安全状態は、図２０に示されるように、ホスト車両２及びターゲット移動体３が共に止まるまでに、両者の到達可能範囲において軌道同士の衝突が発生しない状態である。第二安全状態は、図２１に示されるように、ホスト車両２が制動制御をして停止する一方、ターゲット車両３ａは制動制御をしないでそのまま通過する場合にも、両者の到達可能範囲において軌道同士の衝突が発生しない状態である。この第二安全状態は、ターゲット車両３ａが制動制御をして停止する一方、ホスト車両２がそのまま前進した場合に、両者の到達可能範囲において軌道同士の衝突が発生する事態を回避する。

　第三安全状態は、図２２に示されるように、ターゲット車両３ａが制動制御をして停止する一方、ホスト車両２はそのまま前進した場合にも、両者の到達可能範囲において軌道同士の衝突が発生しない状態である。この第三安全状態は、ホスト車両２が制動制御をして停止する一方、ターゲット車両３ａがそのまま前進した場合に、両者の到達可能範囲において軌道同士の衝突が発生する事態を回避する。

　構造のない道路における標準ルールは、万が一に不合理な状況となったときに、ホスト車両２が取るべき適正な合理的行動として、次の第一～第三行動を想定する。第一行動では、ホスト車両２及びターゲット移動体３の両者が完全に停止している状態であれば、ホスト車両２の前方にターゲット車両３ａが位置していなければ、ホスト車両２が前方に動いてターゲット車両３ａから離間する。また一方で第一行動では、両者の完全停止状態でも、ホスト車両２の前方にターゲット車両３ａが位置していれば、不合理な状況が不在となるまでホスト車両２は完全停止状態を継続する。

　第二行動では、ホスト車両２が上述の第二又は第三安全状態から不合理な状況へ陥った場合、ターゲット車両３ａが停止していない限り、ホスト車両２は前進を継続する。第二行動では、この前進継続中にターゲット車両３ａが停止した場合には、前方にターゲット車両３ａが位置していなければ、ホスト車両２は前進をさらに継続する。

　また一方で第二行動では、前進継続中にターゲット車両３ａが停止した場合に、前方にターゲット車両３ａが位置していれば、ホスト車両２が停止動作を実行する。第三行動では、第一及び第二行動以外の場合に、ホスト車両２が停止動作を実行する。尚、第一及び第二行動においてホスト車両２の前方にターゲット車両３ａが位置しているか否かは、上述の第二条件に基づき判断される。

　〔フリースペース限定ルール〕
　フリースペース限定ルールは、標準ルールにおける到達範囲を変更する。フリースペース限定ルールの一例として、駐車スペース９２に対する入出庫に適用されるルール（以下、入出庫ルール）を説明する。

　入出庫ルールは、ホスト車両２が入出庫動作をしている場合に適用される。入出庫ルールは、ホスト車両２が駐車スペースの付近に位置しているときに適用されてもよい。入出庫ルールは、ターゲット移動体３が駐車スペース９２の付近に存在しているときに適用されてもよい。よって、入出庫ルールの適用条件の１つは、ホスト車両２が入出庫動作をしているという条件である。他の１つは、ホスト車両２が駐車スペースの付近に位置しているという条件である。他の１つは、ターゲット移動体３が駐車スペース９２の付近に位置しているという条件である。なお、この駐車スペース９２は、構造のない道路に存在している。

　入出庫ルールは、入出庫動作をしている車両（以下、入出庫中車両）が存在している場合に適用される。入出庫中車両は、ホスト車両２またはターゲット車両３ａである。入出庫ルールが適用されると、入出庫中車両に対する安全範囲を、固定範囲とする。安全範囲には、停止時安全範囲と、通過時安全範囲がある。これら２つの安全範囲をともに固定範囲とする。この点において、入出庫ルールは、フリースペース標準ルールを修正するルールである。通過時安全範囲の大きさは、入出庫動作中の車両の移動範囲を含む大きさである。停止時安全範囲も、入出庫動作中の車両の移動範囲を含む大きさであってもよい。

　図２６には、入出庫中車両をターゲット車両３ａとして、固定範囲とした２つの安全範囲を示している。２つの安全範囲は、駐車スペース９２を基準として範囲が定められている。２つの安全範囲は、いずれも矩形である。いずれの安全範囲も駐車スペース９２に接しており、かつ、破線で示す安全範囲は実線で示す安全範囲よりも狭い。実線で示す安全範囲は、破線で示す安全範囲を内包する。なお、固定範囲とした安全範囲は、矩形以外の形状とすることもできる。安全範囲が固定範囲になっているので、ターゲット車両３ａが駐車動作をしている間、ターゲット車両３ａについての安全範囲は変化しない。

　説明を図１１に戻す。処理方法のＳ１２１にてルールを決定した後、Ｓ１２２を実行する。処理方法のＳ１２２では、安全範囲を設定する。安全範囲を設定すると安全距離ｄ_ｍｉｎも設定される。フリースペース標準ルールが適用されている場合、ホスト車両２の速度に基づき、図２１、図２２に示す２つの安全範囲を設定する。フリースペース限定ルールが適用されていれば、入出庫中車両に対する安全範囲を固定範囲とする。ホスト車両２とターゲット移動体３のうち入出庫中車両ではない移動体は、フリースペース標準ルールと同じ手法で安全範囲を設定する。

　図２６の例では、ホスト車両２はフリースペース標準ルールと同じ手法で安全範囲を設定する。また、ホスト車両２にて実行する処理方法では、ターゲット車両３ａに対する安全範囲を、固定範囲に設定する。

　処理方法のＳ１３０では、安全エンベロープの違反を監視する。Ｓ１３０は、Ｓ１３１～Ｓ１３４を含む。Ｓ１３１では、安全判定をする。例えば安全判定では、ホスト車両２に設定した安全範囲と、ターゲット移動体３に設定した安全範囲とが重なるかどうかを判定する。安全範囲が重なっていれば、安全エンベロープの違反と判定する。安全判定はターゲット移動体３ごとに行う。

　安全エンベロープの違反と判定する安全範囲の重なりは、具体的には、停止時安全範囲同士の重なりであるとすることができる。停止時安全範囲と通過時安全範囲とが重なっている場合も安全エンベロープの違反と判定してもよい。さらに、通過時安全範囲同士が重なっている場合も安全エンベロープの違反と判定してもよい。

　処理方法のＳ１３２では、加速度ａを評価する。Ｓ１３２は、Ｓ１１２と同じ手法で加速度ａを評価する。

　処理方法のＳ１２３とＳ１３３は、Ｓ１２２からＳ１３２とは独立した処理である。Ｓ１２３とＳ１３３は、Ｓ１２２からＳ１３２と並列的に実行してもよい。また、Ｓ１２３とＳ１３３は、Ｓ１２２からＳ１３２の前または後に実行してもよい。

　Ｓ１２３では、速度ｖの制限値を決定する。Ｓ１２３の処理は、Ｓ１０６と同じである。したがって、速度ｖの制限値には、走行中の道路の制限速度が含まれる。道路は、車両が走行してよい場所を意味し、駐車場も道路に含まれる。駐車場に制限速度の標示がある場合など、ホスト車両２が駐車場を走行している場合、Ｓ１０２において駐車場の制限速度を取得し得る。

　Ｓ１３３では、速度ｖを評価する。Ｓ１３３の処理は、Ｓ１１３と同じである。

　処理方法のＳ１３４では、Ｓ１３２での評価結果、および、Ｓ１３３での評価結果を出力する。評価結果は、制御ブロック１６０に与える。評価結果は、判定情報に含まれて制御ブロック１６０に与えてもよい。判定情報には、Ｓ１３１で実行した安全判定の結果が含まれる。判定情報には、前述した第一行動、第二行動、第三行動のいずれかが含まれていてもよい。

　〔第一実施形態のまとめ〕
　第一実施形態では、リスク監視ブロック１４０が実行する処理方法は、適用条件の成否に基づき、安全距離ｄ_ｍｉｎを設定するルールを、標準ルールとするか、限定ルールとするかを決定する（Ｓ１０４、Ｓ１２１）。したがって、適切な安全距離ｄ_ｍｉｎを設定して安全違反を監視することができる。

　限定ルールには、ホスト車両２が走行している道路が車線構造８のある道路である場合に適用される可能性がある切り替えルールが含まれる。切り替えルールは、ターゲット車両３ａが、道路走行に対して定められた法規に適合した走行をしているとするルールを含む。この切替ルールを適用して安全距離ｄ_ｍｉｎを算出することで、不必要に長い安全距離ｄ_ｍｉｎを設定してしまうことを抑制できる。

　限定ルールには、ホスト車両２が走行している道路が車線構造８のない道路である場合に適用される可能性があるフリースペース限定ルールが含まれる。フリースペース限定ルールの一例は、入出庫ルールである。入出庫ルールは、駐車スペース９２に対する入出庫動作時に適用される。

　仮に、ホスト車両２あるいはターゲット車両３ａの入出庫動作時に、フリースペース標準ルールを適用すると、ホスト車両２およびターゲット車両３ａのうちの入出庫中車両の進行方向は短時間で大きく変化し得る。そのため、入出庫中車両に設定される安全範囲も、短時間で向きが大きく変化し得る。入出庫中車両の安全範囲の向きによっては、他の車両の安全範囲が、入出庫中車両が停止しなければいけない位置となる恐れがある。

　一方、本実施形態の処理方法では、入出庫ルールが適用されると、駐車スペース９２の付近に位置している入出庫中車両に対する安全範囲を、駐車スペース９２を基準として範囲が定められた固定範囲とする。これにより、他の車両の安全範囲が、入出庫中車両が停止しなければいけない位置となる可能性が低減するので、入出庫中車両はスムーズに入出庫ができる。

　第一実施形態の処理方法では、加速度ａに対する制限値に、法規に適合するために停止する際に安全に停止する制限値が含まれる。したがって、ホスト車両２は、法規に適合しつつ、安全に停止できる。

　第一実施形態の処理方法では、速度ｖに対する制限値に、ホスト車両２が走行する道路の制限速度が含まれる。したがって、ホスト車両２は、法規に適合しない速度で走行してしまうことを抑制できる。

　（第二実施形態）
　第二実施形態は、第一実施形態の変形例である。

　第二実施形態では、入出庫ルールの内容が第一実施形態で説明した入出庫ルールと以下の点で相違する。第二実施形態の入出庫ルールは、ターゲット移動体３が人であるか車両であるかで、設定する安全距離が相違する。第二実施形態の入出庫ルールは、ターゲット移動体３がターゲット車両３ａである場合は、第一実施形態と同じである。

　一方、ターゲット移動体３が人である場合、人に対する安全範囲は、構造のない道路における標準ルールを適用して、ターゲット移動体３が人である場合に設定する安全範囲と同じである。図２７に、ターゲット移動体３が人である場合を示す。ホスト車両２に設定される安全範囲および人に設定される安全範囲は、ともに、標準ルールに従う。

　図２７には、比較のため、図２６では実線で示した安全範囲を二点鎖線で示している。二点鎖線で示す安全範囲は、人に設定される安全範囲と重なっている。したがって、ホスト車両２は停止をする必要がある。

　しかし、この第二実施形態のように、ターゲット移動体３が人である場合にはフリースペース標準ルールに従うとすると、ターゲット車両３ａに設定される安全範囲と、人に設定される安全範囲は重なりにくくなる。したがって、ホスト車両２は駐車動作を継続しやすい。

　（第三実施形態）
　第三実施形態は、第一実施形態の変形例である。

　第三実施形態では、入出庫ルールの内容が第一実施形態で説明した入出庫ルールと以下の点で相違する。第三実施形態の入出庫ルールは、入出庫中車両に設定する安全範囲が、第一実施形態の入出庫ルールと相違する。

　第三実施形態では、図２８に示すように、入出庫中車両は、進行方向前方のみではなく、進行方向後方にも停止時安全範囲と通過時安全範囲を設定する。進行方向前方に設定する停止時安全範囲および通過時安全範囲は、フリースペース標準ルールで設定する停止時安全範囲および通過時安全範囲と同じである。進行方向後方に設定する停止時安全範囲と通過時安全範囲は、進行方向前方に設定する対応する安全範囲よりも小さくしてもよい。小さくする一例は、進行方向前方において対応する安全範囲に１よりも小さい固定の係数を乗じた大きさとすることである。

　図２８では、ホスト車両２が入出庫中車両である。ホスト車両２が入出庫中に、進行方向前方のみではなく、進行方向後方にも停止時安全範囲と通過時安全範囲を設定すると、進行方向前方にのみ安全範囲を設定する場合に比較して、ターゲット車両３ａが近づきすぎてホスト車両２の駐車動作が中断してしまうことを抑制できる。

　（第四実施形態）
　第四実施形態は、第一実施形態の変形例である。

　図２９に示されるように第四実施形態の制御ブロック４１６０では、リスク監視ブロック１４０から安全エンベロープに関する判定情報の取得処理が、省かれている。そこで第四実施形態の計画ブロック４１２０は、リスク監視ブロック１４０から安全エンベロープに関する判定情報を取得する。計画ブロック４１２０は、安全エンベロープの違反なしとの判定情報を取得した場合に、計画ブロック１２０に準じてホスト車両２の運転制御を計画する。一方、安全エンベロープの違反ありとの判定情報を取得した場合に計画ブロック４１２０は、計画ブロック１２０に準じた運転制御を計画する段階において、判定情報に基づく制約を当該運転制御に与える。即ち計画ブロック４１２０は、計画する運転制御を制限する。いずれの場合においても、計画ブロック４１２０により計画されたホスト車両２の運転制御を、制御ブロック４１６０が実行する。

　（第五実施形態）
　第五実施形態は、第一実施形態の変形例である。

　図３０に示されるように第五実施形態の制御ブロック５１６０では、リスク監視ブロック５１４０から安全エンベロープに関する判定情報の取得処理が、省かれている。そこで第五実施形態のリスク監視ブロック５１４０は、ホスト車両２に対して制御ブロック５１６０により実行された運転制御の結果を表す情報を、取得する。リスク監視ブロック５１４０は、運転制御の結果に対して安全エンベロープに基づく安全判定を実行することにより、当該運転制御を評価する。

　（第六実施形態）
　第六実施形態は、第一及び第五実施形態の変形例である。

　図３１，図３２に示されるように、処理システム１の観点では第一実施形態の変形例となる第六実施形態には、処理システム１による運転制御を、例えば安全性認可用等にテストするテストブロック６１８０が、追加されている。テストブロック６１８０には、検知ブロック１００及びリスク監視ブロック１４０に準ずる機能が、与えられる。尚、図３１，図３２では、検知情報の障害を監視且つ判定するためのデータ取得の経路について、図示が省略されている。

　テストブロック６１８０は、各ブロック１００，１２０，１４０，１６０を構築する処理プログラムに追加されるテストプログラムを、図３１に示される処理システム１が実行することにより、構築されてもよい。テストブロック６１８０は、各ブロック１００，１２０，１４０，１６０を構築する処理プログラムとは異なるテスト用の処理プログラムを、図３２に示されるように処理システム１とは異なるテスト用の処理システム６００１が実行することにより、構築されてもよい。ここでテスト用の処理システム６００１は、運転制御をテストするために処理システム１と接続される（通信系６を通じた接続の場合の図示は省略）、メモリ１０及びプロセッサ１２を有した少なくとも一つの専用コンピュータにより、構成されるとよい。

　テストブロック６１８０による安全判定は、運転制御の結果を表す情報の制御サイクル一回分が処理システム１又は別の処理システム６００１のメモリ１０に記憶される毎に、実行されてもよい。また、テストブロック６１８０による安全判定は、上記制御サイクル複数回分がメモリ１０に記憶されるごとに、実行されてもよい。

　（他の実施形態）
　以上、複数の実施形態について説明したが、本開示は、それらの実施形態に限定して解釈されるものではなく、本開示の要旨を逸脱しない範囲内において種々の実施形態及び組み合わせに適用することができる。

　実施形態において、標準ルールが、合理的かつ予見可能な仮定に基づいた条件を、定義するようなルールであってもよい。この標準ルールが採用された場合に、切り替え対象となる切り替えルールは、ホスト車両２にとって標準ルールよりも厳しい条件を、例えば不合理なリスクを最小化する条件を、定義するようなルールであってもよい。また、この標準ルールが採用された場合に、切り替え対象となる切り替えルールは、ホスト車両２にとって標準ルールよりも緩和された条件を、定義するようなルールであってもよい。

　限定ルールは、特定のシナリオ及びシーンが選択されたこと、及び、特定の法規が適用される区域であることのうち少なくとも一方を適用条件として、設定されてもよい。例えば、ラウンドアバウト、ミシガン式交差点（Michigan left）など地域の特色ある構造の道路において適用される限定ルールが設定されてもよい。

　実施形態において、フリースペース標準ルールは、通常の標準ルールに対して、ホスト車両２が構造のない道路を走行しているという適用条件が成立するときに適用する限定ルールの位置付けであってもよい。

　実施形態において、ルールを定義するための安全関連モデルの属性には、以下の属性が含まれていてもよい。安全関連モデルは、許容可能なリスクの概念に対応していてもよい。許容可能なリスクのレベルは、法規によって定められたり、自動運転システムの開発者によって設定されてもよい。安全関連モデルは、運行設計領域内の合理的に予見可能なシナリオの包括範囲を提供可能であってもよい。動的運転タスク内で使用される安全関連モデルは、行動と運動制御にのみ着目されていてもよく、検知が含まれていなくてもよい。安全関連モデルは、他の安全関連オブジェクト（道路ユーザ）の行動に関する仮定を組み込んでいてもよい。安全関連モデルは、危険なシナリオを発生させた道路ユーザ（イニシエータ）と、危険なシナリオに応答する道路ユーザ（レスポンサ）とを、区別可能であってもよい。安全関連モデルは、一貫性を有する再現可能な行動を生成可能であってもよい。安全関連モデルは、運行設計領域内で、ホスト車両２の有用性を維持可能であってもよい。安全関連モデルは、人間のドライバとの共存をサポートする方法で運転するための（換言すると自然な運転をするための）自動運転システムを搭載した車両の能力を有効にしてもよく、少なくとも禁止しないようにしてもよい。安全関連モデルは、合理的に予見可能な仮定を用いた他の安全関連オブジェクトの現在位置、進行方向及び速度の理解に基づくことが可能であってもよい。安全関連モデルは、安全関連オブジェクトが常に直線移動するとは限らずに、様々な方向に移動する可能性をサポートしてもよい。安全関連モデルは、視界の遮蔽に関連するシナリオをサポートしてもよい。安全関連モデルは、有用性を維持しながら、自動運転システムを搭載した車両の運行設計領域に適した合理的な注意を示すことが可能であってもよい。安全関連モデルは、通行権は与えられ、取られないという、広く受け入れられている公理を組み込んでいてもよい。安全関連モデルは、特定のシナリオにおいて、人間の道路ユーザが交通ルールに違反する場合があることを考慮に入れてもよい。安全関連モデルは、合理的に予見可能な仮定の範囲内では衝突がないという理論的保証をサポートしてもよい。安全関連モデルは、他の安全関連オブジェクトの合理的に予見可能な動作を定義するための経験的証拠に基づく方法をサポートしてもよい。

　安全関連モデルは、行動の地域差、すなわち地域の交通慣習を考慮に入れてもよい。安全エンベロープの違反の監視に用いられる加速度に対する制限値と速度に対する制限値のうちの少なくとも一方は、道路走行に対して定められた法規に代えて、地域の交通慣習に適合した走行をするための制限値であってもよい。

　安全関連モデルは、その出力の競合を生じさせることが不可能となるように設計されてよい。適切な応答と法規などの交通ルールが競合する場合、安全関連モデル及びそれに基づく標準ルール及び制限ルールは、安全上のリスクを解決するために、競合を解決するための優先順位付け処理を実行する、又はプロセッサに実行させるように構成されていてもよい。

　安全関連モデルは、高レベルの行動を安全関連モデル内で使用される特定のパラメータに関連付けできるように追跡可能であってもよい。特定のパラメータは、例えば安全距離、速度、加速度、応答時間、速度の制限値、加速度の制限値など、安全エンベロープを設定するために用いられるパラメータであってもよい。
　安全関連モデルは、複数の異なる安全関連オブジェクトをサポートしてもよい。例えば、歩行者と車両とは異なる行動及び仮定を持っているので、安全関連モデルは、異なる安全関連オブジェクト感の違いを認識するだけでなく、異なる数及びクラスのオブジェクトのダイナミックレンジをサポートすることが好ましい。

　安全関連モデルは、強力なエビデンスを提供する正式な検証技術を許容し、また、検証方法の再現性を有する結果を生成するために、正式な表記法で表現可能に構成されてもよい。正式な表記法による表現のうち全部又は一部は、例えば、標準ルールを用いた表現、限定ルールを用いた表現など、安全関連モデルの属性を具現化したルールによる表現であってもよい。

　実施形態において、処理システム１は、標準ルールと限定ルールとを切り替えるように構成されていなくてもよい。例えば、処理システム１は、標準ルールと限定ルールとの切り替えに代えて、又は、標準ルールと限定ルールとの切り替えに併用して、標準の安全モデルと、適用条件が成立する場合に適用する限定的な安全モデルとを、切り替えるようにしてもよい。処理システム１は、標準ルールと限定ルールとの切り替えに代えて、又は、標準ルールと限定ルールとの切り替えに併用して、標準の運転ポリシと、適用条件が成立する場合に適用する限定的な運転ポリシとを、切り替えるようにしてもよい。

　実施形態において処理システム１を構成する専用コンピュータは、デジタル回路、及びアナログ回路のうち、少なくとも一方をプロセッサとして含んでいてもよい。ここでデジタル回路とは、例えばＡＳＩＣ（Application Specific Integrated Circuit）、ＦＰＧＡ（Field Programmable Gate Array）、ＳＯＣ（System on a Chip）、ＰＧＡ（Programmable Gate Array）、及びＣＰＬＤ（Complex Programmable Logic Device）等のうち、少なくとも一種類である。またこうしたデジタル回路は、プログラムを記憶したメモリを、有していてもよい。

Claims

　ホスト車両（２）の運転制御に関する処理を遂行するために、プロセッサ（１２）により実行される処理方法であって、
　前記ホスト車両の走行環境において検知される状態を記述した検知情報を取得すること（Ｓ１００）と、
　前記検知情報に基づき、前記ホスト車両に対して監視すべき状況を判定すること（Ｓ１０１）と、
　前記検知情報に基づき、前記ホスト車両の周囲の物理ベースの境界、マージン又は緩衝区域を定義することを含むように安全エンベロープを設定すること（Ｓ１０５、Ｓ１２２）と、
　前記安全エンベロープと、前記ホスト車両とターゲット移動体との間の位置関係との比較に基づいて、安全エンベロープの違反を監視すること（Ｓ１１０、Ｓ１３０）と、
　前記安全エンベロープを設定するルールには、適用条件が成立したときに適用する限定ルールと、前記適用条件が不成立のときに適用する標準ルールとが含まれ、前記適用条件の成否に基づき、前記安全エンベロープを設定するルールを決定すること（Ｓ１０４、Ｓ１２１）、とを含む処理方法。
　請求項１に記載の処理方法であって、
　前記ターゲット移動体には、
　構造のある道路における前記限定ルールは、ターゲット車両は、道路走行に対して定められた法規に適合した走行をしているとするルールを含んでいる、処理方法。
　請求項１または２に記載の処理方法であって、
　構造のない道路における前記限定ルールは、前記構造のない道路において、事前に設定された車両動作を行う際に適用されるルールである、処理方法。
　請求項３に記載の処理方法であって、
　前記限定ルールは、駐車スペースに対する入出庫動作時に適用されるルールである、処理方法。
　ホスト車両（２）の運転制御に関する処理を遂行するために、プロセッサ（１２）により実行される処理方法であって、
　前記ホスト車両の走行環境において検知される状態を記述した検知情報を取得すること（Ｓ１００）と、
　前記検知情報に基づき、前記ホスト車両に対して監視すべき状況を判定すること（Ｓ１０１）と、
　前記検知情報に基づき、前記ホスト車両の周囲の物理ベースの境界、マージン又は緩衝区域を定義することを含むように安全エンベロープを設定すること（Ｓ１０５、Ｓ１２２）と、
　前記安全エンベロープおよび前記ホスト車両とターゲット車両との間の位置関係とに基づき加速度に対する制限値を設定し、前記加速度に対する制限値と前記ホスト車両の加速度との比較、および、前記ホスト車両の速度と前記速度に対する制限値との比較に基づいて、安全エンベロープの違反を監視すること（Ｓ１１０、Ｓ１３０）と、を含み、
　前記加速度に対する制限値と、前記速度に対する制限値のうちの少なくとも一方は、道路走行に対して定められた法規に適合した走行をするための制限値である、処理方法。
　請求項５に記載の処理方法であって、
　前記加速度に対する制限値に、前記法規に適合するために停止する際の制限値が含まれる、処理方法。
　請求項５または６に記載の処理方法であって、
　前記速度に対する制限値に、前記ホスト車両が走行している道路の制限速度が含まれる、処理方法。
　請求項１～７のいずれか１項に記載の処理方法であって、
　前記安全エンベロープを設定することは、安全距離を設定すること、又は、安全距離に基づいて前記境界、前記マージン又は前記緩衝区域を確定することを含む、処理方法。
　プロセッサ（１２）を含み、ホスト車両（２）の運転制御に関する処理を遂行する処理システムであって、
　前記プロセッサは、
　前記ホスト車両の走行環境において検知される状態を記述した検知情報を取得すること（Ｓ１００）と、
　前記検知情報に基づき、前記ホスト車両に対して監視すべき状況を判定すること（Ｓ１０１）と、
　前記検知情報に基づき、前記ホスト車両の周囲の物理ベースの境界、マージン又は緩衝区域を定義することを含むように安全エンベロープを設定すること（Ｓ１０５、Ｓ１２２）と、
　前記安全エンベロープと、前記ホスト車両とターゲット移動体との間の位置関係との比較に基づいて、安全エンベロープの違反を監視すること（Ｓ１１０、Ｓ１３０）と、
　前記安全エンベロープを設定するルールには、適用条件が成立したときに適用する限定ルールと、前記適用条件が不成立のときに適用する標準ルールとが含まれ、前記適用条件の成否に基づき、前記安全エンベロープを設定するルールを決定すること（Ｓ１０４、Ｓ１２１）、とを実行する、処理システム。
　プロセッサ（１２）を含み、ホスト車両（２）の運転制御に関する処理を遂行する処理システムであって、
　前記プロセッサは、
　前記ホスト車両の走行環境において検知される状態を記述した検知情報を取得すること（Ｓ１００）と、
　前記検知情報に基づき、前記ホスト車両に対して監視すべき状況を判定すること（Ｓ１０１）と、
　前記検知情報に基づき、前記ホスト車両の周囲の物理ベースの境界、マージン又は緩衝区域を定義することを含むように安全エンベロープを設定すること（Ｓ１０５、Ｓ１２２）と、
　前記安全エンベロープおよび前記ホスト車両とターゲット車両との間の位置関係とに基づき加速度に対する制限値を設定し、前記加速度に対する制限値と前記ホスト車両の加速度との比較、および、前記ホスト車両の速度と前記速度に対する制限値との比較に基づいて、安全エンベロープの違反を監視すること（Ｓ１１０、Ｓ１３０）と、を実行し、
　前記加速度に対する制限値と、前記速度に対する制限値のうちの少なくとも一方は、道路走行に対して定められた法規に適合した走行をするための制限値である、処理システム。
　記憶媒体（１０）に記憶され、ホスト車両（２）の運転制御に関する処理を遂行するためにプロセッサ（１２）に実行させる命令を含む処理プログラムであって、
　前記命令は、
　前記ホスト車両の走行環境において検知される状態を記述した検知情報を取得すること（Ｓ１００）と、
　前記検知情報に基づき、前記ホスト車両に対して監視すべき状況を判定すること（Ｓ１０１）と、
　前記検知情報に基づき、前記ホスト車両の周囲の物理ベースの境界、マージン又は緩衝区域を定義することを含むように安全エンベロープを設定すること（Ｓ１０５、Ｓ１２２）と、
　前記安全エンベロープと、前記ホスト車両とターゲット移動体との間の距離との比較に基づいて、安全エンベロープの違反を監視すること（Ｓ１１０、Ｓ１３０）と、
　前記安全エンベロープを設定するルールには、適用条件が成立したときに適用する限定ルールと、前記適用条件が不成立のときに適用する標準ルールとが含まれ、前記適用条件の成否に基づき、前記安全エンベロープを設定するルールを決定すること（Ｓ１０４、Ｓ１２１）、とを含む、処理プログラム。
　記憶媒体（１０）に記憶され、ホスト車両（２）の運転制御に関する処理を遂行するためにプロセッサ（１２）に実行させる命令を含む処理プログラムであって、
　前記命令は、
　前記ホスト車両の走行環境において検知される状態を記述した検知情報を取得すること（Ｓ１００）と、
　前記検知情報に基づき、前記ホスト車両に対して監視すべき状況を判定すること（Ｓ１０１）と、
　前記検知情報に基づき、前記ホスト車両の周囲の物理ベースの境界、マージン又は緩衝区域を定義することを含むように安全エンベロープを設定すること（Ｓ１０５、Ｓ１２２）と、
　前記安全エンベロープおよび前記ホスト車両とターゲット車両との間の距離とに基づき加速度に対する制限値を設定し、前記加速度に対する制限値と前記ホスト車両の加速度との比較、および、前記ホスト車両の速度と前記速度に対する制限値との比較に基づいて、安全エンベロープの違反を監視すること（Ｓ１１０、Ｓ１３０）と、を含み、
　前記加速度に対する制限値と、前記速度に対する制限値のうちの少なくとも一方は、道路走行に対して定められた法規に適合した走行をするための制限値である、処理プログラム。