WO2024070810A1

WO2024070810A1 - ソフトウェア検証システム及び車両制御装置

Info

Publication number: WO2024070810A1
Application number: PCT/JP2023/033912
Authority: WO
Inventors: 宏樹尾松; 敏史大塚; 健太郎吉村; 将史溝口; 功治前田; 政和池田; 浩朗伊藤
Original assignee: 日立Astemo株式会社
Priority date: 2022-09-29
Filing date: 2023-09-19
Publication date: 2024-04-04
Also published as: JP2024049976A

Abstract

車両のセンサデータを入力とするソフトウェアの改善を容易にすることができるソフトウェア検証システム等を提供する。ソフトウェア検証システムは、車両に搭載されたセンサからのセンサデータを入力とし、車両の制御に用いられている現バージョンの制御ソフトウェアの出力である第１の情報と、センサデータを入力とし、車両の制御には利用されない新バージョンの制御ソフトウェアの出力である第２の情報と、第１並びに第２の情報以外の車両の制御に関する第３の情報と、を用いて新バージョンの制御ソフトウェアのデグレを検知し（性能判定部１１８）、デグレが検知された際のセンサデータを用いて新バージョンの制御ソフトウェアを検証する。

Description

ソフトウェア検証システム及び車両制御装置

　本発明は、ソフトウェア検証システム及び車両制御装置に関する。

　非特許文献１では、ソフトウェアの安全性評価手法として様々な手法を紹介しており、なかでもShadow Modeによる評価手法は実車両で外環境情報を用いてソフトウェアをバックグラウンド実行し評価するため、安全性を確保しつつ精度の高い評価が期待できる。

　特許文献１では、旧バージョンソフトウェアと、新バージョンソフトウェアを並行または並列に実行し、出力結果比較時の不一致情報を出力する技術を提案している。実車両が実環境でセンシングしたデータを入力情報として用いるだけでなく、複数車両で同時検証が可能になり、検証制度及び効率の観点で有効である。

S Riedmaier. et. al., "Survey on Scenario-Based Safety Assessment of Automated Vehicles," in IEEE Access, 2020.

特開2022-13187号公報

　非特許文献１のShadow Mode技術では、実車両で対象の新ソフトウェアを旧ソフトウェアとは別にバックグラウンドで実行し検証する。これにより、実車両取得データを用いて対象のソフトウェアをバックグラウンド実行した結果を取得することが出来る。しかしながら、全ての実行結果に対して評価を行うには膨大な時間を必要とする問題がある。そのため、旧ソフトウェアと新ソフトウェアの実行結果に対して評価を行う手法が望まれる。

　特許文献１では、車両走行中に取得した（検証シナリオ）を用いて新旧２つのバージョンのソフトウェアを並行（１つのCPU上で動作）または並列（複数のCPU上で動作）に実行する。これにより、限定的にソフトウェア検証を行うことが出来る。しかしながら、旧ソフトウェアと新ソフトウェアに実行結果の差分に対して、システムが車両上で新ソフトウェアの性能判定（向上または低下）することは困難であり人間が性能判定するには膨大な作業工数を必要としてしまう問題がある。また、旧ソフトウェアと新ソフトウェアの双方で同じ出力を行い、かつ誤った出力結果であった場合は、実行結果の差分になりえないため評価することも困難である。そのため、車両上のシステムで旧ソフトウェアと新ソフトウェアの実行結果差分に対して性能判定を行い、旧ソフトウェアと新ソフトウェアともに不適切な出力となる場合の判定も行うことが課題となる。

　本発明は、車両のセンサデータを入力とするソフトウェアの改善を容易にすることができるソフトウェア検証システム等を提供することを目的とする。

　上記目的を達成するために、本発明の一例のソフトウェア検証システムは、車両に搭載されたセンサからのセンサデータを入力とし、前記車両の制御に用いられている現バージョンの制御ソフトウェアの出力である第１の情報と、前記センサデータを入力とし、前記車両の制御には利用されない新バージョンの制御ソフトウェアの出力である第２の情報と、前記第１並びに第２の情報以外の前記車両の制御に関する第３の情報と、を用いて前記新バージョンの制御ソフトウェアのデグレを検知し、前記デグレが検知された際の前記センサデータを用いて前記新バージョンの制御ソフトウェアを検証する。

　本発明によれば、車両のセンサデータを入力とするソフトウェアの改善を容易にすることができる。上記した以外の課題、構成及び効果は、以下の実施形態の説明により明らかにされる。

本発明の第１の実施例における車両制御装置の全体構成を示した図である。本発明の第１の実施例における車両制御装置とネットワークで接続された制御装置の接続関係を示した図である。本発明の第１の実施例におけるレーダセンサ情報取得部の処理手順例を示したフローチャートである。本発明の第１の実施例におけるレーダセンサ情報の一例を示した図である。本発明の第１の実施例におけるカメラセンサ情報取得部の処理手順例を示したフローチャートである。本発明の第１の実施例におけるカメラセンサ情報の一例を示した図である。本発明の第１の実施例におけるレーダセンサを用いた物体検出部の処理手順例を示したフローチャートである。本発明の第１の実施例におけるレーダセンサによる物体検出結果の一例を示した図である。本発明の第１の実施例におけるレーダセンサによる物体検出結果を基にした、事故回避要否フラグの一例を示した図である。本発明の第１の実施例におけるカメラセンサを用いたＶｅｒ. Ｎのソフトウェアによる物体検出部の処理手順例を示したフローチャートである。本発明の第１の実施例におけるカメラセンサを用いたＶｅｒ. Ｎのソフトウェアによる物体検出結果の一例を示した図である。本発明の第１の実施例におけるカメラセンサを用いたＶｅｒ. Ｎのソフトウェアによる物体検出結果を基にした、事故回避要否フラグの一例を示した図である。本発明の第１の実施例におけるカメラセンサを用いたＶｅｒ. Ｎ＋１のソフトウェアによる物体検出部の処理手順例を示したフローチャートである。本発明の第１の実施例におけるカメラセンサを用いたＶｅｒ. Ｎ＋１のソフトウェアによる物体検出結果の一例を示した図である。本発明の第１の実施例におけるカメラセンサを用いたＶｅｒ. Ｎ＋１のソフトウェアによる物体検出結果を基にした、事故回避要否フラグの一例を示した図である。本発明の第１の実施例における各ソフトウェア実行結果をサーバ送信する処理手順例を示したフローチャートである。本発明の第１の実施例におけるサーバのシステム構成を表した図である。本発明の第１の実施例におけるサーバ受信部の処理手順例を示したフローチャートである。本発明の第１の実施例におけるサーバ内で保持する事故回避要否判定結果の一例を示した図である。本発明の第１の実施例におけるサーバ内のカメラセンサ情報の一例を示した図である。本発明の第１の実施例におけるサーバ内でＶｅｒ. Ｎ＋１のソフトウェアの性能判定を行う性能判定部の処理手順例を示したフローチャートである。本発明の第１の実施例におけるサーバ内で判定したＶｅｒ. Ｎ＋１のソフトウェアの判定性能の一例を示した図である。本発明の第１の実施例におけるサーバ内でＶｅｒ. Ｎ＋１のソフトウェアの判定性能を基にログを作成し出力するログ出力部の処理手順例を示したフローチャートである。本発明の第１の実施例におけるサーバ内でＶｅｒ. Ｎ＋１のソフトウェアの判定性能を基に作成したログ情報の一例を示した図である。本発明の第２の実施例における車両制御装置の全体構成を示した図である。本発明の第２の実施例におけるＶｅｒ. Ｎ＋１のソフトウェアの性能判定部の処理手順例を示したフローチャートである。本発明の第２の実施例におけるＶｅｒ. Ｎ＋１のソフトウェアの判定性能の一例を示した図である。本発明の第２の実施例におけるＶｅｒ. Ｎ＋１のソフトウェアの判定性能を基にログを作成し出力するログ出力部１２４の処理手順例を示したフローチャートである。本発明の第２の実施例におけるＶｅｒ. Ｎ＋１のソフトウェアの判定性能を基に作成したログ情報の一例を示した図である。本発明の第３の実施例における車両制御装置の全体構成を示した図である。本発明の第３の実施例の変形例における車両制御装置の全体構成を示した図である。本発明の第３の実施例におけるログ情報をリアルタイムで送信するリアルタイム送信部の処理手順例を示したフローチャートである。本発明の第３の実施例におけるリアルタイム送信ログ情報の一例を示した図である。本発明の第３の実施例におけるログ情報を非リアルタイムで送信する非リアルタイム送信部の処理手順例を示したフローチャートである。本発明の第３の実施例における非リアルタイム送信ログ情報の一例を示した図である。本発明の第４の実施例における車両制御装置の全体構成を示した図である。本発明の第４の実施例におけるドライバ入力取得部の処理手順例を示したフローチャートである。本発明の第４の実施例におけるドライバ入力情報の一例を示した図である。本発明の第４の実施例における事故回避操作検知部の処理手順例を示した図である。本発明の第４の実施例における事故回避操作検知結果の一例を示した図である。本発明の第４の実施例における事故回避操作フラグ（ドライバ）の一例を示した図である。

　以下の各実施例は、ソフトウェア検証システム及びそれに用いられる車両制御装置（電子制御装置）に関するものである。各実施例は、新ソフトウェアの性能判定（デグレ検知等）を行う課題を解決するためになされたものであり、旧ソフトウェアと新ソフトウェアの実行結果とその他情報を用い、ソフトウェア検証システムで新ソフトウェアの性能判定を可能とした車両制御装置等を提供することを目的とする。

　（第１の実施例）
　本発明の第１の実施例の車両制御システムについて図１～図２４を用いて説明する。

　図１は、本発明の第１の実施例における車両制御システムの全体構成を示した図である。

　車両制御装置１は、レーダセンサ情報取得部１０１、レーダセンサ情報１０２、カメラセンサ情報取得部１０３、カメラセンサ情報１０４、物体検知部（レーダ）１０５、物体検知結果（レーダ）１０６、事故回避要否フラグ（レーダ）１０７、物体検知部（Ｖｅｒ. Ｎ）１０８、物体検知結果（Ｖｅｒ. Ｎ）１０９、事故回避要否フラグ（Ｖｅｒ. Ｎ）１１０、物体検知部（Ｖｅｒ. Ｎ＋１）１１１、物体検知結果（Ｖｅｒ. Ｎ＋１）１１２、事故回避要否フラグ（Ｖｅｒ. Ｎ＋１）１１３、サーバ送信部１１４を有する。

　なお、車両制御装置１は、例えば、ＣＰＵ（Central Processing Unit）等のプロセッサ、メモリ等の記憶装置、種々の通信規格に応じた通信装置等から構成される。物体検知部（Ｖｅｒ. Ｎ）１０８、物体検知部（Ｖｅｒ. Ｎ＋１）１１１等の機能は、例えば、プロセッサが記憶装置に記憶されたソフトウェアを実行することにより実現される。以下、その他の機能についても同様である。

　図２は、本発明の第１の実施例における車両制御装置１とネットワークで接続された制御装置との接続関係例を示した図である。車両制御装置１は、ゲートウェイ２とカメラ制御装置３とレーダ制御装置４とソナー制御装置５と車内ネットワークで接続されている。ゲートウェイ２からは、車速などの車両データが車両制御装置１に送信されている。また、カメラ制御装置３、レーダ制御装置４，ソナー制御装置５からはそれぞれ、カメラセンサ由来のセンサデータ、レーダセンサ由来のセンサデータ、ソナーセンサ由来のセンサデータが車両制御装置１に送信されている。車両制御装置１は、これら車両データおよびセンサデータを基に、車両の進む・曲がる・止まるといった判断を行い、車両の制御を実現する。図に示すように、車両では、複数の制御装置とゲートウェイとがネットワークで接続されており、制御装置間でセンサデータや車両データなどを通信し合うことで、車両の制御を実現している。これらネットワークの通信は周期的または非周期的に行われる。

　図３は、本発明の第１の実施例におけるレーダセンサ情報取得部１０１の処理手順例を示したフローチャートである。レーダセンサを用いて、道路走行時のセンサ情報を取得する。例えば、レーダセンサ情報取得部１０１（レーダ装置）は、図中のステップＳ１０１０２にて車両前方の外界環境をセンサ情報として取得し、ステップＳ１０１０３にてセンサ情報を出力する。なお、本発明はレーダセンサに限定せずライダセンサなど他センサの代用も可能とする（変形例として許容される）。

　図４は、本発明の第１の実施例におけるレーダセンサ情報１０２０１の一例を示した図である。レーダによるセンサ情報として、車両前方に歩行者等の障害物が存在し事故回避操作が必要な場合のセンサデータ（Ｎｏ．（１））と車両前方に歩行者等の障害物が存在せず事故回避操作が不要な場合のセンサデータ（Ｎｏ．（２））がある。なお、センサ情報にはタイムスタンプ情報が含まれる。

　図５は、本発明の第１の実施例におけるカメラセンサ情報取得部１０３の処理手順例を示したフローチャートである。カメラセンサを用いて、道路走行時のセンサ情報を取得する。例えば、カメラセンサ情報取得部１０３（カメラ装置）は、図中のステップＳ１０３０２にて車両前方の外界環境をセンサ情報として取得し、ステップＳ１０３０３にてセンサ情報を出力する。

　図６は、本発明の第１の実施例におけるカメラセンサ情報１０４０１の一例を示した図である。カメラによるセンサ情報として、車両前方に歩行者等の障害物が存在し事故回避操作が必要な場合のセンサデータ（Ｎｏ．（１））と車両前方に歩行者等の障害物が存在せず事故回避操作が不要な場合のセンサデータ（Ｎｏ．（２））がある。なお、センサ情報にはタイムスタンプ情報が含まれる。

　図７は、本発明の第１の実施例における物体検知部（レーダ）１０５の処理手順例を示したフローチャートである。取得したレーダセンサ情報から事故回避判断を行う。例えば、物体検知部（レーダ）１０５（プロセッサ）は、図中のステップＳ１０５０２ではレーダセンサ情報取得部１０１が出力するレーダセンサ情報１０２を取得し、ステップＳ１０５０３でレーダセンサ情報を基に物体検出を行い、ステップＳ１０５０４で物体検出結果を基に事故回避要否の判断を行い、ステップＳ１０５０５で事故回避要否フラグを出力する。

　図８は、本発明の第１の実施例における物体検出結果（レーダ）１０６０１の一例を示した図である。例えば、車両前方の車両を認識した場合（Ｎｏ．（１））と車両前方の歩行者を認識した場合（Ｎｏ．（２））がある。なお、本発明は検出対象の限定は行わない。

　図９は、本発明の第１の実施例における事故回避要否フラグ（レーダ）１０７０１の一例を示した図である。物体検出結果（レーダ）１０６０１を基に、車両の事故発生予測を行い、事故回避要否フラグを決定する。例えば、車両走行時に前方に障害物（歩行者等）を認識せず事故回避（衝突回避）を不要とする場合のフラグ０（Ｎｏ．（１））と車両走行時に前方に障害物を認識し事故回避（衝突回避）を必要とする場合のフラグ１（Ｎｏ．（２））がある。なお、本発明は車両前方に障害物を認識したが事故回避を不要とする場合も含まれる。なお、事故回避要否フラグにはタイムスタンプ情報が含まれる。

　図１０は、本発明の第１の実施例における物体検知部（Ｖｅｒ. Ｎ）１０８の処理手順例を示したフローチャートである。取得したカメラセンサ情報から事故回避判断を行う。例えば、物体検知部（Ｖｅｒ. Ｎ）１０８（プロセッサ）は、図中のステップＳ１０８０２ではカメラセンサ情報取得部１０３が出力するカメラセンサ情報１０４を取得し、ステップＳ１０８０３でカメラセンサ情報を基に物体検出を行い、ステップＳ１０８０４で物体検出結果を基に事故回避要否の判断を行い、ステップＳ１０８０５で事故回避要否フラグを出力する。

　図１１は、本発明の第１の実施例における物体検出結果（Ｖｅｒ. Ｎ）１０９０１の一例を示した図である。例えば、車両前方の車両を認識した場合（Ｎｏ．（１））と車両前方の歩行者を認識した場合（Ｎｏ．（２））がある。なお、本発明は検出対象の限定は行わない。

　図１２は、本発明の第１の実施例における事故回避要否フラグ（Ｖｅｒ. Ｎ）１１００１の一例を示した図である。物体検出結果（Ｖｅｒ. Ｎ）１０９０１を基に、車両の事故発生予測を行い、事故回避要否フラグを決定する。例えば、車両走行時に前方に障害物（歩行者等）を認識せず事故回避を不要とする場合のフラグ０（Ｎｏ．（１））と車両走行時に前方に障害物を認識し事故回避を必要とする場合のフラグ１（Ｎｏ．（２））がある。なお、本発明は車両前方に障害物を認識したが事故回避を不要とする場合も含まれる。なお、事故回避要否フラグにはタイムスタンプ情報が含まれる。

　図１３は、本発明の第１の実施例における物体検知部（Ｖｅｒ. Ｎ＋１）１１１の処理手順例を示したフローチャートである。取得したカメラセンサ情報から事故回避判断を行う。例えば、物体検知部（Ｖｅｒ. Ｎ＋１）１１１（プロセッサ）は、図中のステップＳ１１１０２ではカメラセンサ情報取得部１０３が出力するカメラセンサ情報１０４を取得し、ステップＳ１１１０３でカメラセンサ情報を基に物体検出を行い、ステップＳ１１１０４で物体検出結果を基に事故回避要否の判断を行い、ステップＳ１１１０５で事故回避要否フラグを出力する。

　図１４は、本発明の第１の実施例における物体検出結果（Ｖｅｒ. Ｎ＋１）１１２０１の一例を示した図である。例えば、車両前方の車両を認識した場合（Ｎｏ．（１））と車両前方の歩行者を認識した場合（Ｎｏ．（２））がある。なお、本発明は検出対象の限定は行わない。

　図１５は、本発明の第１の実施例における事故回避要否フラグ（Ｖｅｒ. Ｎ＋１）１１３０１の一例を示した図である。物体検出結果（Ｖｅｒ. Ｎ＋１）１１２０１を基に、車両の事故発生予測を行い事故回避要否フラグを決定する。例えば、車両走行時に前方に障害物（歩行者等）を認識せず事故回避を不要とする場合のフラグ０（Ｎｏ．（１））と車両走行時に前方に障害物を認識し事故回避を必要とする場合のフラグ１（Ｎｏ．（２））がある。なお、本発明は車両前方に障害物を認識したが事故回避を不要とする場合も含まれる。なお、事故回避要否フラグにはタイムスタンプ情報が含まれる。

　図１６は、本発明の第１の実施例におけるサーバ送信部１１４の処理手順例を示したフローチャートである。サーバ送信部１１４（プロセッサ及び通信装置）は、ステップＳ１１４０２で各事故回避要否フラグを取得し、ステップＳ１１４０３で同期したカメラセンサ情報を取得する。ステップＳ１１４０４にて取得情報をサーバへ送信する。

　図１７は、本発明の第１の実施例におけるサーバシステムの全体構成を示した図である。

　サーバ６は、サーバ受信部１１５、事故回避要否判定結果１１６、カメラセンサ情報１１７、性能判定部１１８、判定性能１１９、ログ出力部１２０、ログ情報１２１を有する。

　なお、サーバ６は、例えば、ＣＰＵ等のプロセッサ、メモリ、ハードディスク等の記憶装置、種々の通信規格に応じた通信装置等から構成される。性能判定部１１８等の機能は、例えば、プロセッサが記憶装置に記憶されたソフトウェアを実行することにより実現される。以下、その他の機能についても同様である。

　図１８は、本発明の第１の実施例におけるサーバ受信部１１５における処理手順例を示したフローチャートである。例えば、サーバ受信部１１５（プロセッサ及び通信装置）は、ステップＳ１１５０２で事故回避要否結果（事故回避要否フラグ（レーダ）１０７と事故回避要否フラグ（Ｖｅｒ. Ｎ）１１０と事故回避要否フラグ（Ｖｅｒ. Ｎ＋１）１１３）とカメラセンサ情報１０４を取得し、ステップＳ１１５０３で事故回避要否結果（事故回避要否フラグ（レーダ）１０７と事故回避要否フラグ（Ｖｅｒ. Ｎ）１１０と事故回避要否フラグ（Ｖｅｒ. Ｎ＋１）１１３）とカメラセンサ情報１０４を出力する。

　図１９は、本発明の第１の実施例の事故回避要否判定結果１１６０１の一例を示した図である。例えば、事故回避要否フラグ（レーダ）１０７が回避必要で事故回避要否フラグ（Ｖｅｒ. Ｎ）１１０が回避必要で事故回避要否フラグ（Ｖｅｒ. Ｎ＋１）１１３が回避必要の場合（Ｎｏ．（１））、事故回避要否フラグ（レーダ）１０７が回避必要で事故回避要否フラグ（Ｖｅｒ. Ｎ）１１０が回避必要で事故回避要否フラグ（Ｖｅｒ. Ｎ＋１）１１３が回避不要の場合（Ｎｏ．（２））、事故回避要否フラグ（レーダ）１０７が回避必要で事故回避要否フラグ（Ｖｅｒ. Ｎ）１１０が回避不要で事故回避要否フラグ（Ｖｅｒ. Ｎ＋１）１１３が回避必要の場合（Ｎｏ．（３））、事故回避要否フラグ（レーダ）１０７が回避必要で事故回避要否フラグ（Ｖｅｒ. Ｎ）１１０が回避不要で事故回避要否フラグ（Ｖｅｒ. Ｎ＋１）１１３が回避不要の場合（Ｎｏ．（４））、事故回避要否フラグ（レーダ）１０７が回避不要で事故回避要否フラグ（Ｖｅｒ. Ｎ）１１０が回避必要で事故回避要否フラグ（Ｖｅｒ. Ｎ＋１）１１３が回避必要の場合（Ｎｏ．（５））、事故回避要否フラグ（レーダ）１０７が回避不要で事故回避要否フラグ（Ｖｅｒ. Ｎ）１１０が回避必要で事故回避要否フラグ（Ｖｅｒ. Ｎ＋１）１１３が回避不要の場合（Ｎｏ．（６））、事故回避要否フラグ（レーダ）１０７が回避不要で事故回避要否フラグ（Ｖｅｒ. Ｎ）１１０が回避不要で事故回避要否フラグ（Ｖｅｒ. Ｎ＋１）１１３が回避必要の場合（Ｎｏ．（７））、事故回避要否フラグ（レーダ）１０７が回避不要で事故回避要否フラグ（Ｖｅｒ. Ｎ）１１０が回避不要で事故回避要否フラグ（Ｖｅｒ. Ｎ＋１）１１３が回避不要の場合（Ｎｏ．（８））がある。

　図２０は、本発明の第１の実施例におけるカメラセンサ情報１１７０１の一例を示した図である。カメラによるセンサ情報として、車両前方に歩行者等の障害物が存在し事故回避操作が必要な場合のセンサデータ（Ｎｏ．（１））と車両前方に歩行者等の障害物が存在せず事故回避操作が不要な場合のセンサデータ（Ｎｏ．（２））がある。なお、センサ情報にはタイムスタンプ情報が含まれる。

　図２１は、本発明の第１の実施例における性能判定部１１８の処理手順例を示したフローチャートである。事故回避要否結果を基にＶｅｒ. Ｎ＋１のソフトウェアの性能を判定する。例えば、性能判定部１１８（プロセッサ）は、ステップＳ１１８０２で事故回避要否判定結果１１６を取得し、ステップＳ１１８０３でＶｅｒ. Ｎ＋１ソフトウェアの性能判定を行い、ステップＳ１１８０４でＶｅｒ. Ｎ＋１ソフトウェアの判定性能を出力する。なお、本発明は性能判定に他の情報を用いることを可能とする。

　図２２は、本発明の第１の実施例における判定性能１１９０１の一例を示した図である。各事故回避要否フラグの情報の組み合わせでＶｅｒ. Ｎ＋１の性能を表す。

　例えば、事故回避要否フラグ（レーダ）１０７が回避必要で事故回避要否フラグ（Ｖｅｒ. Ｎ）１１０が回避必要で事故回避要否フラグ（Ｖｅｒ. Ｎ＋１）１１３が回避必要の場合（Ｎｏ．（１））の判定結果は性能変化なし（成功）である。

　事故回避要否フラグ（レーダ）１０７が回避必要で事故回避要否フラグ（Ｖｅｒ. Ｎ）１１０が回避必要で事故回避要否フラグ（Ｖｅｒ. Ｎ＋１）１１３が回避不要の場合（Ｎｏ．（２））の判定結果は性能低下である。

　事故回避要否フラグ（レーダ）１０７が回避必要で事故回避要否フラグ（Ｖｅｒ. Ｎ）１１０が回避不要で事故回避要否フラグ（Ｖｅｒ. Ｎ＋１）１１３が回避必要の場合（Ｎｏ．（３））の判定結果は性能向上である。

　事故回避要否フラグ（レーダ）１０７が回避必要で事故回避要否フラグ（Ｖｅｒ. Ｎ）１１０が回避不要で事故回避要否フラグ（Ｖｅｒ. Ｎ＋１）１１３が回避不要の場合（Ｎｏ．（４））の判定結果は性能変化なし（エッジケース）である。

　事故回避要否フラグ（レーダ）１０７が回避不要で事故回避要否フラグ（Ｖｅｒ. Ｎ）１１０が回避必要で事故回避要否フラグ（Ｖｅｒ. Ｎ＋１）１１３が回避必要の場合（Ｎｏ．（５））の判定結果は性能変化なし（エッジケース）である。

　事故回避要否フラグ（レーダ）１０７が回避不要で事故回避要否フラグ（Ｖｅｒ. Ｎ）１１０が回避必要で事故回避要否フラグ（Ｖｅｒ. Ｎ＋１）１１３が回避不要の場合（Ｎｏ．（６））の判定結果は性能向上である。

　事故回避要否フラグ（レーダ）１０７が回避不要で事故回避要否フラグ（Ｖｅｒ. Ｎ）１１０が回避不要で事故回避要否フラグ（Ｖｅｒ. Ｎ＋１）１１３が回避必要の場合（Ｎｏ．（７））の判定結果は性能低下である。

　事故回避要否フラグ（レーダ）１０７が回避不要で事故回避要否フラグ（Ｖｅｒ. Ｎ）１１０が回避不要で事故回避要否フラグ（Ｖｅｒ. Ｎ＋１）１１３が回避不要の場合（Ｎｏ．（８））の判定結果は性能変化なし（成功）である。

　図２３は、本発明の第１の実施例におけるログ出力部１２０の処理手順例を示したフローチャートである。例えば、ログ出力部１２０（プロセッサ）は、ステップＳ１２００２で判定性能１１９を取得し、ステップＳ１２００３で判定性能と同期したカメラセンサ情報１１７を取得し、ステップＳ１２００４で判定性能１１９が性能低下および性能変化なし（エッジケース）の時に判定性能１１９とカメラセンサ情報１１７の組み合わせによりログ情報を作成し、ステップＳ１２００５でログ情報を出力する。なお、判定性能１１９が他の情報である場合であっても、カメラセンサ情報１１７と組み合わせたログ情報を作成することも可能とする。

　図２４は、本発明の第１の実施例におけるログ情報１２１０１の一例を示した図である。ログ情報にはＶｅｒ. Ｎ＋１のソフトウェアの判定性能情報やカメラセンサ情報を含む。例えば、ログ情報は、判定性能１１９が性能変化なし（成功）である場合（Ｎｏ．（１））性能変化なし（成功）情報のみであり、判定性能１１９が性能向上である場合（Ｎｏ．（２））は性能向上判定情報のみであり、判定性能１１９が性能低下である場合（Ｎｏ．（３））は性能向上判定情報とカメラセンサ情報であり、判定性能１１９が性能変化なし（エッジケース）である場合（Ｎｏ．（４））は性能変化なし（エッジケース）判定情報とカメラセンサ情報である。なお、本発明はログ情報に含む情報をカメラセンサ情報に限定せず、レーダセンサ情報など他の情報を含むことを可能とする。

　第１の実施例の主な特徴は、次のようにまとめることもできる。

　車両制御装置１とサーバ６は、新バージョン（Ｖｅｒ. Ｎ＋１）の制御ソフトウェア（物体検知部（Ｖｅｒ. Ｎ＋１）１１１を実現するソフトウェア）を検証するソフトウェア検証システムを構成する。

　ソフトウェア検証システム（サーバ６）は、第１の情報（事故回避要否フラグ（Ｖｅｒ. Ｎ）１１０）と、第２の情報（事故回避要否フラグ（Ｖｅｒ. Ｎ＋１）１１３）と、第１並びに第２の情報以外の車両の制御に関する第３の情報（事故回避要否フラグ（レーダ）１０７）と、を用いて新バージョン（Ｖｅｒ. Ｎ＋１）の制御ソフトウェアのデグレ（性能低下）を検知する。

　ここで、第１の情報（事故回避要否フラグ（Ｖｅｒ. Ｎ）１１０）は、車両に搭載されたセンサ（カメラセンサ情報取得部１０３）からのセンサデータ（カメラセンサ情報１０４）を入力とし、車両の制御に用いられている現バージョン（Ｖｅｒ. Ｎ）の制御ソフトウェア（物体検知部（Ｖｅｒ. Ｎ）１０８を実現するソフトウェア）の出力である。また、第２の情報（事故回避要否フラグ（Ｖｅｒ. Ｎ＋１）１１３）は、センサデータ（カメラセンサ情報１０４）を入力とし、車両の制御には利用されない新バージョン（Ｖｅｒ. Ｎ＋１）の制御ソフトウェア（物体検知部（Ｖｅｒ. Ｎ＋１）１１１を実現するソフトウェア）の出力である。

　ソフトウェア検証システム（サーバ６）は、デグレが検知された際のセンサデータ（カメラセンサ情報１０４）を用いて新バージョンの制御ソフトウェアを検証（再検証）する。

　第３の情報（事故回避要否フラグ（レーダ）１０７）を用いることで、デグレの検知性能を向上することができる。また、デグレが検知された際のセンサデータ（カメラセンサ情報１０４）を用いることで、制御ソフトウェアの検証を迅速に行うことができる。その結果、車両のセンサデータを入力とするソフトウェアの改善を容易にすることができる。

　ソフトウェア検証システム（サーバ６）は、第１の情報（事故回避要否フラグ（Ｖｅｒ. Ｎ）１１０）と第２の情報（事故回避要否フラグ（Ｖｅｒ. Ｎ＋１）１１３）が合致せずに、第１の情報（事故回避要否フラグ（Ｖｅｒ. Ｎ）１１０）と第３の情報（事故回避要否フラグ（レーダ）１０７）が合致した場合にデグレ（性能低下）と判断する。

　第１の情報と第２の情報を比較し、第１の情報と第３の情報を比較することで、制御ソフトウェアのデグレを確実に検知することができる。

　本実施例では、第３の情報（事故回避要否フラグ（レーダ）１０７）は、レーダセンサに基づく事故回避の要否を示す情報である。車両に搭載されたセンサ（制御ソフトウェアに入力されるセンサデータを出力する）は、カメラ（カメラセンサ情報取得部１０３）である。

　確度の高いレーダセンサに基づく事故回避の要否を用いることで、カメラのセンサデータを入力とする制御ソフトウェアのデグレの検知性能を向上することができる。

　詳細には、ソフトウェア検証システムは、第１の情報と、第２の情報と、第３の情報と、を用いて現バージョンのソフトウェアに対する新バージョンのソフトウェアの性能の変化を判定し、性能の変化が判定された時刻に対応するセンサデータを用いて、新バージョンのソフトウェアを検証する。

　第１の情報と、第２の情報と、第３の情報を用いることで、新バージョンのソフトウェアの性能の変化を細かく判定することができる。その結果、車両のセンサデータを入力とするソフトウェアの改善を容易にすることができる。

　具体的には、ソフトウェア検証システムは、第１の情報と第２の情報と第３の情報が、事故回避が必要であること又は事故回避が有ったことを示す情報である場合に、性能の変化はないと判定し（図２２のＮｏ．（１））、第１の情報と第３の情報が、事故回避が必要であること又は事故回避が有ったことを示す情報であり、第２の情報が、事故回避が不要であること又は事故回避が無かったことを示す情報である場合に、性能が低下したと判定し（図２２のＮｏ．（２））、第２の情報と第３の情報が、事故回避が必要であること又は事故回避が有ったことを示す情報であり、第１の情報が、事故回避が不要であること又は事故回避が無かったことを示す情報である場合に、性能が向上したと判定し（図２２のＮｏ．（３））、第３の情報が、事故回避が必要であること又は事故回避が有ったことを示す情報であり、第１の情報と第２の情報が、事故回避が不要であること又は事故回避が無かったことを示す情報である場合に、性能の変化はないと判定し（図２２のＮｏ．（４））、第１の情報と第２の情報が、事故回避が必要であること又は事故回避が有ったことを示す情報であり、第３の情報が、事故回避が不要であること又は事故回避が無かったことを示す情報である場合に、性能の変化はないと判定し（図２２のＮｏ．（５））、第１の情報が、事故回避が必要であること又は事故回避が有ったことを示す情報であり、第２の情報と第３の情報が、事故回避が不要であること又は事故回避が無かったことを示す情報である場合に、性能が向上したと判定し（図２２のＮｏ．（６））、第２の情報が、事故回避が必要であること又は事故回避が有ったことを示す情報であり、第１の情報と第３の情報が、事故回避が不要であること又は事故回避が無かったことを示す情報である場合に、性能が低下したと判定し（図２２のＮｏ．（７））、第１の情報と第２の情報と第３の情報が、事故回避が不要であること又は事故回避が無かったことを示す情報である場合に、性能の変化はないと判定する（図２２のＮｏ．（８））。

　ここで、第１の情報と第２の情報は、センサデータに基づく事故回避の要否又は有無を示す情報であり、第３の情報は、前記センサデータとは異なるデータに基づく事故回避の要否又は有無を示す情報である。本実施例では、性能の変化はサーバ６（図１７の性能判定部１１８）で判定されるが、車両制御装置１（後述する図２５の性能判定部１２２）で判定されてもよい。

　第１の情報、第２の情報及び第３の情報は、それぞれ２通りであるので、８通りの新バージョンのソフトウェアの性能の変化を判定することができる。

　ソフトウェア検証システムは、図２２のＮｏ．（２）、（４）、（５）及び（７）の判定の結果に対応するセンサデータを新バージョンのソフトウェアの改善が必要なケースの教師データとして機械学習を行い、又は図２２のＮｏ．（１）、（３）、（６）及び（８）の判定の結果に対応するセンサデータを新バージョンのソフトウェアの改善が不要なケースの教師データとして機械学習を行う。

　改善が必要なケースの教師データ又は改善が不要なケースの教師データを実環境から取得するので、学習精度及び学習速度が向上する。

　以上説明したように、本実施例におけるソフトウェア検証システムは現バージョンの制御ソフトウェアの出力と新バージョンの制御ソフトウェアの出力とその他の車両制御に関する情報を比較する構成とすることで、新バージョンのソフトウェアのデグレを検知可能となる。その結果、新バージョンのソフトウェアの改善に有効なデータ収集及び再検証を可能にするという効果を奏する。

　（第２の実施例）　データをためる場合も考慮
　本発明の第２の実施例における車両制御装置および方法について、図２５～図２９を用いて説明する。

　第１の実施例と異なる点は、事故回避要否フラグ（レーダ）１０７と事故回避要否フラグ（Ｖｅｒ. Ｎ）１１０と事故回避要否フラグ（Ｖｅｒ. Ｎ＋１）１１３とカメラセンサ情報１０４を全てサーバに送信する代わりに、これら情報を基に車両制御装置１内でＶｅｒ. Ｎ＋１のソフトウェアの性能判定を行う点である。第２の実施例では、第１の実施例で示したログ情報のデータ量を削減し、通信量を削減する効果を有する。なお、第１の実施例と同様の構成・手順については、同一の符号を付してその説明を省略する。

　図２５は、本発明の第２の実施例における、車両制御装置１の全体構成を示した図である。第２の実施例でも車両制御装置は、サーバ送信部１１４の代わりに性能判定部１２２と判定性能１２３とログ出力部１２４とログ情報１２５を有する。

　図２６は、本発明の第２の実施例における性能判定部１２２の処理手順例を示したフローチャートである。事故回避要否フラグを基にＶｅｒ. Ｎ＋１のソフトウェアの性能を判定する。例えば、性能判定部１２２（プロセッサ）は、ステップＳ１２２０２で事故回避要否フラグ（レーダ）１０７と事故回避要否フラグ（Ｖｅｒ. Ｎ）１１０と事故回避要否フラグ（Ｖｅｒ. Ｎ＋１）１１３を取得し、ステップＳ１２２０３でＶｅｒ. Ｎ＋１ソフトウェアの性能判定を行い、ステップＳ１２２０４でＶｅｒ. Ｎ＋１ソフトウェアの判定性能を出力する。なお、本発明は性能判定に他の情報を用いることを可能とする。

　図２７は、本発明の第２の実施例における判定性能１２３０１の一例を示した図である。各事故回避要否フラグの情報の組み合わせでＶｅｒ. Ｎ＋１の性能を表す。

　図２８は、本発明の第２の実施例におけるログ出力部１２４の処理手順例を示したフローチャートである。例えば、ログ出力部１２４（プロセッサ）は、ステップＳ１２４０２で判定性能１２３を取得し、ステップＳ１２４０３で判定性能と同期したカメラセンサ情報１０４を取得し、ステップＳ１２４０４で判定性能１２３が性能低下および性能変化なし（エッジケース）の時に判定性能１２３とカメラセンサ情報１０４の組み合わせによりログ情報を作成し、ステップＳ１２４０５でログ情報を出力する。なお、判定性能１２３が他の情報である場合であっても、カメラセンサ情報１０４と組み合わせたログ情報を作成することも可能とする。

　図２９は、本発明の第２の実施例におけるログ情報１２５０１の一例を示した図である。ログ情報にはＶｅｒ. Ｎ＋１のソフトウェアの判定性能情報やカメラセンサ情報を含む。例えば、ログ情報は、判定性能１２３が性能変化なし（成功）である場合（Ｎｏ．（１））性能変化なし（成功）情報のみであり、判定性能１２３が性能向上である場合（Ｎｏ．（２））は性能向上判定情報のみであり、判定性能１２３が性能低下である場合（Ｎｏ．（３））は性能向上判定情報とカメラセンサ情報であり、判定性能１２３が性能変化なし（エッジケース）である場合（Ｎｏ．（４））は性能変化なし（エッジケース）判定情報とカメラセンサ情報である。なお、本発明はログ情報に含む情報をカメラセンサ情報に限定せず、レーダセンサ情報など他の情報を含むことを可能とする。

　第２の実施例の主な特徴は、次のようにまとめることもできる。

　車両制御装置１は、第１の情報（事故回避要否フラグ（Ｖｅｒ. Ｎ）１１０）と、第２の情報（事故回避要否フラグ（Ｖｅｒ. Ｎ＋１）１１３）と、第１並びに第２の情報以外の車両の制御に関する第３の情報（事故回避要否フラグ（レーダ）１０７）と、を用いて新バージョン（Ｖｅｒ. Ｎ＋１）の制御ソフトウェアのデグレ（性能低下）を検知するデグレ検知部（性能判定部１２２）と、デグレ検知部でデグレを検知した時刻におけるセンサデータ（カメラセンサ情報１０４）にデグレに関するログ情報を付与するログ情報付与部（ログ出力部１２４）と、を備える。

　ここで、第１の情報（事故回避要否フラグ（Ｖｅｒ. Ｎ）１１０）は、車両に搭載されたセンサ（カメラセンサ情報取得部１０３）からのセンサデータ（カメラセンサ情報１０４）を入力とし、車両の制御に用いられている現バージョン（Ｖｅｒ. Ｎ）の制御ソフトウェアの出力である。また、第２の情報（事故回避要否フラグ（Ｖｅｒ. Ｎ＋１）１１３）は、センサデータ（カメラセンサ情報１０４）を入力とし、車両の制御には利用されない新バージョン（Ｖｅｒ. Ｎ＋１）の制御ソフトウェアの出力である。

　センサデータ（カメラセンサ情報１０４）にデグレに関するログ情報を付与することで、センサデータを用いたデグレの検証が容易となる。その結果、車両のセンサデータを入力とするソフトウェアの改善を容易にすることができる。なお、充電ステーションの充電器の充電ケーブルが車両（電気自動車等）の充電ソケットに接続されたときに、ログ情報が付与されたセンサデータ（カメラセンサ情報１０４）がサーバにアップロードされるようにしてもよい。

　以上説明したように、本実施例における車両制御装置は車両制御装置１の内部にＶｅｒ. Ｎ＋１の性能判定を行いカメラセンサ情報と合わせてログ情報を作成する構成とすることで、カメラセンサ情報の取捨選択を可能にする。その結果、例えば、ログ情報をサーバアップする時に通信データ量を削減するという効果を奏する。

　（第３の実施例）　リアルタイム送信
　本発明の第３の実施例における車両制御装置および方法について、図３０Ａ～図３４を用いて説明する。

　第１の実施例と異なる点は、事故回避要否フラグ（レーダ）１０７と事故回避要否フラグ（Ｖｅｒ. Ｎ）１１０と事故回避要否フラグ（Ｖｅｒ. Ｎ＋１）１１３とカメラセンサ情報１０４を全てサーバに送信する代わりに、これら情報を基に車両制御装置１内でＶｅｒ. Ｎ＋１のソフトウェアの性能判定を行い、判定結果に応じてログ情報を分類しリアルタイムまたは非リアルタイムで送信する点である。第３の実施例では、サーバへのデータ送信に起因する車両内の処理負荷増を抑制しながらサーバにおける検証を迅速に実施可能とする効果を有する。なお、第１の実施例と同様の構成・手順については、同一の符号を付してその説明を省略する。

　図３０Ａは、本発明の第３の実施例における車両制御装置１の全体構成を示した図である。第３の実施例での車両制御装置１は、第１の実施例と比べ、サーバ送信部１１４の代わりに性能判定部１２２と判定性能１２３とログ出力部１２４とログ情報１２５とリアルタイム送信部１２６とリアルタイム送信ログ情報１２７と非リアルタイム送信部１２８と非リアルタイム送信ログ情報１２９を有する。なお、図３０Ｂに示すように、リアルタイム送信部１２６とリアルタイム送信ログ情報１２７と非リアルタイム送信部１２８と非リアルタイム送信ログ情報１２９をＴＣＵ（Telematics Control Unit）等の別の電子制御装置に設けてもよい。

　図３１は、本発明の第３の実施例におけるリアルタイム送信部１２６の処理手順例を示したフローチャートである。リアルタイム送信部１２６（プロセッサ及び通信装置）は、ステップＳ１２６０２でログ情報１２５を取得し、ステップＳ１２６０３でＶｅｒ. Ｎ＋１のソフトウェアが性能低下または性能変化なし（エッジケース）判定の場合のログデータを抽出し、ステップＳ１２６０４で抽出したログデータをリアルタイムで送信する。なお、本発明ではリアルタイム送信を行うログ情報は変更可能とする。

　図３２は、本発明の第３の実施例におけるリアルタイム送信ログ情報１２７０１の一例を示した図である。例えば、送信リアルタイム送信ログ情報にはＶｅｒ. Ｎ＋１のソフトウェアが性能低下時の判定情報とカメラセンサ情報（Ｎｏ．（１））やＶｅｒ. Ｎ＋１のソフトウェアが性能変化なし（エッジケース）時の判定情報とカメラセンサ情報（Ｎｏ．（２））を含む。なお、本発明はログ情報に含む情報をカメラセンサ情報に限定せず、レーダセンサ情報など他の情報を含むことを可能とする。

　図３３は、本発明の第３の実施例における非リアルタイム送信部１２８の処理手順例を示したフローチャートである。非リアルタイム送信部１２８（プロセッサ及び通信装置）は、ステップＳ１２８０２でログ情報１２５を取得し、ステップＳ１２８０３でＶｅｒ. Ｎ＋１のソフトウェアが性能向上または性能変化なし（成功）判定の場合のログデータを抽出し、ステップＳ１２８０４で抽出したログデータを非リアルタイムで送信する。例えば、ログデータを車両内ストレージに一時保存しておくことで、車両停車中にまとめてデータ送信し、サーバへのデータ送信に起因する車両内の処理負荷増を抑制する。なお、本発明では非リアルタイム送信を行うログ情報は変更可能とする。また、車両制御装置１の処理負荷が所定値より小さいときに非リアルタイム送信を行ってもよい。

　図３４は、本発明の第３の実施例における非リアルタイム送信ログ情報１２９０１の一例を示した図である。例えば、非リアルタイム送信ログ情報にはＶｅｒ. Ｎ＋１のソフトウェアが性能変化なし（成功）時の判定情報（Ｎｏ．（１））やＶｅｒ. Ｎ＋１のソフトウェアが性能向上時の判定情報（Ｎｏ．（２））を含む。なお、本実施例では、非リアルタイム送信ログ情報はカメラセンサ情報を含まないが、判定結果（判定性能）に対応するカメラセンサ情報を含んでもよい。

　第３の実施例の主な特徴は、次のようにまとめることもできる。

　ソフトウェア検証システム（車両制御装置１）は、車両に搭載され、デグレを検知するデグレ検知部（性能判定部１２２）と、車両に搭載され、デグレ検知部（性能判定部１２２）でデグレを検知した時刻におけるセンサデータ（カメラセンサ情報１０４）にデグレに関するログ情報を付与するログ情報付与部（ログ出力部１２４）と、車両に搭載され、ログ情報が付与されたセンサデータ（カメラセンサ情報１０４）をサーバ６に送信するデータ送信部（リアルタイム送信部１２６、非リアルタイム送信部１２８）と、を備える。

　ログ情報が付与されたセンサデータをサーバに送信することで、サーバ側でログ情報ごとにセンサデータを用いて検証を行うことができる。

　なお、図３０Ｂに示したように、ソフトウェア検証システムに用いられる車両制御装置１が、サーバ６にデータを送信するデータ送信部（ＴＣＵに設けられたリアルタイム送信部１２６と非リアルタイム送信部１２８）へログ情報が付与されたセンサデータ（カメラセンサ情報１０４）を出力してもよい。

　サーバ６にデータを送信するデータ送信部を、車両制御装置１に設けないことで、製造コストを低減することができる。

　ソフトウェア検証システム（車両制御装置１）は、車両に搭載され、ログ情報（リアルタイム送信ログ情報１２７、非リアルタイム送信ログ情報１２９）を保存するストレージ部（記憶装置）を備える。本実施例では、データ送信部（非リアルタイム送信部１２８）は、車両停止時にストレージ部に保存されたデータ（非リアルタイム送信ログ情報１２９）をサーバに送信する。

　車両停止時にデータ（非リアルタイム送信ログ情報１２９）をサーバに送信することで、走行時に車両の制御に使用するハードウェアリソースを確保しつつ、処理負荷を抑制することができる。

　以上説明したように、本実施例における車両制御装置はログ情報をリアルタイムまたは非リアルタイムで送信処理を分割した構成とすることで、車両制御装置内の処理負荷を考慮したログ情報の送信が可能となる。その結果、ハードウェアコストを削減可能という効果を奏する。

　（第４の実施例）　ドライバの情報を用いた事故回避フラグの具体例
　本発明の第４の実施例における車両制御装置および方法について、図３５～図４０を用いて説明する。

　第１の実施例と異なる点は、レーダセンサ情報取得部１０１とレーダセンサ情報１０２の代わりにドライバ入力取得部１３０とドライバ入力情報１３１を用いて事故回避操作フラグを準備する点である。第４の実施例では、車載センサで認識・判断が困難な事故発生ケースをドライバの認識・判断により収集可能とし、Ｖｅｒ. Ｎ＋１のソフトウェアの評価・改善に活用可能とする効果を有する。なお、第１の実施例と同様の構成・手順については、同一の符号を付してその説明を省略する。

　図３５は、本発明の第４の実施例における車両制御装置１の全体構成を示した図である。第４の実施例での車両制御装置１は、第１の実施例と比べ、レーダセンサ情報取得部１０１とレーダセンサ情報１０２の代わりにドライバ入力取得部１３０とドライバ入力情報１３１を、物体検知部（レーダ）１０５と物体検知結果（レーダ）１０６と事故回避要否フラグ（レーダ）１０７の代わりに事故回避操作検知部１３２と事故回避操作検知結果１３３と事故回避操作フラグ（ドライバ）１３４を有する。

　図３６は、本発明の第４の実施例におけるドライバ入力取得部１３０の処理手順例を示したフローチャートである。ドライバ入力取得部１３０（アクセル開度センサ、ブレーキ踏量センサ、操舵角センサ等）は、ステップＳ１３００２でドライバ入力情報を取得し、Ｓ１３００３でドライバ入力情報を出力する。

　図３７は、本発明の第４の実施例におけるドライバ入力情報１３１０１の一例を示した図である。例えば、アクセル入力値（Ｎｏ．（１））やブレーキ入力値（Ｎｏ．（２））やステアリング入力値（Ｎｏ．（３））がある。

　図３８は、本発明の第４の実施例における事故回避操作検知部１３２の処理手順を示したフローチャートである。事故回避操作検知部１３２（プロセッサ）は、ステップＳ１３２０２でドライバ入力情報を取得し、ステップＳ１３２０３でドライバ入力が事故回避操作か判定し、ステップＳ１３２０４で判定結果を出力する。例えば、事故回避操作検知部１３２は、アクセル入力値の変化量（時間微分値）、ブレーキ入力値の変化量（時間微分値）、及びステアリング入力値の変化量（時間微分値）から事故回避操作の有無を判定する。

　図３９は、本発明の第４の実施例における事故回避操作判定結果１３３０１の一例を示した図である。例えば、判定結果として事故回避操作無（Ｎｏ．（１））と事故回避操作有（Ｎｏ．（２））がある。

　図４０は、本発明の第４の実施例における事故回避操作フラグ１３４０１の一例を示した図である。例えば、ドライバ入力を基に事故回避操作を判断した結果、事故回避操作が無の場合のフラグ０（Ｎｏ．（１））とドライバ入力を基に事故回避操作を判断した結果、事故回避操作が有の場合のフラグ１（Ｎｏ．（２））がある。

　第４の実施例の主な特徴は、次のようにまとめることもできる。

　ソフトウェア検証システム（サーバ６）は、第１の情報（事故回避要否フラグ（Ｖｅｒ. Ｎ）１１０）と、第２の情報（事故回避要否フラグ（Ｖｅｒ. Ｎ＋１）１１３）と、第１並びに第２の情報以外の車両の制御に関する第３の情報（事故回避操作フラグ（ドライバ）１３４）と、を用いて新バージョン（Ｖｅｒ. Ｎ＋１）の制御ソフトウェアのデグレ（性能低下）を検知する。ここで、第３の情報（事故回避操作フラグ（ドライバ）１３４）は、ドライバの事故回避操作の有無を示す情報である。

　第３の情報（事故回避操作フラグ（ドライバ）１３４）を用いることで、デグレの検知性能を向上することができる。

　サーバ６の構成及び動作は、第１の実施例と同じであるため説明を省略する。性能判定部１２２、判定性能１２３、ログ出力部１２４、及びログ情報１２５は、第２の実施例のように、車両制御装置１に設けてもよい。

　以上説明したように、本実施例におけるソフトウェア検証システムはドライバによる入力情報を基に事故回避操作フラグを取得する構成とすることで、ドライバの判断結果と制御ソフトの出力結果比較が可能となる。その結果、システムが正しく動作しないシチュエーション時のセンサデータが取得可能になるという効果を奏する。

　本発明の第１～第４の実施例によれば、旧バージョンのソフトウェアの実行結果と新バージョンのソフトウェアの実行結果と検知した事故回避操作情報を比較する新バージョンのソフトウェアの性能判定を行い、性能改善に必要なデータ収集が可能になる。また、新バージョンのソフトウェアの判定性能に従い、センサデータの取捨選択を行うことで、サーバ送信するログ情報のデータ量削減が可能になる。また、ログ情報のサーバ送信時にリアルタイム送信または非リアルタイム送信に処理を分割することで、車両制御装置内の処理負荷を考慮したデータ送信により、ハードウェアコスト削減が可能になる。また、事故回避操作情報にドライバ入力情報を用いることで、システムが正常に動作しないシチュエーション下のセンサデータ取得が可能になる。

　なお、本発明は上記した実施例に限定されるものではなく、様々な変形例が含まれる。例えば、上述した実施例は本発明を分かりやすく説明するために詳細に説明したものであり、必ずしも説明した全ての構成を備えるものに限定されるものではない。また、ある実施例の構成の一部を他の実施例の構成に置き換えることが可能であり、また、ある実施例の構成に他の実施例の構成を加えることも可能である。また、各実施例の構成の一部について、他の構成の追加・削除・置換をすることが可能である。

　また、上記の各構成、機能等は、それらの一部又は全部を、例えば集積回路で設計する等によりハードウェアで実現してもよい。また、上記の各構成、機能等は、プロセッサがそれぞれの機能を実現するプログラムを解釈し、実行することによりソフトウェアで実現してもよい。各機能を実現するプログラム、テーブル、ファイル等の情報は、メモリや、ハードディスク、SSD（Solid State Drive）等の記録装置、または、ICカード、SDカード、DVD等の記録媒体に置くことができる。

１　車両制御装置
２　ゲートウェイ
３　カメラ制御装置
４　レーダ制御装置
５　ソナー制御装置
６　サーバ
１０１　レーダセンサ情報取得部
１０２　レーダセンサ情報
１０３　カメラセンサ情報取得部
１０４　カメラセンサ情報
１０５　物体検知部（レーダ）
１０６　物体検知結果（レーダ）
１０７　事故回避要否フラグ（レーダ）
１０８　物体検知部（Ｖｅｒ. Ｎ）
１０９　物体検知結果（Ｖｅｒ. Ｎ）
１１０　事故回避要否フラグ（Ｖｅｒ. Ｎ）
１１１　物体検知部（Ｖｅｒ. Ｎ＋１）
１１２　物体検知結果（Ｖｅｒ. Ｎ＋１）
１１３　事故回避要否フラグ（Ｖｅｒ. Ｎ＋１）
１１４　サーバ送信部
１１５　サーバ受信部
１１６　事故回避要否判定結果
１１７　カメラセンサ情報
１１８　性能判定部
１１９　判定性能
１２０　ログ出力部
１２１　ログ情報
１２２　性能判定部
１２３　判定性能
１２４　ログ出力部
１２５　ログ情報
１２６　リアルタイム送信部
１２７　リアルタイム送信ログ情報
１２８　非リアルタイム送信部
１２９　非リアルタイム送信ログ情報
１３０　ドライバ入力取得部
１３１　ドライバ入力情報
１３２　事故回避操作検知部
１３３　事故回避操作検知結果
１３４　事故回避操作フラグ（ドライバ）

Claims

　車両に搭載されたセンサからのセンサデータを入力とし、前記車両の制御に用いられている現バージョンの制御ソフトウェアの出力である第１の情報と、
　前記センサデータを入力とし、前記車両の制御には利用されない新バージョンの制御ソフトウェアの出力である第２の情報と、
　前記第１並びに第２の情報以外の前記車両の制御に関する第３の情報と、を用いて前記新バージョンの制御ソフトウェアのデグレを検知し、
　前記デグレが検知された際の前記センサデータを用いて前記新バージョンの制御ソフトウェアを検証するソフトウェア検証システム。
　前記車両に搭載され、前記デグレを検知するデグレ検知部と、
　前記車両に搭載され、前記デグレ検知部で前記デグレを検知した時刻における前記センサデータに前記デグレに関するログ情報を付与するログ情報付与部と、
　前記車両に搭載され、前記ログ情報が付与された前記センサデータをサーバに送信するデータ送信部と、
　を備える請求項１に記載のソフトウェア検証システム。
　車両に搭載され、前記ログ情報を保存するストレージ部を備え、
　前記データ送信部は、車両停止時に前記ストレージ部に保存されたデータをサーバに送信する請求項２に記載のソフトウェア検証システム。
　前記第１の情報と前記第２の情報が合致せずに、前記第１の情報と前記第３の情報が合致した場合にデグレと判断する請求項１～３のいずれかに記載のソフトウェア検証システム。
　前記第３の情報は、ドライバの事故回避操作の有無を示す情報である請求項４に記載のソフトウェア検証システム。
　前記第３の情報は、レーダセンサに基づく事故回避の要否を示す情報であり、
　前記車両に搭載されたセンサは、カメラである請求項４に記載のソフトウェア検証システム。
　請求項１に記載のソフトウェア検証システムに用いられる車両制御装置において、
　前記デグレを検知するデグレ検知部と、
　前記デグレ検知部でデグレを検知した時刻におけるセンサデータにデグレに関するログ情報を付与するログ情報付与部と、
　前記ログ情報が付与されたセンサデータをサーバに送信するデータ送信部と、を備える車両制御装置。
　請求項１に記載のソフトウェア検証システムに用いられる車両制御装置において、
　前記デグレを検知するデグレ検知部と、
　前記デグレ検知部でデグレを検知した時刻におけるセンサデータにデグレに関するログ情報を付与するログ情報付与部と、を備え、
　サーバにデータを送信するデータ送信部へ前記ログ情報が付与されたセンサデータを出力する車両制御装置。
　車両に搭載されたセンサからのセンサデータを入力とし、前記車両の制御に用いられている現バージョンの制御ソフトウェアの出力である第１の情報と、
　前記センサデータを入力とし、前記車両の制御には利用されない新バージョンの制御ソフトウェアの出力である第２の情報と、
　前記第１並びに第２の情報以外の前記車両の制御に関する第３の情報と、を用いて前記新バージョンの制御ソフトウェアのデグレを検知するデグレ検知部と、
　前記デグレ検知部で前記デグレを検知した時刻におけるセンサデータに前記デグレに関するログ情報を付与するログ情報付与部と、を備える車両制御装置。
　車両に搭載されたセンサからのセンサデータを入力とし、前記車両の制御に用いられている現バージョンのソフトウェアの出力である第１の情報と、
　前記センサデータを入力とし、前記車両の制御には利用されない新バージョンのソフトウェアの出力である第２の情報と、
　前記第１並びに第２の情報以外の前記車両の制御に関する第３の情報と、を用いて前記現バージョンのソフトウェアに対する前記新バージョンのソフトウェアの性能の変化を判定し、
　前記性能の変化が判定された時刻に対応するセンサデータを用いて、前記新バージョンのソフトウェアを検証するソフトウェア検証システム。
　前記第１の情報と前記第２の情報は、前記センサデータに基づく事故回避の要否又は有無を示す情報であり、
　前記第３の情報は、前記センサデータとは異なるデータに基づく事故回避の要否又は有無を示す情報であり、
　（１）前記第１の情報と前記第２の情報と前記第３の情報が、前記事故回避が必要であること又は前記事故回避が有ったことを示す情報である場合に、前記性能の変化はないと判定し、
　（２）前記第１の情報と前記第３の情報が、前記事故回避が必要であること又は前記事故回避が有ったことを示す情報であり、前記第２の情報が、前記事故回避が不要であること又は前記事故回避が無かったことを示す情報である場合に、前記性能が低下したと判定し、
　（３）前記第２の情報と前記第３の情報が、前記事故回避が必要であること又は前記事故回避が有ったことを示す情報であり、前記第１の情報が、前記事故回避が不要であること又は前記事故回避が無かったことを示す情報である場合に、前記性能が向上したと判定し、
　（４）前記第３の情報が、前記事故回避が必要であること又は前記事故回避が有ったことを示す情報であり、前記第１の情報と前記第２の情報が、前記事故回避が不要であること又は前記事故回避が無かったことを示す情報である場合に、前記性能の変化はないと判定し、
　（５）前記第１の情報と前記第２の情報が、前記事故回避が必要であること又は前記事故回避が有ったことを示す情報であり、前記第３の情報が、前記事故回避が不要であること又は前記事故回避が無かったことを示す情報である場合に、前記性能の変化はないと判定し、
　（６）前記第１の情報が、前記事故回避が必要であること又は前記事故回避が有ったことを示す情報であり、前記第２の情報と前記第３の情報が、前記事故回避が不要であること又は前記事故回避が無かったことを示す情報である場合に、前記性能が向上したと判定し、
　（７）前記第２の情報が、前記事故回避が必要であること又は前記事故回避が有ったことを示す情報であり、前記第１の情報と前記第３の情報が、前記事故回避が不要であること又は前記事故回避が無かったことを示す情報である場合に、前記性能が低下したと判定し、
　（８）前記第１の情報と前記第２の情報と前記第３の情報が、前記事故回避が不要であること又は前記事故回避が無かったことを示す情報である場合に、前記性能の変化はないと判定する請求項１０に記載のソフトウェア検証システム。
　前記（２）、（４）、（５）及び（７）の判定の結果に対応するセンサデータを前記新バージョンのソフトウェアの改善が必要なケースの教師データとして機械学習を行い、又は
　前記（１）、（３）、（６）及び（８）の判定の結果に対応するセンサデータを前記新バージョンのソフトウェアの改善が不要なケースの教師データとして機械学習を行う請求項１１に記載のソフトウェア検証システム。