JP6846981B2 - 制御システムおよび制御方法 - Google Patents

Description

本発明は、制御システムおよび制御方法に関する。

自動運転を初めとする制御の全自動化は、人為的操作を不用とするため、人為的誤りに起因する事故の確率を低減し、安全性を向上させることが可能となる。一方、緊急時には人為的なオーバーライド（操作介入）を可能とすることで、制御装置の故障や想定外の事態が発生した場合の安全性を確保することができる。緊急時には人為的なオーバーライドを可能とする技術として特許文献１が知られている。

特許文献１には、「本発明は、車両の周辺に存在する障害物を検知し、検知された障害物を車両が回避するための複数の目標軌跡を生成し、運転者の操作により決定される障害物に対する車両の回避方向を運転者の意思として検出し、生成された複数の目標軌跡から運転者の意思を反映させた回避方向の目標軌跡を選択し、選択された目標軌跡に基づいて障害物を回避する軌跡制御を実行する」ことが開示されている。

特許文献２には、「自動運転車両の走行制御計画の安全性を適確に評価することを可能とする走行制御計画評価装置を提供する。自動運転車両の走行制御計画の安全性を評価する走行制御計画評価装置１０である。この装置１０は、ある時刻において自動運転車両の周辺車両が取る可能性がある行動を推定する行動推定手段１６ａと、ある時刻における周辺車両の存在位置と行動推定手段１６ａにより推定した行動とに基づいて、ある時刻より未来の周辺車両の存在位置を予測する存在位置予測手段１６ｂと、存在位置予測手段１６ｂにより予測した周辺車両の存在位置と、自動運転車両の走行制御計画による存在位置とに基づいて、走行制御計画の安全性を評価する評価手段２０と、を備える」ことが開示されている。

特許文献３には、「自動運転状態の車両に運転者が一時的に介入する場合に運転者に煩わしさを感じさせることを低減する自動運転車両システムを提供する。システムは、運転者の運転操作の操作量又は運転操作の継続時間に応じた継続カウントを取得する取得部と、自動運転状態、協調運転状態及び手動運転状態を、操作量又は継続カウントに基づいて切り換える切換部と、を備え、切換部は、自動運転状態中に、操作量が介入閾値以上かつ開始閾値未満になったとき、又は継続カウントが第１閾値以上かつ第２閾値未満になったときには、協調運転状態に切り換え、協調運転状態中に、操作量が介入閾値未満になったとき、又は継続カウントが第１閾値未満になったときには、自動運転状態に切り換え、操作量が開始閾値以上になったとき、又は継続カウントが第２閾値以上になったときには、手動運転状態に切り換える」ことが開示されている。

特開２０１３−１２９３２８号公報 特開２００８−１１７０８２号公報 特開２０１６−１３２３５２号公報

従来技術では、自動運転状態か、あるいはオーバーライド状態のいずれかを選択できるのみであり、使い勝手が悪い。

本発明は、上記課題に鑑みてなされたもので、その目的は、安全性を確認した範囲内で操作インタフェース部の操作量情報に従って制御出力を生成できるようにした制御システムおよび制御方法を提供することにある。

上記課題を解決すべく、本発明の一つの観点に従う制御システムは、制御出力を生成する制御システムであって、物理量である操作量に基づいて操作量情報および優先度情報を生成する操作インタフェース部と、所定の入力に基づいて自動制御出力を生成する複数の自動制御部と、各自動制御出力の安全性をそれぞれ確認する安全検証部と、各自動制御出力と、操作量情報および優先度情報と、各安全検証部による安全性の確認結果とに基づいて、各自動制御出力の中から選択される所定の自動制御出力または操作量情報のいずれかに従う制御出力を出力する出力制御部と、を備え、出力制御部は、優先度情報に基づいて、各自動制御出力のうち各安全検証部により安全性が確認された自動制御出力の中から最も選択優先度の高い自動制御出力を所定の自動制御出力として選択し、選択した所定の自動制御出力に従って制御出力を生成する、各安全検証部のうち所定の自動制御出力の安全性を確認する所定の安全検証部が安全性を確認する限りにおいて、操作量情報に従って制御出力を生成する、または、各安全検証部による安全性の確認結果にかかわらず操作量情報に従って制御出力を生成する。

本発明によれば、出力制御部は、優先度情報に基づいて、安全性が確認された自動制御出力の中から最も選択優先度の高い自動制御出力に従って制御出力を生成する、安全検証部が安全性を確認する限りにおいて、操作量情報に従って制御出力を生成する、または、安全検証部による安全性の確認結果にかかわらず操作量情報に従って制御出力を生成する、のいずれかを実行することができるため、使い勝手が向上する。

制御システムの全体構成図である。 第２実施例に係り、制御装置の構成を示すブロック図である。 第３実施例に係り、制御装置の構成を示すブロック図である。 第４実施例に係り、操作量と操作量情報および優先度情報との関係を示すグラフである。 操作量と反力の関係を示すグラフである。 操作量の大きさ（優先度情報）と制御出力の動作モードとの関係を示す説明図である。 操作インタフェース部の機構が異なる場合における、操作量と操作量情報および優先度情報との関係を示すグラフである。 操作インタフェース部のブロック図である。 操作量、操作量情報、優先度情報、制御出力の関係の時間変化を示すグラフである。 第５実施例に係り、操作インタフェース部のブロック図である。 第６実施例に係り、操作インタフェース部のブロック図である。 第７実施例に係り、操作インタフェース部のブロック図である。 第８実施例に係り、制御装置のブロック図である。 操作量の大きさ（優先度情報）と制御出力の動作モードとの関係を示す説明図である。 第９実施例に係り、操作インタフェース部の説明図である。 第１０実施例に係り、操作インタフェース部の説明図である。 第１１実施例に係り、操作インタフェース部の説明図である。 第１２実施例に係り、操作インタフェース部の説明図である。 第１３実施例に係り、操作インタフェース部を車両の自動運転システムに適用した場合の説明図である。 制御装置を車両の自動運転システムに適用した場合の説明図である。 障害物を回避する一例を示す説明図である。 操作量と制御出力の関係の時間変化を示すグラフである。 障害物を回避する他の例を示す説明図である。 操作量と制御出力の関係の時間変化を示すグラフである。 第１４実施例に係り、操作インタフェース部のブロック図である。 第１５実施例に係り、制御装置のブロック図である。 安全検証部の動作の説明図である。 第１６実施例に係り、制御装置のブロック図である。 安全検証部の動作の説明図である。 第１７実施例に係り、制御システムのブロック図である。 出力選択方法の例を示す説明図である。 出力選択方法の他の例を示す説明図である。 制御システムを自動運転システムに適用する場合の説明図である。 第１８実施例に係り、制御装置のブロック図である。 安全検証部の動作の説明図である。 多変数を含む自動制御出力を制限する例を示す説明図である。 自動制御出力の制限方法の内容例を示す説明図である。 多変数を含む自動制御出力の安全性を検証する安全性検証部のブロック図である。 安全検証部の動作の説明図である。 第１９実施例に係り、制御装置のブロック図である。 操作インタフェース部に現れる反力と操作量（物理量）の関係を示す説明図である。 第２０実施例に係り、ユーザに制御システムの状態を通知するマンマシンインターフェースの例を示す説明図である。

以下、図面に基づいて、本発明の実施の形態を説明する。本実施形態では、後述するように、操作に関するオーバーライドを受け付けるインタフェース（以下、操作インタフェース）１０に、操作量の物理量１１を操作量情報１２に変換する機能と、操作量の物理量１１を操作量情報１２に付随する属性としての優先度情報１３に変換する機能とを持たせる。以下、操作量の物理量を「物理量としての操作量」、「操作量（物理量）」、「操作量」と呼ぶことがある。

本実施形態では、自動制御出力を生成する自動制御部２０と、自動制御出力の安全性を検証する安全検証部３０とを備える。本実施形態では、優先度情報が予め定められた閾値よりも低い場合には、安全検証部３０の制限の下に制御し、優先度情報が予め定められた閾値よりも高い場合には、安全検証部３０の制限を受けずに制御する。

本実施形態によれば、状況に応じて入力されるユーザ操作により、３つの動作モードを自動的に切り替えることができる。すなわち、本実施形態によれば、自動制御出力に基づいて動作する動作モードと、安全検証部による制限下でオーバーライド（人為的介入操作）動作を許容する動作モードと、安全検証部による制限を受けずにオーバーライド動作を許容する動作モードとの３つの動作モードを切り替えることができるため、ユーザの使い勝手が向上する。さらに本実施形態によれば、緊急時のオーバーライド動作と安全検証部での安全性判断とが異なる場合であっても、状況に応じた適切な制御出力を得ることが可能となる。

図１を用いて第１実施例を説明する。図１は、制御システム１の全体構成を示すブロック図である。制御システム１は、図１の上側に示す操作インタフェース部１０と、図１の下側に示す制御装置２とを含む。

操作インタフェース１０には、図示しないユーザにより、操作量（物理量）１１が入力される。操作インタフェース部１０は、入力された操作量（物理量）１１から、情報としての、操作量情報１２および優先度情報１３を得る。

制御装置２は、操作インタフェース部１０に有線または無線で接続され、操作インタフェース部１０から入力される操作量情報１２および優先度情報１３等に基づいて、図外の制御対象を制御するための制御出力６０を生成する。操作インタフェース部１０と制御装置２とは、それぞれ別体に形成してケーブルや通信ネットワーク等で接続してもよいし、または、操作インタフェース部１０と制御装置２とを一体化して形成してもよい。

制御装置２は、例えば、自動制御部２０、安全検証部３０、ＡＮＤゲート４０、複数のスイッチＳＷ１，ＳＷ２を備える。ここで、各スイッチＳＷ１，ＳＷ２とＡＮＤゲート４０とが出力制御部３を構成する。

自動制御部２０は、所定の入力４に基づいて、制御対象を自動制御するための自動制御出力２１を生成し、その自動制御出力２１を出力する。「第１の選択部」の例である第１スイッチＳＷ１は、優先度情報１３に応じて、複数の入力の中からいずれか一つを選択して出力する。第１スイッチＳＷ１には、自動制御出力２１と、操作量情報１２Ａとが入力される。操作量情報１２Ａは、操作インタフェース部１０から第１スイッチＳＷ１へ入力される操作量情報である。操作量情報１２Ｂは、操作インタフェース部１０から第２スイッチＳＷ２へ入力される操作量情報である。

第１スイッチＳＷ１は、操作インタフェース部１０から入力される優先度情報１３と所定の第１の値「１」と比較する。第１スイッチＳＷ１は、優先度情報１３が「１」よりも小さい場合に、自動制御出力２１を選択してＡＮＤゲート４０へ出力する。これに対し、第１スイッチＳＷ１は、優先度情報１３が「１」以上の場合に、操作インタフェース部１０からの操作量情報１２ＡをＡＮＤゲート４０へ出力する。

安全検証部３０は、自動制御部２０への入力４と、第１スイッチＳＷ１の出力（自動制御出力２１または操作量情報１２Ａのいずれか）とから、第１スイッチＳＷ１の出力の安全性を検証する。出力の安全性を検証するとは、第１スイッチＳＷ１の出力が図外の制御対象に入力された場合に、制御対象が安全に動作するかを判定することである。

安全検証部３０は、第１スイッチＳＷ１の出力が安全であることを確認できた場合、ＡＮＤゲート４０に信号を出力して、ＡＮＤゲート４０が第１スイッチＳＷ１からの入力を出力できるようにする。これに対し、安全検証部３０は、第１スイッチＳＷ１の出力の安全性を確認できない場合、ＡＮＤゲート４０によって、第１スイッチＳＷ１の出力を遮断または制限させる。

「安全確認部」の例であるＡＮＤゲート４０は、上述の通り、安全検証部３０から入力される制御信号に応じて、第１スイッチＳＷ１からの入力をそのまま出力するか、遮断するか、または制限する回路である。ＡＮＤゲート４０に代えて、最小値を選択する最小値選択回路を安全確認部として用いてもよい。ＡＮＤゲート４０は、安全検証部３０による安全性が確認された範囲で、第１スイッチＳＷ１からの入力を安全制限出力５０として出力する。

「第２の選択部」の例である第２スイッチＳＷ２には、ＡＮＤゲート４０からの安全制限出力５０と操作量情報１２Ｂが入力される。第２スイッチＳＷ２は、操作インタフェース部１０からの優先度情報１３と所定の第２の値「２」とを比較する。第２スイッチＳＷ２は、優先度情報１３が「２」よりも小さい場合、ＡＮＤゲート４０からの安全制限出力５０を選択し、安全制限出力５０を制御出力６０として制御対象へ出力する。これに対し、第２スイッチＳＷ２は、優先度情報１３が「２」以上の場合、操作量情報１２Ｂを選択し、操作量情報１２Ｂを制御出力６０として、制御対象へ出力する。

このように構成される本実施例では、（１）優先度情報１３が「１」より小さい場合、自動制御出力２１が第１スイッチＳＷ１により選択され、安全検証部３０の監視の下で、制御出力６０として出力される。（２）さらに、優先度情報１３が「１」以上であり、かつ「２」未満の場合、第１スイッチＳＷ１は操作量情報１２Ａを選択し、安全検証部３０による制限の下で、制御出力６０として出力される。（３）さらに、優先度情報１３が「２」以上の場合、第２スイッチＳＷ２は、操作量情報１２Ｂを選択し、制御出力６０として出力する。この制御出力６０は、操作量情報１２Ｂそのままであり、安全検証部３０の制限を受けない。

本実施例によれば、安全検証部３０によって、自動制御部２０からの自動制御出力２１の安全性を監視するため、制御対象の安全な動作を保証できる。本実施例によれば、ユーザによるオーバーライドへの要求の強さを優先度情報１３として検出するため、緊急時の状況に応じて適切なオーバーライドを実現することができる。すなわち、本実施例では、安全検証部３０による制限を受けたオーバーライド（「１」≦優先度情報１３＜「２」）と、安全検証部３０による制限を受けないオーバーライド（「２」≦優先度情報１３）との２つのオーバーライドを状況に応じて自動的に選択できるため、ユーザの使い勝手が向上する。

なお、自動制御部２０として、深層学習または機械学習などの人工知能を導入することにより、人知を超えた制御性能を実現することが期待されている。しかし、人知を超えるがゆえに、安全に関するアカウンタビリティ（説明責任、説明性）の向上が望ましい。そこで、本実施例では、安全検証部３０を付加することで、人工知能による人知を超えた高度な制御においても安全性を確保することができる。

図２を用いて第２実施例を説明する。本実施例を含む以下の各実施例は第１実施例の変形例に相当するため、第１実施例との差異を中心に説明する。本実施例では、出力を切り替える場合に段差上の変化が生じるのを抑制する。

図１で述べたスイッチＳＷ１，ＳＷ２では、複数の入力の間に差があるため、一方の入力から他方の入力へ切り替えると、出力に段差的変化が生じる。例えば、第１スイッチＳＷ１が、優先度情報１３の変化に応じて、自動制御出力２１から操作量情報１２Ａへ切り替えると、第１スイッチＳＷ１の出力に段差上の変化を生じる。

そこで、下記の式１に示すように、一方の入力ｉｎａから他方の入力ｉｎｂへ、０＜ｔ＜Ｔの間で時間をかけて徐々に切り替えることで、出力ｏｕｔに段差上の変化が生じるのを抑制することができる。

ｏｕｔ＝（ｉｎａ（Ｔ−ｔ）ｉｎａ＋ｔ＊ｉｎｂ）／Ｔ・・・（式１）

図２に、段差状の変化を抑制するための他の例を示す。図２に示す制御装置２Ａでは、出力制御部３Ａに加算部ＡＤＤ１，ＡＤＤ２を用いる。すなわち、図２では、スイッチＳＷ１，ＳＷ２に代えて加算部ＡＤＤ１，ＡＤＤ２を用いる。

第１加算部ＡＤＤ１は、自動制御出力２１と操作量情報１２Ａとを加算して、ＡＮＤゲート４０へ出力する。第２加算部ＡＤＤ２は、ＡＮＤゲート４０からの安全制限出力５０と操作量情報１２Ｂとを加算することで、制御出力６０を生成する。

自動制御出力２１に操作量情報１２Ａを加えることで、第１加算部ＡＤＤ１の出力変化を、第１スイッチＳＷ１の場合よりも滑らかにすることができる。同様に、安全制限出力５０に操作量情報１２Ｂを加えることで、第２加算部ＡＤＤ２の出力変化を、第２スイッチＳＷ２の場合よりも滑らかにすることができる。この結果、本実施例では、第１実施例に比べて、段差状の変化の少ない制御出力６０を得ることができ、より滑らかに制御対象を制御することができる。

図３を用いて第３実施例を説明する。本実施例の制御装置２Ｂでは、出力制御部３Ｂに複数の安全検証部３０（１）〜３０（ｎ）と複数のＡＮＤゲート４０（１）〜４０（ｎ）を設けている。

各ＡＮＤゲート４０（１）〜４０（ｎ）の出力５０（１）〜５０（ｎ）は、安全検証部３０（１）〜３０（ｎ）のそれぞれの出力によって制御されている。そして、最終段のＡＮＤゲート４０（ｎ）からの安全制限出力５０（ｎ）に操作量情報１２Ｃを加えることで、制御出力６０が生成される。

各安全検証部３０（１）〜３０（ｎ）にそれぞれ同じ判定論理を実装した場合には、安全検証部３０（１）〜３０（ｎ）は冗長系として機能する。したがって、この場合は、いずれか一つまたは複数の安全検証部が故障した場合でも、制御出力６０の安全性を確保することができる。

一方、各安全検証部３０（１）〜３０（ｎ）にそれぞれ異なる判定論理を実装することもできる。この場合、安全検証部の設計を多様化するこができ、その結果、判定論理に依存する検出漏れを防ぐことが可能となる。例えば、安全検証部３０（１）〜３０（ｎ）のうち、少なくとも１つに深層学習などの人工知能による判定論理を実装し、さらに少なくとも１つにルールに基づく判定論理をそれぞれ実装する。これにより、人工知能による人知を超えた異常（危険事象）検出と、確実なルールに基づくアカウンタビリティ（説明責任、説明性）とを両立させることが可能となる。

さらに、安全検証部３０（１）〜３０（ｎ）のフォルスネガティブ（正常なのに異常（危険）と誤判断してしまう事象）の確率を考えて出力制御部３Ｂを構成してもよい。最もフォルスネガティブの確率が高い安全検証部を安全検証部３０（１）、続いて高いものを安全検証部３０（２），３０（３），．．．とすれば、優先度情報がより低いときにはフォルスネガティブの確率がより高い安全検証部がバイパスされ、優先度情報がより高いときにはフォルスネガティブの確率がより低い安全検証部がバイパスされる。

このように構成される本実施例も第１、第２実施例と同様の作用効果を奏する。さらに本実施例では安全検証部３０（１）〜３０（ｎ）とＡＮＤゲート４０（１）〜４０（ｎ）を多段に設けるため、より一層使い勝手および信頼性を向上できる。

図４〜図９を用いて第４実施例を説明する。図４および図８は、操作インタフェース１０が操作量（物理量）１１の大きさに応じて優先度情報１３を生成する例である。

図４は、操作量１１と、操作量情報１２Ａ，１２Ｂと、優先度情報１３との関係を示したものである。操作量１１が予め定められた閾値ｔｈ１，ｔｈ２を上回ると、操作量１１の値に比例した値の操作量情報１２Ａ，１２Ｂが生成される。また、操作量１１が閾値ｔｈ１を越えたときに、優先度情報１３として第１の値「１」が与えられ、操作量１１が閾値ｔｈ２を越えたときに第２の値「２」が与えられる。

図５は、操作量１１と反力の関係を示す。図５に示すように、操作量１１が閾値ｔｈ１，ｔｈ２と等しい値になった点で、反力に段差を設ける。これにより、ユーザは、操作インタフェース部１０に入力する操作量１１と閾値ｔｈ１，ｔｈ２との大小、ひいては入力している優先度情報１３を触覚を通じて認識することができる。

図６は、操作量１１の大きさ（優先度情報）と制御出力の動作モードとの関係を示す説明図である。操作量１１が閾値ｔｈ１未満の場合（Ｒ１）、自動制御出力２１が安全検証部３０による制限下で、制御出力６０となる。ユーザが閾値ｔｈ１以上であって閾値ｔｈ２未満の操作量１１を操作インタフェース１０へ加える場合（Ｒ２）、安全検証部３０が許容する範囲で、ユーザはオーバーライドすることができる。ユーザが閾値ｔｈ２以上の操作量１１を操作インタフェース部１０へ加える場合（Ｒ３）、安全検証部３０とは無関係に、ユーザはオーバーライドすることができる。

図４は、操作量１１が片方向に変化する場合（例えばブレーキペダルまたはアクセルペダルの操作）の例である。図７は、中立点を中心に双方向に変化する場合（例えばステアリング操作）の例である。

図７に示す場合も、操作量１１の絶対値と閾値ｔｈ１，ｔｈ２とを比較することにより、図４と同様に操作量情報１２Ａ，１２Ｂおよび優先度情報１３を生成すればよい。また、反力についても図５と同様に、操作量１１の全体値が閾値ｔｈ１，ｔｈ２と等しい値のところで反力に段差を設ければよい。これにより、ユーザは、操作インタフェース部１０に加える操作量１１と閾値ｔｈ１，ｔｈ２との大小と、生成させる優先度情報１３とを触覚を通じて認識することができる。

図８は、操作インタフェース部１０の構成例である。操作インタフェース部１０は、例えば、変換部１４Ａ，１４Ｂと、優先度生成部１５とを備える。

第１変換部１４Ａは、操作量１１を、第１スイッチＳＷ１または第１加算部ＡＤＤ１へ入力される操作量情報１２Ａに変換する回路である。第１変換部１４Ａは、操作量１１と第１の閾値ｔｈ１とを比較することにより、操作量１１に対応する操作量情報１２Ａを生成する。同様に第２変換部１４Ｂは、操作量１１を、第２スイッチＳＷ２または第２加算部ＡＤＤ２へ入力される操作量情報１２Ｂに変換する回路である。第２変換部１４Ｂは、操作量１１と第２の閾値ｔｈ２とを比較することにより、操作量１１に対応する操作量情報１２Ｂを生成する。なお、図８では、変換部１４Ａ，１４Ｂの２つを示すが、これに限らず、操作インタフェース部１０は、３つ以上の変換部を内蔵することもできる。

優先度生成部１５は、操作量１１から優先度情報１３を生成する回路である。優先度生成部１５は、操作量１１と閾値ｔｈ１，ｔｈ２とを比較することにより、操作量１１の値に応じた優先度情報１３を生成する。

図９は、操作量１１、操作量情報１２Ａ，１２Ｂ、優先度情報１３、制御出力６０の時間変化の一例を示すグラフである。

図９では、時刻ｔ０以降に操作量１１が入力され始め、時刻ｔ１以降に閾値ｔｈ１に達したとする。操作量１１が閾値ｔｈ１以上になると、操作量情報１２Ａが「０」よりも大きくなり、優先度情報１３が「１」となる。その結果、操作量情報１２Ａが制御出力６０として出力される。

その後、操作量１１がさらに増加し、時刻ｔ２に安全制限出力閾値ｔｈｓを超えると、物理量１１が閾値ｔｈ２以上になる時刻ｔ３までの間は、制御出力６０が安全制限出力５０に制限される。

物理量１１がさらに増加し、時刻ｔ３において閾値ｔｈ２に達したとする。操作量１１が閾値ｔｈ２以上になると、優先度情報１３は「１」から「２」へ変化する。このため、時刻ｔ３以降では、安全制限出力５０に操作量情報１２Ｂが加算された値が制御出力６０として出力される。

自動運転時の目標速度Ｖｓが、障害物との距離ｌから、障害物との相対速度（Ｖｓ−Ｖｏ）が所定の速度未満となるように、安全制限出力閾値ｔｈｓは定められる。例えば、一定の加速度（減速度）ａで（Ｖｓ−Ｖｏ）がゼロのときに停止するという条件では、式２，式３のように表される。

（Ｖｓ−Ｖｏ）=ＳＱＲＴ（２ａｌ）・・・（式２）
Ｖｓ= ＳＱＲＴ （２ａｌ） + Ｖｏ・・・（式３）
但し、Ｖｓ：自車の目標速度の上限
Ｖｏ：障害物の速度

制御システム１を航空機制御に適用する場合、安全制限出力閾値ｔｈｓの下限には失速速度が、上限には運用最大速度が用いることができる。

このように構成される本実施例によれば、上述のように、状況に応じてユーザ操作により、（１）自動制御に基づき動作する動作モードと、（２）安全検証部３０の制限下でオーバーライド動作を許容する動作モードと、（３）安全検証部３０の制限によらずにオーバーライド動作を許容する動作モードとを切り替えることができる。

図１０を用いて第５実施例を説明する。図１０は、本実施例の操作インタフェース部１０Ａの構成図である。本実施例の操作インタフェース部１０Ａは、操作量１１の微分値に応じて優先度情報１３を生成する。

操作インタフェース部１０Ａは、変換部１４Ａ，１４Ｂおよび優先度生成部１５に加えて、微分回路１６を備える。優先度生成部１５には、操作量１１が微分回路１６により微分された値が入力される。優先度生成部１５は、操作量１１の微分値と閾値ｔｈ１，ｔｈ２とを比較することにより、優先度情報１３を生成する。

このように構成される本実施例も第１実施例と同様の作用効果を奏する。さらに本実施例によれば、操作量１１の微分値から優先度情報１３を生成するため、操作量の時間変化を検出することができる。このため、本実施例では、操作量１１の微分値から操作の緊急性を推測することができ、緊急性の高い操作ほど優先度情報１３の値を高く設定することができる。

図１１を用いて第６実施例を説明する。図１１は本実施例の操作インタフェース部１０Ｂの構成図である。本実施例の操作インタフェース部１０Ｂは、操作量１１の積分値に応じて優先度情報１３を生成する。本実施例では、図１０で述べた微分回路１６に代えて、積分回路１７が設けられている。

積分回路１７は操作量１１の積分値を優先度生成部１５へ入力する。優先度生成部１５は、操作量１１の積分値と閾値ｔｈ１，ｔｈ２とを比較することにより、優先度情報１３を生成する。

このように構成される本実施例も第１実施例と同様の作用効果を奏する。さらに本実施例によれば、操作量１１の積分値から優先度情報１３を生成するため、操作の大きさおよび継続時間を検出することができる。このため、本実施例では、操作量１１の積分値から、ユーザの操作に対する意思の強さを推測することができ、操作せんとする意思の強い操作であるほど優先度情報１３の値を高く設定することができる。

図１２を用いて第７実施例を説明する。図１２は、本実施例の操作インタフェース部１０Ｃの構成図である。本実施例の操作インタフェース部１０Ｃは、操作量１１の継続時間に応じて優先度情報１３を生成する。本実施例では、図１１で述べた積分回路１７に代えて、タイマ１８が設けられている。

タイマ１８は、操作量１１の継続時間を検出して、優先度生成部１５へ入力する。優先度生成部１５は、操作量１１の継続時間と閾値ｔｈ１，ｔｈ２とを比較することにより、優先度情報１３を生成する。

このように構成される本実施例も第１実施例と同様の作用効果を奏する。さらに本実施例では、操作量１１の継続時間からユーザの意思の確実性を推測することができるため、確実な意思を伴う操作ほど優先度情報１３に高い値を設定することができる。

図１３，図１４を用いて第８実施例を説明する。図１３は、本実施例に係る制御装置２Ｃの構成例である。図１４は、操作量の大きさ（優先度情報）と制御出力の動作モードとの関係を示す説明図である。

本実施例の自動制御部２０では、入力された操作量情報１２Ａが予め定められた閾値ｔｈ０以上であって、かつ、閾値ｔｈ１よりも小さい場合（Ｒ４）、自動制御部２０に入力された操作量情報１２Ａにより意思を反映させた方向の目標軌跡を選択する。

さらに、本実施例では、図７に示す例と同様に、ユーザは、閾値ｔｈ１以上の操作量１１を操作インタフェース部１０に加えることにより、安全検証部３０が許容する範囲でオーバーライドすることができる（Ｒ２）。ユーザが閾値ｔｈ２以上の操作量１１を操作インタフェース部１０へ加える場合（Ｒ３）安全検証部３０とは無関係のオーバーライド動作ができる。

このように構成される本実施例によれば、自動制御出力２１に基づき動作する動作モード（Ｒ１）、自動制御出力２１に基づき動作する動作モードであって、ユーザの意思を反映させた方向の目標軌跡を選択して動作するモード（Ｒ４）、安全性が確認された範囲でオーバーライドを許容するモード（Ｒ２）、安全性検証とは無関係にオーバーライド動作を可能とするモード（Ｒ３）とを実現することができる。

図１５を用いて第９実施例を説明する。本実施例では、操作インタフェース部１０Ｄの操作自由度を高め、本来の操作量１１に割り当てられている操作自由度とは独立した操作自由度により、優先度情報１３を生成する。

本実施例の操作インタフェース部１０Ｄは、ｘ−ｙ平面内の動作を本来の操作方向とする。すなわち、ユーザは、例えば、操作レバー１００をｘ方向またはｙ方向に倒したり、回転軸を中心に時計回り方向または反時計回り方向に回動させたりすることで、操作量１１を入力することができる。そして、ユーザは、操作方向とは独立したｚ方向に操作レバー１００を押し込むか、あるいは引き出すことで、優先度情報１３を生成させることができる。

このように構成される本実施例も第１実施例と同様の作用効果を奏する。さらに、本実施例の操作インタフェース部１０Ｄによれば、操作量１１の大小から優先度情報１３を算出するのではなく、通常の操作から独立する所定の操作で優先度情報１３を生成させることができる。したがって、ユーザの操作意思を明確に制御装置２へ入力できる。

図１６を用いて第１０実施例を説明する。図１６は、本実施例の操作インタフェース部１０Ｅの構成例である。本実施例では、ｘ−ｙ平面内の動作を操作量１１を発生させるための操作方向とする。さらに、本実施例では、操作方向とは独立する圧力センサ１５ＰＳを操作レバー１００に設ける。ユーザが操作レバー１００を把持するときの圧力を圧力センサ１５ＰＳで検出する。圧力センサ１５ＰＳにより検出された圧力（操作レバー１００を把持する握力）は、優先度生成部１５により優先度情報１３に変換される。

このように構成される本実施例も第１実施例と同様の作用効果を奏する。さらに、本実施例の操作インタフェース部１０Ｅによれば、ユーザは操作レバー１００を強く握りしめることで、操作の緊急性、重要性を制御装置２へ入力することができる。

図１７を用いて第１１実施例を説明する。図１７は、本実施例の操作インタフェース部１０Ｆの構成例である。本実施例では、ｘ−ｙ平面内の動作を操作量１１を発生させるための操作方向とする。さらに、本実施例では、操作レバー１００の上部または側部などに押釦スイッチ１５ＰＢを設ける。ユーザは、オーバーライド動作を希望する場合、押釦スイッチ１５ＰＢを押し込めばよい。押釦スイッチ１５ＰＢを複数段階で押し込むことができるスイッチとして構成すれば、ユーザの押し込む量によって優先度情報１３の値を変えることができる。

このように構成される本実施例も第１実施例と同様の作用効果を奏する。さらに本実施例によれば、ユーザは押釦スイッチ１５ＰＢを操作することで、オーバーライド動作への要求を制御装置２に指示することができる。

なお、操作レバー１００の押し込みまたは引出操作、操作レバー１００を握るときの圧力、操作レバー１００に設けた押釦の操作、操作量１１と閾値ｔｈ１，ｔｈ２との大小とを幾つか組み合わせることで、優先度情報１３を生成してもよい。

図１８を用いて第１２実施例を説明する。図１８は、本実施例に係る操作インタフェース部１０Ｇの構成例を示す。本実施例では、複数の操作インタフェース部１０Ｇ（１）〜１０Ｇ（ｎ）を設け、各操作インタフェース部１０Ｇ（１）〜１０Ｇ（ｎ）への操作量１１をカウンタ７０で合計することで、優先度情報１３を生成する。したがって、より多くのユーザが操作インタフェース部１０Ｇを同一方向へ操作するほど、カウンタ７０の合計値が大きくなり、その結果、優先度情報１３に高い値が設定される。

このように構成される本実施例も第１実施例と同様の作用効果を奏する。さらに、本実施例では、複数のユーザが操作する場合に、多数決で動作モードを決定できる。

図１９〜図２４を用いて第１３実施例を説明する。本実施例では制御システムを自動車の自動運転システムへ適用する場合を説明する。

図１９は、操作インタフェース部１０Ｈを自動運転システムへ適用する例を示す。操作インタフェース部１０Ｈには、操作量１１として、ステアリング操舵角または操舵トルク１１０と、アクセルペダル角度１１１およびブレーキペダル角度１１２とがそれぞれ入力される。

図２０は、本実施例の制御装置２Ｄを自動運転システムに適用した例である。制御システム２Ｄの出力する制御出力６０は、ステアリング制御部８０とパワートレイン制御部９０とに入力される。

自動制御出力２１に従う自動制御モードでは、ステアリング制御部８０は、制御出力６０に従って、モータ８１により操舵部８２を制御する。同じく自動制御モードでは、パワートレイン制御部９０は、制御出力６０に従って、モータージェネレータ９１により駆動輪９２の加速減速を制御する。

オーバーライドモードでは、ステアリング制御部８０は、ステアリング操舵角または操舵トルク１１０に基づき、モータ８１により操舵部８２を制御する。同じくオーバーライドモードでは、パワートレイン制御部９０は、アクセルペダル角度１１１とブレーキペダル角度１１２とに基づき、モータージェネレータ９１により駆動輪９２の加速減速を制御する。なお、上述の通り、オーバーライドモードは、安全検証部３０による制限を受けるモードと、安全検証部３０による制限を受けないモードとがある。

図２１は、自動運転中の自車（△印）に障害物Ｏ１が接近した場合に、ユーザのオーバーライド操作によって経路ＰＡまたは経路ＰＢのいずれかに回避する様子を示す説明図である。

図２２は、図２１に示す障害物回避時において、操作量１１（アクセルペダル角度１１１）と制御出力６０（目標速度）との時間変化を示すグラフである。

時刻ｔ０より操作量１１が入力され始め、時刻ｔ１で操作量１１が第１の閾値ｔｈ１に達するとオーバーライドが開始され、この結果、制御出力６０（目標速度）にオーバーライドの操作分が現れる。障害物Ｏ１は、自車の安全制限出力５０の領域に入っているため、時刻ｔ２以降、安全検証部３０の安全制限出力５０（障害物Ｏとの距離に依存する）により、自車の速度は制限される。この場合、自車は、安全制限出力５０により制限された遅い速度で、障害物Ｏ１を回避しなければならない。

しかし、時刻ｔ３において、ユーザがアクセルペダル１１１を踏み込み、操作量１１が第２の閾値ｔｈ２に達すると、安全検証部３０による制限から外れる。この結果、自車は、安全制限出力５０で制限された速度よりも高い速度で、障害物Ｏ１を回避することができる。

このように、自動運転システムに適用した場合も、ユーザは、自動制御出力２１に基づく自動運転モードと、安全検証部３０により安全が確認された範囲内でユーザのオーバーライド操作を許容する第１のオーバーライドモードと、安全検証部３０による制限を受けずにユーザがオーバーライド操作できる第２のオーバーライドモードとを、交通状況などに応じて切り替えることができる。

図２３，図２４は、自動運転時において、自車（△）の前方に障害物Ｏ１が存在し、さらに、自車の後方から障害物Ｏ２が接近した場合に、ユーザのオーバーライド操作で回避する様子を示す説明図である。

図２４に示すように、時刻ｔ０より操作量１１（アクセルペダル角度１１１）が入力され始め、時刻ｔ１で第１の閾値ｔｈ１に達するとオーバーライドが開始される。この結果、ユーザのオーバーライド操作の分が制御出力６０（目標速度）に加算される。

時刻ｔ１以降、第１の閾値ｔｈ１以上であり、かつ第２の閾値ｔｈ２よりも小さな操作量１１が入力され続ける。この場合、安全検証部３０の安全制限出力５０（障害物Ｏ１との距離に依存する）により、自車の速度は制限される。その結果、自車は前方の障害物Ｏ１に衝突しないように障害物Ｏ１との距離を詰めることができ、かつ、後方の障害物Ｏ２が自車に追突する事態を回避することができる。

図２５を用いて第１４実施例を説明する。本実施例では、ユーザ操作だけでなく、ユーザの顔の表情や脈拍等の生体情報も利用して、優先度情報１３を生成する。

図２５は、本実施例の操作インタフェース部１０Ｊの構成例である。操作インタフェース部１０Ｊの優先度生成部１５には、操作量１１および閾値ｔｈ１，ｔｈ２に加えて、生体情報処理部１２０および画像情報処理部１２１からの出力がそれぞれ入力される。

生体情報処理部１２０は、例えば、ユーザ（ドライバ）の脈拍、血圧、体温、脳波などの生体情報をセンサ（不図示）から取得し、その生体情報を前処理した結果を優先度生成部１５に入力する。

画像情報処理部１２１は、例えば、ユーザの顔の表情（寝ている、起きている、緊張している等）、ユーザの頭や首などの動作をカメラ（図示せず）から取得し、取得した画像を処理した結果を優先度生成部１５に入力する。

優先度生成部１５は、操作量１１と閾値ｔｈ１，ｔｈ２との大小関係と、ユーザの生体情報および画像情報とに基づいて、優先度情報１３を生成する。これにより例えば、操作量１１が第１の閾値ｔｈ１に満たない場合でも、ユーザが急病等で操作に力を込めることができないと判定されたときには、安全検証部３０により安全性が担保された範囲でユーザのオーバーライド操作を許可することもできる。または、ユーザの操作量１１が第２の閾値ｔｈ２に達していない場合でも、ユーザの顔の表情や心拍数などから緊急事態であると判定したときには、安全検証部３０による制限を受けずにユーザのオーバーライド操作を許可することもできる。

図２６、図２７を用いて第１５実施例を説明する。本実施例に係る制御装置２Ｅは、自動制御部２０と、安全検証部３０Ｅと、アンドゲート４０を含む。安全検証機能３０Ｅには、所定の入力４と自動制御出力２１とが入力され、それらの値４，２１に対応する検証出力（検証結果）が出力される。安全性の確認結果である検証結果は、「ＯＫ」（安全性あり）または「ＮＧ」（安全性なし）のいずかで出力される。

本実施例の安全検証部３０Ｅは、現在の入力４および現在の自動制御出力２１に限らず、過去の値からの遷移状態を利用することもできる。過去の値からの状態遷移にも着目する場合（遷移チェック３０２付き）、１サンプル前（Ｚ＾−１）の入力４および自動制御出力２１も判定回路３０１へ入力される。

安全検証部３０Ｅは、現在の所定の入力４および現在の自動制御出力２１と、１サンプル前の所定の入力４および自動制御出力２１（すなわち過去の入力４および過去の自動制御出力２１）とに基づいて、安全性あり（ＯＫ）または安全性なし（ＮＧ）の検証結果を出力する。

図２７を用いて、安全検証部３０Ｅの動作を説明する。安全検証部３０Ｅの動作は、図２７に示すように、例えばＣＡＭ（Content Addressable Memory、連想記憶メモリ）等を用いて定義することができる。例えばＣＡＭには、所定の入力４および自動制御出力２１と、遷移チェック付の場合には過去の所定の入力４および過去の自動制御出力２１との組み合わせをエントリーとして、それらに対応した検証出力（ＯＫ／ＮＧ）が予め設定されている。

このように構成される本実施例も第１実施例と同様の作用効果を奏する。さらに本実施例の安全検証部３０Ｅは、過去の入力４および過去の自動制御出力２１も考慮して、自動制御出力２１が安全であるか判定することができる。これにより、より効率的にかつ高い信頼性をもって安全性を検証することができる。

図２８および図２９を用いて第１６実施例を説明する。本実施例の制御装置２Ｆは、自動制御出力２１を所定の出力上限値と所定の出力下限値とで定まる所定の範囲内に収まるように出力することができる。

制御装置２Ｆは、自動制御部２０と、安全検証部３０Ｆと、制限値選択回路４０Ｆとを含む。

安全検証部３０Ｆは、現在の所定の入力４および現在の自動制御出力２１が入力されると、それらに対応する制御出力上限および制御出力下限を出力する。安全検証部３０Ｆは、前記実施例と同様に、過去の値からの状態遷移にも着目することができる。すなわち、安全検証部３０Ｆには、現在の入力４および現在の自動制御出力２１に加えて、１サンプル前（Ｚ^−１）の過去の入力４および過去の自動制御出力２１も入力される。安全検証部３０Ｆは、それら現在および過去の情報に対応する制御出力上限および制御出力下限を出力する。

制限値選択回路４０Ｆは、入力された自動制御出力２１が制御出力上限と制御出力下限の間にある場合は、その自動制御出力２１を安全制限出力５０として出力する。制限値選択回路４０Ｆは、入力された自動制御出力２１が制御出力上限を上回る場合は、自動制御出力２１を制御出力上限に制限した値を安全制限出力５０として出力する。制限値選択回路４０Ｆは、入力された自動制御出力２１が制御出力下限を下回る場合は、自動制御出力２１を制御出力下限に制限した値を安全制限出力５０として出力する。

さらに、制限値選択回路４０Ｆは、安全検証結果をステータス５１として出力することもできる。安全検証結果のステータスは、例えば、「ＯＫ」「ＯＫ ｗ／ｌｉｍｉｔ」「ＮＧ」の複数段階に分けられている。

「ＯＫ」とは、自動制御出力２１が制御出力下限と制御出力上限の範囲内にある場合である。「ＯＫ ｗ／ｌｉｍｉｔ」とは、自動制御出力２１が制御出力下限と制御出力上限との範囲の外に存在するが、制御出力下限と制御出力上限との間の値に補正しうる場合である。つまり、自動制御出力２１を制御出力下限と制御出力上限との範囲内に補正可能な場合である。「ＮＧ」とは、自動制御出力２１が制御出力下限と制御出力上限との範囲内に存在せず、制御出力下限と制御出力上限の間の範囲の値を取ることのできない場合（制御出力下限＜制御出力上限が成り立たない場合）である。

図２９は、本実施例における安全検証部３０Ｆの動作を示す。図２７で述べたと同様に、安全検証部３０ＦはＣＡＭと等価に構成することができる。安全検証部３０Ｆは、現在の所定の入力４と、遷移チェック付の場合には過去の所定の入力４および過去の自動制御出力２１との組み合わせが入力されると、それらに対応した制御出力上限および制御出力下限を出力する。

このように構成される本実施例も第１５実施例と同様の作用効果を奏する。さらに本実施例では、安全検証部３０Ｆが制限出力下限および制限出力上限を出力し、制限値選択回路４０Ｆは制限出力下限と制限出力上限との範囲内に収まるように自動制御出力２１を安全制限出力５０として出力する。さらに、本実施例の安全検証部３０Ｆは、安全検証結果のステータスを「ＯＫ」「ＯＫ ｗ／ｌｉｍｉｔ」「ＮＧ」の複数段階で出力することができる。したがって、本実施例によれば、より柔軟かつ安全に、自動制御出力２１を用いて安全制限出力５０を得ることができる。

図３０を用いて第１７実施例を説明する。図３０は、本実施例の制御システムのブロック図である。本実施例の制御システムは、ユーザの手動制御（安全検証下でのオーバーライド）を実現するための制御装置２Ｆ−ＯＲに加えて、自動制御用の制御装置２Ｆ−１〜２Ｆ−ｎを冗長に備えている。

出力選択部２００には、各制御装置２Ｆ−１〜２Ｆ−ｎ，２Ｆ−ＯＲの制限値選択回路４０−１〜４０−ｎ，４０−ＯＲからの各ステータスと、各安全制限出力５０−１〜５０−ｎ，５０−ＯＲと、安全検証部による制限を受けないオーバーライドの操作量情報１２と、優先度情報１３とが入力される。出力選択部２００は、各安全制限出力５０−１〜５０−ｎ，５０−ＯＲと、操作量情報１２の中からいずれか１つを選択し、制御出力６０として出力する。

ここで、自動制御用に冗長化された制御装置２Ｆ−１〜２Ｆ−ｎは、それぞれ異なる所定の制御で自動制御出力を生成するようになっている、つまり、制御装置２Ｆ−１〜２Ｆ−ｎが持つ自動制御部２０−１〜２０−ｎは、所定の入力４をそれぞれ異なる制御方法にしたがって処理することにより、自動制御出力２１−１〜２１−ｎを生成する。異なる所定の制御には、例えば、機械学習制御とフィードバック制御とを含めてもよい。同じアルゴリズムを使用する場合であっても、パラメータを変えることで、異なる制御方法とすることができる。本実施例では、選択される優先度が最も低い自動制御部２１−ｎにＰＩＤ制御（Proportional-Integral-Differential Controller）などのフィードバック制御を用い、それ以外の自動制御用の自動制御部２１−１〜２１−ｎ−１（図示せず）には機械学習制御を用いる。

図３１，図３２を用いて、出力選択部２００による出力選択方法の例を説明する。図３２は、出力選択方法の第１例を示す。図３３は、出力選択方法の第２例を示す。いずれの方法を採用してもよい。周囲環境に応じて出力選択方法を切り替えてもよい。

図３１，図３２は、例えば、ケース番号欄、オーバーライド操作量情報欄、自動制御出力欄、制御出力欄を備える。オーバーライド操作量情報欄には、優先度情報１３と安全検証結果とが設定されている。自動制御出力欄には、自動制御出力２１−１，２１−２，２１−ｎそれぞれの安全検証結果が設定されている。制御出力欄には、制御出力６０として出力される自動制御出力２１−１，２１−２，２１−ｎのいずれか、または操作量情報が設定されている。図３１，図３２では、３つの自動制御出力２１−１，２１−２，２１−ｎを示すが、図３０では、２つの自動制御出力２１−１，２１−ｎのみを示す。また、以下の説明では、複数の自動制御部を自動制御部２０−１〜２０−ｎと、複数の自動制御出力を自動制御出力２１−１〜２１−ｎと表記する場合がある。図３１，図３２では、制御出力６０として使用される自動制御出力２１または操作量１２について、幾つかのケースを例示的に列挙して説明する。

ケース番号＃１〜＃９までは、優先度情報１３の値が「０」の場合、つまり、自動制御出力２１−１，２１−２，２１−ｎのいずれかが安全検証部３０による制限下で、制御出力６０となるモードを示す。ケース番号＃１０，＃１１は、安全検証部３０Ｆ−１〜３０Ｆ−ｎの制限下でオーバーライドを許可するモードである。ケース番号＃１２は、安全検証部による制限を受けずにオーバーライドを許可するモードである。

上述の通り、自動制御用の各自動制御出力２１−１〜２１−ｎには、ハイフンに続く番号が小さい順に高い優先度が設定されている。自動制御出力２１−１が最も高い優先度を有し、自動制御出力２１−２は次に高い優先度を有し、自動制御出力２１−ｎは最も低い優先度を有する。この優先度は「選択優先度」に該当する。

図３１，図３２において「＊」は、値が決められていないことを示す。図３１，図３２では、最も優先度の高い自動制御出力が１つ選択される。したがって、最も優先度の高い自動制御出力２１−１の安全検証結果が「ＯＫ」の場合、他の自動制御出力２１−２〜２１−ｎの安全検証結果の内容を問わずに、自動制御出力２１−１が選択される（ケース＃１）。自動制御出力２１−１の安全検証結果が「ＮＧ」の場合、次に優先度の高い自動制御出力２１−２の安全検証結果が「ＯＫ」であるならば、他の自動制御出力２１−２〜２１−ｎの安全検証結果の内容を問わずに、自動制御出力２１−２が選択される（ケース＃２）。以下同様に選択される。最も優先度の低い自動制御出力２１−ｎの安全検証結果のみが「ＯＫ」を示す場合、その自動制御出力２１−ｎが選択される（ケース＃３）。

自動制御出力２１−１〜２１−ｎの各安全検証結果が条件付きの安全性を示す「ＯＫ ｗ／ｌｉｍｉｔ」である場合、最も優先度の高い自動制御出力２１−１が出力制限付きで選択される（ケース＃４）。最も優先度の高い自動制御出力２１−１の安全検証結果のみが「ＯＫ ｗ／ｌｉｍｉｔ」を示し、他の自動制御出力２１−２〜２１−ｎの安全検証結果がいずれも「ＮＧ」の場合、自動制御出力２１−１が出力制限付きで選択される（ケース＃５）。

最も優先度の高い自動制御出力２１−１の安全検証結果が「ＮＧ」で、他の自動制御出力２１−２〜２１−ｎの安全検証結果がいずれも「ＯＫ ｗ／ｌｉｍｉｔ」の場合、「ＯＫ ｗ／ｌｉｍｉｔ」を示す自動制御出力２１−２〜２１−ｎのうち最も優先度の高い自動制御出力２１−２が出力制限付きで選択される（ケース＃６）。２番目に優先度の高い自動制御出力２１−２の安全検証結果のみが「ＯＫ ｗ／ｌｉｍｉｔ」を示し、他の自動制御出力の安全検証結果が全て「ＮＧ」である場合、自動制御出力２１−２が出力制限付きで選択される（ケース＃７）。

最も優先度の低い自動制御出力２１−ｎの安全検証結果のみが「ＯＫ ｗ／ｌｉｍｉｔ」を示し、他の自動制御出力の安全検証結果が全て「ＮＧ」の場合、自動制御出力２１−ｎが選択される（ケース＃８）。自動制御用に用意された全ての自動制御出力２１−１〜２１−ｎの安全検証結果がいずれも「ＮＧ」の場合、制御出力６０として使用可能な自動制御出力が一つも存在しないため、出力を停止させる（ケース＃９）。

優先度情報１３が「１」以上かつ「２」未満であって、その安全検証結果が「ＯＫ」である場合、操作量情報１２を用いて制御出力６０が生成される（ケース＃１０）。優先度情報１３が「１」以上かつ「２」未満であって、安全検証結果が「ＯＫ ｗ／ｌｉｍｉｔ」である場合、出力制限付きで操作量情報１２を用いることで、制御出力６０が生成される（ケース＃１１）。

優先度情報１３が「２」以上の場合、操作量情報１２が制御出力６０として使用される（ケース＃１２）。

図３２の例では、安全検証結果が「ＯＫ ｗ／ｌｉｍｉｔ」である自動制御出力は選択せずに、出力を停止させる（ケース＃４〜＃９。

以上、自動制御部２０−１〜２０−ｎのそれぞれに単一の安全検証部３０−１〜３０−ｎを設ける例を説明した。これに代えて、第３実施例で述べたように、自動制御部２０−１〜２０−ｎのそれぞれについて複数の安全検証部３０を設けてもよい。

一つの自動制御部２０に多重化した安全検証部３０を設ける場合、いずれか一つの安全検証部３０で「ＮＧ」と判定された場合、出力を停止することができる。または、フォルスネガティブ（正常なのに異常（危険）と誤判断してしまう事象）の確率が低い安全検証部３０で「ＯＫ」または「ＯＫ ｗｉｔｈ／ｌｉｍｉｔ」と判定されているならば、たとえフォルスネガティブの確率が高い安全検証部３０で「ＮＧ」と判定されている場合であっても、フォルスネガティブの確率が低い安全検証部３０での結果に基づいて、制御出力６０を出力することもできる。

図３３は、図３０に示すシステムの物理的実装の例である。図３０に示すシステム構成のままでは、出力選択部２００を一つだけ備えるため、出力選択部２００が単一故障点（single point Of failure）となる。したがって、出力選択部２００が故障すると、システム全体の故障につながる。つまり、図３３のシステム構成例では、出力選択部２００がシステム高信頼化のボトルネックとなる。

そこで、図３３に示す例では、制御出力６０に従って動作するエッジ側の制御機能ごとに出力選択部２００を設け、それぞれのエッジ側の制御機能と出力選択部２００とを個別の制御装置に実装している。例えば、図２０で述べた第１３実施例を例にすれば、ステアリング制御部８０と出力選択部２００（１）をステアリング制御ＥＣＵ８３として実装する。同様に、パワートレイン制御部９０と出力選択部２００（２）とをパワートレイン制御ＥＣＵ９３として実装する。

図３３では、ステアリング制御ＥＣＵ８３とパワートレイン制御ＥＣＵ９３とを一つずつ示すが、これに代えて、各ＥＣＵ８３，９３をそれぞれ複数設けて、システムに冗長性を持たせてもよい。また、図３３の構成例は、ブレーキ制御ＥＣＵなどの他のＥＣＵにも適用することができる。

このように構成される本実施例も第１６実施例と同様の作用効果を奏する。本実施例では、車両の自動運転システムに好適に用いることができる。

図３４〜図３９を用いて第１８実施例を説明する。本実施例では、本発明を多変数制御に適用した場合を説明する。上述の各実施例では、１変数制御について述べたが、実際のシステムは複数の変数を同時に制御する。そこで、本実施例では、多変数制御の例として２変数制御に本発明を適用する場合を説明する。なお、変数が３以上の場合においても同様に適用可能である。

図３４は、本実施例に係る制御装置２Ｇの構成例を示す。制御装置２Ｇの自動制御部２０は、α，βの２変数を出力する。自動制御部２０には、各変数α，βに対応する安全検証部３０Ｆ−α，３０Ｆ−βおよび制限値選択回路４０α，４０βがそれぞれ設けられている。

安全検証部３０Ｆ−αには、所定の入力４と自動制御出力２１のβ成分とが入力され、それらに対応するα成分の制御出力上限および制御出力下限が出力される。同様に、安全検証部３０Ｆ−βには、所定の入力４と自動制御出力２１のα成分とが入力され、、それらに対応するβ成分の制御出力上限および制御出力下限が出力される。

図３５は、安全検証部３０Ｆ−α，３０Ｆ−βの動作例を示す。安全検証部３０Ｆ−αは、所定の入力４と自動制御出力２１のβ成分との組み合わせをエントリーとして、それらに対応したα成分の制御出力上限と制御出力下限とを出力する。安全検証部３０Ｆ−βは、所定の入力４と自動制御出力２１のα成分との組み合わせをエントリーとして、それらに対応したβ成分の制御出力上限と制御出力下限とを出力する。

図３６，図３７は、自動制御出力２１（αｉ、βｉ）を制限する例である。図３６の縦軸はβ成分の値を示し、図３６の横軸はα成分の値を示す。Ｐ１〜Ｐ５は、α成分とβ成分を持つ自動制御出力２１の値の例である。太線で示す範囲ＮＲは、自動制御出力２１が制限出力上限と制限出力下限との間に位置する正常な範囲（正常域）を示す。図３７は、自動制御出力２１の例と安全制御出力６０との関係を示す表である。

例Ｐ１では、α成分およびβ成分のいずれもが、制御出力上限および制御出力下限の範囲内にある場合である。したがって、例Ｐ１の場合、自動制御出力２１は安全検証部３０の制限を受けずに、安全制限出力５０として出力される。

例Ｐ２は、正常域ＮＲから外れているが、α= αｉにおいて、β成分に制限解がある場合を示す。この例Ｐ２では、自動制御出力２１のβ成分の値を制限することで、安全制限出力５０として出力する。

例Ｐ３は、正常域ＮＲから外れているが、β= βｉにおいて、α成分に制限解がある場合を示す。この例Ｐ３では、α成分の値を制限することで、安全制限出力５０として出力する。

例Ｐ４は、α成分およびβ成分ともに制限解がある場合を示す。この例Ｐ４では、β成分の値を制限する場合（Ｐ４ａ）、α成分の値を制限する場合（Ｐ４ｂ）、α成分およびβ成分の両方を制限する場合（Ｐ４ｃ）の３パターンがある。

例Ｐ４ａでは、β成分の値を制限して、安全制限出力５０として出力する。例Ｐ４ｂでは、α成分の値を制限して、安全制限出力５０として出力する。例Ｐ４ｃでは、α成分およびβ成分ともに値を制限して、安全制限出力５０として出力する。

例Ｐ５は、α成分およびβ成分のいずれも制限解がない場合を示す。この例Ｐ５では、出力を停止させる、あるいは、正常域ＮＲの重心Ｃ方向へ修正した点のα成分およびβ成分を安全制限出力５０として出力する（Ｐ５ａ）、あるいは、正常域ＮＲへの最短距離へ修正した点のα成分およびβ成分を安全制限出力５０として出力する（Ｐ５ｂ）、のいずれかが考えられる。

例Ｐ４の場合、例Ｐ４ａ〜Ｐ４ｃのいずれの方法を選ぶかは、α成分，β成分のどちらの値についての制限を優先させるべきかのポリシに依存し、アプリケーションまたは入力「１」として与えられる状況に依存する。自動運転を例に挙げると、制御目標値として「速度」と「ヨーレート」との２つが考えられる。速度とヨーレートは、遠心力がタイヤのグリップ力を上回らないように制限される。車両の進行方向や横方向に障害物がある場合には、ヨーレートは制限せずに速度を制限する。車両の横方向に障害物がない場合には、エネルギ効率を高めるために（減速によるエネルギ損失を減らすために）、速度よりもヨーレートを制限する。

上述の例Ｐ４ａは、β成分の値の制限を優先させる場合である。上述の例Ｐ４ｂは、α成分の値の制限を優先させる場合である。上述のＰ４ｃは、α成分およびβ成分の両方の値を制限しなければならない場合である。

例Ｐ５は、図３４および図３５で述べた構成で、最も実現の容易な例である。例Ｐ５ａと例Ｐ５ｂについては、図３８，図３９に示すように、入力４と、α出力およびβ出力をエントリとする安全検証部３０Ｈを有する制御装置２Ｈを用いる。

このように構成される本実施例も第１６実施例と同様の作用効果を奏する。さらに本実施例では、多変数制御にも適用することができる。

図４０，図４１を用いて第１９実施例を説明する。本実施例では、安全検証部３０Ｉの制御出力上限および制御出力下限に基づいて、操作インタフェース部１０Ｅに力感フィードバックを施す。図４０は、本実施例に係る制御装置２Ｉと操作インタフェース部１０Ｅとの関係を示す構成図である。図４１は、操作インタフェース部１０Ｅに加わる操作量（物理量）と反力との関係を示すグラフである。

安全検証部３０Ｉの制限出力上限および制限出力下限は、操作インタフェース部１０Ｅに力感フィードバックとして入力される。図４１の縦軸は反力を示し、横軸は操作量（物理量）を示す。図４１に示すように、不感帯ＤＺ（オーバーライドしない操作領域）とオーバーライド領域ＯＲとの境界に相当する操作量（物理量）、制御出力上限に相当する操作量（物理量）、制御出力下限に相当する操作量（物理量）で１１のところで、反力に不連続点を有する。

なお、優先度情報１３は、操作量（物理量）１１が不感帯ＤＺの場合には「０」、オーバーライド領域ＯＲの場合には「１」を出力する。

このように構成される本実施例も第１６実施例と同様の作用効果を奏する。さらに、本実施例によれば、ユーザに不感帯ＤＺとオーバーライド領域ＯＲとの境界に相当する操作量（物理量）１１と、制御出力上限に相当する操作量（物理量）１１と、制御出力下限の境界に相当する操作量（物理量）１１とを、反力の不連続点を通じて認識させることができる。これにより、本実施例によれば、オーバーライドしない操作領域ＤＺとオーバーライドする操作領域ＯＲの区別、制御出力上限の範囲の内外の区別、制御出力下限の範囲の内外の区別をつけることができるため、ユーザはそれらの領域を意識して操作インタフェース部１０Ｅを操作することができる。なお、図４０では、操作インターフェース部１０Ｅを一例としてあげたが、操作インタフェース部１０Ｄ，１０Ｆを用いてもよい。

図４２を用いて第２０実施例を説明する。図４２は、マンマシンインタフェース（表示装置）３００の例を示す。制御システム１は、マンマシンインターフェース３００を通じて、ユーザに制御状況を知らせることができる。

マンマシンインターフェース部３００は、複数の表示ランプ群３１０，３２０を備えている。表示ランプ群３１０では、正常な自動制御部２０−１〜２０−ｎの数を点灯しているランプの数で表す。表示ランプ群３２０は、オーバーライドの優先度を、点灯しているランプの数で表している。

表示ランプ群３１０は、自動制御部２０−１〜２０−ｎについての安全検証結果に応じて点灯色を変えることもできる。例えば、安全検証結果が「ＯＫ」の自動制御部についてはランプを緑色で点灯し、安全検証結果が「ＯＫ ｗ／ｌｉｍｉｔ」の自動制御部についてはランプを黄色で点灯する。安全検証結果が「ＮＧ」の場合、ランプを消灯させる。

第１９実施例に本実施例を適用する場合を説明する。この場合、表示ランプ群３２０を構成するランプの点灯数でオーバーライド時のステータスを表現することができる。例えば、オーバーライドしない操作領域の場合には全てのランプを消灯する（点灯するランプの数＝０個）。制御出力上限内または制御出力下限範囲内でオーバーライドする操作領域の場合には、１個だけランプを点灯させる。制御出力上限の範囲外または制御出力下限範囲外でオーバーライドする操作領域の場合には、２個のランプを点灯させる。

さらに、表示ランプ群３２０は、オーバーライド時のステータスをランプの点灯色で表現することもできる。例えば、オーバーライドしない操作領域の場合には非点灯、制御出力上限内または制御出力下限範囲内でオーバーライドする操作領域の場合は緑色で点灯、制御出力上限範囲外または制御出力下限範囲外でオーバーライドする操作領域の場合には黄色で点灯させてもよい。

このように構成される本実施例も第１６実施例と同様の作用効果を奏する。さらに本実施例によれば、制御システム１の状況をマンマシンインターフェース３００を通じて、ユーザに的確かつ速やかに知らせることができる。これにより、ユーザは、故障発生などの異常事態に対して適切な処置をいち早くとることが可能となり、使い勝手および信頼性が向上する。

なお、本発明は、上述した実施例に限定されない。当業者であれば、本発明の範囲内で、種々の追加や変更等を行うことができる。例えば、各実施例を適宜組み合わせることができる。さらに特許請求の範囲に記載した構成は、明示した組合せ以外に組み合わせることもできる。

上述の実施形態は、例えば以下のように表現することもできる。以下の各表現は、特許請求の範囲に記載された特徴に対して任意に組み合わせることができる。

表現１．前記操作インタフェース部は、少なくとも１つ以上の閾値を有し、前記操作量の継続時間が所定の第１の閾値を越える場合には、前記優先度情報を第１の値とし、前記操作量の継続時間が第２の閾値を越える場合には、前記優先度情報を第２の値とする制御システム。

表現２．前記操作インタフェース部は、操作レバーの可動方向のうち第１方向へ入力された操作量を前記操作量情報に変換し、前記可動方向のうち第１方向と異なる第２方向へ入力された操作量を前記優先度情報に変換する制御システム。

表現３．前記操作インタフェース部は、圧力センサを有し、前記圧力センサに入力された圧力を前記優先度情報に変換する制御システム。

表現４．前記操作インタフェース部は、押しボタンを有し、前記押しボタンに加えられた押下量を前記優先度情報に変換する制御システム。

表現５．自動制御出力を生成する自動制御部と、前記自動制御出力の安全性を確認する安全検証部とを有し、前記安全検証部により安全性が確認された場合には、制御出力を出力し、前記安全検証部による安全性が確認されない場合には、制御出力を停止させるか、または安全性が確認された範囲で出力する制御システムであって、前記安全検証部が安全性を確認した範囲で、前記自動制御出力に対する人為的介入操作を許可する、制御システム。

表現６．表現５に記載の制御システムであって、自動制御出力に基づいて動作する第１の動作モードと、前記安全検証部により安全性が確認された範囲で人為的介入操作を許可する第２の動作モードと、前記安全検証部による安全性の確認の有無によらずに前記人為的介入操作を許可する第３の動作モードとを有し、前記第１〜第３の動作モードを切り替えることができる制御システム。

表現７．前記操作インタフェース部は、操舵力センサ、舵角センサ、アクセルペダル角度センサ、ブレーキペダル角度センサのうち少なくともいずれか一つとして構成される、制御システム。

表現８．前記操作インタフェース部は、ユーザの生体情報および／または表情情報に基づいて、前記優先度情報を生成する制御システム。

１：制御システム、２，２Ａ，２Ｂ，２Ｃ，２Ｄ，２Ｅ，２Ｆ，２Ｇ，２Ｈ，２Ｉ：制御装置、３，３Ａ，３Ｂ：出力制御部、４：入力、１０，１０Ａ，１０Ｂ，１０Ｃ，１０Ｄ，１０Ｅ，１０Ｆ，１０Ｇ，１０Ｈ，１０Ｊ：操作インタフェース部、１１：操作量（物理量）、１２，１２Ａ，１２Ｂ，１２Ｃ：操作量情報、１３：優先度情報、２０：自動制御部、２１：自動制御出力、３０，３０Ｅ，３０Ｆ，３０Ｈ，３０Ｉ：安全検証部、４０：ＡＮＤゲート（または最小値選択回路）、４０Ｆ：制限値選択回路、５０：安全制限出力、５１：ステータス、６０：制御出力、２００：出力選択部

Claims (10)

1. 制御出力を生成する制御システムであって、
   物理量である操作量に基づいて操作量情報および優先度情報を生成する操作インタフェース部と、
   所定の入力に基づいて自動制御出力を生成する複数の自動制御部と、
   前記各自動制御出力の安全性をそれぞれ確認する安全検証部と、
   前記各自動制御出力と、前記操作量情報および前記優先度情報と、前記各安全検証部による安全性の確認結果とに基づいて、前記各自動制御出力の中から選択される所定の自動制御出力または前記操作量情報のいずれかに従う制御出力を出力する出力制御部と、
   を備え、
   前記出力制御部は、前記優先度情報に基づいて、
   前記各自動制御出力のうち前記各安全検証部により前記安全性が確認された自動制御出力の中から最も選択優先度の高い自動制御出力を前記所定の自動制御出力として選択し、前記選択した所定の自動制御出力に従って前記制御出力を生成する、
   前記各安全検証部のうち前記所定の自動制御出力の安全性を確認する所定の安全検証部が安全性を確認する限りにおいて、前記操作量情報に従って前記制御出力を生成する、または、
   前記各安全検証部による安全性の確認結果にかかわらず前記操作量情報に従って前記制御出力を生成する、
   制御システム。
2. 前記出力制御部は、前記各自動制御出力の全てについて前記安全検証部による前記安全性が確認されない場合、前記各自動制御出力のうち前記各安全検証部が予め設定された所定の範囲内で安全性を確認する自動制御出力の中から最も選択優先度の高い自動制御出力を前記所定の自動制御出力として選択し、前記選択した所定の自動制御出力を前記所定の範囲内で用いることで前記制御出力を生成する、
   請求項１に記載の制御システム。
3. 前記出力制御部は、前記各自動制御出力の全てについて前記安全検証部による前記安全性が確認されない場合、前記制御出力を停止させる、
   請求項１に記載の制御システム。
4. 前記各安全検証部は、安全性あり、所定の範囲内で安全性あり、安全性なしの複数段階で安全性を確認することができる、
   請求項１に記載の制御システム。
5. 前記各安全検証部は、前記所定の入力と、過去の所定の入力と、過去の自動制御出力とに基づいて、前記各自動制御出力の安全性をそれぞれ確認する、
   請求項１に記載の制御システム。
6. 前記各安全検証部は、前記各自動制御出力が複数の変数毎の自動制御出力を含む場合、前記複数の変数に含まれる第１変数の自動制御出力の安全性を、前記複数の変数に含まれる第２変数であって前記第１変数に関連する第２変数の自動制御出力と前記所定の入力とに基づいて確認する、
   請求項１に記載の制御システム。
7. 前記各自動制御部は、前記所定の入力をそれぞれ異なる所定の制御で処理することにより、前記自動制御出力を生成するものであり、
   前記所定の制御には、機械学習制御と、フィードバック制御とが含まれており、
   前記機械学習制御の選択優先度は前記フィードバック制御の選択優先度よりも高く設定されている、
   請求項１に記載の制御システム。
8. 前記出力制御部は、
   前記優先度情報に基づいて分類される第１の場合に、前記所定の自動制御出力に従って前記制御出力を生成し、
   前記優先度情報に基づいて分類される第２の場合に、前記安全検証部が安全性を確認する限りにおいて、前記操作量情報に従って前記制御出力を生成し、
   前記優先度情報に基づいて分類される第３の場合に、前記安全検証部による安全性の確認結果にかかわらず前記操作量情報に従って前記制御出力を生成する、
   請求項１に記載の制御システム。
9. 前記第１の場合とは、前記優先度情報が所定の第１の値に満たない場合であり、
   前記第２の場合とは、前記優先度情報が前記所定の第１の値以上であって、かつ前記所定の第１の値よりも大きく設定された所定の第２の値未満の場合であり、
   前記第３の場合とは、前記優先度情報が前記所定の第２の値以上の場合である、
   請求項８に記載の制御システム。
10. 制御出力を生成する制御方法であって、
    物理量である操作量から操作量情報および優先度情報を生成し、
    所定の入力を各自動制御部へ入力することにより、前記各自動制御部で自動制御出力をそれぞれ生成し、
    前記各自動制御出力の安全性を前記各自動制御部に対応付けられた安全検証部によりそれぞれ確認し、
    前記各自動制御出力と、前記操作量情報および前記優先度情報と、前記各安全性の確認結果とに基づいて、前記各自動制御出力の中から選択される所定の自動制御出力または前記操作量情報のいずれかに従う制御出力を出力する出力制御部と、
    を備え、
    前記出力制御部は、前記優先度情報に基づいて、
    前記各自動制御出力のうち前記各安全検証部により前記安全性が確認された自動制御出力の中から最も選択優先度の高い自動制御出力を所定の自動制御出力として選択し、前記選択した所定の自動制御出力と前記操作量情報とに従って前記制御出力を生成する、または、前記各安全検証部のうち前記所定の自動制御出力の安全性を確認する所定の安全検証部が安全性を確認する限りにおいて、前記操作量情報に従って前記制御出力を生成する、または、前記各安全検証部による安全性の確認結果にかかわらず前記操作量情報に従って前記制御出力を生成する、
    制御方法。

Images