JP7428272B2

JP7428272B2 - 処理方法、処理システム、処理プログラム、処理装置

Info

Publication number: JP7428272B2
Application number: JP2022576582A
Authority: JP
Inventors: 厚志馬場; 徹也東道
Original assignee: Denso Corp
Current assignee: Denso Corp
Priority date: 2021-01-22
Filing date: 2021-12-28
Publication date: 2024-02-06
Anticipated expiration: 2041-12-28
Also published as: US20230356714A1; JPWO2022158272A1; WO2022158272A1; DE112021006871T5; CN116783106A

Description

関連出願の相互参照

この出願は、２０２１年１月２２日に日本に出願された特許出願第２０２１－９０３３号を基礎としており、基礎の出願の内容を、全体的に、参照により援用している。

本開示は、ホスト移動体の運転制御に関する処理を遂行するための、処理技術に関する。

特許文献１に開示される技術は、ホスト車両のナビゲーション動作に関する運転制御を、ホスト車両の内外環境に関する検知情報に応じて計画している。そこで、運転ポリシに従う安全モデルと検知情報とに基づき潜在的な事故責任があると判断される場合には、運転制御に対して制約が与えられている。

特許第６７０８７９３号公報

しかし、特許文献１に開示される技術において運転制御の精度を確保することは、困難な場合が想定される。

本開示の課題は、運転制御の精度を確保する処理方法を、提供することにある。本開示のまた別の課題は、運転制御の精度を確保する処理システムを、提供することにある。本開示のさらに別の課題は、運転制御の精度を確保する処理プログラムを、提供することにある。本開示のさらにまた別の課題は、運転制御の精度を確保する処理装置を、提供することにある。

以下、課題を解決するための本開示の技術的手段について、説明する。

本開示の第一態様は、
ホスト移動体の運転制御に関する処理を遂行するために、プロセッサにより実行される処理方法であって、
ホスト移動体の内外環境を検知することにより生成される検知情報の障害を監視することと、
障害が発生したと判定される場合に、車両レベルで許容される制御行動を定義する戦略及び規則である運転ポリシに従うモデルであって、意図された機能の安全性を、数理モデルに従った処理を実行するコンピュータプログラムの形態で構築した安全モデルが生成した制御指令に基づくことにより、検知情報に応じた運転制御における制約を設定することとを、含む。

本開示の第二態様は、
プロセッサを含み、ホスト移動体の運転制御に関する処理を遂行する処理システムであって、
プロセッサは、
ホスト移動体の内外環境を検知することにより生成される検知情報の障害を監視することと、
障害が発生したと判定される場合に、車両レベルで許容される制御行動を定義する戦略及び規則である運転ポリシに従うモデルであって、意図された機能の安全性を、数理モデルに従った処理を実行するコンピュータプログラムの形態で構築した安全モデルが生成した制御指令に基づくことにより、検知情報に応じた運転制御における制約を設定することとを、実行するように構成される。

本開示の第三態様は、
記憶媒体に記憶され、ホスト移動体の運転制御に関する処理を遂行するためにプロセッサに実行させる命令を含む処理プログラムであって、
命令は、
ホスト移動体の内外環境を検知することにより生成される検知情報の障害を監視させることと、
障害が発生したと判定される場合に、車両レベルで許容される制御行動を定義する戦略及び規則である運転ポリシに従うモデルであって、意図された機能の安全性を、数理モデルに従った処理を実行するコンピュータプログラムの形態で構築した安全モデルが生成した制御指令に基づくことにより、検知情報に応じた運転制御における制約を設定させることとを、含む。

本開示の第四態様は、
プロセッサ（１２）を含み、ホスト移動体（２）に搭載可能に構成され、ホスト移動体の運転制御に関する処理を遂行する処理装置であって、
プロセッサは、
ホスト移動体の内外環境を検知することにより生成される検知情報の障害を監視することと、
障害が発生したと判定される場合に、車両レベルで許容される制御行動を定義する戦略及び規則である運転ポリシに従うモデルであって、意図された機能の安全性を、数理モデルに従った処理を実行するコンピュータプログラムの形態で構築した安全モデルが生成した制御指令に基づくことにより、検知情報に応じた運転制御における制約を設定することとを、実行するように構成される。

これら第一～第四態様によると、監視される検知情報の障害が発生したと判定される場合には、車両レベルで許容される制御行動を定義する戦略及び規則である運転ポリシに従うモデルであって、意図された機能の安全性を、数理モデルに従った処理を実行するコンピュータプログラムの形態で構築した安全モデルが生成した制御指令に基づくことにより、検知情報に応じた運転制御における制約が設定される。これによれば、検知情報の障害が発生したシーンに適正な制約を設定して、運転制御の精度を確保することが可能となる。

本開示における用語の説明を示す説明表である。本開示における用語の説明を示す説明表である。本開示における用語の説明を示す説明表である。本開示における用語の定義を示す説明表である。本開示における用語の定義を示す説明表である。第一実施形態の処理システムを示すブロック図である。第一実施形態の適用されるホスト車両の走行環境を示す模式図である。第一実施形態の処理システムを示すブロック図である。第一実施形態の車線構造におけるセンシングを説明する模式図である。第一実施形態の車線構造におけるセンシングを説明する模式図である。第一実施形態の車線構造におけるセンシングを説明する模式図である。第一実施形態の処理方法を示すフローチャートである。第一実施形態による安全エンベロープの概念を示す模式図である。第一実施形態の制約設定サブルーチンを示すフローチャートである。第一実施形態の安全モデルを説明するグラフである。第一実施形態の安全モデルを説明するグラフである。第一実施形態の車線構造におけるセンシングを説明する模式図である。第一実施形態の車線構造におけるセンシングを説明する模式図である。第一実施形態の車線構造におけるセンシングを説明する模式図である。第二実施形態の車線構造におけるセンシングを説明する模式図である。第二実施形態の車線構造におけるセンシングを説明する模式図である。第二実施形態の処理方法を示すフローチャートである。第二実施形態の制約設定サブルーチンを示すフローチャートである。第三実施形態の処理方法を示すフローチャートである。第四実施形態の仮想環境における安全モデルを説明する模式図である。第四実施形態の仮想環境における安全モデルを説明する模式図である。第四実施形態の安全モデルを説明する模式図である。第四実施形態の安全モデルを説明する模式図である。第四実施形態の安全モデルを説明する模式図である。第四実施形態の処理方法を示すフローチャートである。第四実施形態の制約設定サブルーチンを示すフローチャートである。第四実施形態の安全モデルを説明する模式図である。第四実施形態の安全モデルを説明するグラフである。第四実施形態の安全モデルを説明するグラフである。第四実施形態の安全モデルを説明するグラフである。第四実施形態の安全モデルを説明するグラフである。第五実施形態の処理方法を示すフローチャートである。第六実施形態の処理方法を示すフローチャートである。第六実施形態の制約設定サブルーチンを示すフローチャートである。第七実施形態の処理システムを示すブロック図である。第七実施形態の処理方法を示すフローチャートである。第八実施形態の処理システムを示すブロック図である。第八実施形態の処理システムを示すブロック図である。第八実施形態の処理方法を示すフローチャートである。第九実施形態の処理システムを示すブロック図である。図２０の変形例を示す模式図である。

以下、本開示による複数の実施形態を、図面に基づき説明する。尚、各実施形態において対応する構成要素には同一の符号を付すことにより、重複する説明を省略する場合がある。また、各実施形態において構成の一部分のみを説明している場合、当該構成の他の部分については、先行して説明した他の実施形態の構成を適用することができる。さらに、各実施形態の説明において明示している構成の組み合わせばかりではなく、特に組み合わせに支障が生じなければ、明示していなくても複数の実施形態の構成同士を部分的に組み合わせることができる。

図１～５は、本開示の各実施形態に関連する用語の説明を、示している。但し、用語の定義は、図１～５に示される説明に限定して解釈されるものではなく、本開示の要旨を逸脱しない範囲内において解釈されるものである。

（第一実施形態）
図６に示される第一実施形態の処理システム１は、ホスト移動体の運転制御に関連する処理（以下、運転制御処理と表記）を、遂行する。処理システム１が運転制御処理の対象とするホスト移動体は、図７に示されるホスト車両２である。ホスト車両２の視点において、ホスト車両２は自車両（ego-vehicle）であるともいえる。例えば処理システム１の全てが搭載される場合等にホスト車両２は、当該処理システム１にとっての自車両（ego-vehicle）あるともいえる。

ホスト車両２においては、自動運転が実行される。自動運転は、動的運転タスク（Dynamic Driving Task：以下、ＤＤＴと表記）における乗員の手動介入度に応じて、レベル分けされる。自動運転は、条件付運転自動化、高度運転自動化、又は完全運転自動化といった、作動時のシステムが全てのＤＤＴを実行する自律走行制御により、実現されてもよい。自動運転は、運転支援、又は部分運転自動化といった、乗員としてのドライバが一部若しくは全てのＤＤＴを実行する高度運転支援制御において、実現されてもよい。自動運転は、それら自律走行制御と高度運転支援制御とのいずれか一方、組み合わせ、又は切り替えにより実現されてもよい。

ホスト車両２には、図６，８に示されるセンサ系５、通信系６、地図ＤＢ（Data Base）７、及び情報提示系４が搭載される。センサ系５は、処理システム１により利用可能なセンサデータを、ホスト車両２における外界及び内界の検出により取得する。そのためにセンサ系５は、外界センサ５０及び内界センサ５２を含んで構成される。

外界センサ５０は、ホスト車両２の外界に存在する物標を、検出してもよい。物標検出タイプの外界センサ５０は、例えばカメラ、ＬｉＤＡＲ（Light Detection and Ranging / Laser Imaging Detection and Ranging）、レーザレーダ、ミリ波レーダ、及び超音波ソナー等のうち、少なくとも一種類である。外界センサ５０は、ホスト車両２の外界における大気の状態を、検出してもよい。大気検出タイプの外界センサ５０は、例えば外気温センサ、及び湿度センサ等のうち、少なくとも一種類である。

内界センサ５２は、ホスト車両２の内界において車両運動に関する特定の物理量（以下、運動物理量と表記）を、検出してもよい。物理量検出タイプの内界センサ５２は、例えば速度センサ、加速度センサ、及びジャイロセンサ等のうち、少なくとも一種類である。内界センサ５２は、ホスト車両２の内界における乗員の状態を、検出してもよい。乗員検出タイプの内界センサ５２は、例えばアクチュエータセンサ、ドライバステータスモニタ、生体センサ、着座センサ、及び車内機器センサ等のうち、少なくとも一種類である。ここで特にアクチュエータセンサとしては、ホスト車両２の運動アクチュエータに関する乗員の操作状態を検出する、例えばアクセルセンサ、ブレーキサンサ、及び操舵センサ等のうち、少なくとも一種類が採用される。

通信系６は、処理システム１により利用可能な通信データを、無線通信により取得する。通信系６は、ホスト車両２の外界に存在するＧＮＳＳ（Global Navigation Satellite System）の人工衛星から、測位信号を受信してもよい。測位タイプの通信系６は、例えばＧＮＳＳ受信機等である。通信系６は、ホスト車両２の外界に存在するＶ２Ｘシステムとの間において、通信信号を送受信してもよい。Ｖ２Ｘタイプの通信系６は、例えばＤＳＲＣ（Dedicated Short Range Communications）通信機、及びセルラＶ２Ｘ（C-V2X）通信機等のうち、少なくとも一種類である。通信系６は、ホスト車両２の内界に存在する端末との間において、通信信号を送受信してもよい。端末通信タイプの通信系６は、例えばブルートゥース（Bluetooth：登録商標）機器、Ｗｉ－Ｆｉ（登録商標）機器、及び赤外線通信機器等のうち、少なくとも一種類である。

地図ＤＢ７は、処理システム１により利用可能な地図データを、記憶する。地図ＤＢ７は、例えば半導体メモリ、磁気媒体、及び光学媒体等のうち、少なくとも一種類の非遷移的実体的記憶媒体（non-transitory tangible storage medium）を含んで構成される。地図ＤＢ７は、自己位置を含んだホスト車両２の自己状態量を推定するロケータのＤＢであってもよい。地図ＤＢは、ホスト車両２の走行経路をナビゲートするナビゲーションユニットの、ＤＢであってもよい。地図ＤＢ７は、複数種類のＤＢの組み合わせにより、構築されてもよい。

地図ＤＢ７は、例えばＶ２Ｘタイプの通信系６を介した外部センタとの通信等により、最新の地図データを取得して記憶する。地図データは、ホスト車両２の走行環境を表すデータとして、二次元又は三次元にデータ化されている。三次元の地図データとしては、高精度地図のデジタルデータが採用されてもよい。地図データは、例えば道路構造の位置座標、形状、及び路面状態等のうち、少なくとも一種類を表した道路データを含んでいてもよい。地図データは、例えば道路に付属する道路標識、道路表示、及び区画線の、位置座標並びに形状等のうち、少なくとも一種類を表した標示データを含んでいてもよい。地図データに含まれる標示データは、ランドマークのうち、例えば交通標識、矢印マーキング、車線マーキング、停止線、方向標識、ランドマークビーコン、長方形標識、ビジネス標識、又は道路のラインパターン変化等を表していてもよい。地図データは、例えば道路に面する建造物及び信号機の、位置座標並びに形状等のうち、少なくとも一種類を表した構造物データを含んでいてもよい。地図データに含まれる標示データは、ランドマークのうち、例えば街灯、道路のエッジ、反射板、ポール、又は道路標識の裏側等を表していてもよい。

情報提示系４は、ホスト車両２のドライバを含む乗員へ向けた報知情報を提示する。情報提示系４は、視覚提示ユニット、聴覚提示ユニット、及び皮膚感覚提示ユニットを含んで構成される。視覚提示ユニットは、乗員の視覚を刺激することより、報知情報を提示する。視覚提示ユニットは、例えばＨＵＤ（Head-up Display）、ＭＦＤ（Multi Function Display）、コンビネーションメータ、ナビゲーションユニット、及び発光ユニット等のうち、少なくとも一種類である。聴覚提示ユニットは、乗員の聴覚を刺激することにより、報知情報を提示する。聴覚提示ユニットは、例えばスピーカ、ブザー、及びバイブレーションユニット等のうち、少なくとも一種類である。皮膚感覚提示ユニットは、乗員の皮膚感覚を刺激することにより、報知情報を提示する。皮膚感覚提示ユニットにより刺激される皮膚感覚には、例えば触覚、温度覚、及び風覚等のうち、少なくとも一種類が含まれる。皮膚感覚提示ユニットは、例えばステアリングホイールのバイブレーションユニット、運転席のバイブレーションユニット、ステアリングホイールの反力ユニット、アクセルペダルの反力ユニット、ブレーキペダルの反力ユニット、及び空調ユニット等のうち、少なくとも一種類である。

図６に示されるように処理システム１は、例えばＬＡＮ（Local Area Network）、ワイヤハーネス、内部バス、及び無線通信回線等のうち、少なくとも一種類を介してセンサ系５、通信系６、地図ＤＢ７、及び情報提示系４に接続される。処理システム１は、少なくとも一つの専用コンピュータを含んで構成される。処理システム１を構成する専用コンピュータは、ホスト車両２の運転制御を統合する、統合ＥＣＵ（Electronic Control Unit）であってもよい。処理システム１を構成する専用コンピュータは、ホスト車両２の運転制御におけるＤＤＴを判断する、判断ＥＣＵであってもよい。処理システム１を構成する専用コンピュータは、ホスト車両２の運転制御を監視する、監視ＥＣＵであってもよい。処理システム１を構成する専用コンピュータは、ホスト車両２の運転制御を評価する、評価ＥＣＵであってもよい。

処理システム１を構成する専用コンピュータは、ホスト車両２の走行経路をナビゲートする、ナビゲーションＥＣＵであってもよい。処理システム１を構成する専用コンピュータは、ホスト車両２の自己位置を含む自己状態量を推定する、ロケータＥＣＵであってもよい。処理システム１を構成する専用コンピュータは、ホスト車両２の運動アクチュエータを制御する、アクチュエータＥＣＵであってもよい。処理システム１を構成する専用コンピュータは、ホスト車両２における情報提示を制御する、ＨＣＵ（HMI（Human Machine Interface） Control Unit）であってもよい。処理システム１を構成する専用コンピュータは、例えば通信系６を介して通信可能な外部センタ又はモバイル端末等を構築する、少なくとも一つの外部コンピュータであってもよい。

処理システム１を構成する専用コンピュータは、メモリ１０及びプロセッサ１２を、少なくとも一つずつ有している。メモリ１０は、コンピュータにより読み取り可能なプログラム及びデータ等を非一時的に記憶する、例えば半導体メモリ、磁気媒体、及び光学媒体等のうち、少なくとも一種類の非遷移的実体的記憶媒体（non-transitory tangible storage medium）である。プロセッサ１２は、例えばＣＰＵ（Central Processing Unit）、ＧＰＵ（Graphics Processing Unit）、及びＲＩＳＣ（Reduced Instruction Set Computer）－ＣＰＵ等のうち、少なくとも一種類をコアとして含む。

プロセッサ１２は、ソフトウェアとしてメモリ１０に記憶された処理プログラムに含まれる複数の命令を、実行する。これにより処理システム１は、ホスト車両２の運転制御処理を遂行するための機能ブロックを、複数構築する。このように処理システム１では、ホスト車両２の運転制御処理を遂行するためにメモリ１０に記憶された処理プログラムが複数の命令をプロセッサ１２に実行させることにより、複数の機能ブロックが構築される。処理システム１により構築される複数の機能ブロックには、図８に示されるように検知ブロック１００、計画ブロック１２０、リスク監視ブロック１４０、及び制御ブロック１６０が含まれる。

検知ブロック１００は、センサ系５の外界センサ５０及び内界センサ５２からセンサデータを取得する。検知ブロック１００は、通信系６から通信データを取得する。検知ブロック１００は、地図ＤＢ７から地図データを取得する。検知ブロック１００は、これらの取得データを入力としてフュージョンすることにより、ホスト車両２の内外環境を検知する。内外環境の検知により検知ブロック１００は、後段の計画ブロック１２０とリスク監視ブロック１４０とへ与える検知情報を生成する。このように検知情報の生成に当たって検知ブロック１００は、センサ系５及び通信系６からデータを取得し、取得データの意味を認識又は理解し、ホスト車両２の外界状況及びその中での自己の置かれた状況、並びにホスト車両２の内界状況を含む状況全般を、取得データを統合して把握するといえる。検知ブロック１００は、計画ブロック１２０とリスク監視ブロック１４０とへ実質同一の検知情報を与えてもよい。検知ブロック１００は、計画ブロック１２０とリスク監視ブロック１４０とへ相異なる検知情報を与えてもよい。

検知ブロック１００が生成する検知情報は、ホスト車両２の走行環境においてシーン毎に検知される状態を、記述している。検知ブロック１００は、ホスト車両２の外界における道路ユーザ、障害物、及び構造物を含んだ物体を検知することにより、当該物体の検知情報を生成してもよい。物体の検知情報は、例えば物体までの距離、物体の相対速度、物体の相対加速度、物体の追尾検知による推定状態等のうち、少なくとも一種類を表していてもよい。物体の検知情報はさらに、検知された物体の状態から認識又は特定される種別を、表していてもよい。検知ブロック１００は、ホスト車両２の現在及び将来に走行する走路を検知することにより、当該走路の検知情報を生成してもよい。走路の検知情報は、例えば路面、車線、道路端、及びフリースペース等のうち、少なくとも一種類の状態を表していてもよい。

検知ブロック１００は、ホスト車両２の自己位置を含む自己状態量を推定的に検知するローカリゼーションにより、当該自己状態量の検知情報を生成してもよい。検知ブロック１００は、自己状態量の検知情報と同時に、ホスト車両２の走路に関する地図データの更新情報を生成して、当該更新情報を地図ＤＢ７へフィードバックしてもよい。検知ブロック１００は、ホスト車両２の走路に関連付けられた標示を検知することにより、当該標示の検知情報を生成してもよい。標示の検知情報は、例えば標識、区画線、及び信号機等のうち、少なくとも一種類の状態を表していてもよい。標示の検知情報はさらに、標示の状態から認識又は特定される交通ルールを、表していてもよい。検知ブロック１００は、ホスト車両２の走行するシーン毎の気象状況を検知することにより、当該気象状況の検知情報を生成してもよい。検知ブロック１００は、ホスト車両２の走行シーン毎の時刻を検知することにより、当該時刻の検知情報を生成してもよい。

計画ブロック１２０は、検知ブロック１００から検知情報を取得する。計画ブロック１２０は、取得した検知情報に応じてホスト車両２の運転制御を計画する。運転制御の計画では、ホスト車両２のナビゲーション動作及びドライバの支援動作に関する制御指令が生成される。即ち計画ブロック１２０は、ホスト車両２の運動制御要求として制御指令を生成する、ＤＤＴ機能を実現する。計画ブロック１２０が生成する制御指令は、ホスト車両２の運動アクチュエータを制御するための制御パラメータを、含んでいてもよい。制御指令の出力対象となる運動アクチュエータとしては、例えば内燃機関、電動モータ、及びそれらが組み合わされたパワトレイン、ブレーキ装置、並びに操舵装置等のうち、少なくとも一種類が挙げられる。

計画ブロック１２０は、運転ポリシとその安全性に従って記述された安全モデルを用いることにより、当該運転ポリシと適合するように制御指令を生成してもよい。安全モデルの従う運転ポリシとは、例えば意図された機能の安全性（Safety Of The Intended Functionality：以下、ＳＯＴＩＦと表記）を保証する車両レベル安全戦略を踏まえて、規定される。換言すれば安全モデルは、車両レベル安全戦略の実装となる運転ポリシに従うことにより、且つＳＯＴＩＦをモデリングすることにより、記述される。計画ブロック１２０は、運転制御結果を安全モデルに逆伝播させる機械学習アルゴリズムにより、安全モデルをトレーニングしてもよい。トレーニングされる安全モデルとしては、例えばＤＮＮ（Deep Neural Network）といったニュラーラルネットワークによるディープラーニング、及び強化学習等のうち、少なくとも一種類の学習モデルが用いられてもよい。ここで安全モデルとは、他の道路ユーザの合理的に予見可能な行動についての仮定に基づく運転行動の安全関連側面を表現した、安全関連モデル（safety-related models）そのものに定義されてもよいし、当該安全関連モデルのうち一部を構成するモデルに定義されてもよい。このような安全モデルは、例えば車両レベル安全を定式化した数理モデル、及び当該数理モデルに従った処理を実行するコンピュータプログラム等のうち、少なくとも一種類の形態で構築されているとよい。

計画ブロック１２０は、運転制御によってホスト車両２に将来走行させる経路を、制御指令の生成に先立って計画してもよい。経路計画は、検知情報に基づいてホスト車両２をナビゲートするために、例えばシミュレーション等の演算によって実行されてもよい。即ち計画ブロック１２０は、ホスト車両２の戦術的行動として経路を計画する、ＤＤＴ機能を実現してもよい。計画ブロック１２０はさらに、計画経路を辿るホスト車両２に対して、取得した検知情報に基づく適正な軌道を、制御指令の生成に先立って計画してもよい。即ち計画ブロック１２０は、ホスト車両２の軌道を計画する、ＤＤＴ機能を実現してもよい。計画ブロック１２０が計画する軌道は、ホスト車両２に関する運動物理量として、例えば走行位置、速度、加速度、及びヨーレート等のうち、少なくとも一種類を時系列に規定してもよい。時系列な軌道計画は、ホスト車両２のナビゲートによる将来走行のシナリオを、構築する。計画ブロック１２０は、安全モデルを用いた計画によって軌道を生成してもよい。この場合には、生成された軌道に対してコストを与えるコスト関数が演算されることにより、当該演算結果に基づく機械学習アルゴリズムによって安全モデルがトレーニングされてもよい。

計画ブロック１２０は、ホスト車両２における自動運転レベルの調整を、取得した検知情報に応じて計画してもよい。自動運転レベルの調整には、自動運転と手動運転との間での引き継ぎも含まれていてもよい。自動運転と手動運転との間での引き継ぎは、自動運転を実行する運行設計領域（Operational Design Domain：以下、ＯＤＤと表記）の設定により、当該ＯＤＤに対する進入又は退出に伴うシナリオにおいて実現されてもよい。ＯＤＤからの退出シナリオ、即ち自動運転から手動運転への引き継ぎシナリオでは、例えば安全モデル等に基づき不合理なリスクが存在すると判断される不合理な状況が、ユースケースとして挙げられる。このユースケースにおいて計画ブロック１２０は、フォールバック予備ユーザとなるドライバが最小リスク操作をホスト車両２に与えてホスト車両２を最小リスク状態へ移行させるためのＤＤＴフォールバックを、計画してもよい。

自動運転レベルの調整には、ホスト車両２の縮退走行が含まれてもよい。縮退走行のシナリオでは、手動運転への引き継ぎによっては不合理なリスクが存在すると、例えば安全モデル等に基づき判断される不合理な状況が、ユースケースとして挙げられる。このユースケースにおいて計画ブロック１２０は、自律走行及び自律停止によりホスト車両２を最小リスク状態へ移行させるためのＤＤＴフォールバックを、計画してもよい。ホスト車両２を最小リスク状態へ移行させるためのＤＤＴフォールバックは、自動運転レベルを引き下げる調整において実現されるだけでなく、自動運転レベルを維持して縮退走行させる調整、例えばＭＲＭ（Minimum Risk Maneuver）等において実現されてもよい。ホスト車両２を最小リスク状態へ移行させるためのＤＤＴフォールバックでは、例えば照明、ホーン音、信号、及びジェスチャー等のうち、少なくとも一種類により当該移行状況の目立ち易さが高められてもよい。

リスク監視ブロック１４０は、検知ブロック１００から検知情報を取得する。リスク監視ブロック１４０は、取得した検知情報に基づくことにより、ホスト車両２とその他のターゲット移動体３（図７参照）との間におけるリスクを、シーン毎に監視する。リスク監視ブロック１４０は、ターゲット移動体３に対してホスト車両２のＳＯＴＩＦを保証するように、検知情報に基づくリスク監視を時系列に実行する。リスク監視において想定されるターゲット移動体３は、ホスト車両２の走行環境に存在する他の道路ユーザである。ターゲット移動体３には、例えば自動車、トラック、バイク、及び自転車といった脆弱性のない道路ユーザと、歩行者といった脆弱な道路ユーザとが、含まれる。ターゲット移動体３にはさらに、動物が含まれてもよい。

リスク監視ブロック１４０は、ホスト車両２においてＳＯＴＩＦを保証する、例えば車両レベル安全戦略等を踏まえた安全エンベロープを、取得したシーン毎の検知情報に基づき設定する。リスク監視ブロック１４０は、上述の運転ポリシに従う安全モデルを用いて、ホスト車両２及びターゲット移動体３間における安全エンべーロープを設定してもよい。安全エンベロープの設定に用いられる安全モデルは、不合理なリスク又は道路ユーザの誤用に起因する潜在的な事故責任を、事故責任規則に則って回避するように設計されてもよい。換言すれば安全モデルは、運転ポリシに従う事故責任規則をホスト車両２が遵守するように設計されてもよい。こうした安全モデルとしては、例えば特許文献１に開示されるような責任敏感型安全性モデル（Responsibility Sensitive Safety model）等が、挙げられる。

ここで安全エンベロープとは、許容可能なリスクのレベル内で操作を維持するためにシステムが制約又は制御の対象として動作するように設計されている、一連の制限及び条件として定義されてもよい。このような安全エンベロープは、ホスト車両２及びターゲット移動体３を含んだ各道路ユーザの周囲における物理ベースのマージンとして、例えば距離、速度、及び加速度等のうち少なくとも一種類の運動物理量に関するマージンにより、設定可能である。例えば安全エンベロープの設定では、運転ポリシに従うと仮定したホスト車両２及びターゲット移動体３に対する安全モデルに基づくことにより、少なくとも一種類の運動物理量に関するプロファイルから、安全距離が想定されてもよい。安全距離は、予測されるターゲット移動体３の運動に対して、ホスト車両２の周囲に物理ベースのマージンを確保した境界を、画定する。安全距離は、道路ユーザにより適切な応答が実行されるまでの反応時間を加味して、想定されてもよい。安全距離は、事故責任規則を遵守するように、想定されてもよい。例えば車線等の車線構造が存在するシーンでは、ホスト車両２の縦方向において追突及び正面衝突のリスクを回避する安全距離と、ホスト車両２の横方向において側面衝突のリスクを回避する安全距離とが、演算されてもよい。一方、車線構造が存在しないシーンでは、ホスト車両２の任意方向において軌道の衝突するリスクを回避する安全距離が、演算されてもよい。

リスク監視ブロック１４０は、ホスト車両２及びターゲット移動体３間における相対運動のシーン毎での状況を、上述した安全エンベロープの設定に先立って特定してもよい。例えば車線等の車線構造が存在するシーンでは、縦方向において追突及び正面衝突のリスクが想定される状況と、横方向において側面衝突のリスクが想定される状況とが、特定されてもよい。これら縦方向及び横方向の状況特定では、直線状の車線を前提とする座標系へ、ホスト車両２及びターゲット移動体３に関する状態量が変換されてもよい。一方、車線構造が存在しないシーンでは、ホスト車両２の任意方向において軌道が衝突するリスクの想定される状況が、特定されてもよい。尚、以上の状況特定機能については、検知ブロック１００により少なくとも一部が実行されることにより、状況特定結果が検知情報としてリスク監視ブロック１４０に与えられてもよい。

リスク監視ブロック１４０は、ホスト車両２及びターゲット移動体３間における安全判定を、設定した安全エンベロープと、取得したシーン毎の検知情報とに基づき、実行する。即ちリスク監視ブロック１４０は、ホスト車両２及びターゲット移動体３間において検知情報に基づき解釈される走行シーンには、安全エンベロープの違反があるか否かをテストすることにより、安全判定を実現する。安全エンベロープの設定において安全距離が想定される場合には、ホスト車両２及びターゲット移動体３間の現実距離が当該安全距離超過となることにより、安全エンベロープの違反はないとの判定が下されてもよい。一方、ホスト車両２及びターゲット移動体３間の現実距離が安全距離以下となることにより、安全エンベロープの違反があるとの判定が下されてもよい。

リスク監視ブロック１４０は、安全エンベロープの違反ありとの判定を下した場合に、適切な応答として取るべき適正な行動をホスト車両２へ与えるための合理的なシナリオを、シミュレーションにより演算してもよい。合理的シナリオのシミュレーションでは、ホスト車両２及びターゲット移動体３間での状態遷移が推定されることにより、遷移する状態毎に取るべき行動が、ホスト車両２に対する制約（後に詳述）として設定されてもよい。行動の設定では、ホスト車両２へ与える少なくとも一種類の運動物理量を、ホスト車両２に対する制約として制限するように、当該運動物理量に対して仮定される制限値が演算されてもよい。

リスク監視ブロック１４０は、運転ポリシに従うと仮定したホスト車両２及びターゲット移動体３に対しての安全モデルに基づくことにより、少なくとも一種類の運動物理量に関するプロファイルから、事故責任規則を遵守するための制限値を直接的に演算してもよい。直接的な制限値の演算は、それ自体が安全エンべーロープの設定であって、運転制御に対する制約の設定でもあるといえる。そこで、制限値よりも安全側の現実値が検知される場合、安全エンベロープの違反なしとの判定が下されてもよい。一方、制限値を外れる側の現実値が検知される場合、安全エンベロープの違反ありとの判定が下されてもよい。

リスク監視ブロック１４０は、例えば安全エンベロープの設定に用いられた検知情報、安全エンベロープの判定結果を表す判定情報、当該判定結果を左右した検知情報、及びシミュレートしたシナリオ等のうち、少なくとも一種類のエビデンス情報をメモリ１０に記憶してもよい。エビデンス情報の記憶されるメモリ１０は、処理システム１を構成する専用コンピュータの種類に応じて、ホスト車両２内に搭載されていてもよいし、例えばホスト車両２外の外部センタ等に設置されていてもよい。エビデンス情報は、非暗号化状態で記憶されてもよいし、暗号化又はハッシュ化されて記憶されてもよい。エビデンス情報の記憶は、安全エンベロープの違反はあるとの判定の場合に、少なくとも実行される。勿論、安全エンベロープの違反はないとの判定の場合にも、エビデンス情報の記憶は実行されてもよい。安全エンベロープの違反なしとの判定の場合におけるエビデンス情報は、記憶時点では遅行型指標として利活用可能であり、将来に対しては先行型指標としても利活用可能となる。

制御ブロック１６０は、計画ブロック１２０から制御指令を取得する。制御ブロック１６０は、リスク監視ブロック１４０から安全エンベロープに関する判定情報を取得する。即ち制御ブロック１６０は、ホスト車両２の運動を制御する、ＤＤＴ機能を実現する。制御ブロック１６０は、安全エンベロープの違反なしとの判定情報を取得した場合に、計画されたホスト車両２の運転制御を、制御指令に従って実行する。

これに対して制御ブロック１６０は、安全エンベロープの違反ありとの判定情報を取得した場合に、計画されたホスト車両２の運転制御に対して、判定情報に基づき運転ポリシに従う制約を与える。運転制御に対する制約は、機能的な制約（functional restriction）であってもよい。運転制御に対する制約は、縮退した制約（degraded constraints）であってもよい。運転制御に対する制約は、これらとは別の制約であってもよい。運転制御に対して制約は、制御指令の制限によって与えられる。合理的なシナリオがリスク監視ブロック１４０によりシミュレートされている場合に制御ブロック１６０は、当該シナリオに従って制御指令を制限してもよい。このとき、ホスト車両２の運動物理量に関して制限値が設定されている場合には、制御指令に含まれる運動アクチュエータの制御パラメータが、当該制限値に基づき補正されてもよい。

以下、第一実施形態の詳細を説明する。

図９～１１に示されるように第一実施形態は、車線の区切られた車線構造Ｌｓを、想定する。車線構造Ｌｓは、車線の延伸する方向を縦方向として、ホスト車両２及びターゲット移動体３の運動を規制する。車線構造Ｌｓは、車線の幅方向又は並ぶ方向を横方向として、ホスト車両２及びターゲット移動体３の運動を規制する。

車線構造Ｌｓにおけるホスト車両２及びターゲット移動体３間の運転ポリシは、例えばターゲット移動体３がターゲット車両３ａの場合、次の（Ａ）～（Ｅ）等に規定される。尚、ホスト車両２を基準とする前方とは、例えばホスト車両２の現在舵角における旋回円上の進行方向、ホスト車両２の車軸と直交する車両重心を通る直線の進行方向、又はホスト車両２のセンサ系５のうちフロントカメラモジュールから同カメラのＦＯＥ(Focus of Expansion)の軸線上における進行方向等を、意味する。
（Ａ）車両は、前方を走行している車両に、後方から追突しない。
（Ｂ）車両は、他の車両間に強引な割り込みをしない。
（Ｃ）車両は、自己が優先の場合でも、状況に応じて他の車両と譲り合う。
（Ｄ）車両は、見通しの悪い場所では、慎重に運転する。
（Ｅ）車両は、自責他責に関わらず、自己で事故を防止可能な状況であれば、そのために合理的行動を取る。

運転ポリシに従うモデルであって、ＳＯＴＩＦのモデリングされた安全モデルは、不合理な状況には至らない道路ユーザの行動を、取るべき適正な合理的行動として想定する。車線構造Ｌｓにおけるホスト車両２及びターゲット移動体３間での不合理な状況とは、正面衝突、追突、及び側面衝突である。正面衝突における合理的行動は、例えばホスト車両２に対するターゲット移動体３がターゲット車両３ａの場合、逆走している車両がブレーキを掛けること等を、含む。追突における合理的行動は、例えばホスト車両２に対するターゲット移動体３がターゲット車両３ａの場合、前方を走行している車両が一定以上の急ブレーキを掛けないこと、及びそれを前提として後方を走行している車両が追突を回避すること等を、含む。側面衝突における合理的行動は、例えばホスト車両２に対するターゲット移動体３がターゲット車両３ａの場合、並走する車両同士が互いの離間方向へ操舵すること等を、含む。合理的行動の想定に際してホスト車両２及びターゲット移動体３に関する状態量は、車線がカーブする車線構造Ｌｓと、車線が高低する車線構造Ｌｓとのいずれであっても、直線状且つ平面状の車線構造Ｌｓを仮定して縦方向及び横方向を規定する、直交座標系に変換される。

安全モデルは、合理的行動を取らなかった移動体が事故責任を負うとする、事故責任規則に則って設計されるとよい。車線構造Ｌｓでの事故責任規則下、ホスト車両２及びターゲット移動体３間のリスクを監視するために用いられる安全モデルは、合理的行動によって潜在的な事故責任を回避するように、ホスト車両２に対する安全エンベロープをホスト車両２に対して設定する。そこで、処理システム１の全体が正常な状況でのリスク監視ブロック１４０は、ホスト車両２及びターゲット移動体３間の現実距離に対して、走行シーン毎に安全モデルに基づく安全距離を照らし合わせることにより、安全エンベロープ違反の有無を判定する。正常な状況でのリスク監視ブロック１４０は、安全エンベロープの違反がある場合に、合理的行動をホスト車両２へ与えるためのシナリオを、シミュレーションする。シミュレーションによりリスク監視ブロック１４０は、制御ブロック１６０での運転制御に対する制約として、例えば速度及び加速度等のうち少なくとも一方に関する制限値を、設定する。以下の説明において、正常な状況における違反判定機能及び制約設定機能は、正常時安全機能と表記される。

これに対して、処理システム１が異常な状況として、検知ブロック１００における検知情報の障害が発生した場合、図１２に示されるフローチャートに従って運転制御処理を遂行する処理方法が、各ブロック１００，１２０，１４０，１６０の共同により実行される。本処理方法は、繰り返し実行される。尚、以下の説明において処理方法の各「Ｓ」は、処理プログラムに含まれた複数命令によって実行される複数ステップを、それぞれ意味する。

処理方法のＳ１００において検知ブロック１００は、制御サイクル毎の時系列に検知情報の障害を監視する。第一実施形態における障害は、ホスト車両２に搭載されて検知情報の生成源となるセンサ系５の、センシング異常を含む。センシング異常としては、センサ系５を構成する外界センサ５０の、例えば故障、天候影響を含む外乱、死角を含む検出限界等のうち少なくとも一種類に起因して、検知情報自体が生成不可となる異常、又は検知情報の精度若しくは信頼度が低下する異常が挙げられる。

図９，１０に示されるように第一実施形態の外界センサ５０は、ホスト車両２の縦方向に関して検出範囲Ａｓが設定される単一の縦方向センサ５００を、含む。図１１に示されるように第一実施形態の外界センサ５０は、ホスト車両２の横方向に関して実質同一サイズ且つ相互隣接の検出範囲Ａｓがそれぞれ設定される複数の横方向センサ５０１，５０２も、含む。そこでＳ１００では、縦方向センサ５００及び横方向センサ５０１，５０２のうち、いずれかの検出範囲Ａｓに関してセンシング異常が確認された場合に、検知情報の障害が発生したとの判定を検知ブロック１００が下す。

Ｓ１００において、センシング異常により検知情報の障害が発生したとの判定を検知ブロック１００が下した場合には、処理方法がＳ１０１，Ｓ１０２へ並行して移行する。一方、正常な検知情報に障害は発生していないとの判定を検知ブロック１００が下した場合には、処理方法の今回フローが終了する。尚、Ｓ１００において障害発生の判定が下された場合には、障害発生時の走行シーンに関するシーン情報が、メモリ１０に記憶されてもよい。この場合にシーン情報は、例えば検知情報の障害内容、安全エンベロープの設定範囲、安全エンベロープの違反内容、仮想移動体（後述）の情報、制約の設定結果、縮退の有無、運転制御結果、特定日時起点のタイムスタンプ、及び現在日時等のうち、少なくとも障害内容が記憶、又は少なくとも二種類が互いに紐付けて記憶されてよい。Ｓ１００において障害発生の判定が下された場合には、障害発生時の走行シーンに関するシーン情報が、情報提示系４を通じて乗員に提示されてもよい。この場合にシーン情報は、例えば検知情報の障害内容、安全エンベロープの設定範囲、安全エンベロープの違反内容、仮想移動体（後述）の情報、制約の設定結果、縮退の有無、運転制御結果、特定日時起点のタイムスタンプ、及び現在日時等のうち、少なくとも障害内容が提示、又は少なくとも二種類が互いに紐付けて提示されてよい。Ｓ１００における監視及び判定は、計画ブロック１２０及びリスク監視ブロック１４０の少なくとも一方により、実行されてもよい。

処理方法のＳ１０１において計画ブロック１２０は、ホスト車両２における自動運転レベルの調整として、縮退走行又は手動運転への引き継ぎを実行するための運転制御を、制御サイクル毎の時系列に計画する。安全エンベロープの概念において図１３は、細破線で示される正常時よりも、太破線で示される障害発生時に、制御ブロック１６０に指令される運転制御が縮退されることを、模式的に表している。即ち、Ｓ１０１における計画ブロック１２０は、運転制御の縮退を計画する、ともいえる。尚、Ｓ１０１において計画ブロック１２０は、制御ブロック１６０に指令する運転制御を縮退させないで、ベストエフォートで運転制御を継続するように、計画してもよい。

処理方法のＳ１０２においてリスク監視ブロック１４０は、車線構造Ｌｓの安全モデルに基づくことにより、Ｓ１０１で計画された運転制御に与える制約を、制御サイクル毎の時系列に設定する。障害発生時における制約設定機能は、図１４に示されるサブルーチンに従うことにより、正常時安全機能よりも運転制御への制約を縮退させることとなる。制約設定サブルーチンは、Ｓ１０１による運転制御の縮退開始と同時に開始されてもよい。制約設定サブルーチンは、Ｓ１０１による運転制御の縮退開始から、当該運転制御の所定制御サイクル分を待って開始されてもよい。制約設定サブルーチンは、Ｓ１０１による運転制御の縮退開始よりも、所定制御サイクル分を前倒しして開始されてもよい。

制約設定サブルーチンのＳ１１０におけるリスク監視ブロック１４０は、障害発生前の走行シーンにおいて障害発生対象の検出範囲Ａｓに、ターゲット移動体３が存在していたか否かを、判定する。検出範囲Ａｓにターゲット移動体３が存在していなかったとの判定をリスク監視ブロック１４０が下した場合には、制約設定サブルーチンがＳ１１１へ移行する。一方、検出範囲Ａｓにターゲット移動体３が存在していたとの判定をリスク監視ブロック１４０が下した場合には、制約設定サブルーチンがＳ１１２へ移行する。

制約設定サブルーチンのＳ１１１においてリスク監視ブロック１４０は、図９～１１に示されるように、障害発生対象の検出範囲Ａｓにおいて検出限界の距離にある遠点Ｐｆに、ターゲット移動体３を仮想する。即ち、仮想移動体となるターゲット移動体３の位置が、検出限界距離の遠点Ｐｆに想定される。ここで遠点Ｐｆとは、検出範囲Ａｓにおいて縦方向又は横方向に最長距離となる検出限界距離の位置に、定義される。そこでＳ１１１では、遠点Ｐｆのターゲット移動体３とホスト車両２との間における車線構造Ｌｓの安全モデルに基づくことにより、障害発生対象の検出範囲Ａｓに応じた縦方向又は横方向の速度制限値が、ホスト車両２の運転制御に対する制約として設定される。制約、及びその設定に用いられる安全モデルは、障害の発生シーンに合わせて、例えばモデル切替及びパラメータ調整等のうち、少なくとも一種類により想定される。このとき車線構造Ｌｓに関する安全モデルは、障害発生前の検知情報から認識又は推定される種別のターゲット移動体３に対して、想定される。

縦方向に想定される速度制限値である上限速度ｖ_{ｒ，ｍａｘ}は、図９，１０に示される縦方向センサ５００から遠点Ｐｆまでの検出限界距離ｄ_ｓ内でホスト車両２が安全に停止可能な速度として、次の数１，２により演算される。数１，２は、図１５に示されるように安全モデルに基づき規定される加減速度プロファイルの、関数式を表す。数１，２による演算においてｄ_ｆは、安全モデルに基づく加減速度プロファイルでターゲット移動体３が、縦方向において停止するまでの距離である。ａ_ｒは、ホスト車両２の縦方向における最大加速度である。ｂ_ｒは、ホスト車両２の縦方向における最小減速度である。ａ_ｆは、ターゲット移動体３の縦方向における最大加速度である。ｂ_{ｆ，ｍｉｎ}は、ターゲット移動体３の最小減速度である。ｂ_{ｆ，ｍａｘ}は、ターゲット移動体３の縦方向における最大減速度である。ρは、ホスト車両２及びターゲット移動体３の反応時間である。ｖ_ｆは、ターゲット移動体３の縦方向における速度である。

そこで特に、図１０に示されるように正面衝突のリスクが想定されるシーンの速度ｖ_ｆは、例えば法定速度等に基づいてターゲット移動体３に想定される最大速度に、設定されてもよい。一方、図９に示されるように追突のリスクが想定されるシーン、又は正面衝突でもターゲット移動体３のみが事故責任を負うシーンの速度ｖ_ｆは、零速度（０）に設定されてもよい。ここで正面衝突でもターゲット移動体３のみが事故責任を負うシーンとは、例えば一方通行の車線構造Ｌｓ又は中央分離帯のある車線構造Ｌｓ等における、走行シーンである。さらに、正面衝突及び追突双方のリスクが想定されるシーンでは、正常時安全機能において安全モデルにより想定される安全距離が長くなる正面衝突の場合の最大速度に、速度ｖ_ｆが設定されてもよい。

正面衝突のリスクが想定される場合には、安全エンベロープとして正面衝突のリスクを回避する安全速度が、追突のリスクを回避する安全速度よりも小さくなる。そこで、ターゲット移動体３の縦方向における速度ｖ_ｆは、正面衝突のリスクが想定される場合において最高速度が規制されていない第一シーンでは、例えば道路幅、過去におけるホスト車両２及びターゲット移動体３の走行データ、並びに周囲環境の現速度等のうち、少なくとも一種類に基づき想定される速度に設定されてもよい。このとき想定される速度は、実証実験によって得られたデータを元に初期設定された後、市場環境によって得られたデータを元に更新されてもよい。一方で速度ｖ_ｆは、正面衝突のリスクが想定される場合において最高速度が規制されている第二シーンでは、当該最高速度に設定されてもよい。

例えば自動車専用道路、中央分離帯により分離された道路、又は一方通行道路等において、正面衝突のリスクが想定されない場合には、追突のリスクのみが想定されればよい。そこで、ターゲット移動体３の縦方向における速度ｖ_ｆは、正面衝突のリスクが想定されない場合において最低速度が規制されていない第三シーンでは、零速度（０）に設定されてもよい。一方で速度ｖ_ｆは、正面衝突のリスクが想定されない場合において最低速度が規制されている第四シーンでは、当該最低速度に設定されてもよい。

このようなシーン毎の設定により、安全エンベロープとしての縦方向における安全距離は、第一、第二、第三、及び第四シーンの順で、短くなる。それと共に、ホスト車両２の縦方向における上限速度ｖ_{ｒ，ｍａｘ}は、第一、第二、第三、及び第四シーンの順で、大きくなる。

横方向に想定される速度制限値である上限速度ｖ_{１，ｍａｘ}は、図１１に示される第一横方向センサ５０１又は第二横方向センサ５０２から遠点Ｐｆまでの検出距離ｄ_ｓ内でホスト車両２が安全に停止可能な速度として、次の数３，４により演算される。数３，４は、図１６に示されるように安全モデルに基づき規定される加減速度プロファイルの、関数式を表す。数３，４による演算においてｄ_２は、安全モデルに基づく加減速度プロファイルでターゲット移動体３が、横方向において停止するまでの距離である。ａ_１は、ホスト車両２の横方向における最大加速度である。ｂ_１は、ホスト車両２の横方向における最小減速度である。ａ_２は、ターゲット移動体３の横方向における最大加速度である。ｂ_２は、ターゲット移動体３の横方向における最小減速度である。ρは、ホスト車両２及びターゲット移動体３の反応時間である。ｖ_１は、ホスト車両２の横方向における速度である。ｖ_２は、ターゲット移動体３の横方向における速度である。

そこで特に、側面衝突のリスクが想定されるシーンの速度ｖ_２は、例えば法定速度等に基づいてターゲット移動体３に想定される最大速度に、設定されてもよい。ここでターゲット移動体３の最大速度は、例えば道路幅、過去におけるホスト車両２及びターゲット移動体３の走行データ、並びに周囲環境の現速度等のうち、少なくとも一種類に基づく速度に想定されてもよい。このとき想定される最大速度は、実証実験によって得られたデータを元に初期設定された後、市場環境によって得られたデータを元に更新されてもよい。

安全エンベロープの概念において図１３は、細実線で示される正常時よりも、太実線で示される障害発生時には、縮退された運転制御に与えられる制約も縮退されることを、模式的に表している。そこで、Ｓ１１１においてリスク監視ブロック１４０は、制約となる上限速度ｖ_{ｒ，ｍａｘ}又は上限速度ｖ_{１，ｍａｘ}に基づくことにより、安全エンベロープの違反を判定してもよい。このとき、ホスト車両２が上限速度ｖ_{ｒ，ｍａｘ}超過又は上限速度ｖ_{１，ｍａｘ}超過となる場合には、安全エンベロープの違反があるとの判定が下されてもよい。

制約設定サブルーチンのＳ１１２においてリスク監視ブロック１４０は、図１７～１９に示されるように、障害発生前でのターゲット移動体３の存在位置に基づき推定される推定位置Ｐｐに、ターゲット移動体３を仮想する。即ち、仮想移動体となるターゲット移動体３の位置が、推定位置Ｐｐに想定される。推定位置Ｐｐは、障害発生対象の検出範囲Ａｓ内のうち、障害発生前の走行シーンにおいてターゲット移動体３が存在していた位置に、擬制されてもよい。推定位置Ｐｐは、障害発生対象の検出範囲Ａｓのうち、障害発生前の走行シーンにおいてターゲット移動体３が存在していた位置での速度及び経過時間から、演算されてもよい。推定位置Ｐｐは、それら擬制位置及び演算位置のうち、リスクの高い一方に設定されてもよい。これらのことからＳ１１２では、遠点Ｐｆが推定位置Ｐｐに代わる以外はＳ１１１に準じた車線構造Ｌｓの安全モデルに基づき、ホスト車両２の運転制御に対する制約が設定される。またＳ１１２では、Ｓ１１１に準じて安全エンベロープの違反が判定されてもよい。

図１２に示されるように処理方法は、Ｓ１０１，Ｓ１０２から共通のＳ１０３へ移行する。Ｓ１０３において制御ブロック１６０は、Ｓ１０２の制約設定サブルーチンのうち、Ｓ１１１又はＳ１１２でリスク監視ブロック１４０により設定された制約を、Ｓ１０１で計画された運転制御に与える。制約を受けたホスト車両２の速度は、上限速度ｖ_{ｒ，ｍａｘ}以下又は上限速度ｖ_{１，ｍａｘ}以下に制限されることにより、安全エンベロープの違反を回避することが可能となる。Ｓ１０３の実行完了後、処理方法の今回フローが終了する。

さて、先に説明した特許文献１に開示される技術では、検知情報の生成源となるセンサ系の例えば故障、外乱、又は検出限界等に起因して、検知情報の障害が発生した場合に、運転制御に適正な制約を与えることが困難となると想定される。これに対して、以上説明した第一実施形態によると、監視される検知情報の障害が発生したと判定される場合には、運転ポリシに従うモデルであって、ＳＯＴＩＦをモデリングした安全モデルに基づくことにより、検知情報に応じた運転制御における制約が設定される。これによれば、検知情報の障害が発生したシーン、特に第一実施形態ではセンシング異常が発生したシーンに適正な制約を設定して、運転制御の精度を確保することが可能となる。

（第二実施形態）
第二実施形態は、第一実施形態の変形例である。

図２０，２１に示されるように第二実施形態の外界センサ５０は、縦方向に関する検出範囲Ａｓが部分に重複して設定される複数の縦方向センサ２５０１，２５０２を、含む。検出範囲Ａｓ同士が重複する検出角度での検出限界距離は、第一縦方向センサ２５０１よりも第二縦方向センサ２５０２側で、ホスト車両２から遠距離に設定されている。尚、第一縦方向センサ２５０１が「第一センサ」に相当し、第二縦方向センサ２５０２が「第二センサ」に相当する。

このような第二実施形態による処理方法は、検知情報の障害が発生したとの判定が下されると、図２２に示されるように、Ｓ１００における障害の発生判定からＳ２１００へ移行する。Ｓ２１００において検知ブロック１００は、障害として発生したセンシング異常の外界センサ５０が、第二縦方向センサ２５０２であるか否かを判定する。

Ｓ２１００において、センシング異常の外界センサ５０が第二縦方向センサ２５０２以外であるとの判定を検知ブロック１００が下した場合には、処理方法がＳ１０１，Ｓ１０２へ並行して移行する。一方、センシング異常の外界センサ５０が第二縦方向センサ２５０２であるとの判定を検知ブロック１００が下した場合には、処理方法がＳ２１０１，Ｓ２１０２へ並行して移行する。尚、Ｓ２１００における判定の処理は、計画ブロック１２０及びリスク監視ブロック１４０の少なくとも一方により、実行されてもよい。

処理方法のＳ２１０１において計画ブロック１２０は、Ｓ１０１に準じて運転制御の縮退を計画する。処理方法のＳ２１０２においてリスク監視ブロック１４０は、車線構造Ｌｓの安全モデルに基づくことにより、Ｓ２１０１で計画された運転制御に与える制約を、設定する。障害発生時における制約設定の処理は、図２３に示されるようにＳ１０１とは異なるサブルーチンに従って、正常時安全機能よりも運転制御への制約を縮退させることとなる。但し、Ｓ２１０１，Ｓ２１０２同士の実行タイミングについては、Ｓ１０１，Ｓ１０２同士の実行タイミングに準じて、調整されてもよい。

制約設定サブルーチンのＳ１１０において、検出範囲Ａｓにターゲット移動体３が存在していなかったとの判定をリスク監視ブロック１４０が下した場合には、制約設定サブルーチンがＳ２１１１へ移行する。一方でＳ１１０において、検出範囲Ａｓにターゲット移動体３が存在していたとの判定をリスク監視ブロック１４０が下した場合には、制約設定サブルーチンがＳ２１１２へ移行する。

制約設定サブルーチンのＳ２１１１においてリスク監視ブロック１４０は、図２０に示されるようにターゲット移動体３を複数位置に仮想する。複数の仮想位置としては、障害発生対象である第二縦方向センサ２５０２の検出範囲Ａｓにおける検出限界距離の遠点Ｐｆ２と、正常な第一縦方向センサ２５０１の検出範囲Ａｓにおける検出限界距離の遠点Ｐｆ１とが、想定される。そこでＳ２１１１では、遠点Ｐｆ２のターゲット移動体３とホスト車両２との間の安全モデルに基づく制約から、遠点Ｐｆ１のターゲット移動体３とホスト車両２との間の安全モデルに基づく制約までの、漸次変化が制御サイクルの進みに従って設定される。このとき、安全モデルに基づく縦方向の上限速度ｖ_{ｒ，ｍａｘ}又は横方向の上限速度ｖ_{１，ｍａｘ}は、遠点ｐｆ２での値から遠点ｐｆ１での値まで、所定の減速度間隔（例えば０．２Ｇ等）をもって徐々に変化するように、想定される。

制約設定サブルーチンのＳ２１１２におけるリスク監視ブロック１４０は、図２３に示されるようにターゲット移動体３を複数位置に仮想する。複数の仮想位置としては、第二縦方向センサ２５０２の検出範囲Ａｓにおける障害発生前でのターゲット移動体３の存在位置に基づく推定位置Ｐｐと、正常な第一縦方向センサ２５０１の検出範囲Ａｓにおける検出限界距離の遠点Ｐｆ１とが、想定される。そこでＳ２１１２では、推定位置Ｐｐのターゲット移動体３とホスト車両２との間の安全モデルに基づく制約から、遠点ｐｆ１のターゲット移動体３とホスト車両２との間の安全モデルに基づく制約までの、漸次変化が制御サイクルの進みに従って設定される。このとき、安全モデルに基づく縦方向の上限速度ｖ_{ｒ，ｍａｘ}又は横方向の上限速度ｖ_{１，ｍａｘ}は、推定位置Ｐｐでの値から遠点ｐｆ１での値まで、所定の減速度間隔（例えば０．２Ｇ等）をもって徐々に変化するように、想定される。

こうしたＳ２１１１，２１１２では、Ｓ１１１に準じて安全エンベロープの違反が判定されてもよい。また、図２２に示されるように処理方法は、Ｓ２１０１，Ｓ２１０２から共通且つＳ１０１，Ｓ１０２からも共通のＳ１０３へ、移行することとなる。このような第二実施形態では、第一実施形態に準ずる原理に加えて、検出限界距離が異なる複数センサ２５０１，２５０２のセンシング異常毎に適正な制約を設定して、運転制御の精度を確保することが可能となる。

（第三実施形態）
第三実施形態は、第一実施形態の変形例である。

図２４に示されるように第三実施形態の処理方法では、Ｓ１００に代わるＳ３１００が実行される。Ｓ３１００において検知ブロック１００が監視する障害は、検知情報のうちターゲット移動体３との距離に関する情報の、精度異常を含む。精度異常としては、センサ系５のうちターゲット移動体３との距離検出に優れた、例えばミリ波レーダの故障、天候影響を含む外乱、死角を含む検出限界等のうち少なくとも一種類に起因して、正規の距離情報が検知ブロック１００により生成不可となった異常が、挙げられる。尚、こうした第三実施形態のＳ３１００は、第一及び第二実施形態のＳ１０１においてセンシング異常ともいえる精度異常が発生した場合に特化して、実行されてもよい。

Ｓ３１００において、精度異常により検知情報の障害が発生したとの判定を検知ブロック１００が下した場合に、処理方法はＳ１０１，Ｓ１０２へ並行して移行してから、Ｓ１０３へと移行する。このような第三実施形態では、第一実施形態に準ずる原理により、精度異常が発生したシーンに適正な制約を設定して、運転制御の精度を確保することが可能となる。

尚、Ｓ３１００において、精度異常により検知情報の障害が発生したとの判定を検知ブロック１００が下した場合には、Ｓ１０２の実行に代えて、正常時安全機能が実行されてもよい。この場合の正常時安全機能では、ターゲット移動体３の距離、速度、及び向きをそれぞれ、ワーストケースとしての最小、最大、及びホスト車両２との逆走方向に想定した安全モデルに基づき、例えば加速度制限値等の制約が設定されてもよい。

（第四実施形態）
第四実施形態は、第一実施形態の変形例である。

図２５，２６に示されるように第四実施形態は、ホスト車両２及びターゲット移動体３に対して車線構造Ｌｓによる縦方向及び横方向の規制を外した、仮想環境４００４を想定する。仮想環境４００４におけるホスト車両２及びターゲット移動体３間の運転ポリシは、例えばターゲット移動体３がターゲット車両３ａの場合、次の（Ｆ）～（Ｈ）等に規定される。
（Ｆ）車両同士は、互いにブレーキを掛ける。
（Ｇ）ブレーキにより不合理な状況に至ることを回避するシーンでは、ブレーキを掛けない。
（Ｈ）車両は、前方における他の車両が不在の場合に、前進を許可される。

仮想環境４００４の安全モデルは、ホスト車両２及びターゲット移動体３の各軌道が衝突することを、不合理な状況として定義する。換言すれば仮想環境４００４の安全モデルは、ホスト車両２及びターゲット移動体３に対して、軌道衝突という不合理なリスクを不在にするＳＯＴＩＦのモデリングにより、規定される。軌道衝突の不在状況は、次の第一及び第二条件のうち、少なくとも一方の成立により保証される。図２５に示されるように第一条件とは、ホスト車両２及びターゲット移動体３の各軌道間での最小距離ｄ_ｍｉｎが、例えば事故責任規則等に基づく安全設計値よりも、大きいことである。第一条件の成立により、ホスト車両２及びターゲット移動体３が止まるまでの各走行距離は、常に一定値以上となる。図２６に示されるように第二条件とは、ホスト車両２の停止時における相対位置ベクトルとターゲット移動体３の進行方向とがなす角度θ_ｓｔｏｐが、例えば事故責任規則等に基づく安全設計値よりも小さいことである。第二条件の成立により、ホスト車両２が軌道上で止まるまでの距離が常に一定以上になると共に、停止したホスト車両２の前方にターゲット移動体３が存在することとなる。

仮想環境４００４の安全モデルは、軌道衝突という不合理な状況には至らない安全エンベロープを、設定する。安全エンベロープは、次の第一～第三安全状態のうち、いずれかの成立により確保される。図２７に示されるように第一安全状態とは、ホスト車両２及びターゲット移動体３が共に止まるまでに、両者の到達可能範囲において軌道同士の衝突が発生しない状態である。図２８に示されるように第二安全状態とは、ホスト車両２が例えばブレーキ等の停止動作を実行する一方、ターゲット移動体３がそのまま前進した場合に、両者の到達可能範囲（図２８の実線範囲）において軌道同士の衝突が発生しない状態である。この第二状態は、ターゲット移動体３が停止動作を実行する一方、ホスト車両２がそのまま前進した場合には、両者の到達可能範囲（図２８の二点鎖線範囲）において軌道同士の衝突が発生する事態を、回避する。図２９に示されるように第三安全状態とは、ターゲット移動体３が停止動作を実行する一方、ホスト車両２がそのまま前進した場合に、両者の到達可能範囲（図２９の実線範囲）において軌道同士の衝突が発生しない状態である。この第三状態は、ホスト車両２が停止動作を実行する一方、ターゲット移動体３がそのまま前進した場合には、両者の到達可能範囲（図２９の二点鎖線の範囲）において軌道同士の衝突が発生する事態を、回避する。

仮想環境４００４の安全モデルは、万が一に不合理な状況となったとしてもホスト車両２が取るべき適正な合理的行動として、次の第一～第三行動を想定する。第一行動では、ホスト車両２及びターゲット移動体３の両者が完全に停止している状態から不合理な状況へ陥った場合に、ホスト車両２の前方にターゲット移動体３が位置していなければ、ホスト車両２が動いてターゲット移動体３から離間する。このときホスト車両２は、ターゲット移動体３よりも高速で前方に移動することが望ましい。また一方で第一行動では、両者の完全停止状態から不合理な状況へ陥った場合でも、ホスト車両２の前方にターゲット移動体３が位置していれば、不合理な状況が不在となるまでホスト車両２が完全停止状態を継続する。第二行動では、ホスト車両２が上述の第二又は第三状態から不合理な状況へ陥った場合に、ターゲット移動体３が停止していない限り、ホスト車両２が前進を継続する。第二行動では、この前進継続中にターゲット移動体３が停止した場合には、前方にターゲット移動体３が位置していなければ、ホスト車両２が前進をさらに継続する。また一方で第二行動では、前進継続中にターゲット移動体３が停止した場合に、前方にターゲット移動体３が位置していれば、ホスト車両２が停止動作を実行する。第三行動では、第一及び第二行動以外の場合に、ホスト車両２が停止動作を実行する。尚、第一及び第二行動においてホスト車両２の前方にターゲット移動体３が位置しているか否かは、上述の第二条件に基づき判断される。

図３０に示されるように第四実施形態の処理方法では、Ｓ１００，Ｓ１０２に代わるＳ４１００，Ｓ４１０２が実行される。Ｓ４１００において検知ブロック１００が監視する障害は、検知情報のうちターゲット移動体３の種別に関する情報の、認識異常を含む。認識異常としては、センサ系５のうちターゲット移動体３の種別認識に優れた、例えばカメラの故障、天候影響を含む外乱、死角を含む検出限界等のうち少なくとも一種類に起因して、正規の種別情報が検知ブロック１００により生成不可となった異常が、挙げられる。尚、こうした第四実施形態のＳ４１００は、第一及び第二実施形態のＳ１０１においてセンシング異常ともいえる認識異常が発生した場合に特化して、実行されてもよい。

Ｓ４１００において、認識異常により検知情報の障害が発生したとの判定を検知ブロック１００が下した場合に、処理方法はＳ１０１，Ｓ４１０２へ並行して移行してから、Ｓ１０３へと移行する。Ｓ４１０２においてリスク監視ブロック１４０は、車線構造Ｌｓに代えて仮想環境４００４の安全モデルに基づくことにより、Ｓ１０１により計画された運転制御に与える制約を、設定する。認識異常による障害発生時に制約設定の処理は、図３１に示されるサブルーチンに従うことにより、正常時安全機能よりも運転制御への制約を縮退させることとなる。但し、Ｓ１０１，Ｓ４１０２同士の実行タイミングについては、Ｓ１０１，Ｓ１０２同士の実行タイミングに準じて、調整されてもよい。

制約設定サブルーチンのＳ１１０において、障害発生対象の検出範囲Ａｓにターゲット移動体３が存在していなかったとの判定をリスク監視ブロック１４０が下した場合には、制約設定サブルーチンがＳ４１１１へ移行する。一方でＳ１１０において、検出範囲Ａｓにターゲット移動体３が存在していたとの判定をリスク監視ブロック１４０が下した場合には、制約設定サブルーチンがＳ４１１２へ移行する。

制約設定サブルーチンのＳ４１１１においてリスク監視ブロック１４０は、Ｓ１１１に準じて遠点Ｐｆに想定される仮想位置のターゲット移動体３とホスト車両２との間における、仮想環境４００４の安全モデルに基づき、ホスト車両２の運転制御に対する制約を設定する。制約は、仮想環境４００４の場合でも障害発生対象の検出範囲Ａｓに応じて、ホスト車両２の縦方向又は横方向に設定される。仮想環境４００４の安全モデルによる制約設定では、脆弱な道路ユーザのうち、例えばホスト車両２が事故責任を負うリスクの高い歩行者等、シーンに応じた特定物体にターゲット移動体３が仮定されてもよい。この場合に、安全モデルに基づく安全エンベロープの設定では、仮定された特定物体の安全距離が想定されるとよい。仮想環境４００４の安全モデルによる制約設定では、図３２に示されるようにターゲット移動体３が未確認物体（unknown）と仮定されてもよい。この場合に、安全モデルに基づく安全エンベロープの設定では、仮定された未確認物体の進行方向に長い安全距離が、想定されるとよい。

縦方向の場合に制約として想定される制限値は、図３３，３４に示されるように安全モデルに基づき規定される加減速度プロファイルの、関数値に演算される。即ち縦方向の場合には、加速度の制限値が制約となる。縦方向の制限値演算においてｃ_{ｍａｘ，ａｃ}は、ホスト車両２の前進する動きでの最大加速度である。ｃ_{ｍａｘ，ｂｒ}は、ホスト車両２の前進する動きでの最大減速度である。ｅ_{ｍａｘ，ａｃ}は、ホスト車両２の停止する動きでの最大加速度である。ｅ_{ｍａｘ，ｂｒ}は、ホスト車両２の停止する動きでの最大減速度である。ｅ_{ｍｉｎ，ｂｒ}は、ホスト車両２の停止する動きでの最小減速度である。ρは、ホスト車両２の反応時間である。

横方向の場合に制約として想定される制限値は、図３５，３６に示されるように安全モデルに基づき規定されるヨーレートプロファイル及び曲率変化率プロファイルの、各関数値のうち少なくとも一方に演算される。即ち横方向の場合には、ヨーレート及び軌道曲率変化率の各制限値のうち、少なくとも一方が制約となる。横方向の制限値演算においてｆ_ｍａｘは、ホスト車両２に作用するヨーレートの最大値である。ｇ_ｍａｘは、ホスト車両２の曲率が変化する軌道での時間変化率の最大値である。ρは、ホスト車両２の反応時間である。

制約設定サブルーチンのＳ４１１２においてリスク監視ブロック１４０は、Ｓ１１２に準じて推定位置Ｐｐに想定される仮想位置のターゲット移動体３とホスト車両２との間における、仮想環境４００４の安全モデルに基づくことにより、Ｓ４１１１に準じた制約を設定する。また、Ｓ４１１１，４１１２では、Ｓ１１１に準じて安全エンベロープの違反が判定されてもよい。以上説明した第四実施形態では、第一実施形態に準ずる原理により、認識異常が発生したシーンに適正な制約を設定して、運転制御の精度を確保することが可能となる。

（第五実施形態）
第五実施形態は、第四実施形態の変形例である。

図３７に示されるように第五実施形態の処理方法では、Ｓ１００に代わるＳ５１００が実行される。Ｓ３１００において検知ブロック１００が監視する障害は、検知情報のうちホスト車両２の位置に関する情報の、ローカリゼーション異常を含む。ローカリゼーション異常としては、例えば地図ＤＢ７における地図情報の不良、Ｖ２Ｘタイプの通信系６による地図情報の送信遅延を含む送信障害、測位タイプの通信系６による測位信号の受信不良、並びにセンサ系５の自己状態量に関するセンシング異常等のうち少なくとも一種類に起因して、正規のローカリゼーション情報が検知ブロック１００により生成不可となった異常が、挙げられる。尚、こうした第五実施形態のＳ５１００は、第一及び第二実施形態のＳ１０１においてセンシング異常に起因するローカリゼーション異常が発生した場合に特化して、実行されてもよい。

Ｓ５１００において、ローカリゼーション異常により検知情報の障害が発生したとの判定を検知ブロック１００が下した場合に、処理方法はＳ１０１，Ｓ４１０２へ並行して移行してから、Ｓ１０３へと移行する。但し、第五実施形態のＳ４１０２において実行される制約設定サブルーチンでは、制約設定に用いられる仮想環境４００４の安全モデルが、障害発生前の検知情報から認識又は推定される種別のターゲット移動体３に対して、想定される。このような第五実施形態では、第一実施形態に準ずる原理により、ローカリゼーション異常が発生したシーンに適正な制約を設定して、運転制御の精度を確保することが可能となる。

（第六実施形態）
第六実施形態は、第一実施形態の変形例である。

図３８に示されるように第六実施形態の制御ブロック６１６０では、リスク監視ブロック１４０から安全エンベロープに関する判定情報の取得処理が、省かれている。そこで第六実施形態の計画ブロック６１２０は、リスク監視ブロック１４０から安全エンベロープに関する判定情報を取得する。計画ブロック６１２０は、安全エンベロープの違反なしとの判定情報を取得した場合に、計画ブロック１２０に準じてホスト車両２の運転制御を計画する。一方、安全エンベロープの違反ありとの判定情報を取得した場合に計画ブロック６１２０は、計画ブロック１２０に準じた運転制御を計画する段階において、判定情報に基づく制約を当該運転制御に与える。即ち計画ブロック６１２０は、計画する運転制御を制限する。いずれの場合においても、計画ブロック６１２０により計画されたホスト車両２の運転制御を、制御ブロック６１６０が実行する。

図３９に示されるように第六実施形態の処理方法では、Ｓ１０１が実行されず、Ｓ１０３に代わるＳ６１０３，Ｓ６１０４が順次実行される。Ｓ６１０３において計画ブロック６１２０は、Ｓ１０２の制約設定サブルーチンのうち、Ｓ１１１又はＳ１１２でリスク監視ブロック１４０により設定された制約を、計画する運転制御に対して与える。即ち、Ｓ６１０３における計画ブロック６１２０は、運転制御の縮退を計画する、ともいえる。Ｓ６１０４において制御ブロック６１６０は、Ｓ６１０３により制約の与えられた運転制御を、実行する。これによりホスト車両２の速度は、縦方向の上限速度ｖ_{ｒ，ｍａｘ}以下又は横方向の上限速度ｖ_{１，ｍａｘ}以下に制限されることにより、安全エンベロープの違反を回避することが可能となる。したがって、このような第六実施形態では、第一実施形態に準ずる原理により適正な制約を運転制御に与えて、運転制御の精度を確保することが可能である。

（第七実施形態）
第七実施形態は、第一実施形態の変形例である。

図４０に示されるように第七実施形態の制御ブロック７１６０では、リスク監視ブロック７１４０から安全エンベロープに関する判定情報の取得処理が、省かれている。そこで第七実施形態のリスク監視ブロック７１４０は、ホスト車両２に対して制御ブロック７１６０により実行された運転制御の結果を表す情報を、取得する。リスク監視ブロック７１４０は、運転制御の結果に対して安全エンベロープに基づく安全判定を実行することにより、当該運転制御を評価する。

図４１に示されるように第七実施形態の処理方法では、Ｓ１０２が実行されず、Ｓ１０３に代わるＳ７１０３～Ｓ７１０５が順次実行される。Ｓ７１０３において制御ブロック７１６０は、Ｓ１０１により計画された運転制御を実行する。Ｓ７１０４においてリスク監視ブロック７１４０は、Ｓ７１０３による運転制御に対する制約を、Ｓ１０２に準ずる制約サブルーチンによって設定する。Ｓ７１０５においてリスク監視ブロック７１４０は、制約となる縦方向の上限速度ｖ_{ｒ，ｍａｘ}又は横方向の上限速度ｖ_{１，ｍａｘ}に基づき、Ｓ７１０３による運転制御を評価する。このとき、ホスト車両２が上限速度ｖ_{ｒ，ｍａｘ}超過又は上限速度ｖ_{１，ｍａｘ}超過となる場合には、安全エンベロープの違反があったとの判定が、運転制御に対する評価として下される。

Ｓ７１０４，Ｓ７１０５は、Ｓ７１０３による運転制御の結果を表す情報の制御サイクル一回分がメモリ１０に記憶される毎に、実行されてもよい。Ｓ７１０４は、Ｓ７１０３による運転制御の結果を表す情報の制御サイクル一回分がメモリ１０に記憶される毎に実行されるのに対し、Ｓ７０１５は、Ｓ７１０３による運転制御の結果を表す情報の制御サイクル複数回分がメモリ１０に記憶された後に実行されてもよい。Ｓ７１０４，Ｓ７１０５は、Ｓ７１０３による運転制御の結果を表す情報の制御サイクル複数回分がメモリ１０に記憶された後に、実行されてもよい。以上説明した第七実施形態では、第一実施形態に準ずる原理により運転制御を適正に設定且つ評価して、運転制御の精度を確保することが可能となる。

（第八実施形態）
第八実施形態は、第一及び第七実施形態の変形例である。

図４２，４３に示されるように、処理システム１の観点では第一実施形態の変形例となる第八実施形態には、処理システム１による運転制御を、例えば安全性認可用等にテストするテストブロック８１８０が、追加されている。テストブロック８１８０には、検知ブロック１００及びリスク監視ブロック１４０に準ずる機能が、与えられる。テストブロック８１８０は、各ブロック１００，１２０，１４０，１６０を構築する処理プログラムに追加されるテストプログラムを、図４２に示される処理システム１が実行することにより、構築されてもよい。テストブロック８１８０は、各ブロック１００，１２０，１４０，１６０を構築する処理プログラムとは異なるテスト用の処理プログラムを、図４３に示されるように処理システム１とは異なるテスト用の処理システム８００１が実行することにより、構築されてもよい。ここでテスト用の処理システム８００１は、運転制御をテストするために処理システム１と接続される（通信系６を通じた接続の場合の図示は省略）、メモリ１０及びプロセッサ１２を有した少なくとも一つの専用コンピュータにより、構成されるとよい。

図４４に示されるように、処理方法の観点では第七実施形態の変形例となる第八実施形態では、Ｓ１０１，Ｓ７１０３に対応するステップは実行されず、Ｓ１００，Ｓ７１０４，Ｓ７１０５にそれぞれ対応するＳ８１００，Ｓ８１０４，Ｓ８１０５が実行される。Ｓ８１００においてテストブロック８１８０は、Ｓ１００に準じて検知情報の障害を監視且つ判定する。尚、図４１，４２では、検知情報の障害を監視且つ判定するためのデータ取得の経路について、図示が省略されている。

Ｓ８１０４においてテストブロック８１８０は、処理システム１でのＳ１０３による運転制御に対する制約を、Ｓ７１０４と同様なＳ１０２に準ずる制約サブルーチンによって設定する。Ｓ８１０５においてテストブロック８１８０は、処理システム１でのＳ１０３による運転制御をＳ７１０５に準じてテストする。このとき、ホスト車両２が上限速度ｖ_{ｒ，ｍａｘ}超過又は上限速度ｖ_{１，ｍａｘ}超過となる場合には、安全エンベロープの違反があったとの判定が、運転制御に対するテスト結果として下される。

Ｓ８１０４，Ｓ８１０５は、Ｓ１０３による運転制御の結果を表す情報の制御サイクル一回分が処理システム１又は別の処理システム８００１のメモリ１０に記憶される毎に、実行されてもよい。Ｓ８１０４は、Ｓ１０３による運転制御の結果を表す情報の制御サイクル一回分が処理システム１又は別の処理システム８００１のメモリ１０に記憶される毎に実行されるのに対し、Ｓ８１０５は、Ｓ１０３による運転制御の結果を表す情報の制御サイクル複数回分が当該メモリ１０に記憶された後に実行されてもよい。Ｓ８１０４，Ｓ８１０５は、Ｓ１０３による運転制御の結果を表す情報の制御サイクル複数回分が処理システム１又は別の処理システム８００１のメモリ１０に記憶された後に、実行されてもよい。以上説明した第八実施形態では、第一実施形態に準ずる原理により運転制御を適正に設定且つ評価して、運転制御の精度を確保することが可能となる。

（第九実施形態）
第九実施形態は、第六実施形態の変形例である。

図４５に示されるように、第九実施形態による計画ブロック９１２０には、リスク監視ブロック１４０の機能がリスク監視サブブロック９１４０として取り込まれている。そこで第九実施形態の計画ブロック９１２０は、リスク監視サブブロック９１４０により安全エンベロープの違反なしとの判定情報を取得した場合に、計画ブロック１２０に準じてホスト車両２の運転制御を計画する。一方、リスク監視サブブロック９１４０により安全エンベロープの違反ありとの判定情報を取得した場合に計画ブロック９１２０は、計画ブロック１２０に準じた運転制御を計画する段階において、判定情報に基づく制約を当該運転制御に与える。即ち計画ブロック９１２０は、計画する運転制御を制限する。いずれの場合においても、計画ブロック９１２０により計画されたホスト車両２の運転制御を、制御ブロック６１６０が実行することになる。

このような第九実施形態の処理方法では、Ｓ１０２が計画ブロック９１２０のリスク監視サブブロック９１４０により実行される。そこで、Ｓ６１０３において計画ブロック９１２０は、Ｓ１０２の制約設定サブルーチンのうち、Ｓ１１１又はＳ１１２でリスク監視サブブロック９１４０により設定された制約を、計画する運転制御に対して与えることになる。このような第九実施形態では、第一実施形態に準ずる原理により適正な制約を運転制御に与えて、運転制御の精度を確保することが可能である。
（他の実施形態）

以上、複数の実施形態について説明したが、本開示は、それらの実施形態に限定して解釈されるものではなく、本開示の要旨を逸脱しない範囲内において種々の実施形態及び組み合わせに適用することができる。

変形例において処理システム１を構成する専用コンピュータは、デジタル回路、及びアナログ回路のうち、少なくとも一方をプロセッサとして含んでいてもよい。ここでデジタル回路とは、例えばＡＳＩＣ（Application Specific Integrated Circuit）、ＦＰＧＡ（Field Programmable Gate Array）、ＳＯＣ（System on a Chip）、ＰＧＡ（Programmable Gate Array）、及びＣＰＬＤ（Complex Programmable Logic Device）等のうち、少なくとも一種類である。またこうしたデジタル回路は、プログラムを記憶したメモリを、有していてもよい。

図４６に示されるように第二実施形態では、第一縦方向センサ２５０１の縦方向から横方向に跨る検出範囲Ａｓにおいて、第一横方向センサ５０１の検出範囲Ａｓと部分的に重複する検出角度での検出限界距離が、第一横方向センサ５０１よりもホスト車両２から遠距離に設定されてもよい。この場合の制約設定サブルーチンにおいて制約の漸次変化は、第一縦方向センサ２５０１の検出範囲Ａｓにおける検出限界距離の遠点Ｐｆ、又は推定位置Ｐｐから、第一横方向センサ５０１の検出範囲Ａｓにおける検出限界距離の遠点Ｐｆまで、想定されてもよい。また、この場合の各遠点Ｐｆは、検出範囲Ａｓ同士が重複する検出角度において最遠距離となる検出限界距離に、定義されるとよい。尚、この場合には、第一横方向センサ５０１が「第一センサ」に相当し、第一縦方向センサ２０５１が「第二センサ」に相当する。

第二～第五実施形態は、第六、第七、第八、及び第九実施形態のいずれかに準じて変形されてもよい。第三～五実施形態のうち少なくとも二つの実施形態による処理方法は、変形例として並行に実行されてもよい。

ここまでの説明形態の他に上述の実施形態及び変形例は、ホスト移動体に搭載可能に構成されてプロセッサ１２及びメモリ１０を少なくとも一つずつ有する装置として、処理回路（例えば処理ＥＣＵ等）又は半導体装置（例えば半導体チップ等）の形態で実施されてもよい。

Claims

ホスト移動体（２）の運転制御に関する処理を遂行するために、プロセッサ（１２）により実行される処理方法であって、
前記ホスト移動体の内外環境を検知することにより生成される検知情報の障害を監視することと、
前記障害が発生したと判定される場合に、車両レベルで許容される制御行動を定義する戦略及び規則である運転ポリシに従うモデルであって、意図された機能の安全性を、数理モデルに従った処理を実行するコンピュータプログラムの形態で構築した安全モデルが生成した制御指令に基づくことにより、前記検知情報に応じた前記運転制御における制約を設定することとを、含む処理方法。
前記制約を設定することは、
前記安全モデルが前記障害の発生シーンに合わせて想定した合理的行動に基づき、前記制約を設定することを、含む請求項１に記載の処理方法。
前記ホスト移動体には、前記検知情報の生成源となるセンサ系（５）が搭載され、
前記制約を設定することは、
前記センサ系に設定される検出範囲（Ａｓ）にターゲット移動体（３）が存在しないシーンにおいて前記障害が発生したと判定される場合に、前記安全モデルが前記センサ系の検出限界距離に想定した仮想移動体との間で不合理な状況に至らないような合理的行動に基づき、前記制約を設定することを、含む請求項１又は２に記載の処理方法。
前記センサ系は、
第一センサ（２５０１）と、前記第一センサよりも検出限界距離が前記ホスト移動体から遠距離に設定される第二センサ（２５０２）とを、含み、
前記制約を設定することは、
前記第一センサ及び前記第二センサの前記検出範囲にターゲット移動体（３）が存在しないシーンにおいて前記第二センサに前記障害が発生したと判定される場合に、前記第二センサの検出限界距離に前記仮想移動体を想定した場合の前記制約から、前記第一センサの検出限界距離に前記仮想移動体を想定した場合の前記制約までの、漸次変化を設定することを、含む請求項３に記載の処理方法。
前記漸次変化は、前記ホスト移動体の上限速度を、前記第二センサの検出限界距離に前記仮想移動体を想定した場合の上限速度の値から前記第一センサの検出限界距離に前記仮想移動体を想定した場合の上限速度の値まで徐々に変化させることである請求項４に記載の処理方法。
前記センサ系は、
第一センサ（２５０１）と、前記第一センサよりも検出限界距離が前記ホスト移動体から遠距離に設定される第二センサ（２５０２）とを、含み、
前記制約を設定することは、
前記第二センサの前記検出範囲にターゲット移動体（３）が存在するシーンにおいて前記第二センサに前記障害が発生したと判定される場合に、前記ターゲット移動体が前記第二センサの前記検出範囲内の推定位置に存在する場合の前記制約から、前記第一センサの検出限界距離に前記ターゲット移動体に対応する前記仮想移動体を想定した場合の前記制約までの、漸次変化を設定することを、含む請求項３に記載の処理方法。
前記漸次変化は、前記ホスト移動体の上限速度を、前記ターゲット移動体が前記推定位置に存在する場合の上限速度の値から前記第一センサの検出限界距離に前記仮想移動体を想定した場合の上限速度の値まで徐々に変化させることである請求項６に記載の処理方法。
前記障害は、前記ホスト移動体に搭載されて前記検知情報の生成源となるセンサ系（５）の、センシング異常を含む請求項１～７のいずれか一項に記載の処理方法。
前記障害は、前記検知情報のうちターゲット移動体（３）との距離に関する情報の、精度異常を含む請求項１～８のいずれか一項に記載の処理方法。
前記制約は、前記ホスト移動体に対して縦方向及び横方向を規制する車線構造に基づき設定される、縦方向又は横方向での速度の制限値を、含む請求項６～９のいずれか一項に記載の処理方法。
前記障害は、前記検知情報のうちターゲット移動体（３）の種別に関する情報の、認識異常を含む請求項１～１０のいずれか一項に記載の処理方法。
前記障害は、前記検知情報のうち前記ホスト移動体の位置に関する情報の、ローカリゼーション異常を含む請求項１～１１のいずれか一項に記載の処理方法。
前記制約は、前記ホスト移動体に対して縦方向及び横方向の規制が外される仮想環境を想定した前記安全モデルが生成した制御命令に基づき設定される、縦方向での加速度の制限値を、含む請求項１１又は１２に記載の処理方法。
前記制約は、前記ホスト移動体に対して縦方向及び横方向の規制が外される仮想環境を想定した前記安全モデルが生成した制御命令に基づき設定される、横方向でのヨーレート及び軌道曲率変化率のうち少なくとも一方の制限値を、含む請求項１１～１３のいずれか一項に記載の処理方法。
プロセッサ（１２）を含み、ホスト移動体（２）の運転制御に関する処理を遂行する処理システムであって、
前記プロセッサは、
前記ホスト移動体の内外環境を検知することにより生成される検知情報の障害を監視することと、
前記障害が発生したと判定される場合に、車両レベルで許容される制御行動を定義する戦略及び規則である運転ポリシに従うモデルであって、意図された機能の安全性をモデリングした安全モデルに基づくことにより、前記検知情報に応じた前記運転制御における制約を設定することとを、実行するように構成される処理システム。
記憶媒体（１０）に記憶され、ホスト移動体（２）の運転制御に関する処理を遂行するためにプロセッサ（１２）に実行させる命令を含む処理プログラムであって、
前記命令は、
前記ホスト移動体の内外環境を検知することにより生成される検知情報の障害を監視させることと、
前記障害が発生したと判定される場合に、車両レベルで許容される制御行動を定義する戦略及び規則である運転ポリシに従うモデルであって、意図された機能の安全性を、数理モデルに従った処理を実行するコンピュータプログラムの形態で構築した安全モデルが生成した制御指令に基づくことにより、前記検知情報に応じた前記運転制御における制約を設定させることとを、含む処理プログラム。
プロセッサ（１２）を含み、ホスト移動体（２）に搭載可能に構成され、前記ホスト移動体の運転制御に関する処理を遂行する処理装置であって、
前記プロセッサは、
前記ホスト移動体の内外環境を検知することにより生成される検知情報の障害を監視することと、
前記障害が発生したと判定される場合に、車両レベルで許容される制御行動を定義する戦略及び規則である運転ポリシに従うモデルであって、意図された機能の安全性を、数理モデルに従った処理を実行するコンピュータプログラムの形態で構築した安全モデルが生成した制御指令に基づくことにより、前記検知情報に応じた前記運転制御における制約を設定することとを、実行するように構成される処理装置。