JP7470168B2 - エッジインフラストラクチャに基づく自律走行安全制御システムおよび方法 - Google Patents

Description

本発明は、フォールバック（Ｆａｌｌｂａｃｋ）状況で車両搭乗者の安全を確保することができる、エッジインフラストラクチャ（Ｅｄｇｅ Ｉｎｆｒａｓｔｒｕｃｔｕｒｅ）に基づく自律走行安全制御システムに関する。

近年、自律走行および運転者支援システム（Ｄｒｉｖｅｒ Ａｓｓｉｓｔａｎｃｅ Ｓｙｓｔｅｍｓ；ＤＡＳ）などの知能型自動車技術の研究が活発に行われている。また、自律走行車両と道路上のインフラストラクチャとの通信情報を活用したコネクテッドカーに対する技術研究が活発に行われており、自律走行運行時にフォールバック（Ｆａｌｌｂａｃｋ）状況で車両搭乗者の安全性を確保するための多様な技術が開発リリースまたは技術高度化が進められている。

これとともに、自律走行および運転者支援システムと関連し、搭乗者の安全のために多様な制度的取り決めが用意されている。例えば、米国運輸省道路交通***（ＮＨＴＳＡ）は、高度自律走行車に問題が発生した際に、危険を最小化するための標準としてフォールバックシステム（Ｆａｌｌｂａｃｋ ｓｙｓｔｅｍ）の標準を用意した。

ここで、フォールバックシステムは、自律走行システムの故障分類、可能な最小危険状態、環境的要因などを検知し、問題の発生時に人に運転主体を渡すことを明示している。この際、フォールバック（Ｆａｌｌｂａｃｋ）状況とは、上記のように自律走行中に発生する多様な危険要因に該当する状況を総称する。

しかしながら、既存の自律走行システムは、フォールバック（Ｆａｌｌｂａｃｋ）状況の発生時に車両の制御（例えば、速度制御、運転者制御権の切り替えを行うミニマム・リスク・マヌーバー（ＭＲＭ）、車両の安全地帯での非常停止）に重点を置いて提案されたが、車両搭乗者の安全確保対策に対しては不十分である。

すなわち、従来の自律走行および運転者支援システムは、フォールバック（Ｆａｌｌｂａｃｋ）状況の検知および車両制御に関する技術が主をなしており、車両の運転者および同乗者に対する安全性を確保できないという問題があった。

ＫＲ１０－２２７９３０９ Ｂ１（２０２１．０７．１４）

本発明は、自律走行中に発生するフォールバック（Ｆａｌｌｂａｃｋ）状況で、エッジインフラストラクチャ（Ｅｄｇｅ Ｉｎｆｒａｓｔｒｕｃｔｕｒｅ）と連動し、搭乗者の安全を優先として車両制御権の切り替えおよび／または車両を制御することができる、エッジインフラストラクチャに基づく自律走行安全制御システムおよび方法を提供することを目的とする。

本発明は、上記のような目的を達成するために、下記のような実施形態を含むことができる。本発明の実施形態は、自律走行を制御する自律走行システムと、フォールバック（Ｆａｌｌｂａｃｋ）状況を検知するエラー検知部と、フォールバック（Ｆａｌｌｂａｃｋ）状況が発生すると、エッジインフラストラクチャ（Ｅｄｇｅ Ｉｎｆｒａｓｔｒｕｃｔｕｒｅ）と連動してフォールバック（Ｆａｌｌｂａｃｋ）状況別の安全プロセスを駆動する安全制御部と、を含み、安全制御部は、エッジインフラストラクチャを介してフォールバック（Ｆａｌｌｂａｃｋ）状況および搭乗者の位置情報を送信することを特徴とする、エッジインフラストラクチャに基づく自律走行安全制御システムを提供する。

また、本発明は、他の実施形態として、ａ）自律走行システムにおいて自律走行車両を制御するステップと、ｂ）自律走行中にフォールバック（Ｆａｌｌｂａｃｋ）状況を検知するステップと、ｃ）フォールバック（Ｆａｌｌｂａｃｋ）状況別に設定された複数のシナリオのうちいずれか１つを選択し、選択されたシナリオに沿った安全プロセスを進行するステップと、を含み、ｃ）ステップにおいて、安全プロセスは、エッジインフラストラクチャ（Ｅｄｇｅ Ｉｎｆｒａｓｔｒｕｃｔｕｒｅ）を介してフォールバック（Ｆａｌｌｂａｃｋ）状況および車両搭乗者の位置情報のうち少なくとも１つを送信することを特徴とする、エッジインフラストラクチャに基づく自律走行安全制御方法を提供することができる。

したがって、本発明は、自律走行中に発生するフォールバック（Ｆａｌｌｂａｃｋ）状況で、搭乗者の安全を前提として多様な安全シナリオを備えることで、自律走行車両の搭乗者の安全性を高めることができる。

本発明に係るエッジインフラストラクチャ（Ｅｄｇｅ Ｉｎｆｒａｓｔｒｕｃｔｕｒｅ）に基づく自律走行安全制御システムを示したブロック図である。 図１のエラー検知部を示したブロック図である。 安全制御部を示したブロック図である。 本発明に係るエッジインフラストラクチャ（Ｅｄｇｅ Ｉｎｆｒａｓｔｒｕｃｔｕｒｅ）に基づく自律走行安全制御方法を示したフローチャートである。 Ｓ３００ステップを示したフローチャートである。 Ｓ４１０ステップを示した図である。 Ｓ４１０ステップを示した図である。 Ｓ４２０ステップを示した図である。 Ｓ４２０ステップを示した図である。 Ｓ４３０ステップを示した図である。 Ｓ４３０ステップを示した図である。 Ｓ４４０ステップを示した図である。 Ｓ４４０ステップを示した図である。

本発明は、多様な変更を加えてもよく、種々の実施形態を有してもよいが、特定の実施形態を図面に例示して詳しく説明する。これは、本発明を特定の実施形態に対して限定しようとするものではなく、本発明の思想および技術範囲に含まれる全ての変更、等価物ないし代替物のうちいずれか１つに該当するものと理解しなければならない。

本明細書で用いられている用語は、単に特定の実施形態を説明するために用いられたものであって、本発明を限定しようとするものではない。単数の表現は、文脈上、明らかに他を意味しない限り、複数の表現を含む。

本明細書において、「含む」または「有する」などの用語は、明細書上に記載された特徴、数字、ステップ、動作、構成要素、部品、またはこれらを組み合わせたものが存在することを指定しようとするものであって、１つまたはそれ以上の他の特徴、数字、ステップ、動作、構成要素、部品、またはこれらを組み合わせたものの存在または付加可能性を予め排除するものではないことを理解しなければならない。

本明細書において、フォールバック（Ｆａｌｌｂａｃｋ）状況は、米国運輸省道路交通***（ＮＨＴＳＡ）が用意したフォールバックシステム（Ｆａｌｌｂａｃｋ ｓｙｓｔｅｍ）の標準に含まれた自律走行システム１００の故障、危険状態、環境的要因を意味する。

本明細書において、エッジインフラストラクチャ（Ｅｄｇｅ Ｉｎｆｒａｓｔｒｕｃｔｕｒｅ）は、自律走行車両の周辺でエッジコンピューティング（Ｅｄｇｅ Ｃｏｍｐｕｔｉｎｇ）が可能な端末が取り付けられた周辺車両とデータ中継器を介して連結されるサーバを含むことができる。

以下、本発明に係るエッジインフラストラクチャに基づく自律走行安全制御システムおよび方法の好ましい実施形態について添付図面を参照して説明する。

図１は、本発明に係るエッジインフラストラクチャに基づく自律走行安全制御システムを示したブロック図である。

図１を参照すると、本発明は、自律走行を制御する自律走行システム１００と、フォールバック（Ｆａｌｌｂａｃｋ）状況を検知するエラー検知部２００と、フォールバック（Ｆａｌｌｂａｃｋ）状況が発生すると、設定されたシナリオに沿って安全プロセスを駆動する安全制御部３００と、を含むことができる。

自律走行システム１００は、自律走行モードで車両を制御する。例えば、自律走行システム１００は、経路設定、自律走行、および車両制御を行い、そのためのＬｉＤＡＲ、Ｒａｄａｒなどの前方および後側方センサと、運行設計領域（ＯＤＤ、Ｏｐｅｒａｔｉｏｎ Ｄｅｓｉｇｎ Ｄｏｍａｉｎ）、電池、ネットワーク装置などを含むことができる。

ここで、自律走行システム１００は、米国運輸省道路交通***（ＮＨＴＳＡ）が標準化した自律走行車に問題が発生した際に、危険を最小化するための最小危険状態システム（Ｆａｌｌｂａｃｋ Ｍｉｎｉｍａｌ Ｒｉｓｋ ｃｏｎｄｉｔｉｏｎ Ｓｙｓｔｅｍ）による最小危険戦略の策定が可能である。

エラー検知部２００は、自律走行システムのハードウェア、ソフトウェア、および車両駆動装置（例えば、エンジン、ステアリング装置、制動装置、電池）のエラーおよびフォールバック（Ｆａｌｌｂａｃｋ）状況を検知する。ここで、エラー検知部２００は、図２を参照して説明する。

図２は、図１のエラー検知部２００を示したブロック図である。
図２を参照すると、エラー検知部２００は、運行設計領域検知モジュール２１０、ハードウェア検知モジュール２２０、ネットワーク検知モジュール２３０、ソフトウェア検知モジュール２４０、および走行検知モジュール２５０を含むことができる。

そのうち運行設計領域検知モジュール２１０は、ＡＤＳ（Ａｕｔｏｍａｔｅｄ Ｄｒｉｖｉｎｇ Ｓｙｓｔｅｍ）の特定の作動条件を定義するＯＤＤ（Ｏｐｅｒａｔｉｏｎａｌ Ｄｅｓｉｇｎ Ｄｏｍａｉｎ）（以下、運行設計領域と称する）および／またはＯＥＤＲ（Ｏｂｊｅｃｔ ａｎｄ Ｅｖｅｎｔ Ｄｅｔｅｃｔｉｏｎ ａｎｄ Ｒｅｓｐｏｎｓｅ）の誤作動を検知する。

ここで、運行設計領域は、走行範囲として自律走行車両のＡＤＳ性能をテストおよび実現するために設定された規則である。すなわち、運行設計領域検知モジュール２１０は、自律走行車両が運行設計領域に設定された走行範囲と、ＡＤＳの作動可否を検知することができる。

ＯＥＤＲ（Ｏｂｊｅｃｔ ａｎｄ Ｅｖｅｎｔ Ｄｅｔｅｃｔｉｏｎ ａｎｄ Ｒｅｓｐｏｎｓｅ）は、ＡＤＳが、他の車両（歩行路内外を含む）、歩行者、自転車に乗った人、動物、障害物など、安全な作動に影響を与え得る障害物を検知し、適切に対応するように設定されたものである。例えば、ＯＥＤＲは、ＡＤＳの一般的な走行状況および予想衝突シナリオ応答で構成される。

したがって、運行設計領域検知モジュール２１０は、上記のようなＯＤＤとＯＥＤＲに設定された区間および規則に沿った自律走行車両の走行区間、事物およびイベントに対する対応能力と、ＡＤＳの誤作動の有無を検知する。

ハードウェア検知モジュール２２０は、自律走行車両内に設置されたハードウェアの誤作動を検知する。自律走行車両は、カメラ、ＥＰＳトルクセンサ、 ＬｉＤＡＲセンサ、Ｒａｄａｒセンサなどの自律走行に必要な複数の電子装置を含んでいる。ハードウェア検知モジュール２２０は、自律走行に必要なハードウェア装置の誤作動を検知する。

ネットワーク検知モジュール２３０は、自律走行車両内のネットワーク装置の誤作動を検知する。例えば、自律走行車両は、ＧＰＳと、エッジインフラストラクチャ（Ｅｄｇｅ Ｉｎｆｒａｓｔｒｕｃｔｕｒｅ）に連動できる通信装置が設けられることができる。ネットワーク検知モジュール２３０は、上記のようなネットワーク装置の誤作動および作動状態を検知することができる。

ソフトウェア検知モジュール２４０は、自律走行車両内に設置されるソフトウェアの誤作動を検知する。例えば、ソフトウェア検知モジュールは、自律走行車両内に設置された多様なハードウェア（例えば、ＥＣＵ、カメラ、ＬｉＤＡＲセンサ、Ｒａｄａｒセンサ）間になされるデータの通信状態を検知し、データの受信可否、受信量、データ種類によりソフトウェアの誤作動を検知する。

走行検知モジュール２５０は、車両の走行中に誤作動を検知する。例えば、走行検知モジュール２５０は、自律走行システム１００の動作として車両の縦から横方向への制御、停止、および速度制御などのように走行と関連した誤作動を検知する。

安全制御部３００は、エラー検知部２００を介してエラーが検知されると、エラー種類に応じて設定されたシナリオ別に自律走行車両を安全制御する。それについては、図３を参照して説明する。

図３は、安全制御部を示したブロック図である。

図３を参照すると、安全制御部３００は、エラー検知部２００で検知されたフォールバック（Ｆａｌｌｂａｃｋ）状況別に設定された複数のシナリオが格納されるシナリオ格納モジュール３１０と、シナリオに沿って自律走行システム１００を制御する安全制御モジュール３２０と、を含むことができる。

シナリオ格納モジュール３１０は、フォールバック（Ｆａｌｌｂａｃｋ）状況に応じて搭乗者の安全を確保できるように複数のシナリオが設定される。シナリオは、例えば、自律走行可能可否、運転者に制御権の切り替え、安全地帯での非常停止、自律走行システム１００の車両制御、車両の非常停止のような多様なシナリオが設定される。

安全制御モジュール３２０は、エラー検知部２００で検知されたフォールバック（Ｆａｌｌｂａｃｋ）状況に応じて設定されたシナリオのうちいずれか１つと、周辺状況情報を確認および受信して対応戦略を策定し、自律走行システム１００を制御することができる。

ここで、安全制御モジュール３２０は、自律走行の開始前に、エラー検知部２００から自律走行システム１００の正常作動可否（ＨＷ、ＳＷ、ＮＷ、自律走行機能）に対する正常作動可否を受信し、正常作動であると、経路設定後に自律走行運行を開始するように自律走行システム１００を制御する。

安全制御モジュール３２０は、エラー検知部２００の検知信号を介して、自律走行運行中にオブジェクトまたは環境に対する認知／判断の実行により運行設計領域の運行可否を確認して車両制御を行い、システムに問題がない以上繰り返し行う。

または、安全制御モジュール３２０は、自律走行システム１００が異常な場合（センサ故障、システム欠陥、ネットワークエラーなど）および運行設計領域から外れた場合にフォールバック（Ｆａｌｌｂａｃｋ）状況と判断することができ、緊急呼び出し（Ｅｍｅｒｇｅｎｃｙ－ ｃａｌｌ）を送出した後、運転者の安全確保のために既存の連結されたエッジインフラストラクチャ（Ｅｄｇｅ Ｉｎｆｒａｓｔｒｕｃｔｕｒｅ）と連動して安全プロセスを行う。

この際、エッジインフラストラクチャ（Ｅｄｇｅ Ｉｎｆｒａｓｔｒｕｃｔｕｒｅ）の役割は、周辺車両に危険状況に対する情報の共有、周辺状況情報（交通量、安全地帯の位置、天気、道路状況、前後方および隣車線の車両の有無と速度などの周辺車両のセンシング情報）を取得または中継できる管制の役割が挙げられる。

すなわち、安全制御モジュール３２０は、エッジインフラストラクチャ（Ｅｄｇｅ Ｉｎｆｒａｓｔｒｕｃｔｕｒｅ）を介して周辺車両にフォールバック（Ｆａｌｌｂａｃｋ）状況を共有したり、安全地帯のような位置情報および道路状況などの周辺車両のセンシング情報を共有したりするように制御し、設定された管制センターや整備会社、警察および消防署のような機関などに緊急出動および救助を要請することができる。

ここで、安全制御モジュール３２０は、自律走行制御可能可否の判断により制御不可能な状況が検知されると、運転者制御権の切り替え可否に応じて運転者制御権の切り替えと自律走行システムの車両制御の維持および車両の非常停止のうちいずれか１つにつながることができる。

または、安全制御モジュール３２０は、自律走行制御が可能であり、運転者制御権の切り替えが不可能な状況であると、設定されたシナリオに沿って自律走行システム１００を直接制御するか、または安全地帯での非常停止および車両の非常停止のうちいずれか１つのシナリオで車両を直接制御し、設定された安全プロセスを進行する。

安全プロセスは、運転者制御権の切り替えと、安全地帯での非常停止と、自律走行システム１００の車両制御と、車両の非常停止のようなシナリオに沿って進行する。

そのうち運転者制御権の切り替えは、フォールバック（Ｆａｌｌｂａｃｋ）状況の検知以後に車両の運転制御権を運転者に切り替え、自律走行システム１００の部分動作可否に応じて部分動作が可能であると、エッジインフラストラクチャ（Ｅｄｇｅ Ｉｎｆｒａｓｔｒｕｃｔｕｒｅ）との連動による周辺位置や交通情報を活用し、経路が含まれた対応戦略を策定およびガイドすることができる。

また、安全地帯での非常停止は、自律走行システム１００の制御と、運転権の切り替え可否と、自律走行システム１００の部分動作可否の判断により部分動作が可能であると、エッジインフラストラクチャ（Ｅｄｇｅ Ｉｎｆｒａｓｔｒｕｃｔｕｒｅ）との連動により、安全地帯の確保および周辺状況に対応して自律走行車両を安全地帯に移動後に非常停止させるシナリオである。

自律走行システム１００の車両制御は、制御権の切り替え可否および自律走行制御可能可否に応じて、安全制御モジュール３２０が、自律走行システム１００を制御し、エッジインフラストラクチャ（Ｅｄｇｅ Ｉｎｆｒａｓｔｒｕｃｔｕｒｅ）と連動した対応戦略の支援を受けることができる。

車両の非常停止は、自律走行の可否と運転権の切り替え可否および自律走行システム１００の部分動作可否の判断により部分動作が可能であると判断される場合、エッジインフラストラクチャ（Ｅｄｇｅ Ｉｎｆｒａｓｔｒｕｃｔｕｒｅ）との連動により周辺状況に応じて車両を非常停止するシナリオである。

ここで、車両の非常停止シナリオは、車両の停止後、車両から脱出した搭乗者の位置情報を、エッジインフラストラクチャを介して周辺車両と脱出した搭乗者の位置情報を共有し、二次事故から搭乗者の安全を図ることができる。

例えば、安全制御モジュール３２０は、非常停止後、搭乗者が脱出した場合、車両の外部に脱出した人の位置を自律走行システム１００の部分動作機能で判断し、エッジインフラストラクチャ（Ｅｄｇｅ Ｉｎｆｒａｓｔｒｕｃｔｕｒｅ）またはＶ２Ｘ通信技術を介して周辺車両または管制所に現在状況を伝播し、その情報を提供することで、非常脱出した車両搭乗者の安全を確保するシナリオである。

ここで、安全制御モジュール３２０は、従来のｅＣａｌｌおよびＶ２Ｐの機能とは差がある。例えば、既存のｅＣａｌｌの場合は、事故車両のＶＩＮ情報および車両の位置情報を送っており、搭乗者の脱出可否および位置情報は含まれていない。また、Ｖ２Ｐの場合は、人が無線通信デバイスを保有していなければならず、非常脱出時に無線デバイスを置き忘れる場合が発生し得る。

しかしながら、本発明において、安全制御モジュール３２０は、エッジインフラストラクチャ（Ｅｄｇｅ Ｉｎｆｒａｓｔｒｕｃｔｕｒｅ）と連動することができ、フォールバック（Ｆａｌｌｂａｃｋ）状況および搭乗者の位置情報を送受信することができるため、このような従来技術の短所を相殺させることができる。

好ましくは、安全制御モジュール３２０は、通信時に現在の座標情報、搭乗者数、および現在位置を含む非常信号を周辺車両、整備会社、管制センター、および周辺の公共機関の設定端末にフォールバック（Ｆａｌｌｂａｃｋ）状況、搭乗者の位置情報、および緊急呼び出しを送信することができる。

本発明は、上記のような構成を含み、以下、本発明に係る自律走行車両の安全制御方法について説明する。

図４は、本発明に係るエッジインフラストラクチャ（Ｅｄｇｅ Ｉｎｆｒａｓｔｒｕｃｔｕｒｅ）に基づく自律走行安全制御方法を示したフローチャートである。

図４を参照すると、本発明は、自律走行車両を制御するＳ１００ステップと、自律走行車両のエラーを検知するＳ２００ステップと、自律走行可能および制御権の切り替え可否を検知するＳ３００ステップと、エラー種類に応じて設定されたシナリオに沿った安全制御を実行するＳ４００ステップと、を含む。

Ｓ１００ステップは、自律走行システム１００が、始動後、自律走行モードで車両を制御するステップである。自律走行システム１００は、始動前または始動後の停車状態でシステムの正常作動可否を確認し、入力された経路の設定および／または確認を行って自律走行を開始する。

Ｓ２００ステップは、Ｓ１００ステップにおいて自律走行中にフォールバック（Ｆａｌｌｂａｃｋ）状況の発生有無を検知するステップである。例えば、エラー検知部２００は、運行設計領域、ハードウェア、ソフトウェア、ネットワーク、車両制御装置および機能のエラー有無を検知する。ここで、安全制御部は、フォールバック（Ｆａｌｌｂａｃｋ）状況が検知されると、設定された端末（例えば、管制センター、機関および個人のサーバおよび／または端末）にフォールバック（Ｆａｌｌｂａｃｋ）状況に応じた緊急呼び出し信号を送信することができる。

また、安全制御モジュール３２０は、エッジインフラストラクチャ（Ｅｄｇｅ Ｉｎｆｒａｓｔｒｕｃｔｕｒｅ）と連動して周辺情報（例えば、交通状況、非常停止可能な位置および経路）を受信、およびエッジコンピューティング（Ｅｄｇｅ ｃｏｍｐｕｔｉｎｇ）が可能な端末が取り付けられた周辺車両に状況を伝播することができる。

Ｓ３００ステップは、自律走行の可否および運転制御権の切り替え可否に応じて実行可能な搭乗者安全シナリオを選択するステップである。このようなＳ３００ステップについては、図５を参照して説明する。

図５は、Ｓ３００ステップを示したフローチャートである。

図５を参照すると、Ｓ３００ステップは、安全制御部が、自律走行の可否を検知するＳ３１０ステップと、運転者制御権の切り替え可否を検知するＳ３２０ステップおよびＳ３５０ステップと、最小危険戦略の策定可否を検知するＳ３３０ステップと、非常停止のための安全地帯の確保可否を検知するＳ３４０ステップと、を含むことができる。

Ｓ３１０ステップは、安全制御部が、エラー検知部２００のエラー検知信号を受信した後に故障種類を確認し、自律走行制御の可否を検知するステップである。

例えば、安全制御部は、フォールバック（Ｆａｌｌｂａｃｋ）状況が発生した際に、ハードウェア、ソフトウェア、および運行設計領域のうち自律走行と関連したエラーが発生したのであれば、自律走行が可能ではないことを検知し、Ｓ３５０ステップに進行して運転者の手動運転への切り替え可否を検知する。

その逆に、安全制御部は、エラー種類を確認して自律走行と関連して設定されたエラーではない場合、自律走行が可能であることを検知し、Ｓ３２０ステップを進行する。

Ｓ３２０ステップは、安全制御部が、自律走行が可能なエラーが検知されると、運転者制御権の切り替えを検知するステップである。ここで、安全制御部は、検知されたエラーが運転者制御権の切り替え条件に該当すると、自律走行システム１００の制御権を運転者に切り替えるようにＳ３５０ステップを進行する。

Ｓ３６０ステップは、安全制御部が、自律走行モードから手動モードに切り替えて運転者の車両制御が可能となるように運転者制御権を切り替えるステップである。したがって、運転者は、手動で車両を直接運転することができる。

その後、安全制御部は、エッジインフラストラクチャと連動して運転者に安全対応戦略（安全対応情報）を策定し、運転者に提供できるように、安全プロセスを進行することができる。安全プロセスは、Ｓ４００ステップにより後述する。

または、安全制御部は、検知されたエラーが運転者制御権の切り替え条件に該当しないと、Ｓ３３０ステップを進行する。

Ｓ３３０ステップは、安全制御部が、自律走行システム１００の設定された最小危険戦略（Ｆａｌｌｂａｃｋ Ｍｉｎｉｍａｌ Ｒｉｓｋ Ｃｏｎｄｉｔｉｏｎ）に該当するか否かを検知するステップである。

最小危険戦略は、上述したように、自律走行モードで発生する多様な危険状況に対処可能な装置の正常駆動可否に応じて設定される多様なシナリオおよび／または設定条件に該当する。すなわち、最小危険戦略は、危険状況を予測および検知できるセンサと、車両の縦から横方向への方向切り替えに必要なハードウェア、ソフトウェア、および機械的装置の正常作動可否に応じて実行または実行不可であることができる。

したがって、安全制御部は、運転者制御権の切り替えが可能な状態であると、上記のように設定された最小危険戦略の策定の可否に応じて、Ｓ３７０ステップの自律走行システム１００の車両制御を持続するか、またはＳ３４０ステップの安全地帯での非常停止の確保可否を検討することになる。

Ｓ３７０ステップは、安全制御部３００が、自律走行システム１００の最小危険戦略が策定が可能であると検知されると、自律走行システム１００の車両制御を維持するステップである。したがって、自律走行車両は、自律走行システムの制御により運行を持続し続けることができる。

Ｓ３４０ステップは、安全制御部が、Ｓ３３０ステップにおいて最小危険戦略を策定するための設定条件に該当しないと、非常停止のための安全地帯の位置を検知するステップである。ここで、非常停止のための安全地帯に関する情報は、エッジインフラストラクチャを介して要請および／または受信するか、または、自律走行安全制御システムが備えるセンサである自体センサを介して確認することができる。

したがって、安全制御部は、例えば、エッジインフラストラクチャを介して連結される前方車両の検知情報を介して、車両の非常停止が可能な安全地帯の位置および経路が確認されると、Ｓ３８０ステップを進行して自律走行車両を安全地帯に非常停止する。

このようなＳ３８０ステップは、安全地帯での非常停止のための安全プロセスであり、図８および図９を参照して後述する。

または、安全制御部は、Ｓ３４０ステップにおいてエッジインフラストラクチャまたは周辺情報を確認して非常停止のための安全地帯を確保できないと、Ｓ３９０ステップを進行して車両を非常停止し、Ｓ４００ステップの安全プロセスを進行する。

Ｓ３５０ステップは、自律走行制御が不可能な状態で、運転者制御権の切り替え可否を検知するステップである。ここで、安全制御部は、運転者制御権の切り替えが可能であると、運転者に制御権を切り替えるようにＳ３６０’ステップを進行し、運転者に制御権を切り替えできない際には、Ｓ３９０’ステップを進行して自律走行車両を非常停止させることができる。

すなわち、安全制御部は、自律走行可能および不可能な状態と、運転者制御権の切り替え可能または不可能な状態で、運転者制御権の切り替え、自律走行システム１００の車両制御、安全地帯での非常停止、車両の非常停止のうちいずれか１つを進行した後、搭乗者の安全プロセスを進行することができる。このようなそれぞれの安全プロセスはＳ４００ステップに該当する。

Ｓ４００ステップは、自律走行システム１００の自律走行の可否と、運転制御権の自動から手動モードへの切り替え可否に応じて設定された複数のシナリオのうちいずれか１つを進行した後、搭乗者の安全性を向上できるようにエッジインフラストラクチャと連動して対応戦略を策定および提供する安全プロセスを進行するステップである。

このような搭乗者安全プロセスは、図６～図１３を参照して説明する。

図６は、Ｓ４１０ステップを示した図であり、図７は、運転者制御権の切り替えの実例を示した図である。

図６を参照すると、Ｓ４１０ステップは、安全プロセスを駆動するＳ４１１ステップと、自律走行システム１００の部分動作可否を検知するＳ４１２ステップと、エッジインフラストラクチャと連動して安全対応戦略を策定するＳ４１３ステップと、安全地帯および周辺状況をガイドするＳ４１４ステップと、を含む。

Ｓ４１１ステップは、安全制御部が、安全プロセスを駆動するステップである。例えば、安全制御部は、自律走行制御が難しく、運転者制御権の切り替えが可能であると、運転制御権を手動に切り替え、運転者が車両を直接制御できるように運転者に制御権を渡した後に安全プロセスを進行する。

Ｓ４１２ステップは、安全制御部が、自律走行システム１００の部分動作可否を検知するステップである。例えば、安全制御部は、自律走行システム１００のハードウェア、ソフトウェア、ネットワーク装置、および車両機能の部分動作可否を検知する。ここで、安全制御部は、運転者の手動運転モードで最小危険戦略の対策の策定が可能な必須構成要素の正常作動可否を検知する。

Ｓ４１３ステップは、安全制御部が、自律走行システム１００の部分動作可否の検知結果、運転者の手動運転時に最小危険戦略の策定に必要な構成要素の正常作動が確認されると、エッジインフラストラクチャと連動して安全対応を進行する。

Ｓ４１４ステップは、安全制御部が、策定された対応戦略を運転者および／または搭乗者にガイドするステップである。ここで、策定された対応戦略は、安全地帯のガイドと、環境、地形、地理、交通情報のうち１つ以上を含むことができ、各情報は、現在自律走行車両の位置と経路、フォールバック（Ｆａｌｌｂａｃｋ）状況の原因となった故障に応じて選択およびまとめることができる。

このような運転者制御権の切り替え後の安全プロセスは、図７を参照して具体的な事例について説明する。

図７を参照すると、自律走行車両は、（Ａ）区域と（Ｂ）区域に区分された道路において、（Ａ）区域（図７の左側）の場合、自律走行がエッジインフラストラクチャとの連動により正常に運行している。

（Ｂ）区域（図７の右側）の場合、運行中に車両のセンサまたはハードウェアの故障によりフォールバック（Ｆａｌｌｂａｃｋ）状況が発生し、Ｓ３６０またはＳ３６０’ステップにより運転者に運転制御権の切り替えを渡した状態である。

この際、道路状況は、霧がかかった状況であって、センサの検知距離と運転者の可視距離が制限され、前方の安全距離が確保されない状況である。

したがって、安全制御部は、運転者が手動で運行しているが、霧がかかった状況で、前方の安全距離が確保されない場合に発生する事故を避けられるように、対応戦略（例えば、減速、ハザードランプおよび／またはライトの点灯および指向角の調節、クラクション）を策定することができる。

すなわち、安全制御部は、エッジインフラストラクチャを介して前方に停車または走行中の車両の情報を受信して速度を下げるか、またはハザードランプの点灯、ハイビーム出力など、霧により可視距離が制限された状況で発生し得る事故を未然に防止するように対応対策を出力する。

図８は、Ｓ４２０ステップを示した図であり、図９は、安全プロセスの実例を示した図である。ここで、Ｓ４２０ステップは、Ｓ３８０ステップをより具体的に細分化したものである。

図８を参照すると、Ｓ４２０ステップは、安全地帯での非常停止のための安全プロセスを駆動するＳ４２１ステップと、自律走行システム機能を点検するＳ４２２ステップと、エッジインフラストラクチャと連動して安全対応戦略を策定するＳ４２３ステップと、対応戦略を出力するＳ４２４ステップと、安全地帯に非常停止するＳ４２５ステップと、を含む。

Ｓ４２１ステップは、安全地帯での非常停止のための安全プロセスを開始するステップである。

Ｓ４２２ステップは、安全制御部が、自律走行システム１００の部分動作可否を検知するステップである。例えば、安全制御部は、自律走行システム１００のハードウェア、ソフトウェア、ネットワーク装置、および車両機能のうち安全地帯での非常停止シナリオと関連した各構成要素の動作可否を検知し、当該シナリオの実行可否を検知する。

Ｓ４２３ステップは、安全制御部が、エッジインフラストラクチャと連動して安全地帯での非常停止シナリオに沿った対応戦略を策定するステップである。例えば、安全制御部は、エッジインフラストラクチャを介して前方の停車または走行中の車両から安全地帯の位置情報を確認するか、または自体センサによるセンシングを介して安全地帯の位置情報を収集する。

Ｓ４２４ステップは、安全制御部が、策定された対応戦略と周辺状況情報に応じて車両を制御するステップである。例えば、安全制御部は、フォールバック（Ｆａｌｌｂａｃｋ）状況により制御権の切り替えまたは自律走行が難しい状況であると、周辺の車両および／または歩行者の有無に応じて安全地帯に経路設定および車両を制御するステップである。

Ｓ４２５ステップは、安全制御部が、車両を安全地帯に移動させた後に非常停止し、エッジインフラストラクチャおよび緊急呼び出しを介して、位置および故障が含まれた状況情報を設定された端末（例えば、保険会社、レッカー車、警察、消防署）に緊急送信するステップである。

このような安全地帯での非常停止プロセスの具体的な例示について図９を参照して説明する。

図９を参照すると、安全地帯での非常停止シナリオは、（Ａ）区域と（Ｂ）区域に区分された道路を用いて説明する。当該道路は、（Ａ）区域では自律走行がエッジインフラストラクチャとの連動により正常に運行し、（Ｂ）区域では運行中に車両の運行設計領域の範囲外に突然豪雨が降る状況でフォールバック状況が発生した。

自律走行制御が可能な状況であり、運転者制御権の切り替えおよび自律走行システム１００の最小危険戦略の策定が不可能な状況である。

したがって、当該自律走行車両の安全制御部は、エッジインフラストラクチャとの連動と、自律車両センサ情報に基づいて安全地帯を確認した。そして、安全制御部は、道路状況、周辺の車両と構造物および歩行者の有無、天気などの周辺状況に対応して経路設定および速度を制御し、確認された安全地帯に非常停止した。

ここで、安全制御部は、エッジインフラストラクチャを介して後方車両または隣車線の車両に当該車両のフォールバック（Ｆａｌｌｂａｃｋ）状況による車線変更または非常停止情報を送信し、周辺車両との接触および衝突事故を未然に防止することができる。

この際、周辺の自律走行車両の場合は、自律走行システム１００において、隣車線の車両からフォールバック（Ｆａｌｌｂａｃｋ）状況が発生することを受信し、連結される他の車両に伝播することができる。したがって、フォールバック（Ｆａｌｌｂａｃｋ）状況が発生した車両の車線変更以前に、当該情報を受信した隣車線や後方車両が速度を予め減速または車線変更を進行することができるため、急減速や急車線変更による玉突き事故を未然に防止することができる。

図１０は、Ｓ４３０ステップを示したフローチャートであり、図１１は、自律走行車両制御のための安全プロセスの例示を示した図である。

図１０を参照すると、Ｓ４３０ステップは、自律走行車両制御のための安全プロセスを稼動するＳ４３１ステップと、自律走行システム１００の部分動作可否を検知するＳ４３２ステップと、エッジインフラストラクチャと連動して安全対応戦略を策定するＳ４３３ステップと、安全地帯有無および周辺状況に応じて車両を制御するＳ４３４ステップと、を含む。

Ｓ４３１ステップは、安全制御部が、自律走行車両制御のための安全プロセスを駆動するステップである。ここで、安全制御部は、Ｓ３１０ステップとＳ３２０ステップを経て自律走行制御が可能であるが、運転者への制御権の切り替えが不可能なフォールバック（Ｆａｌｌｂａｃｋ）状況で、Ｓ３３０ステップにおいて自律走行システム１００の最小危険戦略の策定が可能であると、Ｓ３７０ステップ（Ｓ４３１ステップ）において自律走行システム１００の車両制御を維持する安全プロセスを駆動する。

Ｓ４３２ステップは、安全制御部が、自律走行システム１００の部分動作可否を検知するステップである。例えば、安全制御部は、自律走行システム１００のハードウェア、ソフトウェア、ネットワーク装置、および車両機能のうち自律走行システム１００の車両制御シナリオと関連した各構成要素の動作可否を検知し、当該シナリオの実行可否を検知する。

Ｓ４３３ステップは、安全制御部３００が、自律走行システム１００の車両制御安全プロセスによるシナリオに沿ってエッジインフラストラクチャと連動して安全対応戦略を策定するステップである。ここで、安全制御部３００は、エッジインフラストラクチャを介して前方および／または周辺のエッジインフラストラクチャに接続された自律走行車両または端末から周辺状況情報（道路、交通、位置、温度、天気）を収集して対応戦略を策定する。

ここで、安全対応戦略は、現在位置から移動可能な安全地帯と、現状態で目的地（設定目的地または安全地帯）までの移動経路および可能性、呼び出し可能な出動サービス会社や機関を含むことができる。

Ｓ４３４ステップは、安全制御部が、収集された情報に基づいて策定された対応戦略を実行するステップである。ここで、安全制御部は、周辺の状況に応じて車両を制御し、対応戦略として策定された目的地まで車両を制御して走行することができる。対応戦略として策定された目的地は、安全地帯、または最初設定された目的地、緊急呼び出しや修理可能な会社、医療機関、警察署などであってもよい。

さらに、安全制御部は、エッジインフラストラクチャを介して周辺車両や端末にフォールバック（Ｆａｌｌｂａｃｋ）状況を伝播するか、または緊急呼び出し情報を送信することができる。

このようなＳ４３０ステップは、図１１の例示により説明する。

図１１は、自律走行システム１００の車両制御の例示を示した図である。

図１１を参照すると、道路は、（Ａ）区域と（Ｂ）区域に区分することができる。（Ａ）区域で自律走行車両がエッジインフラストラクチャとの連動により正常に運行中に、自律走行機能のうち車線維持機能に故障が発生してフォールバック（Ｆａｌｌｂａｃｋ）状況が発生した。

当該フォールバック（Ｆａｌｌｂａｃｋ）状況が発生したＡ区域の自律走行車両は、現在自律走行制御が可能な状況や運転者制御権の切り替えが不可能な状況で、自律走行システム１００の最小危険戦略の策定が可能な状況である。

したがって、当該自律走行車両は、エッジインフラストラクチャを介して周辺状況および位置情報を確認し、（Ｂ）区域に安全地帯があることを確認することができた。

したがって、当該車両は、車両の車線維持自律走行システム１００の車両低速走行制御により（Ｂ）区域の安全地帯への移動経路が含まれた対応戦略を策定し、策定された対応戦略に沿って当該安全地帯に低速走行して到着後に非常停止した。

すなわち、本発明は、フォールバック（Ｆａｌｌｂａｃｋ）状況で運転者制御権の切り替えが不可能な状況で、自体的に対応戦略を策定し、安全地帯に移動および非常停止して搭乗者の安全を図ることができた。この際、対応戦略は、安全地帯への移動中に事故の防止、搭乗者の安全と迅速な事故および故障修理のために、フォールバック（Ｆａｌｌｂａｃｋ）状況情報、移動経路を周辺車両に伝播することができ、警察、整備会社、レッカー車、および／または消防署への緊急呼び出しも含むことができる。

Ｓ４４０ステップは、図１２および図１３を参照して説明する。

図１２は、Ｓ４４０ステップを示したフローチャートであり、図１３は、Ｓ４４０ステップの例示を示した図である。

図１２を参照すると、Ｓ４４０ステップは、車両の非常停止のための安全プロセスを駆動するＳ４４１ステップと、自律走行システム１００の部分動作可否を検知するＳ４４２ステップと、対応戦略を策定するＳ４４３ステップと、周辺状況に対応して対応戦略を実行するＳ４４４ステップと、車両の停止可否を検知するＳ４４５ステップと、脱出可否を検知するＳ４４６ステップと、脱出した搭乗者の位置を推定するＳ４４６ステップと、情報を共有するＳ４４７ステップと、を含む。

Ｓ４４１ステップは、安全制御部が、車両の非常停止のための安全プロセスを実行するステップである。安全制御部は、自律走行制御が可能または不可能な状態（Ｓ３１０）で、運転者制御権の切り替えが不可能であり（Ｓ３２０、Ｓ３５０）、自律走行システム１００の最小危険戦略の策定が不可能であり（Ｓ３３０）、非常停止のための安全地帯の確保が難しい状況（Ｓ３４０）であると、車両の非常停止のための安全プロセスを開始する。

Ｓ４４２ステップは、安全制御部が、車両の非常停止のための安全プロセスを進行するための必須構成要素の動作可否を検知するステップである。

Ｓ４４３ステップは、安全制御部が、エッジインフラストラクチャと連動して周辺状況情報をまとめて対応戦略を策定するステップである。安全制御部は、エッジインフラストラクチャと連動して周辺情報（道路、交通、現在位置、天気、緊急呼び出し可能な整備会社および／または機関情報）を受信し、実行可能な対応戦略を策定する。

Ｓ４４４ステップは、安全制御部が、周辺状況に対応して対応戦略を実行するステップである。例えば、安全制御部は、安全地帯を確保し難い状況で車両制御も難しい状況であると、エッジインフラストラクチャを介して前後方および／または隣車線の車両の存在有無を確認して車両を停止することができる。

または、隣車線または後方に車両が存在する場合、エッジインフラストラクチャを介して現在状況を伝播し、十分な車間距離が確保される場合に車線変更後に非常停止または非常停止するように車両を制御することができる。

Ｓ４４５ステップは、安全制御部が、車両の停止可否を検知するステップである。安全制御部は、車両に設けられたセンシング情報およびエッジインフラストラクチャを介して車両の停止可否を検知する。

Ｓ４４６ステップは、安全制御部が、搭乗者の脱出可否を検知するステップである。

Ｓ４４７ステップは、安全制御部が、車両の外部に脱出した搭乗者の位置を推定するステップである。安全制御部は、自体センシング情報および／またはエッジインフラストラクチャを介して前後方の他の車両と隣車線の走行車両から車両の外部に脱出した搭乗者の位置情報を受信および推定する。

Ｓ４４８ステップは、安全制御部が、エッジインフラストラクチャと連動し、搭乗者の周辺に移動中の車両および／または移動予定の車両に搭乗者の位置と非常停止した現在位置情報を共有するステップである。

すなわち、本発明は、非常停止後に外部に脱出した搭乗者の位置と、非常停止した車両の情報をエッジインフラストラクチャを介して周辺車両に共有することで、二次事故を未然に防止することができる。

また、本発明において、対応戦略は、上記のような車両の非常停止後、出動会社や警察、消防署のように緊急出動が可能な機関や端末に自動で情報を送信することができる。

図１３は、上記のようなＳ４４０ステップの具体的な例示を示した図である。

図１３を参照すると、車両の非常停止シナリオが適用された道路は、（Ａ）区域と（Ｂ）区域に区分することができる。

（Ａ）区域で、自律走行車両は、エッジインフラストラクチャとの連動により正常に運行中に、自律走行ＳＷの機能の誤作動が発見され、フォールバック（Ｆａｌｌｂａｃｋ）状況が発生した。

したがって、当該車両は、ＳＷ機能の誤作動により自律走行機能（車線認識機能）まで故障が重なって非常に危険な状況で、安全地帯に行けない状況が発生した。

したがって、当該自律走行車両は、自律走行制御が可能な状況であり、運転者制御権の切り替えが不可能な状況であり、自律走行システム１００の最小危険戦略の策定が不可能な状況で、車両の非常停止シナリオが駆動された。

したがって、車両は、エッジインフラストラクチャとの連動により車両を道路上に非常停止し、車両内の運転者および搭乗者は非常脱出を試みた。

この際、安全制御部は、脱出した運転者の位置を追跡し、エッジインフラストラクチャおよび周辺車両への情報提供により運転者の安全を確保するようにした。

したがって、本発明は、環境的変数（前方視野の確保が難しい夜道、霧など）において、運転者の位置情報の共有により道路上の路肩に脱出した運転者の安全を確保することができる。

以上に言及された本発明の技術的課題の他にも、本発明の他の特徴および利点は、以下に記述されるか、またはその記述および説明から本発明が属する技術分野における通常の知識を有する者に明らかに理解できるものである。

１００：自律走行システム
２００：エラー検知部
２１０：運行設計領域検知モジュール
２２０：ハードウェア検知モジュール
２３０：ネットワーク検知モジュール
２４０：ソフトウェア検知モジュール
２５０：走行制御検知モジュール
３００：安全制御部
３１０：シナリオ格納モジュール
３２０：安全制御モジュール

Claims (17)

1. 自律走行を制御する自律走行システムと、
   フォールバック（Ｆａｌｌｂａｃｋ）状況を検知するエラー検知部と、
   フォールバック（Ｆａｌｌｂａｃｋ）状況が発生すると、エッジインフラストラクチャ（Ｅｄｇｅ Ｉｎｆｒａｓｔｒｕｃｔｕｒｅ）と連動してフォールバック（Ｆａｌｌｂａｃｋ）状況別の安全プロセスを駆動する安全制御部と、
   を含み、
   安全制御部は、
   エッジインフラストラクチャを介してフォールバック（Ｆａｌｌｂａｃｋ）状況および搭乗者の位置情報を送信し、
   安全制御部は、
   車両の非常停止後に、自律走行システムが備えるセンサによる自体センシング情報、および／または、エッジインフラストラクチャを介して前後方の他の車両と隣車線の走行車両から車両の外部に脱出した搭乗者の位置情報を受信および推定し、推定された車両の外部に脱出した搭乗者の位置情報をエッジインフラストラクチャを介して周辺車両に共有する
   ことを特徴とする、エッジインフラストラクチャに基づく自律走行安全制御システム。
2. 安全プロセスは、
   エッジインフラストラクチャ（Ｅｄｇｅ Ｉｎｆｒａｓｔｒｕｃｔｕｒｅ）と連動して安全地帯への位置および移動経路が含まれた安全地帯での非常停止シナリオ、
   自律走行を維持する自律走行システムの車両制御シナリオ、
   車両を非常停止させる非常停止シナリオ、および
   自律走行車両の制御権を運転者に切り替えて安全地帯の位置および経路をガイドする運転者制御権の切り替えシナリオ、
   のうち少なくとも１つ以上を含む、請求項１に記載のエッジインフラストラクチャに基づく自律走行安全制御システム。
3. エラー検知部は、
   ＡＤＳ（Ａｕｔｏｍａｔｅｄ Ｄｒｉｖｉｎｇ Ｓｙｓｔｅｍ）の特定の作動条件を定義する運行設計領域（ＯＤＤ、Ｏｐｅｒａｔｉｏｎ Ｄｅｓｉｇｎ Ｄｏｍａｉｎ）の誤作動を検知する運行設計領域検知モジュールと、
   自律走行車両内に設置されたハードウェアの誤作動を検知するハードウェア検知モジュールと、
   自律走行車両内のネットワーク装置の誤作動を検知するネットワーク検知モジュールと、
   自律走行システムにおいて各ハードウェア間に送受信するデータ量および種類を検知してソフトウェアの誤作動を検知するソフトウェア検知モジュールと、
   自律走行システムの動作として車両の縦から横方向への制御、停止、および速度制御のうち少なくとも１つの動作から誤作動を検知する走行検知モジュールと、
   を含む、請求項１に記載のエッジインフラストラクチャに基づく自律走行安全制御システム。
4. 安全制御部は、
   エラー検知部から自律走行システムの自律走行および運転者に制御権の切り替えが可能なフォールバック（Ｆａｌｌｂａｃｋ）状況が検知されると、
   自律走行システムの運転制御権を運転者に切り替え、およびエッジインフラストラクチャ（Ｅｄｇｅ Ｉｎｆｒａｓｔｒｕｃｔｕｒｅ）と連動して設定された目的地、安全地帯への移動経路、および緊急呼び出し可能な会社情報のうち少なくとも１つが含まれた対応戦略を策定および出力することを特徴とする、請求項１に記載のエッジインフラストラクチャに基づく自律走行安全制御システム。
5. 安全制御部は、
   エラー検知部から、自律走行が不可能であり、運転者に運転制御権の切り替えが可能なフォールバック（Ｆａｌｌｂａｃｋ）状況の検知信号が受信されると、
   自律走行システムの運転制御権を運転者に切り替え、およびエッジインフラストラクチャ（Ｅｄｇｅ Ｉｎｆｒａｓｔｒｕｃｔｕｒｅ）と連動して設定された目的地、安全地帯への移動経路、および緊急呼び出し可能な会社情報のうち少なくとも１つが含まれた対応戦略を策定および出力することを特徴とする、請求項１に記載のエッジインフラストラクチャに基づく自律走行安全制御システム。
6. 安全制御部は、
   エラー検知部から運転者に運転制御権の切り替えが不可能なフォールバック（Ｆａｌｌｂａｃｋ）状況が検知され、自律走行システムにおいて最小危険戦略（Ｆａｌｌｂａｃｋ ＭＲＣ）の策定が可能であると、
   自律走行システムにおいて車両制御を維持することを特徴とする、請求項１に記載のエッジインフラストラクチャに基づく自律走行安全制御システム。
7. 安全制御部は、
   エラー検知部から、運転者に運転制御権の切り替えおよび自律走行システム自体に設定された最小危険戦略（Ｆａｌｌｂａｃｋ ＭＲＣ）の策定および実行が不可能なフォールバック（Ｆａｌｌｂａｃｋ）状況が検知されると、
   エッジインフラストラクチャ（Ｅｄｇｅ Ｉｎｆｒａｓｔｒｕｃｔｕｒｅ）を介して非常停止可能な安全地帯の位置情報を要請および受信し、自律走行システムを制御して車両を安全地帯に移動および非常停止させることを特徴とする、請求項１に記載のエッジインフラストラクチャに基づく自律走行安全制御システム。
8. 安全制御部は、
   エラー検知部から、運転者に運転制御権の切り替えおよび自律走行システム自体に設定された最小危険戦略（Ｆａｌｌｂａｃｋ ＭＲＣ）が不可能なフォールバック（Ｆａｌｌｂａｃｋ）状況が検知され、非常停止可能な安全地帯の位置情報が受信されないと、
   エッジインフラストラクチャ（Ｅｄｇｅ Ｉｎｆｒａｓｔｒｕｃｔｕｒｅ）と連動し、自律走行システムを制御して非常停止することを特徴とする、請求項１に記載のエッジインフラストラクチャに基づく自律走行安全制御システム。
9. 安全制御部は、
   エラー検知部から、自律走行システムの自律走行が不可能であり、運転者に運転制御権の切り替えが不可能なフォールバック（Ｆａｌｌｂａｃｋ）状況が検知されると、
   エッジインフラストラクチャ（Ｅｄｇｅ Ｉｎｆｒａｓｔｒｕｃｔｕｒｅ）と連動し、自律走行システムを制御して車両を非常停止することを特徴とする、請求項１に記載のエッジインフラストラクチャに基づく自律走行安全制御システム。
10. ａ）自律走行システムにおいて自律走行車両を制御するステップと、
    ｂ）自律走行中にフォールバック（Ｆａｌｌｂａｃｋ）状況を検知するステップと、
    ｃ）フォールバック（Ｆａｌｌｂａｃｋ）状況別に設定された複数のシナリオのうちいずれか１つを選択し、選択されたシナリオに沿った安全プロセスを進行するステップと、
    を含み、
    ｃ）ステップにおいて、安全プロセスは、
    エッジインフラストラクチャ（Ｅｄｇｅ Ｉｎｆｒａｓｔｒｕｃｔｕｒｅ）を介してフォールバック（Ｆａｌｌｂａｃｋ）状況および車両搭乗者の位置情報のうち少なくとも１つを送信し、
    車両の非常停止後に、自律走行システムが備えるセンサによる自体センシング情報、および／または、エッジインフラストラクチャを介して前後方の他の車両と隣車線の走行車両から車両の外部に脱出した搭乗者の位置情報を受信および推定し、推定された車両の外部に脱出した搭乗者の位置情報をエッジインフラストラクチャを介して周辺車両に共有する
    ことを特徴とする、エッジインフラストラクチャに基づく自律走行安全制御方法。
11. ｂ）ステップは、
    運行設計領域、ハードウェア、ソフトウェア、ネットワーク、車両制御装置、および自律走行機能のうち少なくとも１つ以上の作動可否によりフォールバック（Ｆａｌｌｂａｃｋ）状況を検知することを特徴とする、請求項１０に記載のエッジインフラストラクチャに基づく自律走行安全制御方法。
12. ｃ）ステップは、
    ｂ）ステップにおいて自律走行システムの自律走行および運転者に制御権の切り替えが可能なフォールバック（Ｆａｌｌｂａｃｋ）状況が検知されると、自律走行システムの運転制御権を運転者に切り替えるステップと、
    エッジインフラストラクチャ（Ｅｄｇｅ Ｉｎｆｒａｓｔｒｕｃｔｕｒｅ）と連動して設定された目的地、安全地帯への移動経路、および緊急呼び出し可能な会社情報のうち少なくとも１つが含まれた対応戦略を策定および出力するステップと、
    を含む、請求項１０に記載のエッジインフラストラクチャに基づく自律走行安全制御方法。
13. ｃ）ステップは、
    ｂ）ステップにおいて、自律走行が不可能であり、運転者に運転制御権の切り替えが可能なフォールバック（Ｆａｌｌｂａｃｋ）状況が検知されると、自律走行システムの運転制御権を運転者に切り替えるステップと、
    エッジインフラストラクチャ（Ｅｄｇｅ Ｉｎｆｒａｓｔｒｕｃｔｕｒｅ）と連動して設定された目的地、安全地帯への移動経路、および緊急呼び出し可能な会社情報のうち少なくとも１つが含まれた対応戦略を策定および出力するステップと、
    を含む、請求項１０に記載のエッジインフラストラクチャに基づく自律走行安全制御方法。
14. ｃ）ステップは、
    ｂ）ステップにおいて運転者に運転制御権の切り替えが不可能なフォールバック（Ｆａｌｌｂａｃｋ）状況が検知され、自律走行システムにおいて最小危険戦略（Ｆａｌｌｂａｃｋ ＭＲＣ）の策定が可能であると、
    エッジインフラストラクチャ（Ｅｄｇｅ Ｉｎｆｒａｓｔｒｕｃｔｕｒｅ）を介して前後方の車両からセンシングされた情報を受信し、自律走行システムにおいて車両制御を維持するように制御するステップをさらに含む、請求項１０に記載のエッジインフラストラクチャに基づく自律走行安全制御方法。
15. ｃ）ステップは、
    ｂ）ステップにおいて、運転者に運転制御権の切り替えが不可能であり、自律走行システム自体に設定された最小危険戦略（Ｆａｌｌｂａｃｋ ＭＲＣ）の策定および実行が不可能なフォールバック（Ｆａｌｌｂａｃｋ）状況が検知されると、エッジインフラストラクチャ（Ｅｄｇｅ Ｉｎｆｒａｓｔｒｕｃｔｕｒｅ）を介して非常停止可能な安全地帯の位置情報を要請および受信するステップと、
    エッジインフラストラクチャを介して受信された安全地帯に移動するように自律走行システムを制御し、安全地帯に非常停止するステップと、
    を含む、請求項１０に記載のエッジインフラストラクチャに基づく自律走行安全制御方法。
16. ｃ）ステップは、
    ｂ）ステップにおいて運転者に運転制御権の切り替えおよび自律走行システム自体に設定された最小危険戦略（Ｆａｌｌｂａｃｋ ＭＲＣ）が不可能なフォールバック（Ｆａｌｌｂａｃｋ）状況が検知されると、
    エッジインフラストラクチャ（Ｅｄｇｅ Ｉｎｆｒａｓｔｒｕｃｔｕｒｅ）および自体センシングを介して非常停止可能な安全地帯の位置を検索するステップと、
    非常停止可能な安全地帯が検索されないと、エッジインフラストラクチャ（Ｅｄｇｅ Ｉｎｆｒａｓｔｒｕｃｔｕｒｅ）と連動し、自律走行システムを制御して非常停止するステップと、
    を含む、請求項１０に記載のエッジインフラストラクチャに基づく自律走行安全制御方法。
17. ｃ）ステップは、
    ｂ）ステップにおいて、自律走行システムの自律走行が不可能であり、運転者に運転制御権の切り替えが不可能なフォールバック（Ｆａｌｌｂａｃｋ）状況が検知されると、
    エッジインフラストラクチャ（Ｅｄｇｅ Ｉｎｆｒａｓｔｒｕｃｔｕｒｅ）と連動し、自律走行システムを制御して車両を非常停止するステップを含む、請求項１０に記載のエッジインフラストラクチャに基づく自律走行安全制御方法。