JP7520220B2 - 自動運転方法、ａｄｓ、自動運転車両、コンピュータ可読記憶媒体、コンピュータプログラム、およびチップシステム - Google Patents

Description

本出願は、2020年9月17日に中国国家知識産権局に出願された「自動運転方法、ADS、および自動運転車両」と題する中国特許出願第202010982543．3号の優先権を主張し、その全体が参照により本明細書に組み込まれる。

本出願は、自動運転分野に関し、特に、自動運転方法、ADS、および自動運転車両に関する。

自動車は、発明されてから100年以上の開発を経て、人々の生活に不可欠な部分となっている。生活水準の向上に伴い、人々は走行の快適さや利便性などに対してますます高い要求を課している。自動車が知能に向かって進化するにつれて、自動運転技術が登場している。

しかしながら、近年、自動運転車において事故が頻繁に発生している。例えば、2016年5月7日に、「自動運転支援」を伴うテスラ車がコンテナトラックに衝突し、運転者が死亡した。2018年3月18日の夕方に、アリゾナ州の女性がUberの自動運転車によって負傷し、死亡した。これは、自動運転の安全性に対する人々の懸念を引き起こし、人々に自動運転技術の開発について再検討および考察を強いている。

現在、自動車技術会（society of automotive engineers，SAE）インターナショナルの自動運転分類規格J3016TMが業界で広く使用されている。この規格は、オンロードモータ車両の運転自動化システムに関連する用語の分類および定義とも呼ばれる。この規格は、動的運転タスク（dynamic driving task，DDT）に基づく自動運転レベル（すなわち、合計6つの自動運転レベル：L0からL5）を定義しているが、運転の安全性については考慮されていない。これを考慮して、既存の自動運転技術の現状に基づいて、特に運転者／乗客の健康状態が不確実なシナリオの運転安全に焦点を当てた自動運転ポリシーを緊急に開始される必要がある。

本出願の実施形態は、ODDに動作設計ドメイン（operational design domain，ODD）の適用可能範囲として健康生理学的データ範囲を新たに追加するための自動運転方法、ADS、および自動運転車両を提供する。運転者／乗客のリアルタイムの生理学的データが特定の期間の範囲から逸脱したとき、自動運転システム（automation driving system，ADS）は、運転者／乗客の健康が異常であると決定し、逸脱度および期間に基づいて対応する第1の運転ポリシーを実行して、運転者／乗客の突然の健康事故に適時に対処し、交通事故の発生率を低減する。

これを考慮して、本出願の実施形態において以下の技術的解決策が提供される。

第1の態様によれば、本出願の一実施形態は、最初に、自動運転分野に適用されることができる、自動運転方法を提供する。本方法は、最初に、ADSが展開された自動運転車両の運転者／乗客が監視デバイスを装着する（例えば、スマートウォッチ、スマートバンド、もしくはスマートカーディオタコメータ、または別のウェアラブルデバイス）。監視デバイスは、運転者／乗客のリアルタイムの生理学的データをリアルタイムで収集し、次いで、通信プロトコル（例えば、ブルートゥース（登録商標）またはWiFi）を使用してこれらの収集されたリアルタイムの生理学的データをADSに送信し得る。監視デバイスによって送信された運転者／乗客のリアルタイムの生理学的データを受信した後、ADSは、リアルタイムの生理学的データが健康生理学的データ範囲から逸脱しているかどうかを決定する。受信したリアルタイムの生理学的データと健康生理学的データ範囲の間の差がプリセット値よりも大きいと決定したとき、ADSは、リアルタイムの生理学的データが健康生理学的データ範囲から逸脱する期間が第1のプリセット期間よりも長いかどうかをさらに決定する。リアルタイムの生理学的データが健康生理学的データ範囲から逸脱する期間が第1のプリセット期間よりも長いと決定したとき、ADSは、自動運転車両によって実行されている自動運転サービスに対して低下処理を実行し、差および期間の特定の値に基づいて第1の運転ポリシーを実行する。健康生理学的データ範囲は、ODDに事前に追加された適用可能な範囲である。追加の適用可能範囲は、運転者／乗客の健康指標を示すために使用され、すなわち、健康生理学的データ範囲、例えば、正常心拍数範囲および正常血圧範囲は、自動運転分類規格J3016TMで定義されているODDに追加される。ODDはADS上に展開される。

本出願の実装形態では、ODDの適用可能範囲としての健康生理学的データ範囲がODDに新たに追加される。運転者／乗客のリアルタイムの生理学的データが特定の期間の範囲から逸脱したとき、ADSは、運転者／乗客の健康が異常であると決定し、逸脱度および期間に基づいて対応する第1の運転ポリシーを実行して、運転者／乗客の突然の健康事故に適時に対処し、交通事故の発生率を低減する。

第1の態様の可能な設計では、特定の自動運転レベルに関係なく、監視デバイスによって収集されたリアルタイムの生理学的データが第2のプリセット期間内（例えば、8分以内）に健康生理学的データ範囲内に入るように復元されないとき、ADSは、運転者／乗客に認証要求を送信する。認証要求は、音声ブロードキャスト方式で運転者／乗客に通信されてもよいし、インターフェース表示方式（ディスプレイが自動運転車両に展開されていることを前提とする）で運転者／乗客に通信されてもよい。これは、本明細書では特に限定されない。認証要求は、第2の運転ポリシーが実行される必要があるかどうかを運転者／乗客に問い合わせるために使用される。運転者／乗客がADSによって送信された認証要求を受信した後、運転者／乗客が認証要求を受け入れると、ADSは第2の運転ポリシーを実行する。

本出願の実装形態では、第2の運転ポリシーは、本質的に元のリスク軽減戦略のアップグレードである。元のリスク軽減戦略では、特定の自動運転レベルに関係なく、ADSが動的運転タスクを実行できないとき、または運転者／乗客が動的運転タスクを引き継ぐことができないとき、リスク軽減戦略の最終目的は「車両の停止」、すなわち、狭義の車両安全のみが考慮される。しかしながら、本出願の実施形態では、第2の運転ポリシーのために、車両を停止することを考慮することに加えて、支援を要請すること、救助を組織すること、緊急アクセスを手配することを要求すること、および医療リソースを予約することなどの措置を含むが、これらに限定されない、実際の状況の車両においてより多くの努力が行われ得る。

第1の態様の可能な設計では、第2の運転ポリシーは、以下の、すなわち、路側で停止すること、救助を呼ぶこと、医療機関との通信接続を確立すること、自動運転車両と医療機関の間の走行経路を計画すること、医療リソースを予約すること、および緊急医療処置チャネルを手配するように要求することのうちの任意の1つまたは複数であってもよい。

本出願の実装形態では、第2の運転ポリシーのいくつかの表現形式が具体的に説明されており、「ファーストエイドプラチナ10分」という要件が十分に考慮される。言い換えれば、健康問題を発見するための時間が進められ、その結果、事前検出および適時対処が実施される。このようにして、ユーザ体験が望ましく、運転者／乗客の健康が確保される。これは、交通事故の発生率を低減させ、大きな社会的利益ももたらす。

第1の態様の可能な設計では、自動運転レベルがL4またはL5であるとき、自動運転車両の運転席にいる人は、自動運転車両を制御するための車両制御権を有しない。この場合、その人は運転者とは呼ばれることができず、通常、運転者／乗客と呼ばれる。次いで、ADSが差および期間に基づいて第1の運転ポリシーを実行することは、具体的には、ADSが差および期間に基づいて運転者／乗客の健康レベルを決定することであってもよい。健康レベルが軽度の異常であるとADSが決定したとき、第1の運転ポリシーは、ADSによって、自動運転車両を制御して、プリセット速度（例えば、60km／h未満）よりも低下させる、路側を走行する、および危険警告信号灯を点灯することのうちの任意の1つまたは複数であってもよい。

本出願の実装形態は、自動運転レベルがレベルL4またはレベルL5である場合、運転者／乗客の健康レベルが軽度の異常であるときに第1の運転ポリシーがどのようであるかを説明する。具体的には、健康レベルは、リアルタイムの生理学的データと健康生理学的データ範囲の間の差および逸脱期間に基づいて決定され、異なる健康レベルに基づいて異なる第1の運転ポリシーが使用される。これは特定の場合により適切である。

第1の態様の可能な設計では、自動運転レベルがレベルL4またはレベルL5である場合、ADSが、健康レベルが重度の異常であると決定したとき、第1の運転ポリシーは、ADSによって、自動運転車両を制御して速度をゆっくりとゼロに低下させる、路側で停止する、危険警告信号灯を点灯する、アイドリング速度で走行する、車両の外部循環をオンにする、車両の内部循環をオンにする、車載目標温度を設定する、および中央ドアロックをロック解除することのうちの任意の1つまたは複数であり得る。

本出願の実装形態は、自動運転レベルがレベルL4またはレベルL5である場合に、運転者／乗客の健康レベルが重度の異常であるときの第1の運転ポリシーがどのようであるかを説明する。具体的には、健康レベルは、リアルタイムの生理学的データと健康生理学的データ範囲の間の差および逸脱期間に基づいて決定され、異なる健康レベルに基づいて異なる第1の運転ポリシーが使用される。これは特定の場合により適切である。

第1の態様の可能な設計では、自動運転レベルがL3である場合、運転者／乗客は自動運転車両の運転席にいる運転者である。リアルタイムの生理学的データと健康生理学的データ範囲の間の差がプリセット値よりも大きく、リアルタイムの生理学的データが健康生理学的データ範囲から逸脱する期間が第1のプリセット期間よりも大きいとき、それは、この場合、運転者／乗客の健康状態が望ましくない可能性が高いことを示す。ADSは、ADSに自動運転車両の制御許可を常に占有させる、すなわち、車両制御権が運転者／乗客に引き渡されることができないようにする。次いで、ADSは、逸脱差および逸脱期間に基づいて運転者／乗客の健康レベルをさらに決定し、健康レベルに基づいて対応する第1の運転ポリシーを実行する。具体的には、健康レベルが軽度の異常であるとADSが決定したとき、ADSが自動運転車両の制御権を常に占有するようにすることに加えて、第1の運転ポリシーは、ADSによって、自動運転車両を制御して、プリセット速度（例えば、60km／h未満）よりも低下させる、路側を走行する、および危険警告信号灯を点灯することのうちのさらに任意の1つまたは複数であってもよい。

本出願の実装形態は、以下の説明を提供する、すなわち、ADSが自動運転車両の制御権を常に占有するようにすることに加えて、第1の運転ポリシーは、自動運転レベルがL3である場合で、運転者／乗客（レベルL3の場合、運転者／乗客は実際には運転席の運転者である）の健康レベルが軽度の異常であるとき、ADSによって、自動運転車両を制御して速度をプリセット速度よりも低下させる、路側を走行する、および危険警告信号灯を点灯することのうちのさらに任意の1つまたは複数であり得る。具体的には、健康レベルは、リアルタイムの生理学的データと健康生理学的データ範囲の間の差および逸脱期間に基づいて決定され、異なる健康レベルに基づいて異なる第1の運転ポリシーが使用される。これは特定の場合により適切である。さらに、本出願のこの実施形態では、運転者／乗客は、運転者／乗客の健康レベルが通常レベルであるときにのみ車両制御権を引き継ぐ権利を有し、そうでない場合、車両制御権は運転者／乗客に引き継がされることができない。このことで、身体的な健康問題に起因して特定の時間期間に運転者／乗客が実際に引き継ぎ能力を有さないために生じる車両リスクおよび個人の安全上の問題を回避する。

第1の態様の可能な設計では、自動運転レベルがレベルL3である場合、健康レベルが重度の異常であるとADSが決定したとき、ADSに自動運転車両の制御権を常に占有させることに加えて、第1の運転ポリシーは、ADSによって、自動運転車両を制御して速度をゆっくりとゼロに低下させる、路側で停止する、危険警告信号灯を点灯する、アイドリング速度で走行する、車両の外部循環をオンにする、車両の内部循環をオンにする、車載目標温度を設定する、および中央ドアロックをロック解除することのうちのさらに任意の1つまたは複数であり得る。

本出願の実装形態は、以下の説明を提供する、すなわち、ADSが自動運転車両の制御権を常に占有するようにすることに加えて、第1の運転ポリシーは、自動運転レベルがL3である場合で、運転者／乗客（レベルL3の場合、運転者／乗客は実際には運転席の運転者である）の健康レベルが重度の異常であるとき、自動運転車両を制御して、速度をゆっくりとゼロに低下させる、路側で停止する、危険警告信号灯を点灯する、アイドリング速度で走行する、車両の外部循環をオンにする、車両の内部循環をオンにする、車載目標温度を設定する、および中央ドアロックをロック解除することのうちのさらに任意の1つまたは複数であり得る。具体的には、健康レベルは、リアルタイムの生理学的データと健康生理学的データ範囲の間の差および逸脱期間に基づいて決定され、異なる健康レベルに基づいて異なる第1の運転ポリシーが使用される。これは特定の場合により適切である。さらに、本出願のこの実施形態では、運転者／乗客は、運転者／乗客の健康レベルが通常レベルであるときにのみ車両制御権を引き継ぐ権利を有し、そうでない場合、車両制御権は運転者／乗客に引き継がされることができない。このことで、身体的な健康問題に起因して特定の時間期間に運転者／乗客が実際に引き継ぎ能力を有さないために生じる車両リスクおよび個人の安全上の問題を回避する。

第1の態様の可能な設計では、特定の自動運転レベルに関係なく、監視デバイスによって収集されたリアルタイムの生理学的データが第2のプリセット期間内（例えば、8分以内）に健康生理学的データ範囲内に入るように復元されるとき、それは運転者／乗客の健康状態が一時的に復元されることを示す。この場合、ADSは、低下した自動運転サービスを回復するように自動運転車両を制御し得る。例えば、自動運転車両によって実行されている元の自動運転サービスが「100 km／hの速度の高速追従運転」であり、リアルタイムの生理学的データと健康生理学的データ範囲の差が、第1のプリセット期間（例えば、3分）の間にプリセット値を超えたと仮定する。次いで、ADSは、自動運転サービスを「60 km／hの速度の高速追従運転」に低下させ、続いて収集されたリアルタイムの生理学的データを継続的に監視する。監視されたリアルタイムの生理学的データが、第2のプリセット期間内（例えば、8分以内）の健康生理学的データ範囲内に入るように復元された場合、ADSは、低下した「60 km／hの速度の高速追従運転」自動運転サービスを元の「100 km／hの速度の高速追従運転」に復元する。

本出願の実装形態では、特定の自動運転レベル（L3、L4、またはL5）に関係なく、監視デバイスによって収集されたリアルタイムの生理学的データが第2のプリセット期間内の健康生理学的データ範囲内に入るように復元されるとき、それは運転者／乗客の健康状態が一時的に復元されることを示す。この場合、ADSは、低下した自動運転サービスを回復するように自動運転車両を制御し得る。これはユーザ体験を向上させる。

第1の態様の可能な設計では、ADSは、リアルタイムの生理学的データに基づいてイベントログをさらに生成し得、イベントログは、異常なリアルタイムの生理学的データ、およびリアルタイムの生理学的データが健康生理学的データ範囲から逸脱している期間中のADSの一連の後続の動作を記録し、イベントログを自動運転車両に対応するクラウドサーバに定期的（例えば、5分毎）に報告するために使用される。

本出願の実装形態では、ADSは、リアルタイムの生理学的データが異常である期間中のすべての健康関連データおよび動作を、イベントログとして、記録し、バックアップのために自動運転車両に対応するクラウドエンドにイベントログを定期的に報告し得る。これは、人と車両の間の責任を区別するのに便利である。

第1の態様の可能な設計では、リアルタイムの生理学的データは、以下の生理学的データのうちの少なくとも1つのタイプを含む、すなわち、リアルタイムの血圧、リアルタイムの心拍数、リアルタイムの血中酸素、リアルタイムの体温、早発心拍、心房細動、および運転者／乗客の他のリアルタイムの生理学的データである、ただし、生理学的データは、監視デバイスによって収集されることができ、運転者／乗客の健康状態を反映することができる。これは、本明細書では特に限定されない。

本出願の実装形態では、リアルタイムの生理学的データのいくつかの一般的な形態が記載され、選択的で柔軟である。

本出願の実施形態の第2の態様は、ADSを提供する。ADSは、第1の態様または第1の態様の可能な実装形態のいずれか1つによる方法を実施する機能を有する。当該機能はハードウェアを用いて実施されてもよいし、対応するソフトウェアを実行するハードウェアによって実施されてもよい。ハードウェアまたはソフトウェアは、機能に対応する1つまたは複数のモジュールを含む。

本出願の実施形態の第3の態様は、ADSを提供する。ADSは、メモリ、プロセッサ、およびバスシステムを含み得る。メモリはプログラムを記憶するように構成される。プロセッサは、メモリに記憶されたプログラムを呼び出して、本出願の実施形態の第1の態様または第1の態様の可能な実装形態のいずれか1つによる方法を実行するように構成される。

本出願の実施形態の第4の態様は、自動運転車両を提供する。自動運転車両は、プロセッサおよびメモリを含む。メモリはプログラムを記憶するように構成される。プロセッサは、メモリに記憶されたプログラムを呼び出して、本出願の実施形態の第1の態様または第1の態様の可能な実装形態のいずれか1つによる方法を実行するように構成される。

本出願の第5の態様ではコンピュータ可読記憶媒体を提供する。コンピュータ可読記憶媒体は命令を記憶する。命令がコンピュータ上で実行されると、コンピュータは、第1の態様または第1の態様の可能な実装形態のいずれか1つによる方法を実行することが可能にされる。

本出願の実施形態の第6の態様は、コンピュータプログラム製品を提供する。コンピュータプログラム製品がコンピュータ上で動作するとき、コンピュータは、第1の態様または第1の態様の可能な実装形態のいずれか1つによる方法を実行することが可能にされる。

本出願の実施形態の第7の態様はチップを提供する。チップは、少なくとも1つのプロセッサおよび少なくとも1つのインターフェース回路を含み、インターフェース回路はプロセッサに結合される。少なくとも1つのインターフェース回路は、受信機能および送信機能を実行し、少なくとも1つのプロセッサに命令を送信するように構成される。少なくとも1つのプロセッサは、コンピュータプログラムまたは命令を実行するように構成され、第1の態様または第1の態様の可能な実装形態のいずれか1つによる方法を実行する機能を有する。機能は、ハードウェア、ソフトウェア、またはハードウェアとソフトウェアとの組み合わせを使用して実施されてもよい。ハードウェアまたはソフトウェアは、機能に対応する1つまたは複数のモジュールを含む。加えて、インターフェース回路は、チップ以外のモジュールと通信するように構成される。

自動運転分類規格J3016TMの第6章のFigure 11で定義されたODDの概略図である。 本出願の一実施形態による、定義されたODDに追加された運転者／乗客の健康指標を示すために使用される追加の適用可能範囲の概略図である。 本出願の一実施形態による、異なる自動運転レベルと手動運転の間の関係の概略図である。 本出願の一実施形態による、自動運転車両の構造の概略図である。 本出願の一実施形態による、自動運転方法の概略フローチャートである。 本出願の一実施形態による、自動運転方法の一例の概略図である。 本出願の一実施形態による、自動運転方法の一例の概略図である。 本出願の一実施形態による、自動運転方法の別の例の概略図である。 本出願の一実施形態による、自動運転方法の別の例の概略図である。 本出願の一実施形態による、ADSの構造の概略図である。 本出願の一実施形態による、ADSの構造の別の概略図である。

本出願の実施形態は、ODDにODDの適用可能範囲として健康生理学的データ範囲を新たに追加するための自動運転方法、ADS、および自動運転車両を提供する。運転者／乗客のリアルタイムの生理学的データが特定の期間の範囲から逸脱したとき、ADSは、運転者／乗客の健康が異常であると決定し、逸脱度および期間に基づいて対応する第1の運転ポリシーを実行して、運転者／乗客の突然の健康事故に適時に対処し、交通事故の発生率を低減する。

本出願の明細書、特許請求の範囲、および添付図面において、「第1」および「第2」などの用語は類似の対象を区別することを意図しているが、必ずしも特定の順序または配列を示すものではない。このように使用される用語は、適切な状況において交換可能であり、これは、本出願の実施形態において同じ属性を有する対象が説明される際に使用される区別方式にすぎないことを理解されたい。加えて、「含む」、「包含する」という用語および任意の他の変形形態は、非排他的な含有をカバーすることを意図し、その結果、一連のユニットを含むプロセス、方法、システム、製品、またはデバイスは、必ずしもそれらのユニットに限定されるとは限らず、明示的に列挙されていない、またはそのようなプロセス、方法、製品、もしくはデバイスに固有の他のユニットを含んでもよい。

本出願の実施形態は、自動運転に関する多くの関連知識に関する。本出願の実施形態における解決策をよりよく理解するために、以下では、本出願の実施形態で使用され得る関連する用語および概念を最初に説明する。関連する概念の解釈は、本出願の実施形態の特定の状況のために限定され得るが、これは、本出願が特定の状況にのみ限定され得ることを意味しないことを理解されたい。異なる実施形態の特定の状況の間には違いがあり得る。本明細書では、詳細は限定されない。

（1）自動運転システム（automation driving system，ADS）
ADSは、運転の自動化を実施するハードウェアとソフトウェアの両方を含むシステムであり、制御システムとも呼ばれ得る。ADSが展開される車両は、自動運転車両と呼ばれたり、無人自動車、コンピュータ駆動車、車輪付き移動ロボットなどと呼ばれ得る。ADSの制御下で、自動運転車両は、車載センサ、コントローラ、データプロセッサ、および実行部などの高度な装置を構成し、車両のインターネット、5G、およびV2Xなどの最新のモバイル通信およびネットワーク技術を使用することによって、交通参加者間の対話および共有を実施する。このように、自動運転車両は、検知および知覚、意思決定および計画、ならびに複雑な環境における制御および実行などの機能を有する。

ADSの制御下で、自動運転車両の作業プロセス全体は以下の通りである、すなわち、最初に、レーダ、レーザレーダ、カメラ、車載ネットワークシステムなどを使用して外部環境が検知および識別され、外部環境の知覚情報を取得する。次に、融合多面知覚情報に基づいて、インテリジェントアルゴリズムが使用され、外部シナリオ情報を学習し、シナリオにおいて交通参加者の軌跡を予測し、車両の走行軌跡を計画する。最後に、意思決定および計画によって取得された軌道目標が追跡され、車両のスロットルの制御、制動、およびステアリングなどの走行動作が実施され、車両の走行速度、位置、方向、および他の状態が調整されて、車両の安全性、操縦性、および安定性が確保される。

（2）動作設計ドメイン（operational design domain，ODD）
ODDは、設計走行ドメイン、設計適用可能ドメイン、設計走行エリアなどと呼ばれ得る。ODDは、自動運転車両の安全な作業環境を指し、本質的にパラメータのセットであり、ADSが有効になるように設計された条件および適用範囲（すなわち、自動運転の適用範囲）である。

具体的には、気象環境、道路状況（例えば、直線道路またはカーブ道路の半径）、車速、および交通の流れなどの情報が測定され、システムの能力が安全な環境に保たれることが確保される。ODDは、速度（高速、低速など）、地形（平地、山地など）、路面条件（直線道路、カーブ道路など）、環境（気象、気候、インフラストラクチャなど）、交通状況（単純または複雑、違反行為、ルートの固定など）、時間帯（昼間または夜間）などを含む、自動運転車両の安全な作業環境として理解されることができる。例えば、高速または低速、平地または山地、直線道路またはカーブ道路、気象状況、インフラストラクチャ状況、交通状況が単純であるか複雑であるか、昼間または夜間であるかといった一連の状況が自動運転の性能に決定的な役割を果たす。図1は、自動運転分類規格J3016TMの第6章のFigure 11で定義されたODDを示す。考慮される要素は、車速、地形、道路のタイプ、気象環境、交通状況、時間などを含む。異なる自動運転レベルに対応するODDが満たす必要がある走行条件は異なっていてもよい。図1に示されるように、Level 2（すなわち、レベルL2）に対応するODDの走行条件によって満たされる必要がある要素は、昼間、高速道路、および時速35マイル以下の車速（単位：mph）で、Level 4（すなわち、レベルL4）に対応するODDの走行条件によって満たされる必要がある要素は、昼間、キャンパス道路、および25 mph以下の車速である。

ODDが包括的で詳細であるかどうかは、ある程度、自動運転の解決策が成熟しているかどうかを反映することができる。ODDに設定されている条件が厳密であるかどうかは、ある程度、同じクラスの解決策のレベルを反映することもできる。車両が厳密に制限された範囲内でのみ使用されることができる場合、車両の「インテリジェント」度はより低くなり得、実際の適用シナリオはより少なく、経験はより貧弱である。

本出願の実施形態では、図2に示されるように、運転者／乗客の健康指標を示すために使用される追加の適用可能範囲、すなわち、健康生理学的データ範囲、例えば、正常心拍数範囲および正常血圧範囲は、自動運転分類規格J3016TMで定義されているODDに追加されることに留意されたい。このことで、身体的な健康問題に起因して特定の時間期間に車両引き継ぎ者が実際に引き継ぎ能力を有さないために生じる車両リスクを回避することができる。新たに追加された健康生理学的データ範囲は、各自動運転レベルのODDに追加されてもよく、特に、レベルL3からL5のODDに追加される必要がある。具体的には、自動運転レベルL3に関連した自動運転サービスでは、ODDは運転者／乗客（レベルL3の運転者／乗客は運転者）の健康指標と統合され、すなわち、運転者の引き継ぎ能力を考慮する。自動運転レベルL4およびL5に関連した自動運転サービスでは、運転者／乗客は引き継ぎ義務またはアプローチを有さず、対応するODDはまた、後続のリスク軽減戦略を実行するようにADSを誘導するために運転者／乗客の健康指標と統合される必要がある。

（3）動作設計条件（operational design condition，ODC）
ODCは、ODDの設定、運転者の状態、その他の必要条件を含む、運転自動化機能が正常に機能することができる条件であり、設計作業中に決定される。

（4）動的運転タスク（dynamic driving task，DDT）
動的運転タスクとは、道路を走行するために車両によって必要とされるすべてのリアルタイムの動作およびポリシー機能（意思決定挙動）を指し、目的地および通過地点の行程配置および選択などの戦略的機能を含まない。具体的には、DDTは、車両の水平運動方向および垂直運動方向の動作の実行、車両の周囲環境の監視、周囲環境のための対応する動作の実行などを含む、道路を走行するために車両によって必要とされる動作および意思決定を指す。要するに、動的運転タスクは、自動運転の解決策に実装された、いくつかの特定の機能として理解されることができる。一般的な自動車追従運転、アダプティブクルージング、既存の大量生産のアシスト運転車両および自動運転車両における緊急ブレーキ、ならびに少数の車両に装備された運転者確認車線変更および積極的追い越しは、典型的な動的運転タスクである。

（5）動的運転タスクのフォールバック（dynamic driving task fallback，DDT Fallback）
自動運転の設計中、体系的な故障（すなわち、システムが作業に失敗する原因となる故障）またはシステムの元の動作設計ドメインを超える状況が考慮される必要がある。2つのケースが発生するとき、リスクを最小限に抑えるための解決策が提供される必要がある。既存の大量生産の解決策では、階層的警告は、一般的な動的運転タスクのフォールバック動作である。ベンダーによって設計された最小リスク条件は互いに異なるが、停止するための減速は一般的かつ普遍的な設計である。

Nullmax解が一例として使用される。運転者が車両を引き継ぐ必要があることを検出すると、システムは引き継ぎプロンプトを階層的に送信する。運転者が指定された時間期間においてレベル1のプロンプトに応答しない場合、システムは、強度が完全にアップグレードされたレベル2のプロンプトを送信する。指定された時間期間において車両が引き継がれない場合、車両は最小リスク条件に入り、車速を低下させ、その後停止する。

（6）リスク軽減戦略（risk mitigation strategy，RMS）
RMSは、ADSが動的運転タスクを実行することができないとき、または運転者／乗客が動的運転タスクを引き継ぐことができないときに、例えば車線において停止するなど、ADSによってとられるリスク低減措置である。

具体的には、以下の内容が自動運転分類規格J3016TMのセクション8．6で定義されている、すなわち、レベルL2／L3の自動運転特性を伴う車両は、車両で発生するもの（L2の場合、運転者がL2自動運転特性を制御できない、またはL3の場合、車両引き継ぎ者が車両を引き継ぐことができない）にかかわらず、追加の故障軽減戦略（すなわち、リスク軽減戦略）を有し得る。戦略は、車両を停止するように制御する。レベルL4／L5の自動運転特性を備えた車両も、同様の故障軽減戦略を有する。まれな災害に起因する故障のためにADSが終了するとき、ADSは、車両が終了する前に停止するまで減速するように車両を制御する。言い換えれば、特定の自動運転レベルに関係なく、ADSが動的運転タスクを実行できないとき、または運転者／乗客が動的運転タスクを引き継ぐことができないとき、リスク軽減戦略の最終目的は「車両の停止」である。

（7）最小リスク条件（minimal risk condition，MRC）
車両がスケジュールされた行程を完了することができないとき、運転者／乗客またはADSは行程に進み、最終的に車両の事故リスクを許容可能にする。

（8）自動運転分類規格J3016TM
走行中に運転者／乗客および車両が車両に介入する度合いに基づいて、自動運転分類規格J3016TMは、自動運転技術の6つのレベルを定義している、すなわち、Level0、Level1、Level2、Level3、Level4、およびLevel5で、これらは略してL0、L1、L2、L3、L4、およびL5とも呼ばれ得る。図3に示されるように、自動運転分類規格J3016TMは、ODDが異なる自動運転レベルを満たすための十分な条件であることを提案している。ODDに対応する動作設計条件が満たされると、ADSは、自動運転レベルに対応する自動運転を実施することができる。ODDに対応する動作設計条件が満たされていないと、運転者による手動運転のみが実行されることができる。

具体的には、自動運転レベルと対応する分類要素の関係が表1に記載される。表1のシステムはADSである。本明細書では、すべての自動運転レベルが以下のように説明される。

レベルL0は、緊急支援とも呼ばれる。運転者は、積極的な安全構成なしに車両を完全に制御する。現在、この自動運転レベルの車両は、市場からほとんどなくなっている。

レベルL1は、部分運転支援とも呼ばれる。場合によっては、ADSは、運転者がいくつかの運転タスクを完了するのを支援することができる。

レベルL2は、複合運転支援とも呼ばれる。L2では、ADSはいくつかの運転タスクを完了することができるが、運転者は運転環境を監視し、問題が発生したときにいつでも車両を引き継ぐ必要がある。この自動運転レベルでは、運転者はいつでもADSの誤った知覚および判断を修正することができる。現在、ほとんどの自動車企業は、レベルL2のADSを提供することができる。レベルL2では、交通シナリオは、環状道路上の低速交通渋滞、高速道路上の高速運転、および車両の運転者による自動駐車など、速度および環境に基づいて異なる適用シナリオに分類されることができる。

レベルL3は、条件付き自動運転とも呼ばれる。L3では、ADSはいくつかの運転タスクを完了することができ、場合によっては運転環境を監視することができる。言い換えれば、ADSは、指定されたODD内のすべての動的運転タスクを完了するように車両を制御することができる必要があるが、運転者は車両制御権を再取得する準備をする必要がある。具体的には、ADSが故障するか、または自動運転レベルに対応するODDドメインを超えると、ADSは制御許可ハンドオーバ要求を送信する。自動運転分類規格J3016TMはまた、以下のように定義する、すなわち、ADSは、制御権ハンドオーバ要求を送信した後、数秒間にわたって車両を制御し続けることができ、この時間期間は、車両制御権を引き継ぐ準備をするために運転者によって使用される。例えば、運転者の手はステアリングホイールに置かれ、運転者の目は車両の前方を直接見る。ADSは、容量性ステアリングホイールを使用することによって、運転者の手がステアリングホイール上に置かれているかどうかを検出し、車両の運転席の監視カメラを使用することによって、運転者の目が道路を見ているかどうかなどを検出して、運転者が車両を引き継ぐ準備ができたかどうかを決定し得る。運転者が車両を引き継ぐ準備ができたとADSが決定した場合、ADSは車両制御権を運転者に引き継ぐ。したがって、この自動運転レベルでは、運転者は依然として睡眠も深い休息も許容されない。

レベルL4は、高度自動運転と呼ばれることもある。いくつかの環境および特定の条件では、ADSは運転タスクを完了し、運転環境を監視することができる。言い換えれば、ADSは、運転者／乗客（レベルL4の車両は運転者を必要としないので、運転者は存在せず、この自動運転レベルでは運転者／乗客のみが関与する）による介入なしに、ODD内で動的運転タスクを完了し、システム障害に対処することができる必要がある。現在、レベルL4の自動運転は主に都市で使用されており、完全に自律的なバレーパーキングを提供することもできるし、タクシー配車サービスと直接組み合わせられ得る。この自動運転レベルでは、対応するODDドメイン内で、すべての運転関連タスクは運転者／乗客とは無関係であり、ADSは外界の検知を完全に担当する。

レベルL5は、完全自動運転と呼ばれることもある。ADSは、すべての条件ですべての運転タスクを完了することができる、すなわち、すべての作業条件で無人運転を実施することができる。ODDを定義する必要はなく、ADSはすべての動的運転タスクを完了し、すべての動的運転タスクのフォールバックを処理することができる。

（9）運転者／乗客
本出願の実施形態では、運転者／乗客は、本質的に自動運転車両の運転席にいる人である。自動運転レベルがL3またはより低い自動運転レベルであるとき、運転者／乗客はこの場合運転者とも呼ばれ得、いくつかの運転タスクでは、自動運転車両を制御する車両制御権を有する。しかしながら、自動運転レベルがL4またはL5であるとき、自動運転車両の運転席にいる人は、自動運転車両を制御するための車両制御権を有しない。この場合、その人は運転者とは呼ばれることができず、通常、運転者／乗客と呼ばれる。したがって、運転者／乗客は、レベルL3以下の運転者であり、本出願のこの実施形態ではレベルL4またはレベルL5の運転者／乗客であり、本出願の実施形態ではまとめて運転者／乗客と呼ばれる。

以下で、添付の図面を参照して本出願の実施形態を記載する。当業者であれば、技術が発達し、新しいシナリオが出現するにつれて、本出願の実施形態で提供される技術的解決策が同様の技術的問題にも適用可能であることを知ることができる。

解決策をよりよく理解するために、本出願の実施形態は、最初に自動運転車両の内部構造の特定の機能を説明する。図4は、本出願の一実施形態による、自動運転車両の構造の概略図である。自動運転車両100は、完全または部分的に自動運転モードに構成される。例えば、自動運転車両100は、自動運転モードにあるときに手動操作を通して自身を制御することができ、車両100の現在の状態および車両の周囲環境を決定し、周囲環境において少なくとも1つの別の車両の可能な挙動を決定し、別の車両が可能な挙動を実行する可能性に対応する信頼性レベルを決定し、決定された情報に基づいて自動運転車両100を制御することができる。自動運転車両100が自動運転モードであるとき、自動運転車両100は、人との対話を行わずに動作するように代替的に設定されていてもよい。

自動運転車両100は、走行システム102、センサシステム104（例えば、図3のカメラ、SICK、IBEO、レーザレーダなどはすべて、センサシステム104のモジュールに属する）、自動運転システム106、1つまたは複数の周辺デバイス108、電源110、コンピュータシステム112、およびユーザインターフェース116などの様々なサブシステムを含み得る。任意選択で、自動運転車両100は、より多くのまたはより少ないサブシステムを含んでもよく、各サブシステムは、複数の構成要素を含んでもよい。加えて、自動運転車両100のサブシステムおよび構成要素は、有線または無線方式で相互接続されてもよい。

走行システム102は、自動運転車両100に運動学的な運動を提供する構成要素を含み得る。一実施形態では、走行システム102は、エンジン118、エネルギー源119、変速装置120、および車輪／タイヤ121を含み得る。

エンジン118は、内燃エンジン、モータ、空気圧縮エンジン、または別のタイプのエンジンの組み合わせ、例えば、ガソリンエンジンと電気モータとで形成されたハイブリッドエンジン、または内燃エンジンと空気圧縮エンジンとで形成されたハイブリッドエンジンであってもよい。エンジン118は、エネルギー源119を機械的エネルギーに変換する。例えば、エネルギー源119は、ガソリン、ディーゼル、別の石油系燃料、プロパン、別の圧縮ガス系燃料、無水アルコール、ソーラーパネル、電池、および別の電源を含む。エネルギー源119はまた、自動運転車両100の別のシステムにもエネルギーを供給し得る。変速装置120は、機械的動力をエンジン118から車輪121に伝達し得る。変速装置120は、ギヤボックス、デファレンシャルギヤ、および駆動シャフトを含み得る。一実施形態では、変速装置120は、別の構成要素、例えばクラッチをさらに含み得る。駆動シャフトは、1つまたは複数の車輪121に結合され得る1つまたは複数のシャフトを含んでもよい。

センサシステム104は、自動運転車両100の周囲環境に関する情報を検知するいくつかのセンサを含み得る。例えば、センサシステム104は、測位システム122（測位システムは、全地球測位システムGPS、またはBeiDouシステムもしくは別の測位システムであってもよい）、慣性計測装置（inertial measurement unit，IMU）124、レーダ126、レーザ測距器128、およびカメラ130を含み得る。センサシステム104は、監視対象自動運転車両100の内部システムのセンサ（例えば、車内空気質モニタ、燃料計、および油温計）をさらに含み得る。これらのセンサのうちの1つまたは複数からのセンサデータは、物体および物体の対応する特性（位置、形状、方向、速度など）を検出するために使用されてもよい。このような検出と識別は、自動運転車両100の安全動作の重要な機能である。本出願のこの実施形態では、レーザセンサは、センサシステム104における非常に重要な検知モジュールである。

測位システム122は、自動運転車両100の地理的位置を推定するように構成されてもよい。本出願のこの実施形態では、レーザセンサは、自動運転車両100の正確な位置決めを実施するための測位システム122のうちの1つとして使用され得る。IMU 124は、慣性加速度に基づいて自動運転車両100の位置および向きの変化を検知するように構成される。一実施形態では、IMU 124は、加速度計とジャイロスコープとの組み合わせであってもよい。レーダ126は、無線信号を使用して自動運転車両100の周囲環境の物体を検知してもよく、具体的にはミリ波レーダやレーザレーダとして表されてもよい。いくつかの実施形態では、物体を検知することに加えて、レーダ126はまた、物体の速度および／または進行方向を検知するようにさらに構成されてもよい。レーザ測距器128は、自動運転車両100が位置される環境において物体を検知するために、レーザ光を使用し得る。いくつかの実施形態では、レーザ測距器128は、1つまたは複数のレーザ源、レーザスキャナ、1つまたは複数の検出器、および他のシステム構成要素を含み得る。カメラ130は、自動運転車両100の周囲環境の複数の画像を取り込むように構成され得る。カメラ130は、静止カメラであってもよいし、ビデオカメラであってもよい。

自動運転システム106は、自動運転車両100および自動運転車両100の構成要素の動作を制御する。したがって、本出願のこの実施形態では、自動運転システム106は、制御システムとも呼ばれ得る。自動運転システム106は、ステアリングシステム132、スロットル134、ブレーキユニット136、コンピュータビジョンシステム140、ルート制御システム142、および障害物回避システム144などの様々な構成要素を含み得る。

ステアリングシステム132は、自動運転車両100の進行方向を調整するために操作され得る。例えば、一実施形態において、ステアリングシステム132は、ステアリングホイールシステムであってもよい。スロットル134は、エンジン118の動作速度を制御し、その後、自動運転車両100の速度を制御するように構成される。ブレーキユニット136は、自動運転車両100を減速するよう制御するように構成され、またブレーキユニット136は、車輪121の速度を減ずるために摩擦力を使用してもよい。別の実施形態では、ブレーキユニット136は、車輪121の運動エネルギーを電流に変換し得る。ブレーキユニット136は、代替的に、自動運転車両100の速度を制御するために、別の形態によって車輪121の回転速度を減速させてもよい。コンピュータビジョンシステム140は、カメラ130によって取り込まれた画像を処理および分析して、自動運転車両100の周囲環境における物体および／または特性を識別するように動作され得る。物体および／または特性は、交通信号灯、道路境界、および障害物を含み得る。コンピュータビジョンシステム140は、物体認識アルゴリズム、ストラクチャフロムモーション（structure from motion，SFM）アルゴリズム、ビデオ追跡、および他のコンピュータビジョン技術を使用し得る。いくつかの実施形態において、コンピュータビジョンシステム140は、環境の地図を描画し、物体を追跡し、物体の速度を推定し、その他を行うように構成されてよい。ルート制御システム142は、自動運転車両100の走行ルートおよび走行速度を決定するように構成される。いくつかの実施形態では、ルート制御システム142は、水平計画モジュール1421および垂直計画モジュール1422を含み得る。水平計画モジュール1421および垂直計画モジュール1422は、障害物回避システム144、GPS 122、および1つまたは複数の所定のマップからのデータに基づいて、自動運転車両100の走行ルートおよび走行速度を決定するように構成される。障害物回避システム144は、自動運転車両100が位置される環境における障害物を識別、評価、回避、または迂回するように構成される。障害物は、具体的には、自動運転車両100に衝突する可能性がある実際の障害物および仮想移動物体として表されてもよい。一例では、自動運転システム106は、追加的または代替的に、図示および説明されたもの以外の構成要素を含んでもよい。代替的に、上述の構成要素のうちのいくつかが、自動運転システム106から除去されてもよい。

自動運転車両100は、周辺デバイス108を使用することによって、外部センサ、別の車両、別のコンピュータシステム、またはユーザと対話する。周辺デバイス108は、無線通信システム146、車載コンピュータ148、マイクロフォン150、および／またはラウドスピーカ152を含み得る。いくつかの実施形態では、周辺デバイス108は、自動運転車両100のユーザがユーザインターフェース116と対話するための手段を提供する。例えば、車載コンピュータ148は、自動運転車両100のユーザに情報を提供してもよい。ユーザインターフェース116は、車載コンピュータ148を操作することによってユーザ入力をさらに受信し得、車載コンピュータ148は、タッチスクリーンを使用して操作されることができる。別の場合では、周辺デバイス108は、自動運転車両100が別の車載デバイスと通信するための手段を提供し得る。例えば、マイクロフォン150は、自動運転車両100のユーザからオーディオ（例えば、音声コマンドまたは別のオーディオ入力）を受信してもよい。同様に、ラウドスピーカ152は、自動運転車両100のユーザにオーディオを出力してもよい。無線通信システム146は、1つまたは複数のデバイスと、直接的に、または通信ネットワークを通じて、無線通信し得る。例えば、無線通信システム146は、CDMA、EVDO、およびGSM／GPRSなどの3Gセルラ通信、LTEなどの4Gセルラ通信、または5Gセルラ通信を使用してもよい。無線通信システム146は、無線ローカルエリアネットワーク（wireless local area network，WLAN）を使用することによって通信を実行し得る。いくつかの実施形態では、無線通信システム146は、赤外線リンク、ブルートゥース（登録商標）、またはZigBeeを使用してデバイスと直接通信し得る。他の無線プロトコル、例えば、無線通信システム146などの様々な車両通信システムは、1つまたは複数の専用短距離通信（dedicated short range communications，DSRC）デバイスを含み得る。これらのデバイスは、相互に公衆および／または私的データ通信を行う路側局にある、車両および／または装置を含み得る。

電源110は、自動運転車両100の構成要素に電力を供給し得る。一実施形態では、電源110は、再充電可能なリチウムイオン電池または鉛蓄電池であってもよい。このような電池の1つまたは複数の電池パックは、自動運転車両100の構成要素に電力を供給する電源として構成されてもよい。いくつかの実施形態において、電源110とエネルギー源119は、いくつかの純電気自動車におけるように、一緒に実装されてもよい。

自動運転車両100の機能の一部または全部は、コンピュータシステム112によって制御される。コンピュータシステム112は少なくとも1つのプロセッサ113を含んでよく、プロセッサ113は、例えば、メモリ114などの非一時的コンピュータ可読媒体に記憶されている命令115を実行する。代替的に、コンピュータシステム112は、自動運転車両100の個々の構成要素またはサブシステムを分散方式で、制御する複数のコンピューティングデバイスであってもよい。プロセッサ113は、例えば、市販の中央処理装置（central processing unit，CPU）などの任意の従来のプロセッサであってもよい。代替的に、プロセッサ113は、例えば、特定用途向け集積回路（application specific integrated circuit，ASIC）または別のハードウェアベースのプロセッサなどの専用デバイスであってもよい。図4は、コンピュータシステム112のプロセッサ、メモリ、他の構成要素を同じブロックで機能的に図示しているが、当業者は、プロセッサまたはメモリが、実際には、同じ物理的ハウジングに格納されない複数のプロセッサまたはメモリを含み得ることを理解すべきである。例えば、メモリ114は、コンピュータシステム112とは異なるハウジングに配置されたハードディスクドライブまたは他の記憶媒体であってもよい。したがって、プロセッサ113またはメモリ114への言及は、並列に動作してもしなくてもよいプロセッサまたはメモリのセットへの言及を含むことが理解される。本明細書に記載のステップを実行するために単一のプロセッサを使用することとは異なり、ステアリング構成要素および減速構成要素などのいくつかの構成要素は、それぞれのプロセッサを含み得る。プロセッサは、構成要素固有の機能に関連する計算のみを実行する。

本明細書に記載された様々な態様では、プロセッサ113は、自動運転車両100から遠く離れて配置され、自動運転車両100と無線通信し得る。他の態様では、本明細書に記載された、いくつかのプロセスは、自動運転車両100の内部に配置されたプロセッサ113上で実行され、他のプロセスは、リモートプロセッサによって実行される。プロセスは、単一の動作を実行するために必要なステップを含む。

いくつかの実施形態では、メモリ114は、命令115（例えば、プログラム論理）を含むことができ、命令115は、上述したそれらの機能を含む、自動運転車両100の様々な機能を実行するためにプロセッサ113によって実行されてもよい。メモリ114はまた、走行システム102、センサシステム104、自動運転システム106、および周辺デバイス108のうちの1つまたは複数にデータを送信する、そこからデータを受信する、それと対話する、および／またはそれを制御するための命令を含む、追加の命令を含んでもよい。命令115に加えて、メモリ114はまた、道路地図、ルート情報、車両の位置、方向、および速度、このタイプの他の車両のデータ、ならびに他の情報などのデータを記憶し得る。これらの情報は、自律モード、半自律モード、および／または手動モードでの自動運転車両100の動作中に、自動運転車両100およびコンピュータシステム112によって使用され得る。ユーザインターフェース116は、自動運転車両100のユーザに情報を提供し、またはユーザから情報を受信するように構成される。任意選択で、ユーザインターフェース116は、無線通信システム146、車載コンピュータ148、マイクロフォン150、およびラウドスピーカ152などの周辺デバイス108のセットにおいて、1つまたは複数の入力／出力デバイスに含まれてもよい。

コンピュータシステム112は、様々なサブシステム（例えば、走行システム102、センサシステム104、および自動運転システム106）およびユーザインターフェース116から受信した入力に基づいて、自動運転車両100の機能を制御し得る。例えば、コンピュータシステム112は、自動運転システム106からの入力を使用して、センサシステム104および障害物回避システム144によって検出された障害物を回避するようにステアリングシステム132を制御し得る。いくつかの実施形態では、コンピュータシステム112は、自動運転車両100および自動運転車両100のサブシステムの多くの態様を制御するように動作され得る。

任意選択で、前述の構成要素のうちの1つまたは複数は、自動運転車両100とは別個に設置されてもよいし、関連付けられてもよい。例えば、メモリ114は、自動運転車両100から部分的にまたは完全に分離して存在してもよい。前述の構成要素は、有線および／または無線方式で互いに通信可能に結合されてもよい。

任意選択で、前述の構成要素は単なる例である。実際の用途では、前述のモジュールの構成要素は、実際の要件に応じて追加または削除されてもよい。図4は、本出願の実施形態に対するいかなる限定としても理解されるべきではない。道路を走行する自動運転車両、例えば自動運転車両100は、現在の速度を調整することを決定するために、自動運転車両100の周囲環境における物体を識別し得る。物体は、別の車両、交通制御デバイス、または別のタイプの物体であってもよい。いくつかの例では、各識別された物体は、独立して考慮されてもよく、物体の現在の速度、物体の加速度、および物体と車両の間の間隔などの各物体の特性に基づいて、自動運転車両によって調整されるべき速度を決定するために使用されてもよい。

任意選択で、自動運転車両100または自動運転車両100に関連付けられたコンピューティングデバイス（例えば、図4に示されるコンピュータシステム112、コンピュータビジョンシステム140、またはメモリ114）は、識別された物体の特性および周囲環境の状態（例えば、道路上の交通、雨、または氷）に基づいて、識別された物体の挙動を予測し得る。任意選択で、識別された物体は、互いの挙動に依存する。したがって、単一の識別された物体の挙動を予測するために、すべての識別された物体が一緒に考慮され得る。自動運転車両100は、識別した物体の予測挙動に基づいて、自動運転車両100の速度を調整することができる。言い換えれば、自動運転車両100は、物体の予測挙動に基づいて、車両を特定の安定状態（例えば、加速、減速、または停止状態）に調整する必要があると決定することができる。このプロセスでは、自動運転車両100の速度を決定するための別の要因、例えば、自動運転車両100が走行する道路上の自動運転車両100の水平位置、道路の曲率、および静止物体と動的物体の間の近接度も考慮され得る。自動運転車両の速度を調整するための命令を提供することに加えて、コンピューティングデバイスは、自動運転車両100が所与の軌道を追従し、および／または自動運転車両100の近くの物体（例えば、道路上の隣接車線にいる車）からの安全な横方向および縦方向距離を維持するように、自動運転車両100のステアリング角を変更するための命令を提供し得る。

自動運転車両100は、自動車、トラック、オートバイ、バス、ボート、飛行機、ヘリコプター、芝刈り機、レクリエーション用車両、遊び場用車両、建設デバイス、路面電車、ゴルフカート、列車、手押し車などであってもよい。これは、本出願のこの実施形態では特に限定されない。

図4に対応する実施形態で説明された自動運転車両に基づいて、本出願の一実施形態は自動運転方法を提供する。図5は、本出願の一実施形態による、自動運転方法の概略フローチャートである。本方法は以下のステップを含み得る。

501：自動運転システムADSは、監視デバイスによって収集された運転者／乗客のリアルタイムの生理学的データを受信する。

最初に、ADSが展開された自動運転車両の運転者／乗客は監視デバイスを装着する（例えば、スマートウォッチ、スマートバンド、もしくはスマートカーディオタコメータ、または別のウェアラブルデバイス）。監視デバイスは、運転者／乗客のリアルタイムの生理学的データをリアルタイムで収集し得、例えば、心拍数、血圧、血中酸素、体温、早発心拍、心房細動、および運転者／乗客の他のリアルタイムの生理学的データを収集し、次いで、これらの収集されたリアルタイムの生理学的データを通信プロトコル（例えば、ブルートゥース（登録商標）またはWiFi）を使用してADSに送信し得る。

本出願の実施形態では、運転者／乗客は、本質的に自動運転車両の運転席にいる人であることに留意されたい。自動運転レベルがL3またはより低い自動運転レベルであるとき、運転者／乗客はこの場合運転者とも呼ばれ得、いくつかの運転タスクでは、自動運転車両を制御する車両制御権を有する。しかしながら、自動運転レベルがL4またはL5であるとき、自動運転車両の運転席にいる人は、自動運転車両を制御するための車両制御権を有しない。この場合、その人は運転者とは呼ばれることができず、通常、運転者／乗客と呼ばれる。したがって、運転者／乗客は、レベルL3以下の運転者であり、本出願のこの実施形態ではレベルL4またはレベルL5の運転者／乗客であり、本出願の実施形態ではまとめて運転者／乗客と呼ばれる。

502：リアルタイムの生理学的データと健康生理学的データ範囲の間の差がプリセット値よりも大きく、リアルタイムの生理学的データが健康生理学的データ範囲から逸脱する期間が第1のプリセット期間よりも大きいとき、ADSは、自動運転車両によって実行されている自動運転サービスを低下させ、差および期間に基づいて第1の運転ポリシーを実行し、健康生理学的データ範囲は、動作設計ドメインODDに事前に追加された適用可能範囲である。

監視デバイスによって送信された運転者／乗客のリアルタイムの生理学的データを受信した後、ADSは、リアルタイムの生理学的データが健康生理学的データ範囲から逸脱しているかどうかを決定する。受信したリアルタイムの生理学的データと健康生理学的データ範囲の間の差がプリセット値よりも大きいと決定したとき、ADSは、リアルタイムの生理学的データが健康生理学的データ範囲から逸脱する期間が第1のプリセット期間よりも長いかどうかをさらに決定する。リアルタイムの生理学的データが健康生理学的データ範囲から逸脱する期間が第1のプリセット期間よりも長いと決定したとき、ADSは、自動運転車両によって実行されている自動運転サービスに対して低下処理を実行し、差および期間の特定の値に基づいて第1の運転ポリシーを実行する。

健康生理学的データ範囲は、ODDに事前に追加された適用可能な範囲であることに留意されたい。図2に示されるように、追加の適用可能範囲は、運転者／乗客の健康指標を示すために使用され、すなわち、健康生理学的データ範囲、例えば、正常心拍数範囲および正常血圧範囲は、自動運転分類規格J3016TMで定義されているODDに追加される。ODDはADS上に展開される。このことで、身体的な健康問題に起因して特定の時間期間に車両引き継ぎ者が実際に引き継ぎ能力を有さないために生じる車両リスクを回避することができる。新たに追加された健康生理学的データ範囲は、各自動運転レベルのODDに追加されてもよく、特に、レベルL3からL5のODDに追加される必要がある。具体的には、自動運転レベルL3に関連した自動運転サービスでは、ODDは運転者／乗客（レベルL3の運転者／乗客は運転者）の健康指標と統合され、すなわち、運転者の引き継ぎ能力を考慮する。自動運転レベルL4およびL5に関連した自動運転サービスでは、運転者／乗客は引き継ぎ義務またはアプローチを有さず、対応するODDはまた、後続のリスク軽減戦略を実行するようにADSを誘導するために運転者／乗客の健康指標と統合される必要がある。

理解を容易にするために、以下では、監視デバイスによって収集されたリアルタイムの生理学的データがリアルタイムの心拍数であり、健康生理学的データ範囲が健康心拍数範囲である一例を使用して、ステップ502を説明する。健康心拍数範囲は、毎分60回から毎分100回までであると仮定する。監視デバイスによって収集された瞬間の運転者／乗客のリアルタイムの心拍数が毎分120回から毎分160回の範囲で、健康心拍数範囲を超える場合、ADSはトリガされてタイミングを開始する。第1のプリセット期間は3分であると仮定する。3分後、3分以内に監視デバイスによって収集されたリアルタイムの心拍数は、依然として毎分120回から毎分160回の範囲である。具体的には、異常なリアルタイムの心拍数の期間は3分であり、リアルタイムの心拍数と健康心拍数範囲の間の差は毎分20回から毎分60回であり、これはプリセット値よりも大きい（プリセット値は毎分20回であると仮定する）。そのとき、運転者／乗客の健康状態が急に望ましくない可能性が高いことを示している。この場合、ADSは、自動運転車両によって実行されている「高速追従運転」サービスを低下させる（実行されている自動運転サービスは「高速追従運転」であること仮定する）。例えば、元の速度100キロメートル／時間（単位：km／h）を70 km／hまでゆっくりと低下させ、その差および期間に基づいて第1の運転ポリシーが実行される。例えば、第1の運転ポリシーは、路側を走行し、警告のために危険警告信号灯を点灯することであってもよい。

自動運転車両の自動運転レベルは特にL0からL5に分類され、異なる自動運転レベルは異なるODDに対応するため、本出願のこの実施形態では、レベルL3、L4、およびL5の第1の運転ポリシーが主に考慮される。以下では、別々に説明を提供する。

（1）自動運転レベルがL3のときの第1の運転ポリシー
自動運転レベルがレベルL3である場合、運転者／乗客は自動運転車両の運転席にいる運転者である。最初に、リアルタイムの生理学的データと健康生理学的データ範囲の間の差がプリセット値よりも大きく、リアルタイムの生理学的データが健康生理学的データ範囲から逸脱する期間が第1のプリセット期間よりも大きいとき、それは、この場合、運転者／乗客の健康状態が望ましくない可能性が高いことを示す。ADSは、ADSに自動運転車両の制御権を常に占有させる、すなわち、車両制御権が運転者／乗客に引き渡されることができないようにする。次いで、ADSは、逸脱差および逸脱期間に基づいて運転者／乗客の健康レベルをさらに決定し、健康レベルに基づいて対応する第1の運転ポリシーを実行する。例えば、健康レベルが軽度の異常であるとADSが決定したとき、ADSが自動運転車両の制御権を常に占有するようにすることに加えて、第1の運転ポリシーは、ADSによって、自動運転車両を制御して、プリセット速度（例えば、60km／h未満）よりも低下させる、路側を走行する、および危険警告信号灯を点灯することのうちのさらに任意の1つまたは複数であってもよい。健康レベルが重度の異常であるとADSが決定したとき、ADSに自動運転車両の制御権を常に占有させることに加えて、第1の運転ポリシーは、ADSによって、自動運転車両を制御して速度をゆっくりとゼロに低下させる、路側で停止する、危険警告信号灯を点灯する、アイドリング速度で走行する、車両の外部循環をオンにする、車両の内部循環をオンにする、車載目標温度を設定する、および中央ドアロックをロック解除することのうちのさらに任意の1つまたは複数であり得る。

本出願のこの実施形態では、運転者／乗客の健康状態が望ましくない場合、健康レベルは軽度の異常と重度の異常とに分類されることに留意されたい（リアルタイムの生理学的データが健康生理学的データ範囲内にある場合、健康レベルは正常レベルである）。理解を容易にするために、以下では、リアルタイムの生理学的データがリアルタイムの心拍数である一例を使用して、運転者／乗客の健康レベルを分類する方式を説明する。本出願のこの実施形態では、健康心拍数範囲は、毎分60回から毎分100回までであると仮定する。

a．健康レベルは正常レベルである、すなわち、運転者／乗客のリアルタイムの心拍数は、毎分60回から毎分100回の範囲である。この場合、運転者／乗客の健康レベルは正常レベルであり、健康レベル1とも呼ばれ得、運転者／乗客の健康状態が望ましいことを示す。

b．健康レベルは軽度の異常である、すなわち、運転者／乗客のリアルタイムの心拍数は、毎分40回から毎分60回の範囲であり、3分間続くか、または運転者／乗客のリアルタイムの心拍数は、毎分100回から毎分160回の範囲であり、3分間続く。この場合、運転者／乗客の健康レベルは軽度の異常であり、健康レベル2とも呼ばれる場合もあり、運転者／乗客が軽度の健康問題を有し、運転者／乗客がわずかに不快であることを示す。

c．健康レベルは重度の異常である、すなわち、運転者／乗客のリアルタイムの心拍数が毎分40回未満であり、5分間続く、または運転者／乗客のリアルタイムの心拍数が毎分160回超であり、5分間続く。この場合、運転者／乗客の健康レベルは重度の異常であり、健康レベル3とも呼ばれる場合もあり、運転者／乗客が軽度の健康問題を有し、運転者／乗客が深刻に不快であることを示す。

健康心拍数範囲は、ビッグデータ統計に基づいてプリセットされてもよく、例えば、毎分65回から毎分105回に設定されてもよいことに留意されたい。これは、本明細書では特に限定されない。リアルタイムの心拍数に基づいて特定の健康レベルを決定するための差および期間もプリセットされ得る。例えば、運転者／乗客のリアルタイムの心拍数が、毎分30回から毎分65回までの範囲であり、4分間継続するとき、または運転者／乗客のリアルタイムの心拍数が、毎分105回から毎分165回までの範囲であり、3分間継続するときの健康レベルは軽度の異常に設定され得る。これは、本明細書では特に限定されない。

本出願のいくつかの実装形態では、運転者／乗客による車両制御権を引き継ぐ引き継ぎ能力レベルは、運転者／乗客の健康レベルに基づいて対応して取得され得ることにも留意されたい。引き継ぎ能力レベルは、以下のように個別に説明される。

a．引き継ぎ能力レベル1：対応する健康レベルは正常レベル（または健康レベル1）である。自動運転サービスは影響を受けず、運転者／乗客はいつでも車両制御権を引き継ぐことができる。

b．引き継ぎ能力レベル2：対応する健康レベルは軽度の異常（または健康レベル2）である。ADSは、自動運転サービスを低下させる、すなわち、速度を60 km／h以下に低下させる、路側を走行する、および危険警告信号灯を点灯するように自動運転車両を制御する。車両制御権を運転者／乗客に引き継ぐことはできない。

c．引き継ぎ能力レベル3：対応する健康レベルは重度の異常（または健康レベル3）である。ADSは、自動運転車両を制御して、自動運転サービスを継続的に低下させ、速度をゆっくりと0に低下させてから終了し、路側で停止し、危険警告信号灯を点灯し、アイドリング速度で走行し、車両の換気／外部循環をオンにし、車載目標温度を22°Cに設定し、エアコンをオンにし、中央ドアロックをロック解除し、車載通信デバイス（例えば、TBOX）を使用して助けを呼び、定期的に測位情報を送信する。

上記は、レベル1、レベル2、およびレベル3にそれぞれ対応する、正常、軽度の異常、および重度の異常の3つの分類された健康レベルのみを記載していることにも留意されたい。本出願のいくつかの実装形態では、実際の適用シナリオに応じて、より多くのまたはより少ない健康レベルが設定されてもよい。例えば、健康レベルは、正常レベルと異常レベルとにのみ分類されてもよく、すなわち2つのレベルに対応していてもよい。代替的に、健康レベルは、すなわち、対応する4つのレベル、正常、軽度の異常、中等度異常、重度の異常に分類されてもよい。健康レベルをどのように分類するかは、本明細書では特に限定されない。軽度の異常および重度の異常のみが、本出願の実施形態における例示のための一例として使用され、本出願の実施形態における異なる健康レベルに基づいて使用され得る異なる第1の運転ポリシーを説明する。これは特定の場合により適切である。

同様に、上記は、3つの分類された引き継ぎ能力レベル、すなわち、レベル1、レベル2、およびレベル3のみを説明している。本出願のいくつかの実装形態では、実際の適用シナリオに応じて、より多くのまたはより少ない引き継ぎ能力レベルが設定されてもよい。引き継ぎ能力レベルをどのように分類するかは、本明細書では特に限定されない。

前述では、リアルタイムの生理学的データがリアルタイムの心拍数である一例を使用して、運転者／乗客の健康レベルを分類する方式を説明しているにすぎないことにも留意されたい。本出願のいくつかの実装形態では、監視デバイスによって収集されたリアルタイムの生理学的データは、代替的に、運転者／乗客のリアルタイムの生理学的データ、例えば心拍数、血圧、血中酸素、体温、早発心拍、および心房細動であってもよい、ただし、生理学的データは、監視デバイスによって収集されることができ、運転者／乗客の健康状態を反映することができる。これは、本明細書では特に限定されない。

以下では、リアルタイムの生理学的データがリアルタイムの心拍数であり、運転者／乗客の健康レベルが分類されて、運転者／乗客の健康レベル分類および対応する第1の運転ポリシーを説明する一例を使用する。詳細は表2に記載され得る。ODDにおける健康生理学的データ範囲は、それに対応して健康心拍数範囲である。本出願のこの実施形態では、健康心拍数範囲は、毎分60回から毎分100回までであると仮定する。正常レベルである健康レベルがレベル1に対応している場合、それは、運転者／乗客の引き継ぎ能力がレベル1であり、自動運転車両によって実行されている自動運転サービスが影響を受けないことを示す。軽度の異常である健康レベルがレベル2に対応している場合、ADSは、自動運転車両によって実行されている自動運転サービスを低下させるように制御し、自動運転車両を制御して、以下のうちの任意の1つまたは複数を実行する、すなわち、速度をプリセット速度よりも低くすること、路側を走行すること、および危険警告信号灯を点灯することである。重度の異常である健康レベルがレベル3に対応している場合、ADSは、自動運転車両によって実行されている自動運転サービスを継続的に低下させるように制御し、以下のうちの任意の1つまたは複数を実行するように自動運転車両を制御する、すなわち、速度をゆっくりと0に低下させること、路側で停止すること、危険警告信号灯を点灯すること、アイドリング速度で走行すること、車両の外部循環をオンにすること、車両の内部循環をオンにすること、車内目標温度を設定すること、および中央ドアロックをロック解除することである。

自動運転レベルがL3である場合、本出願のこの実施形態では、健康レベルは、リアルタイムの生理学的データと健康生理学的データ範囲の間の差および逸脱期間に基づいて決定され、異なる健康レベルに基づいて異なる第1の運転ポリシーが使用される。これは特定の場合により適切である。さらに、本出願のこの実施形態では、運転者／乗客は、運転者／乗客の健康レベルが通常レベルであるときにのみ車両制御権を引き継ぐ権利を有し、そうでない場合、車両制御権は運転者／乗客に引き継がされることができず、ADSが第1の運転ポリシーを実行する。このことで、身体的な健康問題に起因して特定の時間期間に運転者／乗客が実際に引き継ぎ能力を有さないために生じる車両リスクおよび個人の安全上の問題を回避する。

（2）自動運転レベルがL4またはL5のときの第1の運転ポリシー
自動運転レベルがレベルL4またはレベルL5である場合、自動運転車両の運転席にいる人は、自動運転車両を制御するための車両制御権を有しない。この場合、その人は運転者とは呼ばれることができず、通常、運転者／乗客と呼ばれる。最初に、リアルタイムの生理学的データと健康生理学的データ範囲の間の差がプリセット値よりも大きく、リアルタイムの生理学的データが健康生理学的データ範囲から逸脱する期間が第1のプリセット期間よりも大きいとき、それは、この場合、運転者／乗客の健康状態が望ましくない可能性が高いことを示す。次いで、ADSは、逸脱差および逸脱期間に基づいて運転者／乗客の健康レベルをさらに決定し、健康レベルに基づいて対応する第1の運転ポリシーを実行する。これは、自動運転レベルがL3の前述の場合と同様である。例えば、健康レベルが軽度の異常であるとADSが決定したとき、第1の運転ポリシーは、ADSによって、自動運転車両を制御して、プリセット速度（例えば、60km／h未満）よりも低下させる、路側を走行する、および危険警告信号灯を点灯することのうちの任意の1つまたは複数であってもよい。ADSが、健康レベルが重度の異常であると決定したとき、第1の運転ポリシーは、ADSによって、自動運転車両を制御して速度をゆっくりとゼロに低下させる、路側で停止する、危険警告信号灯を点灯する、アイドリング速度で走行する、車両の外部循環をオンにする、車両の内部循環をオンにする、車載目標温度を設定する、および中央ドアロックをロック解除することのうちの任意の1つまたは複数であり得る。

本出願のこの実施形態では、自動運転レベルがL3である前述の場合と同様に、運転者／乗客の健康状態が望ましくない場合、健康レベルは軽度の異常と重度の異常とに分類されることに留意されたい（リアルタイムの生理学的データが健康生理学的データ範囲内にある場合、健康レベルは正常レベルである）。詳細については、L3の前述の場合を参照されたい。詳細は、本明細書では再度説明されない。

以下では、リアルタイムの生理学的データがリアルタイムの心拍数であり、運転者／乗客の健康レベルが分類されて、運転者／乗客の健康レベル分類および対応する第1の運転ポリシーを説明する一例を使用する。詳細は表3に記載され得る。ODDにおける健康生理学的データ範囲は、それに対応して健康心拍数範囲である。本出願のこの実施形態では、健康心拍数範囲は、毎分60回から毎分100回までであると仮定する。正常レベルである健康レベルがレベル1に対応している場合、自動運転車両によって実行されている自動運転サービスは影響を受けないことを示す。軽度の異常である健康レベルがレベル2に対応している場合、ADSは、自動運転車両によって実行されている自動運転サービスを低下させるように制御し、自動運転車両を制御して、以下のうちの任意の1つまたは複数を実行する、すなわち、速度をプリセット速度よりも低くすること、路側を走行すること、および危険警告信号灯を点灯することである。重度の異常である健康レベルがレベル3に対応している場合、ADSは、自動運転車両によって実行されている自動運転サービスを継続的に低下させるように制御し、以下のうちの任意の1つまたは複数を実行するように自動運転車両を制御する、すなわち、速度をゆっくりと0に低下させること、路側で停止すること、危険警告信号灯を点灯すること、アイドリング速度で走行すること、車両の外部循環をオンにすること、車両の内部循環をオンにすること、車内目標温度を設定すること、および中央ドアロックをロック解除することである。表3と表2の違いは、レベルL4またはレベルL5では、運転者／乗客が車両を引き継ぐ義務またはアプローチを有していないため、表3の第1の運転ポリシーが車両制御権のハンドオーバを含まないことにある。

自動運転レベルがL4またはL5である場合、本出願のこの実施形態では、健康レベルは、リアルタイムの生理学的データと健康生理学的データ範囲の間の差および逸脱期間に基づいて決定され、異なる健康レベルに基づいて異なる第1の運転ポリシーが使用される。これは特定の場合により適切である。

503：ADSは、リアルタイムの生理学的データが第2のプリセット期間内の健康生理学的データ範囲内に入るように復元されないとき、認証要求を送信する。

特定の自動運転レベルに関係なく、監視デバイスによって収集されたリアルタイムの生理学的データが第2のプリセット期間内（例えば、8分以内）に健康生理学的データ範囲内に入るように復元されないとき、ADSは、運転者／乗客に認証要求を送信する。認証要求は、音声ブロードキャスト方式で運転者／乗客に通信されてもよいし、インターフェース表示方式（ディスプレイが自動運転車両に展開されていることを前提とする）で運転者／乗客に通信されてもよい。これは、本明細書では特に限定されない。認証要求は、第2の運転ポリシーが実行される必要があるかどうかを運転者／乗客に問い合わせるために使用される。

504：ADSは、運転者／乗客が認証要求を受け入れるときに第2の運転ポリシーを実行する。

運転者／乗客がADSによって送信された認証要求を受信した後、運転者／乗客が認証要求を受け入れると、ADSは第2の運転ポリシーを実行する。第2の運転ポリシーは、以下の、すなわち、路側で停止すること、救助を呼ぶこと、医療機関との通信接続を確立すること、自動運転車両と医療機関の間の走行経路を計画すること、医療リソースを予約すること、および緊急医療処置チャネルを手配するように要求することのうちの任意の1つまたは複数であってもよい。

本出願の実装形態では、第2の運転ポリシーは、本質的に元のリスク軽減戦略のアップグレードである。元のリスク軽減戦略では、特定の自動運転レベルに関係なく、ADSが動的運転タスクを実行できないとき、または運転者／乗客が動的運転タスクを引き継ぐことができないとき、リスク軽減戦略の最終目的は「車両の停止」、すなわち、狭義の車両安全のみが考慮される。しかしながら、本出願の実施形態では、第2の運転ポリシーのために、車両を停止することを考慮することに加えて、特に運転者／乗客が不快であることが検出されたときの「ファーストエイドプラチナ10分」以内で、支援を要請すること、救助を組織すること、緊急アクセスを手配することを要求すること、および医療リソースを予約することなどの措置を含むが、これらに限定されない、実際の状況の車両においてより多くの努力が行わられ得る。「ファーストエイドプラチナ10分」は、具体的な手順に関係なく、緊急事態発生後、運転者／乗客が病院の救急科または関連部門の救急室に送信した開始時間から、医師が緊急処置を行う時間までの最初の10分である。より早い10分はより高い値をもたらす。これは、緊急の専門分野における時間効率ビューを確立するように医師を導くことにおいて大きな意味および重要性を成す。

本出願のいくつかの実装形態では、ステップ503およびステップ504は含まれなくてもよいことに留意されたい。

本出願のいくつかの実装形態では、運転者／乗客が認証要求を受け入れない場合、それは、運転者／乗客が突然の健康事故にうまく対処することができると運転者／乗客が考えていること、例えば、運転者／乗客が応急処置薬を携行していることを示すことにも留意されたい。この場合、ADSは元のリスク軽減戦略を実行し得る。例えば、リアルタイムの生理学的データがリアルタイムの心拍数であると仮定すると、心拍数に関連するシナリオでは、運転者／乗客の健康レベルが異常レベルであっても、運転者／乗客は依然として意識がある。エラーレポートが頻繁である場合、ユーザ体験が低下し、実行されている自動運転サービスが頻繁に低下するため、ADSは、第2の運転ポリシーを実行する前に、例えば車載通信デバイス（例えば、TBOX）を使用して助けを求めたり、緊急医療リソースを求めたりするために、運転者／乗客の意図について最初に問い合わせる必要がある。このようにして、運転者／乗客の意図が尊重され、監視デバイスの時折の不確かなエラー報告が回避されることができる。加えて、健康問題を発見するための時間を早めると（軽度の異常が発生した場合には、明らかな違和感を運転者／乗客が知覚できない可能性があるため）、その結果、事前の検出および適時対処が実施される。このようにして、ユーザ体験が望ましく、運転者／乗客の健康が確保される。これは、交通事故の発生率を低減させ、大きな社会的利益ももたらす。

本出願のいくつかの実装形態では、特定の自動運転レベルに関係なく、監視デバイスによって収集されたリアルタイムの生理学的データが第2のプリセット期間内（例えば、8分以内）に健康生理学的データ範囲内に入るように復元されるとき、それは運転者／乗客の健康状態が一時的に復元されることを示すことにも留意されたい。この場合、ADSは、低下した自動運転サービスを回復するように自動運転車両を制御し得る。例えば、自動運転車両によって実行されている元の自動運転サービスが「100 km／hの速度の高速追従運転」であり、リアルタイムの生理学的データと健康生理学的データ範囲の差が、第1のプリセット期間（例えば、3分）の間にプリセット値を超えたと仮定する。次いで、ADSは、自動運転サービスを「60 km／hの速度の高速追従運転」に低下させ、続いて収集されたリアルタイムの生理学的データを継続的に監視する。監視されたリアルタイムの生理学的データが、第2のプリセット期間内（例えば、8分以内）の健康生理学的データ範囲内に入るように復元された場合、ADSは、低下した「60 km／hの速度の高速追従運転」自動運転サービスを元の「100 km／hの速度の高速追従運転」に復元する。

本出願のいくつかの実装形態では、ADSは、リアルタイムの生理学的データに基づいてイベントログをさらに生成し得、イベントログは、異常なリアルタイムの生理学的データ、およびリアルタイムの生理学的データが健康生理学的データ範囲から逸脱している期間中のADSの一連の後続の動作を記録し、イベントログを自動運転車両に対応するクラウドサーバに定期的に報告するために使用されることにも留意されたい。これは、人と車両の間の責任を区別するのに便利である。理解を容易にするために、以下では説明のための一例を使用する。監視デバイスによって収集された運転者／乗客のリアルタイムの生理学的データが健康生理学的データ範囲から逸脱した時間は、2020年9月6日の10：00から10：10であり、健康レベルは軽度の異常であると仮定する。ADSは、健康レベルに対して第1の運転ポリシーを使用し、運転者／乗客が認証要求を拒否すると、ADSは、元のリスク軽減戦略を実行するように自動運転車両を制御する。この場合、2020年9月6日の10：00から10：10までの対応する時間期間にイベントログが生成される。イベントログは、時間期間に対応するリアルタイムの生理学的データおよびADSの一連の動作を記録する。一連の動作は以下の通りである、すなわち、第1の運転ポリシーは健康レベルに使用され、運転者／乗客が認証要求を拒否すると、元のリスク軽減戦略を実行するように自動運転が制御される。

本出願のこの実施形態では、自動運転レベルは、第2の運転ポリシーについて互いに区別されないことに留意されたい。言い換えれば、レベルL3、レベルL4、またはレベルL5に関係なく、第2の運転ポリシーは、以下の、すなわち、路側で停止すること、救助を呼ぶこと、医療機関との通信接続を確立すること、自動運転車両と医療機関の間の走行経路を計画すること、医療リソースを予約すること、および緊急医療処置チャネルを手配するように要求することのうちの任意の1つまたは複数であってもよい。しかしながら、実際の適用プロセスでは、異なる自動運転レベルに対して異なる第2の運転ポリシーが使用されてもよい。これは特定の場合により適切であり、ユーザ体験を向上させることができる。以下では、別々に説明を提供する。

（1）自動運転レベルがL3のときの第2の運転ポリシー
自動運転レベルがL3であれば、この場合、運転者／乗客（実際にはレベルL3の運転者）はより大きな発話力を有する。したがって、ADSは、第2の運転ポリシーの各ステップの実行に先立って、運転者／乗客の意図について問い合わせてもよい。例えば、運転者／乗客が認証要求を受け入れるとき、運転者／乗客の健康レベルが軽度の異常である場合、ADSは、ADSに最も近い医療機関とADSの間のルートを計画し、認証要求「最寄りの医療機関までのルートが計画されており、行くかどうか」を再送信してもよい。運転者／乗客が行くことに同意した場合、ADSは、医療機関に行くように自動運転車両を制御し得る。別の例では、運転者／乗客が認証要求を受け入れるとき、運転者／乗客の健康レベルが重大な異常である場合、ADSは、「救助を呼ぶかどうか」または「医療リソースを予約するかどうか」などの認証要求を送信し、ADSに最も近い医療機関とADSの間のルートを計画し、別の認証要求「最寄りの医療機関までのルートが計画されており、行くかどうか」を送信してもよい。運転者／乗客が両方の認証要求に同意した場合、ADSは救助を要請し、同時に医療機関に行くように自動運転車両を制御し得る。

理解を容易にするために、以下では、リアルタイムの生理学的データがリアルタイムの心拍数であり、運転者／乗客の健康レベルが分類されて、運転者／乗客の健康レベル分類および対応する第1の運転ポリシー、第2の運転ポリシー、およびイベントログ報告を説明する一例を使用する。詳細は表4に記載され得る。ODDにおける健康生理学的データ範囲は、それに対応して健康心拍数範囲である。本出願のこの実施形態では、健康心拍数範囲は、毎分60回から毎分100回までであると仮定する。

自動運転レベルがL3であるときの前述の第2の運転ポリシーは単なる一例であることに留意されたい。実際の適用シナリオでは、第2の運転ポリシーの具体的な実装形態は、要件に応じて設定され得る。これは、本明細書では限定されない。

（2）自動運転レベルがL4またはL5のときの第2の運転ポリシー
自動運転レベルがL4およびL5であるならば、この場合、運転者／乗客は、車両を引き継ぐ義務またはアプローチを有さない。したがって、リアルタイムの生理学的データが第2のプリセット期間内の健康生理学的データ範囲内に入るように復元されないときにADSが認証要求を送信した後、運転者／乗客が認証要求を受け入れる場合、ADSは第2の運転ポリシーを直接実行し、その後、運転者／乗客の意図について問い合わせない。例えば、特定された第2の運転ポリシーが「自動運転車両と最寄りの医療機関の間の走行経路を計画して行き、最寄りの医療機関に緊急医療処置チャネルの手配を要求する」であると仮定する。次いで、運転者／乗客が認証要求を受け入れると、ADSは、自動運転車両を直接制御して、自動運転車両と最寄りの医療機関との間の走行経路を計画して行き、自動運転車両上の通信デバイスを使用して、最寄りの医療機関に緊急医療処置チャネルの手配を要求する。本出願のいくつかの実装形態では、ADSは、第2の運転ポリシーの実行状況を運転者／乗客にリアルタイムでブロードキャストし得る。

同様に、理解を容易にするために、以下では、リアルタイムの生理学的データがリアルタイムの心拍数であり、運転者／乗客の健康レベルが分類されて、運転者／乗客の健康レベル分類および対応する第1の運転ポリシー、第2の運転ポリシー、およびイベントログ報告を説明する一例を使用する。詳細は表5に記載され得る。ODDにおける健康生理学的データ範囲は、それに対応して健康心拍数範囲である。本出願のこの実施形態では、健康心拍数範囲は、毎分60回から毎分100回までであると仮定する。表5と表4の違いは、レベルL4またはレベルL5では、運転者／乗客が車両を引き継ぐ義務またはアプローチを有していないため、表5の第1の運転ポリシーが車両制御権のハンドオーバを含まないことにある。

同様に、自動運転レベルがレベルL4またはレベルL5であるときの前述の第2の運転ポリシーは単なる一例であることに留意されたい。実際の適用シナリオでは、第2の運転ポリシーの具体的な実装形態は、要件に応じて設定され得る。これは、本明細書では限定されない。

理解を容易にするために、以下では、自動運転レベルがレベルL3であるとき、および自動運転レベルがレベルL4またはレベルL5であるときに、本出願の実施形態で提供される自動運転方法を別々に説明するために2つの具体例を使用する。リアルタイムの生理学的データが心拍数であり、健康生理学的データ範囲が毎分60回から毎分100回までの健康心拍数範囲である一例が説明のために使用される。

A．レベルL3の場合の自動運転方法の一例
最初に、運転者／乗客の健康レベルが定義される（L3の場合、運転者／乗客は実際には運転者である）。詳細については、表2を参照されたい。詳細は、本明細書では再度説明されない。第2に、自動運転車両は、いくつかの前提条件を有する必要がある、すなわち、（1）運転者／乗客は、リアルタイムの生理学的データを収集する監視デバイス（例えば、スマートウォッチ）を装着する。監視デバイスは、運転者／乗客の心拍数、血圧、血中酸素、体温、早発心拍、心房細動などを収集するように構成され得、これらの収集されたリアルタイムの生理学的データを通信プロトコル（例えば、ブルートゥース（登録商標）またはWiFi）を使用してADSに送信し得る。（2）自動運転車両は、特定の人間－コンピュータ対話能力（例えば、音声応答機能）を有する。（3）自動運転車両は、外界と基本的な音声通信を行う機能を有する。

図6Aおよび図6Bは、本出願の一実施形態によるレベルL3の場合の自動運転方法の一例を示す。本例は以下のステップを含んでもよい。

ステップ1：監視デバイスが、運転者／乗客のリアルタイムの心拍数を収集する。

ステップ2：監視デバイスは、収集されたリアルタイムの心拍数をADSの第1のサブモジュールに送信し、第1のサブモジュールは、リアルタイムの心拍数がODDの健康心拍数範囲から逸脱しているかどうかを決定するように構成される。

ステップ3：ADSが、ODDにおけるリアルタイムの心拍数と健康心拍数範囲の間の差が第1のプリセット期間（例えば、3分）の間にプリセット値を超えたと決定したとき、ADSの第1のサブモジュールは、ADSの第2のサブモジュールにサービス低下要求を送信し、サービス低下要求は、ADSの第2のサブモジュールに、自動運転車両によって実行されている自動運転サービスに対して低下処理を実行する、例えば、車両の速度を低下させるように指示するために使用される。

ステップ4：ADSの第2のサブモジュールは、サービス低下要求に基づいて、自動運転車両によって実行されている自動運転サービスの低下処理を実行し、ADSの第2のサブモジュールは、第1の運転ポリシーを実行するように自動運転車両を制御し、例えば、ADSに車両制御権を常に占有させ、危険警告信号灯を点灯させ、および路側を走行させる。

ステップ5：ADSの第2のサブモジュールは、イベントログをクラウドサーバに定期的に報告し、その結果、ADSに対応するクラウドサーバは、例えば、ADSによってサービス低下を実行し、ADSによって第1の運転ポリシーを実行するなどの動作を記録する必要がある。これは、その後に人と車両との間の責任を区別するのに便利である。

ステップ6：ADSの第2のサブモジュールは、第2のプリセット期間内（例えば、5分以内）に収集されたリアルタイムの心拍数がODDの健康心拍数範囲内に入るように復元されたかどうかをさらに決定する。

ステップ7：収集されたリアルタイムの心拍数がODDの健康心拍数範囲内に入るように復元された場合、状況自己検出を実行するためにADSの第1のサブモジュールをトリガする。

ステップ8：自己検出を完了した後、ADSの第1のサブモジュールは、ADSの第2のサブモジュールにサービス回復要求を送信し、サービス回復要求は、低下した自動運転サービスを回復するように、例えば、元の走行速度に達するように加速を実行するようにADSの第2のサブモジュールに指示すために使用される。

ステップ9：収集されたリアルタイムの心拍数がODDの健康心拍数範囲内に復元されない場合、車載通信デバイスを使用して運転者／乗客に認証要求を送信し、認証要求は、第2の運転ポリシーについて問い合わせるために使用され、例えば、救助または近くの医療処置が必要かどうかを問い合わせる。

ステップ10：運転者／乗客が認証要求を拒否した場合、それは、運転者／乗客が運転者／乗客の健康状態が復元されることができる（例えば、運転者／乗客が応急処置薬を携行している）と考えていることを示し、この場合、運転者／乗客は独自の判断で措置をとり得る。

ステップ11：運転者／乗客が認証要求に同意した場合、ADSの第2のサブモジュールは第2の運転ポリシーを実行し得、各ステップの実行において運転者／乗客の意図について問い合わせる必要がある。

上記のステップから、本出願の本実施形態で提供される自動運転方法の例は、以下の利点を有することが分かることができる。

（1）自動運転レベルがL3である場合、運転者／乗客の健康が考慮される。運転者／乗客は、運転者／乗客の健康レベルが通常レベルであるときにのみ、車両制御権を引き継ぐことができ、そうでない場合、自動運転サービスは前述のステップ論理により低下され、自動運転車両は第1の運転ポリシーおよび第2の運転ポリシーを実行するように制御される。

（2）「ファーストエイドプラチナ10分」という要件が十分に考慮される。心拍数に関連するシナリオでは、運転者／乗客の健康レベルが異常レベルであっても、運転者／乗客は依然として意識がある。エラーレポートが頻繁である場合、ユーザ体験が低下し、実行されている自動運転サービスが頻繁に低下するため、ADSは、第2の運転ポリシーを実行する前に、例えば車載通信デバイス（例えば、TBOX）を使用して助けを求めたり、緊急医療リソースを求めたりするために、運転者／乗客の意図について最初に問い合わせる必要がある。このようにして、運転者／乗客の意図が尊重され、監視デバイスの時折の不確かなエラー報告が回避されることができる。加えて、健康問題を発見するための時間を早めると（軽度の異常が発生した場合には、明らかな違和感を運転者／乗客が知覚できない可能性があるため）、その結果、事前の検出および適時対処が実施される。このようにして、ユーザ体験が望ましく、運転者／乗客の健康が確保される。これは、交通事故の発生率を低減させ、大きな社会的利益ももたらす。

（3）自動運転サービスの継続性が確保される。運転者／乗客の身体的状態が回復する場合（運転者／乗客が服用すべき応急処置薬を携行していることを考慮する場合）、引き継ぎ能力レベルは徐々に低下する（例えば、レベル3からレベル2に低下する）。加えて、自動運転サービスのODDが、運転者／乗客の正常な引き継ぎ能力指標に加えて異常指標を有しない場合、ADSは、運転者／乗客のリアルタイムの生理学的データが健康生理学的データ範囲内に入るように復元されるときに、自動運転サービスが復元されるように制御する。

（4）人と車両の間の責任が明確である。ADSは、リアルタイムの生理学的データが異常である期間中のすべての健康関連データおよび動作を、イベントログとして、記録し、バックアップのために自動運転車両に対応するクラウドエンドにイベントログを定期的（例えば、5分毎）に報告し得る。

B．レベルL4またはレベルL5の場合の自動運転方法の一例
同様に、最初に、運転者／乗客の健康レベルも定義される必要がある。詳細については、表3を参照されたい。詳細は、本明細書では再度説明されない。第2に、自動運転車両は、いくつかの前提条件を有する必要もある、すなわち、（1）運転者／乗客は、リアルタイムの生理学的データを収集する監視デバイス（例えば、スマートウォッチ）を装着する。監視デバイスは、運転者／乗客の心拍数、血圧、血中酸素、体温、早発心拍、心房細動などを収集するように構成され得、これらの収集されたリアルタイムの生理学的データを通信プロトコル（例えば、ブルートゥース（登録商標）またはWiFi）を使用してADSに送信し得る。（2）自動運転車両は、特定の人間－コンピュータ対話能力（例えば、音声応答機能）を有する。（3）自動運転車両は、外界と基本的な音声通信を行う機能を有する。

詳細については、図7Aおよび図7Bを参照されたい。図7Aおよび図7Bは、本出願の一実施形態によるレベルL4またはレベルL5の場合の自動運転方法の一例を示す。本例は以下のステップを含んでもよい。

ステップ1：監視デバイスが、運転者／乗客のリアルタイムの心拍数を収集する。

ステップ2：監視デバイスは、収集されたリアルタイムの心拍数をADSの第1のサブモジュールに送信し、第1のサブモジュールは、リアルタイムの心拍数がODDの健康心拍数範囲から逸脱しているかどうかを決定するように構成される。

ステップ3：ADSが、ODDにおけるリアルタイムの心拍数と健康心拍数範囲の間の差が第1のプリセット期間（例えば、3分）の間にプリセット値を超えたと決定したとき、ADSの第1のサブモジュールは、ADSの第2のサブモジュールにサービス低下要求を送信し、サービス低下要求は、ADSの第2のサブモジュールに、自動運転車両によって実行されている自動運転サービスに対して低下処理を実行する、例えば、車両の速度を低下させるように指示するために使用される。

ステップ4：ADSの第2のサブモジュールは、サービス低下要求に基づいて、自動運転車両によって実行されている自動運転サービスの低下処理を実行し、ADSの第2のサブモジュールは、第1の運転ポリシーを実行するように自動運転車両を制御し、例えば、危険警告信号灯を点灯させ、および路側を走行させる。

ステップ5：ADSの第2のサブモジュールは、イベントログをクラウドサーバに定期的に報告し、その結果、ADSに対応するクラウドサーバは、例えば、ADSによってサービス低下を実行し、ADSによって第1の運転ポリシーを実行するなどの動作を記録する必要がある。これは、その後に人と車両との間の責任を区別するのに便利である。

ステップ6：ADSの第2のサブモジュールは、第2のプリセット期間内（例えば、5分以内）に収集されたリアルタイムの心拍数がODDの健康心拍数範囲内に入るように復元されたかどうかをさらに決定する。

ステップ7：収集されたリアルタイムの心拍数がODDの健康心拍数範囲内に入るように復元された場合、状況自己検出を実行するためにADSの第1のサブモジュールをトリガする。

ステップ8：自己検出を完了した後、ADSの第1のサブモジュールは、ADSの第2のサブモジュールにサービス回復要求を送信し、サービス回復要求は、低下した自動運転サービスを回復するように、例えば、元の走行速度に達するように加速を実行するようにADSの第2のサブモジュールに指示すために使用される。

ステップ9：収集されたリアルタイムの心拍数がODDの健康心拍数範囲内に復元されない場合、車載通信デバイスを使用して運転者／乗客に認証要求を送信し、認証要求は、第2の運転ポリシーについて問い合わせるために使用され、例えば、救助または近くの医療処置が必要かどうかを問い合わせる。

ステップ10：運転者／乗客が認証要求を拒否した場合、それは、運転者／乗客が運転者／乗客の健康状態が復元されることができる（例えば、運転者／乗客が応急処置薬を携行している）と考えていることを示し、この場合、運転者／乗客は独自の判断で措置をとり得る。

ステップ11：運転者が認証要求に同意した場合、ADSの第2のサブモジュールは第2の運転ポリシーを実行してもよい。具体的には、ADSの第2のサブモジュールは、路側で停止し、危険警告信号灯を点灯し、医療機関との通信を確立し、救助を呼び、救助が到着する推定時間を運転者／乗客に通知するなどのように自動運転車両を制御し得る。

上記のステップから、本出願の本実施形態で提供される自動運転方法の例は、以下の利点も有することが分かることができる。

（1）「ファーストエイドプラチナ10分」という要件が十分に考慮される。心拍数に関連するシナリオでは、運転者／乗客の健康レベルが異常レベルであっても、運転者／乗客は依然として意識がある。エラーレポートが頻繁である場合、ユーザ体験が低下し、実行されている自動運転サービスが頻繁に低下するため、ADSは、第2の運転ポリシーを実行する前に、例えば車載通信デバイス（例えば、TBOX）を使用して助けを求めたり、緊急医療リソースを求めたりするために、運転者／乗客の意図について最初に問い合わせる必要がある。このようにして、運転者／乗客の意図が尊重され、監視デバイスの時折の不確かなエラー報告が回避されることができる。加えて、健康問題を発見するための時間を早めると（軽度の異常が発生した場合には、明らかな違和感を運転者／乗客が知覚できない可能性があるため）、その結果、事前の検出および適時対処が実施される。このようにして、ユーザ体験が望ましく、運転者／乗客の健康が確保される。これは、交通事故の発生率を低減させ、大きな社会的利益ももたらす。

（2）自動運転サービスの継続性が確保される。運転者／乗客の身体的状態が回復する場合（運転者／乗客が服用すべき応急処置薬を携行していることを考慮する場合）、引き継ぎ能力レベルは徐々に低下する（例えば、レベル3からレベル2に低下する）。加えて、自動運転サービスのODDが、運転者／乗客の引き継ぎ能力指標を除いて正常である場合、ADSは、運転者／乗客のリアルタイムの生理学的データが健康生理学的データ範囲内に入るように復元されるときに、自動運転サービスが復元されるように制御する。

（3）人と車両の間の責任が明確である。ADSは、リアルタイムの生理学的データが異常である期間中のすべての健康関連データおよび動作を、イベントログとして、記録し、バックアップのために自動運転車両に対応するクラウドエンドにイベントログを定期的（例えば、5分毎）に報告し得る。

加えて、図6Aおよび図6Bに対応する例、ならびに図7Aおよび図7Bに対応する例から、図7Aおよび図7Bに対応する実施形態で提供される自動運転方法の例は、主に以下の2つの態様で図6Aおよび図6Bに対応する自動運転方法の例と異なることが分かることができる。

（1）レベルL3の場合、理論上、運転者／乗客は車両制御権をいつでも引き継ぐことができる。したがって、この場合、第1の運転ポリシーは、ADSに車両制御権を常に占有させることを含む。しかしながら、レベルL4またはレベルL5の場合、運転者／乗客は、車両を引き継ぐ義務またはアプローチを有さない。したがって、この場合、第1の運転ポリシーは、車両制御権のハンドオーバを含まない。

（2）レベルL3の場合、運転者／乗客はより大きな発話力を有する。したがって、ADSは、第2の運転ポリシーの各ステップの実行に先立って、運転者／乗客の意図について問い合わせてもよい。例えば、運転者／乗客が認証要求を受け入れるとき、運転者／乗客の健康レベルが軽度の異常である場合、ADSは、ADSに最も近い医療機関とADSの間のルートを計画し、認証要求「最寄りの医療機関までのルートが計画されており、行くかどうか」を再送信してもよい。運転者／乗客が行くことに同意した場合、ADSは、医療機関に行くように自動運転車両を制御し得る。しかしながら、レベルL4またはレベルL5の場合、運転者／乗客は、車両を引き継ぐ義務またはアプローチを有さない。したがって、リアルタイムの生理学的データが第2のプリセット期間内の健康生理学的データ範囲内に入るように復元されないときにADSが認証要求を送信した後、運転者／乗客が認証要求を受け入れる場合、ADSは第2の運転ポリシーを直接実行し、その後、運転者／乗客の意図について問い合わせない。例えば、特定された第2の運転ポリシーが「自動運転車両と最寄りの医療機関の間の走行経路を計画して行き、最寄りの医療機関に緊急医療処置チャネルの手配を要求する」であると仮定する。次いで、運転者／乗客が認証要求を受け入れると、ADSは、自動運転車両を直接制御して、自動運転車両と最寄りの医療機関との間の走行経路を計画して行き、自動運転車両上の通信デバイスを使用して、最寄りの医療機関に緊急医療処置チャネルの手配を要求する。本出願のいくつかの実装形態では、ADSは、第2の運転ポリシーの実行状況を運転者／乗客にリアルタイムでブロードキャストし得る。

図5から図7Aおよび図7Bに対応する実施形態に基づいて、本出願の実施形態における前述の解決策のより良い実施のために、以下は、前述の解決策を実施するように構成された関連デバイスをさらに提供する。詳細については、図8を参照されたい。図8は、本出願の一実施形態による、ADS 800の構造の概略図である。ADS 800は、具体的には、受信モジュール801および第1の実行モジュール802を含んでもよい。受信モジュール801は、監視デバイスによって収集された運転者／乗客のリアルタイムの生理学的データを受信するように構成され、第1の実行モジュール802は、リアルタイムの生理学的データと健康生理学的データ範囲の間の差がプリセット値よりも大きく、リアルタイムの生理学的データが健康生理学的データ範囲から逸脱する期間が第1のプリセット期間（例えば、3分）よりも大きいときに、自動運転車両によって実行されている自動運転サービスを低下させ、差および期間に基づいて第1の運転ポリシーを実行するように構成されており、健康生理学的データ範囲は事前にODDに追加された適用可能範囲であり、ODDはADS上に展開される。

本出願の実装形態では、ODDの適用可能範囲としての健康生理学的データ範囲がODDに新たに追加される。運転者／乗客のリアルタイムの生理学的データが特定の期間の範囲から逸脱したとき、ADSは、運転者／乗客の健康が異常であると決定し、逸脱度および期間に基づいて対応する第1の運転ポリシーを実行して、運転者／乗客の突然の健康事故に適時に対処し、交通事故の発生率を低減する。

可能な設計では、ADS 800は、要求モジュール803および第2の実行モジュール804をさらに含む。要求モジュール803は、リアルタイムの生理学的データが第2のプリセット期間内（例えば、8分以内）に健康生理学的データ範囲内に入るように復元されないとき、認証要求を送信するように構成され、第2の実行モジュール804は、運転者／乗客が認証要求を受け入れるときに第2の運転ポリシーを実行するように構成される。

本出願の実装形態では、第2の運転ポリシーは、本質的に元のリスク軽減戦略のアップグレードである。元のリスク軽減戦略では、特定の自動運転レベルに関係なく、ADSが動的運転タスクを実行できないとき、または運転者／乗客が動的運転タスクを引き継ぐことができないとき、リスク軽減戦略の最終目的は「車両の停止」、すなわち、狭義の車両安全のみが考慮される。しかしながら、本出願の実施形態では、第2の運転ポリシーのために、車両を停止することを考慮することに加えて、支援を要請すること、救助を組織すること、緊急アクセスを手配することを要求すること、および医療リソースを予約することなどの措置を含むが、これらに限定されない、実際の状況の車両においてより多くの努力が行わられ得る。

可能な設計では、第2の運転ポリシーは、以下のポリシーのうちの少なくとも1つを含む、すなわち、路側で停止すること、救助を呼ぶこと、医療機関との通信接続を確立すること、自動運転車両と医療機関の間の走行経路を計画すること、医療リソースを予約すること、および緊急医療処置チャネルを手配するように要求することのうちの任意の1つまたは複数である。

本出願の実装形態では、第2の運転ポリシーのいくつかの表現形式が具体的に説明されており、「ファーストエイドプラチナ10分」という要件が十分に考慮される。言い換えれば、健康問題を発見するための時間が進められ、その結果、事前検出および適時対処が実施される。このようにして、ユーザ体験が望ましく、運転者／乗客の健康が確保される。これは、交通事故の発生率を低減させ、大きな社会的利益ももたらす。

可能な設計では、自動運転レベルがL4またはL5である場合、第1の実行モジュール802は、差および期間に基づいて運転者／乗客の健康レベルを決定し、健康レベルが軽度の異常であると決定したときに、健康レベルに基づいて第1の運転ポリシーを実行するように具体的に構成され、第1の運転ポリシーは、ADSによって、速度をプリセット速度（例えば、60 km／h未満）よりも低下させ、路側を走行させ、危険警告信号灯を点灯させるように自動運転車両を制御することのうちの任意の1つまたは複数を含む。

本出願の実装形態は、自動運転レベルがレベルL4またはレベルL5である場合、運転者／乗客の健康レベルが軽度の異常であるときに第1の運転ポリシーがどのようであるかを説明する。具体的には、健康レベルは、リアルタイムの生理学的データと健康生理学的データ範囲の間の差および逸脱期間に基づいて決定され、異なる健康レベルに基づいて異なる第1の運転ポリシーが使用される。これは特定の場合により適切である。

可能な設計では、第1の実行モジュール802は、健康レベルが重度の異常であると決定したとき、健康レベルに基づいて第1の運転ポリシーを実行するようにさらに具体的に構成され、第1の運転ポリシーは、ADSによって、自動運転車両を制御して速度をゆっくりとゼロに低下させること、路側で停止すること、危険警告信号灯を点灯すること、アイドリング速度で走行すること、車両の外部循環をオンにすること、車両の内部循環をオンにすること、車載目標温度を設定すること、および中央ドアロックをロック解除することのうちの任意の1つまたは複数を含む。

本出願の実装形態は、自動運転レベルがレベルL4またはレベルL5である場合に、運転者／乗客の健康レベルが重度の異常であるときの第1の運転ポリシーがどのようであるかを説明する。具体的には、健康レベルは、リアルタイムの生理学的データと健康生理学的データ範囲の間の差および逸脱期間に基づいて決定され、異なる健康レベルに基づいて異なる第1の運転ポリシーが使用される。これは特定の場合により適切である。

可能な設計では、自動運転レベルがL3である場合、第1の実行モジュール802は、ADSに自動運転車両の制御許可を常に占有させ、差および期間に基づいて運転者／乗客の健康レベルを決定し、健康レベルが軽度の異常であると決定したときに、健康レベルに基づいて第1の運転ポリシーを実行するように具体的に構成され、第1の運転ポリシーは、ADSによって、速度をプリセット速度（例えば、60 km／h未満）よりも低下させ、路側を走行させ、危険警告信号灯を点灯させるように自動運転車両を制御することのうちの任意の1つまたは複数を含む。

本出願の実装形態は、以下の説明を提供する、すなわち、ADSが自動運転車両の制御権を常に占有するようにすることに加えて、第1の運転ポリシーは、自動運転レベルがL3である場合で、運転者／乗客（レベルL3の場合、運転者／乗客は実際には運転席の運転者である）の健康レベルが軽度の異常であるとき、ADSによって、自動運転車両を制御して速度をプリセット速度よりも低下させる、路側を走行する、および危険警告信号灯を点灯することのうちのさらに任意の1つまたは複数であり得る。具体的には、健康レベルは、リアルタイムの生理学的データと健康生理学的データ範囲の間の差および逸脱期間に基づいて決定され、異なる健康レベルに基づいて異なる第1の運転ポリシーが使用される。これは特定の場合により適切である。さらに、本出願のこの実施形態では、運転者／乗客は、運転者／乗客の健康レベルが通常レベルであるときにのみ車両制御権を引き継ぐ権利を有し、そうでない場合、車両制御権は運転者／乗客に引き継がされることができない。このことで、身体的な健康問題に起因して特定の時間期間に運転者／乗客が実際に引き継ぎ能力を有さないために生じる車両リスクおよび個人の安全上の問題を回避する。

可能な設計では、自動運転レベルがレベルL3である場合、第1の実行モジュール802は、健康レベルが重度の異常であると決定したとき、健康レベルに基づいて第1の運転ポリシーを実行するようにさらに具体的に構成され、第1の運転ポリシーは、ADSによって、自動運転車両を制御して速度をゆっくりとゼロに低下させること、路側で停止すること、危険警告信号灯を点灯すること、アイドリング速度で走行すること、車両の外部循環をオンにすること、車両の内部循環をオンにすること、車載目標温度を設定すること、および中央ドアロックをロック解除することのうちの任意の1つまたは複数を含む。

本出願の実装形態は、以下の説明を提供する、すなわち、ADSが自動運転車両の制御権を常に占有するようにすることに加えて、第1の運転ポリシーは、自動運転レベルがL3である場合で、運転者／乗客（レベルL3の場合、運転者／乗客は実際には運転席の運転者である）の健康レベルが重度の異常であるとき、自動運転車両を制御して、速度をゆっくりとゼロに低下させる、路側で停止する、危険警告信号灯を点灯する、アイドリング速度で走行する、車両の外部循環をオンにする、車両の内部循環をオンにする、車載目標温度を設定する、および中央ドアロックをロック解除することのうちのさらに任意の1つまたは複数であり得る。具体的には、健康レベルは、リアルタイムの生理学的データと健康生理学的データ範囲の間の差および逸脱期間に基づいて決定され、異なる健康レベルに基づいて異なる第1の運転ポリシーが使用される。これは特定の場合により適切である。さらに、本出願のこの実施形態では、運転者／乗客は、運転者／乗客の健康レベルが通常レベルであるときにのみ車両制御権を引き継ぐ権利を有し、そうでない場合、車両制御権は運転者／乗客に引き継がされることができない。このことで、身体的な健康問題に起因して特定の時間期間に運転者／乗客が実際に引き継ぎ能力を有さないために生じる車両リスクおよび個人の安全上の問題を回避する。

可能な設計では、第1の実行モジュールは、リアルタイムの生理学的データが第2のプリセット期間内（例えば、8分以内）に健康生理学的データ範囲内に入るように復元されたときに、自動運転サービスの実行を再開するように自動運転車両を制御するようにさらに構成される。

本出願の実装形態では、特定の自動運転レベルに関係なく、監視デバイスによって収集されたリアルタイムの生理学的データが第2のプリセット期間内の健康生理学的データ範囲内に入るように復元されるとき、それは運転者／乗客の健康状態が一時的に復元されることを示す。この場合、ADSは、低下した自動運転サービスを回復するように自動運転車両を制御し得る。これはユーザ体験を向上させる。

可能な設計では、第1の実行モジュール802は、リアルタイムの生理学的データに基づいてイベントログを生成するようにさらに構成され、イベントログは、リアルタイムの生理学的データ、およびリアルタイムの生理学的データが健康生理学的データ範囲から逸脱している期間中のADSの動作を記録し、イベントログを自動運転車両に対応するクラウドサーバに定期的に報告するために使用される。

本出願のいくつかの実装形態では、ADSは、リアルタイムの生理学的データに基づいてイベントログをさらに生成し得、イベントログは、異常なリアルタイムの生理学的データ、およびリアルタイムの生理学的データが健康生理学的データ範囲から逸脱している期間中のADSの一連の後続の動作を記録し、イベントログを自動運転車両に対応するクラウドサーバに定期的に報告するために使用される。これは、人と車両の間の責任を区別するのに便利である。

可能な設計では、リアルタイムの生理学的データは、以下の生理学的データのうちの少なくとも1つのタイプを含む、すなわち、リアルタイムの血圧、リアルタイムの心拍数、リアルタイムの血中酸素、リアルタイムの体温、早発心拍、心房細動、および運転者／乗客の他のリアルタイムの生理学的データである、ただし、生理学的データは、監視デバイスによって収集されることができ、運転者／乗客の健康状態を反映することができる。これは、本明細書では特に限定されない。

本出願の実装形態では、リアルタイムの生理学的データのいくつかの一般的な形態が記載され、選択的で柔軟である。

図8に対応する実施形態におけるADS 800のモジュール／ユニット間の情報交換および実行プロセスなどの内容は、本出願の図5から図7Aおよび図7Bに対応する方法実施形態と同じ概念に基づくことに留意されたい。具体的な内容については、本出願の前述の方法実施形態の説明を参照されたい。詳細は、本明細書では再度説明されない。

本出願の一実施形態は、ADSをさらに提供する。図9は、本出願の一実施形態による、ADSの構造の概略図である。説明を容易にするために、本出願のこの実施形態に関連する部分のみが説明され、具体的な技術的詳細は開示されない。詳細については、本出願の実施形態の方法部分を参照されたい。図8に対応する実施形態で説明されたADSのモジュールは、ADS 900上に展開されてもよく、図8に対応する実施形態におけるADSの機能を実施するように構成される。具体的には、ADS 900は、1つまたは複数のサーバによって実施される。ADS 900は、異なる構成または性能に起因して大きく変化し得、1つまたは複数の中央処理装置（central processing units，CPU）922およびメモリ932、アプリケーションプログラム942またはデータ944を記憶する1つまたは複数の記憶媒体930（例えば、1つまたは複数の大容量記憶デバイス）を含み得る。メモリ932および記憶媒体930は、一時的な記憶装置であっても永続的な記憶装置であってもよい。記憶媒体930に記憶されたプログラムは、1つまたは複数のモジュール（図示せず）を含んでもよく、各モジュールは、ADS 900の一連の命令動作を含み得る。さらに、中央処理装置922は、記憶媒体930と通信するように設定されてもよく、ADS 900において、記憶媒体930の一連の命令動作を実行する。

ADS 900は、1つまたは複数の電源926、1つまたは複数の有線もしくは無線ネットワークインターフェース950、1つまたは複数の入力／出力インターフェース958、および／または1つまたは複数のオペレーティングシステム941、例えば、Windows ServerTM、Mac OS XTM、UnixTM、Linux（登録商標）、もしくはFreeBSDTMをさらに含んでもよい。

本出願のこの実施形態では、図5から図7Aおよび図7Bに対応する実施形態においてADSによって実行されるステップは、図9に示された構造に基づいて実施され得る。詳細は、本明細書では再度説明されない。

加えて、記載された装置の実施形態は、単なる例であることに留意されたい。別々の部分として説明されているユニットは、物理的に別々であってもなくてもよい。ユニットとして表示された部分は、物理的なユニットであってもよいし、そうでなくてもよく、1つの場所に配置されてもよいし、複数のネットワークユニット上に分散されてもよい。実施形態の解決策の目的を達成するための実際の要件に応じて、モジュールの一部またはすべてが選択され得る。加えて、本出願において提供される装置の実施形態の添付図面において、モジュール間の接続関係は、モジュールが互いに通信接続を有することを示し、これは、具体的には、1つまたは複数の通信バスまたは信号ケーブルとして実施されてもよい。

前述の実施態様の説明に基づいて、当業者は、本出願が必要な市販のハードウェアに加えてソフトウェアを使用して実施されてもよく、代替的に専用集積回路、専用CPU、専用メモリ、専用構成要素などを含む専用ハードウェアを使用して実施されてもよいことを明確に理解することができる。一般に、コンピュータプログラムによって実施されるあらゆる機能は、対応するハードウェアを使用して容易に実施されることができる。さらに、同じ機能を実行するために使われる特定のハードウェア構造は、様々な形態であってもよく、例えば、アナログ回路、デジタル回路、または専用回路の形態であってもよい。しかしながら、本出願に関しては、ほとんどの場合、ソフトウェアプログラム実装形態がより良い実装形態である。そうした理解に基づき、本出願の技術解決策は本質的に、または従来技術に寄与する部分は、ソフトウェア製品の形態で実施されてもよい。コンピュータソフトウェア製品は、フロッピーディスク、USBフラッシュドライブ、リムーバブルハードディスク、読み取り専用メモリ（read only memory，ROM）、ランダムアクセスメモリ（random access memory，RAM）、磁気ディスク、コンピュータの光ディスクなどの読み取り可能記憶媒体に記憶され、本願の実施形態で説明されている方法を実行するためにコンピュータデバイス（これは、パーソナルコンピュータ、訓練デバイス、ネットワークデバイスなどであってよい）に命令するいくつかの命令を含む。

上記の実施形態の全部または一部はソフトウェア、ハードウェア、ファームウェアまたはこれらの任意の組み合わせを用いて実施されてもよい。ソフトウェアが前述の実施形態を実施するために使用されるとき、前述の実施形態は、完全にまたは部分的にコンピュータプログラム製品の形態で実施されてもよい。

コンピュータプログラム製品は、1つまたは複数のコンピュータ命令を含む。コンピュータプログラム命令がコンピュータにロードされて実行されると、本出願の実施形態による手順または機能が全面的または部分的に生成される。コンピュータは、汎用コンピュータ、専用コンピュータ、コンピュータネットワーク、または別のプログラム可能な装置であってもよい。コンピュータ命令は、コンピュータ可読記憶媒体に記憶されてもよいし、またはあるコンピュータ可読記憶媒体から別のコンピュータ可読記憶媒体に伝送されてもよい。例えば、コンピュータ命令は、有線（例えば、同軸ケーブル、光ファイバ、もしくはデジタル加入者線）または無線（例えば、赤外線、高周波、もしくはマイクロ波）方式で、ウェブサイト、コンピュータ、訓練デバイス、またはデータセンタから別のウェブサイト、コンピュータ、訓練デバイス、またはデータセンタに送信されてもよい。コンピュータ可読記憶媒体は、コンピュータにアクセス可能な任意の使用可能な媒体、あるいは1つまたは複数の使用可能な媒体を組み込んだ、訓練デバイスまたはデータセンタなどのデータ記憶デバイスであってもよい。使用可能な媒体は、磁気媒体（例えば、フロッピーディスク、ハードディスク、磁気テープ）、光媒体（例えば、デジタルビデオディスク（digital video disc，DVD））、半導体媒体（例えば、ソリッドステートドライブ（solid state disk，SSD））などであり得る。

100 自動運転車両
102 走行システム
104 センサシステム
106 自動運転システム
108 周辺デバイス
110 電源
112 コンピュータシステム
113 プロセッサ
114 メモリ
115 命令
116 ユーザインターフェース
118 エンジン
119 エネルギー源
120 変速装置
121 車輪
122 測位システム
124 慣性計測装置
126 レーダ
128 レーザ測距器
130 カメラ
132 ステアリングシステム
134 スロットル
136 ブレーキユニット
140 コンピュータビジョンシステム
142 ルート制御システム
144 障害物回避システム
146 無線通信システム
148 車載コンピュータ
150 マイクロフォン
152 ラウドスピーカ
800 自動運転システム（ADS）
801 受信モジュール
802 第1の実行モジュール
803 要求モジュール
804 第2の実行モジュール
900 ADS
922 中央処理装置
926 電源
930 記憶媒体
932 メモリ
941 オペレーティングシステム
942 アプリケーションプログラム
944 データ
950 有線または無線ネットワークインターフェース
958 入力／出力インターフェース
1421 水平計画モジュール
1422 垂直計画モジュール

Claims (13)

1. 自動運転システム（ADS）によって、監視デバイスによって収集された自動運転車両の運転席にいる人のリアルタイムの生理学的データを受信するステップと、
   前記リアルタイムの生理学的データと健康生理学的データ範囲の間の差がプリセット値よりも大きく、前記リアルタイムの生理学的データが前記健康生理学的データ範囲から逸脱する期間が第1のプリセット期間よりも大きいときに、前記ADSによって、自動運転車両によって実行されている自動運転サービスを低下させるステップと、
   前記ADSによって、前記差および前記期間に基づいて第1の運転ポリシーを実行するステップであって、前記第1の運転ポリシーは、自動運転車両を制御して、プリセット速度よりも低下させる、路側を走行する、危険警告信号灯を点灯する、速度をゆっくりとゼロに低下させる、路側で停止する、アイドリング速度で走行する、車両の外部循環をオンにする、車両の内部循環をオンにする、車内目標温度を設定する、および中央ドアロックをロック解除することのうちの1つまたは複数を含み、前記健康生理学的データ範囲は、事前に動作設計ドメイン（ODD）に追加された適用可能範囲であり、前記ODDは、前記ADS上に展開される、ステップと
   を含み、
   自動運転レベルがL4またはL5である場合、前記ADSによって、前記差および前記期間に基づいて第1の運転ポリシーを実行する前記ステップは、
   前記差および前記期間に基づいて前記自動運転車両の前記運転席にいる人の健康レベルを決定するステップと、
   プリセットされた前記差および前記期間に基づいて前記健康レベルが軽度の異常であると決定したとき、前記健康レベルに基づいて前記第1の運転ポリシーを実行するステップであって、前記第1の運転ポリシーが、前記ADSによって、速度をプリセット速度よりも低下させ、路側を走行させ、危険警告信号灯を点灯させるように前記自動運転車両を制御することのうちの任意の1つまたは複数を含む、ステップと
   を含む、自動運転方法。
2. 前記ADSによって、前記差および前記期間に基づいて第1の運転ポリシーを実行する前記ステップの後に、前記方法が、
   前記リアルタイムの生理学的データが第2のプリセット期間内の前記健康生理学的データ範囲内に入るように復元されないとき、前記ADSによって認証要求を送信するステップと、
   前記ADSによって、前記自動運転車両の前記運転席にいる人が前記認証要求を受け入れるときに第2の運転ポリシーを実行するステップであって、前記第2の運転ポリシーは、路側で停車すること、救助を呼ぶこと、医療機関との通信接続を確立すること、前記自動運転車両と前記医療機関の間の走行経路を計画すること、医療リソースを予約すること、および緊急医療処置チャネルを手配するように要求することのうちの少なくとも1つを含む、ステップと
   をさらに含む、請求項1に記載の方法。
3. 前記方法が、
   プリセットされた前記差および前記期間に基づいて前記健康レベルが重度の異常であると決定したとき、前記健康レベルに基づいて前記第1の運転ポリシーを実行するステップであって、前記第1の運転ポリシーが、前記ADSによって、前記速度をゆっくりとゼロに低下させ、路側で停止させ、危険警告信号灯を点灯させ、アイドリング速度で走行させ、前記車両の外部循環をオンにさせ、前記車両の内部循環をオンにさせ、車内目標温度を設定させ、中央ドアロックをロック解除させるように前記自動運転車両を制御することのうちの任意の1つまたは複数を含む、ステップ
   をさらに含む、請求項1に記載の方法。
4. 自動運転レベルがL3である場合、前記ADSによって、前記差および前記期間に基づいて第1の運転ポリシーを実行する前記ステップは、
   前記ADSに、前記自動運転車両の制御許可を常に占有させるステップと、
   前記差および前記期間に基づいて前記自動運転車両の前記運転席にいる人の健康レベルを決定するステップと、
   プリセットされた前記差および前記期間に基づいて前記健康レベルが軽度の異常であると決定したとき、前記健康レベルに基づいて前記第1の運転ポリシーを実行するステップであって、前記第1の運転ポリシーが、前記ADSによって、速度をプリセット速度よりも低下させ、路側を走行させ、危険警告信号灯を点灯させるように前記自動運転車両を制御することのうちの任意の1つまたは複数を含む、ステップと
   を含む、請求項1または2に記載の方法。
5. 前記方法が、
   プリセットされた前記差および前記期間に基づいて前記健康レベルが重度の異常であると決定したとき、前記健康レベルに基づいて前記第1の運転ポリシーを実行するステップであって、前記第1の運転ポリシーが、前記ADSによって、前記速度をゆっくりとゼロに低下させ、路側で停止させ、危険警告信号灯を点灯させ、アイドリング速度で走行させ、前記車両の外部循環をオンにさせ、前記車両の内部循環をオンにさせ、車内目標温度を設定させ、中央ドアロックをロック解除させるように前記自動運転車両を制御することのうちの任意の1つまたは複数を含む、ステップ
   をさらに含む、請求項4に記載の方法。
6. 前記ADSによって、前記差および前記期間に基づいて第1の運転ポリシーを実行する前記ステップの後に、前記方法が、
   前記リアルタイムの生理学的データが第2のプリセット期間内の前記健康生理学的データ範囲内に入るように復元されたときに、前記ADSによって、前記自動運転サービスの実行を再開するように前記自動運転車両を制御するステップ
   をさらに含む、請求項1から5のいずれか一項に記載の方法。
7. 前記方法が、
   前記リアルタイムの生理学的データに基づいてイベントログを生成するステップであって、前記イベントログは、前記リアルタイムの生理学的データ、および前記リアルタイムの生理学的データが前記健康生理学的データ範囲から逸脱している期間中の前記ADSの動作を記録するために使用される、ステップと、
   前記自動運転車両に対応するクラウドサーバに前記イベントログを定期的に報告するステップと
   をさらに含む、請求項1から6のいずれか一項に記載の方法。
8. 前記リアルタイムの生理学的データが、以下の生理学的データ、すなわち、
   前記自動運転車両の前記運転席にいる人のリアルタイムの血圧、リアルタイムの心拍数、リアルタイムの血中酸素、およびリアルタイムの体温、
   の少なくとも1つのタイプを含む、請求項1から7のいずれか一項に記載の方法。
9. 自動運転システム（ADS）であって、前記ADSは自動運転車両に展開され、プロセッサおよびメモリを備え、前記プロセッサが前記メモリに結合され、
   前記メモリは、命令を記憶するように構成され、
   前記プロセッサは、前記ADSが請求項1から8のいずれか一項に記載の方法を実行するように、前記メモリの前記命令を実行するように構成される、
   ADS。
10. プロセッサおよびメモリを備える自動運転車両であって、前記プロセッサは、請求項1から8のいずれか一項に記載の方法を実行するために、前記メモリのコードを取得して実行するように構成される、自動運転車両。
11. プログラムを含むコンピュータ可読記憶媒体であって、前記コンピュータ可読記憶媒体がコンピュータ上で実行されると、前記コンピュータは、請求項1から8のいずれか一項に記載の方法を実行することが可能にされる、コンピュータ可読記憶媒体。
12. 命令を含むコンピュータプログラムであって、前記コンピュータプログラムがコンピュータ上で実行されると、前記コンピュータは、請求項1から8のいずれか一項に記載の方法を実行することが可能にされる、コンピュータプログラム。
13. チップシステムであって、前記チップシステムはプロセッサおよび通信インターフェースを備え、前記通信インターフェースは前記プロセッサに結合され、前記プロセッサは、コンピュータプログラムまたは命令を実行するように構成され、その結果、請求項1から8のいずれか一項に記載の方法が実行される、チップシステム。

Images