JP6345199B2

JP6345199B2 - 自動運転制御装置

Info

Publication number: JP6345199B2
Application number: JP2016040725A
Authority: JP
Inventors: 恒毅中村; 大久保　陽一; 陽一大久保; 昭暢杉山; 吉川　篤志; 篤志吉川; 喜嗣北田; 政隆四郎園
Original assignee: Mitsubishi Electric Corp
Current assignee: Mitsubishi Electric Corp
Priority date: 2016-03-03
Filing date: 2016-03-03
Publication date: 2018-06-20
Anticipated expiration: 2036-03-03
Also published as: JP2017157067A

Description

本発明は自動運転制御装置に関し、特に、故障時の車両制御に関するものである。

近年、車両の自動運転を行うシステムの開発が進んでいる。例えば、特許文献１には、２つのＣＰＵで二重化した処理系の各演算結果を比較することによって当該処理系の故障（異常）を検出するとともに、その二重化された処理系を２系統用意して冗長化し、一方の系統が故障しても他方の系統を用いて運行を継続できるというフェールセーフ化が図られた自動運転システムが提案されている。

特許第３８６６５３６号公報

特許文献１の自動運転システムでは、処理系を冗長化することによって、一方の処理系が故障した際の機能継続を実現しているが、自動運転を実現する高性能な装置を多重化することはコスト面で問題がある。また、特許文献１では、故障発生時に自動運転のオン、オフのみを制御しており、故障発生時の自動運転レベルに応じた制御は行われていない。

本発明は上記のような課題を解決するためになされたものであり、コストの増大を抑えつつ、故障発生時の自動運転レベルに応じた制御によりフェールセーフ化を図ることができる自動運転制御装置を提供することを目的とする。

本発明に係る自動運転制御装置は、自動化のレベルが比較的低い自動運転制御を行う予防安全システムと、自動化のレベルが比較的高い自動運転制御を行う自動運転システムと、を備え、前記予防安全システムおよび前記自動運転システムは、互いに独立した処理系として構成されており、車両の運転者により自動運転が要求されると、まず、前記予防安全システムによるレベル２の自動運転制御を実施し、その後、予め定められたレベル３許可条件が満たされると、前記自動運転システムによるレベル３の自動運転制御に移行し、前記予防安全システムによる自動運転制御が行われているときに、当該予防安全システムが故障すると、前記自動運転システムによる自動運転制御へ移行し、前記自動運転システムによる自動運転制御が行われているときに、当該自動運転システムが故障すると、前記予防安全システムによる自動運転制御へ移行する。

本発明に係る自動運転制御装置によれば、必要な処理能力が異なる２つの処理系によって自動運転機能の多重化が図れているため、多重化に伴うコストの増大を抑えつつ、故障発生時の自動運転レベルに応じた制御によりフェールセーフ化を図ることができる。

本発明の実施の形態に係る自動運転制御システムの構成を示すブロック図である。本発明の実施の形態に係る自動運転制御装置の構成を詳細に示したブロック図である。本発明の実施の形態に係る自動運転制御装置が行う自動運転判断処理を説明するフロー図である。

図１は、本発明の実施の形態に係る自動運転制御システムの構成を示すブロック図である。図１に示すように、当該システムは、自動運転制御装置１と、それに接続した周辺情報取得装置２、車両情報取得装置３、運転者情報取得装置４、通知装置５およびアクチュエータ６とを含む構成となっている。以下、当該自動運転制御システムを搭載した車両を「自車両」と称し、自車両以外の車両を「他車両」と称す。特に、自車両の周辺に存在する他車両を「周辺車両」ということもある。

周辺情報取得装置２は、自車両の周辺環境の状態を示す情報（周辺情報）を取得するセンサ群を有している。周辺情報取得装置２のセンサとしては、例えば、ＧＰＳ（Global Positioning System）装置、車載通信機、周辺センサ、ナビゲーションシステムなどがある。ＧＰＳ装置は、複数のＧＰＳ衛星からＧＰＳ信号を受信して、自車両の位置を測位する。車載通信機は、自車両と他車両との間の通信（車車間通信）や、自車両と路側機との間の通信（路車間通信）を行う。周辺センサは、ミリ波レーダーや超音波ソナーなどの距離感知センサであり、自車両の周囲に存在する他車両、歩行者、建物、障害物などの物体の位置を検出するとともに、検出された物体が移動体（他車両、歩行者等）であるときはその移動速度も検出する。ナビゲーションシステムは、ＧＰＳ装置が取得した自車両の位置情報と地図情報とを用いて、地図画面上に自車両の位置を表示したり、目的地までの経路を案内したりする。周辺情報取得装置２のセンサはこれらに限られず、自車両の周辺環境の状態を認識できるものであれば、他のセンサ（例えば、車載カメラなど）を用いてもよい。

車両情報取得装置３は、自車両の動作状態を示す情報（車両情報）を取得するためのセンサ群を有している。車両情報取得装置３のセンサとしては、例えば、舵角センサ、車速センサ、ウィンカーセンサ、ライトセンサなどがある。舵角センサは、自車両のステアリング角を検出する。車速センサは、自車両の走行速度を検出する。ウィンカーセンサは、自車両の方向指示器の指示方向を検出する。ライトセンサは、自車両のライトのオン、オフを検出する。車両情報取得装置３のセンサはこれらに限られず、自車両の動作状態を認識できるものであれば、他のセンサ（例えば、ブレーキ、ギア、ワイパーなどの動作状態を検出するセンサなど）を用いてもよい。

運転者情報取得装置４は、自車両の運転者の状態を示す情報（運転者情報）を取得するためのセンサ群を有するＥＣＵ（Electronic Control Unit）である。運転者情報取得装置４が検出する運転者の状態としては、例えば、眠気があるか、脇見運転をしていないか、冷静であるか（興奮していないか）、などである。運転者情報取得装置４は、センサとして運転者を撮影する車内カメラを有しており、当該カメラが撮影した画像の画像解析により、運転者の眼球や顔の動きを検出し、運転者の視線の方向、顔の向きなどから、運転者の状態を判定する。運転者情報取得装置４のセンサはカメラに限られず、運転者の挙動を検出できれば、他のセンサ（例えば、運転者の音声を取得する集音マイク、ハンドルに設けられた生体センサ、脳波センサなど）を用いてもよい。

通知装置５は、自動運転制御装置１が出力する各種の情報を運転者へ通知する機能を有する装置であり、表示装置（例えば液晶表示装置やＨＵＤ（Head-Up Display）など）や音声出力装置（スピーカなど）といったＨＭＩ（Human Machine Interface）である。自動運転制御装置１は、通知装置５を用いて、自車両の状態（例えば、自動運転のレベル、故障状態、運転権限の移行、自車両の状態遷移等）を運転者に通知することができる。

アクチュエータ６は、例えばステアリング、スロットル、ブレーキ、シフト、ウィンカー等、自車両の自動運転を実現するために必要な制御対象である。自動運転の具体例としては、自動ブレーキ、ＡＣＣ（Adaptive Cruise Control）などの自動加減速、自動駐車、車線維持などが挙げられる。

ここで、ＳＩＰ（戦略的イノベーション創造プログラム）自動走行システム研究開発計画（内閣府、2015年5月21日）には、自動車の自動運転の自動化レベル（自動運転レベル）について、次のように定義されている。

レベル１：加速・操舵・制動のいずれかをシステムが行う状態
レベル２：加速・操舵・制動のうち複数の操作をシステムが行う状態
レベル３：加速・操舵・制動を全てシステムが行い、システムが要請したときは運転者が対応する状態
レベル４：加速・操舵・制動を全て運転者以外が行い、運転者が全く関与しない状態
ここで、上記「システム」とは、自動車が自律センサや通信等により得られる情報から道路環境などを判断し、自動車の加速・操舵・制動の全てあるいは一部を行う仕組みを意味している。なお、本実施の形態では、説明の簡単のため、レベル４の自動運転制御は扱わないものとする。

各レベルの定義から分かるように、自動車の運転権限は、レベル３以上ではシステム側にあり、レベル２以下では運転者側にある。レベル２以下の自動運転制御は、運転者の安全な運転を支援するものであり、「予防安全制御」と呼ばれる。

図１のように、自動運転制御装置１は、予防安全システム１１、自動運転システム１２および車両制御部１３を備えている。予防安全システム１１および自動運転システム１２は自動運転レベルの定義における「システム」に相当するものである。

予防安全システム１１は、周辺情報取得装置２が取得した周辺情報、車両情報取得装置３が取得した車両情報および運転者情報取得装置４が取得した運転者情報の少なくとも１つに基づいて、主にレベル２の自動運転制御を行う。また、自動運転システム１２は、周辺情報、車両情報および運転者情報の少なくとも１つに基づいて、主にレベル３の自動運転制御を行う。

レベル１の自動運転制御は比較的簡易な制御であり、予防安全システム１１および車両情報取得装置３のどちらでも行うことができるように構成されている。つまり、予防安全システム１１はレベル１とレベル２の自動運転制御を行うことができ、自動運転システム１２はレベル１とレベル３の自動運転制御を行うことができる。また、詳細は後述するが、緊急時に自車両を自動停止させるための自動運転制御も、予防安全システム１１および自動運転システム１２の両方が行うことができる。

予防安全システム１１および自動運転システム１２は、それぞれＣＰＵ、ＲＯＭ、ＲＡＭ等を含むコンピュータを主体として構成されている。予防安全システム１１のコンピュータと自動運転システム１２のコンピュータは互いに独立しており、それによってシステムの多重化が図られている。ただし、レベル３の自動運転制御はレベル２の自動運転制御よりも高度な制御が求められるため、自動運転システム１２は、予防安全システム１１よりも処理能力の高いコンピュータなどが用いられ、複雑な構成となっている。逆に言えば、予防安全システム１１は、自動運転システム１２よりも簡素で処理能力の低いコンピュータ等で構成される。そのため、予防安全システム１１は、自動運転システム１２に比べて、低コストで実現でき、且つ、故障率の低いシステムとなっている。

また、車両制御部１３は、予防安全システム１１および自動運転システム１２の出力に基づいて、アクチュエータ６を制御して自車両を走行させたり、通知装置５を用いて運転者への通知を行ったりする。車両制御部１３による通知装置５およびアクチュエータ６の制御も、周辺情報、車両情報および運転者情報の少なくとも１つの情報を考慮に加えて行われてもよい。

図２に、自動運転制御装置１の詳細な構成を示す。図２のように、予防安全システム１１は、予防安全機能演算部１１ａ、故障診断部１１ｂおよび緊急制動部１１ｃから構成されている。これらの各要素は、予防安全システム１１のコンピュータがプログラムを実行することによって実現される。

予防安全機能演算部１１ａは、周辺情報取得装置２が取得した周辺情報、車両情報取得装置３が取得した車両情報および運転者情報取得装置４が取得した運転者情報の少なくとも１つに基づいて、レベル２もしくはレベル１の自動運転制御を行う。

故障診断部１１ｂは、予防安全システム１１自身の異常を検出する自己診断機能と、予防安全システム１１の動作と自動運転システム１２の動作とを比較することで、予防安全システム１１または自動運転システム１２の故障を検出する相互診断機能とを有している。自己診断は、例えば、いわゆるウォッチドッグタイマーを用いて実施可能である。また、相互診断は、予防安全システム１１と自動運転システム１２で、相互監視を目的とした同一のアプリ（プログラム）を実行して同一の演算を行い、両者の出力結果が一致するかどうかを確認することによって実施可能である。

緊急制動部１１ｃは、レベル３の自動運転が許可されない状況になったにもかかわらず、運転者がレベル３の自動運転を解除しない場合や、運転者の運転準備が不十分で運転権限を運転者へ移行できない場合（レベル３の自動運転からレベル２以下の自動運転へ移行できない場合）、さらには、予防安全システム１１または自動運転システム１２が故障した場合に（以下、これらの場合を「緊急事態」という）、そのような緊急事態に対応するための処置を行うものである。具体的には、緊急制動部１１ｃは、緊急事態の発生時に、自車両を路肩など停止可能な地点に誘導して停止させる自動運転制御を行う。以下、緊急事態発生時の動作を「緊急制動」という。

レベル３の自動運転が許可されない状況としては、例えば、周辺情報取得装置２および車両情報取得装置３のセンサの検出精度が不十分になった場合が考えられる。例えば、複数のセンサのうちの予め定められた数以上が検知精度不足になると、レベル３の自動運転が許可されないようにしてもよい。この判断は、各センサの重要度に応じて重み付けをして行ってもよい。

また、周辺情報取得装置２のセンサによって自動運転に適していない環境（例えば、自車両の周辺に歩行者や障害物が多数存在するなど）が検出された場合や、自車両の位置が自動運転に適していないエリア（スクールゾーン、住宅地、市街地など）に入る場合なども、レベル３の自動運転が許可されないようにしてもよい。自動運転に適していないエリアの情報は、周辺情報取得装置２としてのナビゲーションシステムに地図情報として記憶されていてもよいし、車車間通信や路車間通信を用いて適時取得してもよい。

本実施の形態では、運転権限がシステム側にあるレベル３の自動運転にのみ許可の条件を設けたが、レベル２およびレベル１の自動運転にも許可の条件を設けてもよい。各レベルの自動運転が許可される条件は、レベルの高さによって異なってもよく、その場合、レベルが高くなるほど厳しい条件とすることが好ましい。例えば、レベル３の自動運転は、周辺情報取得装置２および車両情報取得装置３の複数のセンサの全てで十分な検出精度が得られる場合にのみ許可され、レベル２やレベル１の自動運転は、複数のセンサの幾つかで検出精度が低下しても許可されるように規定してもよい。

また、運転権限を運転者へ移行できない場合（運転者の運転準備が不十分な場合）としては、運転者情報取得装置４によって、運転者が居眠りや脇見をしている場合、運転者が興奮状態である場合、運転者が死亡または意識不明などの事態に陥った場合などが考えられる。

緊急事態の発生時に自車両を停止させる地点（緊急停止地点）は、緊急制動部１１ｃが、周辺情報取得装置２および車両情報取得装置３のセンサからの入力情報に基づいて算出する。具体的には、例えば以下のような手順で算出することができる。

まず、自車両が停止するために必要な距離（停止可能距離）を算出する。停止可能距離は、自車両の位置および走行速度、周辺車両の数などに基づいて算出できる。例えば、自車両の走行速度が遅いほど停止可能距離は短くなり、速いほど停止可能距離は長くなる。また、自車両が走行中の車線が路肩に近いほど停止可能距離は短くなり、道路の中央寄りであるほど停止可能距離は長くなる。また、周辺車両の数が少ないほど停止可能距離は短くなり、多いほど停止可能距離は長くなる。車両制御部１３ｃは、これらの各パラメータの値と停止可能距離との関係を表すテーブルを記憶していてもよいし、あるいは、停止可能距離を、各パラメータを変数とする関数として定義して、演算により算出してもよい。また、停止可能距離を決定するためのパラメータは上記のものに限られず、それ以外のパラメータを用いてもよい。

次に、自車両の現在位置と地図情報に基づいて、自車両の進行方向前方を対象に、車両を停止させることが可能な地点（停止可能地点）を探索する。停止可能地点としては、例えば、十分な幅を有する路側帯や、非常駐車帯、待避所などが考えられる。ただし、自車両からの距離が、先に求めた停止可能距離よりも近い地点は除外する。探索の結果、得られた停止可能地点を、自車両の緊急停止地点とする。

なお、緊急制動部１１ｃは、緊急事態の発生に備えて、停止可能地点の探索を事前に行っていてもよい。例えば、停止可能地点の探索を、センサからの情報入力がある度に行ったり、定期的に行ったりしてもよい。

一方、自動運転システム１２は、自動運転機能演算部１２ａ、故障診断部１２ｂおよび緊急制動部１２ｃから構成されている。これらの各要素は、自動運転システム１２のコンピュータがプログラムを実行することによって実現される。

自動運転機能演算部１２ａは、周辺情報取得装置２が取得した周辺情報、車両情報取得装置３が取得した車両情報および運転者情報取得装置４が取得した運転者情報の少なくとも１つに基づいて、レベル３（またはレベル１）の自動運転制御を行う。

故障診断部１２ｂは、予防安全システム１１の故障診断部１１ｂと同様の機能を有している。すなわち、故障診断部１２ｂは、自動運転システム１２自身の異常を検出する自己診断機能と、予防安全システム１１の動作と自動運転システム１２の動作とを比較して、予防安全システム１１または自動運転システム１２の故障を検出する相互診断機能とを有している。

緊急制動部１２ｃは、予防安全システム１１の緊急制動部１１ｃと同様の機能を有している。すなわち、緊急制動部１２ｃは、緊急事態の発生時に、自車両を緊急停止地点に誘導して停止させる制御（緊急制動）を行う。予防安全システム１１および自動運転システム１２で緊急制動機能を多重化することで、予防安全システム１１と自動運転システム１２のどちらが故障しても、フェールセーフ性を確保することができる。

本実施の形態では、予防安全システム１１の故障診断部１１ｂと自動運転システム１２の故障診断部１２ｂの両方が相互監視機能（比較機能）を有する構成としたが、その機能はそれらの片方のみに持たせてもよい。例えば、予防安全システム１１は、自動運転システム１２に比べて故障率が低いため、故障診断部１１ｂのみに相互監視機能を持たせてもよい。

また、本実施の形態では、予防安全システム１１の故障診断部１１ｂの方が、自動運転システム１２の故障診断部１２ｂよりも故障率が低く、信頼性が高いと言える。そのため、故障診断部１１ｂによる故障診断の結果は、故障診断部１２ｂによる故障診断の結果よりも優先度が高く設定されている。つまり、故障診断部１１ｂによる診断結果と故障診断部１２ｂによる診断結果とが互いに異なる場合、故障診断部１１ｂの診断結果が優先される。例えば、自動運転システム１２の故障診断部１２ｂでは故障が検出されていないにもかかわらず、予防安全システム１１の故障診断部１１ｂの相互監視機能によって故障が検出された場合、自動運転システム１２側で故障が発生したものと判断される。

ここでは、故障診断部１１ｂと故障診断部１２ｂの優先度をそれらの故障率に基づいて決定したが、例えば、ＩＳＯ２６２６２に規定されるＡＳＩＬ（Automotive Safety Integrity Level）に従い、ＡＳＩＬレベルの高い方に、高い優先度を持たせてもよい。

また、自動運転制御装置１は、運転者から自動運転の要求があった場合、周辺情報取得装置２が取得した周辺情報、車両情報取得装置３が取得した車両情報および運転者情報取得装置４が取得した運転者情報の少なくとも１つに基づいて、各レベルの自動運転を許可するか否かを判断し、その判断結果に基づいて、実施する自動運転のレベルを決定する。また、自動運転が開始された後は、状況に応じて自動運転レベルの切り換えを行う。自動運転制御装置１が自動運転レベルを切り替える処理を「自動運転判断処理」という。

自動運転判断処理の機能は、予防安全システム１１に持たせてもよいし、自動運転システム１２に持たせてもよいし、予防安全システム１１および自動運転システム１２とは独立した要素（例えば車両制御部１３）に持たせてもよい。また、複数の要素に自動運転判断処理の機能を持たせることで多重化を図ってもよい。複数の要素に自動運転判断処理の機能を持たせる場合、各要素の故障率やＩＳＯ２６２６２に規定されるＡＳＩＬに従って、優先度を定めるとよい。

図３は、自動運転制御装置１が行う自動運転判断処理を説明するフロー図である。図３を参照しつつ、自動運転判断処理を説明する。

自動運転判断処理は、自車両の起動等に伴って開始される。まず、自動運転制御装置１は、自動運転レベル１以下（レベル１の自動運転または運転者による手動運転）で自車両の走行制御を行う（ステップＳ１）。レベル１の自動運転制御は、予防安全システム１１でも自動運転システム１２でも行うことができるが、ステップＳ１の処理は故障率の低い予防安全システム１１側で行うとよい。

その後、運転者から自動運転の要求があると、自動運転制御装置１は、まず、予防安全システム１１を用いた自動運転レベル２での走行制御を行う（ステップＳ２）。そして、自動運転制御装置１は、周辺情報、車両情報および運転者情報等に基づいて、自動運転レベル３での走行制御を許可するための条件（レベル３許可条件）が満たされたかどうかを確認し、当該条件が満たされると、自動運転システム１２を用いる自動運転レベル３での走行制御に移行する（ステップＳ３）。なお、図示は省略しているが、自動運転レベル３での走行中、運転者は、レベル３の自動運転レベルを解除するための割込操作（レベル３解除操作）を行うことによって、任意のタイミングで自動運転レベル１以下の走行制御（ステップＳ１）または自動運転レベル２の走行制御（ステップＳ２）に戻すことができる。

自動運転制御装置１は、自動運転レベル３での走行制御が開始された後も、レベル３許可条件が満たされているか否かを継続的に確認する。自動運転レベル３での走行中に、レベル３許可条件が満たされなくなると、自動運転制御装置１は、自動運転レベル３での走行制御を継続しつつ、通知装置５を用いて運転者にレベル３を解除する旨の通知を行い（ステップＳ４）、運転者によるレベル３解除操作を待つ。

その後、運転者によるレベル３解除操作が行われないまま一定時間経過（または一定距離走行）すると、自動運転制御装置１は、運転者情報等に基づいて、運転者の運転準備ができているかどうかを確認する。運転者の運転準備が完了していれば、自動運転制御装置１は、予防安全システム１１を用いる自動運転レベル２での走行制御（ステップＳ２）に戻す。しかし、運転者の運転準備が不十分であれば、運転権限を運転者へ移行できないため、自動運転制御装置１は、緊急事態と判断し、予防安全システム１１または自動運転システム１２を用いた緊急制動を実施し（ステップＳ５）、自車両を停止させる（ステップＳ６）。ステップＳ５の緊急制動は、予防安全システム１１および自動運転システム１２の故障に起因するものではないため、予防安全システム１１が行ってもよいし、自動運転システム１２が行ってもよい。

ただし、ステップＳ５の緊急制動が行われている途中で、運転者の割込操作が行われた場合には、自動運転制御装置１は、運転者の運転準備ができたと判断し、自動運転レベル１以下での走行制御へと移行する（ステップＳ７）。ステップＳ７の処理も、予防安全システム１１および自動運転システム１２のどちらが行ってもよい。

なお、自動運転レベル２での走行中（ステップＳ２）や自動運転レベル３での走行中（ステップＳ３）に緊急事態（予防安全システム１１および自動運転システム１２の故障を除く）が生じた場合も、ステップＳ５へ移行して緊急制動が行われる。

以上は、予防安全システム１１および自動運転システム１２の両方が正常に動作しているとき（故障診断部１１ｂおよび故障診断部１２ｂの両方で故障が検出されていないとき）の動作である。一方、予防安全システム１１または自動運転システム１２で故障が生じた場合には、以下のような処理が行われる。

例えば、予防安全システム１１により自動運転レベル２の走行制御が行われているときに（ステップＳ２）、その予防安全システム１１が故障した場合、自動運転システム１２を用いた自動運転レベル１以下の走行制御に移行し（ステップＳ８）、運転者へ故障を知らせる通知を行う。なお、レベル２の自動運転では運転者が自車両の運転操作に関与しているため、本実施の形態では、レベル２からレベル１への遷移することを事前に知らせる通知は省略している。

また、予防安全システム１１により自動運転レベル２の走行制御が行われているときに（ステップＳ２）、自動運転システム１２が故障した場合、予防安全システム１１を用いたレベル２の自動運転を継続しつつ、運転者へ故障を知らせる通知を行う（ステップＳ９）。その後、一定時間経過（または一定距離走行）すると、予防安全システム１１を用いた自動運転レベル１以下での走行制御へと移行する（ステップＳ１０）。

また、自動運転システム１２により自動運転レベル３の走行制御が行われているときに（ステップＳ３）、予防安全システム１１が故障した場合、自動運転システム１２を用いたレベル３の自動運転を継続しつつ、運転者へ故障を知らせる通知を行い（ステップＳ１１）、運転者によるレベル３解除操作を待つ。

その後、運転者によるレベル３解除操作が行われないまま一定時間経過（または一定距離走行）すると、自動運転制御装置１は、運転者情報等に基づいて、運転者の運転準備ができているかどうかを確認する。運転者の運転準備が完了していれば、自動運転制御装置１は、自動運転システム１２を用いる自動運転レベル１以下の走行制御を行う（ステップＳ１２）。しかし、運転者の運転準備が不十分であれば、運転権限を運転者へ移行できないため、自動運転制御装置１は、緊急事態と判断し、自動運転システム１２を用いた緊急制動を実施して（ステップＳ１３）、自車両を停止させる（ステップＳ１４）。

ただし、ステップＳ１３の緊急制動が行われている途中で、運転者の割込操作が行われた場合には、自動運転制御装置１は、運転者による運転準備ができたと判断し、自動運転システム１２を用いた自動運転レベル１以下での走行制御へと移行する（ステップＳ１２）。

また、自動運転システム１２により自動運転レベル３の走行制御が行われているときに（ステップＳ３）、その自動運転システム１２が故障した場合、運転者へ故障を知らせる通知を行うとともに、予防安全システム１１を用いた緊急制動を実施して（ステップＳ１５）、自車両を停止させる（ステップＳ１６）。

ただし、ステップＳ１６の緊急制動が行われている途中で、運転者の割込操作が行われた場合には、自動運転制御装置１は、運転者による運転準備ができたと判断し、予防安全システム１１を用いた自動運転レベル１以下での走行制御へと移行する（ステップＳ１７）。レベル３の自動運転では運転者が自車両の運転操作に関与していないため、本実施の形態では、運転者の運転準備が完了したことを確認してから、レベル３からレベル１への遷移するようにしている。

以上のように、本実施の形態に係る自動運転制御装置１においては、レベル３の自動運転制御を行う自動運転システム１２と、レベル２の自動運転制御を行う予防安全システム１１を用いて、自動運転機能の多重化を図っている。予防安全システム１１は、自動運転システム１２よりも簡素な構成の処理系（コンピュータ）で実現されているため、単純に２つの同じ処理系によって多重化するのに比べ、低コスト化を実現できる。一般に、簡素な構成の処理系は故障率が低いため、フェールセーフ性が向上するという効果も得られる。また、図３に示したように、故障発生時の自動運転レベルに応じたフェールセーフ動作を行うことができる。

なお、本発明は、その発明の範囲内において、実施の形態を適宜、変形、省略することが可能である。

１自動運転制御装置、１１予防安全システム、１１ａ予防安全機能演算部、１１ｂ故障診断部、１１ｃ緊急制動部、１２自動運転システム、１２ａ自動運転機能演算部、１２ｂ故障診断部、１２ｃ緊急制動部、１３車両制御部、２周辺情報取得装置、３車両情報取得装置、４運転者情報取得装置、５通知装置、６アクチュエータ。

Claims

自動化のレベルが比較的低い自動運転制御を行う予防安全システムと、
自動化のレベルが比較的高い自動運転制御を行う自動運転システムと、
を備え、
前記予防安全システムおよび前記自動運転システムは、互いに独立した処理系として構成されており、
車両の運転者により自動運転が要求されると、まず、前記予防安全システムによるレベル２の自動運転制御を実施し、その後、予め定められたレベル３許可条件が満たされると、前記自動運転システムによるレベル３の自動運転制御に移行し、
前記予防安全システムによる自動運転制御が行われているときに、当該予防安全システムが故障すると、前記自動運転システムによる自動運転制御へ移行し、
前記自動運転システムによる自動運転制御が行われているときに、当該自動運転システムが故障すると、前記予防安全システムによる自動運転制御へ移行する
ことを特徴とする自動運転制御装置。
前記予防安全システムは、前記自動運転システムが故障したときに車両を停止可能地点へ誘導する自動運転制御である緊急制動を行う緊急制動部を有しており、
前記自動運転システムは、前記予防安全システムが故障したときに前記緊急制動を行う緊急制動部を有している
請求項１に記載の自動運転制御装置。
前記緊急制動の実施中に運転者が車両の運転に介入したことを検知すると、予防安全システムまたは自動運転システムによるレベル１以下の自動運転制御へと移行する
請求項２に記載の自動運転制御装置。
前記自動運転システムによるレベル３の自動運転制御が実施されているときに前記レベル３許可条件が満たされなくなった場合、前記レベル３の自動運転制御を継続しながら運転者が前記レベル３の自動運転制御を解除するのを待ち、前記レベル３の自動運転制御が解除されなければ前記予防安全システムまたは前記自動運転システムによる前記緊急制動を実施する
請求項２または請求項３に記載の自動運転制御装置。
運転者が前記レベル３の自動運転制御を解除するのを待った結果、前記レベル３の自動運転制御が解除されなかった場合でも、運転者の運転準備が完了していることを検知すると、前記予防安全システムによるレベル２の自動運転制御へ移行する
請求項４に記載の自動運転制御装置。
前記自動運転システムによるレベル３の自動運転制御が実施されているときに前記予防安全システムが故障した場合、前記レベル３の自動運転制御を継続しながら運転者が前記レベル３の自動運転制御を解除するのを待ち、前記レベル３の自動運転制御が解除されなければ前記自動運転システムによる前記緊急制動を実施する
請求項２から請求項５のいずれか一項に記載の自動運転制御装置。
運転者が前記レベル３の自動運転制御を解除するのを待った結果、前記レベル３の自動運転制御が解除されなかった場合でも、運転者の運転準備が完了していることが検知すると、前記予防安全システムによるレベル１以下の自動運転制御へ移行する
請求項６に記載の自動運転制御装置。
前記自動運転システムによるレベル３の自動運転制御が実施されているときに前記自動運転システムが故障した場合、前記予防安全システムによる前記緊急制動を実施する
請求項２から請求項７のいずれか一項に記載の自動運転制御装置。
前記予防安全システムによるレベル２の自動運転制御が実施されているときに前記予防安全システムが故障した場合、前記自動運転システムによるレベル１以下の自動運転制御へ移行する
請求項２から請求項８のいずれか一項に記載の自動運転制御装置。
前記予防安全システムによるレベル２の自動運転制御が実施されているときに前記自動運転システムが故障した場合、前記予防安全システムによるレベル１以下の自動運転制御へ移行する
請求項２から請求項９のいずれか一項に記載の自動運転制御装置。