JP7616446B2 - 車両制御装置、車両制御方法、車両制御プログラム - Google Patents

Description

本開示は、自動運転車の制御計画を生成する技術に関する。

特許文献１には、自動運転において、ＲＳＳ（Responsibility Sensitive Safety）モデルと呼ばれる数学的公式モデルと地図データを用いて車両の走行計画、換言すれば制御計画を生成する構成が開示されている。

ＲＳＳモデルでは、制御計画を策定する機能ブロックであるプランナーは、地図データを用いて複数の制御プランのそれぞれにおける潜在事故責任値を算出し、潜在事故責任値が許容範囲となる制御プランを採用する。潜在事故責任値は、自車両の周囲に存在する周辺車両と自車両との間に事故が生じた場合における、自車両の責任の程度を示すパラメータである。潜在事故責任値は、自車両と周辺車両との間の車間距離が、道路構造等に基づいて定まる安全距離よりも短いかどうかを考慮した値である。

国際公開第２０１８／１１５９６３号

ＲＳＳモデルでは、地図データ、カメラなどの周辺監視センサのセンシング情報に基づいて、プランナーが生成した各制御プランの潜在事故責任値を算出し、相対的に安全性が高いと判断したプランを選択する。しかしながら、周辺監視センサそのものや、周辺監視センサでの観測データに基づく物体認識処理等を行う系統（以降、外界認識系統）に異常がある場合、潜在事故責任値の計算を間違えてしまう可能性がある。当然、潜在事故責任値の評価が誤っていると、自動運転の安全性が低下してしまう。

本開示は、この事情に基づいて成されたものであり、その目的とするところは、自動運転時の安全性を向上可能な車両制御装置を提供することにある。

その目的を達成するための車両制御装置は、一例として、車両を自律的に走行させるための制御計画を作成する制御計画部（Ｆ３）と、制御計画部で生成する制御計画の安全性を評価する安全性評価部（４０）とを備える車両で用いられる車両制御装置であって、所定の検出範囲内に存在する物体を検出する、複数の周辺監視センサ（１１、１１Ａ～１１Ｄ、１７、１７Ａ～１７Ｄ）の出力信号、及び、周辺監視センサの出力信号に基づいて車両の周辺に存在する物体を認識する認識部（Ｆ１、Ｆ２、Ｈ１、Ｈ２、Ｘ２）の認識結果の、少なくとも何れか一方に基づいて、周辺監視センサ及び認識部を含む外界認識系統の異常を検出する異常検出部（Ｇ４）と、異常検出部が外界認識系統の異常を検出したことに基づいて、車両を停止させるための処理を実行する停車処理部（Ｇ６）と、を備え、異常検出部は、制御計画部に用いられる外界認識系統による処理と、制御計画部に用いられる外界認識系統による処理と同様の安全性評価部に用いられる外界認識系統による処理とを比較し、結果が相違している場合には、外界認識系統の異常が生じていると判定するように構成され、制御計画部に用いられる外界認識系統による処理と、安全性評価部に用いられる外界認識系統による処理とは、複数の周辺監視センサの認識結果をフュージョンする処理である。
また上記目的を達成するための車両制御装置は、車両を自律的に走行させるための制御計画を作成する制御計画部（Ｆ３）と、制御計画部で生成する制御計画の安全性を評価する安全性評価部（４０）とを備える車両で用いられる車両制御装置であって、所定の検出範囲内に存在する物体を検出する、少なくとも１つの周辺監視センサ（１１、１１Ａ～１１Ｄ、１７、１７Ａ～１７Ｄ）の出力信号、及び、周辺監視センサの出力信号に基づいて車両の周辺に存在する物体を認識する認識部（Ｆ１、Ｆ２、Ｈ１、Ｈ２、Ｘ２）の認識結果の、少なくとも何れか一方に基づいて、周辺監視センサ及び認識部を含む外界認識系統の異常を検出する異常検出部（Ｇ４）と、異常検出部が外界認識系統の異常を検出したことに基づいて、車両を停止させるための処理を実行する停車処理部（Ｇ６）と、を備え、異常検出部は、制御計画部に用いられる外界認識系統による処理と、制御計画部に用いられる外界認識系統による処理と同様の安全性評価部に用いられる外界認識系統による処理とを比較し、結果が相違している場合には、外界認識系統の異常が生じていると判定するように構成され、制御計画部に用いられる外界認識系統による処理と、安全性評価部に用いられる外界認識系統による処理とは、地図上における自車位置を特定する処理である。
また上記目的を達成するための車両制御装置は、車両を自律的に走行させるための制御計画を作成する制御計画部（Ｆ３）と、制御計画部で生成する制御計画の安全性を評価する安全性評価部（４０）とを備える車両で用いられる車両制御装置であって、所定の検出範囲内に存在する物体を検出する、少なくとも１つの周辺監視センサ（１１、１１Ａ～１１Ｄ、１７、１７Ａ～１７Ｄ）の出力信号、及び、周辺監視センサの出力信号に基づいて車両の周辺に存在する物体を認識する認識部（Ｆ１、Ｆ２、Ｈ１、Ｈ２、Ｘ２）の認識結果の、少なくとも何れか一方に基づいて、周辺監視センサ及び認識部を含む外界認識系統の異常を検出する異常検出部（Ｇ４）と、異常検出部が外界認識系統の異常を検出したことに基づいて、車両を停止させるための処理を実行する停車処理部（Ｇ６）と、を備え、異常検出部は、制御計画部に用いられる外界認識系統による処理と、制御計画部に用いられる外界認識系統による処理と同様の安全性評価部に用いられる外界認識系統による処理とを比較し、結果が相違している場合には、外界認識系統の異常が生じていると判定するように構成され、制御計画部に用いられる外界認識系統による処理と、安全性評価部に用いられる外界認識系統による処理とは、周辺監視センサの認識結果と、地図データを組み合わせることにより、車両の周辺の環境を認識する処理である。

また上記目的を達成するための車両制御方法は、車両を自律的に走行させるための制御計画を作成する制御計画部（Ｆ３）と、制御計画部で生成する制御計画の安全性を評価する安全性評価部（４０）とを備える車両で用いられ、少なくとも１つのプロセッサ（２１、３１）によって実行される、車両を自律的に走行させるための制御計画を作成する車両制御方法であって、所定の検出範囲内に存在する物体を検出する、複数の周辺監視センサ（１１、１１Ａ～１１Ｄ、１７、１７Ａ～１７Ｄ）の出力信号、及び、周辺監視センサの出力信号に基づいて車両の周辺に存在にする物体を認識する認識部（Ｆ１、Ｆ２、Ｈ１、Ｈ２、Ｘ２）の出力信号の、少なくとも何れか一方に基づいて、周辺監視センサ及び認識部を含む外界認識系統の異常を検出する異常検出ステップ（Ｓ２０１）と、異常検出ステップで外界認識系統の異常が検出されたことに基づいて、車両を停止させるための処理を実行する停車処理ステップ（Ｓ２１１）と、を含み、異常検出ステップにおいて、制御計画部に用いられる外界認識系統による処理と、制御計画部に用いられる外界認識系統による処理と同様の安全性評価部に用いられる外界認識系統による処理とを比較し、相違している場合には、外界認識系統の異常が生じていると判定し、制御計画部に用いられる外界認識系統による処理と、安全性評価部に用いられる外界認識系統による処理とは、複数の周辺監視センサの認識結果をフュージョンする処理である。
また上記目的を達成するための車両制御方法は、車両を自律的に走行させるための制御計画を作成する制御計画部（Ｆ３）と、制御計画部で生成する制御計画の安全性を評価する安全性評価部（４０）とを備える車両で用いられ、少なくとも１つのプロセッサ（２１、３１）によって実行される、車両を自律的に走行させるための制御計画を作成する車両制御方法であって、所定の検出範囲内に存在する物体を検出する、少なくとも１つの周辺監視センサ（１１、１１Ａ～１１Ｄ、１７、１７Ａ～１７Ｄ）の出力信号、及び、周辺監視センサの出力信号に基づいて車両の周辺に存在にする物体を認識する認識部（Ｆ１、Ｆ２、Ｈ１、Ｈ２、Ｘ２）の出力信号の、少なくとも何れか一方に基づいて、周辺監視センサ及び認識部を含む外界認識系統の異常を検出する異常検出ステップ（Ｓ２０１）と、異常検出ステップで外界認識系統の異常が検出されたことに基づいて、車両を停止させるための処理を実行する停車処理ステップ（Ｓ２１１）と、を含み、異常検出ステップにおいて、制御計画部に用いられる外界認識系統による処理と、制御計画部に用いられる外界認識系統による処理と同様の安全性評価部に用いられる外界認識系統による処理とを比較し、相違している場合には、外界認識系統の異常が生じていると判定し、制御計画部に用いられる外界認識系統による処理と、安全性評価部に用いられる外界認識系統による処理とは、地図上における自車位置を特定する処理である。
また上記目的を達成するための車両制御方法は、車両を自律的に走行させるための制御計画を作成する制御計画部（Ｆ３）と、制御計画部で生成する制御計画の安全性を評価する安全性評価部（４０）とを備える車両で用いられ、少なくとも１つのプロセッサ（２１、３１）によって実行される、車両を自律的に走行させるための制御計画を作成する車両制御方法であって、所定の検出範囲内に存在する物体を検出する、少なくとも１つの周辺監視センサ（１１、１１Ａ～１１Ｄ、１７、１７Ａ～１７Ｄ）の出力信号、及び、周辺監視センサの出力信号に基づいて車両の周辺に存在にする物体を認識する認識部（Ｆ１、Ｆ２、Ｈ１、Ｈ２、Ｘ２）の出力信号の、少なくとも何れか一方に基づいて、周辺監視センサ及び認識部を含む外界認識系統の異常を検出する異常検出ステップ（Ｓ２０１）と、異常検出ステップで外界認識系統の異常が検出されたことに基づいて、車両を停止させるための処理を実行する停車処理ステップ（Ｓ２１１）と、を含み、異常検出ステップにおいて、制御計画部に用いられる外界認識系統による処理と、制御計画部に用いられる外界認識系統による処理と同様の安全性評価部に用いられる外界認識系統による処理とを比較し、相違している場合には、外界認識系統の異常が生じていると判定し、制御計画部に用いられる外界認識系統による処理と、安全性評価部に用いられる外界認識系統による処理とは、周辺監視センサの認識結果と、地図データを組み合わせることにより、車両の周辺の環境を認識する処理である。
また上記目的を達成するための車両制御プログラムは、車両を自律的に走行させるための制御計画を作成する制御計画部（Ｆ３）と、制御計画部で生成する制御計画の安全性を評価する安全性評価部（４０）とを備える車両で用いられる車両制御プログラムであって、少なくとも１つのプロセッサ（２１，３１）に、所定の検出範囲内に存在する物体を検出する、複数の周辺監視センサ（１１、１１Ａ～１１Ｄ、１７、１７Ａ～１７Ｄ）の出力信号、及び、周辺監視センサの出力信号に基づいて車両の周辺に存在にする物体を認識する認識部（Ｆ１、Ｆ２、Ｈ１、Ｈ２、Ｘ２）の出力信号の、少なくとも何れか一方に基づいて、周辺監視センサ及び認識部を含む外界認識系統の異常を検出する異常検出ステップ（Ｓ２０１）と、異常検出ステップで外界認識系統の異常が検出されたことに基づいて、車両を停止させるための処理を実行する停車処理ステップ（Ｓ２１１）と、を実行させるように構成され、異常検出ステップにおいて、制御計画部に用いられる外界認識系統による処理と、制御計画部に用いられる外界認識系統による処理と同様の安全性評価部に用いられる外界認識系統による処理とを比較し、結果が相違している場合には、外界認識系統の異常が生じていると判定し、制御計画部に用いられる外界認識系統による処理と、安全性評価部に用いられる外界認識系統による処理とは、複数の周辺監視センサの認識結果をフュージョンする処理である。
また上記目的を達成するための車両制御プログラムは、車両を自律的に走行させるための制御計画を作成する制御計画部（Ｆ３）と、制御計画部で生成する制御計画の安全性を評価する安全性評価部（４０）とを備える車両で用いられる車両制御プログラムであって、少なくとも１つのプロセッサ（２１，３１）に、所定の検出範囲内に存在する物体を検出する、少なくとも１つの周辺監視センサ（１１、１１Ａ～１１Ｄ、１７、１７Ａ～１７Ｄ）の出力信号、及び、周辺監視センサの出力信号に基づいて車両の周辺に存在にする物体を認識する認識部（Ｆ１、Ｆ２、Ｈ１、Ｈ２、Ｘ２）の出力信号の、少なくとも何れか一方に基づいて、周辺監視センサ及び認識部を含む外界認識系統の異常を検出する異常検出ステップ（Ｓ２０１）と、異常検出ステップで外界認識系統の異常が検出されたことに基づいて、車両を停止させるための処理を実行する停車処理ステップ（Ｓ２１１）と、を実行させるように構成され、異常検出ステップにおいて、制御計画部に用いられる外界認識系統による処理と、制御計画部に用いられる外界認識系統による処理と同様の安全性評価部に用いられる外界認識系統による処理とを比較し、結果が相違している場合には、外界認識系統の異常が生じていると判定し、制御計画部に用いられる外界認識系統による処理と、安全性評価部に用いられる外界認識系統による処理とは、地図上における自車位置を特定する処理である。
また上記目的を達成するための車両制御プログラムは、車両を自律的に走行させるための制御計画を作成する制御計画部（Ｆ３）と、制御計画部で生成する制御計画の安全性を評価する安全性評価部（４０）とを備える車両で用いられる車両制御プログラムであって、少なくとも１つのプロセッサ（２１，３１）に、所定の検出範囲内に存在する物体を検出する、少なくとも１つの周辺監視センサ（１１、１１Ａ～１１Ｄ、１７、１７Ａ～１７Ｄ）の出力信号、及び、周辺監視センサの出力信号に基づいて車両の周辺に存在にする物体を認識する認識部（Ｆ１、Ｆ２、Ｈ１、Ｈ２、Ｘ２）の出力信号の、少なくとも何れか一方に基づいて、周辺監視センサ及び認識部を含む外界認識系統の異常を検出する異常検出ステップ（Ｓ２０１）と、異常検出ステップで外界認識系統の異常が検出されたことに基づいて、車両を停止させるための処理を実行する停車処理ステップ（Ｓ２１１）と、を実行させるように構成され、異常検出ステップにおいて、制御計画部に用いられる外界認識系統による処理と、制御計画部に用いられる外界認識系統による処理と同様の安全性評価部に用いられる外界認識系統による処理とを比較し、結果が相違している場合には、外界認識系統の異常が生じていると判定し、制御計画部に用いられる外界認識系統による処理と、安全性評価部に用いられる外界認識系統による処理とは、周辺監視センサの認識結果と、地図データを組み合わせることにより、車両の周辺の環境を認識する処理である。

自動運転システムの全体構成を説明するための図である。 車両制御システム１の全体構成を示すブロック図である。 自動運転装置２０と診断器３０の機能を説明するためのブロック図である。 危険度判定部Ｇ５の作動を説明するための図である。 危険度判定部Ｇ５の作動を説明するための図である。 危険度判定部Ｇ５の作動を説明するための図である。 異常検出部Ｇ４の作動を説明するためのフローチャートである。 異常検出部Ｇ４の作動を説明するための図である。 異常検出部Ｇ４の作動を説明するための図である。 診断器３０の作動を説明するためのフローチャートである。 認識系統の作動を説明するための図である。 認識系統の作動を説明するための図である。 システム構成の変形例を示す図である。 第２実施形態における車両制御システム１の全体構成を示すブロック図である。 第２実施形態の診断器３０の作動を説明するためのブロック図である。 第２実施形態の異常検出部Ｇ４の作動を説明するための図である。 第２実施形態の異常検出部Ｇ４の作動を説明するための図である。 第２実施形態の異常検出部Ｇ４の作動を説明するための図である。 第２実施形態の構成の変形例を示す図である。

図面を参照しながら本開示にかかる車両制御装置が適用された車両制御システム１の複数の実施形態について説明する。なお、以下では、左側通行が法制化されている地域を例に挙げて説明を行う。右側通行が法制化されている地域では、左右を逆とすればよい。本開示は、車両制御システム１が使用される地域の法規や慣習に適合するように適宜変更して実施することができる。

［第１実施形態］
以下、本開示の第１実施形態について図面を用いて説明する。図１は、本開示に係る自動運転システムの概略的な構成の一例を示す図である。図１に示すように、自動運転システムは、車両Ｍａに構築されている車両制御システム１と、外部サーバＳｖと、を備える。車両制御システム１は、道路上を走行可能な車両に搭載可能であって、車両Ｍａは、四輪自動車のほか、二輪自動車、三輪自動車等であってもよい。原動機付き自転車も二輪自動車に含めることができる。車両Ｍａは、個人によって所有されるオーナーカーであってもよいし、シェアカー又はサービスカーであってもよい。サービスカーには、タクシーや路線バス、乗り合いバスなどが含まれる。タクシーやバスは、運転手が搭乗していない、ロボットタクシーなどであってもよい。

車両制御システム１は外部サーバＳｖと無線通信を実施することにより、外部サーバＳｖから局所的な高精度地図データである部分地図データをダウンロードして、自動運転やナビゲーションに使用する。以降では車両制御システム１が搭載されている車両を自車両Ｍａとも記載するとともに、自車両Ｍａの運転席に着座している乗員（つまり運転席乗員）のことをユーザとも記載する。運転席乗員の概念には、自車両Ｍａを遠隔操作する権限を有するオペレータも含まれる。以下の説明における前後、左右、上下の各方向は、自車両Ｍａを基準として規定される。具体的に、前後方向は、自車両Ｍａの長手方向に相当する。左右方向は、自車両Ｍａの幅方向に相当する。上下方向は、車両高さ方向に相当する。別の観点によれば、上下方向は、前後方向及び左右方向に平行な平面に対して垂直な方向に相当する。

＜地図データについて＞
ここではまず外部サーバＳｖが保有する地図データについて説明する。地図データは、道路構造、及び、道路沿いに配置されている地物についての位置座標等を、自動運転に利用可能な精度で示す地図データに相当する。地図データは、ノードデータ、リンクデータ、及び、地物データなどを含む。ノードデータは、地図上のノード毎に固有の番号を付したノードＩＤ、ノード座標、ノード名称、ノード種別、ノードに接続するリンクのリンクＩＤが記述される接続リンクＩＤ等の各データから構成される。

リンクデータは、ノード同士を接続する道路区間であるリンクについてのデータである。リンクデータは、リンクごとに固有の識別子であるリンクＩＤ、リンクの形状情報（以下、リンク形状）、リンクの始端と終端とのノード座標、及び道路属性等の各データを含む。リンク形状は、道路端の形状を表す座標列で表現されていても良い。リンク形状は道路形状に相当する。リンク形状は３次スプライン曲線で表現されていてもよい。道路属性には、例えば、道路名称、道路種別、道路幅員、車線数を表す車線数情報、及び、速度規制値等が含まれる。リンクデータには、自動車専用道路であるか、一般道路であるかといった、道路種別を示すデータも含まれていてもよい。ここでの自動車専用道路とは、歩行者や自転車の進入が禁止されている道路であって、例えば高速道路などの有料道路などを指す。リンクデータには、自律走行が許容される道路であるか否かを示す属性情報を含んでもよい。なお、リンクデータは車線単位に細分化されて記述されていても良い。

地物データは、区画線データと、ランドマークデータとを備える。区画線データは、区画線ごとの区画線ＩＤ、及び、設置部分を表す座標点群を備える。区画線データは、破線や実線、道路鋲などといったパターン情報を含む。区画線データは、例えばレーンＩＤやレーンレベルでのリンクＩＤといった、レーン情報と対応付けられている。ランドマークとは、道路沿いに配置されている立体構造物である。道路沿いに設置される立体構造物とは、例えば、ガードレール、縁石、樹木、電柱、道路標識、信号機などである。道路標識には、方面看板や道路名称看板などの案内標識などが含まれる。ランドマークデータは、ランドマークごとの位置及び種別を表す。各地物の形状および位置は、座標点群によって表現されている。ＰＯＩデータは、高速道路の本線から退出するための分岐点や、合流地点、制限速度変化点、車線変更地点、渋滞区間、工事区間、交差点、トンネル、料金所などといった、車両の走行計画に影響を及ぼす地物の位置及び種別を示すデータである。ＰＯＩデータは種別や位置情報を含む。

地図データは、道路形状及び構造物の特徴点の点群を含む３次元地図データであってもよい。３次元地図データは、道路端や車線区画線、道路標識などの地物の位置を３次元座標で表す地図データに相当する。なお、３次元地図は、ＲＥＭ（Road Experience Management）によって撮像画像をもとに生成されたものでもよい。また、地図データは、走行軌道モデルを含んでいてもよい。走行軌道モデルは、複数の車両の走行軌跡を統計的に統合することで生成された軌道データである。走行軌道モデルは、たとえば車線ごとの走行軌跡を平均化したものである。走行軌道モデルは、自動運転時の基準となる走行軌道を示すデータに相当する。

地図データは、複数のパッチに区分されて管理される。各パッチはそれぞれ異なる区域の地図データに相当する。地図データは、例えば図１に示すように地図収録領域を２ｋｍ四方の矩形状に分割したマップタイルの単位で格納されている。マップタイルは前述のパッチの下位概念に相当する。各マップタイルには、そのマップタイルが対応している現実世界の領域を示す情報が付与されている。現実世界の領域を示す情報は例えば緯度、経度および高度などで表現されている。また、各マップタイルには固有のＩＤ（以降、タイルＩＤ）が付与されている。パッチごと、あるいは、マップタイルごとの地図データは、地図収録地域全体の一部、換言すれば局所的な地図データである。マップタイルは部分地図データに相当する。外部サーバＳｖは、車両制御システム１からの要求に基づき、車両制御システム１の位置に応じた部分地図データを配信する。

なお、マップタイルの形状は、２ｋｍ四方の矩形状に限定されない。１ｋｍ四方や４ｋｍ四方の矩形状であってもよい。また、マップタイルは、六角形や円形などであってもよい。各マップタイルは、隣接するマップタイルと部分的に重なるように設定されていてもよい。地図収録領域は、車両が使用される国全体であってもよいし、一部のエリアだけであってもよい。例えば地図収録領域は、一般車両の自動運転が許可されているエリアや、自動運転移動サービスが提供されるエリアだけであっても良い。加えて、地図データの分割態様は、データサイズによって規定されていてもよい。換言すれば、地図収録地域は、データサイズによって規定される範囲で分割されて管理されてもよい。その場合、各パッチは、データ量が所定値未満となるように設定されている。そのような態様によれば、１回の配信におけるデータサイズを一定値以下とすることができる。地図データは、例えば複数の車両からアップロードされるプローブデータを統合処理することによって随時更新される。

＜車両制御システム１の概略構成＞
次に、第１実施形態の車両制御システム１の構成について図２を用いて説明する。図２に示す車両制御システム１は、自動運転が可能な車両（以下、自動運転車両）で用いられる。車両制御システム１は、図２に示すように、周辺監視センサ１１、車両状態センサ１２、Ｖ２Ｘ車載器１３、地図保持部１４、ロケータ１５、走行アクチュエータ１６、自動運転装置２０、及び診断器３０を備える。なお、部材名称中のＨＭＩは、Human Machine Interfaceの略である。Ｖ２ＸはVehicle to X（Everything）の略で、車を様々なものをつなぐ通信技術を指す。Ｖ２Ｘの「Ｖ」は自車両Ｍａとしての自動車を指し、「Ｘ」は、歩行者や、他車両、道路設備、ネットワーク、サーバなど、自車両Ｍａ以外の多様な存在を指しうる。

本開示の「自動運転」が指すレベルは、例えば米国自動車技術会（ＳＡＥ Ｉｎｔｅｒｎａｔｉｏｎａｌ）が定義するレベル３相当であってもよいし、レベル４以上であってもよい。以降では、自車両Ｍａが少なくとも自動化レベル３以上の自動運転を行う場合を例に挙げて説明を行う。なお、レベル３は、運行設計領域（ＯＤＤ：Operational Design Domain）内においてシステムが全ての運転タスクを実行する一方、緊急時にはシステムからユーザに操作権限が移譲されるレベルを指す。ＯＤＤは、例えば走行位置が高速道路内であること等の、自動運転を実行可能な条件を規定するものである。レベル３では、システムから運転交代の要求があった場合に、ユーザが迅速に対応可能であることが求められる。運転操作を引き継ぐ人物は、車両外部に存在するオペレータであってもよい。レベル３は、いわゆる条件付き自動運転に相当する。レベル４は、対応不可能な道路、極限環境等の特定状況下を除き、システムが全ての運転タスクを実施可能なレベルである。レベル５は、あらゆる環境下でシステムが全ての運転タスクを実施可能なレベルである。レベル３～５は、車両の走行に係る制御のすべてを自動で実行する、自律走行レベルと呼ぶこともできる。

周辺監視センサ１１は、自車の周辺を監視するセンサである。周辺監視センサ１１は、所定の検出対象物の存在及びその位置を検出するように構成されている。検出対象物には、例えば、歩行者や、他車両などの移動体が含まれる。他車両には自転車や原動機付き自転車、オートバイも含まれる。また、周辺監視センサ１１は、所定の地物も検出可能に構成されている。周辺監視センサ１１が検出対象とする地物には、道路端や、路面標示、道路沿いに設置される立体構造物が含まれる。路面標示とは、交通制御、交通規制のための路面に描かれたペイントを指す。例えば、レーンの境界を示す車線区画線や、横断歩道、停止線、導流帯、安全地帯、規制矢印などが路面標示に含まれる。車線区画線は、レーンマークあるいはレーンマーカーとも称される。車線区画線には、チャッターバーやボッツドッツなどの道路鋲によって実現されるものも含まれる。道路沿いに設置される立体構造物とは、前述の通り、例えば、ガードレールや道路標識、信号機などである。すなわち、周辺監視センサ１１は、ランドマークを検出可能に構成されていることが好ましい。また、縁石や、ガードレール、壁なども上記の立体構造物に該当する。周辺監視センサ１１は、路上落下物も検出可能に構成されていてもよい。

周辺監視センサ１１としては、例えば、周辺監視カメラ、ミリ波レーダ、ＬｉＤＡＲ（Light Detection and Ranging/Laser Imaging Detection and Ranging）、ソナー等を採用することができる。周辺監視カメラは自車両の外側、所定方向を撮像するように配置されている車載カメラである。周辺監視カメラには、自車両Ｍａの前方を撮影するようにフロントガラスの車室内側の上端部や、フロントグリル等に配置された前方カメラが含まれる。ミリ波レーダは、所定方向に向けてミリ波又は準ミリ波を送信するとともに、当該送信波が物体で反射されて返ってきた反射波の受信データを解析することにより、自車両Ｍａに対する物体の相対位置や相対速度を検出するデバイスである。ミリ波レーダは、観測データとして、例えば検出方向及び距離毎の受信強度及び相対速度を示すデータまたは検出物の相対位置及び受信強度を示すデータを生成する。ＬｉＤＡＲは、レーザ光を照射することによって、検出方向ごとの反射点の位置を示す３次元点群データを生成するデバイスである。ＬｉＤＡＲはレーザレーダとも称される。ＬｉＤＡＲはスキャン型であってもよいし、フラッシュ型であってもよい。ソナーは所定方向に向けて超音波を送信するとともに、当該送信波が物体で反射されて返ってきた反射波の受信データを解析することにより、自車両Ｍａに対する物体の相対位置や相対速度を検出するデバイスである。

例えば車両制御システム１は、周辺監視センサ１１として図３に示すように、前方カメラ１１Ａ、ミリ波レーダ１１Ｂ、ＬｉＤＡＲ１１Ｃ、及びソナー１１Ｄを備える。前方カメラ１１Ａ、ミリ波レーダ１１Ｂ、ＬｉＤＡＲ１１Ｃ及びソナー１１Ｄは何れも進行方向（例えば車両前方）を検出範囲に含むように構成されている。なお、ソナー１１Ｄは、車両のフロントバンパ及びリアバンパに複数個配置されていても良い。

前方カメラ１１ＡやＬｉＤＡＲ１１Ｃなどは、例えばＣＮＮ（Convolutional Neural Network）やＤＮＮ（Deep Neural Network）などを用いた識別器を用いて上記の検出対象物を検出する。ミリ波レーダ１１Ｂやソナー１１Ｄは、受信した反射波の強度や検出点の分布などを解析することにより、上記の検出対象物を検出する。

複数の周辺監視センサ１１はそれぞれ、検出結果として、検出した物体毎の相対位置や種別、移動速度などを示す信号を出力する。検出物の種別の識別結果は、識別結果の尤もらしさを示す正解確率値データを含む。例えば、正解確率値データは、検出物が車両である確率値、歩行者である確率値、サイクリストである確率値、及び、看板などの立体構造物である確率値などを含む。種別ごとの確率値は、特徴量の一致度合いを示すスコアとすることができる。ここでのサイクリストとは乗員が載っている自転車、あるいは、自転車に載っている乗員を指す。周辺監視センサ１１の検出結果は、認識結果あるいは識別結果と読み替えることもできる。

また、各周辺監視センサ１１は、内部故障等が生じると、エラー信号を車両内ネットワークＮｗに出力する。例えば前方カメラ１１Ａは、撮像素子や処理回路の異常を検出すると、エラー信号を出力する。周辺監視センサ１１が出力したエラー信号は例えば自動運転装置２０や診断器３０に入力される。

なお、周辺監視センサ１１として車両制御システム１が使用するセンサの種類は適宜設計されればよく、上述した全てのセンサを備えている必要はない。さらに、周辺監視センサ１１が生成する観測データに基づく物体認識処理は、自動運転装置２０など、センサ外のＥＣＵ（Electronic Control Unit）が実行しても良い。前方カメラ１１Ａやミリ波レーダなどの周辺監視センサ１１が備える物体認識機能の一部又は全部は、自動運転装置２０が備えていてもよい。その場合、各種周辺監視センサ１１は、画像データや測距データといった観測データを検出結果データとして自動運転装置２０に提供すればよい。

車両状態センサ１２は、自車両Ｍａの走行制御に関わる状態量を検出するセンサ群である。車両状態センサ１２には、車速センサ、操舵センサ、加速度センサ、ヨーレートセンサ等が含まれる。車速センサは、自車の車速を検出する。操舵センサは、自車の操舵角を検出する。加速度センサは、自車の前後加速度、横加速度等の加速度を検出する。加速度センサは負方向の加速度である減速度も検出するものとすればよい。ヨーレートセンサは、自車の角速度を検出する。なお、車両状態センサ１２として車両制御システム１が使用するセンサの種類は適宜設計されればよく、上述した全てのセンサを備えている必要はない。

Ｖ２Ｘ車載器１３、自車両Ｍａが他の装置と無線通信を実施するための装置である。Ｖ２Ｘ車載器１３は、通信モジュールとして広域通信部と狭域通信部を備える。広域通信部は、所定の広域無線通信規格に準拠した無線通信を実施するための通信モジュールである。ここでの広域無線通信規格としては例えばＬＴＥ（Long Term Evolution）や４Ｇ、５Ｇなど多様なものを採用可能である。なお、広域通信部は、無線基地局を介した通信のほか、広域無線通信規格に準拠した方式によって、他の装置との直接的に、換言すれば基地局を介さずに、無線通信を実施可能に構成されていても良い。つまり、広域通信部はセルラーＶ２Ｘを実施するように構成されていても良い。自車両Ｍａは、Ｖ２Ｘ車載器１３の搭載により、インターネットに接続可能なコネクテッドカーとなる。例えば自動運転装置２０は、Ｖ２Ｘ車載器１３との協働により、外部サーバＳｖから自車両Ｍａの現在位置に応じた最新の部分地図データをダウンロードする。また、Ｖ２Ｘ車載器１３は、外部サーバＳｖや路側機などから、渋滞情報や、天気情報を取得する。渋滞情報には渋滞区間の開始地点や終了地点などの位置情報が含まれる。

Ｖ２Ｘ車載器１３が備える狭域通信部は、通信距離が数百ｍ以内に限定される通信規格（以降、狭域通信規格）によって、自車両Ｍａ周辺に存在する他の移動体や路側機と直接的に無線通信を実施するための通信モジュールである。他の移動体としては、車両のみに限定されず、歩行者や、自転車などを含めることができる。狭域通信規格としては、ＩＥＥＥ１７０９にて開示されているＷＡＶＥ（Wireless Access in Vehicular Environment）規格や、ＤＳＲＣ（Dedicated Short Range Communications）規格など、任意のものを採用可能である。狭域通信部は、例えば所定の送信周期で自車両Ｍａについての車両情報を周辺車両に向けて同報送信するとともに、他車両から送信された車両情報を受信する。車両情報は、車両ＩＤや、現在位置、進行方向、移動速度、方向指示器の作動状態、タイムスタンプなどが含まれる。

地図保持部１４は、Ｖ２Ｘ車載器１３が外部サーバＳｖから取得した、自車両Ｍａの現在位置に対応する部分地図データを記憶する装置である。地図保持部１４は例えば、自車両Ｍａが所定時間以内に通過予定の道路に関する部分地図データを保持している。地図保持部１４は、非遷移的な記憶媒体である。地図保持部１４は例えばストレージ２３またはＲＡＭ２２が備える記憶領域の一部を用いて実現されていてもよい。地図保持部１４は自動運転装置２０が内蔵していても良い。Ｖ２Ｘ車載器１３と協働して外部サーバＳｖから地図データを取得し、当該データを地図保持部１４に保存する処理は、自動運転装置２０が制御しても良いし、ロケータ１５が制御しても良い。なお、地図保持部１４は、全地図データを記憶する不揮発性の記憶装置であっても良い。

ロケータ１５は、複数の情報を組み合わせる複合測位により、自車両Ｍａの高精度な位置情報等を生成する装置である。ロケータ１５は、例えば、ＧＮＳＳ受信機を用いて構成されている。ＧＮＳＳ受信機は、ＧＮＳＳ（Global Navigation Satellite System）を構成する測位衛星から送信される航法信号（以降、測位信号）を受信することで、当該ＧＮＳＳ受信機の現在位置を逐次検出するデバイスである。例えばＧＮＳＳ受信機は４機以上の測位衛星からの測位信号を受信できている場合には、１００ミリ秒ごとに測位結果を出力する。ＧＮＳＳとしては、ＧＰＳ、ＧＬＯＮＡＳＳ、Ｇａｌｉｌｅｏ、ＩＲＮＳＳ、ＱＺＳＳ、Ｂｅｉｄｏｕ等を採用可能である。

ロケータ１５は、ＧＮＳＳ受信機の測位結果と、慣性センサの出力とを組み合わせることにより、自車両Ｍａの位置を逐次測位する。例えば、ロケータ１５は、トンネル内などＧＮＳＳ受信機がＧＮＳＳ信号を受信できない場合には、ヨーレートと車速を用いてデッドレコニング（Dead Reckoning ：すなわち自律航法）を行う。デッドレコニングに用いるヨーレートは、ＳｆＭ技術を用いて前方カメラで算出されたものでもよいし、ヨーレートセンサで検出されたものでもよい。ロケータ１５は加速度センサやジャイロセンサの出力を用いてデッドレコニングしても良い。車両位置は、例えば緯度、経度、及び高度の３次元座標で表される。測位した車両位置情報は車両内ネットワークＮｗに出力され、自動運転装置２０等で利用される。

なお、ロケータ１５は、ローカライズ処理を実施可能に構成されていても良い。ローカライズ処理は、前方カメラ１１Ａなどの車載カメラで撮像された画像に基づいて特定されたランドマークの座標と、地図データに登録されているランドマークの座標とを照合することによって自車両Ｍａの詳細位置を特定する処理を指す。また、ロケータ１５は、前方カメラやミリ波レーダで検出されている道路端からの距離に基づいて、自車両Ｍａが走行しているレーンの識別子である走行レーンＩＤを特定するように構成されていても良い。走行レーンＩＤは、例えば左端または右端の道路端から何番目のレーンを自車両Ｍａが走行しているかを示す。ロケータ１５が備える一部又は全部の機能は、自動運転装置２０が備えていてもよい。

走行アクチュエータ１６は、走行用のアクチュエータ類である。走行アクチュエータ１６には例えば制動装置としてのブレーキアクチュエータや、電子スロットル、操舵アクチュエータなどが含まれる。操舵アクチュエータには、ＥＰＳ（Electric Power Steering）モータも含まれる。走行アクチュエータ１６は自動運転装置２０によって制御される。なお、自動運転装置２０と走行アクチュエータとの間には、操舵制御を行う操舵ＥＣＵ、加減速制御を行うパワーユニット制御ＥＣＵ及びブレーキＥＣＵ等が介在していてもよい。

自動運転装置２０は、周辺監視センサ１１などの検出結果をもとに走行アクチュエータ１６を制御することにより、運転操作の一部または全部を運転席乗員の代わりに実行するＥＣＵ（Electronic Control Unit）である。ここでは一例として自動運転装置２０は、自動化レベル５までを実行可能に構成されており、各自動化レベルに対応する動作モードを切り替え可能に構成されている。以降では便宜上、自動運転レベルＮ（Ｎ＝０～５）に対応する動作モードを、レベルＮモードとも記載する。以降では自動化レベル３以上のモードで動作している場合を想定して説明を続ける。レベル３以上の走行モードにおいては、自動運転装置２０は、運転席乗員またはオペレータによって設定された目的地まで、道路に沿って自車両Ｍａが走行するように、車両の操舵、加速、減速（換言すれば制動）等を自動で実施する。なお、動作モードの切り替えは、ユーザ操作の他、システム限界や、ＯＤＤの退出等に起因して自動的に実行される。

自動運転装置２０は、処理部２１、ＲＡＭ２２、ストレージ２３、通信インターフェース２４、及びこれらを接続するバス等を備えたコンピュータを主体として構成されている。処理部２１は、ＲＡＭ２２と結合された演算処理のためのハードウェアである。処理部２１は、ＣＰＵ（Central Processing Unit）等の演算コアを少なくとも一つ含む構成である。処理部２１は、ＲＡＭ２２へのアクセスにより、後述する各機能部の機能を実現するための種々の処理を実行する。ストレージ２３は、フラッシュメモリ等の不揮発性の記憶媒体を含む構成である。ストレージ２３には、処理部２１によって実行されるプログラム（以降、自動運転プログラム）が格納されている。処理部２１が自動運転プログラムを実行することは、車両制御方法として、自動運転プログラムに対応する方法が実行されることに相当する。通信インターフェース２４は、車両内ネットワークＮｗを介して他の装置と通信するための回路である。通信インターフェース２４は、アナログ回路素子やＩＣなどを用いて実現されればよい。

通信インターフェース２４は、例えば、周辺監視センサ１１の出力信号としての検出結果（つまり、センシング情報）や、車両状態センサ１２の検出結果を取得する構成に相当する。センシング情報には、自車両Ｍａ周辺に存在する他の移動体や、地物、障害物などの位置や、移動速度が含まれる。例えば、自車両Ｍａの前方を走行する車両である前方車両と自車両Ｍａとの距離や、前方車両の移動速度が含まれる。ここでの前方車両には、自車と同一のレーンを走行する、いわゆる先行車両のほか、隣接レーンを走行する車両を含める事ができる。つまり、ここでの前方には自車両Ｍａの真正面方向に限らず、斜め前方を含めることができる。センシング情報には、道路端までの横方向距離や、走行レーンＩＤ、走行レーンにおける中心線からのオフセット量などが含まれる。

自動運転装置２０には、車両状態センサ１２から自車両Ｍａの走行速度や加速度、ヨーレートなどを示す各種信号や、ロケータ１５が検出した自車位置情報、地図保持部１４に保持されている地図データが入力される。また、Ｖ２Ｘ車載器１３が路側機などから取得した交通情報や、車々間通信により取得した他車両情報が入力される。これらの入力信号に基づく自動運転装置２０の作動の詳細については別途後述する。

診断器３０は、周辺監視センサ１１からの出力信号や自動運転装置２０の出力信号をもとに、外界認識系統の異常を検出する構成である。ここでの外界認識系統には、個々の周辺監視センサ１１も含まれる。また、外界認識系統には、例えば後述のフュージョン部Ｆ２など、自動運転装置２０において周辺監視センサ１１の出力信号に基づいて自車両周辺の環境を認識する処理を行うモジュールも含まれる。ここでの走行環境の認識には、車両周辺に存在する物体の種別や位置を認識することも含まれる。

診断器３０は、処理部３１、ＲＡＭ３２、ストレージ３３、通信インターフェース３４、及びこれらを接続するバス等を備えたコンピュータを主体として構成されている。ストレージ３３には、処理部３１によって実行されるプログラム（以降、車両制御プログラム）が格納されている。処理部３１が車両制御プログラムを実行することは、車両制御方法として、車両制御プログラムに対応する方法が実行されることに相当する。

なお、診断器３０には、各種周辺監視センサ１１が出力する検出結果や、エラー信号、自動運転装置２０が備えるフュージョン部Ｆ２の動作状況等を示すデータが入力される。フュージョン部Ｆ２等の動作状況を示すデータとは、例えばフュージョンの結果や、センサフュージョンに用いた周辺監視センサ１１の利用率（換言すれば重み）等が含まれる。また、診断器３０は診断結果を示す信号を自動運転装置２０に出力する。診断結果を示す信号には、各種周辺監視センサ１１の利用可否などを含む。さらに認識系統に異常が有る場合には、異常事象の影響度合いに応じた制御信号を自動運転装置２０に出力する。診断器３０の詳細については別途後述する。診断器３０が車両制御装置に相当する。

＜自動運転装置２０及び診断器３０の構成について＞
ここでは図３を用いて自動運転装置２０及び診断器３０の構成について説明する。自動運転装置２０は、処理部２１が自動運転プログラムを実行することによって実現される機能部として、地図連携部Ｆ１、フュージョン部Ｆ２、制御計画部Ｆ３、及び安全性評価部Ｆ４を備える。また、診断器３０は、処理部３１が車両制御プログラムを実行することによって実現される機能部として、診断材料取得部Ｇ１、認識結果保持部Ｇ２、対応関係特定部Ｇ３、異常検出部Ｇ４、危険度判定部Ｇ５、及び危険度応答部Ｇ６を備える。

地図連携部Ｆ１は、前方カメラ１１Ａの認識結果と、地図データとを組み合わせることにより、車両周辺の環境を認識する。例えば、自車両前方に存在する構造物や路面表示の位置や種別を補正する。地図データは、前方カメラ１１Ａでの認識結果の信頼度や情報量を高めたり、補正したりするために使用される。また、地図連携部Ｆ１は、地図データに示されているランドマークとしての構造物と前方カメラ１１Ａで認識されているランドマーク情報とを照らし合わせることにより、地図上における自車位置を特定する、いわゆるローカライズ処理を実施してもよい。

地図連携部Ｆ１は、前方カメラ１１Ａでの認識結果と地図データを相補的に使用することにより特定した認識結果データを診断器３０及びフュージョン部Ｆ２に出力する。便宜上、地図連携部Ｆ１は、フュージョン部Ｆ２の前処理を行う構成に相当するため１次認識部とも記載するとともに、地図連携部Ｆ１での認識結果のことを１次認識結果とも記載する。１次認識結果としての物体認識結果データには、検出物ごとの位置、種別を示す情報が含まれる。検出物の種別情報には、前述の通り、種別毎の正解確率値データを含む。例えば正解確率値データは、検出物が車両である確率値、歩行者である確率値などを含む。

また、地図連携部Ｆ１は、検出物毎のセンサ使用割合データを診断器３０及びフュージョン部Ｆ２に出力する。或る物体についてのセンサ使用割合データは、当該物体の種別判定に使用した前方カメラ１１Ａの認識結果と地図データのそれぞれの比重、換言すれば重みを示す。センサ使用割合は、一定値であっても良いし、車両から検出物までの距離に応じて可変であっても良い。さらに、前方カメラ１１Ａで認識された物体の種別や、その正解確率値に応じて変更されても良い。その他、センサ使用割合は、走行シーンに応じて変更されてもよい。例えば夜間や雨天など、画像認識性能が劣化しうる場合には、前方カメラ１１Ａでの認識結果に対する重みを相対的に小さく設定する。なお、画像認識性能が劣化しうる走行シーンとしては、上記のほか、西日を受けている場合や、トンネル出入り口付近、カーブ走行中、霧が発生している場合などが含まれうる。

なお、本実施形態ではフュージョン部Ｆ２の外側に地図連携部Ｆ１を配置しているが、地図連携部Ｆ１の機能はフュージョン部Ｆ２が備えていても良い。前方カメラ１１Ａやロケータ１５の出力信号、地図データは、フュージョン部Ｆ２に直接入力されていても良い。地図連携部Ｆ１は任意の要素である。地図連携部Ｆ１及びフュージョン部Ｆ２が認識部に相当する。

フュージョン部Ｆ２は、種々の周辺監視センサ１１の検出結果を、所定の重み（換言すればセンサ使用割合）で統合するセンサフュージョン処理により、自車両Ｍａの走行環境を認識する。走行環境には、車両周辺に存在する物体の位置や、種別、移動速度などのほか、道路の曲率や、車線数、道路内における走行位置としての走行レーン、天候、路面状態なども含まれる。天候や路面状態は、前方カメラ１１Ａの認識結果と、Ｖ２Ｘ車載器１３が取得した天気情報とを組み合わせることにより特定可能である。道路構造に関しては主として地図連携部Ｆ１から入力される情報に基づいて特定される。

フュージョン部Ｆ２の認識結果を示すデータのことを、地図連携部Ｆ１の認識結果と区別するため、フュージョン結果データとも記載する。例えばフュージョン部Ｆ２は、地図連携部Ｆ１、ミリ波レーダ１１Ｂ、ＬｉＤＡＲ１１Ｃ、及びソナー１１Ｄの検出結果を所定あるいは動的に設定されているセンサ使用割合で統合することによりフュージョン結果データを生成する。フュージョン結果データは、診断器３０、制御計画部Ｆ３、及び安全性評価部Ｆ４に出力される。

フュージョン結果のデータもまた、検出物ごとの位置と種別を示す情報を含む。例えば、フュージョン結果データは、検出物毎の、種別、位置、形状、大きさ、相対速度等を含む。前述の通り、種別情報は種別ごとの正解確率値データを含む。なお、フュージョン部Ｆ２は１次認識部としての地図連携部Ｆ１の認識処理結果を用いて改めて物体認識処理を行う構成であるため、２次認識部と呼ぶことができる。故に、フュージョン部Ｆ２での認識結果のことを２次認識結果とも記載する。フュージョン結果データは、フュージョン部Ｆ２での認識結果のことを２次認識結果とも記載する。以降における２次認識結果データは、フュージョン結果データと呼ぶことができる。

フュージョン部Ｆ２もまた、検出物毎のセンサ使用割合データを診断器３０、制御計画部Ｆ３、及び安全性評価部Ｆ４に出力する。或る物体についてのセンサ使用割合データは、前述の通り、当該物体の種別判定に使用した情報源毎の重みを示す。ここでの情報源とは、ミリ波レーダ１１ＢやＬｉＤＡＲ１１Ｃ等の周辺監視センサ１１に相当する。また、地図連携部Ｆ１もまた、フュージョン部Ｆ２にとっての情報源に相当する。地図連携部Ｆ１も前方カメラ１１Ａの認識結果をベースに車両周辺に存在する物体を認識する構成である。そのため、地図連携部Ｆ１を周辺監視センサ１１の概念に含めることができる。

フュージョン部Ｆ２におけるセンサ使用割合は、一定値であっても良いし、車両から検出物までの距離に応じて可変であっても良い。フュージョン部Ｆ２におけるセンサ使用割合は、各周辺監視センサ１１が出力する正解確率に応じた値に設定されても良い。例えば正解確率が８０％の周辺監視センサ１１の重みは０．８（８０％相当）としてもよい。或る物体に対する周辺監視センサ１１の使用割合は、当該周辺監視センサ１１の正解確率に所定の変換係数を乗じた値としてもよい。また、物体の種別に応じて変更されても良い。さらに、センサ使用割合は、走行シーンに応じて変更されてもよい。その他、センサ使用割合は物体の検出対象項目毎に変更されてもよい。検出対象項目は、距離、水平方位角、高さ方位角、移動速度、大きさ、種別などがある。例えば距離や高さ方位角、移動速度に関しては、前方カメラ１１Ａの検出結果をベースとする地図連携部Ｆ１よりも、ミリ波レーダ１１ＢやＬｉＤＡＲ１１Ｃの重みを大きくしても良い。また、種別や水平方位角に関しては、ミリ波レーダ１１ＢよりもＬｉＤＡＲ１１Ｃや地図連携部Ｆ１の重みを大きくしても良い。

制御計画部Ｆ３は、地図データ及びフュージョン部Ｆ２での認識結果を用いて、自動運転によって自車両Ｍａを自律的に走行させるための走行計画、換言すれば制御計画を生成する。例えば制御計画部Ｆ３は、中長期の走行計画として、経路探索処理を行って、自車位置から目的地へ向かわせるための推奨経路を生成する。また、制御計画部Ｆ３は、中長期の走行計画に沿った走行を行うための短期の制御計画として、車線変更の走行計画、レーン中心を走行する走行計画、先行車に追従する走行計画、及び障害物回避の走行計画等が生成する。なお、地図データは、例えば車線数や道路幅に基づいて車両が走行可能な領域を特定したり、前方道路の曲率に基づいて操舵量や目標速度を設定したりするために使用される。

制御計画部Ｆ３は、短期の制御計画として、例えば、認識した走行区画線から一定距離又は中央となる経路を走行計画として生成したり、認識した先行車の挙動又は走行軌跡に沿う経路を走行計画として生成したりする。制御計画部Ｆ３は、自車の走行路が片側複数車線の道路に該当する場合には、自車の走行車線と同方向の隣接車線に車線変更するプラン候補を生成してもよい。制御計画部Ｆ３は、フュージョン部Ｆ２によって自車両Ｍａ前方に障害物が存在することが認識されている場合には、障害物の側方を通過する走行計画を生成してもよい。制御計画部Ｆ３は、フュージョン部Ｆ２によって自車両Ｍａ前方に障害物が存在することが認識されている場合には、障害物の手前で停車する減速を走行計画として生成してもよい。制御計画部Ｆ３は、機械学習等によって最適と判定される走行計画を生成する構成としてもよい。

制御計画部Ｆ３は、短期の走行計画の候補として、例えば１以上のプラン候補を算出する。複数のプラン候補は、それぞれ加減速量や、ジャーク、操舵量、各種制御を行うタイミングなどが異なる。すなわち、短期の走行計画には、算出した経路における速度調整のための加減速のスケジュール情報を含みうる。プラン候補は経路候補と呼ぶこともできる。制御計画部Ｆ３は、生成した少なくとも１つのプラン候補を示すデータを安全性評価部Ｆ４に出力する。

安全性評価部Ｆ４は、フュージョン部Ｆ２での認識結果及び地図データに基づいて、制御計画部Ｆ３が生成した制御プランのなかから最終的な実行プランを決定し、当該プランに応じた制御信号を走行アクチュエータ１６に向けて出力する構成である。なお、地図データは、道路構造や交通ルールに基づく安全距離の算出処理や、潜在事故責任値の算出処理に使用される。安全性評価部Ｆ４は、サブ機能として、責任値演算部Ｆ４１及び行動決定部Ｆ４２を備える。

責任値演算部Ｆ４１は、制御計画部Ｆ３で生成する走行計画の安全性を評価する構成に相当する。一例として、責任値演算部Ｆ４１は、自車と周辺物体との対象間の距離（以下、対象間距離）が、安全運転の概念を数式化した数学的公式モデルを用いて定まる安全距離以上か否かに基づいて安全性を評価する。例えば、責任値演算部Ｆ４１は、制御計画部Ｆ３が計画した各プラン候補を自車両Ｍａが走行した場合について、そのプラン候補を走行して自車両Ｍａに事故が生じた場合に、自車両Ｍａの責任の程度を示す潜在事故責任値を決定する。潜在事故責任値は、プラン候補を自車両Ｍａが走行した場合の自車両Ｍａと周辺車両との間の車間距離と安全距離との比較結果を因子の１つとして用いて決定する。

潜在事故責任値は、責任が低いほど小さい値になる。したがって、潜在事故責任値は、自車両Ｍａが安全運転をしているほど小さい値になる。たとえば、車間距離が十分に確保されている場合には、潜在事故責任値は小さい値になる。また、潜在事故責任値は、自車両Ｍａが急加速や急減速をする場合に大きい値になりうる。

また、責任値演算部Ｆ４１は、自車両Ｍａが交通ルールに従って走行している場合に潜在事故責任値を低い値にすることができる。つまり、自車位置における交通ルールを遵守した経路になっているか否かも、潜在事故責任値の値に影響する因子として採用可能である。自車両Ｍａが交通ルールに従って走行しているかどうかを判定するために、責任値演算部Ｆ４１は、自車両Ｍａが走行している地点の交通ルールを取得する構成を備えることができる。自車両Ｍａが走行している地点の交通ルールは、所定のデータベースから取得しても良いし、自車両Ｍａの周辺を撮像するカメラが撮像した画像を解析して、標識、信号機、路面標示などを検出することで、現在位置の交通ルールを取得してもよい。交通ルールは、地図データに含まれていても良い。

責任値演算部Ｆ４１が使用する安全距離は、自車両と例えば先行車両などといった、対象間の安全性を評価するための基準となるパラメータであり、走行環境に応じて動的に定まる。安全距離は、少なくとも自車両Ｍａの加速度などの挙動の情報に基づいて設定される。安全距離の算出方法としては多様なモデルを採用可能であるため、ここでの詳細な算出方法の説明は省略する。なお、安全距離を算出するための数学的公式モデルとしては、例えば、ＲＳＳ（Responsibility Sensitive Safety）モデルを用いることができる。また、安全距離を算出するための数学的公式モデルとしては、ＳＦＦ（Safety Force Field、登録商標）を採用することもできる。安全距離としては、先行車との間の安全距離、すなわち縦方向の安全距離と、左右方向すなわち横方向の安全距離とがある。上述した数学的公式モデルには、これら２種類の安全距離を決定するためのモデルが含まれている。

なお、上記の数学的公式モデルは、事故が完全に生じないことを担保するものではなく、安全距離未満となった場合に衝突回避のための適切な行動を取りさえすれば事故の責任を負う側にならないことを担保するためのものである。ここで言うところの衝突回避のための適切な行動の一例としては、合理的な力での制動が挙げられる。合理的な力での制動とは、例えば、自車にとって可能な最大減速度での制動等が挙げられる。数学的公式モデルによって算出される安全距離は、自車と障害物との近接をさけるために自車が障害物との間に最低限空けるべき距離と言い換えることができる。

行動決定部Ｆ４２は、複数の制御プランのうち、責任値演算部Ｆ４１で算出された潜在事故責任値に基づいて、最終的な実行プランを決定する構成である。例えば行動決定部Ｆ４２は、制御計画部Ｆ３が生成した制御プランのうち、後述する責任値演算部Ｆ４１で算出された潜在事故責任値が最も小さいプラン、又は、潜在事故責任値が許容レベルとなっているプランを、最終的な実行プランとして採用する。

安全性評価部Ｆ４は、行動決定部Ｆ４２で決定された制御計画に対応する制御信号を、制御対象とする走行アクチュエータ１６へ出力する。例えば減速が予定されている場合には、ブレーキアクチュエータや、電子スロットルに対して計画された減速度を実現するための制御信号を出力する。

診断材料取得部Ｇ１は、外界認識系統、すなわち周辺監視センサ１１、地図連携部Ｆ１、及びフュージョン部Ｆ２のいずれかに異常が生じているか否かを判断する為の情報を診断材料として取得する構成である。診断材料としては、各周辺監視センサ１１の検出結果を示す信号や、地図連携部Ｆ１の認識結果データ、フュージョン部Ｆ２の認識結果データを採用することができる。また、周辺監視センサ１１からエラー信号が出力された場合には、当該エラー信号も診断材料として採用可能である。なお、異常が生じているか否かを判断することは、異常が生じていることを検出することに相当する。ここでの異常とは、何かしらの不具合によって正常に動作していない状態を指す。異常状態には、故障により認識結果が出力されない状態や、出力信号が固着している状態も含まれる、
診断材料取得部Ｇ１は、周辺監視センサ１１、地図連携部Ｆ１及びフュージョン部Ｆ２のそれぞれから診断材料として使用可能な所定の種別のデータを逐次取得する。診断材料取得部Ｇ１は、各構成から取得したデータを、情報の種別ごとに区別して認識結果保持部Ｇ２に保存する。また、取得時点が異なる同一種別のデータは、例えば、最新のデータが先頭となるように時系列順にソートして保存する。各種データは取得時刻に相当するタイムスタンプが付与されるなど、取得した順番を特定可能に構成されている。なお、保存されてから一定時間経過したデータは順次破棄されてもよい。診断材料取得部Ｇ１は、認識結果取得部に相当する。

認識結果保持部Ｇ２は、例えばＲＡＭ３２が備える記憶領域の一部を用いて実現されている。認識結果保持部Ｇ２は、例えば直近１０秒以内に取得されたデータを保存するように構成されている。認識結果保持部Ｇ２は診断材料としてのデータを一時的にプールするメモリに相当する。

対応関係特定部Ｇ３は、検出物の位置や移動速度に基づいて、前時刻に検出された物体と、次の時刻に検出された物体との対応付けを行う。すなわち、対応関係特定部Ｇ３は、一旦検出した物体を追跡（換言すればトラッキング）する構成に相当する。物体の追跡方法としては多様な方法を援用可能である。例えば対応関係特定部Ｇ３は、検出物ごとに、前時刻での位置と移動速度に基づいて現時刻での位置を推定し、現在の観測データにおいて、当該推定位置に最も近いものを同一物と見なすことができる。その他、対応関係特定部Ｇ３は、検出物の特徴量の類似度合いを用いて同一物かどうかの対応付け（換言すれば追跡）を実施するように構成されていても良い。検出物の特徴量としては、例えばカラーヒストグラムや、大きさ、反射強度など、周辺監視センサ１１毎の特性に応じた項目を採用可能である。

また、対応関係特定部Ｇ３は、検出物の位置情報に基づいて、異なる周辺監視センサ１１で共通して検出されている物体の対応づけも行う。例えば前方カメラ１１Ａで他車両を検出している位置から所定距離以内にミリ波レーダ１１Ｂも他車両を検出している場合には、両者は同一物であると見なす。なお、同一の物体には、同一の検出物ＩＤが付与されることで経時的な追跡を容易とするように構成されていることが好ましい。検出物ＩＤは検出物を識別するための識別子である。対応関係特定部Ｇ３の特定結果は、認識結果保持部Ｇ２に保存されている認識結果データに反映される。

異常検出部Ｇ４は、認識結果保持部Ｇ２に保存されている認識結果データ等に基づいて、外界認識系統の異常を検出する構成である。異常検出部Ｇ４の詳細については別途説明する。異常検出部Ｇ４が正常に動作していないと判定した周辺監視センサ１１のことを以降では異常センサとも記載する。異常検出部Ｇ４は、別の観点によれば、異常センサの有無を判定する構成に相当する。

危険度判定部Ｇ５は、異常センサの有無、及び、センサフュージョン処理における異常センサの使用度に基づいて、危険度合いを判定する構成である。ここでは一例として危険度は０～２までの３段階で表現される。危険度０は、危険ではない状態に相当する。危険度１は、通常よりも安全サイドの制御を実行したほうが良い状態に相当する。安全サイドの制御とは、安全距離を伸ばしたり、ユーザに操作権限を移譲するなどの処理を指す。危険度２は、車両が停車したほうがよい状態を指す。

例えば図４に示すように異常センサがない場合には危険度は０と判定する。また、図５に示すように、異常センサが存在する場合であっても当該異常センサの使用度が所定の危険判定閾値未満である場合には危険度は１と判定する。図６に示すように、異常センサが存在する場合であり、かつ、当該異常センサの使用度が危険判定閾値以上である場合には危険度は２と判定する。なお、図４～図６に示すセンサＡは例えば前方カメラ１１Ａ又は地図連携部Ｆ１に相当する。センサＢは例えばミリ波レーダ１１Ｂである、センサＣは例えばＬｉＤＡＲ１１Ｃである。センサＤは例えばソナー１１Ｄである。危険判定閾値は例えば１０％や２５％などとすることができる。

周辺監視センサ１１毎の使用度は、例えば、センサフュージョンにおける重みそのものとすることができる。また、物体毎に重み係数が異なる場合には、各周辺監視センサ１１の使用度は、物体毎の重みの平均値または最大値としてもよい。さらに、周辺監視センサ１１の使用度は、一定時間以内のセンサフュージョン処理において、算出対象とする周辺監視センサ１１の認識結果を使用した回数の比率としてもよい。すなわち、周辺監視センサ１１毎の使用度は、経時的なものでも良い。また、センサフュージョンにおける周辺監視センサ１１毎の使用度は、車両から所定距離内に検出されている物体の全体数のうち、対象とする周辺監視センサ１１の検出結果がセンサフュージョンに使用されている物体の数の比率でも良い。センサフュージョンに使用されている周辺監視センサ１１とは、例えば重みが全体の２５％以上となっているセンサとすることができる。なお、算出対象とする周辺監視センサ１１の重みが０でなければ、当該センサはセンサフュージョンに使用されているものと見なして使用度を算出しても良い。もちろん、使用度は重みを考慮して算出されても良い。

その他、危険度判定部Ｇ５は、後述する個別診断処理にて、フュージョン部Ｆ２が正常に動作していないと判定した場合には危険度を２と判定する。他の態様として、フュージョン部Ｆ２に異常が生じている場合の危険度は１であってもよい。その他、地図連携部Ｆ１が正常に動作していないと判定した場合には危険度を１と判定しても良い。

危険度応答部Ｇ６は、危険度が０では無いと判断されたことに基づいて、危険度に応じた車両制御の実行を安全性評価部Ｆ４に要求する構成である。危険度応答部Ｇ６は、危険度が１であると判定したことに基づいて、所定の安全行動の実施を安全性評価部Ｆ４に要求する。安全行動は、例えば１０秒～１分ほどかけて緩やかに停車させる車両制御とすることができる。また、安全行動は、ハンドオーバーの要求処理であってもよい。ハンドオーバーの要求処理は、ディスプレイなどのＨＭＩ（Human Machine Interface）システムと連動して、運転席乗員またはオペレータに対して運転操作の引き継ぎ要求を実施することに相当する。ハンドオーバーの要求処理はハンドオーバーリクエストと呼ぶことができる。安全行動は、潜在事故責任値の演算に使用する安全距離を伸ばすことであってもよい。安全行動は、例えば、車両の走行速度を予定されていた目標速度よりも所定量低減する処理とすることができる。安全行動は、走行を維持しつつも、車両挙動を通常時よりも安全サイドに移すための行動に相当する。

なお、危険度が１である場合とは、センサフュージョンで利用されている率が所定値以上の周辺監視センサ１１に異常が生じている場合である。つまり、上記構成は、センサフュージョンで利用されている率が所定の閾値未満の周辺監視センサ１１に異常が生じていることに基づいて、安全行動を実施するための処理を行う構成に相当する。

また、危険度応答部Ｇ６は、危険度が２であると判定されていることに基づいて、所定の非常行動の実施を安全性評価部Ｆ４に要求する、非常行動は、例えばＭＲＭとすることができる。ＭＲＭの具体的な内容は、例えば、周囲に警報を発しながら安全な場所まで車両を自律走行させて駐車させる処理とすることができる。安全な場所としては、所定値以上の幅を有する路肩や、緊急退避エリアとして規定されている場所などである。なお、ＭＲＭの内容は、緩やかな減速で現在走行中の車線内に停止するものであってもよい。その際の減速度としては、例えば２［ｍ／ｓ＾２］や３［ｍ／ｓ＾２］など、４［ｍ／ｓ＾２］以下の値を採用することが好ましい。もちろん、先行車両との衝突等を回避する必要がある場合には、４［ｍ／ｓ＾２］を超過する減速度も採用可能である。ＭＲＭ時の減速度は、例えば１０秒以内に停止できる範囲で、ＭＲＭ開始時点の走行速度や、後続車両との車間距離を鑑みて動的に決定及び逐次更新されてもよい。ＭＲＭを開始することは、緊急停車に向けた減速を開始することに相当する。

上記の構成は、危険度が２であると判定されたことに基づいて、車両を緊急停車させる処理を実行する構成である。例えば危険度応答部Ｇ６は、安全性評価部Ｆ４に対してＭＲＭの実行を要求する信号を出力する。なお、危険度応答部Ｇ６は、制御計画部Ｆ３に対して非常行動として、ＭＲＭを実施するためのプランを生成するように指示しても良い。非常行動の実施を要求する信号の出力先は制御計画部Ｆ３であってもよい。危険度応答部Ｇ６は、自車両Ｍａを停車させるための処理を実行する停車処理部に相当する。

＜異常検出部Ｇ４の作動の詳細＞
ここでは図７に示すフローチャートを用いて複数の周辺監視センサ１１のそれぞれが正常に動作しているか、異常な状態であるかを判断する処理である個別診断処理について説明する。センサ診断処理は、例えば、車両の走行用電源がオンとなっている間、又は、自動運転機能が有効化されている間、所定の実行周期で逐次実行される。実行周期は例えば２００ミリ秒とすることができる。なお、ここでの走行用電源とは、車両が走行するための電源であって、車両がガソリン車である場合にはイグニッション電源を指す。また、車両が電気自動車やハイブリッドカーである場合には、システムメインリレーを指す。本実施形態のセンサ診断処理は一例としてステップＳ１０１～Ｓ１０５を備える。個別診断処理は、周辺監視センサ１１毎に個別に実施される。以降では、診断処理の対象とする周辺監視センサ１１を診断対象センサとも記載する。

ステップＳ１０１では異常検出部Ｇ４が、診断対象センサで検出されている任意の物体を、以降の処理で使用する対象物体に設定してステップＳ１０２に移る。ステップＳ１０２では異常検出部Ｇ４が、認識結果保持部Ｇ２にアクセスし、直近所定時間以内における、当該対象物体に対する診断対象センサの認識結果の履歴（換言すれば時系列データ）を取得する。認識結果の時系列データは、当該対象物体に対する種別毎の正解確率値データの推移を示す。例えば認識結果の時系列データは、対象物体が車両である確率の推移や、歩行者である確率の推移を示す。過去の認識結果の参照範囲を規定するサンプリング期間は、例えば４秒間や６秒間などとすることができる。

ステップＳ１０３では異常検出部Ｇ４が、ステップＳ１０２で取得した認識結果の時系列データを元に、対象物体に対する認識結果が安定しているか否かを判定する。例えば図８に示すように対象物体に対する認識結果が安定している場合には（ステップＳ１０３ ＹＥＳ）、ステップＳ１０４に移る。ステップＳ１０４では診断対象センサは正常に動いている可能性が高いと判断して本フローを終了する。一方、図９に示すように、対象物体に対する認識結果の変動が大きい場合、すなわち不安定である場合には（ステップＳ１０３ ＮＯ）、ステップＳ１０５に移り、診断対象センサに異常が生じている可能性があると判断する。図８及び図９の縦軸は確率値を示しており、横軸は時間を示している。一点鎖線は例えば対象物体の種別が車両である確率値ｐ１の推移を示しており、差示す二点鎖線は例えば対象物体の種別が歩行者である確率値ｐ２の推移を示している。ｐ１とｐ２の振幅や、上下の入れ替わり頻度が多いほど、認識結果が不安定であることを示す。異常動作の可能性が有ると判定するための、種別毎の確率値の振幅や、入れ替わり頻度に対する閾値は適宜設計されればよい。

異常検出部Ｇ４は、例えば、診断対象センサで検出されているすべての物体に対して上記の処理を実行し、異常が生じている可能性が有ると判定した回数である異常判定数に基づいて、最終的に診断対象センサが正常に動作しているか否かを判定する。例えば異常判定数が所定の閾値以上となっている場合に診断対象センサには異常が生じていると判定する。なお、異常検出部Ｇ４は、正常に動作している可能性が高いと判定した回数である正常判定数と異常判定数の合計値である総判定数に対する異常判定数の比率が所定に閾値以上である場合に、診断対象センサに異常が生じていると判定しても良い。また、異常検出部Ｇ４は、例えば、診断対象センサで検出されているすべての物体に対してではなく、ランダムまたは所定の規則に基づき選定した複数の物体に対して上記診断処理を実行するように構成されていても良い。さらに、異常検出部Ｇ４は、例えば、ランダムまたは所定の規則に基づき選定した１つの物体に対してのみ、上記診断処理を実行し、当該診断対象センサが正常に動作しているか否かを判断しても良い。ただし、診断の材料とする物体が１つだけであると物体の特性に由来して正常に動作している周辺監視センサ１１を正常に動作していないと誤判定する恐れがある。そのため、異常検出部Ｇ４は複数の物体を用いた診断結果を統計処理することにより、診断対象センサが正常か否かを判定することが好ましい。

なお、異常検出部Ｇ４は、エラー信号を出力している周辺監視センサ１１には異常が生じていると判定しても良い。つまり、エラー信号を出力している周辺監視センサ１１を異常センサと見なすことができる。

また、異常検出部Ｇ４は、地図連携部Ｆ１及びフュージョン部Ｆ２に対しても、図７に示す個別診断処理と同様の処理を実施する。これにより、認識結果の安定性の観点から、診断対象としての地図連携部Ｆ１及びフュージョン部Ｆ２がそれぞれ正常に動作しているか否かを判定する。異常動作していると判定する基準は周辺監視センサ１１と同様とすることができる。以降では、周辺監視センサ１１、地図連携部Ｆ１、フュージョン部Ｆ２といった外界認識系統を構成する個々の要素のことを認識モジュールと称する。

＜危険度判定部Ｇ５の作動について＞
ここでは図１０に示すフローチャートを用いて、周辺監視センサ１１毎の作動状態にも基づく診断器３０の作動に説明する。図１０に示すフローチャートは、例えば、車両の走行用電源がオンとなっている間、又は、自動運転機能が有効化されている間、所定の実行周期で逐次実行される。

まずステップＳ２０１では認識モジュール毎の診断結果を取得してステップＳ２０２に移る。認識モジュールには前述の通り、各周辺監視センサ１１、地図連携部Ｆ１、及びフュージョン部Ｆ２が含まれる。なお、前述の個別診断処理はステップＳ２０１として認識モジュール毎に実行されても良い。ステップＳ２０１が異常検出ステップに相当する。

ステップＳ２０２では異常センサが存在するか否かを判定する。異常センサが存在しない場合にはステップＳ２０２を否定判定してステップＳ２０３に移る。異常センサが存在する場合にはステップＳ２０２を肯定判定してステップＳ２０９に移る。

ステップＳ２０３では、異常検出部Ｇ４にてフュージョン部Ｆ２が正常であると判定されているか否かを読み出す。異常検出部Ｇ４にてフュージョン部Ｆ２が正常であると判定されている場合にはステップＳ２０３を肯定判定してステップＳ２０４に移る。一方、異常検出部Ｇ４にてフュージョン部Ｆ２に異常が検出されている場合にはステップＳ２０３を否定判定してステップＳ２１０に移る。

ステップＳ２０４では、異常検出部Ｇ４にて地図連携部Ｆ１が正常であると判定されているか否かを読み出す。異常検出部Ｇ４にて地図連携部Ｆ１が正常であると判定されている場合にはステップＳ２０４を肯定判定してステップＳ２０５に移る。一方、異常検出部Ｇ４にて地図連携部Ｆ１に異常が検出されている場合にはステップＳ２０４を否定判定してステップＳ２０７に移る。

ステップＳ２０５では危険度を０に設定してステップＳ２０６に移る。ステップＳ２０６では、安全性評価部Ｆ４に対して外界認識系統に異常が生じていないことを示す信号を出力する。これにより通常通りの自動走行が維持される。

ステップＳ２０７では、危険度を１に設定してステップＳ２０８に移る。ステップＳ２０８では、安全性評価部Ｆ４に対して安全行動の実施を要求する信号を出力する。これにより、安全距離の延長など、安全行動が実行される。

ステップＳ２０９では異常センサの使用度（換言すれば依存度）が所定の危険判定閾値以上であるか否かを判定する。異常センサの使用度が危険判定閾値以上である場合には、ステップＳ２０９を肯定判定してステップＳ２１０に移る。一方、異常センサの使用度が危険判定閾値未満である場合にはステップＳ２０９を否定判定してステップＳ２０７に移る。

ステップＳ２１０では、危険度を２に設定してステップＳ２１１に移る。ステップＳ２１１では、安全性評価部Ｆ４に対して非常行動の実施を要求する信号を出力する。これにより、ＭＲＭなどの非常行動が実行される。ＭＲＭは車両を安全に停止させるための制御であるため、ステップＳ２１１は停車処理ステップに相当する。

以上の構成によれば、外界認識系統に異常が生じた場合には、安全行動または非常行動が採用される。これにより、潜在事故責任値の算出結果が誤っている可能性がある状況下で自動運転による走行が継続されるおそれを低減できる。その結果、自動運転時の安全性を向上させることができる。

なお、診断器３０は、危険度が１の場合には、安全行動を実施させずに、通常通りの制御を継続させても良い。危険度が１である場合には、走行環境の認識結果に対して、異常センサが及ぼす影響が小さく、概ね観測結果を用いた制御プランを実施可能であるためである。また、他の態様として、診断器３０は、危険度が１の場合には、危険度が２である場合と同様に、非常行動を実施させても良い。

＜異常検出部Ｇ４の補足＞
異常の検出方法としては、ウォッチドッグタイマ方式や宿題回答方式などといった、多様な方法を援用可能である。ウォッチドッグタイマ方式とは、監視側の装置が備えるウォッチドッグタイマが、被監視側の装置から入力されるウォッチドッグパルスによってクリアされずに満了した場合に、被監視側装置は正常に動作していない判定する方式である。ここでは異常検出部Ｇ４が監視側の構成に相当し、各周辺監視センサ１１や地図連携部Ｆ１、フュージョン部Ｆ２などが被監視側装置に相当する。

＜周辺監視センサ１１のバリエーションの補足＞
車両制御システム１は、前方カメラ１１Ａとして、フロントガラスの車室内側の上端部に配置されてあって相対的に遠方を撮像可能に構成されたカメラとは別に、相対的に広角かつ近距離を撮像するように構成された周辺監視用のカメラを備えていても良い。また、つまり、前方カメラ１１Ａとして、画角が相違する複数のカメラを備えていても良い。例えば中距離カメラ、望遠カメラ、及び広角カメラの３種類のカメラを備えていても良い。中距離カメラは、画角が５０度程度であって、例えば１５０ｍまでを撮像可能なようにレンズ等が構成されたカメラである。望遠カメラは中距離カメラよりも遠方を撮像可能なように、画角が相対的に狭く構成されているカメラである。例えば望遠カメラは、画角が３０度～４０度程度であって２５０ｍ以上遠方を撮像可能なように構成されている。広角カメラは、車両周辺を広く撮像するように構成されたカメラである。広角カメラは例えば画角が１２０度～１５０度程度であって、車両前方５０ｍ以内を撮像可能に構成されている。

また、車両制御システム１は周辺監視センサ１１として、後方カメラ、右側方カメラ、左側方カメラ、右後方レーダ、及び左後方レーダを備えていても良い。後方カメラは車両後方を所定の画角で撮像するカメラである。後方カメラは、例えばリアナンバープレート付近やリアウインドウ付近など、ボディ背面部の所定位置に配置されている。右側方カメラ及び左側方カメラは、車両側方を所定の画角で撮像するカメラであって、例えばサイドミラーやボディの左右側面の所定位置（例えばＡピラーの付け根付近）に配置されている。右側方カメラ及び左側方カメラの水平画角はた問えば１８０°、垂直画角は１２０°に設定されている。右後方レーダは、車両右後方に向けて探査波を送信することにより、車両右後方の所定範囲を検出範囲とするミリ波レーダであって、例えば、リアバンパの右側コーナー部に設置されている。左後方レーダは、車両左後方に向けて探査波を送信することにより、車両左後方の所定範囲を検出範囲とするミリ波レーダであって、例えば、リアバンパの左側コーナー部に設置されている。

その他、路車間通信や車々間通信で取得する障害物や他車両の位置情報も、自車両の周辺の環境を示す情報に相当する。故に、Ｖ２Ｘ車載器１３もまた、周辺監視センサ１１の１つと見なすことができる。

＜外界認識系統の作動の補足＞
フュージョン部Ｆ２は、各周辺監視センサ１１の認識結果をその確率値、及び、周辺監視センサ１１毎の重みで統合することにより、各検出物の位置や速度、種別などを判定する。しかし、周辺監視センサ１１毎に、原理的に認識困難な種別の物体や、認識精度が劣化する状況がある。そのような事情を踏まえると、周辺監視センサ１１毎の特性（得意及び不得意）に基づいて、認識結果の正解確率値は補正されて使用されることが好ましい。例えば外界認識系統は次のように構成することができる。

各周辺監視センサ１１は、図１１に示すように、センシング部Ｂ１、認識処理部Ｂ２、センサ設定記憶部Ｂ３、補正情報出力部Ｂ４、補正情報取得部Ｂ５、確率値補正部Ｂ６、及び検出結果出力部Ｂ７を備える。なお、ここで前方カメラ１１Ａを例にとって各構成を説明するが、ミリ波レーダ１１ＢやＬｉＤＡＲ１１Ｃなど、前方カメラ１１Ａ以外の周辺監視センサも同様の機能部を備えるものとする。図１１では地図連携部Ｆ１やその他の構成の図示は省略している。

センシング部Ｂ１は、物体認識処理に用いられる観測データを生成し、認識処理部Ｂ２に出力する構成である。センシング部Ｂ１は、観測データを生成するためのセンサ素子を含む。例えば前方カメラ１１Ａにとってのセンサ素子とはイメージセンサである。ミリ波レーダ１１Ｂ及びソナー１１Ｄにとっては、探査波としての電波又は超音波を受信する回路を含む構成がセンシング部Ｂ１に相当する。ＬｉＤＡＲ１１Ｃにおいては、照射したレーザ光の反射波を受光する受光素子を含む構成がセンシング部Ｂ１に相当する。

認識処理部Ｂ２は、センシング部Ｂ１から入力された観測データに基づき、検出物の位置や速度、種別などを認識する構成である。種別の特定は、観測データに示される特徴量に基づいて特定される。画像データの特徴量としては、ＨＯＧ特徴等を採用可能である。また、電波や超音波、レーダ光などを検出媒体として用いる構成では、例えば検出距離と受信強度との相関や、物体の高さ、幅、輪郭形状、検出点の数、検出点の密度などを特徴量として採用可能である。認識処理部Ｂ２の認識結果は、検出物毎の位置情報や種別などを示す信号を出力する。検出物の種別の識別結果には、前述の通り、識別結果の確からしさを示す正解確率値データが含まれる。種別毎の正解確率値データを含む。例えば、正解確率値データは、検出物が車両である確率値、歩行者である確率値、サイクリストである確率値、及び、看板などの立体構造物である確率値などを示す。

センサ設定記憶部Ｂ３は、各周辺監視センサ１１の搭載位置及び検出方向を示すセンサ位置データを記憶している記憶媒体である。また、センサ設定記憶部Ｂ３は周辺監視センサ１１毎の特性を示すデータであるセンサ特性データが登録されている。このようなセンサ設定記憶部Ｂ３は、センサ特性記憶部とよぶこともできる。センサ特性データは、例えば周辺監視センサ毎に、検出原理の特性に由来して検出困難な物体である不得意物体、及び、物体の検出性能が劣化しうる状況である不得意状況を示す。なお、不得意物体には、他の種別の物体と誤検知しやすい物体や、検出結果が安定しない物体も含まれる。

例えば、ソナー１１Ｄは、スポンジ状のもの、網状のもの、など、超音波を反射しにくい物体の検出は苦手とする。また、梁のように路面から所定距離上方に配置された構造物である浮遊構造物や、縁石や輪止めのように路面に設けられた低背立体物については、車両の姿勢に起因して、認識できたり認識できなかったりする。つまり、ソナー１１Ｄにとっては、浮遊立体物や低背立体物は、検出結果が安定しない検出対象物に相当する。なお、浮遊構造物は例えば路面から１ｍ以上、上方に配置された立体物を指す。低背立体物は高さが所定の閾値（例えば０．２ｍ）未満の立体物を指す。さらに、ソナー１１Ｄは、路面からの反射を、他車両や壁部などの立体物と誤認識してしまうケースもある。すなわち、スポンジ状のもの、網状のもの、浮遊立体物、低背立体物、路面などがソナー１１Ｄにとっての不得意物体に相当する。

また、前方カメラ１１Ａでは、逆光時や、光芒、スミアなどにより画像の一部が白飛びしている場合には、画像フレームの一部が認識ができないケースがある。つまり、逆光時や光芒、スミアなどにより画像の一部が白飛びが生じている状況が不得意状況に相当する。

ＬｉＤＡＲ１１Ｃは、黒い物体の検出が不得意である。黒い物体はレーザ光を吸収してしまうためである。また、ＬｉＤＡＲ１１Ｃは、ボディカラーが銀色の車両なども検出しにくい。銀色のボディは、塗膜に含まれているアルミフレークが光を乱反射する性質を持つ。その車両が真正面にいる場合は同様に検知しやすい一方、角度が付くと光の反射が変化するため、斜め前方や斜め後方に存在する銀色の車両はＬｉＤＡＲ１１Ｃにとっての不得意物体に該当しうる。

また、ミリ波レーダ１１Ｂは、前方カメラ１１ＡやＬｉＤＡＲ１１Ｃよりも空間分解能が低い。そのため、複数の物体が近接していたり、複数の物体が重なっているケースにおいてはそれらを別々の物体として検出することが困難である。つまり、複数の物体が近接または重なっているケースがミリ波レーダ１１Ｂにとっての不得意状況に相当する。また、ミリ波レーダ１１Ｂは複雑な形状を有する物体を別々の物体と分けて認識していまうケースもある。つまり、複雑な形状を有する物体はミリ波レーダ１１Ｂにとっての不得意物体に該当する。さらに、ミリ波レーダ１１Ｂにおいては、探査波が先行車の下側を通って、先行車の更に前方に存在する車両である前々車を認識したりしなかったりする。つまり、ミリ波レーダ１１Ｂにとって前々車は不得意物体に相当する。その他、ミリ波レーダ１１Ｂはマンホールを立体物として誤検出しうる。故に、マンホールもまた、ミリ波レーダ１１Ｂにとっての不得意物体に含めることができる。

その他、いずれの周辺監視センサ１１においても、センシング部Ｂ１の近傍に物体が存在する場合には、当該近接物による遮蔽により、その裏側にある物体を認識できないケースがある。つまり何れの周辺監視センサ１１においてもセンシング部Ｂ１の搭載位置近傍に物体が存在する状況は不得意状況に該当しうる。なお、本開示での近傍とは例えば０．３ｍ以内などを指す。

補正情報出力部Ｂ４は、認識処理部Ｂ２の出力信号とセンサ設定記憶部Ｂ３に保存されているデータに基づき、他の或る周辺監視センサ１１である他センサにとっての不得意物体または不得意状況が検出されているか否かを判定する。そして、他センサにとっての不得意物体または不得意状況が検出されている場合には、当該物体の検出または状況を不得意とする他センサである不得意センサに対して、所定の確率値補正情報を送信する。

確率値補正情報は、他センサに対し、当該他センサが不得意とする物体または状況の存在を通知する情報である。確率値補正情報は、例えば、不得意物体または不得意状況の種別、及び、その位置を示す情報を含む。なお、確率値補正情報は、不得意物体または不得意状況の位置の代わりに、不得意物体または不得意状況が存在する方向を含んでいてもよい。また、確率値補正情報は、不得意物体または不得意状況の位置と方向と両方を含んでいてもよい。

例えば、前方カメラ１１Ａの補正情報出力部Ｂ４は、画像解析によって、スポンジ状のもの、網状のもの、浮遊立体物、低背立体物、及び路面領域の少なくとも何れか１つを認識している場合には、ソナー１１Ｄに向けて、それらの物体が存在する位置又は方向を示す確率値補正情報を出力する。また、前方カメラ１１Ａの補正情報出力部Ｂ４は、画像解析によって黒い物体を検出している場合には、ＬｉＤＡＲ１１Ｃに向けて、当該黒い物体が存在する方向又は位置を示す確率値補正情報を出力する。さらに、前方カメラ１１Ａの補正情報出力部Ｂ４は、画像解析によって前々車が存在することを検出している場合には、ミリ波レーダ１１Ｂに、前々車が存在する方向又は位置を示す確率値補正情報を出力する。

その他、各補正情報出力部Ｂ４は、自センサとは取り付け位置が異なる他センサの近傍に物体が存在することを検出している場合に、近接物の位置等を示す確率値補正情報を生成して、当該他センサに向けて出力する。例えば右側方カメラは、右後方レーダの近傍に自転車が存在することを検出している場合には、そのことを示す確率値補正情報を右後方レーダに向けて出力する。また、或るカメラで太陽や、所定の輝度以上の照明の位置を検出できている場合には、上記光源の影響を受けるカメラに向けて、上記光源の位置又は方向を示す確率値補正情報を出力する。

補正情報取得部Ｂ５は、他センサから出力された自センサ宛ての確率値補正情報を取得して確率値補正部Ｂ６に提供する。例えば前方カメラ１１Ａの補正情報取得部Ｂ５は、他センサとしての別のカメラから、確率値補正情報として、太陽やヘッドライトなどが存在する方向を取得する。また、例えばソナー１１Ｄの補正情報取得部Ｂ５は、他センサとしての前方カメラ１１ＡやＬｉＤＡＲ１１Ｃなどから、スポンジ状のものや、網状のもの、浮遊立体物、低背立体物、路面領域などが存在する領域または方向を示す確率値補正情報を取得する。

確率値補正部Ｂ６は、補正情報取得部Ｂ５が取得した確率値補正情報に基づいて、不得意物体または不得意状況が存在する位置又は方向についての物体の認識結果の正解確率値を下げる。例えば、前方カメラ１１Ａは、逆光、スミア、光芒などがある恐れのある領域の認識結果の正解確率を下げる。また、ソナー１１Ｄは、他センサで検出されている、スポンジ状のものが存在する領域や、路面領域等に対する認識結果の正解確率を下げる。ＬｉＤＡＲ１１Ｃの確率値補正部Ｂ６は、前方カメラ１１Ａから確率値補正情報として、黒い物体が存在する領域が通知されている場合には、当該領域に対する認識結果の正解確率を下げる。

さらに、ミリ波レーダ１１Ｂの確率値補正部Ｂ６は、前方カメラ１１ＡやＬｉＤＡＲ１１Ｃで検出されている、複数の物体が近接または重なっている領域についての認識結果の正解確率を下げる。また、例えばミリ波レーダ１１Ｂの確率値補正部Ｂ６は、前方カメラ１１ＡやＬｉＤＡＲ１１Ｃ、Ｖ２Ｘ車載器１３から、前々車の存在が通知されている場合には、先行車の延長線上にいる物標の認識結果の正解確率を下げる。これにより、先行車よりも前方の領域に対する検出結果がふらつく恐れを低減できる。なお、他の態様としてミリ波レーダ１１Ｂの確率値補正部Ｂ６は、前方カメラ１１Ａ等から、前々車の存在が通知されている場合には、先行車の延長線上にいる物標の認識結果の正解確率を上げてもよい。これによってもミリ波レーダ１１Ｂの検出結果が不安定となる恐れを低減できる。

なお、確率値補正部Ｂ６における正解確率の下げ幅や上げ幅は一定値であっても良い。例えば、正解確率の下げ幅や上げ幅は１０％や２０％などであってもよい。また、確率値補正情報の出力元の種類に応じて、正解確率の下げ幅を変更しても良い。確率値補正情報の出力元における対象物体について正解確率に応じて、受け手側である確率値補正部Ｂ６での正解確率の下げ幅を変更しても良い。複数の他センサから同一の内容の確率値補正情報を取得している場合には、下げ幅を大きくしても良い。確率値補正情報の信頼性が高いほど、下げ幅を大きくするように構成されていることが好ましい。なお、確率値補正情報で通知されている内容と、自センサの認識結果が整合している場合には、対象領域に対する認識結果の正解確率を上げても良い。確率値補正部Ｂ６は、確率値補正情報を取得していない位置または方向についての認識結果については認識処理部Ｂ２の出力をそのまま採用する。

検出結果出力部Ｂ７は、以上で生成された認識結果、すなわち自センサの認識結果と、その正解確率を示すデータを、地図連携部Ｆ１またはフュージョン部Ｆ２に出力する。フュージョン部Ｆ２は、各周辺監視センサ１１の認識結果を統合することにより、検出物の最終的な種別や位置、移動速度、加速度などを算出する。検出物としての物標毎の安全距離の算出や、トラッキング処理に利用される。

以上の構成によれば、或る周辺監視センサ１１の不得意物体／状況が存在する場合、自センサの認識処理部Ｂ２の結果をそのまま採用するのではなく、他センサから確率値補正情報に基づいて認識結果の正解確率値を所定量下げる。これにより、統合後の認識結果の正解確率を上げることができる。なお、以上で述べた周辺監視センサ１１は、他センサと通信を行い、他センサの認識結果を元に、自センサの認識結果の正解確率を下げて出力する構成に相当する。

ところで、以上では関連する周辺監視センサ１１同士で通信を行い、周辺監視センサ１１内にて正解確率を補正してフュージョン部Ｆ２等に出力する態様を開示したが、上記思想の実現方法はこれに限らない。

図１２に示すように、各周辺監視センサ１１は、補正情報取得部Ｆ５及び確率値補正部Ｂ６を備えていなくとも良い。その代わり、フュージョン部Ｆ２が、補正情報取得部Ｆ５、及び確率値補正部Ｂ６を備える。図１２に示す構成例においては、各周辺監視センサ１１は、自センサの認識結果および正解確率をフュージョン部Ｆ２に通知する。また、各周辺監視センサ１１は、他センサの不得意物体又は不得意状況を認識した場合には、対象となる他センサの情報を含む確率値補正情報をフュージョン部Ｆ２に出力する。

ここでの確率値補正情報には、対象となる他センサの識別情報（例えばセンサＩＤ）、不得意物体又は不得意状況が存在する位置又は方向、及び、その種別などを含む。フュージョン部Ｆ２が備える確率値補正部Ｂ６は、確率値補正情報を用いてセンサ毎の認識結果の正解確率を補正する。そのような構成によれば、フュージョン部Ｆ２は、確率値補正情報を用いてセンサ毎の認識結果の正解確率を補正した上で各周辺監視センサ１１の検出結果を統合することとなるため、統合後の認識結果の正解確率を高めることができる。

例えば、フュージョン部Ｆ２はソナー１１Ｄとリアカメラの認識結果を統合する際、リアカメラが縁石や輪止めなど背の低いものなどを検出している場合には、対応する位置に対するソナー１１Ｄの認識結果の比重を下げて情報を統合する。これによれば、ソナー１１Ｄが対応する領域には立体物は存在しないと認識している場合、ソナー１１Ｄの認識結果の影響を受けて統合後の認識結果が誤りとなるおそれを低減できる。また、例えば、或る周辺監視センサの前に物体が存在することを、取り付け位置が異なる別のセンサで検出されている場合には、物体と近接している周辺監視センサ１１の認識結果の正解確率を下げる。これにより、統合後の認識結果が誤るケースを減らすことができる。その他、フュージョン部Ｆ２は、画像センサもしくはLiDARにより所定以上の降雪があると判定した場合には、ソナーに雪が付着している可能性を考慮し、ソナーによる認識結果の比重を下げて情報を統合してもよい。

以上の構成は、任意の周辺監視センサである第１センサにて、他センサである第２センサの不得意な物体／状況を検出した場合には、当該検出結果に基づいて第２センサの認識結果の信頼性が低いと判定する構成に相当する。また、センシング情報の統合を行うフュージョン部Ｆ２にて、第２センサの認識結果の比重、換言すれば重みを下げてセンシング情報を統合する構成に相当する。つまり上記のフュージョン部Ｆ２は、複数の周辺監視センサ１１の認識結果を統合する構成において、あるセンサの認識結果をもとに、他のセンサ認識結果の比重を下げて情報を統合する構成に相当する。なお、認識結果の正解確率に基づいてセンサフュージョンにおけるセンサ毎の重みが定まる構成においては、正解確率を補正することは、センサフュージョン時のセンサ毎の重みを補正することに相当する。第２センサが不得意センサに相当する。

以上では或る任意の周辺監視センサである第１センサにて、他センサである第２センサの不得意な物体／状況を検出した場合には、当該検出結果に基づいて第２センサの認識結果に対する正解確率を下げる態様を開示した。しかしながら、センサの特性としては不得意な物体／状況が存在する一方、得意な物体や得意な状況も存在しうる。或る周辺監視センサにとって得意な物体とは、検出しやすい物体である。周辺監視センサにとって得意な状況とは、検出精度が劣化しない状況などを指す。第１センサにて、第２センサが得意な物体／状況を検出した場合には、当該検出結果に基づいて第２センサの認識結果に対する正解確率を上げるように構成されていても良い。そのような構成によってもフュージョン部Ｆ２による統合後の認識結果の正解確率を高めることができる。第１センサの認識結果に基づいて第２センサの認識結果にの正解確率を上げる場合も、センサ間又はセンサとフュージョン部Ｆ２との間で確率値補正情報を送受信すればよい。なお、当業者であれば、上記の開示に基づき、第１センサの認識結果に基づいて第２センサの認識結果の正解確率を上げる構成の実現方法は理解可能であるため、その詳細な説明は省略する。

＜システム構成の変形例＞
図１３に示すように安全性評価部Ｆ４に相当する安全性評価器４０が、自動運転装置２０とは独立して設けられていても良い。安全性評価器４０は、安全性評価部Ｆ４と同様の機能を備えるモジュールであって、自動運転装置２０が生成した制御プランに対する潜在事故責任値に基づいて最終的な制御内容を決定する構成である。上述した安全性評価部Ｆ４との記載は安全性評価器４０との記載は相互に置き換えて実施することができる。なお、安全性評価器４０は、処理部４１とメモリ４２を備える、コンピュータとして構成されている。処理部４１は、プロセッサを用いて構成されている。メモリ４２は、ＲＡＭやフラッシュメモリを含む。

［第２実施形態］
車両制御システム１は、制御計画部Ｆ３が制御プランを生成するための外界認識系統とは別に、安全性評価器４０が潜在事故責任値を算出するための外界認識系統を備えていても良い。つまり、外界認識系統は二重系に構成されていてもよい。以下、そのような技術思想に対応する構成を第２実施形態として図１４及び図１５を用いて説明する。なお、以降では便宜上、制御プランを生成するための外界認識系統のことを制御計画用の認識系統と記載する。一方、潜在事故責任値を算出するための認識結果を生成する外界認識系統のことを安全性評価（以降、ＳＥ：Safety Evaluation）用の認識系統と記載する。ＳＥは、ＳＡ（Safety Assessment）と記載することができる。

図１４に示すように第２実施形態の車両制御システム１は、上述した周辺監視センサ１１に相当する第１周辺監視センサ１１とは別に、第２周辺監視センサ１７を備える。第１周辺監視センサ１１とは、前述の前方カメラ１１Ａ、ミリ波レーダ１１Ｂ、ＬｉＤＡＲ１１Ｃ、及びソナー１１Ｄなどである。第１周辺監視センサ１１は制御計画部Ｆ３を含む自動運転装置２０が使用するセンサ群である。自動運転装置２０が備える地図連携部Ｆ１及びフュージョン部Ｆ２は第１周辺監視センサ１１の出力信号に基づいて走行環境の認識を行う。第１周辺監視センサ１１、地図連携部Ｆ１、及びフュージョン部Ｆ２が制御計画用の認識系統を構成する認識モジュールに相当する。地図連携部Ｆ１及びフュージョン部Ｆ２は第１認識部に相当する。

第２周辺監視センサ１７は、例えば、前方カメラ１７Ａ、ミリ波レーダ１７Ｂ、ＬｉＤＡＲ１７Ｃ、及びソナー１７Ｄなどである。前方カメラ１７Ａは、前方カメラ１１Ａとは物理的に別のセンサである。ミリ波レーダ１７Ｂ、ＬｉＤＡＲ１７Ｃ、及びソナー１７Ｄなどについても同様である。

例えば種々の第１周辺監視センサ１１は車両本体に搭載されているセンサである一方、第２周辺監視センサ１７は、車両の屋根部に後付されたセンサ群とすることができる。第２周辺監視センサ１７は、例えば、自動運転用のセットとして車両本体から着脱可能な態様に構成されている。なお、第１周辺監視センサ１１と第２周辺監視センサ１７の位置づけは入れ替えることができる。すなわち第１周辺監視センサ１１が車両の屋根部等に後付けされた、着脱可能なセンサであってもよい。

また、第２実施形態の車両制御システム１は、第２周辺監視センサ１７の出力信号に基づいて走行環境を認識するＳＥ用認識装置５０を備える。ＳＥ用認識装置５０は、処理部５１とメモリ５２を備える、コンピュータとして構成されている。処理部５１はＧＰＵなどのプロセッサを用いて構成されており、メモリ５２はＲＡＭやフラッシュメモリを含む。

ＳＥ用認識装置５０は、自動運転装置２０と同様に、図１５に示すように、地図連携部Ｈ１とフュージョン部Ｈ２を備える。地図連携部Ｈ１は、前方カメラ１７Ａの認識結果と地図データに基づいて物体認識を行う構成である。地図連携部Ｈ１は、自動運転装置２０が備える地図連携部Ｆ１と同様の処理を行う構成とする事ができる。フュージョン部Ｈ２は、地図連携部Ｈ１、ミリ波レーダ１７Ｂ、ＬｉＤＡＲ１７Ｃ、及びソナー１７Ｄのそれぞれの認識結果に基づいて物体認識を行う構成である。フュージョン部Ｈ２もまた、自動運転装置２０が備えるフュージョン部Ｆ２と同様の処理を行う構成とする事ができる。第２周辺監視センサ１７、地図連携部Ｈ１、及びフュージョン部Ｈ２がＳＥ用の認識系統を構成する認識モジュールに相当する。地図連携部Ｈ１及びフュージョン部Ｆ２は、認識部及び第２認識部に相当する。

診断器３０には、第１周辺監視センサ１１の出力信号や、地図連携部Ｆ１の認識結果、フュージョン部Ｆ２の認識結果に加えて、第２周辺監視センサ１７の出力信号や、地図連携部Ｈ１の認識結果、フュージョン部Ｈ２の認識結果が入力される。診断器３０の異常検出部Ｇ４は、種々の第２周辺監視センサ１７、地図連携部Ｈ１、及びフュージョン部Ｈ２のそれぞれに対しても上述した個別診断処理を実施する。つまり、ＳＥ用の認識系統を構成する認識モジュールについても個別診断処理を実行する。

また、異常検出部Ｇ４は、制御計画用のフュージョン部Ｆ２の認識結果と、ＳＥ用のフュージョン部Ｆ２の認識結果を比較することにより、何れか一方の異常を検出する。例えば図１６に示すように制御計画用のフュージョン部Ｆ２の認識結果と、ＳＥ用のフュージョン部Ｈ２の認識結果が類似している場合には、両方とも正常であると判定する。なお、図１６の縦軸は確率値を示しており、横軸は時間を示している。一点鎖線及び二点鎖線は制御計画用のフュージョン部Ｆ２の認識結果を示しており、破線及び点線はＳＥ用のフュージョン部Ｈ２の認識結果を示している。具体的には、一点鎖線は制御計画用のフュージョン部Ｆ２において対象物体の種別は車両である確率値ｐ１ｆの推移を示しており、二点鎖線はフュージョン部Ｆ２において対象物体の種別が歩行者である確率値ｐ２ｆの推移を示している。破線はＳＥ用のフュージョン部Ｈ２において対象物体の種別は車両である確率値ｐ１ｈの推移を示しており、点線はフュージョン部Ｈ２において対象物体の種別が歩行者である確率値ｐ２ｈの推移を示している。

例えば異常検出部Ｇ４は、所定の対象物体についての認識結果の確率値の履歴データをパターンマッチングなどによって比較することにより、両者の認識結果の類似度を算出する。そして、認識結果の類似度が所定の閾値（例えば７５％）以上となっている場合には両者は正常に動作していると判定する。一方、異常検出部Ｇ４は、両者の認識結果が類似度が所定の閾値未満である場合、及び、相違している場合には、制御計画用のフュージョン部Ｆ２と、ＳＥ用のフュージョン部Ｈ２の何れか一方に異常が生じていると判定する。その場合には、個別診断処理の結果に基づいて、どちらに異常が生じているかを特定する。認識結果が類似していると判定することは類似結果が整合していると判定することに相当する。

なお、図１７は、認識結果としての種別自体は整合しているものの、確率値が大きく異なることに基づいて、制御計画用のフュージョン部Ｆ２と、ＳＥ用のフュージョン部Ｈ２の何れか一方に異常が生じていると判定するパターンを例示している。具体的には、制御計画用のフュージョン部Ｆ２とＳＥ用のフュージョン部Ｈ２はどちらも対象物体の種別は車両であると判断しているものの、その確率値が所定の閾値（例えば３０％）以上相違しているパターンを表している。また、図１８は、認識結果としての種別自体は異なることに基づいて、制御計画用のフュージョン部Ｆ２と、ＳＥ用のフュージョン部Ｈ２の何れか一方に異常が生じていると判定するパターンを例示している。具体的には制御計画用のフュージョン部Ｆ２は対象物体は車両であると判定している一方、ＳＥ用のフュージョン部Ｈ２は対象物体は歩行者であると判定しているケースを表している。図１７及び図１８の記号や線種が示す項目は、図１６と同様である。

異常検出部Ｇ４は、制御計画用とＳＥ用のフュージョン部Ｆ２、Ｈ２の認識結果が整合していない場合、つまりどちらかが異常である場合には、個別診断処理の結果に基づいて、どちらに異常が生じているかを特定する。

以上では制御計画用のフュージョン部Ｆ２と、ＳＥ用のフュージョン部Ｈ２の認識結果を比較することで、どちらか一方の異常を検出する処理について述べたが、異常検出部Ｇ４は、地図連携部Ｆ１、Ｈ１についても同様の比較処理を実施する。つまり、異常検出部ＦＧ４は、制御計画用の地図連携部Ｆ１と、ＳＥ用の地図連携部Ｈ１の認識結果を比較することで、どちらか一方の異常を検出する。これにより、地図連携部Ｆ１、Ｈ１に異常が生じているか否かをより精度良く判定可能となる。また、異常検出部Ｇ４は、制御計画用とＳＥ用の地図連携部Ｆ１、Ｈ１の認識結果が整合していない場合、つまりどちらかが異常である場合には、個別診断処理の結果に基づいて、どちらに異常が生じているかを特定する。

なお、もしＳＥ用の認識系統に異常が生じた場合、診断器３０はその旨を安全性評価器４０に通知するとともに、制御計画用のフュージョン部Ｆ２の認識結果を用いて、潜在事故責任値の算出を実施させてもよい。当該構成によれば、車両が停止するまで潜在事故責任値の演算を継続させることができる。その結果、フルブレーキ以外の態様で車両を停車させる制御プランを選択可能となる。なお、フルブレーキ以外の減速制御態様を採用可能となることで、タイヤがスリップしたりロックがかかったりする恐れを低減できる。

また、制御計画用の認識系統に異常が生じた場合には、診断器３０はその旨を自動運転装置２０及び安全性評価器４０に通知する。加えて、制御計画用の認識系統に異常が生じた場合には、診断器３０は、制御計画部Ｆ３に対してＳＥ用のフュージョン部Ｈ２の認識結果を用いて停車に向けた制御プランを作成させてもよい。当該構成によれば、より安全に車両を停止させることができる。

なお、第２実施形態の危険度判定部Ｇ５は、例えばＳＥ用のフュージョン部Ｈ２が正常に動作していないと判定した場合には危険度を１と判定してもよい。フュージョン部Ｈ２に異常が生じている場合の危険度は２であってもよい。また、ＳＥ用のフュージョン部Ｈ２が正常に動作していないと判定した場合であっても、制御計画用のフュージョン部Ｆ２が正常に動作している限りは、危険度を０とみなしても良い。制御計画用のフュージョン部Ｆ２が正常動作している限りは、制御計画用のフュージョン部Ｆ２の認識結果を安全性評価器４０が使用することで、潜在自己責任値の演算は継続可能となるためである。

また、危険度判定部Ｇ５は、制御計画用のフュージョン部Ｆ２とＳＥ用のフュージョン部Ｈ２の両方に異常が生じた場合に危険度を２と判定し、何れか一方が正常に動作している限りは危険度を１以下に設定するように構成されていても良い。その他、地図連携部Ｈ１が正常に動作していないと判定したことに基づいて危険度を１と判定しても良い。あるいは、第２周辺監視センサ１７に異常センサが存在し、当該異常センサの使用度が所定の危険判定閾値以上である場合には、危険度を１と判定しても良い。

上述した構成によれば、２つの認識系統での認識結果の比較を行うとともに、さらに各々の系統の異常診断を行う。このようにそれぞれの認識系統の中でも異常診断を行うことにより、仮に同時に両方に異常が生じても、両方に異常が生じていることを特定可能となる。また、２つの認識系統での認識結果の比較を行うことで何れか一方の異常を検出した場合には、個別診断処理の結果に基づいて、どちらに異常が生じているかを特定することが可能となる。診断器３０は、制御計画用の認識系統とＳＥ用の認識系統の何れか一方の異常を検出した場合には、少なくとも減速やハンドオーバーリクエストなどの安全行動を実施させることが好ましい。

なお、車両制御システム１は図１９に示すように、一部の第１周辺監視センサ１１のセンシング情報と、一部の第２周辺監視センサ１７のセンシング情報を統合することにより周辺環境を認識する第３のフュージョン部Ｘ２を備えていても良い。例えば第３のフュージョン部Ｘ２は、第１周辺監視センサ１１としての前方カメラ１１Ａ及びミリ波レーダ１１Ｂのそれぞれの認識結果と、第２周辺監視センサ１７としてのＬｉＤＡＲ１７Ｃ及びソナー１７Ｄのそれぞれの認識結果を統合する構成とする事ができる。第３のフュージョン部Ｘ２は、自動運転装置２０が備えていてもよいし、ＳＥ用認識装置５０が備えいてもよい。第３のフュージョン部Ｘ２は、運転支援ＥＣＵなどの別のＥＣＵが備えていても良いし、前方カメラ１１Ａに内蔵されていても良い。第３のフュージョン部Ｘ２の認識結果もまた、診断器３０に入力される。

以上の構成によれば、診断器３０は、３つのフュージョン部Ｆ２、Ｈ２、Ｘ２のそれぞれの認識結果を比較することにより、何れかの異常動作を検出することができる。例えば異常検出部Ｇ４は、多数決等の概念を用いて異常動作しているフュージョン部を特定してもよい。なお、第３のフュージョン部Ｘ２は第１周辺監視センサ１１及び第２周辺監視センサ１７を論理的に組み合わせることによって実現可能である。よって、新たな周辺監視センサ１１をハードウェア的に追加することなく、３冗長性をもたせることが可能となる。

＜付言＞
本開示に記載の制御部及びその手法は、コンピュータプログラムにより具体化された一つ乃至は複数の機能を実行するようにプログラムされたプロセッサを構成する専用コンピュータにより、実現されてもよい。また、本開示に記載の装置及びその手法は、専用ハードウェア論理回路により、実現されてもよい。さらに、本開示に記載の装置及びその手法は、コンピュータプログラムを実行するプロセッサと一つ以上のハードウェア論理回路との組み合わせにより構成された一つ以上の専用コンピュータにより、実現されてもよい。また、コンピュータプログラムは、コンピュータにより実行されるインストラクションとして、コンピュータ読み取り可能な非遷移有形記録媒体に記憶されていてもよい。つまり、自動運転装置２０及び診断器３０等が提供する手段および／または機能は、実体的なメモリ装置に記録されたソフトウェアおよびそれを実行するコンピュータ、ソフトウェアのみ、ハードウェアのみ、あるいはそれらの組合せによって提供できる。例えば診断器３０が備える機能の一部又は全部はハードウェアとして実現されても良い。或る機能をハードウェアとして実現する態様には、１つ又は複数のＩＣなどを用いて実現する態様が含まれる。処理部２１、３１、４１、５１は、ＣＰＵの代わりに、ＭＰＵやＧＰＵを用いて実現されていてもよい。処理部２１、３１、４１、５１は、ＣＰＵや、ＭＰＵ、ＧＰＵなど、複数種類の演算処理装置を組み合せて実現されていてもよい。処理部２１、３１、４１、５１は、システムオンチップ（ＳｏＣ：System-on-Chip）として実現されていても良い。さらに、各種処理部は、ＦＰＧＡ（field-programmable gate array）や、ＡＳＩＣ（application specific integrated circuit）を用いて実現されていても良い。各種プログラムは、非遷移的実体的記録媒体（non- transitory tangible storage medium）に格納されていればよい。プログラムの保存媒体としては、ＨＤＤ（Hard-disk Drive）やＳＳＤ（Solid State Drive）、ＥＰＲＯＭ（Erasable Programmable ROM）、フラッシュメモリ、ＵＳＢメモリ、ＳＤ（Secure Digital）メモリカード等、多様な記憶媒体を採用可能である。

１１ 周辺監視センサ（第１周辺監視センサ）、１１Ａ 前方カメラ（カメラ）、１１Ｂ ミリ波レーダ、１１Ｃ ＬｉＤＡＲ（レーザレーダ）、１１Ｄ ソナー、１２ 車両状態センサ、１３ Ｖ２Ｘ車載器、１４ 地図保持部、１５ ロケータ、１６ 走行アクチュエータ、２０ 自動運転装置、２１ 処理部（プロセッサ）、３０ 診断器、３１ 処理部（プロセッサ）、４０ 安全性評価器、４１ 処理部、５０ ＳＥ用認識装置、５１ 処理部、Ｆ１ 地図連携部（認識部、第１認識部）、Ｆ２ フュージョン部（認識部、第１認識部）、Ｆ３ 制御計画部、Ｆ４ 安全性評価部、Ｇ１ 診断材料取得部（認識結果取得部）、Ｇ２ 認識結果保持部、Ｇ３ 対応関係特定部、Ｇ４ 異常検出部、Ｇ５
危険度判定部、Ｇ６ 危険度応答部（停車処理部）、Ｈ１ 地図連携部（認識部、第２認識部）、Ｈ２ フュージョン部（認識部、第２認識部）、Ｂ１ センシング部、Ｂ２ 認識部、Ｂ３ センサ特性記憶部、Ｂ４ 補正情報出力部、Ｂ５ 補正情報取得部、Ｂ６
確率値補正部、Ｂ７ 検出結果出力部

Claims (14)

1. 車両を自律的に走行させるための制御計画を作成する制御計画部（Ｆ３）と、前記制御計画部で生成する前記制御計画の安全性を評価する安全性評価部（４０）とを備える前記車両で用いられる車両制御装置であって、
   所定の検出範囲内に存在する物体を検出する、複数の周辺監視センサ（１１、１１Ａ～１１Ｄ、１７、１７Ａ～１７Ｄ）の出力信号、及び、前記周辺監視センサの前記出力信号に基づいて前記車両の周辺に存在する物体を認識する認識部（Ｆ１、Ｆ２、Ｈ１、Ｈ２、Ｘ２）の認識結果の、少なくとも何れか一方に基づいて、前記周辺監視センサ及び前記認識部を含む外界認識系統の異常を検出する異常検出部（Ｇ４）と、
   前記異常検出部が前記外界認識系統の異常を検出したことに基づいて、前記車両を停止させるための処理を実行する停車処理部（Ｇ６）と、を備え、
   前記異常検出部は、前記制御計画部に用いられる前記外界認識系統による処理と、前記制御計画部に用いられる前記外界認識系統による処理と同様の前記安全性評価部に用いられる前記外界認識系統による処理とを比較し、結果が相違している場合には、前記外界認識系統の異常が生じていると判定するように構成され、
   前記制御計画部に用いられる前記外界認識系統による処理と、前記安全性評価部に用いられる前記外界認識系統による処理とは、複数の前記周辺監視センサの認識結果をフュージョンする処理である車両制御装置。
2. 請求項１に記載の車両制御装置であって、
   前記異常検出部は、認識結果としての対象物体の種別が相違している場合には、前記制御計画部及び前記安全性評価部のうちどちらかに前記異常が生じていると判定する車両制御装置。
3. 車両を自律的に走行させるための制御計画を作成する制御計画部（Ｆ３）と、前記制御計画部で生成する前記制御計画の安全性を評価する安全性評価部（４０）とを備える前記車両で用いられる車両制御装置であって、
   所定の検出範囲内に存在する物体を検出する、少なくとも１つの周辺監視センサ（１１、１１Ａ～１１Ｄ、１７、１７Ａ～１７Ｄ）の出力信号、及び、前記周辺監視センサの前記出力信号に基づいて前記車両の周辺に存在する物体を認識する認識部（Ｆ１、Ｆ２、Ｈ１、Ｈ２、Ｘ２）の認識結果の、少なくとも何れか一方に基づいて、前記周辺監視センサ及び前記認識部を含む外界認識系統の異常を検出する異常検出部（Ｇ４）と、
   前記異常検出部が前記外界認識系統の異常を検出したことに基づいて、前記車両を停止させるための処理を実行する停車処理部（Ｇ６）と、を備え、
   前記異常検出部は、前記制御計画部に用いられる前記外界認識系統による処理と、前記制御計画部に用いられる前記外界認識系統による処理と同様の前記安全性評価部に用いられる前記外界認識系統による処理とを比較し、結果が相違している場合には、前記外界認識系統の異常が生じていると判定するように構成され、
   前記制御計画部に用いられる前記外界認識系統による処理と、前記安全性評価部に用いられる前記外界認識系統による処理とは、地図上における自車位置を特定する処理である車両制御装置。
4. 車両を自律的に走行させるための制御計画を作成する制御計画部（Ｆ３）と、前記制御計画部で生成する前記制御計画の安全性を評価する安全性評価部（４０）とを備える前記車両で用いられる車両制御装置であって、
   所定の検出範囲内に存在する物体を検出する、少なくとも１つの周辺監視センサ（１１、１１Ａ～１１Ｄ、１７、１７Ａ～１７Ｄ）の出力信号、及び、前記周辺監視センサの前記出力信号に基づいて前記車両の周辺に存在する物体を認識する認識部（Ｆ１、Ｆ２、Ｈ１、Ｈ２、Ｘ２）の認識結果の、少なくとも何れか一方に基づいて、前記周辺監視センサ及び前記認識部を含む外界認識系統の異常を検出する異常検出部（Ｇ４）と、
   前記異常検出部が前記外界認識系統の異常を検出したことに基づいて、前記車両を停止させるための処理を実行する停車処理部（Ｇ６）と、を備え、
   前記異常検出部は、前記制御計画部に用いられる前記外界認識系統による処理と、前記制御計画部に用いられる前記外界認識系統による処理と同様の前記安全性評価部に用いられる前記外界認識系統による処理とを比較し、結果が相違している場合には、前記外界認識系統の異常が生じていると判定するように構成され、
   前記制御計画部に用いられる前記外界認識系統による処理と、前記安全性評価部に用いられる前記外界認識系統による処理とは、前記周辺監視センサの認識結果と、地図データを組み合わせることにより、前記車両の周辺の環境を認識する処理である車両制御装置。
5. 請求項１から４の何れか１項に記載の車両制御装置であって、
   前記異常検出部は、前記相違している場合に前記異常が生じていると判定されると、前記制御計画部に用いられる前記外界認識系統及び前記安全性評価部に用いられる前記外界認識系統のうちどちらに前記異常が生じているかを特定するための個別診断処理を実行し、
   前記安全性評価部に用いられる前記外界認識系統による処理に前記異常が生じたと特定された場合には、前記安全性評価部に前記制御計画部に用いられる前記外界認識系統による処理の結果を用いて安全性を評価するための基準となるパラメータの演算を継続させるように、前記安全性評価部に用いられる前記外界認識系統に前記異常が生じたことを通知する車両制御装置。
6. 請求項５に記載の車両制御装置であって、
   前記制御計画部に用いられる前記外界認識系統による処理に前記異常が生じたと特定された場合には、前記制御計画部に前記安全性評価部に用いられる前記外界認識系統による処理の結果を用いて前記制御計画を作成させるように、前記制御計画部に用いられる前記外界認識系統に前記異常が生じたことを通知する車両制御装置。
7. 請求項１から６の何れか１項に記載の車両制御装置であって、
   前記異常検出部は、前記制御計画部に用いられる前記外界認識系統による処理の結果と、前記安全性評価部に用いられる前記外界認識系統による処理の結果との類似度を算出し、前記類似度が所定の閾値未満となっている場合には、前記制御計画部に用いられる前記外界認識系統及び前記安全性評価部に用いられる前記外界認識系統のうちどちらかに前記異常が生じていると判定する車両制御装置。
8. 請求項７に記載の車両制御装置であって、
   前記異常検出部は、前記類似度が前記閾値以上となっている場合には、前記制御計画部に用いられる前記外界認識系統及び前記安全性評価部に用いられる前記外界認識系統が正常であると判定する車両制御装置。
9. 車両を自律的に走行させるための制御計画を作成する制御計画部（Ｆ３）と、前記制御計画部で生成する前記制御計画の安全性を評価する安全性評価部（４０）とを備える前記車両で用いられ、少なくとも１つのプロセッサ（２１、３１）によって実行される車両制御方法であって、
   所定の検出範囲内に存在する物体を検出する、複数の周辺監視センサ（１１、１１Ａ～１１Ｄ、１７、１７Ａ～１７Ｄ）の出力信号、及び、前記周辺監視センサの前記出力信号に基づいて前記車両の周辺に存在にする物体を認識する認識部（Ｆ１、Ｆ２、Ｈ１、Ｈ２、Ｘ２）の出力信号の、少なくとも何れか一方に基づいて、前記周辺監視センサ及び前記認識部を含む外界認識系統の異常を検出する異常検出ステップ（Ｓ２０１）と、
   前記異常検出ステップで前記外界認識系統の異常が検出されたことに基づいて、前記車両を停止させるための処理を実行する停車処理ステップ（Ｓ２１１）と、を含み、
   前記異常検出ステップにおいて、前記制御計画部に用いられる前記外界認識系統による処理と、前記制御計画部に用いられる前記外界認識系統による処理と同様の前記安全性評価部に用いられる前記外界認識系統による処理とを比較し、結果が相違している場合には、前記外界認識系統の異常が生じていると判定し、
   前記制御計画部に用いられる前記外界認識系統による処理と、前記安全性評価部に用いられる前記外界認識系統による処理とは、複数の前記周辺監視センサの認識結果をフュージョンする処理である車両制御方法。
10. 車両を自律的に走行させるための制御計画を作成する制御計画部（Ｆ３）と、前記制御計画部で生成する前記制御計画の安全性を評価する安全性評価部（４０）とを備える前記車両で用いられ、少なくとも１つのプロセッサ（２１、３１）によって実行される車両制御方法であって、
    所定の検出範囲内に存在する物体を検出する、少なくとも１つの周辺監視センサ（１１、１１Ａ～１１Ｄ、１７、１７Ａ～１７Ｄ）の出力信号、及び、前記周辺監視センサの前記出力信号に基づいて前記車両の周辺に存在にする物体を認識する認識部（Ｆ１、Ｆ２、Ｈ１、Ｈ２、Ｘ２）の出力信号の、少なくとも何れか一方に基づいて、前記周辺監視センサ及び前記認識部を含む外界認識系統の異常を検出する異常検出ステップ（Ｓ２０１）と、
    前記異常検出ステップで前記外界認識系統の異常が検出されたことに基づいて、前記車両を停止させるための処理を実行する停車処理ステップ（Ｓ２１１）と、を含み、
    前記異常検出ステップにおいて、前記制御計画部に用いられる前記外界認識系統による処理と、前記制御計画部に用いられる前記外界認識系統による処理と同様の前記安全性評価部に用いられる前記外界認識系統による処理とを比較し、結果が相違している場合には、前記外界認識系統の異常が生じていると判定し、
    前記制御計画部に用いられる前記外界認識系統による処理と、前記安全性評価部に用いられる前記外界認識系統による処理とは、地図上における自車位置を特定する処理である車両制御方法。
11. 車両を自律的に走行させるための制御計画を作成する制御計画部（Ｆ３）と、前記制御計画部で生成する前記制御計画の安全性を評価する安全性評価部（４０）とを備える前記車両で用いられ、少なくとも１つのプロセッサ（２１、３１）によって実行される車両制御方法であって、
    所定の検出範囲内に存在する物体を検出する、少なくとも１つの周辺監視センサ（１１、１１Ａ～１１Ｄ、１７、１７Ａ～１７Ｄ）の出力信号、及び、前記周辺監視センサの前記出力信号に基づいて前記車両の周辺に存在にする物体を認識する認識部（Ｆ１、Ｆ２、Ｈ１、Ｈ２、Ｘ２）の出力信号の、少なくとも何れか一方に基づいて、前記周辺監視センサ及び前記認識部を含む外界認識系統の異常を検出する異常検出ステップ（Ｓ２０１）と、
    前記異常検出ステップで前記外界認識系統の異常が検出されたことに基づいて、前記車両を停止させるための処理を実行する停車処理ステップ（Ｓ２１１）と、を含み、
    前記異常検出ステップにおいて、前記制御計画部に用いられる前記外界認識系統による処理と、前記制御計画部に用いられる前記外界認識系統による処理と同様の前記安全性評価部に用いられる前記外界認識系統による処理とを比較し、結果が相違している場合には、前記外界認識系統の異常が生じていると判定し、
    前記制御計画部に用いられる前記外界認識系統による処理と、前記安全性評価部に用いられる前記外界認識系統による処理とは、前記周辺監視センサの認識結果と、地図データを組み合わせることにより、前記車両の周辺の環境を認識する処理である車両制御方法。
12. 車両を自律的に走行させるための制御計画を作成する制御計画部（Ｆ３）と、前記制御計画部で生成する前記制御計画の安全性を評価する安全性評価部（４０）とを備える前記車両で用いられる車両制御プログラムであって、
    少なくとも１つのプロセッサ（２１，３１）に、
    所定の検出範囲内に存在する物体を検出する、複数の周辺監視センサ（１１、１１Ａ～１１Ｄ、１７、１７Ａ～１７Ｄ）の出力信号、及び、前記周辺監視センサの前記出力信号に基づいて前記車両の周辺に存在にする物体を認識する認識部（Ｆ１、Ｆ２、Ｈ１、Ｈ２、Ｘ２）の出力信号の、少なくとも何れか一方に基づいて、前記周辺監視センサ及び前記認識部を含む外界認識系統の異常を検出する異常検出ステップ（Ｓ２０１）と、
    前記異常検出ステップで前記外界認識系統の異常が検出されたことに基づいて、前記車両を停止させるための処理を実行する停車処理ステップ（Ｓ２１１）と、を実行させるように構成され、
    前記異常検出ステップにおいて、前記制御計画部に用いられる前記外界認識系統による処理と、前記制御計画部に用いられる前記外界認識系統による処理と同様の前記安全性評価部に用いられる前記外界認識系統による処理とを比較し、結果が相違している場合には、前記外界認識系統の異常が生じていると判定し、
    前記制御計画部に用いられる前記外界認識系統による処理と、前記安全性評価部に用いられる前記外界認識系統による処理とは、複数の前記周辺監視センサの認識結果をフュージョンする処理である車両制御プログラム。
13. 車両を自律的に走行させるための制御計画を作成する制御計画部（Ｆ３）と、前記制御計画部で生成する前記制御計画の安全性を評価する安全性評価部（４０）とを備える前記車両で用いられる車両制御プログラムであって、
    少なくとも１つのプロセッサ（２１，３１）に、
    所定の検出範囲内に存在する物体を検出する、少なくとも１つの周辺監視センサ（１１、１１Ａ～１１Ｄ、１７、１７Ａ～１７Ｄ）の出力信号、及び、前記周辺監視センサの前記出力信号に基づいて前記車両の周辺に存在にする物体を認識する認識部（Ｆ１、Ｆ２、Ｈ１、Ｈ２、Ｘ２）の出力信号の、少なくとも何れか一方に基づいて、前記周辺監視センサ及び前記認識部を含む外界認識系統の異常を検出する異常検出ステップ（Ｓ２０１）と、
    前記異常検出ステップで前記外界認識系統の異常が検出されたことに基づいて、前記車両を停止させるための処理を実行する停車処理ステップ（Ｓ２１１）と、を実行させるように構成され、
    前記異常検出ステップにおいて、前記制御計画部に用いられる前記外界認識系統による処理と、前記制御計画部に用いられる前記外界認識系統による処理と同様の前記安全性評価部に用いられる前記外界認識系統による処理とを比較し、結果が相違している場合には、前記外界認識系統の異常が生じていると判定し、
    前記制御計画部に用いられる前記外界認識系統による処理と、前記安全性評価部に用いられる前記外界認識系統による処理とは、地図上における自車位置を特定する処理である車両制御プログラム。
14. 車両を自律的に走行させるための制御計画を作成する制御計画部（Ｆ３）と、前記制御計画部で生成する前記制御計画の安全性を評価する安全性評価部（４０）とを備える前記車両で用いられる車両制御プログラムであって、
    少なくとも１つのプロセッサ（２１，３１）に、
    所定の検出範囲内に存在する物体を検出する、少なくとも１つの周辺監視センサ（１１、１１Ａ～１１Ｄ、１７、１７Ａ～１７Ｄ）の出力信号、及び、前記周辺監視センサの前記出力信号に基づいて前記車両の周辺に存在にする物体を認識する認識部（Ｆ１、Ｆ２、Ｈ１、Ｈ２、Ｘ２）の出力信号の、少なくとも何れか一方に基づいて、前記周辺監視センサ及び前記認識部を含む外界認識系統の異常を検出する異常検出ステップ（Ｓ２０１）と、
    前記異常検出ステップで前記外界認識系統の異常が検出されたことに基づいて、前記車両を停止させるための処理を実行する停車処理ステップ（Ｓ２１１）と、を実行させるように構成され、
    前記異常検出ステップにおいて、前記制御計画部に用いられる前記外界認識系統による処理と、前記制御計画部に用いられる前記外界認識系統による処理と同様の前記安全性評価部に用いられる前記外界認識系統による処理とを比較し、結果が相違している場合には、前記外界認識系統の異常が生じていると判定し、
    前記制御計画部に用いられる前記外界認識系統による処理と、前記安全性評価部に用いられる前記外界認識系統による処理とは、前記周辺監視センサの認識結果と、地図データを組み合わせることにより、前記車両の周辺の環境を認識する処理である車両制御プログラム。

Images