知財求人 - 知財ポータルサイト「IP Force」
特開2025-28255ナビゲーションシステム、ナビゲーション方法、安全性証明方法及び安全ルール違反検知方法
(19)【発行国】日本国特許庁(JP)
(12)【公報種別】公開特許公報(A)
(11)【公開番号】P2025028255
(43)【公開日】2025-02-28
(54)【発明の名称】ナビゲーションシステム、ナビゲーション方法、安全性証明方法及び安全ルール違反検知方法
(51)【国際特許分類】
B60W 30/10 20060101AFI20250220BHJP
B60W 40/02 20060101ALI20250220BHJP
B60W 60/00 20200101ALI20250220BHJP
G08G 1/16 20060101ALI20250220BHJP
G06N 5/046 20230101ALI20250220BHJP
【ＦＩ】
B60W30/10
B60W40/02
B60W60/00
G08G1/16 C
G06N5/046
【審査請求】未請求
【請求項の数】6
【出願形態】ＯＬ
(21)【出願番号】P 2024220513
(22)【出願日】2024-12-17
(62)【分割の表示】P 2024516212の分割
【原出願日】2023-04-11
(31)【優先権主張番号】P 2022069068
(32)【優先日】2022-04-19
(33)【優先権主張国・地域又は機関】JP
【国等の委託研究の成果に係る記載事項】（出願人による申告）平成２９年度、国立研究開発法人科学技術振興機構、戦略的創造研究推進事業・総括実施型研究（ＥＲＡＴＯ）「蓮尾メタ数理システムデザインプロジェクト」に係る委託業務、産業技術力強化法第１７条の適用を受ける特許出願
(71)【出願人】
【識別番号】504202472
【氏名又は名称】大学共同利用機関法人情報・システム研究機構
(74)【代理人】
【識別番号】110004381
【氏名又は名称】弁理士法人ＩＴＯＨ
(72)【発明者】
【氏名】蓮尾 一郎
(72)【発明者】
【氏名】エバーハート クロビス
(72)【発明者】
【氏名】ヘイドン ジェームス
(72)【発明者】
【氏名】デュブ ジェレミー
(72)【発明者】
【氏名】ボーラー ローズ
(72)【発明者】
【氏名】パラス エリック アンドレ
(72)【発明者】
【氏名】小林 努
(72)【発明者】
【氏名】プルエクプラサート サシニー
(72)【発明者】
【氏名】ジャン ショイ
(72)【発明者】
【氏名】山田 晃久
(72)【発明者】
【氏名】末永 幸平
(72)【発明者】
【氏名】石川 冬樹
(57)【要約】
【課題】複雑なシナリオに対応可能な安全ルールを策定する。
【解決手段】自動運転車のためのナビゲーションシステムが、自動運転車を動作させるシナリオが記憶されたシナリオ記憶部と、シナリオを分割したサブシナリオ毎に、当該サブシナリオの目的を達成しながら制御戦略を実行する事前条件を計算した安全ルールが記憶された安全ルール記憶部と、自動運転車の環境を表す環境情報を取得する環境取得部と、安全ルール、シナリオ及び環境情報に基づいて、ナビゲーション目標を達成するナビゲーション動作を決定する動作計画部と、を備える。
【選択図】図１２
【解決手段】自動運転車のためのナビゲーションシステムが、自動運転車を動作させるシナリオが記憶されたシナリオ記憶部と、シナリオを分割したサブシナリオ毎に、当該サブシナリオの目的を達成しながら制御戦略を実行する事前条件を計算した安全ルールが記憶された安全ルール記憶部と、自動運転車の環境を表す環境情報を取得する環境取得部と、安全ルール、シナリオ及び環境情報に基づいて、ナビゲーション目標を達成するナビゲーション動作を決定する動作計画部と、を備える。
【選択図】図１２
【特許請求の範囲】
【請求項1】
自動運転車のためのナビゲーションシステムであって、
前記自動運転車を動作させるシナリオが記憶されたシナリオ記憶部と、
前記シナリオを分割したサブシナリオ毎に、当該サブシナリオの目的を達成しながら制御戦略を実行する事前条件を計算した安全ルールが記憶された安全ルール記憶部と、
前記自動運転車の環境を表す環境情報を取得する環境取得部と、
前記安全ルール、前記シナリオ及び前記環境情報に基づいて、ナビゲーション目標を達成するナビゲーション動作を決定する動作計画部と、
を備えるナビゲーションシステム。
前記自動運転車を動作させるシナリオが記憶されたシナリオ記憶部と、
前記シナリオを分割したサブシナリオ毎に、当該サブシナリオの目的を達成しながら制御戦略を実行する事前条件を計算した安全ルールが記憶された安全ルール記憶部と、
前記自動運転車の環境を表す環境情報を取得する環境取得部と、
前記安全ルール、前記シナリオ及び前記環境情報に基づいて、ナビゲーション目標を達成するナビゲーション動作を決定する動作計画部と、
を備えるナビゲーションシステム。
【請求項2】
自動運転車のためのナビゲーションシステムであって、
前記自動運転車を動作させる複数のシナリオが記憶されたシナリオ記憶部と、
前記シナリオを分割したサブシナリオ毎に、当該サブシナリオの目的を達成しながら制御戦略を実行する事前条件を計算した安全ルールが記憶された安全ルール記憶部と、
前記自動運転車の環境を表す環境情報を取得する環境取得部と、
前記安全ルール及び前記環境情報に基づいて、ナビゲーション目標を達成可能な前記シナリオを決定する挙動計画部と、
を備えるナビゲーションシステム。
前記自動運転車を動作させる複数のシナリオが記憶されたシナリオ記憶部と、
前記シナリオを分割したサブシナリオ毎に、当該サブシナリオの目的を達成しながら制御戦略を実行する事前条件を計算した安全ルールが記憶された安全ルール記憶部と、
前記自動運転車の環境を表す環境情報を取得する環境取得部と、
前記安全ルール及び前記環境情報に基づいて、ナビゲーション目標を達成可能な前記シナリオを決定する挙動計画部と、
を備えるナビゲーションシステム。
【請求項3】
自動運転車のためのナビゲーション方法であって、
シナリオ記憶部に、前記自動運転車を動作させるシナリオが記憶されており、
安全ルール記憶部に、前記シナリオを分割したサブシナリオ毎に、当該サブシナリオの目的を達成しながら制御戦略を実行する事前条件を計算した安全ルールが記憶されており、
コンピュータが、
前記自動運転車の環境を表す環境情報を取得する環境取得手順と、
前記安全ルール、前記シナリオ及び前記環境情報に基づいて、ナビゲーション目標を達成するナビゲーション動作を決定する動作計画手順と、
を実行するナビゲーション方法。
シナリオ記憶部に、前記自動運転車を動作させるシナリオが記憶されており、
安全ルール記憶部に、前記シナリオを分割したサブシナリオ毎に、当該サブシナリオの目的を達成しながら制御戦略を実行する事前条件を計算した安全ルールが記憶されており、
コンピュータが、
前記自動運転車の環境を表す環境情報を取得する環境取得手順と、
前記安全ルール、前記シナリオ及び前記環境情報に基づいて、ナビゲーション目標を達成するナビゲーション動作を決定する動作計画手順と、
を実行するナビゲーション方法。
【請求項4】
自動運転車のためのナビゲーション方法であって、
シナリオ記憶部に、前記自動運転車を動作させる複数のシナリオが記憶されており、
安全ルール記憶部に、前記シナリオを分割したサブシナリオ毎に、当該サブシナリオの目的を達成しながら制御戦略を実行する事前条件を計算した安全ルールが記憶されており、
コンピュータが、
前記自動運転車の環境を表す環境情報を取得する環境取得手順と、
前記安全ルール及び前記環境情報に基づいて、ナビゲーション目標を達成可能な前記シナリオを決定する挙動計画手順と、
を実行するナビゲーション方法。
シナリオ記憶部に、前記自動運転車を動作させる複数のシナリオが記憶されており、
安全ルール記憶部に、前記シナリオを分割したサブシナリオ毎に、当該サブシナリオの目的を達成しながら制御戦略を実行する事前条件を計算した安全ルールが記憶されており、
コンピュータが、
前記自動運転車の環境を表す環境情報を取得する環境取得手順と、
前記安全ルール及び前記環境情報に基づいて、ナビゲーション目標を達成可能な前記シナリオを決定する挙動計画手順と、
を実行するナビゲーション方法。
【請求項5】
コンピュータが、
制御戦略と目的とを対応付けたサブシナリオを連鎖することで所定のシナリオを表したシナリオ情報の入力を受け付ける手順と、
前記目的を達成しながら前記制御戦略を実行する事前条件を前記サブシナリオ毎に計算する手順と、
前記サブシナリオ毎の前記事前条件及び前記制御戦略を結合した安全ルール情報を生成する手順と、
前記安全ルール情報に基づいて、自動運転車の安全性を証明する手順と、
を実行する安全性証明方法。
制御戦略と目的とを対応付けたサブシナリオを連鎖することで所定のシナリオを表したシナリオ情報の入力を受け付ける手順と、
前記目的を達成しながら前記制御戦略を実行する事前条件を前記サブシナリオ毎に計算する手順と、
前記サブシナリオ毎の前記事前条件及び前記制御戦略を結合した安全ルール情報を生成する手順と、
前記安全ルール情報に基づいて、自動運転車の安全性を証明する手順と、
を実行する安全性証明方法。
【請求項6】
コンピュータが、
制御戦略と目的とを対応付けたサブシナリオを連鎖することで所定のシナリオを表したシナリオ情報の入力を受け付ける手順と、
前記目的を達成しながら前記制御戦略を実行する事前条件を前記サブシナリオ毎に計算する手順と、
前記サブシナリオ毎の前記事前条件及び前記制御戦略を結合した安全ルール情報を生成する手順と、
前記安全ルール情報に基づいて、自動運転車の安全ルール違反を検知する手順と、
を実行する安全ルール違反検知方法。
制御戦略と目的とを対応付けたサブシナリオを連鎖することで所定のシナリオを表したシナリオ情報の入力を受け付ける手順と、
前記目的を達成しながら前記制御戦略を実行する事前条件を前記サブシナリオ毎に計算する手順と、
前記サブシナリオ毎の前記事前条件及び前記制御戦略を結合した安全ルール情報を生成する手順と、
前記安全ルール情報に基づいて、自動運転車の安全ルール違反を検知する手順と、
を実行する安全ルール違反検知方法。
【発明の詳細な説明】
【技術分野】
【0001】
この発明は、ナビゲーションシステム、ナビゲーション方法、安全性証明方法及び安全ルール違反検知方法に関する。
【背景技術】
【0002】
自動運転の安全ルールを策定する技術がある。安全ルール策定技術は、数学的に安全であることが証明可能な安全ルールを策定する技術である。例えば、非特許文献１には、責任感知型安全論（RSS; Responsibility-Sensitive Safety）と呼ばれる数理モデルが開示されている。
【先行技術文献】
【非特許文献】
【0003】
【非特許文献1】Shai Shalev-Shwartz, Shaked Shammah, and Amnon Shashua, "On a formal model of safe and scalable self-driving cars," CoRR, abs/1708.06374, 2017.
【発明の概要】
【発明が解決しようとする課題】
【0004】
しかしながら、従来の責任感知型安全論は、複雑なシナリオに対応できない、という課題がある。例えば、非特許文献１では、自動運転車が同一の車線を走行する他の自動車との衝突を回避するといった単純なシナリオにしか対応できていない。
【0005】
本発明の一態様は、上記のような技術的課題に鑑みて、複雑なシナリオに対応可能な安全ルールを策定することを目的とする。
【課題を解決するための手段】
【0006】
上記の課題を解決するために、本発明の一態様のナビゲーションシステムは、自動運転車のためのナビゲーションシステムであって、自動運転車を動作させるシナリオが記憶されたシナリオ記憶部と、シナリオを分割したサブシナリオ毎に、当該サブシナリオの目的を達成しながら制御戦略を実行する事前条件を計算した安全ルールが記憶された安全ルール記憶部と、自動運転車の環境を表す環境情報を取得する環境取得部と、安全ルール、シナリオ及び環境情報に基づいて、ナビゲーション目標を達成するナビゲーション動作を決定する動作計画部と、を備える。
【発明の効果】
【0007】
本発明の一態様によれば、複雑なシナリオに対応可能な安全ルールを策定することができる。
【図面の簡単な説明】
【0008】
【発明を実施するための形態】
【0009】
以下、本発明の各実施形態について添付の図面を参照しながら説明する。なお、本明細書および図面において、実質的に同一の機能構成を有する構成要素については、同一の符号を付することにより重複した説明を省略する。
【0010】
［概要］
＜自動運転安全ルール策定技術＞
自動運転安全ルール策定技術は、自動運転車が「この安全ルールを満たす限り安全である」ということが数学的に証明可能な安全ルールを策定する技術である。例えば、２台の自動車が同一の車線を同一の方向に走行しているとき、後続の自動運転車が、先行する自動車との衝突を回避できる安全な車間距離を求める数式を導出する、といった技術である。
＜自動運転安全ルール策定技術＞
自動運転安全ルール策定技術は、自動運転車が「この安全ルールを満たす限り安全である」ということが数学的に証明可能な安全ルールを策定する技術である。例えば、２台の自動車が同一の車線を同一の方向に走行しているとき、後続の自動運転車が、先行する自動車との衝突を回避できる安全な車間距離を求める数式を導出する、といった技術である。
【0011】
自動運転安全ルールは、以下のような用途で用いられることを想定している。第１に、事故の責任所在の特定である。これは、事故が発生したときは安全ルールに違反していた側に過失があるという考え方である。第２に、自動運転車の安全性証明である。これは、特定の安全ルールに準拠することで、自動運転車の安全性が証明できるという考え方である。
【0012】
第３に、自動運転車の実行時監視である。これは、自動運転車が安全ルールに違反しそうなことを検知した場合に安全ルールを守るように制御することである。第４に、自動運転の安全性基準又は規格である。これは、特定の安全ルールに準拠しない限り、販売を許可しないといった規制である。第５に、保険料率計算である。これは、特定の安全ルールに準拠する／しない自動運転車は保険料を安く／高くすることである。
【0013】
自動運転安全ルールは、自動運転が社会的に需要される基礎となる概念である。安全ルールに準拠している自動運転車は安全であり、公道を走行していても安心であると社会一般に認識されれば、自動運転車の普及を促進すると考えられる。また、自動運転安全ルールは、製造者責任の範囲を特定する基準となる。自動運転車で事故が発生した際に、安全ルールに準拠している限り、製造者が責任を負う必要がないという考え方である。
【0014】
＜衝突回避ＲＳＳ（Collision Avoiding RSS; CA-RSS）＞
従来の自動運転安全ルール策定技術として、非特許文献１に開示されている責任感知型安全論（ＲＳＳ）がある。ＲＳＳは、自動運転安全ルールとして広く認知されている。例えば、ＲＳＳは、多数の学術研究で利用されており、国際規格への反映が検討されている。
従来の自動運転安全ルール策定技術として、非特許文献１に開示されている責任感知型安全論（ＲＳＳ）がある。ＲＳＳは、自動運転安全ルールとして広く認知されている。例えば、ＲＳＳは、多数の学術研究で利用されており、国際規格への反映が検討されている。
【0015】
従来のＲＳＳは、以下の論理的構造で構築されている。すなわち、事前条件を満たしていれば、制御戦略（proper response）を実行することで、安全条件を満たすことができる、といった論理である。制御戦略とは、自動運転車を制御する方策である。制御戦略の一例は、ハンドルを切る、ブレーキを利かせる、又はアクセルを踏んで加速する等の運転操作である。
【0016】
従来のＲＳＳは、例えば、同一車線同一方向シナリオを想定している。図１は、同一車線同一方向シナリオの一例を示す概念図である。図１に示されているように、当該シナリオは、２台の自動車（Carrear及びCarfront）が同一の車線を同一の方向に走行している状況を想定する。少なくとも後続する自動車Carrearは自動運転車であり、安全ルールの対象となる。従来のＲＳＳは、所定の数式で求められる車間距離を守っていれば、加速度ブレーキをかけることで衝突を回避できることを示している。
【0017】
しかしながら、従来のＲＳＳでは、安全条件を満たすことしか保証されない。例えば、上記の同一車線同一方向シナリオでは、衝突回避という安全条件のみが保証されている。以下、従来のＲＳＳを「衝突回避ＲＳＳ（又はＣＡ－ＲＳＳ）」と呼ぶ。
【0018】
＜目的達成ＲＳＳ（Goal-Aware RSS; GA-RSS）＞
本発明では、安全条件に加えて所定の事後条件を満たすことを保証する安全ルールを策定する。以下、本発明で提案するＲＳＳを「目的達成ＲＳＳ（又はＧＡ－ＲＳＳ）」と呼ぶ。
本発明では、安全条件に加えて所定の事後条件を満たすことを保証する安全ルールを策定する。以下、本発明で提案するＲＳＳを「目的達成ＲＳＳ（又はＧＡ－ＲＳＳ）」と呼ぶ。
【0019】
目的達成ＲＳＳは、以下の論理的構造で構築されている。すなわち、事前条件を満たしていれば、制御戦略を実行することで、安全条件を満たしながら所定の事後条件を達成することができる、といった論理である。
【0020】
下記の実施形態では、路肩停止シナリオを例として説明する。図２は、路肩停止シナリオの一例を示す概念図である。図２に示されているように、当該シナリオは、複数車線（Lane 1～3）からなる道路を複数の自動車が走行している状況において、対象の自動運転車（Subject Vehicle; SV）が他の自動車（Principal Other Vehicles; POVs）と安全な距離を維持することを安全条件とし、同時に、複数回の車線変更を行い、路肩（Lane 3）に設置された非常電話（SOS）の位置ytgtに安全に停止することを事後条件とする。
【0021】
このような複雑なシナリオでは、ゴールを達成するために取り得る方法は多数考えられる。例えば、第１車線（Lane 1）から第２車線（Lane 2）へ車線変更する際に、第２車線を走行している他の自動車（POV1）の前で合流するか後で合流するかという選択がある。このとき、他の自動車の前で合流するためには、現在の走行速度のまま合流するか加速して合流するかという選択がある。このように、所定の事後条件を安全に達成できる事前条件は自明ではない。
【0022】
目的達成ＲＳＳは、路肩停止シナリオにおいて所定の事後条件及び安全条件を達成するために、当該シナリオを複数のサブシナリオに分割する。図３は、路肩停止シナリオを複数に分割したサブシナリオの一例を示す概念図である。
【0023】
図３に示されているように、目的達成ＲＳＳは、路肩に設置された非常電話の位置に安全に停止するという事後条件が設定されたシナリオを、サブゴール１～４に分割する。サブゴール１は、合流の準備をすることである。サブゴール２は、第２車線に車線変更することである。サブゴール３は、路肩に車線変更することである。サブゴール４は、非常電話の位置に停止することである。
【0024】
これらのサブゴール１～４を順に達成することで、シナリオの事後条件を達成することができる。また、各サブゴール１～４を達成する制御戦略を、常に安全条件を満たしながら実行できれば、安全条件を満たしつつ事後条件を達成できる。
【0025】
＜論理的ワークフロー＞
図４は、目的達成ＲＳＳが安全ルールを生成するための論理的ワークフローである。目的達成ＲＳＳは、図４に示した論理的ワークフローを実行することで、安全条件及び事後条件を満たすことを保証する安全ルールを、現実的な計算量で導出する。
図４は、目的達成ＲＳＳが安全ルールを生成するための論理的ワークフローである。目的達成ＲＳＳは、図４に示した論理的ワークフローを実行することで、安全条件及び事後条件を満たすことを保証する安全ルールを、現実的な計算量で導出する。
【0026】
ただし、本論理的ワークフローは、目的達成ＲＳＳのみに適用されるものではなく、例えば、衝突回避ＲＳＳにも適用可能である。本論理的ワークフローは、安全条件及び事後条件を満たす安全ルールを導出するものである。衝突回避ＲＳＳは安全条件のみを満たせばよいため、複数のサブシナリオに分割できる複雑なシナリオを想定した衝突回避ＲＳＳであれば、目的達成ＲＳＳと同様にして適用することができる。
【0027】
目的達成ＲＳＳのワークフローには、運転シナリオＳが入力される。また、目的達成ＲＳＳのワークフローは、安全ルール（α，Ａ）を出力する。ただし、αはシナリオＳにおける制御戦略の集合を表す。ＡはシナリオＳにおける事前条件の集合を表す。
【0028】
ワークフローの第１ステップでは、シナリオＳ＝（Ｖａｒ，Ｓａｆｅ，Ｅｎｖ，Ｇｏａｌ）を取得する。ただし、Ｓａｆｅは自車が守る安全条件を表し、Ｅｎｖは他車により守られる環境条件を表し、Ｇｏａｌは所定のゴールを表す。Ｖａｒは安全ルールの導出に使用されるすべての変数をカバーする変数の有限集合である。
【0029】
ワークフローの第２ステップでは、シナリオを分割する。具体的には、Ｎ個のサブゴールＧｏａｌ（１），…，Ｇｏａｌ（Ｎ）を特定し、シナリオＳをＮ個のサブシナリオＳ（１），…，Ｓ（Ｎ）に分割する。ただし、Ｓ（ｉ）＝（Ｖａｒ，Ｓａｆｅ，Ｅｎｖ，Ｇｏａｌ（ｉ））（ｉ＝１，…，Ｎ）である。
【0030】
ワークフローの第３ステップでは、サブシナリオを更新する。具体的には、各サブシナリオＳ（ｉ）の状況を特定し、その状況における安全条件Ｓａｆｅ（ｉ）及び環境条件Ｅｎｖ（ｉ）を定義する。そして、サブシナリオＳ（１），…，Ｓ（Ｎ）の依存関係を表現したシナリオツリーＴ＝Ｔ１，Ｔ１１，Ｔ１２，…，Ｔ１１１，Ｔ１２１，…を生成する。
【0031】
図５は、サブシナリオＳ（ｉ）とサブシナリオＴｗとの対応関係を示す概念図である。図５に示されているように、サブシナリオＳ（ｉ）の添え字ｉは、シナリオＳの先頭からの順番を表す。サブシナリオＴｗの添え字ｗは、シナリオＳの末尾から先頭に向かって桁数が増えるように割り当てられる。このように、シナリオツリーＴに含まれるサブシナリオＴｗの添え字ｗにより、各サブシナリオＴｗの依存関係が表現される。
【0032】
ワークフローの第４～６ステップでは、各サブシナリオの制御戦略を特定する。具体的には、各サブシナリオＴｗ＝（Ｖａｒ，Ｓａｆｅｗ，Ｅｎｖｗ，Ｇｏａｌｗ）について、安全条件Ｓａｆｅｗ∧Ｅｎｖｗを満たしながらサブゴールＧｏａｌｗを達成する制御戦略αｗ，１，…，αｗ，Ｋｗを探索する。
【0033】
図６は、サブシナリオＴｗにおけるサブゴールＧｏａｌｗ、安全条件Ｓａｆｅｗ及び環境条件Ｅｎｖｗの一例を示す概念図である。図６に示されているように、各サブシナリオのサブゴールＧｏａｌｗ、安全条件Ｓａｆｅｗ及び環境条件Ｅｎｖｗは、サブシナリオＴｗの状況に応じて、より具体的に定義される。
【0034】
図７は、サブシナリオＴｗと制御戦略αｗ，ｉの対応関係を示す概念図である。図７に示されているように、各サブシナリオＴｗに対して、１以上の制御戦略αｗ，ｉが特定される。各サブシナリオＴｗに対応する制御戦略αｗ，ｉの数は異なり、１の制御戦略αｗ，ｉが特定されるサブシナリオもあれば、複数の制御戦略αｗ，ｉが特定されるサブシナリオもある。
【0035】
ワークフローの第７ステップでは、各サブシナリオの事前条件を特定する。具体的には、各制御戦略αｗ，ｋについて、プログラム論理体系の表明（assertion）（Ａｗ，ｕ）ｗ，ｕを探索する。このとき、当該制御戦略αｗ，ｋを実行することで、サブゴールＧｏａｌｗを達成し、かつ、後続のサブシナリオの事前条件を満たすように、桁数の小さいｗから大きいｗに向かって後ろ向き推論を行う。なお、目的達成ＲＳＳにおけるプログラム論理体系については後述する。
【0036】
図８は、事前条件Ａｗ，ｕの計算手順を示す概念図である。図８に示されているように、各サブシナリオＴｗにおける事前条件Ａｗ，ｕは、サブシナリオＴｗ間の依存関係に従って順次計算される。このとき、事前条件Ａｗ，ｕは、安全条件Ｓａｆｅｗ∧Ｅｎｖｗを満たしながら各制御戦略αｗ，ｋを実行することで、サブゴールＧｏａｌｗを満たすように計算される。
【0037】
ワークフローの第８ステップでは、シナリオ全体における制御戦略及び事前条件を計算する。具体的には、サブシナリオの制御戦略αｗ，ｋ及び事前条件Ａｗ，ｕをそれぞれ結合する。これにより、｛Ａ｝ α ｛Ｇｏａｌ｝：Ｓａｆｅ∧Ｅｎｖが真である制御戦略α及び事前条件Ａを得ることができる。
【0038】
ワークフローの第９ステップでは、安全ルール（α，Ａ）を出力する。αはシナリオＳにおける制御戦略αｗ，ｋの集合を表す。ＡはシナリオＳにおける事前条件Ａｗ，ｕの集合を表す。
【0039】
＜プログラム論理体系＞
目的達成ＲＳＳでは、図４に示したワークフローを実現するために、安全条件を追加したプログラム論理体系ｄＦＨＬ（differential Floyd-Hoare Logic）を導入する。プログラム論理体系ｄＦＨＬは、プログラム検証のためのホーア論理（参考文献１参照）に、連続ダイナミクスのための常微分方程式（Ordinary Differential Equation; ODE）拡張を適用し、さらにプログラム実行中に真であるべき安全条件を追加したものである。
目的達成ＲＳＳでは、図４に示したワークフローを実現するために、安全条件を追加したプログラム論理体系ｄＦＨＬ（differential Floyd-Hoare Logic）を導入する。プログラム論理体系ｄＦＨＬは、プログラム検証のためのホーア論理（参考文献１参照）に、連続ダイナミクスのための常微分方程式（Ordinary Differential Equation; ODE）拡張を適用し、さらにプログラム実行中に真であるべき安全条件を追加したものである。
【0040】
なお、ホーア論理についての詳細は、下記参考文献１に開示されている。安全条件の追加についての詳細は、下記参考文献２に開示されている。
【0041】
〔参考文献１〕C. A. R. Hoare, "An axiomatic basis for computer programming," Communications of the ACM, vol. 12, pp. 576-580, 583, 1969.
〔参考文献２〕F. S. de Boer, U. Hannemann, and W. P. de Roever, "Hoare-style compositional proof systems for reactive shared variable concurency," in Foundations of Software Technology and Theoretical Computer Science, 17th Conference, Kharagpur, India, December 18-20, 1997.
〔参考文献２〕F. S. de Boer, U. Hannemann, and W. P. de Roever, "Hoare-style compositional proof systems for reactive shared variable concurency," in Foundations of Software Technology and Theoretical Computer Science, 17th Conference, Kharagpur, India, December 18-20, 1997.
【0042】
ホーア論理は、事前条件Ａが真であることが、プログラムαを実行後に事後条件Ｂが真であることを保証する。なお、Ａ、α、Ｂは「ホーアの３つ組（Hoare triples）」と呼ばれる。ホーア論理は、次式で表される。
【0043】
【数1】
【0044】
プログラム論理体系ｄＦＨＬは、ホーアの３つ組に安全条件Ｓを追加する。プログラム論理体系ｄＦＨＬは、事前条件Ａが真であることが、プログラムαを実行後に事後条件Ｂが真であり、かつ、プログラムαを実行中は常に安全条件Ｓが真であることを保証する。以下、Ａ、α、Ｂ、Ｓは「ホーアの４つ組（Hoare quadruples）」と呼ぶ。ｄＦＨＬは、次式で表される。
【0045】
【数2】
【0046】
【0047】
＜ソフトウェア実装＞
目的達成ＲＳＳは、当該ワークフローをソフトウェア実装することで、数十行の論理式によって表現される事前条件を計算することができる。特に、目的達成ＲＳＳは、公知の計算機代数システムであるMathematica（登録商標）を用いた半形式的ソフトウェア実装を実現することができる。具体的には、プログラムダイナミクスに陽に関わらない代数・論理的記号操作（例えば、代入、二次方程式解、不等式証明等）をMathematicaにより形式化することが可能である。
目的達成ＲＳＳは、当該ワークフローをソフトウェア実装することで、数十行の論理式によって表現される事前条件を計算することができる。特に、目的達成ＲＳＳは、公知の計算機代数システムであるMathematica（登録商標）を用いた半形式的ソフトウェア実装を実現することができる。具体的には、プログラムダイナミクスに陽に関わらない代数・論理的記号操作（例えば、代入、二次方程式解、不等式証明等）をMathematicaにより形式化することが可能である。
【0048】
［実施形態］
本発明の実施形態は、所定の事後条件を達成するシナリオ及び所定の安全条件を入力とし、当該シナリオに対応する安全ルールを生成する安全ルール生成システムである。本実施形態では、所定の事後条件及び安全条件を達成するシナリオとして、上記の路肩停止シナリオを想定する。本実施形態における安全ルール生成システムは、所定の事後条件を達成するシナリオを複数のサブシナリオが連鎖したシナリオツリーに変換し、各サブシナリオにおける制御戦略及び事前条件をそれぞれ結合した安全ルールを生成する。
本発明の実施形態は、所定の事後条件を達成するシナリオ及び所定の安全条件を入力とし、当該シナリオに対応する安全ルールを生成する安全ルール生成システムである。本実施形態では、所定の事後条件及び安全条件を達成するシナリオとして、上記の路肩停止シナリオを想定する。本実施形態における安全ルール生成システムは、所定の事後条件を達成するシナリオを複数のサブシナリオが連鎖したシナリオツリーに変換し、各サブシナリオにおける制御戦略及び事前条件をそれぞれ結合した安全ルールを生成する。
【0049】
本実施形態における安全ルール生成システムは、所定の事後条件及び安全条件を達成する複雑なシナリオを、サブゴールを達成する複数の単純なサブシナリオに分割する。サブゴールとは、最終的な事後条件及び安全条件を達成する過程で達成されるべき事後条件である。サブシナリオにおける制御戦略は、これらのサブゴールを達成するために行うべき制御（運転操作）を表している。つまり、本実施形態における安全ルールは、現在の状況に対応するサブシナリオにおいて制御戦略を実行することを繰り返せば、最終的に所定の事後条件及び安全条件を達成することができることを表した安全ルールである。
【0050】
＜安全ルール生成システムの全体構成＞
まず、本実施形態における安全ルール生成システムの全体構成を、図１０を参照しながら説明する。図１０は、本実施形態における安全ルール生成システムの全体構成の一例を示すブロック図である。
まず、本実施形態における安全ルール生成システムの全体構成を、図１０を参照しながら説明する。図１０は、本実施形態における安全ルール生成システムの全体構成の一例を示すブロック図である。
【0051】
図１０に示されているように、本実施形態における安全ルール生成システム１は、安全ルール生成装置１０及びユーザ端末３０を含む。安全ルール生成装置１０及びユーザ端末３０は、ＬＡＮ（Local Area Network）又はインターネット等の通信ネットワークＮ１を介してデータ通信可能に接続されている。
【0052】
安全ルール生成装置１０は、ユーザ端末３０からの要求に応じて、安全ルールを生成するＰＣ（Personal Computer）、ワークステーション、サーバ等の情報処理装置である。安全ルール生成装置１０は、ユーザ端末３０からシナリオ情報を受信する。シナリオ情報は、安全ルールの生成対象とするシナリオを表す情報である。また、安全ルール生成装置１０は、安全ルール情報を生成し、ユーザ端末３０に送信する。安全ルール情報は、受信したシナリオ情報に対する安全ルールを表す情報である。
【0053】
ユーザ端末３０は、ユーザが操作するＰＣ、タブレット端末、スマートフォン等の情報処理端末である。ユーザ端末３０は、ユーザの操作に応じて、安全ルールの生成対象とするシナリオの入力を受け付け、当該シナリオをシナリオツリーに変換したシナリオ情報を安全ルール生成装置１０に送信する。また、ユーザ端末３０は、安全ルール生成装置１０から安全ルール情報を受信し、ユーザに対して出力する。
【0054】
なお、図１０に示した安全ルール生成システム１の全体構成は一例であって、用途や目的に応じて様々なシステム構成例があり得る。例えば、安全ルール生成装置１０は、複数台のコンピュータにより実現してもよいし、クラウドコンピューティングのサービスとして実現してもよい。また、例えば、安全ルール生成システム１は、安全ルール生成装置１０及びユーザ端末３０がそれぞれ備えるべき機能を兼ね備えたスタンドアローンの情報処理装置により実現してもよい。
【0055】
＜安全ルール生成システムのハードウェア構成＞
次に、本実施形態における安全ルール生成システム１のハードウェア構成を、図１１を参照しながら説明する。
次に、本実施形態における安全ルール生成システム１のハードウェア構成を、図１１を参照しながら説明する。
【0056】
≪コンピュータのハードウェア構成≫
本実施形態における安全ルール生成装置１０及びユーザ端末３０は、例えばコンピュータにより実現される。図１１は、本実施形態におけるコンピュータのハードウェア構成の一例を示すブロック図である。
本実施形態における安全ルール生成装置１０及びユーザ端末３０は、例えばコンピュータにより実現される。図１１は、本実施形態におけるコンピュータのハードウェア構成の一例を示すブロック図である。
【0057】
図１１に示されているように、本実施形態におけるコンピュータ５００は、ＣＰＵ（Central Processing Unit）５０１、ＲＯＭ（Read Only Memory）５０２、ＲＡＭ（Random Access Memory）５０３、ＨＤＤ（Hard Disk Drive）５０４、入力装置５０５、表示装置５０６、通信Ｉ／Ｆ（Interface）５０７及び外部Ｉ／Ｆ５０８を有する。ＣＰＵ５０１、ＲＯＭ５０２及びＲＡＭ５０３は、いわゆるコンピュータを形成する。コンピュータ５００の各ハードウェアは、バスライン５０９を介して相互に接続されている。なお、入力装置５０５及び表示装置５０６は外部Ｉ／Ｆ５０８に接続して利用する形態であってもよい。
【0058】
ＣＰＵ５０１は、ＲＯＭ５０２又はＨＤＤ５０４等の記憶装置からプログラムやデータをＲＡＭ５０３上に読み出し、処理を実行することで、コンピュータ５００全体の制御や機能を実現する演算装置である。
【0059】
ＲＯＭ５０２は、電源を切ってもプログラムやデータを保持することができる不揮発性の半導体メモリ（記憶装置）の一例である。ＲＯＭ５０２は、ＨＤＤ５０４にインストールされている各種プログラムをＣＰＵ５０１が実行するために必要な各種プログラム、データ等を格納する主記憶装置として機能する。具体的には、ＲＯＭ５０２には、コンピュータ５００の起動時に実行されるＢＩＯＳ（Basic Input/Output System）、ＥＦＩ（Extensible Firmware Interface）等のブートプログラムや、ＯＳ（Operating System）設定、ネットワーク設定等のデータが格納されている。
【0060】
ＲＡＭ５０３は、電源を切るとプログラムやデータが消去される揮発性の半導体メモリ（記憶装置）の一例である。ＲＡＭ５０３は、例えば、ＤＲＡＭ（Dynamic Random Access Memory）やＳＲＡＭ（Static Random Access Memory）等である。ＲＡＭ５０３は、ＨＤＤ５０４にインストールされている各種プログラムがＣＰＵ５０１によって実行される際に展開される作業領域を提供する。
【0061】
ＨＤＤ５０４は、プログラムやデータを格納している不揮発性の記憶装置の一例である。ＨＤＤ５０４に格納されるプログラムやデータには、コンピュータ５００全体を制御する基本ソフトウェアであるＯＳ、及びＯＳ上において各種機能を提供するアプリケーション等がある。なお、コンピュータ５００はＨＤＤ５０４に替えて、記憶媒体としてフラッシュメモリを用いる記憶装置（例えばＳＳＤ：Solid State Drive等）を利用するものであってもよい。
【0062】
入力装置５０５は、ユーザが各種信号を入力するために用いるタッチパネル、操作キーやボタン、キーボードやマウス、音声等の音データを入力するマイクロホン等である。
【0063】
表示装置５０６は、画面を表示する液晶や有機ＥＬ（Electro-Luminescence）等のディスプレイ、音声等の音データを出力するスピーカ等で構成されている。
【0064】
通信Ｉ／Ｆ５０７は、通信ネットワークに接続し、コンピュータ５００がデータ通信を行うためのインタフェースである。
【0065】
外部Ｉ／Ｆ５０８は、外部装置とのインタフェースである。外部装置には、ドライブ装置５１０等がある。
【0066】
ドライブ装置５１０は、記録媒体５１１をセットするためのデバイスである。ここでいう記録媒体５１１には、ＣＤ－ＲＯＭ、フレキシブルディスク、光磁気ディスク等のように情報を光学的、電気的あるいは磁気的に記録する媒体が含まれる。また、記録媒体５１１には、ＲＯＭ、フラッシュメモリ等のように情報を電気的に記録する半導体メモリ等が含まれていてもよい。これにより、コンピュータ５００は外部Ｉ／Ｆ５０８を介して記録媒体５１１の読み取り及び／又は書き込みを行うことができる。
【0067】
なお、ＨＤＤ５０４にインストールされる各種プログラムは、例えば、配布された記録媒体５１１が外部Ｉ／Ｆ５０８に接続されたドライブ装置５１０にセットされ、記録媒体５１１に記録された各種プログラムがドライブ装置５１０により読み出されることでインストールされる。あるいは、ＨＤＤ５０４にインストールされる各種プログラムは、通信Ｉ／Ｆ５０７を介して、通信ネットワークとは異なる他のネットワークよりダウンロードされることでインストールされてもよい。
【0068】
＜安全ルール生成システムの機能構成＞
続いて、本実施形態における安全ルール生成システムの機能構成を、図１２を参照しながら説明する。図１２は本実施形態における安全ルール生成システム１の機能構成の一例を示すブロック図である。
続いて、本実施形態における安全ルール生成システムの機能構成を、図１２を参照しながら説明する。図１２は本実施形態における安全ルール生成システム１の機能構成の一例を示すブロック図である。
【0069】
≪ユーザ端末３０の機能構成≫
図１２に示されているように、本実施形態におけるユーザ端末３０は、シナリオ入力部３０１、シナリオ分割部３０２、シナリオ情報生成部３０３、制御戦略決定部３０４、シナリオ情報送信部３０５及び安全ルール表示部３０６を備える。
図１２に示されているように、本実施形態におけるユーザ端末３０は、シナリオ入力部３０１、シナリオ分割部３０２、シナリオ情報生成部３０３、制御戦略決定部３０４、シナリオ情報送信部３０５及び安全ルール表示部３０６を備える。
【0070】
シナリオ入力部３０１、シナリオ分割部３０２、シナリオ情報生成部３０３、制御戦略決定部３０４、シナリオ情報送信部３０５及び安全ルール表示部３０６は、図１１に示されているＨＤＤ５０４からＲＡＭ５０３上に展開されたプログラムがＣＰＵ５０１に実行させる処理によって実現される。
【0071】
シナリオ入力部３０１は、ユーザの操作に応じて、シナリオの入力を受け付ける。当該シナリオは、安全条件及び事後条件を対応付ける情報である。当該事後条件は、シナリオ全体の事後条件を示す情報である。
【0072】
シナリオ分割部３０２は、ユーザの操作に応じて、シナリオ入力部３０１が受け付けたシナリオをサブシナリオに分割する。当該サブシナリオは、安全条件及び事後条件を対応付ける情報である。当該事後条件は、サブシナリオのサブゴールを表す情報である。
【0073】
シナリオ情報生成部３０３は、ユーザの操作に応じて、シナリオ分割部３０２が分割した各サブシナリオの状況を特定する。また、シナリオ情報生成部３０３は、ユーザの操作に応じて、各サブシナリオの安全条件を定義する。シナリオ情報生成部３０３は、サブシナリオを依存関係に従ってツリー状に連鎖させたシナリオツリー（以下、「シナリオ情報」とも呼ぶ）を生成する。
【0074】
制御戦略決定部３０４は、シナリオ情報生成部３０３が生成したシナリオ情報に含まれる各サブシナリオについて、当該サブシナリオの制御戦略を特定する。当該制御戦略は、安全条件を満たしながら実行することで、事後条件を満たすことができる制御戦略である。また、制御戦略決定部３０４は、特定した制御戦略をシナリオ情報に設定する。
【0075】
シナリオ情報送信部３０５は、制御戦略決定部３０４が制御戦略を設定したシナリオ情報を安全ルール生成装置１０に送信する。
【0076】
安全ルール表示部３０６は、安全ルール生成装置１０から受信した安全ルール情報を表示装置５０６等に表示する。
【0077】
≪安全ルール生成装置の機能構成≫
図１２に示されているように、本実施形態における安全ルール生成装置１０は、シナリオ情報受付部１０１、事前条件計算部１０２、安全ルール生成部１０３及び安全ルール出力部１０４を備える。
図１２に示されているように、本実施形態における安全ルール生成装置１０は、シナリオ情報受付部１０１、事前条件計算部１０２、安全ルール生成部１０３及び安全ルール出力部１０４を備える。
【0078】
シナリオ情報受付部１０１、事前条件計算部１０２、安全ルール生成部１０３及び安全ルール出力部１０４は、図１１に示されているＨＤＤ５０４からＲＡＭ５０３上に展開されたプログラムがＣＰＵ５０１に実行させる処理によって実現される。
【0079】
シナリオ情報受付部１０１は、ユーザ端末３０から受信したシナリオ情報の入力を受け付ける。
【0080】
事前条件計算部１０２は、シナリオ情報受付部１０１が受け付けたシナリオ情報に含まれる各サブシナリオについて、当該サブシナリオの事前条件を計算する。このとき、事前条件計算部１０２は、上記のプログラム論理体系ｄＦＨＬに基づくプログラム検証器を用いて、事前条件を計算する。当該プログラム検証器は、事前条件が真であることにより、制御戦略を実行後に事後条件が真であり、かつ、制御戦略の実行中に安全条件が維持されるか否かを検証する。
【0081】
また、事前条件計算部１０２は、漸進的逆伝播によりサブシナリオの連鎖を遡って、各サブシナリオの事前条件を順次計算する。事前条件計算部１０２は、安全条件を満たしながら制御戦略を実行することで当該サブシナリオの事後条件を満たし、かつ、後続のサブシナリオの事前条件を満たすように、当該サブシナリオの事前条件を計算する。
【0082】
安全ルール生成部１０３は、シナリオ情報に含まれる各サブシナリオの制御戦略を結合する。また、安全ルール生成部１０３は、事前条件計算部１０２が計算した事前条件を結合する。さらに、安全ルール生成部１０３は、結合した制御戦略及び事前条件からなる安全ルール情報を生成する。
【0083】
安全ルール出力部１０４は、安全ルール生成部１０３が生成した安全ルール情報をユーザ端末３０に送信する。
【0084】
＜安全ルール生成システムの処理手順＞
次に、本実施形態における安全ルール生成システム１が実行する安全ルール生成方法の処理手順を、図１３を参照しながら説明する。図１３は、本実施形態における安全ルール生成方法の処理手順の一例を示すフローチャートである。
次に、本実施形態における安全ルール生成システム１が実行する安全ルール生成方法の処理手順を、図１３を参照しながら説明する。図１３は、本実施形態における安全ルール生成方法の処理手順の一例を示すフローチャートである。
【0085】
ステップＳ３０１において、ユーザ端末３０が備えるシナリオ入力部３０１は、ユーザの操作に応じて、シナリオの入力を受け付ける。次に、シナリオ入力部３０１は、受け付けたシナリオをシナリオ分割部３０２に送る。
【0086】
ステップＳ３０２において、ユーザ端末３０が備えるシナリオ分割部３０２は、シナリオ入力部３０１からシナリオを受け取る。次に、シナリオ分割部３０２は、ユーザの操作に応じて、シナリオをサブシナリオに分割する。続いて、シナリオ分割部３０２は、分割により生成された複数のサブシナリオをシナリオ情報生成部３０３に送る。
【0087】
ステップＳ３０３において、ユーザ端末３０が備えるシナリオ情報生成部３０３は、シナリオ分割部３０２から複数のサブシナリオを受け取る。次に、シナリオ情報生成部３０３は、ユーザの操作に応じて、各サブシナリオの状況及び安全条件を特定する。
【0088】
続いて、シナリオ情報生成部３０３は、ユーザの操作に応じて、サブシナリオを依存関係に従ってツリー状に連鎖させたシナリオ情報を生成する。次に、シナリオ情報生成部３０３は、生成したシナリオ情報を制御戦略決定部３０４に送る。
【0089】
ステップＳ３０４において、ユーザ端末３０が備える制御戦略決定部３０４は、シナリオ情報生成部３０３からシナリオ情報を受け取る。次に、制御戦略決定部３０４は、ユーザの操作に応じて、シナリオ情報に含まれる各サブシナリオについて、当該サブシナリオの制御戦略を特定する。
【0090】
続いて、制御戦略決定部３０４は、特定した制御戦略をシナリオ情報に設定する。次に、制御戦略決定部３０４は、制御戦略を設定したシナリオ情報をシナリオ情報送信部３０５に送る。
【0091】
ステップＳ３０５において、ユーザ端末３０が備えるシナリオ情報送信部３０５は、制御戦略決定部３０４からシナリオ情報を受け取る。次に、シナリオ情報送信部３０５は、受け取ったシナリオ情報を安全ルール生成装置１０に送信する。
【0092】
ステップＳ１０１において、安全ルール生成装置１０が備えるシナリオ情報受付部１０１は、ユーザ端末３０からシナリオ情報を受信する。次に、シナリオ情報受付部１０１は、受信したシナリオ情報を事前条件計算部１０２に送る。
【0093】
ステップＳ１０２において、安全ルール生成装置１０が備える事前条件計算部１０２は、シナリオ情報受付部１０１からシナリオ情報を受け取る。次に、事前条件計算部１０２は、シナリオ情報に含まれる各サブシナリオについて、当該サブシナリオの事前条件を計算する。
【0094】
続いて、事前条件計算部１０２は、計算した事前条件をシナリオ情報に設定する。次に、事前条件計算部１０２は、事前条件を設定したシナリオ情報を安全ルール生成部１０３に送る。
【0095】
ステップＳ１０３において、安全ルール生成装置１０が備える安全ルール生成部１０３は、事前条件計算部１０２からシナリオ情報を受け取る。次に、安全ルール生成部１０３は、各サブシナリオの制御戦略及び事前条件をそれぞれ結合する。
【0096】
続いて、安全ルール生成部１０３は、結合した制御戦略及び事前条件からなる安全ルール情報を生成する。次に、安全ルール生成部１０３は、生成した安全ルール情報を安全ルール出力部１０４に送る。
【0097】
ステップＳ１０４において、安全ルール生成装置１０が備える安全ルール出力部１０４は、安全ルール生成部１０３から安全ルール情報を受け取る。次に、安全ルール出力部１０４は、受け取った安全ルール情報をユーザ端末３０に送信する。
【0098】
ステップＳ３０６において、ユーザ端末３０が備える安全ルール表示部３０６は、安全ルール生成装置１０から安全ルール情報を受信する。次に、安全ルール表示部３０６は、受け取った安全ルール情報を表示装置５０６等に表示する。
【0099】
＜実施形態の効果＞
本実施形態における安全ルール生成システムは、所定の事後条件及び安全条件を達成するシナリオを複数のサブシナリオが連鎖したシナリオツリーに変換し、各サブシナリオにおいて特定された制御戦略に対する事前条件を計算することで、所定の事後条件及び安全条件を達成する複雑なシナリオに対応可能な安全ルールを生成する。サブシナリオは、所定のサブゴールを達成するための単純なシナリオであるため、制御戦略に対する事前条件を容易に計算することが可能である。したがって、本実施形態における安全ルール生成システムによれば、所定の事後条件及び安全条件を達成する複雑なシナリオに対応可能な安全ルールを策定することができる。
本実施形態における安全ルール生成システムは、所定の事後条件及び安全条件を達成するシナリオを複数のサブシナリオが連鎖したシナリオツリーに変換し、各サブシナリオにおいて特定された制御戦略に対する事前条件を計算することで、所定の事後条件及び安全条件を達成する複雑なシナリオに対応可能な安全ルールを生成する。サブシナリオは、所定のサブゴールを達成するための単純なシナリオであるため、制御戦略に対する事前条件を容易に計算することが可能である。したがって、本実施形態における安全ルール生成システムによれば、所定の事後条件及び安全条件を達成する複雑なシナリオに対応可能な安全ルールを策定することができる。
【0100】
特に、本実施形態における安全ルール生成システムは、各サブシナリオの事前条件を計算するために、安全条件を追加したプログラム論理体系を導入する。また、本実施形態における安全ルール生成システムは、数十行の論理式によって表現される安全条件をソフトウェア実装可能である。したがって、本実施形態における安全ルール生成システムによれば、現実的な計算量で複雑なシナリオに対応可能な安全ルールを計算することができる。
【0101】
［応用例１］
目的達成ＲＳＳにより導出した安全ルールは、シンプレックスアーキテクチャ（Simplex Architecture）に応用することができる。シンプレックスアーキテクチャについての詳細は、下記参考文献３、４に開示されている。
目的達成ＲＳＳにより導出した安全ルールは、シンプレックスアーキテクチャ（Simplex Architecture）に応用することができる。シンプレックスアーキテクチャについての詳細は、下記参考文献３、４に開示されている。
【0102】
〔参考文献３〕T. L. Crenshaw, E. Gunter, C. L. Robinson, L. Sha, and P. R. Kumar, "The simplex reference model: Limiting fault-propagation due to unreliable components in cyber-physical system architectures," in 28th IEEE International Real-Time Systems Symposium (RTSS 2007), 2007, pp. 400-412.
〔参考文献４〕D. Seto, B. Krogh, L. Sha, and A. Chutinan, "The simplex architecture for safe online control system upgrades," in Proceedings of the 1998 American Control Conference. ACC (IEEE Cat. No.98CH36207), vol. 6, 1998, pp. 3504-3508.
〔参考文献４〕D. Seto, B. Krogh, L. Sha, and A. Chutinan, "The simplex architecture for safe online control system upgrades," in Proceedings of the 1998 American Control Conference. ACC (IEEE Cat. No.98CH36207), vol. 6, 1998, pp. 3504-3508.
【0103】
図１４は、シンプレックスアーキテクチャの一例を示す概念図である。図１４に示されているように、シンプレックスアーキテクチャは、アドバンストコントローラ（Advanced Controller）４０１、ベースラインコントローラ（Baseline Controller）４０２、決定モジュール（Decision Module）４０３及びプラント（Plant）４０４から構成される。
【0104】
アドバンストコントローラ４０１は、安全性のみならず多様な性能指標をも追及する複雑な制御を行う。性能指標は、例えば、快適性、速度及び燃料効率等である。ベースラインコントローラ４０２は、安全性を重視した比較的単純な制御を行う。
【0105】
決定モジュール４０３は、アドバンストコントローラ４０１とベースラインコントローラ４０２との間の切り替えを行う。決定モジュール４０３は、通常はより良い性能を求めてアドバンストコントローラ４０１を用いる。一方、決定モジュール４０３は、安全性に重大な問題を検知したときは、ベースラインコントローラ４０２に切り替える。
【0106】
アドバンストコントローラ４０１は、複雑な制御を行うため、動作の予測や検証が困難である。一方、ベースラインコントローラ４０２は、単純な制御を行うため、予測や検証が容易である。したがって、シンプレックスアーキテクチャは、アドバンストコントローラ４０１とベースラインコントローラ４０２との間で適切に制御を切り替えることで、システム全体として安全性を保証することが可能である。
【0107】
従来の衝突回避ＲＳＳをシンプレックスアーキテクチャに応用することが行われている。この場合、アドバンストコントローラ４０１は、一般的な自動運転制御モジュールである。自動運転制御モジュールは、蓄積された運転データから学習された機械学習モデルであるため、その判断過程がブラックボックスとなっている。
【0108】
決定モジュール４０３は、衝突回避ＲＳＳの事前条件を監視する。決定モジュール４０３は、事前条件を充足しなくなりそうなことを検知した場合、ベースラインコントローラ４０２に制御を切り替える。
【0109】
ベースラインコントローラ４０２は、衝突回避ＲＳＳの制御戦略に従った制御を行う。ベースラインコントローラ４０２は、快適性等の性能指標は考慮せず、安全性を追求する制御を行う。したがって、衝突回避ＲＳＳを応用したシンプレックスアーキテクチャによれば、通常は高い性能を実現した自動運転を行い、安全性の危機に際しては衝突を回避することができる自動運転車を実現することができる。
【0110】
目的達成ＲＳＳによる安全ルールは、衝突回避ＲＳＳによる安全ルールとの互換性を担保している。そのため、衝突回避ＲＳＳと同様にして目的達成ＲＳＳをシンプレックスアーキテクチャに応用することができる。
【0111】
目的達成ＲＳＳによる安全ルールは、安全条件及び事後条件を満たすことを保証する。衝突回避ＲＳＳによる安全ルールは、安全条件を満たすことを保証する。そのため、目的達成ＲＳＳによる安全ルールは、衝突回避ＲＳＳによる安全ルールを包摂しつつ、所定の事後条件を達成することを可能とする。
【0112】
したがって、目的達成ＲＳＳを応用したシンプレックスアーキテクチャによれば、通常は高い性能を実現した自動運転を行い、安全性の危機に際しては衝突を回避しつつ所定の事後条件を達成することができる自動運転車を実現することができる。
【0113】
［応用例２］
目的達成ＲＳＳを応用したシンプレックスアーキテクチャは、例えば、自動運転車のためのナビゲーションシステムの実装に用いることができる。従来の衝突回避ＲＳＳを実装したナビゲーションシステムは、例えば、下記参考文献５に開示されている。
目的達成ＲＳＳを応用したシンプレックスアーキテクチャは、例えば、自動運転車のためのナビゲーションシステムの実装に用いることができる。従来の衝突回避ＲＳＳを実装したナビゲーションシステムは、例えば、下記参考文献５に開示されている。
【0114】
〔参考文献５〕国際公開２０１８／１１５９６３号
【0115】
本応用例におけるナビゲーションシステムは、実施形態における安全ルール生成システム１によって生成された安全ルールを用いて、自動運転車の挙動又は動作を制御する車載システムである。ナビゲーションシステムは、所定のナビゲーション目標を達成するために、目的地までの経路を決定し、自動運転中の挙動を計画し、各挙動における動作を計画し、計画された挙動又は動作を実現するための車体制御を行う。
【0116】
本応用例におけるナビゲーションシステムは、例えば、自動運転車に搭載される。例えば、ナビゲーションシステムは、自動運転車のインストルメントパネルやセンターコンソール等に設置される。ナビゲーションシステムは、携帯電話網等を介して遠隔地に設置された情報処理装置と連携するクラウドコンピューティング等で実装されてもよい。
【0117】
＜ナビゲーションシステムの機能構成＞
まず、本応用例におけるナビゲーションシステムの機能構成を、図１５を参照しながら説明する。図１５は本応用例におけるナビゲーションシステム６の機能構成の一例を示すブロック図である。
まず、本応用例におけるナビゲーションシステムの機能構成を、図１５を参照しながら説明する。図１５は本応用例におけるナビゲーションシステム６の機能構成の一例を示すブロック図である。
【0118】
図１５に示されているように、本応用例におけるナビゲーションシステム６は、目標入力部６１、経路計画部６２、環境取得部６３、挙動計画部６４、動作計画部６５、動作制御部６６、経路情報記憶部６０１、シナリオ記憶部６０２及び安全ルール記憶部６０３を備える。挙動計画部６４は、シナリオ取得部６４１及びシナリオ検証部６４２を備える。動作計画部６５は、動作決定部６５１及び動作検証部６５２を備える。
【0119】
経路情報記憶部６０１には、経路情報が予め記憶されている。経路情報は、地図情報、道路情報及び渋滞情報等を含む。経路情報は、携帯通信網等に接続された通信手段を用いて、随時更新されてもよい。
【0120】
シナリオ記憶部６０２には、複数のシナリオが予め記憶されている。シナリオには、ナビゲーション目標が設定されている。ナビゲーション目標は、シナリオの安全条件及び事後条件に相当する。したがって、ナビゲーション目標を達成するようにシナリオに従って自動運転車を動作させることで、シナリオの安全条件及び事後条件が達成される。
【0121】
安全ルール記憶部６０３には、シナリオ記憶部６０２に記憶された各シナリオに対応する安全ルールが予め記憶されている。安全ルールは、実施形態における安全ルール生成システム１により、シナリオ記憶部６０２に記憶された各シナリオについて事前に生成されたものである。すなわち、安全ルール記憶部６０３は、シナリオ記憶部６０２に記憶された各シナリオについて、当該シナリオを分割したサブシナリオ毎に、当該サブシナリオのサブゴールを達成しながら制御戦略を実行する事前条件を計算した安全ルールが記憶されている。
【0122】
目標入力部６１は、所望のナビゲーション目標の入力を受け付ける。ナビゲーション目標は、ユーザにより入力されてもよいし、シナリオに基づいて自動的に決定されてもよい。
【0123】
経路計画部６２は、経路情報記憶部６０１に記憶されている経路情報に基づいて、ナビゲーション目標を達成する経路を決定する。
【0124】
環境取得部６３は、自動運転車に搭載された車載カメラ等により自動運転車の周辺を撮影した画像に基づいて、当該自動運転車の環境を表す環境情報を取得する。車載カメラは、車体の周囲を死角が生じないように撮影可能な位置及び個数で設置される。車載カメラは、例えば、バックミラー、バンパー、サイドミラー等、任意の位置に設置すればよい。
【0125】
挙動計画部６４は、環境取得部６３により取得された環境情報に基づいて、自動運転車の挙動を計画する。挙動計画部６４は、シナリオ取得部６４１及びシナリオ検証部６４２を用いて、目標入力部６１に入力されたナビゲーション目標を達成可能なシナリオを決定する。
【0126】
シナリオ取得部６４１は、ナビゲーション目標を達成するためのシナリオを、シナリオ記憶部６０２から取得する。ナビゲーション目標を達成するためのシナリオとは、事後条件がナビゲーション目標を包含しており、事後条件を達成することでナビゲーション目標を達成することができるシナリオである。
【0127】
シナリオ検証部６４２は、シナリオ取得部６４１により取得されたシナリオに対応する安全ルール及び環境取得部６３により取得された環境情報に基づいて、各シナリオがナビゲーション目標を達成できるか否かを検証する。
【0128】
シナリオ検証部６４２は、シナリオがナビゲーション目標を達成できないと判定した場合、当該シナリオを却下する。シナリオ検証部６４２は、ナビゲーション目標を達成できるシナリオが複数ある場合、予め定めた規則に従って、実行するシナリオを決定する。
【0129】
動作計画部６５は、環境取得部６３により取得された環境情報に基づいて、自動運転車の動作を計画する。動作計画部６５は、動作決定部６５１及び動作検証部６５２を用いて、目標入力部６１に入力されたナビゲーション目標を達成するナビゲーション動作を決定する。
【0130】
動作決定部６５１は、挙動計画部６４により決定されたシナリオ及び環境取得部６３により取得された環境情報に基づいて、目標入力部６１に入力されたナビゲーション目標を達成するためのナビゲーション動作を決定する。
【0131】
動作検証部６５２は、挙動計画部６４により決定されたシナリオに対応する安全ルール及び環境取得部６３により取得された環境情報に基づいて、動作決定部６５１により決定されたナビゲーション動作に対応する制御戦略が、目標入力部６１に入力されたナビゲーション目標を達成できるか否かを検証する。
【0132】
動作検証部６５２は、ナビゲーション動作がナビゲーション目標を達成できると判定した場合、当該ナビゲーション動作の実行を決定する。動作検証部６５２は、ナビゲーション動作がナビゲーション目標を達成できないと判定した場合、当該ナビゲーション動作を却下する。
【0133】
なお、動作計画部６５は、応用例１で示したシンプレックアーキテクチャで実装することができる。この場合、動作決定部６５１は、アドバンストコントローラ４０１又はベースラインコントローラ４０２で実現される。動作検証部６５２は、決定モジュール４０３で実現される。プラント４０４は、環境取得部６３に相当する。
【0134】
動作制御部６６は、動作計画部６５により決定されたナビゲーション動作に従って、自動運転車の車体を制御する。
【0135】
＜ナビゲーションシステムの処理手順＞
次に、本応用例におけるナビゲーションシステム６が実行するナビゲーション方法の処理手順を、図１６を参照しながら説明する。図１６は、本応用例におけるナビゲーション方法の処理手順の一例を示すフローチャートである。
次に、本応用例におけるナビゲーションシステム６が実行するナビゲーション方法の処理手順を、図１６を参照しながら説明する。図１６は、本応用例におけるナビゲーション方法の処理手順の一例を示すフローチャートである。
【0136】
ステップＳ６１において、ナビゲーションシステム６が備える目標入力部６１は、ナビゲーション目標の入力を受け付ける。ナビゲーション目標は、ユーザにより入力されてもよいし、シナリオに基づいて自動的に決定されてもよい。
【0137】
ユーザがナビゲーション目標を入力する場合、ユーザはコンソール操作によりナビゲーション目標を入力してもよいし、音声認識を用いた音声入力等によりナビゲーション目標を入力してもよい。
【0138】
ステップＳ６２において、ナビゲーションシステム６が備える経路計画部６２は、目標入力部６１からナビゲーション目標を受け取る。次に、経路計画部６２は、経路情報記憶部６０１に記憶されている経路情報に基づいて、ナビゲーション目標を達成する経路を決定する。続いて、経路計画部６２は、決定した経路を挙動計画部６４に送る。
【0139】
ステップＳ６３において、ナビゲーションシステム６が備える環境取得部６３は、自動運転車の環境を表す環境情報を取得する。環境情報は、自動運転車の周囲を走行する他の自動車の状態、走行している道路の状態、道路に設置された信号機又は交通標識の状態等、自動運転車の安全条件及び事後条件に影響し得るあらゆる情報を含むことができる。
【0140】
ステップＳ６４において、ナビゲーションシステム６が備える挙動計画部６４は、経路計画部６２から経路を受け取る。次に、挙動計画部６４は、目標入力部６１からナビゲーション目標を受け取る。続いて、挙動計画部６４は、受け取ったナビゲーション目標をシナリオ取得部６４１に入力する。
【0141】
シナリオ取得部６４１は、挙動計画部６４からナビゲーション目標を受け取る。次に、シナリオ取得部６４１は、ナビゲーション目標を達成するためのシナリオを、シナリオ記憶部６０２から取得する。シナリオ取得部６４１は、複数のシナリオを取得してもよい。続いて、シナリオ取得部６４１は、取得したシナリオをシナリオ検証部６４２に送る。
【0142】
シナリオ検証部６４２は、シナリオ取得部６４１からシナリオを受け取る。次に、シナリオ検証部６４２は、環境取得部６３から環境情報を取得する。続いて、シナリオ検証部６４２は、シナリオ取得部６４１から受け取ったシナリオに対応する安全ルールを安全ルール記憶部６０３から取得する。
【0143】
シナリオ検証部６４２は、取得した安全ルール及び環境情報に基づいて、各シナリオがナビゲーション目標を達成できるか否かを検証する。シナリオ検証部６４２は、シナリオがナビゲーション目標を達成できないと判定した場合、当該シナリオを却下する。シナリオ検証部６４２は、ナビゲーション目標を達成できるシナリオが複数ある場合、予め定めた規則に従って、実行するシナリオを決定する。シナリオ検証部６４２は、ナビゲーション目標を達成できる複数のシナリオをユーザに提示し、ユーザの選択に応じて、実行するシナリオを決定してもよい。シナリオ検証部６４２は、決定したシナリオを動作計画部６５に送る。
【0144】
ステップＳ６５において、ナビゲーションシステム６が備える動作計画部６５は、挙動計画部６４からシナリオを受け取る。次に、動作計画部６５は、受け取ったシナリオを動作決定部６５１に入力する。
【0145】
動作決定部６５１は、動作計画部６５からシナリオを受け取る。次に、動作決定部６５１は、環境取得部６３から環境情報を取得する。続いて、動作決定部６５１は、環境取得部６３から取得した環境情報に基づいて、ナビゲーション目標を達成するためのナビゲーション動作を決定する。そして、動作決定部６５１は、ナビゲーション動作を動作検証部６５２に送る。
【0146】
動作検証部６５２は、動作決定部６５１からナビゲーション動作を受け取る。次に、動作検証部６５２は、環境取得部６３から環境情報を取得する。続いて、動作検証部６５２は、挙動計画部６４により決定されたシナリオに対応する安全ルールを安全ルール記憶部６０３から取得する。
【0147】
動作検証部６５２は、安全ルール及び環境情報に基づいて、ナビゲーション動作に対応する制御戦略が、ナビゲーション目標を達成できるか否かを検証する。動作検証部６５２は、ナビゲーション動作がナビゲーション目標を達成できると判定した場合、当該ナビゲーション動作を動作制御部６６に送る。
【0148】
一方、動作検証部６５２は、ナビゲーション動作がナビゲーション目標を達成できないと判定した場合、当該ナビゲーション動作を却下する。動作検証部６５２によりナビゲーション動作が却下された場合、動作決定部６５１は、ナビゲーション目標を達成するための他のナビゲーション動作を決定する。
【0149】
ステップＳ６６において、ナビゲーションシステム６が備える動作制御部６６は、動作計画部６５からナビゲーション動作を受け取る。次に、動作制御部６６は、受け取ったナビゲーション動作に従って、自動運転車の車体を制御する。
【0150】
上記のとおり、本応用例におけるナビゲーションシステム６では、目的達成ＲＳＳによる安全ルールを２つの用途で利用している。第１の用途は、挙動計画部６４が実行するシナリオを決定するための条件である。例えば、第１の用途は、進行方向に２つの非常電話が設置されている状況において、現在位置に近い第１の非常電話の位置に停止する第１の路肩停止シナリオを実行するか、現在位置から遠い第２の非常電話の位置に停止する第２の路肩停止シナリオを実行するかを選択する際に用いることができる。
【0151】
例えば、第１の路肩停止シナリオ及び第２の路肩停止シナリオのいずれかが安全条件及び事後条件を満たせない場合、安全条件及び事後条件を満たすシナリオを選択すればよい。また、例えば、第１の路肩停止シナリオ及び第２の路肩停止シナリオのいずれも安全条件及び事後条件を満たす場合、現在位置に近い位置に停止する第１の路肩停止シナリオを選択すればよい。
【0152】
安全ルールの第２の用途は、動作計画部６５が実行する動作を決定するための条件である。第２の用途は、例えば、第２の非常電話の位置に停止する第２の路肩停止シナリオを実行している中で、隣の車線を並走する他の自動車の前に車線変更するナビゲーション動作を実行するか、後ろに車線変更するナビゲーション動作を実行するかを選択する際に用いることができる。
【0153】
例えば、他の自動車の前に車線変更するナビゲーション動作では安全条件及び事後条件を満たせない場合、他の自動車の後ろに車線変更する動作を選択すればよい。また、例えば、他の自動車の前に車線変更しても後ろに車線変更しても安全条件及び事後条件を満たす場合、シナリオ全体の走行時間が短い方のナビゲーション動作を選択すればよい。
【0154】
［実験結果］
目的達成ＲＳＳの性能を評価する比較試験の実験結果について、図１７、図１８Ａ及び図１８Ｂを参照しながら説明する。比較試験では、アドバンストコントローラのみの実装（以下、「ＡＣ」と呼ぶ）、衝突回避ＲＳＳを用いたシンプレックスアーキテクチャの実装（以下、「ＡＣ＋ＲＳＳＣＡ」と呼ぶ）及び目的達成ＲＳＳを用いたシンプレックスアーキテクチャの実装（以下、「ＡＣ＋ＲＳＳＧＡ」と呼ぶ）について、路肩停止シナリオをシミュレーションした。評価試験では、パラメータが異なる2,350本の路肩停止シナリオを、上記の３実装それぞれでシミュレーションした。
目的達成ＲＳＳの性能を評価する比較試験の実験結果について、図１７、図１８Ａ及び図１８Ｂを参照しながら説明する。比較試験では、アドバンストコントローラのみの実装（以下、「ＡＣ」と呼ぶ）、衝突回避ＲＳＳを用いたシンプレックスアーキテクチャの実装（以下、「ＡＣ＋ＲＳＳＣＡ」と呼ぶ）及び目的達成ＲＳＳを用いたシンプレックスアーキテクチャの実装（以下、「ＡＣ＋ＲＳＳＧＡ」と呼ぶ）について、路肩停止シナリオをシミュレーションした。評価試験では、パラメータが異なる2,350本の路肩停止シナリオを、上記の３実装それぞれでシミュレーションした。
【0155】
図１７は、実験結果を集計した表を示す図である。図１７において、goalは目的を達成した割合である。collisionは衝突が発生した割合である。RSS violationは安全な車間距離が守られなかったケースである。timeはシナリオを終えるまでの走行時間である。jerkは走行中の加速度の総量である。BC timeはベースラインコントローラが制御した時間の平均である。
【0156】
図１７に示されているように、ＡＣ＋ＲＳＳＣＡでは、衝突は回避したものの、事後条件を達成できないケースが発生した。ＡＣでは、衝突を回避しながら事後条件を達成できているが、ＲＳＳの安全条件を守れないケースが多数発生した。また、ＡＣでは、事後条件達成までの時間が長くなるケースが見られた。一方、ＡＣ＋ＲＳＳＧＡでは、衝突を回避しながら事後条件を達成し、一定時間内にすべてのケースを終えることができた。
【0157】
図１８Ａは、目的達成ＲＳＳを用いたシンプレックスアーキテクチャ及び衝突回避ＲＳＳを用いたシンプレックスアーキテクチャの走行時間の分布の一例を示す図である。図１８Ａは、ＡＣ＋ＲＳＳＧＡの走行時間を縦軸にし、ＡＣ＋ＲＳＳＣＡの走行時間を横軸にして、各シミュレーション結果をプロットしたグラフである。図１８Ｂは、目的達成ＲＳＳを用いたシンプレックスアーキテクチャ及びアドバンストコントローラの走行時間の分布の一例を示す図である。図１８Ｂは、ＡＣ＋ＲＳＳＧＡの走行時間を縦軸にし、ＡＣの走行時間を横軸にして、各シミュレーション結果をプロットしたグラフである。各円の大きさは、その走行時間の組み合わせに対応したシミュレーションの回数を表している。
【0158】
図１８Ａ及び図１８Ｂにおいて、グラフ右下にプロットされたサンプルは、ＡＣ＋ＲＳＳＧＡの方が短い時間で事後条件を達成したケースである。図１８Ａ及び図１８Ｂに示されているように、ＡＣ及びＡＣ＋ＲＳＳＣＡいずれの比較においても、ＡＣ＋ＲＳＳＧＡの方が有利な結果となる傾向が見られた。
【0159】
上記のように、本実験結果によって、目的達成ＲＳＳの安全ルールを用いれば、安全かつ短時間で所定の事後条件を達成することができるという結果が得られた。
【0160】
［補足］
上記で説明した実施形態の各機能は、一又は複数の処理回路によって実現することが可能である。ここで、本明細書における「処理回路」とは、電子回路により実装されるプロセッサのようにソフトウェアによって各機能を実行するようプログラミングされたプロセッサや、上記で説明した各機能を実行するよう設計されたＡＳＩＣ（Application Specific Integrated Circuit）、ＤＳＰ（Digital Signal Processor）、ＦＰＧＡ（Field Programmable Gate Array）や従来の回路モジュール等の機器を含むものとする。
上記で説明した実施形態の各機能は、一又は複数の処理回路によって実現することが可能である。ここで、本明細書における「処理回路」とは、電子回路により実装されるプロセッサのようにソフトウェアによって各機能を実行するようプログラミングされたプロセッサや、上記で説明した各機能を実行するよう設計されたＡＳＩＣ（Application Specific Integrated Circuit）、ＤＳＰ（Digital Signal Processor）、ＦＰＧＡ（Field Programmable Gate Array）や従来の回路モジュール等の機器を含むものとする。
【0161】
以上、本発明の実施の形態について詳述したが、本発明はこれらの実施形態に限定されるものではなく、特許請求の範囲に記載された本発明の要旨の範囲内において、種々の変形又は変更が可能である。
【0162】
本願は、日本国特許庁に２０２２年４月１９日に出願された日本国特許出願２０２２－６９０６８号の優先権を主張するものであり、その全内容を参照することにより本願に援用する。
【符号の説明】
【0163】
１ 安全ルール生成システム
１０ 安全ルール生成装置
１０１ シナリオ情報受付部
１０２ 事前条件計算部
１０３ 安全ルール生成部
１０４ 安全ルール出力部
３０ ユーザ端末
３０１ シナリオ入力部
３０２ シナリオ分割部
３０３ シナリオ情報生成部
３０４ 制御戦略決定部
３０５ シナリオ情報送信部
３０６ 安全ルール表示部
６ ナビゲーションシステム
６０１ 経路情報記憶部
６０２ シナリオ記憶部
６０３ 安全ルール記憶部
６１ 目標入力部
６２ 経路計画部
６３ 環境取得部
６４ 挙動計画部
６４１ シナリオ取得部
６４２ シナリオ検証部
６５ 動作計画部
６５１ 動作決定部
６５２ 動作検証部
６６ 動作制御部
１０ 安全ルール生成装置
１０１ シナリオ情報受付部
１０２ 事前条件計算部
１０３ 安全ルール生成部
１０４ 安全ルール出力部
３０ ユーザ端末
３０１ シナリオ入力部
３０２ シナリオ分割部
３０３ シナリオ情報生成部
３０４ 制御戦略決定部
３０５ シナリオ情報送信部
３０６ 安全ルール表示部
６ ナビゲーションシステム
６０１ 経路情報記憶部
６０２ シナリオ記憶部
６０３ 安全ルール記憶部
６１ 目標入力部
６２ 経路計画部
６３ 環境取得部
６４ 挙動計画部
６４１ シナリオ取得部
６４２ シナリオ検証部
６５ 動作計画部
６５１ 動作決定部
６５２ 動作検証部
６６ 動作制御部
【図1】
【図2】
【図3】
【図4】
【図5】
【図6】
【図7】
【図8】
【図9】
【図10】
【図11】
【図12】
【図13】
【図14】
【図15】
【図16】
【図17】
【図18A】
【図18B】