▶ エッジ ケース リサーチ，インコーポレイテッドの特許一覧
特表2022-516559自律運転ビークルの安全性を確保しつつ許容性を向上させる方法及びシステム
(19)【発行国】日本国特許庁(JP)
(12)【公報種別】公表特許公報(A)
(11)【公表番号】
(43)【公表日】2022-02-28
(54)【発明の名称】自律運転ビークルの安全性を確保しつつ許容性を向上させる方法及びシステム
(51)【国際特許分類】
G08G 1/16 20060101AFI20220218BHJP
【ＦＩ】
G08G1/16 D
【審査請求】未請求
【予備審査請求】未請求
(21)【出願番号】P 2021539000
(86)(22)【出願日】2020-01-03
(85)【翻訳文提出日】2021-08-30
(86)【国際出願番号】 US2020012233
(87)【国際公開番号】W WO2020142721
(87)【国際公開日】2020-07-09
(31)【優先権主張番号】62/787,838
(32)【優先日】2019-01-03
(33)【優先権主張国・地域又は機関】US
(81)【指定国・地域】
(71)【出願人】
【識別番号】521193485
【氏名又は名称】エッジ ケース リサーチ，インコーポレイテッド
【氏名又は名称原語表記】ＥＤＧＥ ＣＡＳＥ ＲＥＳＥＡＲＣＨ，ＩＮＣ．
(74)【代理人】
【識別番号】110001438
【氏名又は名称】特許業務法人 丸山国際特許事務所
(72)【発明者】
【氏名】コープマン，フィリップ ジェイ．，ジュニア
【テーマコード（参考）】
5H181
【Ｆターム（参考）】
5H181AA01
5H181AA26
5H181AA28
5H181BB20
5H181CC02
5H181CC03
5H181CC04
5H181CC11
5H181CC12
5H181CC14
5H181EE02
5H181FF27
5H181LL01
5H181LL04
5H181LL07
5H181LL08
5H181LL09
5H181LL15
5H181LL16
(57)【要約】
【解決手段】運行設計領域（ＯＤＤ）内で動作するように設計され、センサデータを収集することができる自律ビークル制御システムを有するビークルの許容性を改善する方法を開示する。この方法は、システム又は記憶媒体に配置された指示に組み込まれてよく、ＯＤＤを異なる動作状況に関するサブセット（マイクロＯＤＤ）に分割し、これらのサブセットについての安全許容範囲を作成することを含む。安全許容範囲は、ビークルを安全に動作させ続けるために用いられ、ビークルの動作の許容性を改善するために最適化されてよい。
【選択図】図３
【選択図】図３
【特許請求の範囲】
【請求項1】
運行設計領域（ＯＤＤ）内で動作するように設計されており、センサデータを収集する自律ビークル制御システムを有するビークルの許容性を改善するためのコンピュータ実装方法であって、前記ＯＤＤの少なくとも一部を１又は複数のマイクロＯＤＤに分割し、各マイクロＯＤＤは異なる動作状況を示していることと、
前記１又は複数のマイクロＯＤＤの各々について安全許容範囲を計算し、各安全許容範囲は、前記ビークルの許容できる動作特性についての規則を含んでいることと、
少なくとも前記センサデータを用いることによって、前記ビークルについて現在のマイクロＯＤＤを特定することと、
前記現在のマイクロＯＤＤと関連する安全許容範囲の規則を前記ビークルに適用することと、
を含む、方法。
【請求項2】
前記安全許容範囲の違反を監視することを更に含む、請求項１に記載の方法。
【請求項3】
ビークル安全機能を作動することを更に含む、請求項２に記載の方法。
【請求項4】
確率的モデルを使用して、少なくとも以前に収集されたデータ、地理的位置及び天候条件に基づいて適切なマイクロＯＤＤを決定することを支援することを更に含む、請求項１に記載の方法。
【請求項5】
１又は複数のデータ入力における変化を検知し、前記１又は複数のデータ入力は、知覚センサデータ入力、ビークル状態及び動作データ入力、ビークル間及びビークル－インフラストラクチャ間入力、並びに、地図及びインフラストラクチャ入力のうちの１又は複数を含むことと、新たなマイクロＯＤＤを計算することと、
前記現在のマイクロＯＤＤから前記新たなマイクロＯＤＤへ遷移させることと、
を更に含む、請求項１に記載の方法。
【請求項6】
前記計算することは、前記１又は複数のデータ入力の確率的解釈を行うことを更に含む、請求項５に記載の方法。
【請求項7】
前記遷移させることは、前記ビークルの前記動作特性を、前記第２のマイクロＯＤＤに関連する安全許容範囲規則に違反しないように変更することを更に含む、請求項５に記載の方法。
【請求項8】
前記遷移させることは、関連する動作特性を、前記現在のマイクロＯＤＤについての安全許容範囲の規則から、前記新たなマイクロＯＤＤについての新たな安全許容範囲の規則へと、直線的に変化させることを含む、請求項５に記載の方法。
【請求項9】
マイクロＯＤＤ内の動作環境を拡大して、前記安全許容範囲を再計算する最適化ステップを更に含む、請求項１に記載の方法。
【請求項10】
前記最適化ステップは、許容性が所定の閾値を超えて低減されるまで反復される、請求項９に記載の方法。
【請求項11】
運行設計領域（ＯＤＤ）内で動作するように設計され、センサデータを収集する自律ビークル制御システムを有するビークルの許容性を改善するためのシステムにおいて、メモリ又は他のデータ格納機構と１又は複数のプロセッサとを備えており、
前記メモリ又は他のデータ格納機構と前記１又は複数のプロセッサとは、
前記ＯＤＤの少なくとも一部を１又は複数のマイクロＯＤＤに分割するステップであって、各マイクロＯＤＤは異なる動作状況を示す、ステップと、
前記１又は複数のマイクロＯＤＤの各々について安全許容範囲を計算するステップであって、各安全許容範囲は前記ビークルの許容できる動作特性についての規則を含む、ステップと、
少なくとも前記センサデータを用いることによって、前記ビークルについての現在のマイクロＯＤＤを特定するステップと、
前記現在のマイクロＯＤＤと関連する安全許容範囲の規則を前記ビークルに適用するステップと、
を実行するように構成されている、システム。
【請求項12】
前記メモリ又は他のデータ格納機構と前記１又は複数のプロセッサとは、前記安全許容範囲の違反を監視するステップを行うように更に構成されている、請求項１１に記載のシステム。
【請求項13】
前記メモリ又は他のデータ格納機構と前記１又は複数のプロセッサとは、前記安全許容範囲の違反が発生した場合にはビークル安全機能を作動するステップを実行するように更に構成される、請求項１２に記載のシステム。
【請求項14】
前記メモリ又は他のデータ格納機構と前記１又は複数のプロセッサとは、確率的モデルを用いて、少なくとも以前に収集されたデータ、地理的位置及び天候条件に基づいて適切なマイクロＯＤＤの決定を支援するステップを実行するように更に構成される、請求項１１に記載のシステム。
【請求項15】
前記メモリ又は他のデータ格納機構と前記１又は複数のプロセッサとは、１又は複数のデータ入力を検知するステップであって、前記１又は複数のデータ入力が、知覚センサデータ入力、ビークル状態及び動作データ入力、ビークル間及びビークル－インフラストラクチャ間入力、並びに、地図及びインフラストラクチャ入力のうち１又は複数を含む、ステップと、
新たなマイクロＯＤＤを計算するステップと、
前記現在のマイクロＯＤＤから前記新たなマイクロＯＤＤへ遷移するステップと、
を実行するように更に構成されている、請求項１１に記載のシステム。
【請求項16】
前記計算するステップは、前記データ入力の確率的解釈を行うステップを更に含む、請求項１５に記載のシステム。
【請求項17】
前記遷移するステップは、前記第２のマイクロＯＤＤに関連する安全許容範囲規則に違反しないように前記ビークルの動作特性を変更するステップを更に含む、請求項１５に記載のシステム。
【請求項18】
前記遷移するステップは、関連する動作特性を、前記第１のマイクロＯＤＤについての第１の安全許容範囲から、前記第２のマイクロＯＤＤについての第２の安全許容範囲に直線的に変更するステップを含む、請求項１５に記載のシステム。
【請求項19】
前記メモリ又は他のデータ格納機構と前記１又は複数のプロセッサとは、マイクロＯＤＤ内の動作環境を拡大して、前記安全許容範囲を再計算する最適化ステップを行うように更に構成される、請求項１１に記載のシステム。
【請求項20】
前記メモリ又は他のデータ格納機構と前記１又は複数のプロセッサとは、許容性が所定の閾値を超えて低減されるまで前記最適化ステップを繰り返すように更に構成されている、請求項１９に記載のシステム。
【請求項21】
運行設計領域（ＯＤＤ）内で動作するように設計されており、且つセンサデータを収集する自律ビークル制御システムを有するビークルの許容性を改善するための方法を、コンピュータによって実行されると前記コンピュータに実行させる指示を含む非一時的なコンピュータ可読記憶媒体において、前記方法は、前記ＯＤＤの少なくとも一部を１又は複数のマイクロＯＤＤに分割し、各マイクロＯＤＤが異なる動作状況に対応することと、
前記１又は複数のマイクロＯＤＤの各々について安全許容範囲を計算し、各安全許容範囲は前記ビークルの許容される動作特性についての規則を含むことと、
少なくとも前記センサデータの使用によって、前記ビークルの現在のマイクロＯＤＤを特定することと、
前記現在のマイクロＯＤＤに関連する安全許容範囲の規則を前記ビークルに適用すること、
を含む、記憶媒体。
【請求項22】
コンピュータによって実行されると、マイクロＯＤＤ内の動作環境を拡大して、前記安全許容範囲を再計算する前記最適化ステップを更に含む方法をコンピュータに実行させる指示を含む、請求項２１に記載の記憶媒体。
【請求項23】
コンピュータによって実行されると、許容性が所定の閾値を超えて低減されるまで前記最適化ステップを繰り返すことを更に含む方法をコンピュータに実行させる指示を含む、請求項２２に記載の記憶媒体。
【発明の詳細な説明】
【技術分野】
【0001】
＜関連出願の相互参照＞
本特許出願は国際出願であり、２０１９年１月３日に出願された米国仮出願第６２／７８７，８３８号、発明の名称「ＭＥＴＨＯＤ ＡＮＤ ＡＰＰＡＲＡＴＵＳ ＦＯＲ ＩＭＰＲＯＶＩＮＧ ＰＥＲＭＩＳＳＩＶＥＮＥＳＳ ＷＨＩＬＥ ＥＮＳＵＲＩＮＧ ＳＡＦＥＴＹ ＩＮ ＡＮ ＡＵＴＯＮＯＭＯＵＳ ＶＥＨＩＣＬＥ」の優先権を主張するものであって、その明細書全体は、参照によって本明細書に組み込まれる。
本特許出願は国際出願であり、２０１９年１月３日に出願された米国仮出願第６２／７８７，８３８号、発明の名称「ＭＥＴＨＯＤ ＡＮＤ ＡＰＰＡＲＡＴＵＳ ＦＯＲ ＩＭＰＲＯＶＩＮＧ ＰＥＲＭＩＳＳＩＶＥＮＥＳＳ ＷＨＩＬＥ ＥＮＳＵＲＩＮＧ ＳＡＦＥＴＹ ＩＮ ＡＮ ＡＵＴＯＮＯＭＯＵＳ ＶＥＨＩＣＬＥ」の優先権を主張するものであって、その明細書全体は、参照によって本明細書に組み込まれる。
【0002】
本発明は、自律運転ビークルの動作を管理するための新規なアプローチに関する。より具体的には、本発明は、全体的な動作の安全性を犠牲にすることなく、適切な場合に安全上の制約を緩和するコンピュータベースシステムを実装することによって、自律運転ビークル、トラック、航空機、又は他の同様な乗物の許容性（permissiveness）を改善する方法及びシステムに関する。
【背景技術】
【0003】
自律運転ビークル（一般的にＡＶと呼ばれ、自動車、トラック、バス、特殊用途向けの地上走行ビークル、水中ビークル、ドローン又はその他の飛行体を含むが、これらに限定されない）は、コンピュータによる制御を利用して、ビークル運転の少なくとも幾つかの側面を自動化する。これらの中で最もよく知られているのは、恐らく、速度制御と車線維持である。速度センサのような従来のセンサに加えて、ＡＶは通常、知覚システムへデータを提供するために（例えば、ビークル、歩行者、その他の物体、道路、インフラストラクチャや天候などの運転環境の状況の検出、分類、及び予測）、カメラ（可視光、赤外線）、ＬＩＤＡＲ、レーダー、超音波音響センサやその他の同様なセンサのような外部環境センサに依存している。人間は、経時的なビークル制御の一部として（例えば、人間がビークルのハンドルを制御する一方で、ビークルが速度を保つ）、又は、自律性の安全管理者としてＡＶ制御システムの一部であってよく、或いは、ビークルが完全に自律的であってよい。
【0004】
限定ではないが、完全に人間が運転するビークルを含めた人間の関与の程度に関係なく、ビークルが安全に動作しているか否かを判定するための自動モニターがあると有利である。このような監視機能を構築しようと試みる戦略の１つは、リアルタイムで衝突を回避するために、イスラエルのエルサレムにあるＭｏｂｉｌｅｙｅ Ｖｉｓｉｏｎ Ｔｅｃｈｎｏｌｏｇｉｅｓ ＬＴＤ．によるＭｏｂｉｌｅｙｅの先進運転支援システム（Ｍｏｂｉｌｅｙｅ Ａｄｖａｎｃｅｄ Ｄｒｉｖｅｒ Ａｓｓｉｓｔａｎｃｅ Ｓｙｓｔｅｍ）（ＭＡＤＡＳ）等の、知覚に基づく運転者挙動監視システム（Ｄｒｉｖｅｒ Ｐｅｒｆｏｒｍａｎｃｅ Ｍｏｎｉｔｏｒｉｎｇ Ｓｙｓｔｅｍ）（ＤＰＭＳ）を用いることである。このようなシステムは、ＡＶの知覚性能と同様の知覚性能を用いて、ビークルが安全に運転されているか否かを判定する。例えば、ＤＰＭＳは、先行ビークルと保護されているビークル（「自」ビークル）との追従距離を監視し、ビークル速度及び追従距離等に基づいて、距離が近すぎて安全ではないと判定される場合には、アラートを発したり、制御を行ってよい。
【0005】
このようなシステムにとって「安全」と見なされる追従距離は、定着している大まかな追従距離（例えば、初心者向け運転免許訓練教材で一般的に取り上げられる２秒車間ルール）によって決定されてよい。或いは、道路形状や動作上の要因等の追加の情報を必要とする、責任感知型安全論（Responsitility-Sensitive Safety）（ＲＳＳ）のアルゴリズムのような、更に具体的なアルゴリズムアプローチを用いることによって、追従距離が監視されてよい。しかしながら、ＲＳＳを使用するシステムは、たとえシステムがＲＳＳの安全規則に従っていたとしても、そうでなければ安全であるシステムを安全でないものに変えてしまう可能性のある環境状況を考慮しないことがある。
【0006】
その他の自動安全システムは、高速道路上で高速で他の車両を追従する場合等、特定の状況における運行挙動を最適化する必要があるが、それらシステムは従来、気温、天候条件、又は経験的データ等の、実際の状況に関する利用可能なデータ及び情報の全てを最大限に活用してこなかった。従って、これらの安全システムは、ビークルが現在遭遇しているかもしれない特別な状況の組についてではなく、幅広い可能性についてビークルを安全に保とうとする画一的なアプローチで設計される。このアプローチでは、大抵の状況に適さない過度に慎重な動作によって、実際には使いたくないビークルになってしまう。
【0007】
ビークル制御システムの状態及び周辺環境の両方に関するセンサデータを使用して、安全であるだけでなく、状況によって許容的なベースラインの動作パラダイムを作成することによって、ビークルの動作を管理する方法が必要とされている。そして、システムが適切に訓練されている既知の条件のセットにビークルが遭遇する場合、ビークルの動作安全許容範囲が拡大されて、これらの条件下でのパフォーマンスが最大化される。
【発明の概要】
【0008】
第１の態様では、運行設計領域（ＯＤＤ）内で動作するように設計されたビークルの許容性を改善するためのコンピュータ実装方法が提供される。ＯＤＤは、複数のサブセット、即ち「マイクロＯＤＤ」に分割され、各マイクロＯＤＤは、異なる動作状況に対応している。次に、許容可能なビークルの動作特性に関する規則を備える安全許容範囲が、各マイクロＯＤＤについて計算される。センサデータが受信されて、ビークルの現在のマイクロＯＤＤを決定するために用いられて、適切な安全許容範囲規則がその動作に適用される。
【0009】
幾つかの実施形態では、安全許容範囲の違反についてビークルの動作が監視され、必要であれば、ビークル安全機能が作動してよい。他の実施形態では、少なくとも以前に収集されたデータ、地理的位置及び天候条件に基づいて、ベイズモデル等の確率モデルが用いられて、適切なマイクロＯＤＤの決定が支援される。
【0010】
他の幾つかの実施形態では、コンピュータ実装方法は、データ入力の変化に基づいて新たなマイクロＯＤＤを計算して、現在のマイクロＯＤＤから新たなマイクロＯＤＤに遷移することを更に含む。この遷移ステップは、ビークルが新たなマイクロＯＤＤの安全許容範囲に関連する新たな安全規則に違反しないように、ビークルの動作特性を変更することを含む。
【0011】
更に別の実施形態では、コンピュータ実装方法は、最適化ステップを更に含んでおり、許容性が所定の閾値を超えて減少するまで、マイクロＯＤＤ内の動作環境が拡大されて、安全許容範囲が再計算される。
【0012】
第２の態様では、運行設計領域（ＯＤＤ）内で動作するように設計されたビークルの許容性を改善するためのシステムが提供される。システムは、メモリ又はその他のデータ格納機構と１又は複数のプロセッサとを備えており、これらは、上記の方法のステップを実行するために互いに連携して動作する。
【0013】
第３の態様では、非一時的なコンピュータ可読媒体が提供され、当該媒体は、コンピュータによって実行されると、運行設計領域（ＯＤＤ）内で動作するように設計されており、センサデータを収集する自律ビークル制御システムを有するビークルの許容性を改善するための方法をコンピュータに行わせる指示を含む。それらの指示は、コンピュータによって実行されると、上記の方法のステップを行う。
【図面の簡単な説明】
【0014】
【0015】
【0016】
【0017】
【0018】
【0019】
【発明を実施するための形態】
【0020】
本開示は、自律運転ビークル及び半自律運転ビークルの動作を安全に管理するための新規な方法を用いた自律運転ビークル動作システムに関する。概して、ビークルが対処するように設計されている全ての可能な動作環境のセット（「運行設計領域」、即ち「ＯＤＤ」）は、異なるタイプの動作環境を表す複数のサブセット（「マイクロＯＤＤ」）に細分化される。各マイクロＯＤＤは、地理的な位置、動作シナリオ（例えば、路面形状、他のビークルの位置や動き等）、及び天候等の因子を含む。因子は、要約されて記述されてよい。マイクロＯＤＤの要約の例として、「晴れた日のピッツバーグのダウンタウンシティストリート」及び「雨の日のペンシルバニアのインターステートハイウェイＩ－８０」が挙げられる。
【0021】
マイクロＯＤＤの違いによってビークルに異なる動作特性を割り当てるのではなく、システムは、ビークルが基本的に全てのマイクロＯＤＤで安全に動作できるが、許容性が組み込まれるように設計されている。許容性の一例としては、ビークルがある既知のマイクロＯＤＤ内にあると判定される場合、パフォーマンス（例えば、速度）が、安全性を損なわずにマイクロＯＤＤについて最適化される。
【0022】
幾つかの実施形態では、各マイクロＯＤＤ内のワーストケース動作ポイントについて安全許容範囲が導かれる。ビークルの動作中、ベイズのモデル又はアルゴリズム等の確率的モデル又はアルゴリズムを用いて、現在有効なマイクロＯＤＤが選択されてよい。その後、現在の動作環境に対応するために選択されたマイクロＯＤＤがある場合には、マイクロＯＤＤは、対応する安全許容範囲のセットを作動させて、確かな安全性に支障を来すことなく最大限の許容性を提供する。許容性とは、ビークルが、如何なる安全上の制約にも違反せずに動作の自由を許容される度合いである。安全許容範囲が大きいと、許容性は高くなり、安全許容範囲が小さいと、許容性が低くなる。例えば、時速５０マイルまでの速度で安全に動作可能なビークルモードは、時速２５マイルまでの速度でのみ安全性が保証されるビークルモードよりも速度許容性が高い。
【0023】
マイクロＯＤＤ遷移マネージャは、現在使用しているマイクロＯＤＤの状態及びセンサ入力を用いて、ビークルが世界を移動する際のマイクロＯＤＤ間の遷移を行う。挙動違反検知器は、現在のマイクロＯＤＤの状態に応じて適用される規則（安全許容範囲の定義）に基づいて、安全許容範囲の違反を検知する。
【0024】
上記のように、各マイクロＯＤＤには、そのマイクロＯＤＤの境界内に、ＡＶの安全な動作が証明されたワーストケースポイントが予め設定されており、これによって、選択されたマイクロＯＤＤと対応する安全許容範囲とが実際に環境に対応する限りにおいて、各マイクロＯＤＤに関連する安全許容範囲が安全性を保証することが証明されている。マイクロＯＤＤの選択に対するベイズの確率的アプローチは、現在のマイクロＯＤＤに関する事前予想のセットを用いて、条件又は動作状況が変化する際に次のマイクロＯＤＤへの遷移の選択を誘導する。両立しない可能性のある安全許容範囲を有するマイクロＯＤＤ間の遷移中、安全性又はベストエフォートによる合理的な動作を保証するために、特別な遷移の安全許容範囲の定義が用いられる。
【0025】
図１乃至図２は、全体を通して符号１０によって示されるＡＶコンピュータシステムを図示している。ＡＶコンピュータシステム１０は、外部記憶装置１２に結合されてよく、複数のセンサ入力１５とＯＤＤ１６とを有するＡＶ制御システム１４を実装するように構成されてよい。この例示的な実施形態において、ＯＤＤ１６は、地理的位置の軸１８、天候の軸２０、及び動作シナリオの軸２２で指定される複数の因子を有してよい。
【0026】
ＯＤＤ１６は、ビークルが動作する外部環境の状態空間を表す。許容され得るＯＤＤ１６の全体は、システムが動作するように設計されている全てのクロスプロダクト（cross-product）軸の値のセットを表す。ＡＶ制御システム１４はＯＤＤ１６を超えて動作するように意図されておらず、ＯＤＤ１６は、ビークルが動作することが意図されている全ての条件のセットを表している。
【0027】
軸（即ち、地理的位置の軸１８、天候の軸２０、及び／又は動作シナリオの軸２２）は、規則的な値ではなく、不規則な、及び／又は、相対的カテゴリの次元を用いて示されよく、又は、「湿気が多い」対「乾燥した」気候のような「ビン（bins）」のセットを用いて示されてよい。図２には３つの次元が示されているが、通常は、ビークルが工事現場に入ったか否か、又は、突風降雪があるか否か等、システムの設計に関連し得る追加の次元がある。
【0028】
安全許容範囲はまた、ＡＶコンピュータシステム１０に組み込まれており、ＯＤＤ１６に関連付けて理解することができる。安全許容範囲は、システムの状態空間における境界であって、安全なシステム状態（即ち、安全許容範囲内）を安全でないシステム状態（即ち、安全許容範囲外）から分離する。安全許容範囲は、想定、所望のシステム動作許容性、及び環境パラメータに応じて、１次元（例えば、追従距離）又は多次元（例えば、速度と追従距離の組合せ）であってよい。幾つかの実施形態では、安全許容範囲は、部分的な安全性を確保するに留まってよく、これは、各安全許容範囲は、システム全体の状態空間を決定する因子のサブセットのみを考慮しており、安全許容範囲のセットは、全体として状態空間の大部分に対応することを意味する。
【0029】
安全許容範囲は、システムの状態とシステムが動作する環境状況との両方に依存してよい。幾つかの実施形態では、ニュートン力学を用いて先行ビークルの後方の安全な追従距離が決定されてよい。このような実施形態では、追従距離が近すぎると、安全許容範囲が抜け出られる又は違反されることがある。他の実施形態では、得られるＡＶ制御システム１４が適切に安全である限り、安全許容範囲が、経験的又は実験的方法、工学的推定によって、或いは、「大まかなやり方（rules of thumb）」を通して決定されてよい。
【0030】
ＯＤＤ１６と１又は複数の安全許容範囲のセットとの違いは、ＯＤＤ１６が環境の状態を参照して規定されるのに対し、安全許容範囲はＡＶシステムの状態を参照して規定されることである。このタイプのアプローチでは、安全なビークルは、ＯＤＤ１６内で動作する一方で、規定された安全許容範囲内に留まる。これは、安全なビークルは、ＯＤＤ１６のコンテキストで動作する間は、このようなビークルの内部状態に課せられた安全上の制限を超えないことを意味する。
【0031】
安全許容範囲を用いるシステムに課せられるべき重要な制限は、ＯＤＤ１６の範囲と許容性との反比例の関係である。ＯＤＤの範囲が増大するにつれて、ＯＤＤ全体をカバーする安全許容範囲については許容性が縮小する。このような制限は、実際にはワーストケースの制限に遭遇することがほとんどなくても、システム状態空間の全ての可能な側面についてワーストケースの制限を組み込むことによって、安全許容範囲がより限定的になる傾向があるために生じる。例として、乗用車が走行する見通しのよい乾燥した道路での追従距離は、先行車両が緊急制動する事態に対して自車のブレーキを開始する反応時間が敏速である場合には、比較的近くてよい。ＯＤＤ全体にわたる安全許容範囲については、追従距離は、ＯＤＤ１６が環境条件を含むように拡張される場合には増加しなければならず、環境条件には、視認性の制限、他のセンサの干渉、道路の凍結箇所、トラック／自動車／バイクが混在する交通、急勾配、及び、安全を確保するためにより広い追従距離を必要とする他の同様の条件等がある。このようなシステムは、現在の動作条件がより好ましいものであっても、ビークルをＯＤＤ１６全体で最悪の条件に応じて動作させることによって、安全な追従距離及び可能な最大速度に関するビークルの許容性を収縮させる。
【0032】
安全許容範囲を使用する従来のシステムに課せられる必要があるもう一つの重要な制限は、如何なる安全性の証明も環境特性（他のビークルの特性も含む）に依存するということである。このような環境特性は、不確実なものであり、確率的でさえある。例えば、路面摩擦係数値、並びに、他のビークルの速度及び予測される最大ブレーキ減速特性は、本質的にある程度の不正確さ及び誤りを含む測定結果及び推測に基づくものである。
【0033】
図３は、全体を通して符号１００によって示されるＯＤＤを図示したものであり、ＯＤＤは、複数のマイクロＯＤＤ１１０～１２２に分割される。ＯＤＤ１００は、図２に示すＯＤＤ１６のように、複数の因子を含む多次元ＯＤＤである。この例示的な実施形態において、ＯＤＤ１００は、２つの軸１２４～１２６に沿って示す２つの次元を含む。軸１２４は、次元Ｘを表す。軸１２６は、次元Ｙを表す。
【0034】
マイクロＯＤＤ１１０～１２２は外側境界線１２８～１４０を含み、これらは各マイクロＯＤＤの範囲を表現している。マイクロＯＤＤは、他のマイクロＯＤＤと部分的又は全体的に重複してよい。例えば、マイクロＯＤＤ１１４は、ＯＤＤ１００のサブセットであり、境界線１３２によって表されている。また、マイクロＯＤＤ１１２は、マイクロＯＤＤ１１４の更なるサブセットであり、境界線１３０によって表されている。マイクロＯＤＤ１１６はＯＤＤ１００全体を含んでおり、境界線１３４は、ＯＤＤ１００の境界線と同一である。マイクロＯＤＤ１１０～１２２によってカバーされない領域１４２は、無効であって、ＯＤＤ１００の外側にある。
【0035】
マイクロＯＤＤ１１０～１２２は、ＯＤＤ１００のサブセットを表しており、以下の例示的な特徴を有してよい：（ｉ）ＯＤＤ１００のサブセットである規定された境界線のセット；（ii）集合的にＯＤＤ１００の空間をカバーすること；（iii）１又は複数のマイクロＯＤＤ１１０～１２２であって、１又は複数のＯＤＤ因子に関して規定されており、ＯＤＤ因子の全て又はＯＤＤ因子のサブセットの全てを含む；（iv）マイクロＯＤＤ１１０～１２２の各々は、１又は複数の安全許容範囲と関連付けられる；（ｖ）１又は複数のマイクロＯＤＤ１１０～１２２は、その境界内に指定された「ワーストケース」ポイントを含む；（ｖ）１又は複数のマイクロＯＤＤ１１０～１２２に関連した安全許容範囲は、特定のマイクロＯＤＤ内の全てのポイントについて安全なシステム状態空間が実現されることが証明又は示されており、これによって、安全許容範囲が特定のマイクロＯＤＤのワーストケースポイントでの安全を保証することを示すことができる。
【0036】
図３に示すように、マイクロＯＤＤ１１０～１２２の各々は、マイクロＯＤＤ１１０～１２２の１つの中にある特定のポイントに対応し得る、複数のワーストケースポイント１４４～１５６の１つを有する。ワーストケースポイント１４４～１５６の各々は、対応するマイクロＯＤＤに関連する１又は複数の安全許容範囲に関するワーストケースを表すように予め決められてよい。幾つかの実施形態では、ワーストケースポイント１４４～１５６は、システムが設計されている際に決定される。ワーストケースポイント（例えば、１４４）の使用例では、関連するマイクロＯＤＤ１１０の安全許容範囲の許容性が、その特定のワーストケースポイント１４４における安全性の要件に基づいて設定されて、その安全許容範囲が、マイクロＯＤＤの境界線１２８内の対応するマイクロＯＤＤ１１０内にある他の全てのポイントについて適切な安全性を提供することが保証される。
【0037】
実例として、マイクロＯＤＤ１１０～１２２の１つは以下の因子を含んでよい：道路勾配が略水平であること、実質的にカーブがないこと、舗装道路が乾燥していること、路面凍結の恐れがないこと、アクセスが制限されたハイウェイであること、視認度が制限されないこと、センサ干渉がないこと、及び、１キロメートル以内の同一又は隣接する車線にビークルがないこと。これらのパラメータの何れかを調整することによって、例えば、近くに迫っている高架橋に影響を及ぼす凍結条件に起因した道路凍結の予想を除いた上記のパラメータを含むマイクロＯＤＤのような、異なるマイクロＯＤＤにシステムを切り替えることができる。
【0038】
マイクロＯＤＤ１１０～１２２の境界線１２８～１４０は、全般的な停止能力（例えば、乾燥対雨天対雪）、ビークル間での路面摩擦の相違（例えば、表面タイプ、凍結箇所、こぼれ（spills））、ビークル間での道路勾配の相違（例えば、先行ビークルが上り勾配、後続車が谷に向けて下り勾配）、先行ビークルの最大ブレーキ能力（例えば、工場出荷時のブレーキからのアップグレード）、自ビークルの最大ブレーキ能力（機械的摩耗、湿式ブレーキ等による低下したブレーキ能力）を含み得る因子に応じて決定されてよい。
【0039】
マイクロＯＤＤ１１０～１２２の境界線１２８～１４０を決定するための更なる因子は、ビークルの重量配分、タイヤの状態、ブレーキの状態、強風、路面処理、照明（昼間／夜間、太陽のまぶしさ）、視認性（霧、煙）、その他の路面特性（傾斜、砂、砂利）、並びに、安全性に関わるリスク影響度及びビークル性能に影響を及ぼす他の任意の環境因子又は自ビークルの因子も含んでよい。これらの因子は、マイクロＯＤＤの定義において、又は、ワーストケース想定の管理を通して考慮されてよい。これらの因子は、マイクロＯＤＤをセットすることが、ＯＤＤのサブセット化と、自ビークルの状態及び性能の範囲のサブセット化との両方に応じて行われてよいことを示していることに留意のこと。
【0040】
ビークルの動作空間全体は、相当数のマイクロＯＤＤに分割でき、それらはマイクロＯＤＤ１１０～１２２に一致してよい。マイクロＯＤＤ１１０～１２２は、図３に示す空間を完全にカバーしてよい。このような例では、マイクロＯＤＤ１１０～１２２の１つの簡略化された記載は、「舗装された道路、華氏５０～７５度、乾燥、１パーセント未満の勾配、１ｇを超えない他ビークルのブレーキ、衝突回避レーダー機能、衝突回避ライダー機能、定格容量の９０パーセントを超える自己ブレーキ性能、毎時４０～６０マイルの自ビークルの速度」であってよい。
【0041】
マイクロＯＤＤ１１０～１２２は、通常、異なるサイズ及び／又は形状を有する。マイクロＯＤＤ１１０～１２２は、他のマイクロＯＤＤに囲まれてよい（例えば、マイクロＯＤＤ１２０はマイクロＯＤＤ１２２に囲まれている）。別の実施形態では、ＯＤＤ１００は、同じサイズ及び形状のマイクロＯＤＤで空間の均一なタイリング（tiling）で配置されたマイクロＯＤＤ１１０～１２２を有することが考えられる。更に別の実施形態では、マイクロＯＤＤ１１０～１２２は、動作の効率性と設計プロセスの効率性の両方のために最適化される。最適化されたアプローチは、図３に示すように、マイクロＯＤＤ１１０～１２２の不規則で、不均一な配列をもたらすことがある。
【0042】
図４は、全体を通して符号２００によって示される動作環境を示しており、当該動作環境は、マイクロＯＤＤ定義ストア２１２の形態の処理要素に結合されたマイクロＯＤＤ遷移マネージャ２１０を含む。動作環境２００は、マイクロＯＤＤ挙動規則ストア２１６とマイクロＯＤＤ遷移挙動規則ストア２１８とに結合された挙動違反検知器２１４の形態の処理要素を更に含む。マイクロＯＤＤ遷移マネージャ２１０は、知覚センサデータ入力２２０、ビークル状態及び動作データ入力２２２、ビークル間及びビークル－インフラストラクチャ間入力２２４、地図及びインフラストラクチャ入力２２６、並びにその他の入力及び／又はセンサデータを処理する。マイクロＯＤＤ遷移マネージャ２１０は、マイクロＯＤＤ状態及びセンサデータ２２８を作成する。
【0043】
マイクロＯＤＤの遷移の安全性は、マイクロＯＤＤ遷移挙動規則ストア２１８に格納された遷移規則の個別のセットを有することによって対処される。幾つかの実施形態では、マイクロＯＤＤ遷移挙動規則ストア２１８は、対になった遷移規則を有してよく、当該規則は、ＸＭＬの形式にコード化され、１又は複数の特定のマイクロＯＤＤの開始点及び終了点を特定する。
【0044】
更に、マイクロＯＤＤ遷移挙動規則ストア２１８は、マイクロＯＤＤの１又は複数の特定のペア間での遷移を達成するために、遷移安全許容範囲及び適時性基準を含んでよい。互換性の問題を呈さないマイクロＯＤＤの遷移は省略でき、その結果、マイクロＯＤＤ挙動規則ストア２１６からの非遷移マイクロＯＤＤ規則のみに依存することになる可能性がある。
【0045】
幾つかの実施形態では、５０メートルの追従距離を規定するマイクロＯＤＤから、１００メートルの追従距離を規定するマイクロＯＤＤへの変更は、ワーストケース評価に基づいてよい。この変更は、傾斜許容範囲を有する遷移許容範囲を作成することによって実行されてよく、当該傾斜許容範囲は、１秒間の５０メートルの最小追従距離から始まって、遷移の開始後５秒間で１００メートルの追従距離へと直線的に増加する。そして、５秒間の最後に、１００メートルの追従距離の非遷移安全許容範囲への変更が完了される。
【0046】
このような遷移機能の安全性の証明は、システム設計及び動作状況に依存するであろう。マイクロＯＤＤ間におけるビークルが引き起こした変更について、安全性は、互換性のある隣接するマイクロＯＤＤによって保証され、当該マイクロＯＤＤは、遷移前のマイクロＯＤＤの安全許容範囲の共通部分に適合する。外部から課されたマイクロＯＤＤ遷移（例えば、通常は氷が形成されない天候で、予期せぬ凍結路面にぶつかった場合）では、遷移機能は、安全性が証明された状況からＯＤＤが強制的に出された後、限られた時間内でのベストエフォートで、安定した安全動作状態空間を回復させてよい。
【0047】
マイクロＯＤＤ間の遷移を可能にする別の方法は、既知のライドスルー技術を用いることであり、これは、安全許容範囲の軽微な違反についてのアラートを遅らせる一方で、システムが、新たなマイクロＯＤＤの安全許容範囲の制限に適応するために内部状態を変更することを含む。
【0048】
図４に示すように、動作環境２００は、知覚センサデータ入力２２０、ビークル状態及び動作データ入力２２２、ビークル間及びビークル－インフラストラクチャ間入力２２４、並びに、地図及びインフラストラクチャ入力２２６のようなデータ入力を含む。
【0049】
マイクロＯＤＤ遷移マネージャ２１０は、知覚センサデータ入力２２０、ビークル状態及び動作データ入力２２２、ビークル間ビークル及びビークル－インフラストラクチャ間入力２２４、地図及びインフラストラクチャ入力２２６、及び、その他の入力及び／又はセンサデータを、現在使用しているマイクロＯＤＤの内部記録と共に処理し、好ましくはビークルの時定数よりも速い周期リアルタイムベース（ある実施形態では、５０ミリ秒毎に）で、新たなマイクロＯＤＤを計算してよい。マイクロＯＤＤ遷移マネージャ２１０の出力は、以前の計算サイクルからの現在のマイクロＯＤＤと、現在の計算サイクルからの次のマイクロＯＤＤと、マイクロＯＤＤの状態及びセンサデータ２２８内でビークルの他の部分及び挙動違反検知器２１４によって必要とされるかもしれない関連するセンサデータのコピーとを含んでよい。
【0050】
挙動違反検知器２１４は、マイクロＯＤＤ状態及び現在のセンサのデータ２２８を、安全許容範囲情報の適切なセットと比較してよい。幾つかの実施形態では、挙動違反検知器２１４は、未変更のマイクロＯＤＤについては、マイクロＯＤＤ挙動規則ストア２１６にアクセスしてよく、新しく変更されたマイクロＯＤＤについては、マイクロＯＤＤ遷移挙動規則ストア２１８にアクセスしてよい。挙動違反検知器２１４は、遷移の時間値の間マイクロＯＤＤの変更を追跡し、遷移規則のタイムラインに従って遷移挙動規則から非遷移挙動規則へと戻す。
【0051】
挙動規則違反が検知される場合、動作環境２００は、システムが１又は複数の安全許容範囲を違反したことを知らせるアラート２３０を発出することができる。動作環境２００は、ログデータ２３２を格納することができる。
【0052】
図３乃至図４を参照すると、マイクロＯＤＤ１１０～１２２の形状の最適化は、システムの最も一般的な動作モードを検討して、一般的な動作モード用の比較的小さなマイクロＯＤＤを作成して、許容性を増大することによって行われてよい。通常でない動作条件については、許容性の低減という犠牲を払って、より大きな、粗いマイクロＯＤＤが用いられる。より大きな、粗いマイクロＯＤＤの使用は、設計の縮小と、ＯＤＤのより大きな部分をカバーするための分析の負荷の軽減という利点をもたらし、マイクロＯＤＤが故障機器を含む状態での動作を可能にする範囲で冗長なセンサのコストを低減することができる。
【0053】
一般に、マイクロＯＤＤ１１０～１２２のサイズは、システムの許容性に影響を与える。これは、より大きなサイズのマイクロＯＤＤは、環境状態空間のより大きな範囲を含むからである。その結果として、より大きなマイクロＯＤＤを含むシステムは、より悲観的なワーストケース想定を用いると推測される。
【0054】
幾つかの実施形態では、マイクロＯＤＤ１１０～１２２の１つ、例えばマイクロＯＤＤ１１０は、（視認性障害、無線周波の干渉、機器の故障、又はこれらの幾つかの組合せに起因した）「電磁スペクトルのゼロ視認性」を有しており、路面形状などの他のパラメータの何れも制約されない。このような実施形態では、マイクロＯＤＤ１１０は大きいと考えられる。何故ならば、マイクロＯＤＤ１１０は、ＯＤＤ１００のほとんどの側面について、制約なく且つ非許容なままにするからである。
【0055】
このような実施形態におけるマイクロＯＤＤ１１０は、ワーストケースの勾配、道路のカーブ、凍結路面、検出されない中型車、及び、このような実施形態における他の同様な因子を含んでよい。ＯＤＤ１００が実装されたビークルは、近距離の超音波パーキングセンサによる障害物回避のみに頼るとインチングすることになるであろう。このような動作状況は非常に稀であると予想されることから、このような実装に関する許容性の低下は、このような稀な動作シナリオにおけるＯＤＤ因子の全範囲の分析を回避するために許容できる工学的トレードオフを表している。
【0056】
図３に示すＯＤＤ１００の実装において更に考察されるのは、マイクロＯＤＤ１１０～１２２間の遷移である。マイクロＯＤＤ１１０～１２２間の遷移は、有効な想定を管理して、安全許容範囲を単純化し、且つ許容性を増大させることを含む。一般に、好ましい想定もあれば、好ましくない想定もある。例えば、多くの場合、乾燥した道路が最も好ましい。湿った道路はあまり好ましくなく、凍結した道路は最も好ましくない。
【0057】
マイクロＯＤＤ１１０～１２２は、図1に示すＡＶ制御システム１４等のシステムに、マイクロＯＤＤ１１０～１２２のうちで現在の状況に適合する最も許容性の高いものに遷移することで安全を管理する能力を提供することができる。例えば、システムは、水が検知される（又は、天気予報機関が、間もなく道路が濡れることを予報する）まで、マイクロＯＤＤ１１０～１２２のうちの一つを用いて乾いた道路で動作し、その後、濡れた道路用に特に構成されたマイクロＯＤＤ１１０～１２２のうちの別の一つに遷移してよい。
【0058】
マイクロＯＤＤ１１０～１２２を使用することによって、安全許容範囲チェッカーの実装及び検証を単純化することができる。これは、このようなマイクロＯＤＤが、非常に複雑な物理学、ビークルダイナミクス、及び他の因子を考慮する必要がないからである。幾つかの実装では、マイクロＯＤＤ１１０～１２２の一つには、高精度の安全許容範囲チェックデバイスによって履行される動作安全パラメータを有するルックアップ表が実装されてよい。このアプローチは、場合によっては複雑な計算を、実行時から設計時へと移動させて、設計時の計算によって、ワーストケースポイント１４４～１５６が決定され、実装される各マイクロＯＤＤについて対応する所定の安全許容範囲がルックアップ表を介して定義される。
【0059】
別の実施形態では、マイクロＯＤＤ１１０～１２２は、一定の追従距離（又は追従時間）を有するように構成されてよく、当該追従距離は、各マイクロＯＤＤ１１０～１２２内における全ての可能な状況をカバーする。このような実施形態における追従距離の変更は、マイクロＯＤＤ１１０～１２２間の遷移によって行われる。
【0060】
他の幾つかの実施形態では、安全許容範囲を実現するために、ＯＤＤ１００が、実行時に数学的方程式を用いるように構成されてよいが、これらの方程式は、ＯＤＤ１００がマイクロＯＤＤ１１０～１２２を選択する機構に暗黙的にエンコードされた想定によって単純化されてよい。このような実施形態では、マイクロＯＤＤ１１０～１２２のうちの特定の一つが実装されている場合に有効であることが知られている想定は、予め決定又は特定できる。その結果、実行時にて、例えば、現在アクティブなマイクロＯＤＤと関係のない環境因子を組み込んだ項を無視した低次の安全許容範囲計算式が評価されることになる。
【0061】
マイクロＯＤＤ１１０～１２２を最適化するためのこの例示的な手法は、良好な環境条件のインターステートハイウェイにおける時速５５マイルの単一の動作ポイントのような、頻出することが予想される価値の高いシステム動作ポイントを選択することを含んでよい。その後、マイクロＯＤＤの状態空間のサイズは、徐々に制約を緩和することによって、繰り返し増大されてよい。
【0062】
このような実装のプロセスでは、僅かな傾斜、僅かな視認性の低減、及び僅かな速度変化が考慮されてよい。最適化プロセスにおける各繰り返しでは、図１に示すＡＶ制御システム１４のようなシステムは、ワーストケースポイント１４４～１５６から、立証可能な安全許容範囲に最も厳しい制約を課すワーストケースポイントを決定してよい。許容追従距離が１％減少する等、安全許容範囲が所定の閾値以上に動作効率を損なう場合には、システムは反復を中止し、得られたマイクロＯＤＤの境界を外側の境界線１２８～１４０内から固定できる。
【0063】
最適化プロセスは、図３に示すようなワーストケースポイント１４６、１５２、及び１５４を有するマイクロＯＤＤ１１２、１１８、及び１２０のような、場合によっては一部又は全てがマイクロＯＤＤと重複するセットを作成するように実施されてよい。次に、カットオフ閾値のより大きな境界を有する二次的な動作ポイントを含む別のマイクロＯＤＤ１１０及び１１４のセットは、マイクロＯＤＤ１１２、１１８、及び１２０を潜在的に含んでよい。この全ての手順は、集積されたマイクロＯＤＤ１１０～１２２のセットにＯＤＤ１００全体が含められるまで、又は、価値のある最適化が全て完了したと見なされるまで、連続的に重要度が低下する動作ポイントと連続的により大きくなる閾値とを用いて繰り返されてよい。
【0064】
最適化の最後のステップは、マイクロＯＤＤ１１０～１２２のうちでワーストケースのフォールバック（fallback）を作ることを含んでよく、当該フォールバックは、そうでなければマイクロＯＤＤ１１６に割り当てられていないＯＤＤ１００全体を含む。
【0065】
マイクロＯＤＤ１１０～１２２のセットが上記の方法で構築されると、外側の境界線１２８～１４０を含む全てのマイクロＯＤＤ境界線のリストが作成され、それは、セットとしてＯＤＤ１００全体を含む。リストは、図４に示すマイクロＯＤＤ定義データストア２１２のようなマイクロＯＤＤ定義データストアに、環境空間の機械読み取り可能な表現で（好ましくはＸＭＬファイルとして）配置されることが好ましい。
【0066】
図３に示すように、ワーストケースポイント１４４～１５６は、マイクロＯＤＤ作成プロセスにおいて、安全許容範囲の定義の導出又は作成と共に特定される。安全許容範囲の定義は、外側の境界線１２８～１４０に見合った制約及び想定を有するＲＳＳを用いて数学的に導かれてよい。或いは、安全許容範囲は、シミュレータを用いたマイクロＯＤＤ空間の調査によって、及び／又は、人間ドライバーの教育資料において広く普及している、追従距離の「２秒規則」等の経験則を手動で適用することによって構築されてよい。得られた安全許容範囲の定義は、図４に示すマイクロＯＤＤ挙動規則ストア２１８のようなマイクロＯＤＤ挙動規則ストアにおけるシステム状態空間の機械読み取り可能な表現で（好ましくはＸＭＬファイルとして）配置されるのが好ましい。
【0067】
幾つかの実施形態では、安全な挙動が、図１に示すＡＶ制御システム１４等のシステムがマイクロＯＤＤ１１０～１２２の間で遷移するのに要する時間内に定義されてよい。例えば、マイクロＯＤＤ１１２内で動作するビークルは、１回の評価サイクルで、軸１２４に沿った値が僅かに変化して、マイクロＯＤＤ１１０に遷移してよく、軸１２６に沿った値が僅かに変化してマイクロＯＤＤ１１４に遷移してよい。このような遷移を行う能力は、マイクロＯＤＤ内における軸１２４～１２６に沿った初期位置に依存する。マイクロＯＤＤ１１０～１１４は異なるワーストケースポイント１４４～１４８を有するので、マイクロＯＤＤ１１０～１１４の安全許容範囲もまた異なることが予想される。
【0068】
或いは、マイクロＯＤＤ及びワーストケースポイントは、このような遷移について安全許容範囲が重複するように選択されてよい。しかしながら、このアプローチでは、ＯＤＤの僅かな変化が、境界線を越えると安全許容範囲に比較的大きな変化をもたらす可能性があるので、注意が必要である。このような大きな変化は、例えば、冬の運転状況で起こりうる、氷点上から氷点下への小さな温度変化のような、ビークルの動作上の制約における大きな変化に境界線が対応する場合には、望ましいことがある。
【0069】
図５は、全体を通して符号３００によって示される例示的なプロセスを示しており、このプロセスは、図４に示すマイクロＯＤＤ遷移マネージャ２１０のようなマイクロＯＤＤ遷移マネージャの主たる計算ループに対応する。ステップ３１０にて、センサデータが読み込まれて処理される。ステップ３１２にて、現在のマイクロＯＤＤ状態がそのセンサデータと組み合わされて、新たなマイクロＯＤＤ状態が計算される。ステップ３１４にて、候補である新たなマイクロＯＤＤの確率分布が決定される。ステップ３１６にて、新たなマイクロＯＤＤが選択されて、マイクロＯＤＤ状態の一部として送られ、その結果、図４に示すマイクロＯＤＤ状態及びセンサデータ２２８が生成される。
【0070】
マイクロＯＤＤアプローチが意味するところは、センサ入力、知覚アルゴリズム信頼性出力データ、フィルタリングされたデータ等の確率的なデータが組み合わされて、確定的なマイクロＯＤＤを選択するために使用される確率的な値になることである。これにより、マイクロＯＤＤ内の安全性の証明を確実に決定できる一方で、マイクロＯＤＤの選択そのものは、システム動作の不確実性と確率的な側面に左右される。マイクロＯＤＤ選択のステップ３１４は、ベイズ分析を用いて、現在のマイクロＯＤＤ及び他の関連因子に基づいて、新たなマイクロＯＤＤの事前の期待値を設定する。
【0071】
幾つかの実施形態では、マイクロＯＤＤは、日中のスクールゾーンで動作するように実装されてよい。このような実施形態では、マイクロＯＤＤは、子供が突然道路に飛び出してくるという事前予想を用いてよく、この事前予想は、建物から離れた人口の少ない農業地帯を午後３時に運転する事前予想よりも高い。子供が中距離で道路に出てくるという確信度が比較的低いという知覚結果が検出されると、パニック停止のマイクロＯＤＤへの遷移が起こり得る。このような遷移は、第２のシナリオ（夜間の農村地域）と比べて、第１のシナリオ（日中のスクールゾーン）におけるベイズ分析から生じる可能性が高い。
【0072】
図６は、図４に示す挙動違反検知器２１４のような挙動違反検知器の主要なループ動作について、全体を通して符号４００で示される例示的なプロセスを示す。挙動違反検知器２１４は、図４に示すマイクロＯＤＤ遷移マネージャ２１０と協働する。マイクロＯＤＤ遷移マネージャ２１０及び挙動違反検知器２１４は、図１に示すＡＶコンピュータシステム１０内でＡＶ制御システム１４によって実装されてよい。
【0073】
挙動違反検知器は、ステップ４１０において、マイクロＯＤＤ状態と、マイクロＯＤＤ遷移マネージャからのセンサデータを周期的に読み込む。この例示的な実施形態では、マイクロＯＤＤ遷移マネージャは、図４に示すマイクロＯＤＤ遷移マネージャ２１０であってよく、挙動違反検知器は、図４に示す挙動違反検知器２１４であってよく、マイクロＯＤＤ状態及びセンサデータは、図４に示すマイクロＯＤＤ状態及びセンサデータ２２８であってよい。
【0074】
ステップ４１２において、挙動違反検知器は、システム状態を関連する挙動規則と照合する。この例示的な実施形態では、システムは、図１に示すＡＶ制御システムであってよい。
【0075】
ステップ４１２では、挙動違反検知器は、安定状態のマイクロＯＤＤ動作のためにマイクロＯＤＤ挙動規則ストアからの安全許容範囲情報とシステム状態を比較してよく、又は、実行されている特定の遷移について特定の規則が利用可能である場合は、マイクロＯＤＤの遷移時間中に、マイクロＯＤＤ挙動規則ストアからの安全許容範囲情報とシステム状態を比較してよい。この例示的な実施形態では、マイクロＯＤＤ挙動規則は、図４に示すマイクロＯＤＤ挙動規則ストア２１６であってよい。マイクロＯＤＤ遷移挙動規則ストアは、図４に示すマイクロＯＤＤ遷移挙動規則ストア２１８であってよい。
【0076】
ステップ４１４にて、挙動違反検知器は、安全許容範囲の境界線が越えられているか否かを判定してよい。安全許容範囲の境界線が越えられていると判定されると、ステップ４１６にて、挙動違反検知器は、アラートを作動させてよい。この例示的な実施形態では、アラートは、図４に示すアラート２３０の１つに対応してよく、システムが安全でなくなったことをシステムの残りの部分に通知してよい。
【0077】
幾つかの実施形態では、ステップ４１６にて生成されたアラートは、例えば、道路の片側に寄る、緊急停止措置を行う等のビークル安全機能を起動してよい。アラートは、図４に示すマイクロＯＤＤ遷移マネージャ２１０のようなマイクロＯＤＤ遷移マネージャにフィードバックされてよく、これによって、ＯＤＤを緊急安全マイクロＯＤＤへ強制的に遷移させて安全なイベントを効果的にラッチして、一時的な安全性の問題が発生した場合であっても、秩序立った安全なシステムシャットダウンを確実なものにする。
【0078】
本発明は、自律運転ビークルに適用されるのが好ましいが、必要なセンサデータがマイクロＯＤＤ遷移マネージャに通知することが可能である限り、完全に人間が操作するビークルに適用されてもよい。
【0079】
本明細書では、例示的な実施形態及びその具体的な実施例を参照して本発明を説明及び記載してきたが、他の実施形態及び実施例も同様の機能を果たし、及び／又は同様の結果を達成できることは当業者には容易に明らかであろう。このような均等な実施形態及び実施例は全て、本発明の精神及び範囲内にあり、本発明によって予期されており、特許請求の範囲に含まれることが意図されている。
【図1】
【図2】
【図3】
【図4】
【図5】
【図6】
【国際調査報告】