(57)【特許請求の範囲】
【請求項１】
制御出力を生成する制御システムであって、
物理量である操作量に基づいて操作量情報および優先度情報を生成する操作インタフェース部と、
所定の入力に基づいて自動制御出力を生成する自動制御部と、
前記自動制御出力の安全性を確認する安全検証部と、
前記自動制御出力と、前記操作量情報および前記優先度情報と、前記安全検証部による安全性の確認結果とに基づいて、前記自動制御出力または前記操作量情報のいずれかに従う制御出力を出力する出力制御部と、
を備え、
前記出力制御部は、前記優先度情報に基づいて、
前記自動制御出力に従って前記制御出力を生成する、
前記安全検証部が安全性を確認する範囲で、前記操作量情報に従って前記制御出力を生成する、または、
前記安全検証部による安全性の確認結果にかかわらず前記操作量情報に従って前記制御出力を生成する、
制御システム。
【請求項２】
前記出力制御部は、
前記優先度情報に基づいて分類される第１の場合に、前記自動制御出力に従って前記制御出力を生成し、
前記優先度情報に基づいて分類される第２の場合に、前記安全検証部が安全性を確認する範囲で、前記操作量情報に従って前記制御出力を生成し、
前記優先度情報に基づいて分類される第３の場合に、前記安全検証部による安全性の確認結果にかかわらず前記操作量情報に従って前記制御出力を生成する、
請求項１に記載の制御システム。
【請求項３】
前記第１の場合とは、前記優先度情報が所定の第１の値に満たない場合であり、
前記第２の場合とは、前記優先度情報が前記所定の第１の値以上であって、かつ前記所定の第１の値よりも大きく設定された所定の第２の値未満の場合であり、
前記第３の場合とは、前記優先度情報が前記所定の第２の値以上の場合である、
請求項２に記載の制御システム。
【請求項４】
前記出力制御部は、
前記優先度情報が前記所定の第１の値に満たない場合に前記自動制御出力を選択し、前記優先度情報が前記所定の第１の値以上の場合に前記操作量情報を選択する第１の選択部と、
前記安全検証部が前記第１の選択部の出力の安全性を確認した範囲で、前記第１の選択部の出力を出力する安全確認部と、
前記優先度情報が前記所定の第２の値に満たない場合に前記安全確認部の出力を選択し、前記優先度情報が前記所定の第２の値以上の場合に前記操作量情報を選択して出力する第２の選択部と、
を備える、
請求項３に記載の制御システム。
【請求項５】
前記出力制御部は、
前記優先度情報に基づいて、前記自動制御出力に前記操作量情報を加えて出力する第１の加算部と、
前記安全検証部が前記第１の加算部の出力の安全性を確認した範囲で、前記第１の加算部の出力を出力する安全確認部と、
前記優先度情報に基づいて、前記安全検証部により安全性が確認された前記第１の加算部の出力に前記操作量情報を加算して出力する第２の加算部と、
を備える、
請求項１に記載の制御システム。
【請求項６】
前記操作インタフェース部は、
前記操作量が所定の第１の閾値以上の場合は、前記優先度情報を前記所定の第１の値とし、
前記操作量が前記所定の第１の閾値よりも大きい第２の閾値以上の場合は、前記優先度情報を前記所定の第２の値とする、
請求項１〜５のいずれか一項に記載の制御システム。
【請求項７】
前記操作インタフェース部は、
前記操作量の微分値または積分値が第１の閾値以上の場合は、前記優先度を前記所定の第１の値とし、
前記操作量の微分値または積分値が前記所定の第１の閾値よりも大きい第２の閾値以上の場合は、前記優先度情報を前記所定の第２の値とする、
請求項１〜５のいずれか一項に記載の制御システム。
【請求項８】
制御出力を生成する制御方法であって、
物理量である操作量から操作量情報および優先度情報を生成し、
所定の入力に基づいて自動制御出力を生成し、
前記生成された自動制御出力の安全性を確認し、
前記優先度情報に基づいて、前記自動制御出力に従って前記制御出力を生成する、または、前記安全性が確認された範囲で、前記操作量情報に従って前記制御出力を生成する、または、前記安全性の確認結果にかかわらず前記操作量情報に従って前記制御出力を生成する、
制御方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、制御システムおよび制御方法に関する。
【背景技術】
【０００２】
自動運転を初めとする制御の全自動化は、人為的操作を不用とするため、人為的誤りに起因する事故の確率を低減し、安全性を向上させることが可能となる。一方、緊急時には人為的なオーバーライド（操作介入）を可能とすることで、制御装置の故障や想定外の事態が発生した場合の安全性を確保することができる。緊急時には人為的なオーバーライドを可能とする技術として特許文献１が知られている。【０００３】
特許文献１には、「本発明は、車両の周辺に存在する障害物を検知し、検知された障害物を車両が回避するための複数の目標軌跡を生成し、運転者の操作により決定される障害物に対する車両の回避方向を運転者の意思として検出し、生成された複数の目標軌跡から運転者の意思を反映させた回避方向の目標軌跡を選択し、選択された目標軌跡に基づいて障害物を回避する軌跡制御を実行する」ことが開示されている。【０００４】
特許文献２には、「自動運転車両の走行制御計画の安全性を適確に評価することを可能とする走行制御計画評価装置を提供する。自動運転車両の走行制御計画の安全性を評価する走行制御計画評価装置１０である。この装置１０は、ある時刻において自動運転車両の周辺車両が取る可能性がある行動を推定する行動推定手段１６ａと、ある時刻における周辺車両の存在位置と行動推定手段１６ａにより推定した行動とに基づいて、ある時刻より未来の周辺車両の存在位置を予測する存在位置予測手段１６ｂと、存在位置予測手段１６ｂにより予測した周辺車両の存在位置と、自動運転車両の走行制御計画による存在位置とに基づいて、走行制御計画の安全性を評価する評価手段２０と、を備える」ことが開示されている。【０００５】
特許文献３には、「自動運転状態の車両に運転者が一時的に介入する場合に運転者に煩わしさを感じさせることを低減する自動運転車両システムを提供する。システムは、運転者の運転操作の操作量又は運転操作の継続時間に応じた継続カウントを取得する取得部と、自動運転状態、協調運転状態及び手動運転状態を、操作量又は継続カウントに基づいて切り換える切換部と、を備え、切換部は、自動運転状態中に、操作量が介入閾値以上かつ開始閾値未満になったとき、又は継続カウントが第１閾値以上かつ第２閾値未満になったときには、協調運転状態に切り換え、協調運転状態中に、操作量が介入閾値未満になったとき、又は継続カウントが第１閾値未満になったときには、自動運転状態に切り換え、操作量が開始閾値以上になったとき、又は継続カウントが第２閾値以上になったときには、手動運転状態に切り換える」ことが開示されている。
【先行技術文献】
【特許文献】
【０００６】
【特許文献１】特開２０１３−１２９３２８号公報
【特許文献２】特開２００８−１１７０８２号公報
【特許文献３】特開２０１６−１３２３５２号公報
【発明の概要】
【発明が解決しようとする課題】
【０００７】
従来技術では、自動運転状態か、あるいはオーバーライド状態のいずれかを選択できるのみであり、使い勝手が悪い。【０００８】
本発明は、上記課題に鑑みてなされたもので、その目的は、安全性を確認した範囲内で操作インタフェース部の操作量情報に従って制御出力を生成できるようにした制御システムおよび制御方法を提供することにある。
【課題を解決するための手段】
【０００９】
上記課題を解決すべく、本発明の一つの観点に従う制御システムは、制御出力を生成する制御システムであって、物理量である操作量に基づいて操作量情報および優先度情報を生成する操作インタフェース部と、所定の入力に基づいて自動制御出力を生成する自動制御部と、自動制御出力の安全性を確認する安全検証部と、自動制御出力と、操作量情報および優先度情報と、安全検証部による安全性の確認結果とに基づいて、自動制御出力または操作量情報のいずれかに従う制御出力を出力する出力制御部と、を備え、出力制御部は、優先度情報に基づいて、自動制御出力に従って制御出力を生成する、安全検証部が安全性を確認する範囲で、操作量情報に従って制御出力を生成する、または、安全検証部による安全性の確認結果にかかわらず操作量情報に従って制御出力を生成する。
【発明の効果】
【００１０】
本発明によれば、出力制御部は、優先度情報に基づいて、自動制御出力に従って制御出力を生成する、安全検証部が安全性を確認する範囲で、操作量情報に従って制御出力を生成する、または、安全検証部による安全性の確認結果にかかわらず操作量情報に従って制御出力を生成する、のいずれかを実行することができるため、使い勝手が向上する。
【図面の簡単な説明】
【００１１】
【図１】制御システムの全体構成図である。
【図２】第２実施例に係り、制御装置の構成を示すブロック図である。
【図３】第３実施例に係り、制御装置の構成を示すブロック図である。
【図４】第４実施例に係り、操作量と操作量情報および優先度情報との関係を示すグラフである。
【図５】操作量と反力の関係を示すグラフである。
【図６】操作量の大きさ（優先度情報）と制御出力の動作モードとの関係を示す説明図である。
【図７】操作インタフェース部の機構が異なる場合における、操作量と操作量情報および優先度情報との関係を示すグラフである。
【図８】操作インタフェース部のブロック図である。
【図９】操作量、操作量情報、優先度情報、制御出力の関係の時間変化を示すグラフである。
【図１０】第５実施例に係り、操作インタフェース部のブロック図である。
【図１１】第６実施例に係り、操作インタフェース部のブロック図である。
【図１２】第７実施例に係り、操作インタフェース部のブロック図である。
【図１３】第８実施例に係り、操作インタフェース部のブロック図である。
【図１４】操作量の大きさ（優先度情報）と制御出力の動作モードとの関係を示す説明図である。
【図１５】第９実施例に係り、操作インタフェース部の説明図である。
【図１６】第１０実施例に係り、操作インタフェース部の説明図である。
【図１７】第１１実施例に係り、操作インタフェース部の説明図である。
【図１８】第１２実施例に係り、操作インタフェース部の説明図である。
【図１９】第１３実施例に係り、操作インタフェース部を車両の自動運転システムに適用した場合の説明図である。
【図２０】制御装置を車両の自動運転システムに適用した場合の説明図である。
【図２１】障害物を回避する一例を示す説明図である。
【図２２】操作量と制御出力の関係の時間変化を示すグラフである。
【図２３】障害物を回避する他の例を示す説明図である。
【図２４】操作量と制御出力の関係の時間変化を示すグラフである。
【図２５】第１４実施例に係り、操作インタフェース部のブロック図である。
【発明を実施するための形態】
【００１２】
以下、図面に基づいて、本発明の実施の形態を説明する。本実施形態では、後述するように、操作に関するオーバーライドを受け付けるインタフェース（以下、操作インタフェース）１０に、操作量の物理量１１を操作量情報１２に変換する機能と、操作量の物理量１１を操作量情報１２に付随する属性としての優先度情報１３に変換する機能とを持たせる。以下、操作量の物理量を「物理量としての操作量」、「操作量（物理量）」、「操作量」と呼ぶことがある。
【００１３】
本実施形態では、自動制御出力を生成する自動制御部２０と、自動制御出力の安全性を検証する安全検証部３０とを備える。本実施形態では、優先度情報が予め定められた閾値よりも低い場合には、安全検証部３０の制限の下に制御し、優先度情報が予め定められた閾値よりも高い場合には、安全検証部３０の制限を受けずに制御する。
【００１４】
本実施形態によれば、状況に応じて入力されるユーザ操作により、３つの動作モードを自動的に切り替えることができ
自動制御出力に基づいて動作する動作モードと、安全検証部による制限下でオーバーライド（人為的介入操作）動作を許容する動作モードと、安全検証部による制限を受けずにオーバーライド動作を許容する動作モードとの３つの動作モードを切り替えることができるため、ユーザの使い勝手が向上する。本実施形態によれば、緊急時のオーバーライド動作と安全検証部での安全性判断とが異なる場合であっても、状況に応じた適切な制御出力を得ることが可能となる。
【実施例１】
【００１５】
図１を用いて第１実施例を説明する。図１は、制御システム１の全体構成を示すブロック図である。制御システム１は、図１の上側に示す操作インタフェース部１０と、図１の下側に示す制御装置２とを含む。【００１６】
操作インタフェース１０には、図示しないユーザにより、操作量（物理量）１１が入力される。操作インタフェース部１０は、入力された操作量（物理量）１１から、情報としての、操作量情報１２および優先度情報１３を得る。【００１７】
制御装置２は、操作インタフェース部１０に有線または無線で接続され、操作インタフェース部１０から入力される操作量情報１２および優先度情報１３等に基づいて、図外の制御対象を制御するための制御出力６０を生成する。操作インタフェース部１０と制御装置２とは、それぞれ別体に形成してケーブルや通信ネットワーク等で接続してもよいし、または、操作インタフェース部１０と制御装置２とを一体化して形成してもよい。【００１８】
制御装置２は、例えば、自動制御部２０、安全検証部３０、ＡＮＤゲート４０、複数のスイッチＳＷ１，ＳＷ２を備える。ここで、各スイッチＳＷ１，ＳＷ２とＡＮＤゲート４０とが出力制御部３を構成する。【００１９】
自動制御部２０は、所定の入力４に基づいて、制御対象を自動制御するための自動制御出力２１を生成し、その自動制御出力２１を出力する。「第１の選択部」の例である第１スイッチＳＷ１は、優先度情報１３に応じて、複数の入力の中からいずれか一つを選択して出力する。第１スイッチＳＷ１には、自動制御出力２１と、操作量情報１２Ａとが入力される。操作量情報１２Ａは、操作インタフェース部１０から第１スイッチＳＷ１へ入力される操作量情報である。操作量情報１２Ｂは、操作インタフェース部１０から第２スイッチＳＷ２へ入力される操作量情報である。【００２０】
第１スイッチＳＷ１は、操作インタフェース部１０から入力される優先度情報１３と所定の第１の値「１」と比較する。第１スイッチＳＷ１は、優先度情報１３が「１」よりも小さい場合に、自動制御出力２１を選択してＡＮＤゲート４０へ出力する。これに対し、第１スイッチＳＷ１は、優先度情報１３が「１」以上の場合に、操作インタフェース部１０からの操作量情報１２ＡをＡＮＤゲート４０へ出力する。【００２１】
安全検証部３０は、自動制御部２０への入力４と、第１スイッチＳＷ１の出力（自動制御出力２１または操作量情報１２Ａのいずれか）とから、第１スイッチＳＷ１の出力の安全性を検証する。出力の安全性を検証するとは、第１スイッチＳＷ１の出力が図外の制御対象に入力された場合に、制御対象が安全に動作するかを判定することである。【００２２】
安全検証部３０は、第１スイッチＳＷ１の出力が安全であることを確認できた場合、ＡＮＤゲート４０に信号を出力して、ＡＮＤゲート４０が第１スイッチＳＷ１からの入力を出力できるようにする。これに対し、安全検証部３０は、第１スイッチＳＷ１の出力の安全性を確認できない場合、ＡＮＤゲート４０によって、第１スイッチＳＷ１の出力を遮断または制限させる。【００２３】
「安全確認部」の例であるＡＮＤゲート４０は、上述の通り、安全検証部３０から入力される制御信号に応じて、第１スイッチＳＷ１からの入力をそのまま出力するか、遮断するか、または制限する回路である。ＡＮＤゲート４０に代えて、最小値を選択する最小値選択回路を安全確認部として用いてもよい。ＡＮＤゲート４０は、安全検証部３０による安全性が確認された範囲で、第１スイッチＳＷ１からの入力を安全制限出力５０として出力する。【００２４】
「第２の選択部」の例である第２スイッチＳＷ２には、ＡＮＤゲート４０からの安全制限出力５０と操作量情報１２Ｂが入力される。第２スイッチＳＷ２は、操作インタフェース部１０からの優先度情報１３と所定の第２の値「２」とを比較する。第２スイッチＳＷ２は、優先度情報１３が「２」よりも小さい場合、ＡＮＤゲート４０からの安全制限出力５０を選択し、安全制限出力５０を制御出力６０として制御対象へ出力する。これに対し、第２スイッチＳＷ２は、優先度情報１３が「２」以上の場合、操作量情報１２Ｂを選択し、操作量情報１２Ｂを制御出力６０として、制御対象へ出力する。【００２５】
このように構成される本実施例では、（１）優先度情報１３が「１」より小さい場合、自動制御出力２１が第１スイッチＳＷ１により選択され、安全検証部３０の監視の下で、制御出力６０として出力される。（２）さらに、優先度情報１３が「１」以上であり、かつ「２」未満の場合、第１スイッチＳＷ１は操作量情報１２Ａを選択し、安全検証部３０による制限の下で、制御出力６０として出力される。（３）さらに、優先度情報１３が「２」以上の場合、第２スイッチＳＷ２は、操作量情報１２Ｂを選択し、制御出力６０として出力する。この制御出力６０は、操作量情報１２Ｂそのままであり、安全検証部３０の制限を受けない。【００２６】
本実施例によれば、安全検証部３０によって、自動制御部２０からの自動制御出力２１の安全性を監視するため、制御対象の安全な動作を保証できる。本実施例によれば、ユーザによるオーバーライドへの要求の強さを優先度情報１３として検出するため、緊急時の状況に応じて適切なオーバーライドを実現することができる。すなわち、本実施例では、安全検証部３０による制限を受けたオーバーライド（「１」≦優先度情報１３＜「２」）と、安全検証部３０による制限を受けないオーバーライド（「２」≦優先度情報１３）との２つのオーバーライドを状況に応じて自動的に選択できるため、ユーザの使い勝手が向上する。【００２７】
なお、自動制御部２０として、深層学習または機械学習などの人工知能を導入することにより、人知を超えた制御性能を実現することが期待されている。しかし、人知を超えるがゆえに、安全に関するアカウンタビリティ（説明責任、説明性）の向上が望ましい。そこで、本実施例では、安全検証部３０を付加することで、人工知能による人知を超えた高度な制御においても安全性を確保することができる。
【実施例２】
【００２８】
図２を用いて第２実施例を説明する。本実施例を含む以下の各実施例は第１実施例の変形例に相当するため、第１実施例との差異を中心に説明する。本実施例では、出力を切り替える場合に段差上の変化が生じるのを抑制する。【００２９】
図１で述べたスイッチＳＷ１，ＳＷ２では、複数の入力の間に差があるため、一方の入力から他方の入力へ切り替えると、出力に段差的変化が生じる。例えば、第１スイッチＳＷ１が、優先度情報１３の変化に応じて、自動制御出力２１から操作量情報１２Ａへ切り替えると、第１スイッチＳＷ１の出力に段差上の変化を生じる。【００３０】
そこで、下記の式１に示すように、一方の入力ｉｎａから他方の入力ｉｎｂへ、０＜ｔ＜Ｔの間で時間をかけて徐々に切り替えることで、出力ｏｕｔに段差上の変化が生じるのを抑制することができる。【００３１】
ｏｕｔ＝（ｉｎａ（Ｔ−ｔ）ｉｎａ＋ｔ＊ｉｎｂ）／Ｔ・・・（式１）【００３２】
図３に、段差状の変化を抑制するための他の例を示す。図３に示す制御装置２Ａでは、出力制御部３Ａに加算部ＡＤＤ１，ＡＤＤ２を用いる。すなわち、図３では、スイッチＳＷ１，ＳＷ２に代えて加算部ＡＤＤ１，ＡＤＤ２を用いる。【００３３】
第１加算部ＡＤＤ１は、自動制御出力２１と操作量情報１２Ａとを加算して、ＡＮＤゲート４０へ出力する。第２加算部ＡＤＤ２は、ＡＮＤゲート４０からの安全制限出力５０と操作量情報１２Ｂとを加算することで、制御出力６０を生成する。【００３４】
自動制御出力２１に操作量情報１２Ａを加えることで、第１加算部ＡＤＤ１の出力変化を、第１スイッチＳＷ１の場合よりも滑らかにすることができる。同様に、安全制限出力５０に操作量情報１２Ｂを加えることで、第２加算部ＡＤＤ２の出力変化を、第２スイッチＳＷ２の場合よりも滑らかにすることができる。この結果、本実施例では、第１実施例に比べて、段差状の変化の少ない制御出力６０を得ることができ、より滑らかに制御対象を制御することができる。
【実施例３】
【００３５】
図３を用いて第３実施例を説明する。本実施例の制御装置２Ｂでは、出力制御部３Ｂに複数の安全検証部３０（１）〜３０（ｎ）と複数のＡＮＤゲート４０（１）〜４０（ｎ）を設けている。【００３６】
各ＡＮＤゲート４０（１）〜４０（ｎ）の出力５０（１）〜５０（ｎ）は、安全検証部３０（１）〜３０（ｎ）のそれぞれの出力によって制御されている。そして、最終段のＡＮＤゲート４０（ｎ）からの安全制限出力５０（ｎ）に操作量情報１２Ｃを加えることで、制御出力６０が生成される。【００３７】
各安全検証部３０（１）〜３０（ｎ）にそれぞれ同じ判定論理を実装した場合には、安全検証部３０（１）〜３０（ｎ）は冗長系として機能する。したがって、この場合は、いずれか一つまたは複数の安全検証部が故障した場合でも、制御出力６０の安全性を確保することができる。【００３８】
一方、各安全検証部３０（１）〜３０（ｎ）にそれぞれ異なる判定論理を実装することもできる。この場合、安全検証部の設計を多様化するこができ、その結果、判定論理に依存する検出漏れを防ぐことが可能となる。例えば、安全検証部３０（１）〜３０（ｎ）のうち、少なくとも１つに深層学習などの人工知能による判定論理を実装し、さらに少なくとも１つにルールに基づく判定論理をそれぞれ実装する。これにより、人工知能による人知を超えた異常（危険事象）検出と、確実なルールに基づくアカウンタビリティ（説明責任、説明性）とを両立させることが可能となる。【００３９】
さらに、安全検証部３０（１）〜３０（ｎ）のフォルスネガティブ（正常なのに異常（危険）と誤判断してしまう事象）の確率を考えて出力制御部３Ｂを構成してもよい。最もフォルスネガティブの確率が高い安全検証部を安全検証部３０（１）、続いて高いものを安全検証部３０（２），３０（３），．．．とすれば、優先度情報がより低いときにはフォルスネガティブの確率がより高い安全検証部がバイパスされ、優先度情報がより高いときにはフォルスネガティブの確率がより低い安全検証部がバイパスされる。【００４０】
このように構成される本実施例も第１、第２実施例と同様の作用効果を奏する。さらに本実施例では安全検証部３０（１）〜３０（ｎ）とＡＮＤゲート４０（１）〜４０（ｎ）を多段に設けるため、より一層使い勝手および信頼性を向上できる。
【実施例４】
【００４１】
図４〜図９を用いて第４実施例を説明する。図４および図８は、操作インタフェース１０が操作量（物理量）１１の大きさに応じて優先度情報１３を生成する例である。【００４２】
図４は、操作量１１と、操作量情報１２Ａ，１２Ｂと、優先度情報１３との関係を示したものである。操作量１１が予め定められた閾値ｔｈ１，ｔｈ２を上回ると、操作量１１の値に比例した値の操作量情報１２Ａ，１２Ｂが生成される。また、操作量１１が閾値ｔｈ１を越えたときに、優先度情報１３として第１の値「１」が与えられ、操作量１１が閾値ｔｈ２を越えたときに第２の値「２」が与えられる。【００４３】
図５は、操作量１１と反力の関係を示す。図５に示すように、操作量１１が閾値ｔｈ１，ｔｈ２と等しい値になった点で、反力に段差を設ける。これにより、ユーザは、操作インタフェース部１０に入力する操作量１１と閾値ｔｈ１，ｔｈ２との大小、ひいては入力している優先度情報１３を触覚を通じて認識することができる。【００４４】
図６は、操作量１１の大きさ（優先度情報）と制御出力の動作モードとの関係を示す説明図である。操作量１１が閾値ｔｈ１未満の場合（Ｒ１）、自動制御出力２１が安全検証部３０による制限下で、制御出力６０となる。ユーザが閾値ｔｈ１以上であって閾値ｔｈ２未満の操作量１１を操作インタフェース１０へ加える場合（Ｒ２）、安全検証部３０が許容する範囲で、ユーザはオーバーライドすることができる。ユーザが閾値ｔｈ２以上の操作量１１を操作インタフェース部１０へ加える場合（Ｒ３）、安全検証部３０とは無関係に、ユーザはオーバーライドすることができる。【００４５】
図４は、操作量１１が片方向に変化する場合（例えばブレーキペダルまたはアクセルペダルの操作）の例である。図７は、中立点を中心に双方向に変化する場合（例えばステアリング操作）の例である。【００４６】
図７に示す場合も、操作量１１の絶対値と閾値ｔｈ１，ｔｈ２とを比較することにより、図４と同様に操作量情報１２Ａ，１２Ｂおよび優先度情報１３を生成すればよい。また、反力についても図５と同様に、操作量１１の全体値が閾値ｔｈ１，ｔｈ２と等しい値のところで反力に段差を設ければよい。これにより、ユーザは、操作インタフェース部１０に加える操作量１１と閾値ｔｈ１，ｔｈ２との大小と、生成させる優先度情報１３とを触覚を通じて認識することができる。【００４７】
図８は、操作インタフェース部１０の構成例である。操作インタフェース部１０は、例えば、変換部１４Ａ，１４Ｂと、優先度生成部１５とを備える。【００４８】
第１変換部１４Ａは、操作量１１を、第１スイッチＳＷ１または第１加算部ＡＤＤ１へ入力される操作量情報１２Ａに変換する回路である。第１変換部１４Ａは、操作量１１と第１の閾値ｔｈ１とを比較することにより、操作量１１に対応する操作量情報１２Ａを生成する。同様に第２変換部１４Ｂは、操作量１１を、第２スイッチＳＷ２または第２加算部ＡＤＤ２へ入力される操作量情報１２Ｂに変換する回路である。第２変換部１４Ｂは、操作量１１と第２の閾値ｔｈ２とを比較することにより、操作量１１に対応する操作量情報１２Ｂを生成する。なお、図８では、変換部１４Ａ，１４Ｂの２つを示すが、これに限らず、操作インタフェース部１０は、３つ以上の変換部を内蔵することもできる。【００４９】
優先度生成部１５は、操作量１１から優先度情報１３を生成する回路である。優先度生成部１５は、操作量１１と閾値ｔｈ１，ｔｈ２とを比較することにより、操作量１１の値に応じた優先度情報１３を生成する。【００５０】
図９は、操作量１１、操作量情報１２Ａ，１２Ｂ、優先度情報１３、制御出力６０の時間変化の一例を示すグラフである。【００５１】
図９では、時刻ｔ０以降に操作量１１が入力され始め、時刻ｔ１以降に閾値ｔｈ１に達したとする。操作量１１が閾値ｔｈ１以上になると、操作量情報１２Ａが「０」よりも大きくなり、優先度情報１３が「１」となる。その結果、操作量情報１２Ａが制御出力６０として出力される。【００５２】
その後、操作量１１がさらに増加し、時刻ｔ２に安全制限出力閾値ｔｈｓを超えると、物理量１１が閾値ｔｈ２以上になる時刻ｔ３までの間は、制御出力６０が安全制限出力５０に制限される。【００５３】
物理量１１がさらに増加し、時刻ｔ３において閾値ｔｈ２に達したとする。操作量１１が閾値ｔｈ２以上になると、優先度情報１３は「１」から「２」へ変化する。このため、時刻ｔ３以降では、安全制限出力５０に操作量情報１２Ｂが加算された値が制御出力６０として出力される。【００５４】
自動運転時の目標速度Ｖｓが、障害物との距離ｌから、障害物との相対速度（Ｖｓ−Ｖｏ）が所定の速度未満となるように、安全制限出力閾値ｔｈｓは定められる。例えば、一定の加速度（減速度）ａで（Ｖｓ−Ｖｏ）がゼロのときに停止するという条件では、式２，式３のように表される。【００５５】
（Ｖｓ−Ｖｏ）=ＳＱＲＴ（２ａｌ）・・・（式２）【００５６】
Ｖｓ= ＳＱＲＴ （２ａｌ） + Ｖｏ・・・（式３）【００５７】
但し、Ｖｓ：自車の目標速度の上限【００５８】
Ｖｏ：障害物の速度【００５９】
制御システム１を航空機制御に適用する場合、安全制限出力閾値ｔｈｓの下限には失速速度が、上限には運用最大速度が用いることができる。【００６０】
このように構成される本実施例によれば、上述のように、状況に応じてユーザ操作により、（１）自動制御に基づき動作する動作モードと、（２）安全検証部３０の制限下でオーバーライド動作を許容する動作モードと、（３）安全検証部３０の制限によらずにオーバーライド動作を許容する動作モードとを切り替えることができる。
【実施例５】
【００６１】
図１０を用いて第５実施例を説明する。図１０は、本実施例の操作インタフェース部１０Ａの構成図である。本実施例の操作インタフェース部１０Ａは、操作量１１の微分値に応じて優先度情報１３を生成する。【００６２】
操作インタフェース部１０Ａは、変換部１４Ａ，１４Ｂおよび優先度生成部１５に加えて、微分回路１６を備える。優先度生成部１５には、操作量１１が微分回路１６により微分された値が入力される。優先度生成部１５は、操作量１１の微分値と閾値ｔｈ１，ｔｈ２とを比較することにより、優先度情報１３を生成する。【００６３】
このように構成される本実施例も第１実施例と同様の作用効果を奏する。さらに本実施例によれば、操作量１１の微分値から優先度情報１３を生成するため、操作量の時間変化を検出することができる。このため、本実施例では、操作量１１の微分値から操作の緊急性を推測することができ、緊急性の高い操作ほど優先度情報１３の値を高く設定することができる。
【実施例６】
【００６４】
図１１を用いて第６実施例を説明する。図１１は本実施例の操作インタフェース部１０Ｂの構成図である。本実施例の操作インタフェース部１０Ｂは、操作量１１の積分値に応じて優先度情報１３を生成する。本実施例では、図１０で述べた微分回路１６に代えて、積分回路１７が設けられている。【００６５】
積分回路１７は操作量１１の積分値を優先度生成部１５へ入力する。優先度生成部１５は、操作量１１の積分値と閾値ｔｈ１，ｔｈ２とを比較することにより、優先度情報１３を生成する。【００６６】
このように構成される本実施例も第１実施例と同様の作用効果を奏する。さらに本実施例によれば、操作量１１の積分値から優先度情報１３を生成するため、操作の大きさおよび継続時間を検出することができる。このため、本実施例では、操作量１１の積分値から、ユーザの操作に対する意思の強さを推測することができ、操作せんとする意思の強い操作であるほど優先度情報１３の値を高く設定することができる。
【実施例７】
【００６７】
図１２を用いて第７実施例を説明する。図１２は、本実施例の操作インタフェース部１０Ｃの構成図である。本実施例の操作インタフェース部１０Ｃは、操作量１１の継続時間に応じて優先度情報１３を生成する。本実施例では、図１１で述べた積分回路１７に代えて、タイマ１８が設けられている。【００６８】
タイマ１８は、操作量１１の継続時間を検出して、優先度生成部１５へ入力する。優先度生成部１５は、操作量１１の継続時間と閾値ｔｈ１，ｔｈ２とを比較することにより、優先度情報１３を生成する。【００６９】
このように構成される本実施例も第１実施例と同様の作用効果を奏する。さらに本実施例では、操作量１１の継続時間からユーザの意思の確実性を推測することができるため、確実な意思を伴う操作ほど優先度情報１３に高い値を設定することができる。
【実施例８】
【００７０】
図１３，図１４を用いて第８実施例を説明する。図１３は、本実施例に係る制御装置２Ｃの構成例である。図１４は、操作量の大きさ（優先度情報）と制御出力の動作モードとの関係を示す説明図である。【００７１】
本実施例の自動制御部２０では、入力された操作量情報１２Ａが予め定められた閾値ｔｈ０以上であって、かつ、閾値ｔｈ１よりも小さい場合（Ｒ４）、自動制御部２０に入力された操作量情報１２Ａにより意思を反映させた方向の目標軌跡を選択する。【００７２】
さらに、本実施例では、図７に示す例と同様に、ユーザは、閾値ｔｈ１以上の操作量１１を操作インタフェース部１０に加えることにより、安全検証部３０が許容する範囲でオーバーライドすることができる（Ｒ２）。ユーザが閾値ｔｈ２以上の操作量１１を操作インタフェース部１０へ加える場合（Ｒ３）安全検証部３０とは無関係のオーバーライド動作ができる。【００７３】
このように構成される本実施例によれば、自動制御出力２１に基づき動作する動作モード（Ｒ１）、自動制御出力２１に基づき動作する動作モードであって、ユーザの意思を反映させた方向の目標軌跡を選択して動作するモード（Ｒ４）、安全性が確認された範囲でオーバーライドを許容するモード（Ｒ２）、安全性検証とは無関係にオーバーライド動作を可能とするモード（Ｒ３）とを実現することができる。
【実施例９】
【００７４】
図１５を用いて第９実施例を説明する。本実施例では、操作インタフェース部１０Ｄの操作自由度を高め、本来の操作量１１に割り当てられている操作自由度とは独立した操作自由度により、優先度情報１３を生成する。【００７５】
本実施例の操作インタフェース部１０Ｄは、ｘ−ｙ平面内の動作を本来の操作方向とする。すなわち、ユーザは、例えば、操作レバー１００をｘ方向またはｙ方向に倒したり、回転軸を中心に時計回り方向または反時計回り方向に回動させたりすることで、操作量１１を入力することができる。そして、ユーザは、操作方向とは独立したｚ方向に操作レバー１００を押し込むか、あるいは引き出すことで、優先度情報１３を生成させることができる。【００７６】
このように構成される本実施例も第１実施例と同様の作用効果を奏する。さらに、本実施例の操作インタフェース部１０Ｄによれば、操作量１１の大小から優先度情報１３を算出するのではなく、通常の操作から独立する所定の操作で優先度情報１３を生成させることができる。したがって、ユーザの操作意思を明確に制御装置２へ入力できる。
【実施例１０】
【００７７】
図１６を用いて第１０実施例を説明する。図１６は、本実施例の操作インタフェース部１０Ｅの構成例である。本実施例では、ｘ−ｙ平面内の動作を操作量１１を発生させるための操作方向とする。さらに、本実施例では、操作方向とは独立する圧力センサ１５ＰＳを操作レバー１００に設ける。ユーザが操作レバー１００を把持するときの圧力を圧力センサ１５ＰＳで検出する。圧力センサ１５ＰＳにより検出された圧力（操作レバー１００を把持する握力）は、優先度生成部１５により優先度情報１３に変換される。【００７８】
このように構成される本実施例も第１実施例と同様の作用効果を奏する。さらに、本実施例の操作インタフェース部１０Ｅによれば、ユーザは操作レバー１００を強く握りしめることで、操作の緊急性、重要性を制御装置２へ入力することができる。
【実施例１１】
【００７９】
図１７を用いて第１１実施例を説明する。図１７は、本実施例の操作インタフェース部１０Ｆの構成例である。本実施例では、ｘ−ｙ平面内の動作を操作量１１を発生させるための操作方向とする。さらに、本実施例では、操作レバー１００の上部または側部などに押釦スイッチ１５ＰＢを設ける。ユーザは、オーバーライド動作を希望する場合、押釦スイッチ１５ＰＢを押し込めばよい。押釦スイッチ１５ＰＢを複数段階で押し込むことができるスイッチとして構成すれば、ユーザの押し込む量によって優先度情報１３の値を変えることができる。【００８０】
このように構成される本実施例も第１実施例と同様の作用効果を奏する。さらに本実施例によれば、ユーザは押釦スイッチ１５ＰＢを操作することで、オーバーライド動作への要求を制御装置２に指示することができる。【００８１】
なお、操作レバー１００の押し込みまたは引出操作、操作レバー１００を握るときの圧力、操作レバー１００に設けた押釦の操作、操作量１１と閾値ｔｈ１，ｔｈ２との大小とを幾つか組み合わせることで、優先度情報１３を生成してもよい。
【実施例１２】
【００８２】
図１８を用いて第１２実施例を説明する。図１８は、本実施例に係る操作インタフェース部１０Ｇの構成例を示す。本実施例では、複数の操作インタフェース部１０Ｇ（１）〜１０Ｇ（ｎ）を設け、各操作インタフェース部１０Ｇ（１）〜１０Ｇ（ｎ）への操作量１１をカウンタ７０で合計することで、優先度情報１３を生成する。したがって、より多くのユーザが操作インタフェース部１０Ｇを同一方向へ操作するほど、カウンタ７０の合計値が大きくなり、その結果、優先度情報１３に高い値が設定される。【００８３】
このように構成される本実施例も第１実施例と同様の作用効果を奏する。さらに、本実施例では、複数のユーザが操作する場合に、多数決で動作モードを決定できる。
【実施例１３】
【００８４】
図１９〜図２４を用いて第１３実施例を説明する。本実施例では制御システムを自動車の自動運転システムへ適用する場合を説明する。【００８５】
図１９は、操作インタフェース部１０Ｈを自動運転システムへ適用する例を示す。操作インタフェース部１０Ｈには、操作量１１として、ステアリング操舵角または操舵トルク１１０と、アクセルペダル角度１１１およびブレーキペダル角度１１２とがそれぞれ入力される。【００８６】
図２０は、本実施例の制御装置２Ｄを自動運転システムに適用した例である。制御システム２Ｄの出力する制御出力６０は、ステアリング制御部８０とパワートレイン制御部９０とに入力される。【００８７】
自動制御出力２１に従う自動制御モードでは、ステアリング制御部８０は、制御出力６０に従って、モータ８１により操舵部８２を制御する。同じく自動制御モードでは、パワートレイン制御部９０は、制御出力６０に従って、モータージェネレータ９１により駆動輪９２の加速減速を制御する。【００８８】
オーバーライドモードでは、ステアリング制御部８０は、ステアリング操舵角または操舵トルク１１０に基づき、モータ８１により操舵部８２を制御する。同じくオーバーライドモードでは、パワートレイン制御部９０は、アクセルペダル角度１１１とブレーキペダル角度１１２とに基づき、モータージェネレータ９１により駆動輪９２の加速減速を制御する。なお、上述の通り、オーバーライドモードは、安全検証部３０による制限を受けるモードと、安全検証部３０による制限を受けないモードとがある。【００８９】
図２１は、自動運転中の自車（△印）に障害物Ｏ１が接近した場合に、ユーザのオーバーライド操作によって経路ＰＡまたは経路ＰＢのいずれかに回避する様子を示す説明図である。【００９０】
図２２は、図２１に示す障害物回避時において、操作量１１（アクセルペダル角度１１１）と制御出力６０（目標速度）との時間変化を示すグラフである。【００９１】
時刻ｔ０より操作量１１が入力され始め、時刻ｔ１で操作量１１が第１の閾値ｔｈ１に達するとオーバーライドが開始され、この結果、制御出力６０（目標速度）にオーバーライドの操作分が現れる。障害物Ｏ１は、自車の安全制限出力５０の領域に入っているため、時刻ｔ２以降、安全検証部３０の安全制限出力５０（障害物Ｏとの距離に依存する）により、自車の速度は制限される。この場合、自車は、安全制限出力５０により制限された遅い速度で、障害物Ｏ１を回避しなければならない。【００９２】
しかし、時刻ｔ３において、ユーザがアクセルペダル１１１を踏み込み、操作量１１が第２の閾値ｔｈ２に達すると、安全検証部３０による制限から外れる。この結果、自車は、安全制限出力５０で制限された速度よりも高い速度で、障害物Ｏ１を回避することができる。【００９３】
このように、自動運転システムに適用した場合も、ユーザは、自動制御出力２１に基づく自動運転モードと、安全検証部３０により安全が確認された範囲内でユーザのオーバーライド操作を許容する第１のオーバーライドモードと、安全検証部３０による制限を受けずにユーザがオーバーライド操作できる第２のオーバーライドモードとを、交通状況などに応じて切り替えることができる。【００９４】
図２３，図２４は、自動運転時において、自車（△）の前方に障害物Ｏ１が存在し、さらに、自車の後方から障害物Ｏ２が接近した場合に、ユーザのオーバーライド操作で回避する様子を示す説明図である。【００９５】
図２４に示すように、時刻ｔ０より操作量１１（アクセルペダル角度１１１）が入力され始め、時刻ｔ１で第１の閾値ｔｈ１に達するとオーバーライドが開始される。この結果、ユーザのオーバーライド操作の分が制御出力６０（目標速度）に加算される。【００９６】
時刻ｔ１以降、第１の閾値ｔｈ１以上であり、かつ第２の閾値ｔｈ２よりも小さな操作量１１が入力され続ける。この場合、安全検証部３０の安全制限出力５０（障害物Ｏ１との距離に依存する）により、自車の速度は制限される。その結果、自車は前方の障害物Ｏ１に衝突しないように障害物Ｏ１との距離を詰めることができ、かつ、後方の障害物Ｏ２が自車に追突する事態を回避することができる。
【実施例１４】
【００９７】
図２５を用いて第１４実施例を説明する。本実施例では、ユーザ操作だけでなく、ユーザの顔の表情や脈拍等の生体情報も利用して、優先度情報１３を生成する。【００９８】
図２５は、本実施例の操作インタフェース部１０Ｊの構成例である。操作インタフェース部１０Ｊの優先度生成部１５には、操作量１１および閾値ｔｈ１，ｔｈ２に加えて、生体情報処理部１２０および画像情報処理部１２１からの出力がそれぞれ入力される。【００９９】
生体情報処理部１２０は、例えば、ユーザ（ドライバ）の脈拍、血圧、体温、脳波などの生体情報をセンサ（不図示）から取得し、その生体情報を前処理した結果を優先度生成部１５に入力する。【０１００】
画像情報処理部１２１は、例えば、ユーザの顔の表情（寝ている、起きている、緊張している等）、ユーザの頭や首などの動作をカメラ（図示せず）から取得し、取得した画像を処理した結果を優先度生成部１５に入力する。【０１０１】
優先度生成部１５は、操作量１１と閾値ｔｈ１，ｔｈ２との大小関係と、ユーザの生体情報および画像情報とに基づいて、優先度情報１３を生成する。これにより例えば、操作量１１が第１の閾値ｔｈ１に満たない場合でも、ユーザが急病等で操作に力を込めることができないと判定されたときには、安全検証部３０により安全性が担保された範囲でユーザのオーバーライド操作を許可することもできる。または、ユーザの操作量１１が第２の閾値ｔｈ２に達していない場合でも、ユーザの顔の表情や心拍数などから緊急事態であると判定したときには、安全検証部３０による制限を受けずにユーザのオーバーライド操作を許可することもできる。【０１０２】
なお、本発明は、上述した実施例に限定されない。当業者であれば、本発明の範囲内で、種々の追加や変更等を行うことができる。例えば、各実施例を適宜組み合わせることができる。さらに特許請求の範囲に記載した構成は、明示した組合せ以外に組み合わせることもできる。【０１０３】
上述の実施形態は、例えば以下のように表現することもできる。以下の各表現は、特許請求の範囲に記載された特徴に対して任意に組み合わせることができる。【０１０４】
表現１．前記操作インタフェース部は、少なくとも１つ以上の閾値を有し、前記操作量の継続時間が所定の第１の閾値を越える場合には、前記優先度情報を第１の値とし、前記操作量の継続時間が第２の閾値を越える場合には、前記優先度情報を第２の値とする制御システム。【０１０５】
表現２．前記操作インタフェース部は、操作レバーの可動方向のうち第１方向へ入力された操作量を前記操作量情報に変換し、前記可動方向のうち第１方向と異なる第２方向へ入力された操作量を前記優先度情報に変換する制御システム。【０１０６】
表現３．前記操作インタフェース部は、圧力センサを有し、前記圧力センサに入力された圧力を前記優先度情報に変換する制御システム。【０１０７】
表現４．前記操作インタフェース部は、押しボタンを有し、前記押しボタンに加えられた押下量を前記優先度情報に変換する制御システム。【０１０８】
表現５．自動制御出力を生成する自動制御部と、前記自動制御出力の安全性を確認する安全検証部とを有し、前記安全検証部により安全性が確認された場合には、制御出力を出力し、前記安全検証部による安全性が確認されない場合には、制御出力を停止させるか、または安全性が確認された範囲で出力する制御システムであって、前記安全検証部が安全性を確認した範囲で、前記自動制御出力に対する人為的介入操作を許可する、制御システム。【０１０９】
表現６．表現５に記載の制御システムであって、自動制御出力に基づいて動作する第１の動作モードと、前記安全検証部により安全性が確認された範囲で人為的介入操作を許可する第２の動作モードと、前記安全検証部による安全性の確認の有無によらずに前記人為的介入操作を許可する第３の動作モードとを有し、前記第１〜第３の動作モードを切り替えることができる制御システム。【０１１０】
表現７．前記操作インタフェース部は、操舵力センサ、舵角センサ、アクセルペダル角度センサ、ブレーキペダル角度センサのうち少なくともいずれか一つとして構成される、制御システム。【０１１１】
表現８．前記操作インタフェース部は、ユーザの生体情報および／または表情情報に基づいて、前記優先度情報を生成する制御システム。
【符号の説明】
【０１１２】
１：制御システム、２，２Ａ，２Ｂ，２Ｃ，２Ｄ：制御装置、３，３Ａ，３Ｂ：出力制御部、４：入力、１０，１０Ａ，１０Ｂ，１０Ｃ，１０Ｄ，１０Ｅ，１０Ｆ，１０Ｇ，１０Ｈ，１０Ｊ：操作インタフェース部、１１：操作量（物理量）、１２，１２Ａ，１２Ｂ，１２Ｃ：操作量情報、１３：優先度情報、２０：自動制御部、２１：自動制御出力、３０：安全検証部、４０：ＡＮＤゲート（または最小値選択回路）、５０：安全制限出力、６０：制御出力
【図１】
0006731108.tif 000002
【図２】
0006731108.tif 000003
【図３】
0006731108.tif 000004
【図４】
0006731108.tif 000005
【図５】
0006731108.tif 000006
【図６】
0006731108.tif 000007
【図７】
0006731108.tif 000008
【図８】
0006731108.tif 000009
【図９】
0006731108.tif 000010
【図１０】
0006731108.tif 000011
【図１１】
0006731108.tif 000012
【図１２】
0006731108.tif 000013
【図１３】
0006731108.tif 000014
【図１４】
0006731108.tif 000015
【図１５】
0006731108.tif 000016
【図１６】
0006731108.tif 000017
【図１７】
0006731108.tif 000018
【図１８】
0006731108.tif 000019
【図１９】
0006731108.tif 000020
【図２０】
0006731108.tif 000021
【図２１】
0006731108.tif 000022
【図２２】
0006731108.tif 000023
【図２３】
0006731108.tif 000024
【図２４】
0006731108.tif 000025
【図２５】
0006731108.tif 000026