(57)【特許請求の範囲】
【請求項１】
車両の、少なくとも半自動化された走行機能を果たすシステムを監視する方法であって、
前記システムにより設定された、前記車両の目標走行状態（２０９）の妥当性の検査を行うステップ（１０１）と、
前記検査の結果（２１１）が、前記設定された目標走行状態（２０９）が妥当であるとなった場合、前記設定された目標走行状態（２０９）に応じて、当該設定された目標走行状態（２０９）を達成するように前記車両を制御するステップ（１０３）、または、
前記検査の結果（２１１）が、前記設定された目標走行状態（２０９）が妥当でないとなった場合、緊急時目標走行状態に応じて、当該緊急時目標走行状態を達成するように車両を制御するステップ（１０５）と
を有し、
前記目標走行状態（２０９）はタイムスタンプを有し、
前記妥当性の検査は、前記タイムスタンプが過去のものであるか否かおよび／または予測範囲より後の将来のものでないか否かの検査を含み、
前記検査の結果（２１１）は、前記タイムスタンプの検査に依存して求められる、
ことを特徴とする方法。
【請求項２】
前記妥当性の検査は、前記目標走行状態（２０９）を表す目標走行状態パラメータと限界走行状態パラメータとの比較を含み、
前記検査の結果（２１１）は、前記比較の結果に依存して求められる、
請求項１記載の方法。
【請求項３】
前記車両の周囲を表す周囲データを受け取り、
前記比較は前記周囲データに依存して行われる、
請求項２記載の方法。
【請求項４】
前記目標走行状態（２０９）は、目標位置の時間的推移と、当該目標位置に対応する目標速度とを含む目標軌道を有し、
前記妥当性の検査は、目標速度が、当該目標速度に対応する目標位置の時間微分と一致するか否かの重複検査を含み、
前記検査の結果（２１１）は、前記重複検査の結果に依存して求められる、
請求項１から３までのいずれか１項記載の方法。
【請求項５】
前記車両の周囲をセンシングし、
前記妥当性の検査は、センシングされた前記周囲において物理的に走行可能な衝突フリーの軌道が少なくとも１つ存在するか否かの、当該センシングされた周囲の検査を含み、
前記検査の結果（２１１）は、前記センシングされた周囲の検査の結果に依存して求められる、
請求項１から４までのいずれか１項記載の方法。
【請求項６】
前記車両の周囲をセンシングし、
前記妥当性の検査は、前記目標走行状態（２０９）が、センシングされた前記周囲において衝突フリーであるか否かの、当該センシングされた周囲の検査を含み、
前記検査の結果（２１１）は、前記センシングされた周囲の検査の結果に依存して求められる、
請求項１から５までのいずれか１項記載の方法。
【請求項７】
デジタル地図を受け取り、
前記妥当性の検査は、前記目標走行状態（２０９）を前記デジタル地図と照合することを含み、
前記検査の結果（２１１）は前記照合の結果に依存して求められる、
請求項１から６までのいずれか１項記載の方法。
【請求項８】
他車のデータを受け取り、
前記妥当性の検査は、前記目標走行状態（２０９）を前記他車の前記データと照合することを含み、
前記検査の結果（２１１）は前記照合の結果に依存して求められる、
請求項１から７までのいずれか１項記載の方法。
【請求項９】
車両の、少なくとも半自動化された走行機能を果たすシステムを監視するための装置（２０１）であって、
前記システムにより設定された目標走行状態（２０９）を受け取るためのインタフェース（２０３）と、
前記車両の、受け取った前記目標走行状態（２０９）の妥当性を検査するための妥当性装置（２０５）と、
前記設定された目標走行状態（２０９）が妥当であるかもしくは妥当でないとの前記検査の結果（２１１）に依存して前記車両を制御するための制御装置（３０３）へ当該結果（２１１）を出力するための、および／または、前記設定された目標走行状態（２０９）が妥当である場合に当該設定された目標走行状態（２０９）を前記車両のアクチュエータ系へ出力し、もしくは、前記設定された目標走行状態（２０９）が妥当でない場合に緊急時目標走行状態を当該アクチュエータ系へ出力するための、インタフェース（２０７）と
を有し、
前記目標走行状態（２０９）はタイムスタンプを有し、
前記妥当性の検査は、前記タイムスタンプが過去のものであるか否かおよび／または予測範囲より後の将来のものでないか否かの検査を含み、
前記検査の結果（２１１）は、前記タイムスタンプの検査に依存して求められる、
ことを特徴とする装置（２０１）。
【請求項１０】
車両の、少なくとも半自動化された走行機能を果たすシステムを監視するための監視システム（３０１）であって、
請求項９記載の装置（２０１）と、
前記結果（２１１）に依存して前記車両を制御するための制御装置（３０３）と
を備えており、
前記制御装置（３０３）は、出力された前記結果（２１１）を受け取るためのインタフェース（３０５）を備えており、かつ、前記車両を前記目標走行状態（２０９）に応じて制御すべきかまたは緊急時目標走行状態に応じて制御すべきかを決定するように構成されている
ことを特徴とする監視システム（３０１）。
【請求項１１】
コンピュータ上で実行されるときに、請求項１から８までのいずれか１項記載の方法を実施するためのプログラムコードを含むことを特徴とする、コンピュータプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、車両の、少なくとも半自動化された走行機能を果たすシステムおよび／または少なくとも半自動化された走行機能を監視するための方法および装置に関する。本発明はさらに、車両の、少なくとも半自動化された走行機能を果たすシステムおよび／または半自動化された走行機能を監視するためのシステムと、コンピュータプログラムとに関する。
【背景技術】
【０００２】
従来技術
車両の公知の運転支援システムは、運転タスクの一部を、たとえば長手方向操縦または横方向操縦を運転者から引き継ぐことにより、運転者の負担を軽減することができる。その開発においては、運転タスクの全部を引き継ぐ自動走行機能が存在する。かかるシステムの誤機能により、車両が衝突または事故を引き起こすことを、防止したいとの要請が存在する。
【発明の概要】
【発明が解決しようとする課題】
【０００３】
発明の開示
よって本発明の基礎となる課題は、車両の、少なくとも半自動化された走行機能を果たすシステムを監視する方法であって、システムの誤機能または故障の検出を可能にすることにより、車両の事故リスクまたは衝突リスクを低減できる方法を実現することである、ということができる。
【０００４】
また本発明の基礎となる課題は、これに対応する、車両の少なくとも半自動化された走行機能を果たすシステムを監視するための装置を実現することである、ということもできる。
【０００５】
さらに本発明の基礎となる課題は、これに対応する、車両の少なくとも半自動化された走行機能を果たすシステムを監視するための監視システムを実現することである、ということもできる。
【０００６】
さらに、本発明の基礎となる課題は、対応するコンピュータプログラムを実現することである、ということもできる。
【課題を解決するための手段】
【０００７】
前記課題は、各独立請求項に記載の発明によって解決される。各従属請求項に本発明の有利な実施形態が記載されている。
【０００８】
本発明の対象の１つである、車両の少なくとも半自動化された走行機能を果たすシステムを監視する方法は、
・前記システムにより設定された、車両の目標走行状態の妥当性を検査するステップと、
・前記検査の結果が、前記設定された目標走行状態が妥当であるとなった場合、前記設定された目標走行状態に応じて、当該設定された目標走行状態を達成するように車両を制御するステップ、または、
・前記検査の結果が、前記設定された目標走行状態が妥当でないとなった場合、緊急時目標走行状態に応じて、当該緊急時目標走行状態を達成するように車両を制御するステップと
を有する。
【０００９】
本発明の他の１つの対象である、車両の少なくとも半自動化された走行機能を果たすシステムを監視するための装置は、
・前記システムにより設定された目標走行状態を受け取るためのインタフェースと、
・前記車両の、受け取った目標走行状態の妥当性を検査するための妥当性装置と、
・前記設定された目標走行状態が妥当であるか否かの前記検査の結果に依存して車両を制御するための制御装置へ当該結果を出力するための、および／または、前記設定された目標走行状態が妥当である場合に当該設定された目標走行状態を車両のアクチュエータ系へ出力し、もしくは、前記設定された目標走行状態が妥当でない場合に緊急時目標走行状態を当該アクチュエータ系へ出力するための、インタフェースと
を有する。
【００１０】
本発明はさらに、車両の、少なくとも半自動化された走行機能を果たすシステムを監視するための監視システムも対象としており、当該監視システムは、本発明の上述の装置と、上述の結果に依存して車両を制御するための制御装置とを備えており、制御装置は、出力された前記結果を受け取るためのインタフェースを備えており、かつ、車両を目標走行状態に応じて制御すべきかまたは緊急時目標走行状態に応じて制御すべきかを決定するように構成されている。
【００１１】
本発明はさらに、コンピュータ上で実行されるときに本発明の方法を実施するためのプログラムコードを含むコンピュータプログラムも対象とする。
【００１２】
また本発明は、本発明の装置または本発明の監視システムを備えた車両も対象とする。
【００１３】
上記装置は一実施形態では、本発明の方法を実施するように構成されている。このことはとりわけ、本発明の監視システムにも同様に当てはまる。すなわち、本発明の方法は有利には、本発明の装置を用いて、または本発明の監視システムを用いて実施される。
【００１４】
方法に係る実施形態は、装置または監視システムに係る実施形態から導き出すことができ、またその逆も成り立つ。方法に係る実施形態は、監視システムまたは装置についても同様に当てはまり、またその逆も成り立つ。
【００１５】
本発明はとりわけ、車両の少なくとも一部自動化された走行機能を果たすシステムにより設定された目標走行状態を車両のアクチュエータ系へ引き渡して実際に実行する前に、この目標走行状態の妥当性を検査する、という思想を包含するものである。これは特に、目標走行状態の実際の実行の前に、その妥当性を検査する、ということである。検査により、目標走行状態が妥当であると判断された場合にのみ、この目標走行状態は実際に実行される。具体的には、この場合、この設定された目標走行状態に応じて、この目標走行状態を達成するように、車両を制御する、ということである。検査により、設定された目標走行状態が妥当でない、すなわち非妥当と判断された場合には、この目標走行状態は実際に実行されない。これに代えて緊急時目標走行状態が設定され、車両はこの緊急時目標走行状態に応じて、緊急時目標走行状態を達成するように制御される。
【００１６】
上述の妥当性検査により、とりわけ、システムの誤機能または故障を高信頼性で検出できるという技術的利点が奏される。というのも、エラーを有するまたは故障したシステムは通常、妥当な目標走行状態を設定できないからである。よって、システムが故障したとの判断または誤機能を示しているとの判断がなされた場合には、適切な措置をとること、ここでは特に、緊急時目標走行状態に応じて制御することができる。これにより、事故のリスクまたは衝突のリスクを低減することができるという利点が奏され、車両安全性を向上できるという利点が奏される。
【００１７】
車両の制御とはとりわけ、車両の操縦の制御を含む。操縦とはとりわけ、車両横方向操縦および／または有利には車両長手方向操縦を含み得る。つまり車両の制御とは、車両横方向操縦の制御および／またはたとえば車両長手方向操縦の制御を含む。
【００１８】
本発明におけるシステムは、少なくとも半自動化された走行機能を果たすように構成されたものである。すなわち、システムは車両操縦の少なくとも一部を引き継ぐことができる、ということである。とりわけ、少なくとも半自動化された走行機能は有利には、車両の運転者を支援する走行機能を含む。具体的には、支援走行機能はたとえば車両の横方向操縦および／または長手方向操縦に際して運転者を支援するものである。かかるシステムは有利には、運転支援システムと称することができる。「少なくとも半自動化された走行機能」には有利には、車両操縦の全部を請け負う自動走行機能が含まれる。この限りにおいては、「完全自動化された走行機能」ということもできる。支援走行機能を果たすシステムに対してより良好に区別するため、自動走行機能を果たすシステムを、「自動走行機能提供システム」ということもできる。よって一般的には、車両操縦について運転者を支援するシステム、または、車両操縦の全部を請け負うシステムが監視対象となる。最終的な監視対象は、提供される走行機能が適正であるか否かであるから、結局のところは、「少なくとも半自動化された走行機能」の監視、有利には「自動走行機能」の監視、ということができる。よって有利には、少なくとも半自動化された走行機能、および／または、完全自動化された走行機能、および／または、支援走行機能が監視対象とされる。したがってシステムは、自動走行機能および／または支援走行機能を果たすように構成されたものである。自動走行機能の場合には、車両は運転者の介入無しで自律的に操縦される。よって、「自律走行機能」ということもできる。
【００１９】
一実施形態では妥当性の検査は、目標走行状態を表す目標走行状態パラメータと限界走行状態パラメータとの比較を含み、この検査の結果は比較結果に依存して求められる。具体的には、システムがたとえば目標走行状態パラメータを設定し、この目標走行状態パラメータは限界走行状態パラメータと比較される、ということである。たとえば、最大値および／または最小値についての検査を行うこと、すなわち、目標走行状態パラメータが所定の最大値または最小値より大きいかまたは小さいかを検査することができる。
【００２０】
かかる最大値および最小値は、たとえば大局的最大値および最小値である。たとえば目標走行状態パラメータは、加速度、減速度または目標走行状態のタイムスタンプとすることができる。これに応じて、大局的最大値は、システムが果たす機能の（すなわち機能関連またはシステム固有の）物理的に可能な最大加速度もしくは最大減速度、または、かかる機能の最大許容加速度もしくは最大許容減速度、または、予測範囲の時期的限界とすることができる。とりわけ、走行状態のタイムスタンプが過去のものであるか否か、および／または、予測範囲より後の将来のものでないか否かを検査する。というのも、妥当な目標走行状態のタイムスタンプは将来にしかなく、過去にはないものであり、また、予測範囲までより後の将来にもないものであり、すなわち予測範囲内にあるものだからである。
【００２１】
上述の最大値および最小値はたとえば、走行状態に依存する最大値または最小値であり、たとえば、所与の速度の場合の物理的に可能な最大横方向加速度、所与の速度の場合の最大許容減速度である。その際には、目標走行状態パラメータ（具体的には、たとえば加速度または減速度）はこれに応じて、走行状態に依存する最大値および最小値と比較される。
【００２２】
一実施形態では、複数の目標走行状態パラメータが設けられる。目標走行状態パラメータを１つのみ用いる場合の実施形態は、複数の目標走行状態パラメータを用いる場合にも同様に当てはまり、その逆も成り立つ。複数の目標走行状態パラメータは有利には同一であるか、または特に異なる。
【００２３】
他の一実施形態では、車両の周囲を表す周囲データを受け取る。その際には、上記比較はこの周囲データに依存して行われる。
【００２４】
よって有利には、周囲情報が供給される。たとえば、天候条件、道路の摩擦値等である。この周囲情報は有利には、妥当性検査の改善のために用いることができる。このことはとりわけ、上述の最大値および／または最小値についての検査に当てはまる。というのも、種々の道路状態（平坦度、ウェット状態、ドライ状態）については、通常はそれぞれ異なる減速度または加速度が妥当または有利だからである。最大値および／または最小値についての検査の場合には、周囲データが有利に考慮される。
【００２５】
他の一実施形態では、目標走行状態はタイムスタンプを有し、妥当性の検査は、タイムスタンプが過去のものであるか否かおよび／または予測範囲より後の将来のものでないか否かの検査を含み、かかる検査の結果は、タイムスタンプの検査に依存して求められる。上記にて既に述べたように、妥当な目標走行状態は必ず将来にしかなく、時間的に予測範囲より後になることはなく（すなわち、予測範囲内）、決して過去のものではない。
【００２６】
他の一実施形態では目標走行状態は、目標位置の時間的推移と、目標位置に対応する目標速度とを含む目標軌道を有する。その際には妥当性の検査は、目標速度が、当該目標速度に対応する目標位置の時間微分と一致するか否かの重複検査を含み、その検査の結果は、この重複検査に依存して求められる。
【００２７】
他の一実施形態では、車両の周囲をセンシングする。その際には妥当性の検査は、センシングされた周囲において物理的に走行可能な衝突フリーの軌道が少なくとも１つ存在するか否かの、センシングされた周囲の検査を含み、検査の結果は、センシングされた周囲の当該検査に依存して求められる。
【００２８】
他の一実施形態では、車両の周囲をセンシングし、妥当性の検査は、目標走行状態がセンシングされた周囲において衝突フリーであるか否かの、センシングされた周囲の検査を含み、検査の結果は、センシングされた周囲の当該検査に依存して求められる。
【００２９】
他の一実施形態では、車両の周囲をセンシングする。
【００３０】
他の一実施形態では、車両の周囲をセンシングするためのセンサ装置が設けられている。
【００３１】
他の一実施形態では、デジタル地図を受け取る。その際には妥当性の検査は、目標走行状態をデジタル地図と照合することを含み、検査の結果はこの照合結果に依存して求められる。
【００３２】
かかるデジタル地図はたとえば、サーバから車両へ送信することができる。デジタル地図はたとえば、車線情報および／または走行可能面に関する情報を含む。よって有利には、目標走行状態、たとえば目標軌道が、実際の車線内および／または走行可能面内に収まっているか否かを検査する。目標走行状態が妥当である場合、目標走行状態は実際の車線内および／または走行可能面内に収まっているはずである。
【００３３】
他の一実施形態では、他車のデータを受け取る。その際には妥当性の検査は、目標走行状態を他車のデータと照合することを含み、検査の結果は、この照合結果に依存して求められる。
【００３４】
かかるデータは、いわゆるＣ２Ｘデータである。たとえば他車は、自己の位置すなわち位置データを当該車両へ伝送することができ、この位置データに基づいて衝突検査を行うことができる。有利には複数の車両を予定し、これら複数の車両は通信チャネルを介して各自の車両データすなわちＣ２Ｘデータを装置またはシステムへ伝送し、とりわけ当該複数の車両の位置データを伝送する。
【００３５】
一実施形態では、他車のデータを受け取るためのインタフェースが設けられる。
【００３６】
一実施形態では、周囲データを受け取るためのインタフェースが設けられる。
【００３７】
一実施形態では、デジタル地図を受け取るためのインタフェースが設けられる。
【００３８】
以下、有利な実施形態を参照して本発明を詳細に説明する。
【図面の簡単な説明】
【００３９】
【図１】車両のシステムを監視する方法のフローチャートである。
【図２】車両のシステムを監視するための装置を示す図である。
【図３】車両のシステムを監視するための監視システムを示す図である。
【発明を実施するための形態】
【００４０】
以下、同一の構成には同一の符号を使用している場合がある。
【００４１】
図１は、車両のシステムを監視する方法のフローチャートである。
【００４２】
ステップ１０１において、車両の少なくとも半自動化された走行機能を果たすシステムにより設定された、当該車両の目標走行状態の妥当性を検査する。
【００４３】
ステップ１０１の検査の結果に依存して、車両をこれに応じて制御する。ステップ１０１の検査の結果が、上述の設定された目標走行状態が妥当であるとなった場合、ステップ１０３において、この設定された目標走行状態に応じて、当該設定された目標走行状態を達成するように車両を制御する。しかし、ステップ１０１の検査の結果が、設定された目標走行状態が妥当でないとなった場合には、ステップ１０５において緊急時目標走行状態に応じて、この緊急時目標走行状態を達成するように、車両を制御する。
【００４４】
緊急時目標走行状態に応じての車両の制御にはたとえば、車両をセーフ状態に制御することが含まれる。車両をセーフ状態に制御することは、たとえば車両の停車を含む。
【００４５】
設定された目標走行状態が妥当であるかまたは妥当でないかを判断するためには、とりわけ以下の基準のいずれか１つまたは複数を用いることができる：
【００４６】
１．たとえば、目標走行状態のモデルベースの一貫性および妥当性検査を行うことができる。かかる検査を行うためには、他の入力データは不要である。
ａ．最大値／最小値についての検査。たとえば：
ｉ．大局的最大値。たとえば、機能の物理的に可能な最大加速度／減速度、最大許容加速度／減速度、過去でない／予測範囲より後の将来でない走行状態のタイムスタンプ。
ii．走行状態に依存する最大値。たとえば、所与の速度の場合の物理的に可能な最大横方向加速度、所与の速度の場合の最大許容減速度。
ｂ．目標軌道の場合：目標走行状態のシーケンスの一貫性についての検査。たとえば：
ｉ．タイムスタンプの昇順。かかるシーケンスを検査する場合、目標走行状態の各タイムスタンプは、昇順になっているはずである。
ii．物理的レベルでの「重複」。たとえば、各目標走行状態における速度は、位置の微分と一致するか？
ｃ．複数の連続するメッセージの連続性（かかるメッセージは、システムによって設定され、目標走行状態を含む）。たとえば：
ｉ．タイムスタンプの昇順、メッセージカウンタの昇順。
ii．メッセージの内容は、先行のメッセージのいずれかの内容と同一であってはならない（たとえばチェックサムによる検査）。特に、タイムスタンプが含まれている場合には、メッセージの内容は決して同一であってはならない。
iii．複数の連続するメッセージの物理的一貫性。たとえば、目標値の連続増加。
【００４７】
２．周囲センサ系（すなわち、車両周囲をセンシングするための検出装置）に基づく走行状態の検査。
ａ．間接的衝突検査。すなわち、物理的に走行可能な衝突フリーの軌道が少なくとも１つ存在するか否か？
ｂ．直接的衝突検査。すなわち、引き渡される目標走行状態および／または引き渡される目標軌道は、衝突フリーか？
【００４８】
３．外部データに基づく目標走行状態の検査。
ａ．サーバデータ。たとえば、車線情報／走行可能面を有するデジタル地図：走行状態／軌道は実際の車線内／走行可能面内に収まっているか？
ｂ．１の妥当性検査を改善するための周囲情報の提供。たとえば、天候条件／道路の摩擦値。
ｃ．ＣＸ２データ。たとえば、通信チャネルを介して伝送された、１つまたは複数の他車の位置を用いた衝突検査。
【００４９】
モデルベースの基準（上記の項目１．参照）のみを用いるシステムの利点は、その複雑性が小さいことと、外部データソースに依存しないことである。項目２．の周囲センサ系と併用することにより、衝突フリーの軌道が排除されないことによって、システム全体の安全性、すなわち装置またはシステムの安全性を向上できるという利点が奏される。
【００５０】
図２は、車両のシステムを監視するための装置２０１を示す図である。
【００５１】
装置２０１は、システムにより設定された目標走行状態２０９を受け取るためのインタフェース２０３を備えている。装置２０１はさらに、受け取ったこの車両の目標走行状態の妥当性を検査するための妥当性装置２０５も備えている。かかる検査に際し、妥当性装置２０５は好適には、上述の基準のいずれか１つまたは複数を適用する。
【００５２】
装置２０１はさらに、妥当性検査の結果２１１を出力するためのインタフェース２０７も備えている。この結果２１１は、設定された目標走行状態が妥当であること、または妥当でないことのいずれかである。同図中では示されていない制御装置がこの結果２１１に依存して車両を制御するため、結果２１１は制御装置へ転送または出力される。具体的には、目標走行状態が妥当である場合には、制御装置はこの目標走行状態を達成するように車両を制御する。目標走行状態が妥当でない場合には、制御装置は緊急時目標走行状態に応じて、緊急時目標走行状態を達成するように車両を制御する。
【００５３】
有利には、設定された目標走行状態が妥当である場合にはインタフェース２０７はこの設定された目標走行状態を出力し、設定された目標走行状態が妥当でない場合にはインタフェース２０７は緊急時目標走行状態を出力するように構成されている。これは車両のアクチュエータ系へ出力され、その後、アクチュエータ系は設定に応じて（目標走行状態または緊急時目標走行状態）適切に応答する。
【００５４】
妥当性装置２０５を用いた妥当性検査を行うために、たとえば周囲データ２１３を使用する。とりわけ外部のデータ２１５が使用される。かかる外部データは、たとえばＣ２Ｘデータである。外部データはたとえば、デジタル地図の地図データである。デジタル地図を考慮して妥当性検査を車内でも行えるようにするため、このデジタル地図はたとえば装置のナビゲーションシステムによって包含されることも可能である。
【００５５】
図３は、車両のシステムを監視するための監視システム３０１を示す図である。
【００５６】
監視システム３０１は、図２の装置２０１と、その結果に依存して車両を制御するための制御装置３０３とを備えており、制御装置３０３はインタフェース３０５を備えており、かつ、車両を目標走行状態に応じて制御すべきかまたは緊急時目標走行状態に応じて制御すべきかを決定するように構成されている。
【００５７】
すなわち、装置２０１が、監視対象である自動走行機能（システム）によって設定された目標走行挙動を受け取る。この走行挙動には有利には、車両の少なくとも１つの目標走行状態、すなわち、たとえば将来の少なくとも１時点における目標位置、目標速度、目標加速度（長手方向、横方向）、目標回転速度、目標曲率半径が含まれる。これはとりわけ、目標軌道すなわち目標値の将来の時間的推移とすることができる。
【００５８】
走行挙動の他に、システム入力（すなわち、装置のシステムによって設定されるメッセージ）はさらに、たとえばチェックサム、タイムスタンプ、メッセージカウンタ等の追加のデータを含むもしくは備えることができ、または、伝送誤りを特に簡単に検出できるようにシステム入力を符号化することができる。
【００５９】
他の実施形態は、追加の入力量として車両周囲についての情報を使用することができ、たとえば、車両周囲センサからの情報、または、サーバもしくは他車から通信装置を介して得られた情報を使用することができる。
【００６０】
システム出力は、システム入力にて設定された走行挙動を遵守すべきか否かの決定である。かかる決定は、設定された走行挙動が妥当であり安全であるか否かの評価に基づくものであり、これはとりわけ、走行挙動が物理的になし得るものであるか否かと、走行挙動が衝突フリーでなし得るものであるか否かとを含むことができる。
【００６１】
後置されたシステム（たとえばコントローラ３０３）が、この決定に基づき、目標挙動を車両のアクチュエータ系へ転送すべきか否か、または、緊急時挙動を選択してアクチュエータ系へ転送するか否かを選択することができる。これに代えて、入力部における走行挙動（すなわち、インタフェース２０３を用いて受け取った走行挙動）のいずれかである走行挙動をインタフェース２０７において出力することができ、または、予め定められた緊急時挙動をインタフェース２０７において出力する。これは、妥当性検査に依存する。
【００６２】
本発明の装置または本発明のシステムを使用することは、自動走行機能にかかる安全対策コストを低減できるという利点を奏する。というのも、場合によっては、監視を担当するサブシステムのみについて、満たすべきセーフティ要求が厳しくなるだけであり、格段に複雑である全システムについては、満たすべきセーフティ要求は厳しくならないからである。
【００６３】
特に有利なのは、上掲の基準のうち項目１．のモデルベースの基準のみを用いることである。というのもかかる場合には、複雑性が小さくなり、かつ、外部データソースに依存しないからである。有利には、上掲の基準のうち項目２．の周囲センサ系すなわちセンシング装置の周囲データと併用する。これにより、衝突フリーの軌道が排除されないことによって、セーフティが向上するという利点が奏される。
【図１】
0006381678.tif 000002
【図２】
0006381678.tif 000003
【図３】
0006381678.tif 000004