(57)【特許請求の範囲】
【請求項１】
自動車におけるブレーキおよび／または操舵および／または加速を制御するための装置であって、
前記装置は、複数の異なるセンサコンポーネント（１１１、１１２、１１３）と、マンマシンインタフェースコンポーネント（１３０）と、アクチュエータ制御コンポーネント（１５０）を備え、
前記コンポーネントは、それぞれ故障封じ込めユニットを構成するとともにTTEthernet通信インタフェースを有し、
前記装置は、２つの異種のセンサ融合コンポーネント（１２１、１２２）と、自動車のドライバを監視する監視コンポーネント（１４０）をさらに備え、
前記センサ融合コンポーネント（１２１，１２２）は、それぞれ、同様に故障封じ込めユニットを構成するとともにTTEthernet通信インタフェースを有し、
すべてのコンポーネントは中央TTEthernetメッセージ配信部（１００）に接続され、TTEthernetメッセージを用いて前記中央TTEthernetメッセージ配信部（１００）を介して互いに通信し、
前記中央TTEthernetメッセージ配信部（１００）には、伝達されたメッセージをリアルタイムに監視するための診断部（１９０）が接続可能である、
ことを特徴とする制御装置。
【請求項２】
すべてのコンポーネント（１１１、１１２、１１３、１３０、１５０、１２２、１２２、１００）は基板上に配置され、コンポーネントと前記中央TTEthernetメッセージ配信部（１００）との間のデータ線（１０１）は基板上の導線として実現されている、
請求項１に記載の装置。
【請求項３】
センサコンポーネントを除いたすべてのコンポーネント（１２０、１５０、１２１、１２２、１００）は基板上に配置され、コンポーネント間、または、基板上のコンポーネントと前記中央TTEthernetメッセージ配信部（１００）との間のデータ線（１０１）は導線として実装されている、
請求項１に記載の装置。
【請求項４】
前記中央TTEthernetメッセージ配信部（１００）と前記中央TTEthernetメッセージ配信部へのすべてのデータ線は、冗長に設けられている、
請求項１ないし３のいずれか１項に記載の装置。
【請求項５】
マンマシンインタフェースコンポーネント（１３０）、アクチュエータ制御コンポーネント（１５０）、および、アクチュエータ制御コンポーネントとアクチュエータの間のデータ線（１５１）は、冗長に設けられている、
請求項１ないし３のいずれか１項に記載の装置。
【請求項６】
２つの冗長化コンポーネントの第１のコンポーネントはそれぞれ第１の電流源から電流が供給され、２つの冗長化コンポーネントの第２のコンポーネントはそれぞれ第２の電流源から電流が供給される、
請求項４または５に記載の装置。
【請求項７】
２つのセンサ融合コンポーネント（１２１、１２２）は、異種であり、かつ、冗長に実装されている、
請求項１ないし６のいずれか１項に記載の装置。
【請求項８】
センサコンポーネント（１１１、１１２、１１３）、２つの異種のセンサ融合コンポーネント（１２１、１２２）、監視コンポーネント（１４０）、マンマシンインタフェースコンポーネント（１３０）、および、アクチュエータ制御コンポーネント（１５０）は、TTEthernetメッセージを用いて前記中央TTEthernetメッセージ配信部（１００）を介して通信し、
前記中央TTEthernetメッセージ配信部（１００）はTTEthernetメッセージの一部をコピーして診断部（１９０）に送信し、
前記診断部（１９０）はコピーされたメッセージを分析して保持する、
請求項１ないし７のいずれか１項に記載の装置。
【請求項９】
請求項１ないし８のいずれか１項に記載の装置を用いて自動車におけるブレーキおよび／または操舵および／または加速を制御するための方法であって、
複数のセンサコンポーネント（１１１、１１２、１１３）、２つの異種のセンサ融合コンポーネント（１２１、１２２）、自動車のドライバを監視する監視コンポーネント（１４０）、マンマシンインタフェースコンポーネント（１３０）、および、アクチュエータ制御コンポーネント（１５０）は、TTEthernetメッセージを用いて中央TTEthernetメッセージ配信部（１００）を介して通信し、
前記中央TTEthernetメッセージ配信部（１００）はTTEthernetメッセージの一部をコピーして前記診断部に送信し、
前記診断部はコピーされたメッセージを分析して保持する、
ことを特徴とする制御方法。
【請求項１０】
前記診断部は、センサコンポーネント（１１１、１１２、１１３）のそれぞれ、２つの異種のセンサ融合コンポーネント（１２１、１２２）のそれぞれ、監視コンポーネント（１４０）、および、マンマシンインタフェースコンポーネント（１３０）の動作を、ダイナミックレンジとタイムレンジについてシミュレートするメッセージを生成する、
請求項９に記載の方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、自動車におけるブレーキおよび／または操舵（ないしステアリング）および／または加速を制御する装置に関する。
【０００２】
さらに、本発明はかかる装置を用いて自動車におけるブレーキおよび／または操舵（ないしステアリング）および／または加速を制御する方法に関する。
【０００３】
最後に、本発明はさらにかかる装置を少なくとも１つ備えた自動車に関する。
【背景技術】
【０００４】
本発明は、自動車用電子機器の分野に関する。２０１２年６月には、ＮＣＡＰ（European New Car Assessment Program、欧州新車アセスメントプログラム）という組織はロードマップ（非特許文献１）を公表した。ロードマップによると、２０１６年に自動緊急ブレーキ（ＡＥＢ：Autonomous Emergency Braking）システムを広範囲の新車に導入すべきとされている。さらに将来的には、自律走行のための電子システムは、まず高級車市場に投入され、その後マスマーケットに投入される。
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】US 7,839,868, Kopetz, H. Communication method and System for the transmission of time-driven and event-driven Ethernet messages. Granted November 23, 2010.
【特許文献２】Oesterreichische Patentanmeldung A 201/2013 der Fa. FTS Computertechnik, "Verfahren zur Allokation der Kontrolle in einem System-of-Systems," Eingereicht am 14.3. 2013.
【特許文献３】Oesterreichische Patentanmeldung A 198/2013 der Fa. FTS Computertechnik, "Verfahren zur Risikobegrenzung von Fehlern in einem sicherheitsrelevanten Steuerungssystem," Eingereicht am 14.3. 2013.
【特許文献４】US Patent Application 200432334, Kind, C., "Doze-off early Warning System for Automotive and other Applications," Feb. 19, 2004.
【非特許文献】
【０００６】
【非特許文献１】NCAP Rating Group. "EURO NCAP Rating Review 2012," Online at: URL: http://www.euroncap.com/
【非特許文献２】Oezguner, Ue., et al. "System for Safety and Autonomous Behavior in Cars: The DARPA Grand Challenge Experience," Proc. of the IEEE. Vol 95.No. 2. Pp.397-412. 2007.
【非特許文献３】Kopetz, H., "Real-time Systems-Design Principles for Distributed Embedded Applications," Springer Verlag, 2011.
【非特許文献４】Strayer, D.L. et al. Profiles in Driver Distraction: Effects of Cell Phone Conversations on Younger and Older Drivers. Human Factors. Vol. 46. No. 4, pp. 640-649. 2004
【非特許文献５】Autokiste., Brake distance calculator, accessed on Jan 13, 2013 at URL: http://www.autokiste.de/service/anhalteweg/index.htm
【発明の概要】
【発明が解決しようとする課題】
【０００７】
技術的／商業的な観点から、すでにプロトタイプで機能が実証可能となったこれらの電子システムを、必要な機能と信頼性が妥当なコストで実現できるように構成することが大きな課題となる（非特許文献２）。一度限りの開発コストに加えて、マスマーケットにおいては、繰り返し生じるコンピュータハードウェアの製造コストおよびメンテナンスコストが特に重要となる。
【０００８】
自動車の自律制御のための電子システムは、典型的には以下のコンポーネントを有する。
１．車道および自動車の周囲を監視するための複数の異種のセンサコンポーネント（カメラ、レーダー、レーザー、超音波など）
２．センサデータを処理し、コンピュータ内部における周囲の３次元モデルを作成し、アクチュエータに対する制御値を算出する、通常は冗長に実装されたセンサ融合コンポーネント
３．ドライバからの制御値を受信し、インテリジェントなアクチュエータ制御コンポーネント（ＡＳＴ）に転送するマンマシンインタフェースコンポーネント
４．ドライバの注意力を決定するためにドライバを観察する監視コンポーネント
５．センサ融合コンポーネントおよびマンマシンインタフェースコンポーネントからの制御値を受け取り、自動車に対する制御を有する主体を決定するとともに、どの制御値を自動車の物理的なアクチュエータ（ブレーキ、ステアリング、モータ）に転送すべきかを決定するインテリジェントなアクチュエータ制御コンポーネント（ＡＳＴ）
【０００９】
従来技術によると、これらのコンポーネントは、専用のデータ線および信号線を介して、または、比較的低速のバスシステム（例えば、ＣＡＮ（Controller Area Network）バスまたはフレックスレイ（FlexRay））を用いて接続される。
【００１０】
本発明の目的は、自動車のブレーキおよび／または操舵および／または加速を制御するためのかかる装置またはシステム、特にかかるフォールトトレラントな装置またはフォールトトレラントなシステムを有意に改良することにある。
【課題を解決するための手段】
【００１１】
かかる目的は導入部で言及した装置によって達成される。すなわち、本発明に係る装置は、複数の異なるセンサコンポーネントと、２つの異種のセンサ融合コンポーネントと、マンマシンインタフェースコンポーネントと、好ましくはインテリジェントなアクチュエータ制御コンポーネントを備え、前記コンポーネントは、それぞれ、故障封じ込めユニットを構成するとともにTTEthernet通信インタフェースを有し、すべてのコンポーネントは中央TTEthernetメッセージ配信部に接続され、すべてのコンポーネントは専ら標準化されたEthernetメッセージを用いて互いに通信し、TTEthernetメッセージ配信部には、伝達されたメッセージをリアルタイムに監視するための診断部が接続可能である。
【００１２】
中央TTEthernetメッセージ配信部の導入により、既存の装置は有意に改良される。
【００１３】
さらに、コンポーネントはそれぞれ自律的な故障封じ込め（ないし隔離）ユニット（ＦＣＵ：Fault-Containment Unit）として構成され、TTEthernetメッセージインタフェースを備えており、コンポーネント間の通信は標準化された高性能なリアルタイム通信システムTTEhernet（特許文献１）を介して１ギガビット／秒（Gb/sec）のデータレートで行うことができる。
【００１４】
単独で、または、任意の組み合わせとして実現可能な本発明に係る装置および本発明に係る方法の好ましい実施例は、次のように説明される。
・すべてのコンポーネントは基板上に配置され、コンポーネントと中央メッセージ配信部との間のデータ線は基板上の導線として実装されている。
・センサコンポーネントを除いたすべてのコンポーネントは基板上に配置され、コンポーネント、特に基板上のコンポーネントと中央メッセージ配信部との間のデータ線は導線として実装されている。
・中央メッセージ配信部と中央メッセージ配信部へのすべてのデータ線は、冗長に設けられている。
・マンマシンインタフェースコンポーネント、インテリジェントなアクチュエータ制御コンポーネント、および、アクチュエータ制御コンポーネントとアクチュエータの間のデータ線は、冗長に設けられている。
・前記装置は２つの独立した電流源を備え、２つの冗長化コンポーネントの第１のコンポーネントはそれぞれ第１の電流源から電流が供給され、２つの冗長化コンポーネントの第２のコンポーネントはそれぞれ第２の電流源から電流が供給される。
・２つのセンサ融合コンポーネントは、異種（ないし多様、diversitaer）であり、かつ、冗長に実装されていると、特に有利である。これにより、設計上の欠陥が同時に活性化される確率を低下させることができる。冗長化センサ融合コンポーネントも、２つの冗長化コンポーネントのソフトウェアが異なることにより、同じ課題を解決する。ハードウェアも異なっていてもよいが、異なっている必要はない。
・センサコンポーネント、２つのセンサ融合コンポーネント、監視コンポーネント、マンマシンインタフェースコンポーネント、および、好ましくはインテリジェントなアクチュエータ制御コンポーネント（各複数を含む）は、専ら標準化されたTTEthernetメッセージを用いてメッセージ配信部を介して通信し、メッセージ配信部はTTEthernetメッセージの一部をコピーして診断部に送信し、診断部はコピーされたメッセージを分析して保持する。
【００１５】
上述の装置を用いて自動車におけるブレーキおよび／または操舵および／または加速を制御するための方法において、複数のセンサコンポーネント、２つのセンサ融合コンポーネント、監視コンポーネント、マンマシンインタフェースコンポーネント、および、インテリジェントなアクチュエータ制御コンポーネントは、専ら標準化されたTTEthernetメッセージを用いてメッセージ配信部を介して通信し、メッセージ配信部はTTEthernetメッセージの一部をコピーして診断部に送信し、診断部はコピーされたメッセージを分析して保持することが特に好ましい。
【００１６】
さらに、上記方法において、診断部は、センサコンポーネントのそれぞれ、２つのセンサ融合コンポーネントのそれぞれ、監視コンポーネント、および、マンマシンインタフェースコンポーネントの動作を、ダイナミックレンジとタイムレンジについてシミュレートするメッセージを生成することが好ましい。
【００１７】
中央TTEthernetリアルタイム通信システムに関する電子部品のモジュラー構成によると、次の利点がもたらされる。
・物理的なデータ線の数が削減され、これはハードウェアの信頼性の向上につながる。
・２つの冗長化センサ融合コンポーネントのそれぞれが、すべてのセンサのデータにアクセスする。
・中央メッセージ配信部は選択されたメッセージをコピーし、このメッセージを分析して保持する独立した診断部に送信することができる。これにより、選択されたＦＣＵのそれぞれの結果をリアルタイムに監視することが可能となり、テスト、トラブルシューティング、および、メンテナンスが容易となる。
・診断部は、ＦＣＵのそれぞれの動作をリアルタイムにシミュレートすることができる。
・追加のセンサの接続も非常に容易となり、これにより、電子アーキテクチャの柔軟性が大幅に向上する。
・TTEthernet通信システムの正確な時間ラスタ（Zeitraster）は、イベントシーケンスの因果関係をシステムレベルで分析することをサポートする。
・目標とする冗長化を導入することが簡便となる。
【００１８】
以下では、本発明について図面に基づいてより詳細に論ずる。
【図面の簡単な説明】
【００１９】
【図１】典型的な装置のアーキテクチャの概略を示す。
【図２】目標とする冗長化の導入によって信頼性の向上を図ることが可能となる様子を示す図である。
【図３】制御システムの構成を示す図であり、制御システムに基づいてクリティカリティインデックスKIおよびエンゲージメントインデックスEIの算出について論じるための図である。
【図４】冗長化制御システムの構成を示す図である。
【発明を実施するための形態】
【００２０】
以下の具体的な実施例は、本発明に係る装置の実現可能な多くの構成のうちの１つを示すものである。
【００２１】
図１は中央TTEthernetメッセージ配信部１００を図の中心に示し、その周りには制御システムの必要不可欠なコンポーネントが配置されている。コンポーネントのそれぞれは、TTEthernet通信インタフェース（特許文献１）を備えている。コンポーネントとメッセージ配信部１００の間のデータ線１０１上では、専らイーサネット（登録商標）（Ethernet）（登録商標）メッセージがやり取りされる。
【００２２】
本発明によると、コンポーネントはそれぞれ故障封じ込め（隔離）ユニット（ＦＣＵ）を形成する必要がある。ＦＣＵとは、カプセル化されたセンサ／ハードウェア／ソフトウェアのサブシステムであると理解され、このサブシステムのエラー（ハードウェアエラー、ソフトウェアエラー、センサエラーのいずれであるかに依らず）の直接的な影響はこのサブシステムに限定されている（非特許文献３、１３６頁）。
【００２３】
したがって、提案するアーキテクチャにおいて、エラーは、間接的に、あるコンポーネントから他のコンポーネントへ誤りを含んだメッセージを通じてのみ伝搬し得る。メッセージ配信部１００が仲介するメッセージのうちの所定のメッセージクラスをコピーして、好ましくはリアルタイムに診断部１９０に送信するように、メッセージ配信部１００はパラメータ化することができる。メッセージはメッセージシーケンスの原因分析の前提であるため、メッセージはリアルタイム性を有することが特に好ましい。障害のあるコンポーネントによって生成された誤りを含んだメッセージに基づいて診断部１９０が当該コンポーネントを識別できるように、各ＦＣＵの結果を点検のために診断部にも送信することができる。
【００２４】
診断部１９０は、すべてのコンポーネントの動作をこれらに対応するメッセージを生成することによりシミュレートすることができる。すなわち、診断部１９０は、センサコンポーネントのそれぞれ、２つのセンサ融合コンポーネントのそれぞれ、監視コンポーネント、および、マンマシンインタフェースコンポーネントの動作を、ダイナミックレンジとタイムレンジについてシミュレートすることができる。
【００２５】
図１の左側には、３つの撮像センサ／センサコンポーネント１１１、１１２、１１３（例えば、カメラ１１１、レーダセンサ１１２、レーザセンサ１１３）が例示されている。画像認識は、通常、２つのステップで行われる。第１のステップにおいて重要な特徴（線、影、角度）が決定され、第２のステップにおいて、対象物を認識できるように、これらの特徴が組み合わされる。メッセージインタフェース１０１上のデータ量を削減するために、画像認識の第１のステップ（すなわち、重要な特徴の認識）を対応するセンサコンポーネントで実行するとともに、これらの特徴を異種の冗長化センサ融合コンポーネント１２１、１２２にTTEthernetメッセージを用いて送信することが提案される。設計上の欠陥が同時に活性化される確率を低くするために、センサ融合コンポーネント１２１、１２２は異種のものとして（すなわち、多様性を有するように）設計されている。
【００２６】
センサ融合コンポーネント１２１は、すべてのセンサコンポーネントからメッセージ配信部１００を介して配信されたデータを受信して、自動車の周囲に対する内部３次元モデルを構築する。このモデルにおいて、センサによって検出されたすべての対象物は３次元で表現され、（例えば、障害物や影であるかどうか）分類される。これから通過すると予想された道路上に障害物が検出された場合、適切な（例えばブレーキまたは操舵の）制御値がアクチュエータ制御部（ＡＳＴ）１５０に発行される。センサ融合コンポーネント１２１は、現在のシナリオのクリティカリティインデックスKIを算出する（特許文献２）。
【００２７】
センサ融合コンポーネント１２２は、センサ融合コンポーネント１２１と並列に、異なるソフトウェアを用いて動作する。特許文献３には、ソフトウェアエラーが発生した場合、センサ融合コンポーネント１２１およびセンサ融合コンポーネント１２２によって算出された２つの制御値を融合可能とする方法が開示されている。
【００２８】
監視コンポーネント１４０は、特許文献２に開示されているように、ドライバ１３２を観察し、ドライバのエンゲージメント（ないし、コミットメント、関与）インデックスEIを算出する。
【００２９】
マンマシンインタフェースコンポーネント１３０は、ドライバの要求を受信し、定期的にドライバの制御値を含むTTEthernetメッセージを（好ましくはインテリジェントな）ＡＳＴ１５０に送信する。ＡＳＴ１５０は、センサ融合コンポーネント１２１からのクリティカリティインデックスKIと、監視コンポーネント１４０からのエンゲージメントインデックスEIに基づいて、いずれの制御値を、データ線１５１を介して自動車のアクチュエータ１５２（ブレーキ、操舵、モータ）に発行するかを決定することができる（特許文献２参照）。
【００３０】
図２は、図１に関する電子アーキテクチャを示す。ここで、選択されたコンポーネントおよびデータ線は冗長に実装されている。図２の目的は、システム全体の故障につながるおそれのある危機的な単一故障を許容することにある。この目的を達成するために、中央メッセージ配信部１００と、メッセージ配信部に接続するすべてのデータ線１０１は冗長に実装する必要がある。加えて、マンマシンインタフェースコンポーネント１３０と、ＡＳＴ１５０と、ＡＳＴから物理的なアクチュエータへのデータ線１５１も、冗長に実装する必要がある。一方、センサコンポーネント１１１、１１２、１１３は冗長に実装する必要はない。なぜなら、これらのセンサは全体として自動車の周囲に関する冗長性の高いデータを供給し、したがって１つのセンサの故障は許容できるからである。センサ融合コンポーネント１２１、１２２は、すでに冗長化されている。ＡＳＴ１５０がドライバによって予め設定された制御値からドライバのエンゲージメントインデックスEIを導出することで、監視コンポーネントの故障はＡＳＴ１５０によって部分的に補償される（特許文献２）。
【００３１】
電流供給源における故障の結果を許容できるようにするために、冗長化電子システムは２つの独立な電流源から電流供給を受ける必要がある。ここで、各冗長化コンポーネントの第１の構成要素は第１の電流源から電流供給を受け、各冗長化コンポーネントの第２の構成要素は第２の電流源から電流供給を受ける。
【００３２】
本発明は、自動車用電子機器の分野に属する。本発明では、自動車のブレーキおよび／または操舵および／または加速の自律制御のためのフォールトトレラントな制御システムに対するネットワークベースのアーキテクチャについて説明する。すべてのセンサコンポーネントおよび処理コンポーネントを自律的な障害封じ込めユニット（ＦＣＵ）として構成するとともに、コンポーネント間のすべての通信が標準化された高信頼性のリアルタイム通信システムのメッセージインタフェースTTEthernetを介して行われるように、TTEthernetメッセージインタフェースを設けることが提案される。かかるネットワークベースのアーキテクチャによると、信頼性、保守性、および、柔軟性が高まり、電子機器を容易に使用開始（ないし援用）することができる。
【００３３】
以下では、特許文献２に記載されているような、クリティカリティインデックスKIおよびエンゲージメントインデックスEIの好ましい算出方法について論ずる。以下の図３に対して使用された参照符号は部分的に図１および図２のものと重複するが、これらは必ずしも図１および図２における同一の要素を意味しないことに留意されたい。したがって、図３に対する参照符号は図３との関連においてのみ理解されるべきである。
【００３４】
多くの技術的用途において、立法者は、人が自律的に実行されるプロセスを監視するとともに、つねにプロセスに介入できることを要求している。このような自動化された技術システムにおいては、２つの独立した制御システムが存在し、一方には、センサを備えた自律的な技術的な制御システムが存在し、他方には、人が存在する。制御システムを並列にコントロールすることによって、意図しないネガティブな緊急事態（Eigenschaften）がもたらされるおそれがある。本発明は、このようなネガティブな緊急事態を防ぐために、制御を如何に割り当てるかの方法を開示する。かかる方法は、自律走行車の制御の例について詳細に説明する。
【００３５】
図３によると、自律技術システムについて提案する制御システムは、４つのブロックを有する。図３の左側には、制御を行うコンピュータシステム（ＣＳ）が表示されている。コンピュータシステム（ＣＳ）は、センサ１１０、１２０とセンサ融合コンポーネントＳＦＫ１３０を含む。中央部には、好ましくはインテリジェントなアクチュエータ制御部（ＡＳＴ）１００が示されている。ＡＳＴ１００は、データ線１０１を介して技術システムのアクチュエータ１０２に対して、制御値を与える。図３の右側には、マンマシンインタフェースコンポーネント（ＭＭＩ）１５０と、ヒューマンオペレータ（人、操作者）ＨＯ１６０を示す。また、図３には、ＡＳＴ１００を介して監視コンポーネント（ＭＫ）１４０も示す。
【００３６】
以下では、この制御システムの機能を、自律走行車の制御の一例に即して説明する。（複数の）センサ１１０、１２０（例えば、カメラとレーザセンサ）は、定期的（ないし周期的）に自動車の周囲を観察し、収集したデータを、データ線１１１、１２１を介してＳＦＫ１３０に送信する。典型的な周期は、例えば１０ミリ秒（msec）である。ＳＦＫ１３０は、定期的に収集された周囲のデータに基づいて、自動車の周囲の３次元モデルを作成し、道路の障害物までの距離を計算し、障害物が移動する場合、障害物の運動方向と速度を計算する。３次元モデルの分析の後、ＳＦＫ１３０によって、当該自動車の速度を考慮しつつＡＳＴ１００に対する制御値が算出され、この制御値はデータ線１３１を介して定期的にＡＳＴ１００に送信される。
【００３７】
モデルの分析の間に、ＳＦＫ１３０は自動車の今後の動きにとって特別な意味を持つ３次元空間内の危険な場所（kritishe Orte）を算出する。例えば歩行者が速度を低下させることなく走行路（車道）方向に移動する場合、車道への進入が予想される場所がそのような危険な場所となる。ここでは、危険な場所を「ポイント・オブ・クリティカル・アクション（ＰＣＡ：Point of Critical Action）」という。ＳＦＫは３次元モデルにおいてドライバの目とＰＣＡの間の視線ベクトルを求め、求めた視線ベクトルのパラメータを、データ線１３３を介してＭＫ１４０に送信する。
【００３８】
認識されたＰＣＡが自動車の予定された走行路上に存在する場合、ＳＦＫ１３０は自動車を歩行者の手前で停止させるために、アクション（例えばブレーキプロセス）開始する。ここでは、障害物の前で停止するためにアクション（例えば、急ブレーキ）を開始することが可能な最後の時点を「ラスト・インスタント・オブ・アクション（ＬＩＡ：Last Instant of Action）」という。
【００３９】
以下の表１は、通常の路面状況における乗用車の制動距離と制動時間を示す。初期時間（オンセット時間）とは、障害物が登場してからブレーキを開始するまでの間に経過する期間を指すものとする。初期時間の間に、以下のアクションを行う必要がある。
・シナリオの監視
・シナリオの分析
・必要なアクションの決定
・アクションの開始
【００４０】
非特許文献４によると、ＨＯ（Human Operator）１６０初期時間の典型的な値は1秒であり、一方、ＣＳに対して20ミリ秒（msec）の値が想定されている。表１の初期距離ＡＥ（Anfangsentfernung）は、初期時間の間に自動車が進む距離（m）を示す。制動距離ＢＷは、初期距離と、ブレーキの開始後に自動車を停止させるために必要な距離との和である。表において、ＡＥは「初期距離」を示し、ＢＷは「制動距離」を示し、自動（auto）は「自動（automatisch）」を示す。また、初期時間は手動の場合「1秒」であり、自動の場合「0.1秒」であることを前提とする。
【００４１】
表１：制動距離と制動時間（非特許文献５）
0006442129.tif 000002
【００４２】
残された反応時間VRZは、現在時刻／時点（今）とＬＩＡとの時間間隔である。VRZは、現在のシナリオのクリティカリティ（ないし緊急性）の程度を表す。ＳＦＫは、自動車の速度と現在の走行条件を考慮して、VRZから、現在のシナリオのクリティカリティインデックスKIを決定する。規格化されたKIは0と1の間の値をとり、値0は緊急性が最も低いことを表し、値1は緊急性が最も高いことを表す。
【００４３】
表１に関連して、KIは、例えば以下のように決定することができる。
・VRZ > 4×（制動時間）である場合、KI = 0
・VRZ <（制動時間）である場合、KI = 1、
・これら以外の場合、KI = 1 -｛VRZ−（制動時間）｝／｛３×（制動時間）｝
【００４４】
KIは、ＳＦＫ１３０によって定期的にデータ線１３１を介してＡＳＴ１００に送信される。
【００４５】
図３のＨＯ１６０は、自動車の周囲を自身の目によって監視し、シナリオを分析し、ＭＭＩ１５０に制御値を与える。自動車では、ＭＭＩは主にブレーキ、ステアリングホイール、および、アクセルペダルから成る。特許文献４では、例えば、ＨＯがステアリングホイールを持つ力を測定するセンサをステアリングホイールに組み込むことが提案されている。ＭＭＩはこの制御値を定期的に受信し、現在のサイクルおよび直近のサイクルにおいてＨＯから受信した制御値を含むベクトル（CCV: Current Control Vector）を生成する（直近のサイクルとは、例えば、最近の10サイクルである）。CCVは、定期的にＡＳＴ１００およびＭＫ１４０に送信される。
【００４６】
ＭＫ１４０は定期的（ないし周期的）にカメラを用いてＨＯ１６０（ドライバ）の視線を取得して、ＨＯ１６０が道路とＳＦＫ１３０から受信したＰＣＡに目を向けているかどうかを決定し、現在のサイクルにおける視覚注意力インデックス（OAI: Optischer Aufmerksamkeitsindex）を算出する。ＨＯ１６０が現在のサイクルにおいて視覚的な注意力を払っている場合、OAIは値1をとる。一方、ＨＯ１６０が走行路を見ていない、または、マイクロスリープに陥っている場合、OAIは値0をとる。他の場合には、OAIは1と0の間の値をとる。次に、ＭＫ１４０は直近のサイクル、例えば１秒（表１の初期時間）以内のOAIの時系列を生成するために、OAIをベクトルとして保持し、この時系列から、好ましくは指数スムージングを用いて、好ましくは平滑化された視覚注意力インデックスOAIgeglを計算する。ここで、直近の過去（例えば、直近の10サイクル）のOAI値には、それ以前の値と比較して、より大きい重みが付される。
【００４７】
同様に、ＭＫ１４０はＭＭＩ１５０から受信したCCVから、好ましくは指数スムージングを用いて、好ましくは平滑化された、運動（動的）注意力インデックス（motorischer Aufmerksamkeitsindex）MAIgeglをサイクルごとに算出する。
【００４８】
エンゲージメントインデックスEIは、現時点でＨＯが自動車の制御にどの程度コミットしているかを示す。EIは、OAIgeglおよびMAIgeglの関数である。この関数は、交通状況（市街地走行、高速道路での運転）に応じて異なる。考えられる関数の特性が、表２に示されている。
【００４９】
表２：OAIgeglとMAIgeglの関数としてのエンゲージメントインデックスEI
0006442129.tif 000003
【００５０】
EIは0と1の間の値をとる規格化された値であり、値0はＨＯ１６０がコミットしていないことを意味し、値1はＨＯ１６０が完全にコミットしていることを意味する。表２の第２列（MAIgegl = 0.0）はＨＯ１６０が多少なりとも注意を払ってイベントを追跡しているものの、イベントには介入していない場合に相当する。ＭＫ１４０は、定期的にデータ線１４１を介してEIをＡＳＴ１００に送信する。
【００５１】
ＡＳＴ１００は、サイクルごとに、アクチュエータに対する制御値のセットと、現在のシナリオのＫＩをＳＦＫ１３０から、アクチュエータに対するさらなる制御値の集合をＭＭＩ１５０から、ＨＯ１６０の現在のEIをＭＫ１４０から、それぞれ取得する。
【００５２】
まず、ＡＳＴは、現在のサイクルにおいてアクチュエータに対する制御をだれが行使するか、すなわち、ＳＦＫ１３０または（ＭＭＩ１５０を介した）ＨＯ１６０のいずれかを決定する必要がある。EI > KIである場合、ＨＯ１６０が制御を取得し、ＡＳＴはＭＭＩ１５０から制御値を受け取る。EI > EIgrenz、かつ、ＨＯ１６０が過去のサイクルで制御を行使した場合、ＨＯ１６０は現在のサイクルにおいても制御を維持し続ける。Elgrenzは、一時的にＨＯ１６０の強いコミットメントが生じた場合、ＨＯ１６０とＳＦＫ１３０の間で制御が行き来する（チャタリングする）のを防ぐために導入されたパラメータである。EI ≦ Elgrenz かつ KI ≧ EIの場合、ＳＦＫ１３０が制御を取得する。次に、ＡＳＴ１００は選択された制御値をアクチュエータ１０２に送信する。
【００５３】
EIgrenzの典型的な値は、0.7である。
【００５４】
制御の明確な割り当てにより、ＳＯＳ事態において、予期しない好ましくない緊急事態が発生するのを防ぐとともに、システムの信頼性が向上する。したがって、本発明は経済的にも社会的にも重要な意味を持つものである。
【００５５】
上述のＳＯＳ事態における制御の割り当て方法は、自律走行車に適用可能であるのみならず、他の自律装置、例えば、ロボットの制御にも適用可能である。
【００５６】
特許文献３には、ソフトウェアエラーが発生した場合に、２つのセンサ融合コンポーネントによって算出された制御値を融合可能とする方法が開示されている。以下では、特許文献３に記載された方法について、図４を参照して議論する。以下の図４に対して使用された参照符号は部分的に図１ないし図３のものと重複するが、これらは必ずしも図１ないし図３における同一の要素を意味しないことに留意されたい。したがって、図４に対する参照符号は、図４との関連においてのみ理解されるべきである。
【００５７】
以下の具体例では、車両（自動車）における自律ブレーキシステムを参照して、かかる方法について記載する。
【００５８】
２０１２年６月にはＮＣＡＰ（European New Car Assessment Program、欧州新車アセスメントプログラム）という組織がロードマップ（非特許文献１）を公表した。ロードマップによると、２０１６年に自動緊急ブレーキ（ＡＥＢ：Autonomous Emergency Braking）システムを広範囲の新車に導入すべきとされている。自律ブレーキシステムの信頼性と安全性を向上させるため、次のことが提案される。すなわち、故障封じ込めユニット（ＦＣＵ：Fault-Conainment Unit）の１つにエラーが発生した場合においても自動車を素早く安全な状態にすることができるように、自動車の周囲を観察するセンサと、評価のために必要な電子機器を、２つの自律的な故障封じ込めユニットに分割すること、および、２つの独立したＦＣＵによって算出された制御値を融合することが提案される。ＦＣＵとは、カプセル化されたセンサ／ハードウェア／ソフトウェアのサブシステムであると理解され、このサブシステムのエラー（ハードウェアエラーか、ソフトウェアエラーか、センサエラーかに関わりなく）の直接的な影響はこのサブシステムに限定されている（非特許文献３、１３６頁）。ＦＣＵが他のＦＣＵを参照することなく必要な機能を提供できる状況にある場合、ＦＣＵは自律性を有する。
【００５９】
本発明によると、ＡＥＢシステムは２つのＦＣＵ１１０、１２０を有する。ＦＣＵ１１０は、自動車の周囲を監視するセンサ（例えばカメラ、レーダー）１１１、１１２を備えている。ＦＣＵ１２０は、センサ１２１、１２２を備えている。センサ１１１、１１２、１２１、１２２は、定期的（ないし周期的）に読み出される。ここで、周期は典型的には10ミリ秒（msec）である。ＦＣＵ１１０において、センサ融合コンポーネントＳＦＫ１１３はセンサデータを取得し、ブレーキアクチュエータに対する制御値を算出する。ここで、制御値0はブレーキをかけないことを意味し、制御値1は最大のブレーキ力を発揮することを意味する。同様に、センサ融合コンポーネント１２３は、ＦＣＵ１２０の制御値を算出する。２つの制御値は、ブレーキを制御するため、データ線１１４、１２４を介してインテリジェントなアクチュエータ制御部（ＡＳＴ）１００に出力される。ＡＳＴ１００のハードウェア故障を素早く検出できるように、ＡＳＴ１００はセルフチェック（自己診断）ハードウェア上で実行することができる。ＡＳＴ１００の比較的単純なソフトウェアには、設計エラーがないものと想定される。
【００６０】
障害がない場合、ＦＣＵ１１０、１２０による２つの制御値は同一となるため、ＡＳＴ１００が２つの制御値のうちのいずれを取得するかは重要ではない。
【００６１】
一方、エラーが発生した場合、ＦＣＵ１１０、１２０による２つの制御値の値は異なる。極端な場合には、あるサイクルにおいてＦＣＵ１１０は値1（フルブレーキング）を算出し、ＦＣＵ１２０は値0（ブレーキなし）を算出する。一方のＦＣＵのみが故障したと仮定しているため、これら２つの値の一方が正しく、他方は誤りである。しかし、どの値が正しく、どの値が誤りであるのかは分かっていない。正しい値が0（ブレーキなし）である場合、間違った値1（すなわち、不要な自発的なフルブレーキング）を選択すると、後続の自動車によって追突されるおそれがある。一方、正しい値が1（フルブレーキング）である場合、間違った値0を選択すると、事故を招くおそれがある。誤った選択を行うリスクを抑えるために、エラーが発生した（すなわち、２つのＦＣＵによる制御値が異なる）場合、安全性への配慮からブレーキをかけないという選択肢よりもブレーキをかけるという選択肢に対してより大きい重み付けを行う加重平均アルゴリズムによって、制御値を算出することが提案される。
【００６２】
また、エラーが発生した（すなわち、２つの制御値が異なる）場合、インテリジェントなＡＳＴが自動車の診断用メモリにエラーメッセージを記録することが提案される。
【００６３】
本発明では、ＡＳＴ１００はＦＣＵ１１０、１２０の２つの制御値から以下の式を適用して現在のサイクルiの制御値Biを算出する。
Bi = (g*Bgross + Bklein)/(g+l)
ここで、Bgrossは、ＦＣＵ１１０、１２０による２つの制御値のうちの相対的に大きい方であり、Bkleinは相対的に小さい方である。変数gは、相対的に大きい方の制御値（相対的に強いブレーキ）に対して、相対的に小さい方の制御値（相対的に弱いブレーキ）と比較して、どの程度の重みを考慮するかを示す。
【００６４】
以下の例では、g = 3、すなわち、加重平均アルゴリズムにおいて、相対的に大きい方の制御値は相対的に小さい方の制御値と比較して３倍の重みを有するものと仮定する。相対的に大きい制御値に大きい重みを付することにより、障害が発生した場合、自動車を素早く安全な状態（例えば、減速中の状態、もしくは、減速された状態、または、静止した状態）にすることができる。
【００６５】
表３：BgrossとBkleinの関数として与えられた制御値（g = 3）
0006442129.tif 000004
【００６６】
重みg = 3の例は、すでに考察した極端な場合（すなわち、一方のＦＣＵがフルブレーキングであり、他方のＦＣＵがブレーキなしである場合）、75パーセントのブレーキ力が適用されることを示す。表３によると、障害がない場合（表３の対角線）、制御値が変更されないことも分かる。
【００６７】
アナログ技術のシステムとは異なり、デジタルシステムでは、障害が結果に及ぼす影響は予測不可能である。障害によって引き起こされたＰＳ（Physical System、物理システム、上記例では自動車）の自発的な反応をさらに緩和するために、２つのＦＣＵにより算出された制御値において急に大きい差が生じた場合、サイクルiの制御値Biを、現在の制御値と直前のサイクル(i - 1)の制御値の加重平均によってさらに補正することができる。かかる目的で、ＡＳＴ１００は次のように補正された制御値Bikorを求めることが提案される。
Bikor = (Bi + Bi-i *(Bgross - Bklein))/(1 + Bgross - Bklein)
【００６８】
(Βgross - Bklein) = 0 （制御値が同一）の場合、Bikor = Biとなり、すなわち補正は行われない。 逆に、(Bgross - Bklein) = 1 （極端なケース）の場合、Bikor = (Bi + Bi-i)/2となり、すなわちBikorは最後の2サイクルの中間値をとる。他のすべての(Βgross - Bklein)の値について、Bikorの値は、これらの２つの限界値の間の値となる。補正された制御値Bikorを計算することにより、故障によって引き起こされた自発的な反応が緩和される。
【００６９】
提案された方法は、冗長システムにおいて比較的少ないコストで実現することができ、自律制御システムの信頼性と安全性を大幅に向上させることにつながる。
なお、特許請求の範囲に付記した図面参照符号は、図示した形態に限定することを意図するものではなく、専ら理解を助けるためのものである。
また、本発明において、さらに以下の形態が可能である。
［形態１］
自動車におけるブレーキおよび／または操舵および／または加速を制御するための装置であって、
前記装置は、複数の異なるセンサコンポーネントと、マンマシンインタフェースコンポーネントと、アクチュエータ制御コンポーネントを備え、
前記コンポーネントは、それぞれ故障封じ込めユニットを構成するとともにTTEthernet通信インタフェースを有し、
前記装置は、２つの異種のセンサ融合コンポーネントと、自動車のドライバを監視する監視コンポーネントをさらに備え、
前記センサ融合コンポーネントは、それぞれ、同様に故障封じ込めユニットを構成するとともにTTEthernet通信インタフェースを有し、
すべてのコンポーネントは中央TTEthernetメッセージ配信部に接続され、TTEthernetメッセージを用いて前記中央TTEthernetメッセージ配信部を介して互いに通信し、
前記中央TTEthernetメッセージ配信部には、伝達されたメッセージをリアルタイムに監視するための診断部が接続可能である、
ことを特徴とする制御装置。
［形態２］
すべてのコンポーネントは基板上に配置され、コンポーネントと前記中央TTEthernetメッセージ配信部との間のデータ線は基板上の導線として実現されている、
形態１に記載の装置。
［形態３］
センサコンポーネントを除いたすべてのコンポーネントは基板上に配置され、コンポーネント間、特に基板上のコンポーネントと前記中央TTEthernetメッセージ配信部との間のデータ線は導線として実装されている、
形態１に記載の装置。
［形態４］
前記中央TTEthernetメッセージ配信部と前記中央TTEthernetメッセージ配信部へのすべてのデータ線は、冗長に設けられている、
形態１ないし３のいずれか一に記載の装置。
［形態５］
マンマシンインタフェースコンポーネント、アクチュエータ制御コンポーネント、および、アクチュエータ制御コンポーネントとアクチュエータの間のデータ線は、冗長に設けられている、
形態１ないし３のいずれか一に記載の装置。
［形態６］
２つの冗長化コンポーネントの第１のコンポーネントはそれぞれ第１の電流源から電流が供給され、２つの冗長化コンポーネントの第２のコンポーネントはそれぞれ第２の電流源から電流が供給される、
形態１ないし５のいずれか一に記載の装置。
［形態７］
２つのセンサ融合コンポーネントは、異種であり、かつ、冗長に実装されている、
形態１ないし６のいずれか一に記載の装置。
［形態８］
センサコンポーネント、２つの異種のセンサ融合コンポーネント、監視コンポーネント、マンマシンインタフェースコンポーネント、および、アクチュエータ制御コンポーネントは、TTEthernetメッセージを用いて前記中央TTEthernetメッセージ配信部を介して通信し、
前記中央TTEthernetメッセージ配信部はTTEthernetメッセージの一部をコピーして診断部に送信し、
診断部はコピーされたメッセージを分析して保持する、
形態１ないし７のいずれか一に記載の装置。
［形態９］
形態１ないし８のいずれか一に記載の装置を用いて自動車におけるブレーキおよび／または操舵および／または加速を制御するための方法であって、
複数のセンサコンポーネント、２つの異種のセンサ融合コンポーネント、自動車のドライバを監視する監視コンポーネント、マンマシンインタフェースコンポーネント、および、アクチュエータ制御コンポーネントは、TTEthernetメッセージを用いて中央TTEthernetメッセージ配信部を介して通信し、
前記中央TTEthernetメッセージ配信部はTTEthernetメッセージの一部をコピーして前記診断部に送信し、
前記診断部はコピーされたメッセージを分析して保持する、
ことを特徴とする制御方法。
［形態１０］
前記診断部は、センサコンポーネントのそれぞれ、２つの異種のセンサ融合コンポーネントのそれぞれ、監視コンポーネント、および、マンマシンインタフェースコンポーネントの動作を、ダイナミックレンジとタイムレンジについてシミュレートするメッセージを生成する、
形態９に記載の方法。
【符号の説明】
【００７０】
＜図１、図２＞
１００    メッセージ配信部
１０１、１５１    データ線（メッセージインタフェース）
１１１−１１３  センサコンポーネント（センサ）
１２１、１２２    センサ融合コンポーネント（ＳＦＫ）
１３０    マンマシンインタフェースコンポーネント（ＭＭＩ）
１３２    ドライバ
１４０    監視コンポーネント（ＭＫ）
１５０    アクチュエータ制御部（ＡＳＴ）
１５２    アクチュエータ
１９０    診断部
＜図３＞
１００    アクチュエータ制御部（ＡＳＴ）
１０２    アクチュエータ
１１０、１２０    センサ
１１１、１２１、１３１、１３３、１４１    データ線
１３０    センサ融合コンポーネント（ＳＦＫ）
１４０    監視コンポーネント（ＭＫ）
１５０    マンマシンインタフェースコンポーネント（ＭＭＩ）
１６０    ヒューマンオペレータ（ＨＯ）（ドライバ）
＜図４＞
１００    アクチュエータ制御部（ＡＳＴ）
１０１    アクチュエータ
１１０、１２０    故障封じ込め（隔離）ユニット（ＦＣＵ）
１１１、１１２、１２１、１２２    センサ
１１３、１２３    センサ融合コンポーネント（ＳＦＫ）
１１４、１２４    データ線
【図１】
0006442129.tif 000005
【図２】
0006442129.tif 000006
【図３】
0006442129.tif 000007
【図４】
0006442129.tif 000008