自动驾驶系统、自动驾驶车的控制方法与流程

1.本发明涉及一种自动驾驶系统的安全技术。


背景技术：

2.在日本特开2019－155956中提出了一种车辆控制装置，该车辆控制装置根据自动驾驶的等级防止由误操作导致的自动驾驶的结束。该车辆控制装置被设定为用于使自动驾驶结束的驾驶员的操作或对操作的判定根据自动驾驶的等级而不同。
3.进行车辆的控制(除了自主行驶控制以外，也包括车辆安全控制、车辆稳定控制等)的设定变更会影响车辆的安全性。因此，对于进行设定变更的操作，理想的是由自动驾驶车的操作员等合格者来进行。此外，理想的是，通过操作配备于自动驾驶车的驾驶操作系(方向盘、加速踏板、制动踏板等)而手动地进行驾驶的操作也由操作员等合格者来进行。
4.然而，随着自动驾驶的等级提高，考虑在执行自主行驶控制期间，操作员将不对用于进行设定变更的装置、驾驶操作系进行监视(例如，等级为4级以上的自动驾驶车等)。因此，非常担心不是操作员等合格者的第三者因恶作剧、错误而进行设定变更的操作、驾驶操作系的操作。这是因为根据执行自主行驶控制期间的操作员的状况，恐怕会由于操作员对这样的操作的辨识延迟或无法辨识而无法保持车辆的安全性。
5.另一方面，即使在执行自主行驶控制期间，假定操作员等合格者也会考虑想要进行控制的设定变更的情况、考虑想要进行手动驾驶的情况。此外，对于操作员等合格者来说理想的是，能更简单地进行设定变更的操作、驾驶操作系的操作的方案。因此，在执行自主行驶控制期间不受理任何的操作、使用于进行操作的过程、装置复杂化也是不理想的。


技术实现要素：

6.本发明提出一种自动驾驶系统以及方法，该自动驾驶系统以及方法防止在执行自主行驶控制期间，因自动驾驶车的操作员等合格者以外的人的恶作剧、错误而进行控制的设定变更、驾驶操作系的操作这样的需要注意的操作。
7.本公开的一个方案的自动驾驶系统是进行自动地控制车辆的行驶的自主行驶控制的自动驾驶系统，具备控制装置和请求输入装置。控制装置执行包括自主行驶控制的车辆的一个或多个控制。请求输入装置通过由人进行的、操作来对控制装置提出各种请求。
8.在自主行驶控制正在执行的情况下，控制装置执行对操作请求输入装置的操作者是否是合格者进行判定的操作者判定处理。然后，在操作者是合格者的情况下，允许请求，在操作者不是合格者的情况下，不允许请求。
9.该自动驾驶系统还可以具备操作者识别装置，该操作者识别装置识别操作者并输出作为与操作者有关的信息的操作者信息。而且，控制装置也可以在操作者判定处理中，基于操作者信息来判定操作者是否是合格者。
10.该自动驾驶系统的控制装置也可以基于从配备于车辆的传感器获取的驾驶环境信息来执行：计算表示车辆的安全性方面的风险的安全风险的处理；以及计算表示控制装
置所执行的控制的可靠性的系统置信度的处理。而且，也可以是，在安全风险为规定的风险阈值以上并且系统置信度为规定的第一阈值以上的情况下，无论操作者是否是合格者，控制装置都不允许请求。此外，也可以是，在安全风险为规定的风险阈值以上并且系统置信度小于规定的第二阈值的情况下，无论操作者是否是合格者，都允许请求。
11.本公开的一个方案的控制方法是自动驾驶车的控制方法，其中，在由控制装置实施的自主行驶控制的执行时对控制装置提出了与自动驾驶车的控制有关的请求的情况下，判定提出了请求的操作者是否是合格者，在操作者是合格者的情况下，允许请求，在操作者不是合格者的情况下，不允许请求。
12.也可以是，在该控制方法中，基于表示自动驾驶车的驾驶环境的驾驶环境信息，计算表示自动驾驶车的安全性方面的风险的安全风险和表示控制装置所执行的控制的可靠性的系统置信度，在安全风险为规定的风险阈值以上并且系统置信度为规定的第一阈值以上的情况下，无论操作者是否是合格者，都不允许请求。此外，也可以是，在安全风险为规定的风险阈值以上并且系统置信度小于比第一阈值小的规定的第二阈值的情况下，无论操作者是否是合格者，都允许请求。
13.根据本公开，只有在不在执行自主行驶控制期间的情况或即使在执行自主行驶控制期间也要在操作者是合格者的情况下，才允许对控制装置的请求。由此，能防止在执行自主行驶控制期间，因自动驾驶车的操作员等合格者以外的人的恶作剧、错误而进行控制设定的变更、驾驶操作系的操作这样的需要注意的操作。
14.而且，也可以是，在计算出安全风险和系统置信度，安全风险为规定的风险阈值以上并且系统置信度为规定的第一阈值以上的情况下，无论操作者是否是合格者，都不允许请求。由此，能在安全性方面的风险高到一定程度的情况下，将车辆的驾驶等委托给可靠性高的自动驾驶系统的控制，而不受设定变更等的影响。因此，能提高车辆的安全性。
15.此外，还可以是，在安全风险为规定的风险阈值以上并且系统置信度小于规定的第二阈值的情况下，无论操作者是否是合格者，都允许请求。由此，无论安全性方面的风险是否高到一定程度，在自动驾驶系统的控制的可靠性低的情况下，即使是非合格者，也能允许其进行请求输入装置的操作，并委托其进行车辆的驾驶等的判断。
附图说明
16.以下，参照附图，对本发明的示例性实施例的特征、优点以及技术和工业意义进行说明，其中，相同的附图标记表示相同的元件，其中：
17.图1是表示车辆具备hmi装置和驾驶装置的情况下的驾驶席附近的例子的概念图。
18.图2是表示第一实施方式的驾驶系统的构成例的框图。
19.图3是表示第一实施方式的请求允许判定部的处理的流程图。
20.图4是表示第一实施方式的变形例的驾驶系统的构成例的框图。
21.图5是表示第二实施方式的驾驶系统的构成例的框图。
22.图6是表示第二实施方式的请求允许判定部的处理的流程图。
23.图7是表示第二实施方式的请求允许判定部的处理的流程图。
24.图8是表示通过图6和图7所示的处理实现的与安全风险和系统置信度相应的请求可否被允许的概念图。
具体实施方式
25.以下，参照附图，对本发明的实施方式进行说明。其中，在以下所示的实施方式中提及了各元件的个数、数量、量、范围等数字的情况下，除了特别明示的情况、在原理上明显地确定为该数字的情况之外，本发明不限定于该提及的数字。此外，就在以下所示的实施方式中进行说明的构造等而言，除了特别明示的情况、在原理上明显地确定为该构造等的情况之外，在本发明中不一定是必须的。需要说明的是，各图中，对相同或相应的部分附加相同的附图标记，并适当简化或省略其重复说明。
26.1.概要
27.能自主行驶的自动驾驶车通常具备：多个传感器，对车辆的状态信息(车速、加速度、横摆角速度等)、周边环境(前方车辆、周围的物标、车道等)的信息等驾驶环境信息进行检测；以及控制装置，进行自主行驶控制。控制装置典型的是ecu(electronic control unit：电子控制单元)。自主行驶控制的ecu基于驾驶环境信息来执行自主行驶控制的处理。然后，对车辆的致动器输出用于沿行驶路径进行行驶的控制信号。
28.自动驾驶车所具备的ecu有时不仅执行自主行驶控制，也执行车辆安全控制(碰撞损伤减轻制动器、车道偏离防止辅助控制、误踩踏防止控制、盲点监视、其他安全预防控制等)、车辆稳定控制(侧滑防止控制、牵引力控制等)等。其中，也包括各控制通过若干个不同的ecu执行的情况。
29.包括自主行驶控制的这些控制通常具有能进行设定变更的项目。例如，能进行设定变更的项目为各控制的工作灵敏度、各控制功能的打开关闭等。这样的设定变更典型地能通过由人操作配备于车辆的hmi(human machine interface：人机界面)装置来进行。控制的设定变更会影响车辆的安全性，因此，理想的是，由自动驾驶车的操作员等合格者进行辨识。
30.此外，有时在自动驾驶车配备有能通过由人进行操作来进行手动驾驶的驾驶操作系(方向盘、加速踏板、制动踏板等)。驾驶操作系典型地配备于作为驾驶席的座位附近。
31.图1是表示作为自动驾驶车的车辆具备触摸面板pnl作为hmi装置，具备方向盘str作为驾驶操作系的情况下的车辆的驾驶席附近的例子的概念图。在图1所示的例子中，能通过操作触摸面板pnl来进行控制的设定变更。此外，能通过操作方向盘str来进行车辆的转向的驾驶操作。
32.考虑这样的驾驶席应用于私家车、公共汽车等各种形式和目的的自动驾驶车的情况。另一方面，随着自动驾驶的等级提高，考虑自动驾驶车的操作员将不对hmi装置、驾驶操作系进行监视。而且，考虑操作员处于离开驾驶席的位置。例如，是在私家车中，操作员在执行自主行驶控制期间进行读书这样的情况、在公共汽车中，为了进行车内业务，操作员在执行自主行驶控制期间离开驾驶席的情况等。
33.因此，非常担心不是操作员等合格者的第三者因恶作剧、错误而进行的hmi装置、驾驶操作系的操作。例如，是在私家车中，坐在副驾驶席的人意外操作hmi装置、驾驶操作系的情况；在公共汽车中，乘客恶作剧而操作hmi装置、驾驶操作系的情况。在该情况下，根据操作员的状况，恐怕对该操作的辨识会延迟或无法辨识而无法保持车辆的安全性。
34.另一方面，即使在执行自主行驶控制期间，假定操作员也会考虑想要进行控制的设定变更的情况、考虑想要进行手动驾驶的情况。例如，是由于行驶路径上的周围环境而碰
撞损伤减轻制动器不必要地工作的情况、考虑想要享受自己驾驶的乐趣的情况。
35.因此，本实施方式的自动驾驶系统在执行自主行驶控制期间，判定操作hmi装置、驾驶操作系的操作者是否是操作员等合格者。然后，在执行自主行驶控制期间，只有在操作者是合格者的情况下，才允许通过操作对控制装置进行的请求。由此，防止在执行自主行驶控制期间，因车辆的操作员等合格者以外的人的恶作剧、错误而进行控制的设定变更、驾驶操作系的操作这样的需要注意的操作。
36.2.第一实施方式
37.2－1.构成
38.图2是表示第一实施方式的自动驾驶系统100的构成例的框图。自动驾驶系统100具备：ecu10、请求输入装置20、识别摄像机30、传感器40、通信装置50以及致动器60。ecu10与请求输入装置20、识别摄像机30、传感器40、通信装置50以及致动器60电连接或无线连接，并被配置为能传递信息。
39.请求输入装置20是通过由人(操作者ps)进行操作来对ecu10提出各种请求的装置。在图1所示的构成例中，作为请求输入装置20示出了hmi装置21和驾驶操作系22。其中，既可以仅将任一方作为请求输入装置20，又可以将对ecu10提出请求的其他的装置作为请求输入装置20。
40.hmi装置21例如是配备于车辆的开关、触摸面板、汽车导航等。操作者ps能通过操作hmi装置21来进行ecu10所执行的控制的设定变更。此时，hmi装置21对ecu10提出设定变更请求。设定变更请求包括设定变更值，该设定变更值表示对进行设定变更的项目请求的变更值。
41.驾驶操作系22例如是配备于车辆的方向盘、加速踏板、制动踏板等。操作者ps能通过操作驾驶操作系22来进行车辆的驾驶操作。就是说，操作者ps能操作驾驶操作系统22来进行手动驾驶。此时，驾驶操作系统22对ecu10提出驾驶请求。驾驶请求包括驾驶操作系22的操作量(方向盘的转向角、加速踏板的踩踏量等)。
42.识别摄像机30(操作者识别装置)拍摄操作者ps，通过图像识别处理来将与操作者ps的面部、服装有关的信息作为操作者信息输出。或者也可以执行根据与操作者ps的面部、服装有关的信息对操作者ps是否是合格者进一步进行判定的处理，并将针对是否是合格者的信息作为操作者信息输出。在该情况下，识别摄像机30被预先提供了用于判定是否是合格者的基准(合格者的面部、服装的数据等)。
43.识别摄像机30被配置于能拍摄操作者ps的位置，使其能获取针对操作者ps的操作者信息。例如，配置为在请求输入装置20的附近且面对操作者ps。或者，配置为配备于车辆的顶棚，从而能拍摄车内整体。需要说明的是，也可以是车辆配备有多个识别摄像机30，识别摄像机30被配置为分别输出不同的操作者信息。
44.传感器40检测驾驶环境信息并输出。传感器40例如作为检测车辆的状态的信息的装置，是车轮速度传感器、g(重力)传感器、横摆角速度传感器等。作为检测车辆的周边环境的信息的装置，是摄像机、雷达、lidar(light detection and ranging：光探测和测距)等。
45.通信装置50是通过与车辆和车辆的外部进行通信来获取信息(通信信息)并输出的装置。通信装置50例如是gps(global positioning system：全球定位系统)装置。通信信息例如是地图信息和地图上的车辆的位置的信息。
46.ecu10基于所获取的信息来执行车辆的控制的各种处理，并生成控制信号。然后，对致动器60输出控制信号。也可以以向操作者ps传达信息为目的对hmi装置21输出控制信号。
47.ecu10典型地具备存储器和处理器。存储器包括暂时性存储数据的ram(random access memory：随机存取存储器)和存储能通过处理器执行的控制程序、控制程序的各种数据的rom(read only memory：只读存储器)。处理器从存储器读出程序，并基于从存储器读出的各种数据来执行按照程序的处理。
48.ecu10包括请求允许判定部11和控制部12。请求允许判定部11执行对从请求输入装置20对ecu10提出的请求可否被允许进行判定的处理。请求允许判定部11在判定为允许请求的情况下，对控制部12传递请求。在后文对请求允许判定部11所执行的处理的详细内容加以叙述。
49.控制部12执行包括自主行驶控制的多个控制的处理，并生成控制信号。此外，控制部12执行与从请求允许判定部11传递的请求相应的处理。在设定变更请求被传递的情况下，控制部12进行控制的设定变更，使其成为设定变更值。更具体而言，处理器变更存储于存储器的控制程序的控制的设定的值。在驾驶请求被传递的情况下，控制部12取消自主行驶控制，并生成控制信号，以便进行与操作量相应的行驶。就是说，实现由操作者ps进行的手动驾驶。
50.控制部12对请求允许判定部11输出自主行驶控制执行标志，该自主行驶控制执行标志在执行自主行驶控制期间的情况下为1，在不在执行自主行驶控制期间的情况下为0。由此，请求允许判定部11能判断控制部12是否正在执行自主行驶控制。
51.需要说明的是，请求允许判定部11和控制部12可以分别作为控制程序中的处理的一部分而实现，也可以分别作为不同的处理器而实现。
52.或者，请求允许判定部11和控制部12还可以分别由不同的ecu构成。而且，控制部12也可以由按多种控制中的每一种或按每一组控制而不同的ecu构成。在该情况下，ecu10由多个ecu构成。此时，各ecu被连接为能相互传递信息，使其执行处理时能获取所需的数据。至少请求允许判定部11的ecu被连接为能对构成控制部12的各ecu传递信息。而且，在请求允许判定部11允许请求的情况下，对作为该请求的对象的控制所涉及的ecu传递该请求。此外，自主行驶控制的ecu对请求允许判定部11传递自主行驶控制执行标志。
53.致动器60根据功能由各种致动器构成，各致动器被配置于车辆的适当的位置。致动器60根据从ecu10提供的控制信号来进行动作。由此，实现由ecu10进行的控制。
54.例如，ecu10执行自主行驶控制的处理，与加速、减速、转向有关的控制信号被输出至致动器60。然后，致动器60根据控制信号来进行动作，由此进行车辆的自主行驶，以使车辆沿行驶路径行驶。
55.在ecu10对hmi装置21输出控制信号的情况下，hmi装置21根据控制信号来进行动作。例如，在ecu10执行处理且请求不被允许的情况下、已开始手动驾驶的情况下，将进行通知这些内容的显示的控制信号输出至hmi装置21。然后，hmi装置21能通过根据显示信号进行显示来向操作者ps传达信息。此外，也可以是，在车辆配备扬声器作为hmi装置21，ecu10对扬声器输出通过声音进行通知的控制信号。
56.2－2.请求允许判定部的处理
57.图3是表示第一实施方式的请求允许判定部11的处理的流程图。在第一实施方式中，在操作者ps操作请求输入装置20，对ecu10提出了请求时，图3所示的处理开始执行。
58.在步骤s100中，请求允许判定部11判定控制部12是否在执行自主行驶控制期间。这能根据从控制部12获取的自主行驶控制执行中标志来判定。在执行自主行驶控制期间的情况下(步骤s100：是)，处理进入步骤s110。在不在执行自主行驶控制期间的情况下(步骤s100：否)，处理进入步骤s120，允许请求。
59.在步骤s110(操作者判定处理)中，请求允许判定部11判定操作者ps是否是合格者。这基于从识别摄像机30获取的操作者信息来进行。例如，通过将作为操作者信息而提供的操作者ps的面部、服装的信息与预先提供给控制程序的作为用于判定是否是合格者的基准的数据进行对照来进行。或者，从识别摄像机30提供针对操作者ps是否是合格者的信息作为操作者信息，并根据该信息来判定。在操作者ps是合格者的情况下(步骤s110：是)，处理进入步骤s120，允许请求。在操作者ps不是合格者的情况下(步骤s110：否)，处理进入步骤s130，不允许请求。
60.在允许请求的情况下(步骤s120)，请求允许判定部11对控制部12传递请求。在不允许请求的情况下(步骤s130)，请求不被传递至控制部12。
61.根据以上说明的处理，只有在不在执行自主行驶控制期间的情况下(进行手动驾驶的情况下)，或即使在执行自主行驶控制期间也要在操作者ps是合格者的情况下，才允许由操作者ps进行的请求输入装置20的操作的请求。由此，能防止在执行自主行驶控制期间，因非合格者的恶作剧、错误而进行控制设定的变更、驾驶操作系22的操作这样的需要注意的操作。
62.2－3.变形例
63.第一实施方式的自动驾驶系统100也可以采用如以下那样变形的方案。
64.2－3－1.变形例1
65.操作者信息可以由认证装置来提供，该认证装置通过由操作者ps进行操作来进行操作者ps的认证。在该情况下，代替识别摄像机30而配备认证装置，作为操作者识别装置。或者，在识别摄像机30中追加配备认证装置。
66.认证装置例如是卡读写器、文字输入装置。通过作为合格者的人所持的卡、作为合格者的人所知道的密码、口令等进行操作者ps的认证。在该情况下，输出操作者ps是否是合格者的信息作为操作者信息。作为另一例子，认证装置也可以是指纹认证、面部认证等根据操作者ps的生物体信息来进行认证的装置。在该情况下，输出操作者ps的生物体信息作为操作者信息。或者，也可以执行根据操作者ps的生物体信息来对操作者ps是否是合格者进一步进行判定的处理，并输出针对是否是合格者的信息作为操作者信息。
67.在提供认证装置作为操作者识别装置的情况下，由认证装置进行的操作者ps的认证既可以在图3所示的请求允许判定部11的处理的执行开始前进行，又可以在执行开始后进行。在执行开始前进行的情况下，在操作者ps进行了由认证装置进行的认证后，开始处理的执行，在请求被允许的情况下(步骤s120)，操作者ps操作请求输入装置。或者，在操作者ps进行了由认证装置进行的认证后，操作者ps操作请求输入装置，开始之后的处理的执行，判定请求的允许(步骤s120)或不允许(步骤s130)。在执行开始后进行的情况下，在执行步骤s110的处理前或执行时，操作者ps进行由认证装置进行的认证，执行步骤s110的处理，判
定请求的允许(步骤s120)或不允许(步骤s130)。
68.2－3－2.变形例2
69.ecu10也可以被配置为，在请求允许判定部11中按每个规定的周期执行图3所示的处理，生成控制信号并输出，以便在允许请求的情况下(步骤s120)，将请求输入装置20设为能操作的状态，在不允许请求的情况下(步骤s130)，将请求输入装置20设为无法操作的状态。
70.图4是表示第一实施方式的变形例2的自动驾驶系统100的构成例的框图。ecu10根据请求允许判定部11的处理，对请求输入装置20输出控制信号。ecu10在请求被请求允许判定部11的处理允许的情况下，输出将请求输入装置20设为能操作的状态的控制信号。在请求不被请求允许判定部11的处理允许的情况下，输出将请求输入装置20设为无法操作的状态的控制信号。
71.例如，在hmi装置21为触摸面板时，在不允许请求的情况下，输出控制信号，以便不进行用于输入请求的显示。而且，在允许请求的情况下，输出控制信号，以便进行用于输入请求的显示。在不允许请求的情况下，对驾驶操作系22输出固定驾驶操作系22的控制信号，以便无法操作驾驶操作系22。而且，在允许请求的情况下，输出解除驾驶操作系22的固定的控制信号。在该情况下，ecu10可以经由配备于驾驶操作系22的致动器60来固定驾驶操作系22。
72.需要说明的是，在变形例2的自动驾驶系统100中，也可以是，控制部12能获取从请求输入装置20传递的请求而不经由请求允许判定部11。
73.3.第二实施方式
74.在第二实施方式的自动驾驶系统100中，ecu10基于驾驶环境信息来执行：安全风险计算处理，计算表示车辆的安全性方面的风险的安全风险；以及系统置信度计算处理，计算表示ecu10所执行的控制的可靠性的系统置信度。然后，请求允许判定部11进一步考虑安全风险和系统置信度来判定请求可否被允许。以下，对在上述的内容中已说明过的事项适当进行省略，对第二实施方式的自动驾驶系统100进行说明。
75.3－1.构成
76.图5是表示第二实施方式的自动驾驶系统100的构成例的框图。自动驾驶系统100具备：ecu10、请求输入装置20、识别摄像机30、传感器40、通信装置50以及致动器60。ecu10与请求输入装置20、识别摄像机30、传感器40、通信装置50以及致动器60电连接或无线连接，并被配置为能传递信息。
77.请求输入装置20、识别摄像机30、传感器40、通信装置50以及致动器60与第一实施方式中说明过的是同样的。与第一实施方式相比，ecu10还包括安全风险计算部13和系统置信度计算部14。
78.安全风险计算部13执行安全风险计算处理，并输出计算出的安全风险。安全风险被传递至请求允许判定部11。
79.安全风险所表示的车辆的安全性方面的风险例如是与车辆的周围的明显存在的物标的碰撞可能性。在该情况下，基于碰撞剩余时间(ttc；time to collision)、避免碰撞所需的减速度来计算安全风险。就是说，ttc越短且减速度越大，则安全风险被计算为越大的值。
80.系统置信度计算部14执行系统置信度计算处理，并输出计算出的系统置信度。系统置信度被传递至请求允许判定部11。
81.例如以控制的信息的准确性、传感器40的动作状态、控制的工作状态或车辆外部的环境等或这些的组合为指标，来提供系统置信度。
82.作为以控制的信息的准确性为指标的情况，举例示出以下例子。关于通过图像识别处理提供的信息，图案识别的匹配程度越高，则将系统置信度设为越大的值。车辆所行驶的区域的地图信息的精度越高，则将系统置信度设为越大的值。包括越多偏离传感器40所检测的信息的值，则将系统置信度设为越小的值。将预先提供为地图信息的信息(物体的位置、形状或色彩等)与传感器40所检测的信息进行比较，信息的差异越大，则将系统置信度设为越小的值。
83.作为以传感器40的动作状态为指标的情况，举例示出以下例子。对于检测车辆的周边环境的信息的传感器，传感器由于建筑物、障碍物等能检测的范围越窄，则将系统置信度设为越小的值。
84.作为以控制的工作状态为指标的情况，举例示出以下例子。控制的处理的执行时间越长，则将系统置信度设为越小的值。在自主行驶控制中，所生成的行驶路径与实际行驶的路径的偏离越大，则将系统置信度设为越小的值。
85.作为以车辆外部的环境为指标的情况，举例示出以下例子。在雨、雪等恶劣天气的情况下，与晴天等的情况相比，将系统置信度设为小的值。在未铺设的路面、泥泞的路面等难以行驶的道路行驶的情况下，与在铺设的路面、干燥的路面行驶的情况相比，将系统置信度设为小的值。车辆周围的物标越多，则将系统置信度设为越小的值。
86.需要说明的是，安全风险计算部13和系统置信度计算部14既可以作为控制程序中的处理的一部分而实现，又可以作为处理器而实现。或者，还可以作为ecu而实现。
87.3－2.请求允许判定部的处理
88.图6和图7是表示第二实施方式的请求允许判定部11的处理的流程图。图6和图7所示的a在图6与图7之间对应，图6和图7表示一个流程图。在第二实施方式中，在操作者ps操作请求输入装置20，对ecu10提出请求时，图6和图7所示的处理开始执行。步骤s100、步骤s110、步骤s120以及步骤s130的处理与在第一实施方式中说明过的处理是同样的。
89.第二实施方式的请求允许判定部11的处理与图3所示的第一实施方式的请求允许判定部11的处理相比，追加了步骤s200、步骤s210以及步骤s220的处理。在步骤s100的处理中判定为在执行自主行驶控制期间的情况下(步骤s100：是)，执行步骤s200的处理。
90.在步骤s200中，请求允许判定部11判定安全风险是否为规定的风险阈值以上。在此，风险阈值是预先提供给控制程序的值。风险阈值表示需要进行控制的工作以确保车辆的安全性的安全风险的程度。例如，在安全风险表示碰撞可能性的情况下，风险阈值是如果车辆安全控制不工作就难以避免碰撞的安全风险的程度。典型的是通过进行应用自动驾驶系统100的车辆的车辆适配等而实验性地提供最合适的风险阈值。
91.在安全风险为风险阈值以上的情况下(步骤s200：是)，处理进入步骤s210。在安全风险小于风险阈值的情况下(步骤s200：否)，处理进入步骤s110，根据操作者是否是合格者来判定请求可否被允许。
92.在步骤s210中，请求允许判定部11判定系统置信度是否为规定的第一阈值以上。
在此，第一阈值是预先提供给控制程序的值。第一阈值表示车辆的安全性的控制能发挥充分的性能的系统置信度的程度。通过进行应用自动驾驶系统100的车辆的适配等而实验性地提供最合适的第一阈值。
93.在系统置信度为第一阈值以上的情况下(步骤s210：是)，处理进入步骤s130，不允许请求。在系统置信度小于第一阈值的情况下(步骤s210：否)，处理进入步骤s220。
94.在步骤s220中，请求允许判定部11判定系统置信度是否小于规定的第二阈值。在此，第二阈值是预先提供给控制程序的值。第二阈值表示担心车辆的安全性的控制无法发挥充分的性能的系统置信度的程度。通过进行应用自动驾驶系统100的车辆的适配等而实验性地提供最合适的第二阈值。需要说明的是，第二阈值是小于第一阈值的值。
95.在系统置信度小于第二阈值的情况下(步骤s220：是)，处理进入步骤s120，允许请求。在系统置信度为第二阈值以上的情况下(步骤s220：否)，处理进入步骤s110，根据操作者是否是合格者来判定请求可否被允许。
96.通过以上说明的处理，考虑安全风险和系统置信度来判定请求可否被允许。图8是表示通过第二实施方式的处理实现的与安全风险和系统置信度相应的请求是否被允许的概念图。需要说明的是，图8示出在执行自主行驶控制期间的情况。
97.在第二实施方式中，在安全风险小于风险阈值的情况下，与第一实施方式同样，仅在操作者是合格者的情况下请求被允许。另一方面，在安全风险为风险阈值以上的情况下，根据系统置信度来判定请求可否被允许。如图8所示，在系统置信度为第一阈值以上的情况下，无论操作者是否是合格者，请求都不被允许。此外，在系统置信度小于第一阈值且为第二阈值以上的情况下，仅在操作者是合格者的情况下，请求被允许。而且，在系统置信度小于第二阈值的情况下，无论操作者是否是合格者，请求都被允许。
98.由此，在安全性方面的风险高到一定程度而需要进行车辆的控制的情况下，根据系统置信度来判定请求可否被允许，由此能提高车辆的安全性。就是说，能在系统置信度高到一定程度的情况下，将车辆的驾驶等委托给可靠性高的自动驾驶系统100的控制，而不受设定变更等的影响。另一方面，在系统置信度低到一定程度的情况下，即使是非合格者，也能允许其进行请求输入装置的操作，并委托其进行车辆的驾驶等的判断。
99.3－3.变形例
100.第二实施方式的自动驾驶系统100也可以采用如以下那样变形的方案。
101.3－3－1.变形例1
102.操作者信息可以由认证装置来提供，该认证装置通过由操作者ps进行操作来进行操作者ps的认证。认证装置与在第一实施方式的变形例1中说明过的装置是同样的。
103.3－3－2.变形例2
104.ecu10也可以被配置为，在请求允许判定部11中按每个规定的周期执行图6和图7所示的处理，生成控制信号并输出，以便在允许请求的情况下(步骤s120)，将请求输入装置20设为能操作的状态，在不允许请求的情况下(步骤s130)，将请求输入装置20设为无法操作的状态。
105.4.效果
106.如上所述，本实施方式的自动驾驶系统100只有在不在执行自主行驶控制期间的情况或即使在执行自主行驶控制期间也要在操作者是合格者的情况下，才允许对ecu10的
请求。由此，能防止在执行自主行驶控制期间，因自动驾驶车的操作员等合格者以外的人的恶作剧、错误而进行控制设定的变更、驾驶操作系的操作这样的需要注意的操作。
107.此外，本实施方式的自动驾驶系统100能通过适当安装于各种形式和目的的自动驾驶车来获得上述的效果。例如，在车辆是能远程驾驶的自动驾驶车，且hmi装置21和驾驶操作系22位于与车辆隔开距离的位置的情况下，能通过配置为以无线方式进行ecu10与hmi装置21和驾驶操作系22的信息的传递来适当地安装。