DE112018005815T5

DE112018005815T5 - Steuereinrichtung und elektronisches Steuersystem für Fahrzeuge

Info

Publication number: DE112018005815T5
Application number: DE112018005815.8T
Authority: DE
Inventors: Hideyuki Sakamoto
Original assignee: Hitachi Automotive Systems Ltd
Current assignee: Hitachi Astemo Ltd
Priority date: 2017-12-25
Filing date: 2018-12-04
Publication date: 2020-08-13
Also published as: WO2019131003A1; US20200361478A1; JP6861302B2; JPWO2019131003A1; US11066080B2

Abstract

Es wird eine hochzuverlässige Fahrzeugsteuereinrichtung implementiert, die einen Steuerungsübergang zu einem Degenerationssteuermikrocomputer sicher durchführen kann, selbst wenn eine Betriebsanomalie in einem Steuermikrocomputer in einer Fahrzeugsteuereinrichtung auftritt.Geschaffen werden: ein Steuermikrocomputer 11b, der eine Steueranweisung zu einer Aktorsteuereinrichtung ausgibt; und ein Degenerationssteuermikrocomputer 12b zum Steuerungsübergang, wenn eine Anomalie im Steuermikrocomputer 11b detektiert wird. Wenn dann, wenn die Anomalie im Steuermikrocomputer 11b detektiert wird, zum Degenerationssteuermikrocomputer 12b übergegangen wird, wird der Steuermikrocomputer 12b über die Anomalie des Steuermikrocomputers 11b benachrichtigt und der Steuermikrocomputer 11b wird zurückgesetzt, nachdem der erforderliche Übergangszeitraum des Degenerationssteuermikrocomputers 12b verstrichen ist und die Degenerationssteuerung gestartet wurde. Als ein Ergebnis wird ein steuerungsfreier Zeitraum beseitigt.

Description

Technisches Gebiet
Die vorliegende Erfindung bezieht sich auf eine Steuereinrichtung und ein elektronische Steuersystem für Fahrzeuge eines automatischen Fahrsystems.
Technischer Hintergrund
Für ein fortschrittliches automatisches Fahrsystem ist es erforderlich, dass eine elektronische Steuereinheit (ECU), die eine übergeordnete Steuereinrichtung ist, die automatisches Fahren steuert, den Betrieb für einen bestimmten Zeitraum fortsetzt, bis ein Fahrbetrieb einem Fahrer übergeben wird, etwa selbst dann, wenn ein Fehler in einer Arithmetikeinheit (Mikrocomputer) auftritt, die eine Berechnung zur automatischen Fahrsteuerung durchführt.
PTL 1 offenbart eine Fahrzeugsteuereinrichtung, die einen Teil von Steuerfunktionen von mehreren Untersteuereinheiten beschränkt, wenn ein Mikrocomputer einer Hauptsteuereinheit normal arbeitet, jedoch eine Versorgungsspannung des Mikrocomputers aus einem ordnungsgemäßen Bereich fällt.
Entgegenhaltungsliste
Patentliteratur
PTL 1: JP 2015-93498 A
Zusammenfassung der Erfindung
Technisches Problem
Zum Beispiel wird ein automatisches Fahrsystem durch eine Fahrzeugsteuereinrichtung, die Steueranweisungen ausgibt, und mehrere Aktorsteuereinrichtungen, die entsprechend eine Kraftmaschinensteuerung, eine Bremssteuerung, eine Servolenkungssteuerung und dergleichen auf der Grundlage der Steueranweisungen von der Fahrzeugsteuereinrichtung durchführen, gebildet.
Hier ist es im automatischen Fahrsystem wünschenswert, einen Betrieb eines Mikrocomputers durch eine Diagnoseschaltung, z. B. ein „Watchdog“-Zeitgeberüberwachungsprogramm, das im Mikrocomputer läuft, oder dergleichen zu überwachen und eine Fehlerverarbeitung durch Detektieren einer Anomalie des Mikrocomputers aus Gründen der Funktionssicherheit durchzuführen. Allerdings stoppt eine Funktion des automatischen Fahrsystems, wenn eine Verarbeitung wie z. B. ein Stoppen (ein Zurücksetzen) des Mikrocomputers für die Anomalie des Mikrocomputers einheitlich durchgeführt wird.
Allerdings muss dann, wenn die Funktion des automatischen Fahrsystems plötzlich stoppt, ein Fahrzeuginsasse das Fahren übernehmen, jedoch ist eine Steuerinterpolation durch ein Fahrzeugsystem erforderlich, da das Übernehmen des Fahrens durch den Fahrzeuginsassen Zeit benötigt, und eine Technik für eine derartige Steuerinterpolation wird benötigt.
Als Mittel zum Lösen des oben beschriebenen Problems beschreibt PTL 1 die Steuerung, wenn die Energieversorgungsspannung des Mikrocomputers in dem Zustand, in dem der Mikrocomputer normal arbeitet, aus dem ordnungsgemäßen Bereich fällt, jedoch muss eine Betriebsanomalie des Mikrocomputers selbst aufgrund von Faktoren wie z. B. einer Mikrocomputerüberlastung berücksichtigt werden und es ist schwierig, ein Rücksetzen des Mikrocomputers zu vermeiden.
Zusätzlich ist es denkbar, dann, wenn der Mikrocomputer der ECU, die mehrere Antriebsleistungsquellen steuert, anomal wird, die ECU, die die Antriebsquelle steuert, über eine derartige Anomalie geeignet zu benachrichtigen und ein Leerlauffahren, einen Nothalt oder dergleichen durchzuführen, um ein Auftreten einer Anomalie in einer Antriebskraft zu vermeiden.
Allerdings besteht selbst dann, wenn die ECU, die die externe Fahrantriebsleistungsquelle steuert, wenn die Mikrocomputeranomalie auftritt, über die Mikrocomputeranomalie benachrichtigt wird, eine Sorge, dass ein angemessener Steuerungsübergang aufgrund der Größe des Steuerumfangs abhängig von externen Situationen eines Trägerfahrzeugs unmöglich sein kann.
Deshalb ist es möglich, ein Verfahren zum Durchführen eines Steuerungsübergangs von einem Steuermikrocomputer zu einem Degenerationssteuermikrocomputer, wenn eine Anomalie in einem Betrieb des Steuermikrocomputers, der einen Betrieb eines automatischen Fahrsystems steuert, detektiert wird, zu erwägen.
Allerdings ist es schwierig, eine Steuerungsübergangszeit, d. h. einen steuerungsfreien Abschnitt, in dem der Degenerationssteuermikrocomputer die Steuerung nach dem Empfangen der Anomaliebenachrichtigung umschaltet, zu vermeiden und ein derartiges Steuerungsübergangsrisiko ist beteiligt.
Zusätzlich besteht das Problem, dass sich das Steuerungsübergangsrisiko abhängig von der Beziehung mit Objekten um das Trägerfahrzeug unterscheidet.
Die vorliegende Erfindung wurde in Anbetracht der oben genannten Probleme gemacht und eine ihrer Aufgaben ist, eine Fahrzeugsteuereinrichtung und ein elektronisches Steuersystem zu implementieren, die einen Steuerungsübergang zu einem Degenerationssteuermikrocomputer sicher durchführen können, selbst wenn in einer Arithmetikeinheit einer Steuereinrichtung eine Betriebsanomalie auftritt, und die Sicherheit verbessern können.
Lösung des Problems
Um die oben genannte Aufgabe zu lösen, ist die vorliegende Erfindung wie folgt konfiguriert.
Ein Fahrzeugsteuersystem enthält Folgendes: eine erste Steueranweisungserzeugungseinheit, die eine erste Steueranweisung für eine Fahrzeugantriebseinrichtung erzeugt; eine zweite Steueranweisungserzeugungseinheit, die eine zweite Steueranweisung für die Fahrzeugantriebseinrichtung erzeugt; und eine Überwachungsschaltung, die Folgendes enthält: eine Überwachungseinheit, die einen Betrieb der ersten Steueranweisungserzeugungseinheit überwacht; eine Anomaliebenachrichtigungssignal-Erzeugungseinheit, die ein Anomaliebenachrichtigungssignal zur zweiten Steueranweisungserzeugungseinheit ausgibt, wenn die Überwachungseinheit eine Anomalie der ersten Steueranweisungserzeugungseinheit detektiert; und eine Rücksetzerzeugungseinheit, die ein Rücksetzsignal ausgibt, um die erste Steueranweisungserzeugungseinheit zurückzusetzen. Die Rücksetzerzeugungseinheit gibt das Rücksetzsignal nach Ablauf einer erforderlichen Übergangszeit seit der Ausgabe des Anomaliebenachrichtigungssignals, in der die zweite Steueranweisungserzeugungseinheit einen Steuerungsübergangsbetrieb, um die zweite Steueranweisung zu erzeugen, beendet, aus der Anomaliebenachrichtigungssignal-Erzeugungseinheit aus.
Zusätzlich enthält ein elektronisches Steuersystem Folgendes: eine Aktorsteuereinrichtung, die einen Aktor eines sich bewegenden Körpers ansteuert; eine erste Steueranweisungserzeugungseinheit, die eine erste Steueranweisung zur Aktorsteuereinrichtung ausgibt; eine zweite Steueranweisungserzeugungseinheit, die eine zweite Steueranweisung zur Aktorsteuereinrichtung ausgibt; eine Überwachungsschaltung, die eine Anomalie der ersten Steueranweisungserzeugungseinheit überwacht und ein Anomaliebenachrichtigungssignal zur zweiten Steueranweisungserzeugungseinheit ausgibt, wenn die Anomalie der ersten Steueranweisungserzeugungseinheit detektiert wird; und eine Rücksetzerzeugungseinheit, die die erste Steueranweisungserzeugungseinheit zurücksetzt. Die Rücksetzerzeugungseinheit gibt das Rücksetzsignal nach Ablauf einer erforderlichen Übergangszeit aus, in der die zweite Steueranweisungserzeugungseinheit einen Steuerungsübergangsbetrieb zum Erzeugen der zweiten Steueranweisung seit der Ausgabe des Anomaliebenachrichtigungssignals aus der Überwachungsschaltung beendet.
Vorteilhafte Wirkungen der Erfindung
Gemäß der vorliegenden Erfindung ist es möglich, die Fahrzeugsteuereinrichtung und das elektronische Steuersystem zu implementieren, die einen steuerungsfreien Zeitraum durch Zurücksetzen des Steuermikrocomputers nach Ablauf des erforderlichen Übergangszeitraums des Degenerationssteuermikrocomputers, selbst wenn die Betriebsanomalie im Steuermikrocomputer in der Fahrzeugsteuereinrichtung auftritt, eliminieren und die Sicherheit verbessern können.
Figurenliste

[1] 1 ist ein schematisches Konfigurationsdiagramm des automatischen Fahrsystems, das in einem Fahrzeug, auf das die vorliegende Erfindung angewendet wird, vorgesehen ist.
[2] 2 ist ein Diagramm, das eine interne Konfiguration einer Steuereinheit für autonomes Fahren (erste ECU) gemäß einer ersten Ausführungsform veranschaulicht.
[3] 3 ist ein Zeitdiagramm während eines Steuerungsübergangs, wenn ein Degenerationsbetrieb gemäß der ersten Ausführungsform ausgeführt wird.
[4] 4 ist ein Diagramm, das eine interne Konfiguration einer Steuereinheit für autonomes Fahren (erste ECU) gemäß einer zweiten Ausführungsform veranschaulicht.
[5] 5 ist eine erläuternde Ansicht eines Anomaliedetektionskriteriums und einer Anomaliedetektionszeit gemäß einer dritten Ausführungsform der vorliegenden Erfindung.
[6] 6 ist ein Diagramm, das eine interne Konfiguration einer Steuereinheit für autonomes Fahren (erste ECU) gemäß einer vierten Ausführungsform der vorliegenden Erfindung veranschaulicht.
[7] 7 ist ein Diagramm, das eine interne Konfiguration einer Steuereinheit für autonomes Fahren (erste ECU) gemäß einer fünften Ausführungsform der vorliegenden Erfindung veranschaulicht.
[8] 8 ist ein Zeitdiagramm während eines Steuerungsübergangs, wenn ein Degenerationsbetrieb gemäß der fünften Ausführungsform der vorliegenden Erfindung ausgeführt wird.
[9] 9 ist ein Diagramm, das eine Konfiguration eines Steuersystems für autonomes Fahren gemäß einer sechsten Ausführungsform der vorliegenden Erfindung veranschaulicht.

Beschreibung der Ausführungsformen
Im Folgenden werden Ausführungsformen der vorliegenden Erfindung unter Bezugnahme auf begleitende Zeichnungen beschrieben.
Ausführungsformen
(Konfigurationsbeispiel eines automatischen Fahrsystems)
Zunächst wird eine Konfiguration eines automatischen Fahrsystems (Fahrzeugsteuersystem), auf das die vorliegende Erfindung angewendet wird, beschrieben.
1 ist ein schematisches Konfigurationsdiagramm des automatischen Fahrsystems, das in einem Fahrzeug, auf das die vorliegende Erfindung angewendet wird, vorgesehen ist. In 1 enthält das automatische Fahrsystem Folgendes: eine Kamera (erster Sensor) 1, die ein Sensor zur externen Erkennung ist, der konfiguriert ist, eine externe Situation des Fahrzeugs zu erkennen; ein Radar (zweiter Sensor) 2; einen Trägerfahrzeugpositionssensor (dritter Sensor) 3 und eine Einstelleinheit 4 für automatisches Fahren, die konfiguriert ist, automatisches Fahren einzustellen.
Das automatische Fahrsystem enthält ferner eine Steuereinheit 11 für autonomes Fahren, eine Degenerationssteuereinheit 12, eine Bremssteuereinheit 13, eine Kraftmaschinensteuereinheit 14 und eine Servolenkungssteuereinheit 15.
Es ist festzuhalten, dass die Bremssteuereinheit 13, die Kraftmaschinensteuereinheit 14 und die Servolenkungssteuereinheit 15 gemeinsam als eine Aktorsteuereinheit bezeichnet werden können, die den Betrieb des Fahrzeugs steuert.
Die Kamera 1, das Radar 2, der Trägerfahrzeugpositionssensor 3, die Steuereinheit 11 für autonomes Fahren, die Degenerationssteuereinheit 12, die Bremssteuereinheit 13, die Kraftmaschinensteuereinheit 14 und die Servolenkungssteuereinheit 15 sind verbunden, um mittels eines fahrzeuginternen Netzes (z. B. ein Controller-Bereichsnetz (CAN) oder Ethernet (eingetragenes Warenzeichen)) miteinander kommunizieren zu können.
Die Degenerationssteuereinheit 12 ist eine Steuereinrichtung, die derart arbeitet, dass sie eine geeignete Degenerationssteuerung als ein Backup durchführt, wenn die Steuereinheit 11 für autonomes Fahren ausfällt, jedoch ist die Degenerationssteuereinheit 12 unnötig, wenn Sicherheit sichergestellt werden kann, indem eine Degenerationssteuerfunktion in der Steuereinheit 11 für autonomes Fahren bereitgestellt wird, selbst wenn die Steuereinheit 11 für autonomes Fahren ausfällt.
Die Bremssteuereinheit 13 ist eine Steuereinrichtung, die eine Fahrzeugbremssteuerung (Bremskraftsteuerung) durchführt, und die Kraftmaschinensteuereinheit 14 ist eine Steuereinrichtung, die eine Kraftmaschine steuert, die eine Antriebskraft des Fahrzeugs erzeugt. Zusätzlich ist die Servolenkungssteuereinheit 15 eine Steuereinrichtung, die die Servolenkung des Fahrzeugs steuert. Es ist festzuhalten, dass die Kraftmaschine als Mittel zum Erzeugen der Antriebskraft erläutert worden ist, es jedoch selbstverständlich ist, dass die vorliegende Erfindung auf einen Elektromotor angewendet werden kann.
Der Trägerfahrzeugpositionssensor 3 ist eine Vorrichtung, die eine Position eines Trägerfahrzeugs unter Verwendung von Funkwellen von einem Positionierungssatelliten wie z. B. einem globalen Positionierungssystem (GPS) erfasst. Der Trägerfahrzeugpositionssensor 3 gibt die erhaltenen Trägerfahrzeugpositionsinformationen zur Steuereinheit 11 für autonomes Fahren aus. Es ist festzuhalten, dass der Trägerfahrzeugpositionssensor 3 die Trägerfahrzeugpositionsinformationen unter Verwendung eines Positionierungssystem außer dem GPS erfassen kann.
Zusätzlich existiert im Trägerfahrzeugpositionssensor 3 ein Datenspeicher, um Kartendaten zu halten, die beim automatischen Fahren verwendet werden sollen, und die Kartendaten wie z. B. eine Fahrbahnbreite, die Anzahl von Fahrspuren, eine Steigung, eine Krümmung einer Kurve, eine Form einer Kreuzung und Geschwindigkeitsbegrenzungsinformationen werden gespeichert. Es ist festzuhalten, dass die Kartendaten in der Steuereinheit 11 für autonomes Fahren gespeichert werden können.
Die Einstelleinheit 4 für automatisches Fahren ist eine Vorrichtung, die ein Ziel, eine Route, eine Fahrgeschwindigkeit und dergleichen während des automatischen Fahrens einstellt. Die Einstelleinheit 4 für automatisches Fahren besitzt eine Eingabevorrichtung (die nicht dargestellt ist), die konfiguriert ist, einem Passagier zu ermöglichen, Einstellungen vorzunehmen.
Beispiele der Eingabevorrichtung enthalten nicht nur einen Startschalter, der konfiguriert ist, dem Passagier zu ermöglichen, das automatische Fahrsystem zu starten, sondern auch eine physische Eingabevorrichtung wie z. B. eine Taste und ein berührungsempfindliches Bedienfeld, eine Gesteneingabevorrichtung unter Verwendung einer Kamera oder von Infrarotstrahlen, eine Spracheingabevorrichtung und dergleichen. Die Einstelleinheit 4 für automatisches Fahren gibt Informationen, die mittels der Eingabevorrichtung durch den Passagier eingegeben worden sind, zur Steuereinheit 11 für autonomes Fahren aus.
Wenn eine Anforderung zum automatischen Fahren durch die Einstelleinheit 4 für automatisches Fahren empfangen wird, berechnet die Steuereinheit 11 für autonomes Fahren hier eine Bahn des Fahrzeugs auf der Grundlage externer Informationen von der Kamera 1, dem Radar 2, dem Trägerfahrzeugpositionssensor 3 und dergleichen und gibt die Steuereinheit 11 für autonomes Fahren Steueranweisungen wie z. B. Bremsen und eine Antriebskraft zur Bremssteuereinheit 13, zur Kraftmaschinensteuereinheit 14 und zur Servolenkungssteuereinheit 15 aus, um das Fahrzeug entlang der oben beschriebenen Route zu bewegen.
Die Bremssteuereinheit 13, die Kraftmaschinensteuereinheit 14 und die Servolenkungssteuereinheit 15 empfangen die Steueranweisung zur automatischen Fahrsteuerung von der Steuereinheit 11 für autonomes Fahren und geben ein Betätigungssignal zu jedem Steuerziel (Aktor) aus.
(Erste Ausführungsform)
Eine erste Ausführungsform wird unter Bezugnahme auf 2 und 3 beschrieben.
Wie in 2 dargestellt ist, wird in der vorliegenden Ausführungsform durch eine Steuereinheit 11 für autonomes Fahren (die auch als eine erste elektronische Steuereinheit bezeichnet wird) eine autonome Fahrsteuerung ausgeführt und wird durch eine Degenerationssteuereinheit 12 (die auch als eine zweite elektronische Steuereinheit bezeichnet wird) eine Degenerationssteuerung ausgeführt.
Die erste elektronische Steuereinheit 11 enthält Folgendes: eine Überwachungsschaltung 11h; einen Mikrocomputer 10b zur externen Erkennung, der Signale von Sensoren 1, 2 und 3 zur externen Erkennung verarbeitet; und einen Steuermikrocomputer 11b, der eine Fahrsteueranweisung für elektronische Steuereinheiten 13, 14 und 15, die konfiguriert sind, einen Aktor, der außerhalb bereitgestellt ist, auf der Grundlage eines Signals vom Mikrocomputer 10b zur externen Erkennung anzusteuern, erzeugt.
Die Überwachungsschaltung 11h überwacht einen Betrieb des Steuermikrocomputers 11b und setzt den Steuermikrocomputer 11b zurück, wenn sie eine Anomalie detektiert. Zusätzlich sendet die Überwachungsschaltung 11h dann, wenn sie über die Anomalie des Steuermikrocomputers 11b benachrichtigt wird, ein Anomaliebenachrichtigungssignal zur zweiten elektronischen Steuereinheit, um die Steuerung zur zweiten elektronischen Steuereinheit, die die Betätigungsanweisung zur Degeneration zu den elektronischen Steuereinheiten 13 bis 15 sendet, übergehen zu lassen.
Die vorliegende Ausführungsform stellt ein Beispiel dar, in dem der Steuermikrocomputer 11b zurückgesetzt wird, nachdem die Steuerung zum Degenerationssteuermikrocomputer 12b übergegangen ist, wenn die Überwachungsschaltung 11h die Betriebsanomalie des Steuermikrocomputers 11b detektiert.
Hier ist der Steuermikrocomputer 11b als eine Steueranweisungserzeugungseinheit definiert, die eine erste Steueranweisung für eine erste Steuereinheit für externe Aktoren erzeugt.
Die erste elektronische Steuereinheit 11 besitzt zwei Mikrocomputer, d. h. den Mikrocomputer 10b zur externen Erkennung (eine externe Erkennungseinheit) und den Steuermikrocomputer 11b. Der Mikrocomputer 10b zur externen Erkennung enthält eine Kommunikationsschaltung 10c (Kommunikationsschaltung 0) und eine Kommunikationsschaltung 10d (Kommunikationsschaltung 1). Zusätzlich enthält der Steuermikrocomputer 11b eine Kommunikationsschaltung 11c (Kommunikationsschaltung 2).
Zusätzlich enthält dann, wenn die erste elektronische Steuereinheit (insbesondere der Steuermikrocomputer 11b), der die Steuereinheit 11 für autonomes Fahren ist, die die Steueranweisung erzeugt, ausgefallen ist, die Degenerationssteuereinheit 12, die anstelle der Steuereinheit 11 für autonomes Fahren arbeitet, den Degenerationssteuermikrocomputer 12b und die Kommunikationsschaltung 12c (Kommunikationsschaltung 3).
Hier ist die Degenerationssteuereinheit 12 als eine zweite Steueranweisungserzeugungseinheit definiert, die eine zweite Steueranweisung für die Steuereinheit für externe Aktoren erzeugt.
In 2 enthält die Steuereinheit 11 für autonomes Fahren den Mikrocomputer 10b zur externen Erkennung und den Steuermikrocomputer 11b und enthält die Degenerationssteuereinheit 12 den Degenerationssteuermikrocomputer 12b. Allerdings können der Mikrocomputer 10b zur externen Erkennung, der Steuermikrocomputer 11b und der Degenerationssteuermikrocomputer 12b z. B. in der Steuereinheit 11 für autonomes Fahren angeordnet sein.
Zusätzlich können der Steuermikrocomputer 11b und der Degenerationssteuermikrocomputer 12b in der Steuereinheit 11 für autonomes Fahren vorgesehen sein und der Mikrocomputer 10b zur externen Erkennung kann in einer Steuereinheit außer der Steuereinheit 11 für autonomes Fahren angeordnet sein.
Sensorinformationen (externe Erkennungsinformationen) von der Kamera 1 (erster Sensor), vom Radar 2 (zweiter Sensor) und vom Trägerfahrzeugpositionssensor 3 (dritter Sensor), die externe Sensoren sind, werden mittels der Kommunikationsschaltung 10c zum Mikrocomputer 10b zur externen Erkennung übertragen.
Der Mikrocomputer 10b zur externen Erkennung erkennt eine externe Situation auf der Grundlage der übertragenen Sensorinformationen und erzeugt Bahninformationen, in denen sich das Trägerfahrzeug bewegt. Aus diesem Grund kann der Mikrocomputer 10b zur externen Erkennung als eine Bahninformationserzeugungseinheit definiert werden.
Der Mikrocomputer 10b zur externen Erkennung sendet die erzeugten Bahninformationen mittels einer Kommunikationsleitung 10k zum Steuermikrocomputer 11b. Der Steuermikrocomputer 11b empfängt Informationsstücke eines Sensors zur externen Erkennung wie z. B. ein Raddrehzahlsensor, ein Beschleunigungssensor und ein Gierratensensor (die nicht dargestellt sind) (diese Informationsstücke sind auch in den externen Erkennungsinformationen enthalten) extern von einer externen ECU (Steuereinrichtung) mittels der Kommunikationsschaltung 11c (Kommunikationsschaltung 2).
Der Steuermikrocomputer 11b erzeugt Aktorsteueranweisungen auf der Grundlage der Informationen des Sensors zur externen Erkennung und der Bahninformationen, die durch den Mikrocomputer 10b zur externen Erkennung berechnet wurden, und sendet die erzeugten Aktorsteueranweisungen zur Bremssteuereinheit 13 (dritte elektronische Steuereinheit), zur Kraftmaschinensteuereinheit 14 (vierte elektronische Steuereinheit) bzw. zur Servolenkungssteuereinheit 15 (fünfte elektronische Steuereinheit).
Die Überwachungsschaltung 11h, die den Steuermikrocomputer 11b überwacht, ist mit dem Steuermikrocomputer 11b verbunden und die Überwachungsschaltung 11h enthält eine erste Überwachungsschaltung (erste Überwachungseinheit), die eine Anomalie im Steuermikrocomputer 11b in einer Anomaliedetektionszeit T1 (erste Anomaliedetektionszeit) detektiert, und eine zweite Überwachungsschaltung (zweite Überwachungseinheit), die eine Anomalie im Steuermikrocomputer 11b in einer Anomaliedetektionszeit T2 (zweite Anomaliedetektionszeit), die länger als die Anomaliedetektionszeit T1 ist, detektiert.
Die erste Überwachungsschaltung ist ein „Watchdog“-Zeitgeber 11i (WDT-Einheit), der den Normalzustand eines Programmbetriebs des Steuermikrocomputers 11b bestimmt. Eine Pulsausgabeeinheit 11d des Steuermikrocomputers 11b gibt ein hoch/niedrig-Pulssignal 11f, das eine konstante Periode besitzt, aus und der „Watchdog“-Zeitgeber 11i (WDT-Einheit) bestimmt den Normalzustand des Pulssignals 11f.
Die zweite Überwachungsschaltung ist eine Arithmetik/Logik-Vergleichseinheit 11j, die den Normalzustand einer Arithmetikeinheit 11e des Steuermikrocomputers 11b bestimmt. Durch bidirektionale Kommunikation mittels einer Kommunikationsleitung 11g zwischen der Überwachungsschaltung 11h und dem Steuermikrocomputer 11b sendet die Arithmetik/Logik-Vergleichseinheit 11j regelmäßig ein Abfragesignal (z. B. ein bestimmter zufälliger numerischer Wert und ein arithmetischer Ausdruck unter Verwendung des numerischen Werts) zur Steuermikrocomputerarithmetikeinheit 11e und ein Antwortsignal der Steuermikrocomputerarithmetikeinheit 11e, das dem Fragesignal entspricht, wird mit einem erwarteten Wert, der im Voraus durch die Betriebslogik-Vergleichseinheit 11j berechnet wird, verglichen, wodurch der Normalzustand des Steuermikrocomputers 11b bestimmt wird.
Die zweite Überwachungsschaltung ist für einen Vergleich einer Arithmetik/Logik-Einheit konfiguriert, wendet die Spezifikation an, um einen Anomaliezähler im Falle einer Vergleichsinkonsistenz hochzuzählen, und kann eine Anomaliedetektionszeit durch Einstellen eines Kriteriums zum endgültigen Bestimmen der Anomalie anpassen. Auf diese Weise wird die Anomaliedetektionszeit T2, die länger als die Anomaliedetektionszeit T1 ist, im Voraus eingestellt.
Die Anomalie, die durch die erste Überwachungsschaltung detektiert wird, ist ein schwerwiegenderer Rücksetzfaktor (Faktor, um den Steuermikrocomputer 11b zurückzusetzen) als die Anomalie, die durch die zweite Überwachungseinheit detektiert wird.
Die erste Überwachungsschaltung und die zweite Überwachungsschaltung werden gemeinsam als eine Überwachungseinheit bezeichnet.
Es ist festzuhalten, dass die Überwachungsschaltung 11h, die den Steuermikrocomputer 11b überwacht, eine Logikschaltung ist und auch in den Mikrocomputer 10b zur externen Erkennung aufgenommen werden kann.
3 ist ein Zeitdiagramm während eines Steuerungsübergangs zum Degenerationssteuermikrocomputer 12b gemäß der ersten Ausführungsform.
In 3 gibt der Steuermikrocomputer 11b zum Zeitpunkt (t0) eine Steueranweisung zur Steuereinheit für externe Aktoren aus und der Degenerationssteuermikrocomputer 12b befindet sich in einem Bereitschaftszustand.
Falls zum Zeitpunkt (t2) ein Fehler im Steuermikrocomputer 11b auftritt, wird zum Zeitpunkt (t3) nach Ablauf der Anomaliedetektionszeit T1 seit dem Auftreten des Fehlers eine Anomalie durch die erste Überwachungsschaltung detektiert, wird ein Anomaliebenachrichtigungssignal (11u), das von einer Anomaliebenachrichtigungssignal-Erzeugungseinheit 11q ausgegeben wird, hoch (Anomaliedetektion 1), wird der Degenerationssteuermikrocomputer 12b über die Steuermikrocomputeranomalie benachrichtigt und wird der Steuerungsübergang gestartet.
Zum Zeitpunkt (t4), zu dem der Steuerungsübergangszeitraum (erforderlicher Übergangszeitraum) T3 verstrichen ist, wird die Übergangsvorbereitung des Degenerationssteuermikrocomputers 12b abgeschlossen. Zum Zeitpunkt (t5) nach Ablauf der Anomaliedetektionszeit T2 seit dem Auftreten des Fehlers, wird die Anomalie durch die zweite Überwachungsschaltung detektiert, wird das Rücksetzsignal 11r von der Rücksetzerzeugungseinheit 11t niedrig und wird der Steuermikrocomputer 11b zurückgesetzt.
Hier wird die Anomaliedetektionszeit T2 vom Fehlerauftrittszeitpunkt (t2) zum Zeitpunkt (t5), zu dem der Steuermikrocomputer 11b zurückgesetzt wird, derart eingestellt, dass er nach dem Zeitpunkt (t4), zu dem die Steuerungsübergangsvorbereitung des Degenerationssteuermikrocomputers 12b abgeschlossen ist, auftritt. Das heißt, dass die oben beschriebene Anomaliedetektionszeit T2 derart eingestellt, dass sie die Beziehung T2 ≥ T1 + T3 (die Zeit, die durch Addieren von T1 und T3 erhalten wird, ist gleich oder kleiner als T2) unter Verwendung der Anomaliedetektionszeit T1 und des Steuerungsübergangszeitraums T3 des Degenerationssteuermikrocomputers 12b aufweist.
Es ist festzuhalten, dass dann, wenn der Fehler, der zum Zeitpunkt (t2) auftritt (Anomalie der Pulsausgabeeinheit 11d), ein transienter Fehler ist, ein Fall vorliegt, in dem er durch die zweite Überwachungseinheit, die die Anomalie auf einem tieferen Niveau bestimmt (ob die Arithmetikeinheit 11e anomal ist oder nicht), nicht als die Anomalie bestimmt wird, selbst wenn er durch die erste Überwachungseinheit als die Anomalie bestimmt worden ist. In einem derartigen Fall wird der Steuermikrocomputer 11b zum Zeitpunkt (t5) nicht zurückgesetzt, sondern setzt die Steuerung fort.
Zum Beispiel existiert ein Fall, in dem bestimmt wird, dass keine Anomalie in der Arithmetikeinheit 11e aufgetreten ist, selbst wenn bestimmt wird, dass in der Pulsausgabeeinheit 11d eine Anomalie aufgrund von Rauschen aufgetreten ist. In einem derartigen Fall wird der Steuermikrocomputer 11b durch das Rücksetzsignal 11r von der Rücksetzerzeugungseinheit 11t nicht zurückgesetzt und die Steuerung durch den Steuermikrocomputer 11b wird fortgesetzt.
Wenn die Pulsausgabeeinheit 11d bestimmt, dass die Anomalie aufgrund des Rauschens aufgetreten ist, führt der Degenerationssteuermikrocomputer 12b die Degenerationssteuerung über den Steuerungsübergangsbetrieb derart aus, dass der Degenerationssteuerbetrieb und die Steuerung, die durch den Steuermikrocomputer 11b durchgeführt wird, parallel ausgeführt werden.
In diesem Fall werden die Bremssteuereinheit 13, die Kraftmaschinensteuereinheit 14 und die Servolenkungssteuereinheit 15 im Voraus definiert, um der Steueranweisung vom Steuermikrocomputer 11b Priorität zu geben. Als ein Ergebnis wird die Steuerung durch den Steuermikrocomputer 11b fortgesetzt.
Wie oben beschrieben wird, sind gemäß der ersten Ausführungsform die Anomaliedetektionszeit T2, die Anomaliedetektionszeit T1 und der Steuerungsübergangszeitraums T3 derart eingestellt, dass sie die Beziehung T2 ≥ T1 + T3 aufweisen. Somit wird dann, wenn durch die erste Überwachungsschaltung zur Zeit T1 nach dem Auftreten des Fahrzeugfehlers eine Anomalie detektiert wird, der Steuerungsübergangsbetrieb des Degenerationssteuermikrocomputer 12b gestartet und der Degenerationssteuerbetrieb durch den Degenerationssteuermikrocomputer 12b wird nach Ablauf der Steuerungsübergangszeit T3 gestartet.
Danach wird dann, wenn durch die zweite Überwachungsschaltung zur Zeit T2 nach dem Auftreten des Fahrzeugfehlers eine Anomalie detektiert wird, der Steuermikrocomputer 11b zurückgesetzt.
In der vorliegenden Ausführungsform gibt dann, wenn die Anomalie durch die erste Überwachungsschaltung detektiert wird, die erste elektronische Steuereinheit die Steuerungsübergangsanweisung zur zweiten elektronischen Steuereinheit aus und das Rücksetzen wird gemäß einem Ergebnis der zweiten Überwachungsschaltung nach Abschluss der Übergangsvorbereitung der zweiten elektronischen Steuereinheit durchgeführt, anstatt das Rücksetzen unmittelbar durchzuführen. Deshalb wird das Rücksetzen des Steuermikrocomputers 11b vor dem Start des Degenerationssteuerbetriebs des Degenerationssteuermikrocomputers 12b vermieden, ein steuerungsfreier Zeitraum wird beseitigt und es ist möglich, die Fahrzeugsteuereinrichtung, die die Zuverlässigkeit einer Steuerschaltung und die Sicherheit des Fahrzeugs verbessern kann, zu implementieren. Zusätzlich ist es möglich, das unmittelbare Zurücksetzen mit einem primären anomalen Wert wie z. B. Rauschen zu verhindern.
(Zweite Ausführungsform)
Als nächstes wird eine zweite Ausführungsform unter Bezugnahme auf 4 beschrieben.
Eine Differenz von der ersten Ausführungsform ist, dass die Steuereinheit 11 für autonomes Fahren und die Degenerationssteuereinheit 12 in derselben elektronischen Steuereinheit (ECU) vorgesehen sind.
Wie in 4 dargestellt ist, enthält die Steuereinheit 11 für autonomes Fahren (elektronische Steuereinheit) den Degenerationssteuermikrocomputer 12b zusätzlich zum Mikrocomputer 10b zur externen Erkennung und zum Steuermikrocomputer 11b.
Der Degenerationssteuermikrocomputer 12b und die Kommunikationsschaltung 12c (Kommunikationsschaltung 3) sind in der Steuereinheit 11 für autonomes Fahren angeordnet. Die zweite Ausführungsform ist im Wesentlichen dieselbe wie die erste Ausführungsform und enthält außerdem die Rücksetzerzeugungseinheit 11t, jedoch wird das Anomaliebenachrichtigungssignal 11u, das von der Anomaliebenachrichtigungssignal-Erzeugungseinheit 11q ausgegeben wird, zum Mikrocomputer 10b zur externen Erkennung und zum Degenerationssteuermikrocomputer 12b in der Steuereinheit 11 für autonomes Fahren geliefert.
In der zweiten Ausführungsform können dieselben Wirkungen wie die der ersten Ausführungsform erzielt werden und ferner existiert die Wirkung, dass die Latenz dann, wenn eine Anomalie auftritt, verbessert wird, da die Verbindung der Signalleitung des Anomaliebenachrichtigungssignals 11u ermöglicht wird.
(Dritte Ausführungsform)
Als nächstes wird eine dritte Ausführungsform unter Bezugnahme auf 5 beschrieben.
Die dritte Ausführungsform ist ein Beispiel, in dem die interne Konfiguration der Steuereinheit 11 für autonomes Fahren (erste ECU) dieselbe wie die der ersten oder der zweiten Ausführungsform ist, jedoch die Anomaliedetektionszeit T1 und die Anomaliedetektionszeit T2 durch die Überwachungsschaltung 11h geändert werden können.
5 ist eine erläuternde Ansicht eines Anomaliedetektionskriteriums und einer Anomaliedetektionszeit gemäß der dritten Ausführungsform.
In 5 repräsentiert die horizontale Achse eine Zeit, die seit dem Auftreten des Fehlers im Steuermikrocomputer 11b verstrichen ist, und die vertikale Achse repräsentiert einen Anomaliezähler.
Im Beispiel, das in 5 dargestellt ist, wird eine Gerade L, nach der der Anomaliezähler zusammen mit einem Zeitablauf ansteigt, im Voraus definiert, werden das Kriterium 1 (Bestimmungskriterium 1) und das Kriterium 2 (Bestimmungskriterium 2) eingestellt, wird die Zeit bei dem Punkt, bei dem das Kriterium 1 die Gerade L schneidet, als die Anomaliedetektionszeit T1 eingestellt und wird die Zeit bei dem Punkt, bei dem das Kriterium 2 die Gerade L schneidet, als die Anomaliedetektionszeit T2 eingestellt. Allerdings ist das Kriterium 2 größer als das Kriterium 1.
Auf diese Weise können die Anomaliedetektionszeit T1 und die Anomaliedetektionszeit T2 durch Einstellen des Kriteriums 1 und des Kriteriums 2 für die Anomaliebestimmung in Bezug auf einen Anomaliezählerwert, der jedes Mal hochgezählt wird, wenn eine Anomalie detektiert wird, eingestellt werden.
Das heißt, das Kriterium 1 und das Kriterium 2 werden auf der Grundlage einer Anomaliedetektionsanzahl eingestellt und die Anomaliedetektionsanzahl wird derart eingestellt, dass sie im Kriterium 2 größer als im Kriterium 1 ist. Ferner wird eine Zeitdifferenz derart eingestellt, dass die Anomaliedetektionszeit T2 länger als die Anomaliedetektionszeit T1 ist, indem die Anomaliedetektionszeit T1 derart eingestellt wird, dass sie dem Kriterium 1 entspricht, und die Anomaliedetektionszeit T2 derart eingestellt wird, dass sie dem Kriterium 2 entspricht.
Da die oben beschriebene Anomaliedetektionszeit T2 derart eingestellt wird, dass sie die Beziehung T2 ≥ T1 + T3 unter Verwendung der Anomaliedetektionszeit T1 und des Steuerungsübergangszeitraums T3 des Degenerationssteuermikrocomputers 12b aufweist, ist es möglich, die Verlässlichkeit der Steuerschaltung durch Beseitigen des steuerungsfreien Zeitraums, das durch Zurücksetzen des Steuermikrocomputers 11b bewirkt wird, zu verbessern.
Die vorliegende Ausführungsform stellt die Anomaliedetektionszeiten T1 und T2 durch Ändern des Kriteriums unter Verwendung desselben Anomaliedetektionsverfahrens bereit, während die erste und die zweite Ausführungsform die Anomaliedetektionszeiten T1 und T2 unter Verwendung verschiedener Anomaliedetektionsverfahren bereitstellen. Selbst in der vorliegenden Ausführungsform können dieselben Wirkungen wie die der ersten und der zweiten Ausführungsform erzielt werden und es ist ferner möglich, die Anomaliedetektionszeiten T1 und T2 in Übereinstimmung mit einem Fahrzeug oder dergleichen, auf das die vorliegende Erfindung angewendet wird, einzustellen und eine geeignete Degenerationsbetriebsübergangssteuerung in Übereinstimmung mit dem Fahrzeug oder dergleichen, auf das die vorliegende Erfindung angewendet wird, durchzuführen.
(Vierte Ausführungsform)
Als nächstes wird eine vierte Ausführungsform unter Bezugnahme auf 6 beschrieben. Es ist festzuhalten, dass dieselben Konfigurationen wie die der ersten bis dritten Ausführungsform nicht beschrieben werden.
Die vierte Ausführungsform ist ein Beispiel unter Verwendung von zwei Überwachungsschaltungen und Logikgattern. Es ist festzuhalten, dass die Degenerationssteuereinheit 12 in der Steuereinheit 11 für autonomes Fahren bereitgestellt werden kann oder außerhalb bereitgestellt werden kann.
Wie in 6 dargestellt ist, sind die erste Überwachungsschaltung 11i, die den Steuermikrocomputer 11b überwacht, und die zweite Überwachungsschaltung 11j mittels eines UND-Gatters 11p mit dem Steuermikrocomputer 11b verbunden.
Die erste Überwachungsschaltung 11i ist z. B. ein „Watchdog“-Zeitgeber, der den Normalzustand eines Programmbetriebs des Steuermikrocomputers 11b bestimmt, und die zweite Überwachungsschaltung 11j ist z. B. eine Arithmetik/Logik-Vergleichseinheit, die den Normalzustand der Arithmetikeinheit 11e des Steuermikrocomputers 11b bestimmt. Somit werden von der ersten Ausführungsform verschiedene Überwachungseinheiten bereitgestellt. Mit anderen Worten, es werden eine erste Überwachungseinheit für die Anomaliedetektionszeit T1 und eine zweite Überwachungseinheit für die Anomaliedetektionszeit T2 bereitgestellt.
Es ist festzuhalten, dass die dritte Ausführungsform angewendet werden kann.
Normalitätsbestimmungsergebnisse der ersten Überwachungsschaltung 11i und der zweiten Überwachungsschaltung 11j sind als ein Signal 11k und ein Signal 11m mit einem Eingangsanschluss des UND-Gatters 11p, das eine Rücksetzerzeugungseinheit ist, bzw. einem Eingangsanschluss eines ODER-Gatters 11w, das eine Anomaliebenachrichtigungssignal-Erzeugungseinheit ist, verbunden.
In der vorliegenden Ausführungsform bilden die erste Überwachungsschaltung 11i, die zweite Überwachungsschaltung 11j, das UND-Gatter 11p und das ODER-Gatter 11w die Überwachungsschaltung 11h.
Eine Gatterausgang des ODER-Gatters 11w reagiert, wenn eine Anomalie in einer Überwachungsschaltung zwischen der ersten Überwachungsschaltung 11i und der zweiten Überwachungsschaltung 11j detektiert wird, und der Mikrocomputer 10b zur externen Erkennung wird über das Anomaliebenachrichtigungssignal 11u benachrichtigt.
Anderseits reagiert ein Ausgang des UND-Gatters 11p, wenn eine Anomalie durch die Überwachungsschaltungen sowohl der Überwachungsschaltung 111i als auch der Überwachungsschaltung 211j (Überwachungsschaltung 2) detektiert wird, wodurch eine zuverlässige Anomaliedetektion ermöglicht wird.
Daher reagieren der Gatterausgang des ODER-Gatters 11w und der Ausgang des UND-Gatters 11p zu verschiedenen Zeitpunkten und somit kann das Zurücksetzen des Steuermikrocomputers nach Abschluss des Steuerungsübergangs zur Degenerationssteuereinheit ähnlich zur ersten Ausführungsform derart ausgeführt werden, dass die Erzeugung des freien Zeitraums unterbunden werden kann.
Wie oben beschrieben wird, werden gemäß der vierten Ausführungsform die Anomaliedetektionszeit T1 und die Anomaliedetektionszeit T2 durch Diagnostizieren des Steuermikrocomputers 11b mit zwei Typen von Überwachungseinheiten ähnlich zur ersten Ausführungsform erzeugt und es ist möglich, das Zurücksetzen des Steuermikrocomputers 11b nach der Anomaliebenachrichtigung zum Degenerationssteuermikrocomputer 12b und dem Abschluss des Steuerungsübergangs zum Degenerationssteuermikrocomputer 12b zu implementieren.
Zusätzlich wird dann, wenn ein Fehler des Steuermikrocomputers 11b ein transienter Fehler wie z. B. Rauschen ist, die Steuerung ohne Übergang fortgesetzt, derart, dass die Steuerung des Steuermikrocomputers 11b sichergestellt ist.
(Fünfte Ausführungsform)
Als nächstes wird eine fünfte Ausführungsform unter Bezugnahme auf 7 und 8 beschrieben.
Dieselben Konfigurationen wie die der ersten und der zweiten Ausführungsform werden nicht beschrieben.
Ein Beispiel, das in 7 dargestellt ist, ist ein Beispiel, in dem der Steuermikrocomputer 11b zurückgesetzt wird, nachdem die Steuerung zum Degenerationssteuermikrocomputer 12b übergegangen ist, wenn die Überwachungsschaltung 11h die Betriebsanomalie des Steuermikrocomputers 11b detektiert.
Dieser Punkt ist derselbe wie der in der ersten und der zweiten Ausführungsform, jedoch ist die fünfte Ausführungsform ein Beispiel, das erhalten wird, indem ferner gewährleistet wird, dass der Steuermikrocomputer 11b nicht zurückgesetzt werden muss, sofern nicht die Steuerung zum Degenerationssteuermikrocomputer 12b übergegangen ist.
Wie in 7 dargestellt ist, enthält die Steuereinheit 11 für autonomes Fahren, die eine Fahrsteuereinrichtung für automatisches Fahren der vorliegenden Ausführungsform ist, drei Mikrocomputer, d. h. den Mikrocomputer 10b zur externen Erkennung, den Steuermikrocomputer 11b und den Degenerationssteuermikrocomputer 12b. Der Mikrocomputer 10b zur externen Erkennung enthält die Kommunikationsschaltung 10c (Kommunikationsschaltung 0) und der Steuermikrocomputer 11b enthält die Kommunikationsschaltung 11c (Kommunikationsschaltung 2). Zusätzlich enthält der Steuermikrocomputer 12b die Kommunikationsschaltung 12c (Kommunikationsschaltung 3).
Wie oben beschrieben wird enthält die Steuereinheit 11 für autonomes Fahren den Mikrocomputer 10b zur externen Erkennung, den Steuermikrocomputer 11b und den Steuermikrocomputer 12b. Allerdings können z. B. der Mikrocomputer 10b zur externen Erkennung und der Steuermikrocomputer 11b in einer ersten elektronischen Steuereinheit, die die Steuereinheit 11 für autonomes Fahren ist, angeordnet sein und der Degenerationssteuermikrocomputer 12b kann in einer zweiten elektronischen Steuereinheit angeordnet sein.
Zusätzlich können der Steuermikrocomputer 11b und der Degenerationssteuermikrocomputer 12b in der Steuereinheit 11 für autonomes Fahren angeordnet sein und der Mikrocomputer 10b zur externen Erkennung kann in einer Steuereinheit außer der Steuereinheit 11 für autonomes Fahren angeordnet sein.
Sensorinformationen (externe Erkennungsinformationen) von der Kamera 1 (erster Sensor), dem Radar 2 (zweiter Sensor) und dem Trägerfahrzeugpositionssensor 3 (dritter Sensor), die externe Sensoren sind, werden mittels der Kommunikationsschaltung 10c zum Mikrocomputer 10b zur externen Erkennung übertragen. Der Mikrocomputer 10b zur externen Erkennung erkennt eine externe Situation auf der Grundlage der gesendeten Sensorinformationen und erzeugt Bahninformationen, in denen sich das Trägerfahrzeug bewegt.
Der Mikrocomputer 10b zur externen Erkennung sendet die erzeugten Bahninformationen mittels einer Kommunikationsleitung 10k zum Steuermikrocomputer 11b. Der Steuermikrocomputer 11b empfängt Informationsstücke eines Sensors zur externen Erkennung wie z. B. ein Raddrehzahlsensor, ein Beschleunigungssensor und ein Gierratensensor (die nicht dargestellt sind) (diese Informationsstücke sind auch in den externen Erkennungsinformationen enthalten) extern von einer externen ECU (Steuereinrichtung) mittels der Kommunikationsschaltung 11c (Kommunikationsschaltung 2).
Der Steuermikrocomputer 11b auf der Grundlage der Informationen des Sensors zur externen Erkennung und der Bahninformationen, die durch den Mikrocomputer 10b zur externen Erkennung berechnet wurden, und eine Aktorsteueranweisung wird erzeugt und zur Bremssteuereinheit 13 (dritte ECU), zur Kraftmaschinensteuereinheit 14 (vierte ECU) und zur Servolenkungssteuereinheit 15 (fünfte ECU) gesendet.
Die Überwachungsschaltung 11h, die den Steuermikrocomputer 11b überwacht, ist mit dem Steuermikrocomputer 11b verbunden und die Überwachungsschaltung 11h enthält die erste Überwachungsschaltung 11i, die die Anomalie im Steuermikrocomputer 11b in einer Anomaliedetektionszeit T1 detektiert, und die zweite Überwachungsschaltung 11j, die eine Anomalie im Steuermikrocomputer 11b in der Anomaliedetektionszeit T2, die länger als die Anomaliedetektionszeit T1 ist, detektiert.
Zusätzlich sind die oben beschriebene erste Überwachungsschaltung 11i und die oben beschriebene zweite Überwachungsschaltung 11j durch die Kommunikationsleitung 11f bzw. die Kommunikationsleitung 11g mit dem Steuermikrocomputer 11b verbunden und überwachen den Steuermikrocomputer 11b durch Senden und Empfangen von Signalen in den Kommunikationsleitungen 11f und 11g.
Die erste Überwachungsschaltung 11i kann z. B. wie in der ersten Ausführungsform ein „Watchdog“-Zeitgeber sein. Währenddessen ist es erwünscht, dass die zweite Überwachungsschaltung 11j eine besonders robuste Diagnose durchführt, um den Steuermikrocomputer 11b auf der Grundlage des Überwachungsergebnisses zurückzusetzen, und kann z. B. ein System anwenden, das die Arithmetik/Logik ähnlich zur ersten Ausführungsform vergleicht.
Die erste Überwachungsschaltung 11i und die zweite Überwachungsschaltung 11j stellen die Anomaliedetektionszeit T2 länger als die Anomaliedetektionszeit T1 z. B. durch Einstellen jeweiliger Diagnosekriterien ein.
Wenn die erste Überwachungsschaltung 11i eine Anomalie im Steuermikrocomputer 11b detektiert, wird das Anomaliebenachrichtigungssignal 11u mittels der Anomaliebenachrichtigungssignal-Erzeugungseinheit 11q in den Degenerationssteuermikrocomputer 12b eingegeben und die Degenerationssteuerung geht zum Degenerationssteuermikrocomputer 12b über.
Andererseits wird dann, wenn die Anomalie des Steuermikrocomputers 11b durch die zweite Überwachungsschaltung 11j detektiert wird, das Anomaliesignal 11m in einen Eingangsanschluss des UND-Gatters 11x in der Überwachungsschaltung 11h eingegeben.
Nachdem das Anomaliebenachrichtigungssignal 11u eingegeben wurde und der Steuerungsübergang nach dem Start des Übergangs zur Degenerationssteuerung abgeschlossen wurde, gibt der Degenerationssteuermikrocomputer 12b mittels einer Vorbereitungsabschlussbenachrichtigungs-Ausgabeschaltung 12x (Steuerungsübergangsbetriebsende-Detektionseinheit) ein Übergangsvorbereitungsabschlusssignal 12y zum weiteren Eingangsanschluss des UND-Gatters 11x in der Überwachungsschaltung 11h aus.
Das heißt, die Vorbereitungsabschlussbenachrichtigungs-Ausgabeschaltung 12x detektiert, dass der Steuerungsübergang beendet (abgeschlossen) worden ist, nachdem der Degenerationssteuermikrocomputer 12b begonnen hat, zur Degenerationssteuerung überzugehen, und gibt das Übergangsvorbereitungsabschlusssignal 12y zum weiteren Eingangsanschluss des UND-Gatters 11x aus.
Dann, wenn die Anomalie im Steuermikrocomputer 11b auftritt, der Degenerationssteuermikrocomputer 12b den Steuerungsübergang nach dem Empfangen der Anomaliebenachrichtigung 11u der ersten Überwachungsschaltung 11i abschließt und die zweite Überwachungsschaltung 11j die Anomalie detektiert, werden mit dem oben beschriebenen Betrieb sowohl die Eingangsanschlüsse des UND-Gatters 11x hoch als auch das Ausgangssignal 11n des UND-Gatters 11x hoch.
Wenn das Ausgangssignal 11n des UND-Gatters 11x hoch wird, gibt die Rücksetzerzeugungseinheit 11t das Rücksetzsignal 11r zum Steuermikrocomputer 11b aus, um den Steuermikrocomputer 11b zurückzusetzen.
8 ist ein Betriebszeitdiagramm während des Steuerungsübergangs zum Degenerationssteuermikrocomputer 12b gemäß der fünften Ausführungsform.
In 8 gibt der Steuermikrocomputer 11b zum Zeitpunkt (t0) eine Steueranweisung zur Steuereinheit für externe Aktoren aus und der Degenerationssteuermikrocomputer 12b befindet sich in einem Bereitschaftszustand.
Falls im Steuermikrocomputer 11b ein Fehler zum Zeitpunkt (t2) auftritt, wird das Anomaliebenachrichtigungssignal 11u von der ersten Überwachungsschaltung 11i zum Zeitpunkt (t3) nach Ablauf der Anomaliedetektionszeit T1 seit dem Auftreten des Fehlers hoch, der Degenerationssteuermikrocomputer 12b wird über die Steuermikrocomputeranomalie benachrichtigt und der Steuerungsübergang wird gestartet.
Wenn die Übergangsvorbereitung des Degenerationssteuermikrocomputers 12b zum Zeitpunkt (t4) nach Ablauf des Steuerungsübergangszeitraums T3 seit dem Start des Steuerungsübergangs abgeschlossen wird, wird das Übergangsvorbereitungsabschlusssignal 12y vom Degenerationssteuermikrocomputer 12b hoch.
Währenddessen wird dann, wenn die zweite Überwachungsschaltung 11j zum Zeitpunkt (t5) nach Ablauf der Anomaliedetektionszeit T2 seit dem Auftreten des Fehlers eine Anomalie detektiert, das Anomaliebenachrichtigungssignal 11m hoch. Wenn sowohl das Anomaliebenachrichtigungssignal 11m als auch das Vorbereitungsabschlussbenachrichtigungssignal 12y hoch werden, wird das Ausgangssignal 11n des UND-Gatters 11w eine hohes Ausgangssignal und wird das Rücksetzsignal niedrig, wodurch der Steuermikrocomputer 11b zurückgesetzt wird.
Hier wird der Zeitpunkt (t5), zu dem der Steuermikrocomputer 11b nach Ablauf der oben beschriebenen Anomaliedetektionszeit T2 zurückgesetzt wird, derart eingestellt, dass er nach dem Zeitpunkt (t4), zu dem die Steuerungsübergangsvorbereitung des Degenerationssteuermikrocomputers 12b abgeschlossen wird, auftritt. Das heißt, die oben beschriebene Anomaliedetektionszeit T2 wird derart eingestellt, dass sie die Beziehung T2 ≥ T1 + T3 unter Verwendung der Anomaliedetektionszeit T1 und des Steuerungsübergangszeitraums T3 des Degenerationssteuermikrocomputers 12b aufweist.
Das heißt, dass dann, wenn die erste Überwachungsschaltung 11i die Anomalie des Steuermikrocomputers 11b detektiert hat, wird das Anomaliebenachrichtigungssignal 11u ausgegeben und der Degenerationssteuermikrocomputer 12b startet die Übergangsvorbereitung zu dem frühen Stadium. Ferner schließt der Degenerationssteuermikrocomputer 12b den Steuerungsübergang ab, wird das Übergangsvorbereitungsabschlusssignal 12y eingegeben und bestimmt die zweite Überwachungsschaltung 11j nach dem Abschluss der Übergangsvorbereitung durch Einstellen der Anomaliedetektionszeit T2 eine Anomalie, wie oben beschrieben wird. Dann wird der Steuermikrocomputer 11b zurückgesetzt.
Selbst wenn der Steuerungsübergang des Degenerationssteuermikrocomputers 12b den Steuerungsübergangszeitraum T3 überschreitet und das Anomaliebenachrichtigungssignal 11m zuerst hoch wird, wird der Steuermikrocomputer 11b nicht zurückgesetzt, sofern nicht das Degenerationssteuermikrocomputer-Vorbereitungsabschlussbenachrichtigungssignal 12y hoch wird.
In der vorliegenden Ausführungsform kann verhindert werden, dass das Zurücksetzen des Steuermikrocomputers 11b vor dem Steuerungsübergang zur Degenerationssteuereinheit (Degenerationssteuermikrocomputer 12b) ausgeführt wird, indem eine UND-Operation auf das Signal, das den Abschluss des Steuerungsübergangs von der Degenerationssteuereinheit angibt, und das Anomaliesignal von der zweiten Überwachungsschaltung angewendet wird, und somit der Steuerungsübergang mit hoher Sicherheit möglich wird.
(Sechste Ausführungsform)
Als nächstes wird eine sechste Ausführungsform beschrieben.
Das oben beschriebene Beispiel ist ein Beispiel, in dem die vorliegende Erfindung in einem Personenkraftwagen angewendet wird. Allerdings ist die vorliegende Erfindung nicht auf den Personenkraftwagen beschränkt und kann auch auf ein Motorrad, eine Gepäckfördermaschine für Fabriken, einen Fahrroboter und dergleichen angewendet werden, solange es sich um ein sich bewegendes Objekt handelt.
Die sechste Ausführungsform ist ein Beispiel eines elektronischen Steuersystems, das auf verschiedene sich bewegende Objekte anwendbar ist.
9 ist ein funktionelles Blockdiagramm eines Betriebs des elektronischen Steuersystems (Steuersystem für autonomes Fahren) gemäß der sechsten Ausführungsform.
In 9 enthält das elektronische Steuersystem Folgendes: eine Aktorsteuereinrichtung 23, die einen Aktor (Ansteuervorrichtung) 24, der in einem sich bewegenden Körper wie z. B. einem Fahrzeug vorgesehen ist, ansteuert; einen ersten Steuermikrocomputer (Steueranweisungserzeugungseinheit) 21b, der eine erste Steueranweisung zur Aktorsteuereinrichtung 23 ausgibt; einen zweiten Steuermikrocomputer (Steueranweisungserzeugungseinheit (Degenerationssteuereinheit)) 22b, der eine Degenerationssteueranweisung, die eine zweite Steueranweisung ist, zur Aktorsteuereinrichtung 23 ausgibt; eine Überwachungsschaltung 21h, die eine Anomalie des ersten Steuermikrocomputers 21b überwacht; und eine Rücksetzerzeugungseinheit 21t, die den ersten Steuermikrocomputer 21b zurücksetzt.
Die Überwachungsschaltung 21h enthält eine erste Überwachungsschaltung und eine zweite Überwachungsschaltung, die denen der ersten Ausführungsform ähnlich sind.
Wenn eine Anomalie des ersten Steuermikrocomputers 21b detektiert wird, gibt die erste Überwachungsschaltung der Überwachungsschaltung 21h ein Anomaliebenachrichtigungssignal zum zweiten Steuermikrocomputer 22b aus. Wenn das Anomaliebenachrichtigungssignal von der Überwachungsschaltung 21h empfangen wird, beginnt der zweite Steuermikrocomputer 22b, zur Degenerationsbetriebssteuerung überzugehen.
Dann, wenn der Übergang zur Degenerationsbetriebssteuerung beendet ist (nachdem ein erforderlicher Übergangszeitraum abgelaufen ist), gibt der zweite Steuermikrocomputer 22b ein Vorbereitungsabschlussbenachrichtigungssignal zur Rücksetzerzeugungseinheit 21t aus und gibt eine Degenerationssteueranweisung zur Aktorsteuereinrichtung 23 aus.
Wenn die Anomalie des ersten Steuermikrocomputers 21b detektiert wird, gibt die zweite Überwachungsschaltung der Überwachungsschaltung 21h ein Anomaliebenachrichtigungssignal zur Rücksetzerzeugungseinheit 21t aus.
Die Rücksetzerzeugungseinheit 21t gibt ein Rücksetzsignal zum ersten Steuermikrocomputer 21b lediglich aus, nachdem sowohl das Anomaliesignal von der Überwachungsschaltung 21h und die Vorbereitungsabschlussbenachrichtigung vom zweiten Steuermikrocomputer 22b erzielt werden. Selbst wenn lediglich eines des Anomaliesignals von der Überwachungsschaltung 21h und der Vorbereitungsabschlussbenachrichtigung vom zweiten Steuermikrocomputer 22b eingegeben wird, gibt die Rücksetzerzeugungseinheit 21t das Rücksetzsignal nicht zum ersten Steuermikrocomputer 21b aus.
Als ein Ergebnis wird sichergestellt, dass der erste Steuermikrocomputer 21b nach dem Ende des Steuerungsübergangsbetriebs des zweiten Steuermikrocomputers 22b zurückgesetzt wird, und es ist möglich, zur Degenerationsbetriebssteuerung der Aktorsteuereinrichtung 23 überzugehen, ohne den freien Zeitraum zwischen der Steuerung der Aktorsteuereinrichtung 23 durch den ersten Steuermikrocomputer 21b und der Steuerung der Aktorsteuereinrichtung 23 durch den zweiten Steuermikrocomputer 22b zu erzeugen.
Wie oben beschrieben wird, kann gemäß der sechsten Ausführungsform der vorliegenden Erfindung selbst dann, wenn im ersten Steuermikrocomputer 21b die Anomalie detektiert wird, die Steuerung sicher zum zweiten Steuermikrocomputer 22b übergehen, ohne den steuerungsfreien Zeitraum zu erzeugen, derart, dass der steuerungsfreie Zeitraum beseitigt werden kann und die Zuverlässigkeit der Steuerschaltung verbessert werden kann.
Das heißt, es ist möglich, das elektronische Steuersystem für das sich bewegende Objekt wie z. B. das Fahrzeug zu implementieren, das selbst wenn die Betriebsanomalie in der Arithmetikeinheit der Steuereinrichtung auftritt, den Steuerungsübergang zum Degenerationssteuermikrocomputer sicher durchführen und die Sicherheit verbessern kann.
In der sechsten Ausführungsform können der erste Steuermikrocomputer 21b und der zweite Steuermikrocomputer 22b in derselben elektronischen Steuereinheit angeordnet sein oder können auch in getrennten elektronischen Steuereinheiten angeordnet sein.
Es ist festzuhalten, dass die oben beschriebenen Beispiele derart konfiguriert sind, dass die Steuerung und die Erkennung durch den Mikrocomputer wie z. B. den Steuermikrocomputer 11b, den Degenerationssteuermikrocomputer 12b, den Mikrocomputer 10b zur externen Erkennung, den ersten Steuermikrocomputer 21b und den zweiten Steuermikrocomputer 22b durchgeführt werden, jedoch ist die vorliegende Erfindung nicht auf den Mikrocomputer beschränkt und kann unter Verwendung weiterer Logikschaltungen konfiguriert sein.
Zusätzlich wurde im oben beschriebenen Beispiel der Steuerungsübergangsbetrieb des Degenerationssteuermikrocomputers 12b und des zweiten Steuermikrocomputers 22b während des Steuerungsübergangs nicht genau beschrieben, kann jedoch für jedes Fahrzeug, in dem die Erfindung angewendet wird, geeignet eingestellt werden.
In den oben beschriebenen Ausführungsformen der vorliegenden Erfindung kann für den Steuerungsübergangsbetrieb während des Steuerungsübergangszeitraums der Degenerationssteuermikrocomputer 12b (der zweite Steuermikrocomputer 22b) konfiguriert sein, einen Betrieb (Übertragungsbetrieb oder Kopierbetrieb) zum Übernehmen der Steuerdaten des Steuermikrocomputers 11b (des ersten Steuermikrocomputers 21b) auszuführen.
Eine weitere Ausführungsform der vorliegenden Erfindung ist ein Fahrzeugsteuerverfahren. Dieses Fahrzeugsteuerverfahren ist ein Fahrzeugsteuerverfahren zum Ausführen eines automatischen Fahrmodus und enthält Folgendes: einen ersten automatischen Fahrmodus zum Durchführen eines automatischen Fahrens in einem Normalzustand und einen zweiten automatischen Fahrmodus zum Durchführen einer Degeneration vom ersten automatischen Fahrmodus und Detektieren, ob eine Anomalie im ersten automatischen Fahrmodus aufgetreten ist oder nicht.
Dann wird, wenn detektiert wird, dass die Anomalie im ersten automatischen Fahrmodus aufgetreten ist, eine Vorbereitung zum Übergehen zum zweiten automatischen Fahrmodus gestartet. Während eines Übergangsvorbereitungszeitraums zum zweiten automatischen Fahrmodus wird der erste automatische Fahrmodus fortgesetzt und der erste automatische Fahrmodus wird zurückgesetzt, nachdem der zweite automatische Fahrmodus seit Abschluss des Übergangsvorbereitungszeitraums zum zweiten automatischen Fahrmodus gestartet worden ist.
Als ein Ergebnis ist es selbst dann, wenn die Anomalie im ersten automatischen Fahrmodus auftritt, möglich, den Steuerungsübergang zum zweiten automatischen Fahrmodus zur Degeneration sicher durchzuführen und somit ist es möglich, das Fahrzeugsteuerverfahren, das die Sicherheit verbessern kann, zu implementieren.
Bezugszeichenliste

1: Kamera
2: Radar
3: Trägerfahrzeugpositionssensor
4: Einstelleinheit für automatisches Fahren
10b: Mikrocomputer zur externen Erkennung
10c, 10d, 11c, 12c: Kommunikationsschaltung
10k: Bahninformationsübertragungsleitung
11: Steuereinheit für autonomes Fahren
11h: Überwachungsschaltung
11i: erste Überwachungsschaltung (WDT-Einheit)
11j: zweite Überwachungsschaltung 2 (Arithmetik/Logik-Vergleichseinheit)
11q: Anomaliebenachrichtigungssignal-Erzeugungseinheit
11r: Rücksetzsignal
11t: Rücksetzerzeugungseinheit
11u: Anomaliebenachrichtigungssignal
11p, 11x: UND-Gatter
11w: ODER-Gatter
12: Degenerationssteuereinheit
12b: Degenerationssteuermikrocomputer
13: Bremssteuereinheit
14: Kraftmaschinensteuereinheit
15: Servolenkungssteuereinheit
21b: erster Steuermikrocomputer
21h: Überwachungsschaltung
21t: Rücksetzerzeugungseinheit
22b: zweiter Steuermikrocomputer
23: Aktorsteuereinrichtung
24: Aktor

ZITATE ENTHALTEN IN DER BESCHREIBUNG
Diese Liste der vom Anmelder aufgeführten Dokumente wurde automatisiert erzeugt und ist ausschließlich zur besseren Information des Lesers aufgenommen. Die Liste ist nicht Bestandteil der deutschen Patent- bzw. Gebrauchsmusteranmeldung. Das DPMA übernimmt keinerlei Haftung für etwaige Fehler oder Auslassungen.
Zitierte Patentliteratur

JP 2015093498 A [0004]

Claims

Fahrzeugsteuereinrichtung, die Folgendes umfasst: eine erste Steueranweisungserzeugungseinheit, die eine erste Steueranweisung für eine Fahrzeugantriebseinrichtung erzeugt; eine zweite Steueranweisungserzeugungseinheit, die eine zweite Steueranweisung für die Fahrzeugantriebseinrichtung erzeugt; und eine Überwachungsschaltung, die Folgendes enthält: eine Überwachungseinheit, die einen Betrieb der ersten Steueranweisungserzeugungseinheit überwacht; eine Anomaliebenachrichtigungssignal-Erzeugungseinheit, die ein Anomaliebenachrichtigungssignal zur zweiten Steueranweisungserzeugungseinheit ausgibt, wenn die Überwachungseinheit eine Anomalie der ersten Steueranweisungserzeugungseinheit detektiert; und eine Rücksetzerzeugungseinheit, die ein Rücksetzsignal ausgibt, um die erste Steueranweisungserzeugungseinheit zurückzusetzen, wobei die Rücksetzerzeugungseinheit das Rücksetzsignal nach Ablauf einer erforderlichen Übergangszeit seit der Ausgabe des Anomaliebenachrichtigungssignals aus der Anomaliebenachrichtigungssignal-Erzeugungseinheit, in der die zweite Steueranweisungserzeugungseinheit einen Steuerungsübergangsbetrieb, um die zweite Steueranweisung zu erzeugen, beendet, ausgibt.
Fahrzeugsteuereinrichtung, die Folgendes umfasst: eine erste Steueranweisungserzeugungseinheit, die eine erste Steueranweisung für eine Fahrzeugantriebseinrichtung erzeugt; und eine Überwachungsschaltung, die Folgendes enthält: eine Überwachungseinheit, die einen Betrieb der ersten Steueranweisungserzeugungseinheit überwacht; eine Anomaliebenachrichtigungssignal-Erzeugungseinheit, die ein Anomaliebenachrichtigungssignal zur zweiten Steueranweisungserzeugungseinheit ausgibt, wenn die Überwachungseinheit eine Anomalie der ersten Steueranweisungserzeugungseinheit detektiert; und eine Rücksetzerzeugungseinheit, die ein Rücksetzsignal ausgibt, um die erste Steueranweisungserzeugungseinheit zurückzusetzen, wobei die Rücksetzerzeugungseinheit das Rücksetzsignal nach Ablauf einer erforderlichen Übergangszeit seit der Ausgabe des Anomaliebenachrichtigungssignals aus der Anomaliebenachrichtigungssignal-Erzeugungseinheit, in der die zweite Steueranweisungserzeugungseinheit einen Steuerungsübergangsbetrieb, um die zweite Steueranweisung zu erzeugen, beendet, ausgibt.
Fahrzeugsteuereinrichtung nach Anspruch 1 oder 2, wobei die Anomaliesignalerzeugungseinheit das Anomaliebenachrichtigungssignal in einer ersten Anomaliedetektionszeit nach dem Auftreten einer Anomalie in der ersten Steueranweisungserzeugungseinheit zur zweiten Steueranweisungserzeugungseinheit ausgibt, die Rücksetzerzeugungseinheit das Rücksetzsignal in einer zweiten Anomaliedetektionszeit, die länger als die erste Anomaliedetektionszeit ist, nach dem Auftreten der Anomalie in der ersten Steueranweisungserzeugungseinheit zur ersten Steueranweisungserzeugungseinheit ausgibt und dann, wenn die erste Anomaliedetektionszeit T1 ist, die zweite Anomaliedetektionszeit T2 ist und die erforderliche Übergangszeit T3 ist, eine Zeit, die durch Addieren von T1 und T3 erhalten wird, gleich oder kleiner als T2 ist.
Fahrzeugsteuereinrichtung nach Anspruch 3, wobei ein Bestimmungskriterium 1, das auf der Grundlage einer Anomaliedetektionsanzahl gesetzt ist, und ein Bestimmungskriterium 2, das eine Anomaliedetektionsanzahl ist, die größer als das Bestimmungskriterium 1 ist, gesetzt werden, die erste Anomaliedetektionszeit dem Bestimmungskriterium 1 entspricht, die zweite Anomaliedetektionszeit dem Bestimmungskriterium 2 entspricht und eine Zeitdifferenz zwischen der ersten Anomaliedetektionszeit und der zweiten Anomaliedetektionszeit vorgesehen ist.
Fahrzeugsteuereinrichtung nach Anspruch 3, wobei die Überwachungseinheit Folgendes enthält: eine erste Überwachungseinheit, die detektiert, dass eine Anomalie in der ersten Steueranweisungserzeugungseinheit in der ersten Anomaliedetektionszeit nach dem Auftreten einer Anomalie in der ersten Steueranweisungserzeugungseinheit aufgetreten ist, und eine zweite Überwachungseinheit, die detektiert, dass eine Anomalie in der ersten Steueranweisungserzeugungseinheit in der zweiten Anomaliedetektionszeit nach dem Auftreten einer Anomalie in der ersten Steueranweisungserzeugungseinheit aufgetreten ist.
Fahrzeugsteuereinrichtung nach Anspruch 5, wobei die Anomalie, die durch die erste Überwachungseinheit detektiert worden ist, ein schwerwiegenderer Rücksetzfaktor als die Anomalie, die durch die zweite Überwachungseinheit detektiert worden ist, ist.
Fahrzeugsteuereinrichtung nach einem der Ansprüche 3 bis 6, wobei die zweite Steueranweisungserzeugungseinheit ferner eine Steuerungsübergangsbetriebsende-Detektionseinheit enthält, die detektiert, dass der Steuerungsübergangsbetrieb beendet worden ist, und ein Übergangsvorbereitungsabschlusssignal ausgibt, um die Erzeugungseinheit zurückzusetzen, und die Rücksetzerzeugungseinheit das Rücksetzsignal ausgibt, wenn die zweite Überwachungseinheit detektiert, dass eine Anomalie in der ersten Steueranweisungserzeugungseinheit aufgetreten ist und das Übergangsvorbereitungsabschlusssignal von der Steuerungsübergangsbetriebsende-Detektionseinheit ausgegeben wird.
Fahrzeugsteuereinrichtung nach einem der Ansprüche 1 bis 7, wobei der Steuerungsübergangsbetrieb der zweiten Steueranweisungserzeugungseinheit ein Betrieb zum Übertragen von Steuerdaten der ersten Steueranweisungserzeugungseinheit zur zweiten Steueranweisungserzeugungseinheit ist.
Elektronisches Steuersystem, das Folgendes umfasst: eine Aktorsteuereinrichtung, die einen Aktor eines sich bewegenden Körpers ansteuert; eine erste Steueranweisungserzeugungseinheit, die eine erste Steueranweisung zur Aktorsteuereinrichtung ausgibt; eine zweite Steueranweisungserzeugungseinheit, die eine zweite Steueranweisung zur Aktorsteuereinrichtung ausgibt; eine Überwachungsschaltung, die eine Anomalie der ersten Steueranweisungserzeugungseinheit überwacht und ein Anomaliebenachrichtigungssignal zur zweiten Steueranweisungserzeugungseinheit ausgibt, wenn die Anomalie der ersten Steueranweisungserzeugungseinheit detektiert wird; und eine Rücksetzerzeugungseinheit, die die erste Steueranweisungserzeugungseinheit zurücksetzt, wobei die Rücksetzerzeugungseinheit das Rücksetzsignal nach Ablauf einer erforderlichen Übergangszeit seit der Ausgabe des Anomaliebenachrichtigungssignals aus der Überwachungsschaltung, in der die zweite Steueranweisungserzeugungseinheit einen Steuerungsübergangsbetrieb zum Erzeugen der zweiten Steueranweisung beendet, ausgibt.
Elektronisches Steuersystem nach Anspruch 9, wobei die erste Steueranweisungserzeugungseinheit und die zweite Steueranweisungserzeugungseinheit in einer elektronischen Steuereinheit angeordnet sind.
Elektronisches Steuersystem nach Anspruch 9, wobei die erste Steueranweisungserzeugungseinheit und die zweite Steueranweisungserzeugungseinheit in jeweils getrennten elektronischen Steuereinheiten angeordnet sind.