JP2003015742A - 車両の自動運転システム - Google Patents

Abstract

(57)【要約】 【課題】車載機器のコストアップや大型化を避けつつ安
全性を確保することができる車両の自動運転システムを
提供する。 【解決手段】拡張入力回路４４,４５，４６，…は、セ
レクト信号に応答してセンサからの入力データを、デー
タバス４３を通してメインＣＰＵ４１に送る。デコーダ
４８は、メインＣＰＵ４１からアドレスバス４７を通し
て送られてくるアドレスデータに対応する拡張入力回路
に対しセレクト信号を送る。拡張入力回路からデータを
メインＣＰＵ４１に送るときに、データを送る拡張入力
回路を特定するための識別子を付与し、メインＣＰＵ４
１においてデコーダ４８へのアドレスデータと拡張入力
回路から送られた識別子を比較して選択した拡張入力回
路とデータを送ってきた拡張入力回路が不一致の場合に
は異常であると判定する。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】この発明は車両の自動運転シ
ステムに関するものである。

【０００２】

【従来の技術】車両の自動運転システムは、通信インフ
ラと自動車搭載機器を利用して道路と車の路車間通信や
車同士で行う車車間通信を用いて車載情報処理装置によ
り道路から受け取った信号を基に車両制御用アクチュエ
ータを制御して自動運転を行うものである。このとき、
安全性を確保する目的で車載側センサを多重化するとと
もにセンサ信号を処理する車載情報処理装置を多重化す
ることが行われている。センサと情報処理装置を完全に
多重化することは全ての部品を複数用意することであ
り、これによりいずれかの部品に不具合が発生したとし
ても待避走行を行うことができフェールセーフ化を図る
ことが可能となるが、反面、部品点数が膨大になり、機
能としては満足できるが、コスト・体格の面では好まし
くないという問題点がある。また、それを避けようとす
ると、一部の部品は多重化でなくなり安全性が損なわれ
てしまう。

【０００３】

【発明が解決しようとする課題】本発明はこのような背
景の下になされたものであり、その目的は、車載機器の
コストアップや大型化を避けつつ安全性を確保すること
ができる車両の自動運転システムを提供することにあ
る。

【０００４】

【課題を解決するための手段】請求項１に記載の発明に
よれば、各処理系において一つ設けられたデコーダは、
処理装置からアドレスバスを通して送られてくるアドレ
スデータに対応する入力回路に対しセレクト信号を送
る。そして、各処理系において複数設けられた入力回路
は、セレクト信号に応答してセンサからの入力データを
データバスを通して各処理系での処理装置に送る。この
ようにして、入力回路を順に選択して多重化されたセン
サでの各センサからのデータを処理装置に取り込む。

【０００５】このようにして、車載側において、多重化
されたセンサからの信号が多重化された処理系に取り込
まれ、各処理系において複数の処理装置により演算処理
が行われ、複数の処理装置での各演算結果が各処理系で
の比較装置により比較されて、不一致の場合には演算結
果が一致している処理系での演算結果に基づいて走行制
御用アクチュエータが制御されて道路に沿って車両が自
動運転される。

【０００６】ここで、もしデコーダやその周辺部品が故
障し、同じ入力回路を選択し続けていたとしたら、処理
装置としては、多重化されたセンサ入力はどれも同じ値
になり全部正常と判断してしまい、多重化構成の本来の
機能を果たすことができなくなる。

【０００７】本発明では、入力回路を順に選択して多重
化されたセンサでの各センサからのデータを処理装置に
取り込む際の入力回路からデータを処理装置に送るとき
に、データを送る入力回路を特定するための識別子を付
与し、処理装置においてデコーダへのアドレスデータと
入力回路から送られた識別子を比較して選択した入力回
路とデータを送ってきた入力回路が不一致の場合には異
常であると判定するようにした。

【０００８】よって、デコーダやその周辺部品について
は多重化されていないが、デコーダやその周辺部品の故
障が検出できることになる。これにより、デコーダやそ
の周辺部品の故障が検出でき、不具合を回避するための
処置を行うことが可能となる。その結果、多重化してい
ない部位においてもダイアグ機能を持たせることにより
安全性を確保することができる。

【０００９】このようにして、車載機器のコストアップ
や大型化を避けつつ安全性を確保することができる。ま
た、請求項２に記載のように、異常であると判定した際
には、走行制御用アクチュエータを制御するための処理
系を切り替えるようにするとよい。

【００１０】

【発明の実施の形態】以下、この発明を具体化した実施
の形態を図面に従って説明する。図１には、本実施の形
態における車両の自動運転システムの全体構成を示す。
走行道路１０にはその幅方向中央部に磁気レーンマーカ
ー１１が所定の間隔をおいて多数埋設されている。磁気
レーンマーカー１１からは磁気信号が発せられる。一
方、走行道路１０を走行する車両２０側において、磁気
ネイルセンサ２１が搭載され、磁気ネイルセンサ２１に
より磁気レーンマーカー１１が発する磁気信号を検出す
ることができるようになっている。

【００１１】また、走行道路１０にはループアンテナ１
２が所定の間隔をおいて多数埋設されるとともに、この
各ループアンテナ１２は路車間通信路側機１３を通して
管制装置１４と接続されている。一方、車両２０側にお
いて、路車間通信機２２が搭載され、路車間通信機２２
によりループアンテナ１２と路車間通信路側機１３を介
して管制装置１４と通信できるようになっている。

【００１２】さらに、車両２０側において、衝突防止レ
ーダ２３や車車間通信装置２４や車間距離センサ２５が
搭載されている。衝突防止レーダ２３は衝突対象物との
距離が所定値よりも接近した場合には車両停止信号を出
力する。また、車車間通信装置２４により車車間での通
信を行うことができる。さらに、車間距離センサ２５に
より車間距離が測定される。

【００１３】また、車両２０にはコントローラ（車両制
御ＥＣＵ）２６とドライバ２７とアクセル用アクチュエ
ータ２８とブレーキ用アクチュエータ２９とステアリン
グ用アクチュエータ３０が搭載されている。コントロー
ラ２６は各種のセンサからの信号を取り込んで所定の演
算処理を実行し、その演算結果に基づいてドライバ２７
を介してアクセル用アクチュエータ２８とブレーキ用ア
クチュエータ２９とステアリング用アクチュエータ３０
を作動させて所望の自動運転を行わせる。また、コント
ローラ２６は緊急停止する必要がある時にはドライバ２
７を介して非常ブレーキ用アクチュエータ（図示略）を
作動させるようになっている。

【００１４】このように本システムは、走行道路１０に
埋設された磁気レーンマーカー１１を、車両に搭載され
た磁気ネイルセンサ２１により検出し、コントローラ２
６によりアクセル、ブレーキ、ステアリングの各アクチ
ュエータ２８，２９，３０を制御しながら車両２０が道
路中央部を走行するよう誘導するシステムである。

【００１５】図１におけるコントローラ２６の詳細を、
図２に示す。図２において、コントローラ２６にはメイ
ンＣＰＵ４１とサブＣＰＵ４２が備えられ、ＣＰＵに関
して多重化（２重化）されている。メインＣＰＵ４１に
はデータバス４３が接続され、このデータバス４３には
拡張入力回路４４，４５，４６，…がそれぞれ接続され
ている。本例のデータバス４３は８ビットである。拡張
入力回路４４，４５，４６，…には、それぞれ多重化さ
れたセンサが接続されている。具体的には、多重化され
たセンサＡ−１，Ａ−２，Ａ−３，…に関して、センサ
Ａ−１が拡張入力回路４４に、センサＡ−２が拡張入力
回路４５に、センサＡ−３が拡張入力回路４６に、それ
ぞれ接続されている。また、多重化されたセンサＢ−
１，Ｂ−２，Ｂ−３，…に関して、センサＢ−１が拡張
入力回路４４に、センサＢ−２が拡張入力回路４５に、
センサＢ−３が拡張入力回路４６に、それぞれ接続され
ている。

【００１６】また、メインＣＰＵ４１にはアドレスバス
４７が接続され、このアドレスバス４７にはデコーダ４
８が接続されている。本例のアドレスバス４７は３ビッ
トである。このデコーダ４８には拡張入力回路４４，４
５，４６，…がそれぞれ接続されている。そして、メイ
ンＣＰＵ４１から拡張入力回路４４，４５，４６，…を
選択するためのアドレスデータがアドレスバス４７に送
出されると、デコーダ４８を通して選択された拡張入力
回路４４，４５，４６，…に対してセレクト信号が送ら
れる。このセレクト信号により拡張入力回路４４，４
５，４６，…においてはセンサデータがデータバス４３
を通してメインＣＰＵ４１に送られる。この入力データ
に基づいてメインＣＰＵ４１は各種の演算を実行する。

【００１７】また、メインＣＰＵ４１からサブＣＰＵ４
２に対し、メインＣＰＵ４１で取り込んだ入力データ
（センサデータ）を送るようになっている。このデータ
に基づいてサブＣＰＵ４２はメインＣＰＵ４１での演算
と同じ処理を実行する。

【００１８】メインＣＰＵ４１とサブＣＰＵ４２には比
較装置４９が接続され、メインＣＰＵ４１での処理デー
タ（演算結果）とサブＣＰＵ４２での処理データ（演算
結果）が比較装置４９に送られる。比較装置４９は両デ
ータ（両演算結果）を比較して、メインＣＰＵ４１での
処理データとサブＣＰＵ４２での処理データが一致しな
いとＣＰＵ故障信号を出力する。

【００１９】このような構成をなすコンピュータ４０
が、もう一つ用意されている。つまり、コンピュータ１
系４０と、これと同じ構成をなすコンピュータ２系６０
を備えている。

【００２０】コンピュータ１系４０とコンピュータ２系
６０には系選択装置７０が接続されている。この系選択
装置７０とコンピュータとの信号のやり取りをコンピュ
ータ１系４０で説明すると、メインＣＰＵ４１から系選
択装置７０へは出力データが送られるとともにサブＣＰ
Ｕ４２から系選択装置７０へも出力データが送られる。
そして、系選択装置７０においていずれかの出力データ
を外部のドライバ２７（図１参照）に送出する。本例で
は、メインＣＰＵ４１とサブＣＰＵ４２とを比較した場
合、メインＣＰＵ４１の優先度が高く設定されており、
当初、メインＣＰＵ４１からの出力データがドライバ２
７に送られる。また、メインＣＰＵ４１から系選択装置
７０へは自系停止信号が送られるとともにサブＣＰＵ４
２から系選択装置７０へも自系停止信号が送られる。そ
して、系選択装置７０において、ドライバ２７に送るデ
ータとして自系停止信号が送られてきた方のＣＰＵ（異
常が発生したＣＰＵ）から正常な方のＣＰＵに切り替え
られる。

【００２１】さらに、比較装置４９からのＣＰＵ故障信
号が系選択装置７０に送られる。このＣＰＵ故障信号に
応答して系選択装置７０はコンピュータ１系から２系に
切り替える（２系を選択する）。つまり、メインＣＰＵ
４１とサブＣＰＵ４２が正常時には演算後の結果を比較
データとして比較装置４９に出力し、比較装置４９は比
較データが一致していることを監視しており、不一致に
なったらＣＰＵ故障信号を系選択装置７０に出力し、系
選択装置７０は、コンピュータを１系から２系に切り替
える（２系を選択する）。

【００２２】なお、コンピュータ１系４０にいて説明し
たが、コンピュータ２系６０も同様な構成および動作と
なる。ここまでの説明において本例の車両の自動運転シ
ステムは、車載側において、多重化されたセンサからの
信号を多重化された処理系４０，６０に取り込み、各処
理系４０，６０において複数の処理装置（メインＣＰＵ
４１、サブＣＰＵ４２）により演算処理を行い、複数の
処理装置（メインＣＰＵ４１、サブＣＰＵ４２）での各
演算結果を各処理系４０，６０での比較装置４９により
比較して、不一致の場合には演算結果が一致している処
理系での演算結果に基づいて走行制御用アクチュエータ
２８，２９，３０を制御して道路１０に沿って車両２０
を自動運転する。

【００２３】ここで、本実施の形態での車両の自動運転
システムにおいては、図２に示すように、各拡張入力回
路４４，４５，４６，…において、８本の入力ポートに
対しそのうちの３本を各拡張入力回路を特定するための
アドレス専用のポートとして用いている。つまり、入力
８ビットのうちの３ビットを各拡張入力回路を特定する
ためのアドレスとして用いている。よって、図２のデコ
ーダ４８が、メインＣＰＵ４１からのアドレスデータに
より選択すべき拡張入力回路４４,４５，４６，…に対
しセレクト信号を出力すると、多重化されたセンサ信号
を入力している拡張入力回路４４,４５，４６，…は、
デコーダ４８により選択された時、データバス４３にア
ドレスデータを含む入力信号と同じデータを送出し、メ
インＣＰＵ４１はこのデータを取り込むことになる。

【００２４】ここで、本実施形態の場合は、拡張入力回
路４４,４５，４６，…における８ビットのうちの３ビ
ットをアドレス識別用のデータ（識別子）として利用し
ているため、８個の拡張入力回路を識別することができ
る。

【００２５】次に、車両の自動運転システムの作用を、
図３を用いて説明する。図３は、メインＣＰＵ４１が５
ｍｓｅｃ毎に行う処理内容を示すフローチャートであ
る。メインＣＰＵ４１は、センサ入力を取り込むため
に、図３における処理を５ｍｓｅｃ毎に開始してステッ
プ１００でアドレスデータとして第１の拡張入力回路４
４を選択するためのＮ＝０をアドレスバス４７に出力す
る。すると、これを受けて図２のデコーダ４８が、選択
すべき拡張入力回路４４に対しセレクト信号を送出す
る。これを受けた拡張入力回路４４が自身の入力データ
（８ビット）をデータバス４３に送出する。この時、入
力のうち３つはアドレス識別用のデータ（３ビット分の
識別子）として同時に送出される。

【００２６】メインＣＰＵ４１は、ステップ１０１で、
データバス４３を通して送られてきた拡張入力回路４４
からのデータを取り込む。そして、メインＣＰＵ４１
は、ステップ１０２で、取り込んだデータにおけるアド
レス（識別子）が指定した第１の拡張入力回路４４を選
択するためのアドレスデータ（Ｎ＝０）であるか否か判
定する。

【００２７】Ｎ＝０であれば、メインＣＰＵ４１は、ス
テップ１０３でＮ値を１インクリメントしてＮ＝１とし
た後、Ｎ＝７でなければステップ１００に戻り、ステッ
プ１００〜１０４を繰り返して、同様にして順次、拡張
入力回路４５→４６→…からそれぞれのデータを取り込
む。そして、第１〜第８の拡張入力回路からのセンサ信
号を取り込んだならば、メインＣＰＵ４１は、ステップ
１０４からステップ１０５に移行して多重化したセンサ
における各センサ値が全て一致するか否か判定する。多
重化したセンサにおける各センサ値が全て一致すると、
メインＣＰＵ４１は、ステップ１０６に移行して所定の
演算処理を実行する。また、多重化したセンサにおける
各センサ値が全て一致しないと、メインＣＰＵ４１は、
ステップ１０７に移行して自系停止信号を出力する。こ
のようにメインＣＰＵ４１は取り込んだ入力のうち、多
重化されたセンサ入力に対応するものを比較してセンサ
の異常を監視するという機能を担っている。この自系停
止信号が図２の系選択装置７０に送られると、系選択装
置７０において、ドライバ２７に送るデータとして自系
停止信号が送られてきた方のＣＰＵから正常な方のＣＰ
Ｕに切り替えられることになる。

【００２８】また、メインＣＰＵ４１はこれらの入力デ
ータをサブＣＰＵ４２にも受け渡し、メインおよびサブ
ＣＰＵ４１，４２は同じ入力値で演算を行い、その結果
を図２の比較装置４９に送出し、一致していればメイン
ＣＰＵ４１からの出力を基に全体の制御が行われること
になる。

【００２９】一方、図３のステップ１０２において、取
り込んだデータにおけるアドレス（識別子）が指定した
拡張入力回路を選択するためのアドレス（Ｎ値）と一致
しないと、メインＣＰＵ４１は、ステップ１０７に移行
して自系停止信号を出力する。

【００３０】以上のような処理が行われることにより、
以下の効果を奏する。この効果の説明を、比較のための
図４，５を用いて行う。図４は、図２での各拡張入力回
路４４，４５，４６，…において８本の入力ポート全て
にセンサをつないだものであり、図５は、図３でのステ
ップ１０２の処理を行わなかった場合のフローチャート
である。

【００３１】車両の自動運転システムにおいては、自動
運転、無人走行であるが故に安全走行が第１であり、ま
た故障時には安全側に停止させること、また、冗長系に
よる一時待避のための走行機能等が重要となってくる。
そのため、追突防止のための衝突防止レーダや、車間距
離センサ、車車間通信、またループアンテナを介した路
車間通信等により、安全な走行管制システムを構築する
ことが必須である。そして、コントローラ（車両制御Ｅ
ＣＵ）において、重要故障時にも安全にかつ待避走行も
可能とするため、ＣＰＵの二重化およびＣＰＵ部の多冗
長系（本例では二冗長系）を構築としている。また、セ
ンサ入力が故障した場合の問題点として、自動運転シス
テムにおける車両制御コンピュータの入力部でのハード
構成部の故障に関し、特に、拡張した入力ポート部分
の、多重化されていない部分の故障を検知することが必
要となってくる。

【００３２】図４のように、自動運転においては安全性
が最優先されるため、ＣＰＵの多重化、冗長化、センサ
入力の多重化等により、故障率を極力下げる方法がとら
れている。ここで、例えば、センサＡという入力は、追
突防止用の近接センサであったり、人への衝突を避ける
ための人感知センサであったり、また非常ブレーキ用の
センサであったりする。これらのセンサにより、車両は
緊急停止する制御になっており、もしセンサが故障して
いると車両同士の追突や、人身事故を招いたりすること
になる。そのため、センサ故障はすぐに検知し修理する
ことが必須となる。

【００３３】その対策として、センサの数を例えば３つ
（センサＡ−１、センサＡ−２、センサＡ−３）にし、
それらの入力をＣＰＵでチェックし、センサが全部正常
であるかどうかを常に監視しており、故障を検知するこ
とができるようにしてある。３つのセンサ全部が同じ信
号であれば正常で、一つでも違えばどれかが故障してい
ると判断し、緊急停止し、この車両を待避、修理を行う
ことができる。

【００３４】以上のように複数の入力により、安全性に
は十分な配慮がなされているが、車両制御コンピュータ
のすべての部分を複数にすることは、膨大な回路規模に
なり、コストも増大し、製品としての実現性に欠けてく
る。そのため、複数化するところとそうでないところが
共存する。

【００３５】図４，５の場合、一つしかないデコーダ４
８が故障する可能性がある。例えば、デコーダ４８が故
障して同一の拡張入力回路に対しセレクト信号を出力し
続ける状態になる。このように、図４，５の場合、デコ
ーダ４８の故障検知ができず、センサ異常を検知する機
能を損なう可能性がある。

【００３６】これに対し、図２，３の場合においては、
その対策が講じられており、デコーダ４８の故障を検知
できる。特に安全性を重視した多重系コンピュータにお
いて、複数のＣＰＵにより多重化構成されているにも関
わらず、周辺の多重化されていない部分が故障した時、
多重化の効果がなくなることに対し、簡単な構成により
入力拡張用のデコーダ周辺部分の故障も検知することが
できる。つまり、デコーダ４８が故障して同一の拡張入
力回路に対しセレクト信号を出力し続ける状態になって
しまった場合、メインＣＰＵ４１は取り込んだ拡張入力
回路からのデータの内の３ビットのアドレスデータ部分
が要求した拡張入力回路と同一であるかどうかをチェッ
クしているため、要求とは異なる拡張入力回路であるこ
とがすぐに判別でき、故障を検知することができる。こ
の場合、メインＣＰＵ４１は、自系停止信号を系選択装
置７０に送出し、系選択装置７０はコンピュータを１系
から２系に切り替える。

【００３７】以上のように、図２，３の構成とすること
により、図４，５の構成とした場合に比べデコーダ４８
の故障検知ができセンサ異常を検知する機能を損なうこ
とがない。

【００３８】つまり、ＣＰＵへの入力として拡張入力の
ためのデコーダ４８を用いる場合、図４の構成とした場
合、機能としては、多重化されたセンサ入力を取り込ん
で、ＣＰＵがセンサ異常はないかどうかをチェックして
いるが、この場合、もしデコーダ４８が故障し、同じ拡
張入力回路を選択し続けていたとしたら、ＣＰＵとして
は、多重化されたセンサ入力はどれも同じ値になり全部
正常と判断してしまい、デコーダ４８の故障を検知でき
ずに多重化構成の本来の機能を果たしていないことにな
ってしまう。これに対し、拡張入力回路からデータを処
理装置（メインＣＰＵ４１）に送る際に、データを送る
拡張入力回路を特定するための識別子を付与し、処理装
置（メインＣＰＵ４１）においてデコーダ４８へのアド
レスデータと拡張入力回路から送られた識別子を比較し
て選択した拡張入力回路とデータを送ってきた拡張入力
回路が不一致の場合には異常であると判定するようにす
ることにより、デコーダ４８については多重化されてい
ないが、デコーダ４８の故障が検出できることになる。
これにより、デコーダ４８の故障が検出でき、不具合を
回避するための処置を行うことが可能となり、その結
果、多重化していない部位においてもダイアグ機能を持
たせることにより安全性を確保することができる。この
ようにして、車載機器のコストアップや大型化を避けつ
つ安全性を確保することができる。

【００３９】なお、これまでの説明ではデコーダ故障に
ついての説明をしたが、メインＣＰＵ４１のアドレス出
力から、メインＣＰＵ４１のデータバス４３からデータ
を取り込むまでの間におけるデータ伝達系を構成する部
品のいずれが故障しても、例えば、メインＣＰＵ４１の
アドレス出力部分が故障したり拡張入力回路のセレクト
信号の入力部あるいはデータ出力部のいずれかが故障し
たりメインＣＰＵ４１でのデータバス４３の入力部が故
障しても、メインＣＰＵ４１におけるデータバス４３か
らの入力データのアドレスデータと、アドレスバス４７
へ出力したアドレスデータとを比較することにより、そ
れらの故障を検知することができる。

【００４０】また、本実施形態においては拡張入力回路
の入力ポートの一部をアドレスデータ入力ポートとして
ハード的に割振ったが、他にも、例えばＣＰＵ４１から
拡張入力回路に対してアドレス識別用データを書込むこ
とによっても、同様の効果を得ることができる。

【図面の簡単な説明】

【図１】実施の形態における車両の自動運転システムの
全体構成図。

【図２】コントローラの詳細構成図。

【図３】メインＣＰＵが行う処理内容を示すフローチャ
ート。

【図４】比較のための車両の自動運転システムの全体構
成図。

【図５】比較のためのフローチャート。

【符号の説明】

２８…アクセル用アクチュエータ、２９…ブレーキ用ア
クチュエータ、３０…ステアリング用アクチュエータ、
４０…コンピュータ１系、４１…メインＣＰＵ、４２…
サブＣＰＵ、４３…データバス、４４,４５，４６…拡
張入力回路、４７…アドレスバス、４８…デコーダ、４
９…比較装置、６０…コンピュータ２系。

───────────────────────────────────────────────────── フロントページの続き (72)発明者 小野 学 愛知県刈谷市昭和町１丁目１番地 株式会 社デンソー内 (72)発明者 橘 彰英 愛知県豊田市トヨタ町１番地 トヨタ自動 車株式会社内 (72)発明者 大桑 芳宏 愛知県豊田市トヨタ町１番地 トヨタ自動 車株式会社内 (72)発明者 中村 英夫 千葉県船橋市習志野台７−24−１ 日本大 学 理工学部 電子工学科 Ｆターム(参考） 3D044 AA01 AA29 AA31 AA33 AA50 AB01 AC37 AD01 AD21 AE03 3G093 AA01 BA10 BA11 BA23 BA24 BA27 CB10 DB16 DB18 5H180 AA27 BB04 CC19 LL01 LL09 5H301 AA01 EE06 KK19 LL08 MM05

Claims (2)

【特許請求の範囲】
1. 【請求項１】 車載側において、多重化されたセンサか
   らの信号を多重化された処理系に取り込み、各処理系に
   おいて複数の処理装置により演算処理を行い、前記複数
   の処理装置での各演算結果を各処理系での比較装置によ
   り比較して、不一致の場合には演算結果が一致している
   処理系での演算結果に基づいて走行制御用アクチュエー
   タを制御して道路に沿って車両を自動運転するようにし
   た車両の自動運転システムであって、 各処理系において複数設けられ、各々が前記多重化され
   たセンサの各々に対応するように接続され、セレクト信
   号に応答してセンサからの入力データをデータバスを通
   して各処理系での処理装置に送る入力回路と、 各処理系において一つ設けられ、各処理系での前記各入
   力回路と接続され、処理装置からアドレスバスを通して
   送られてくるアドレスデータに対応する入力回路に対し
   セレクト信号を送るデコーダと、を備え、 前記入力回路を順に選択して多重化されたセンサでの各
   センサからのデータを処理装置に取り込む際の入力回路
   からデータを処理装置に送るときに、データを送る入力
   回路を特定するための識別子を付与し、処理装置におい
   てデコーダへのアドレスデータと入力回路から送られた
   識別子を比較して選択した入力回路とデータを送ってき
   た入力回路が不一致の場合には異常であると判定するよ
   うにしたことを特徴とする車両の自動運転システム。
2. 【請求項２】 異常であると判定した際には、走行制御
   用アクチュエータを制御するための処理系を切り替える
   ようにしたことを特徴とする車両の自動運転システム。