JP2005291173A - 車両制御システム - Google Patents

Abstract

【課題】必要に応じてフェールセーフ処置を適度に実施する。
【解決手段】運転者が要求する加速度（要求加速度）と車両の実加速度とを求め、実加速度が要求加速度よりも大きいか否かを判別する（ステップＳ１０１〜Ｓ１０３）。実加速度＞要求加速度の場合、運転者が危険と感じる異常であるとみなし、燃料噴射停止や燃料噴射量削減といった強めのフェールセーフ処置を実行する（ステップＳ１０４）。実加速度≦要求加速度の場合には、燃料噴射停止や燃料噴射量削減といった強めのフェールセーフ処置を実行しない。その後、センサやアクチュエータ等のシステム構成要素を対象に異常検出を実施し、センサやアクチュエータ等での異常発生が検出されると、警告ランプの点灯や車速制限といった弱めのフェールセーフ処置を実行する（ステップＳ１０５〜Ｓ１０７）。
【選択図】 図３

Description

本発明は、車両制御システムに係り、特に車両の走行安全性を確保することを可能とする技術に関するものである。

近年の車両制御システムでは、当該システムを構成する各部品、センサ、ソフトウエアの多岐にわたり非常に冗長かつ入念な監視を行い、仮にシステム上で故障を検出した場合はフェールセーフ処置を実行し車両の走行性を制限している。そしてこれにより、システムの何らかの故障で万が一運転者の予期せぬ加速が発生しても運転者に恐怖感などを抱かすことのないようにしている。例えば特許文献１では、エンジン出力の変化が許容範囲内かどうかを監視し、その比較の結果に応じてフェールセーフ処置を実行することとしている。

しかしながら、エンジン出力の変化と実際の車両の挙動変化とは必ずしも一致せず、エンジン出力の変化が許容範囲外となったとしても、即時のフェールセーフ処置の実行が不要となる場合もある。ここで、車両の挙動変化が現れない状態であれば、運転者は恐怖感等を抱かないため、エンジン出力を制限する等のフェールセーフ処置を実行しなくてもよいと考えられる。なお、フェールセーフ処置を過度に実施すれば、車両の走行性が低下するという不都合が生じる。

また、今日及び将来のより複雑化されたシステムではその監視がより更に複雑化され、設計工数増大や監視プログラムの増加を招く。それに伴って、設計・プログラムのミス／抜け落ちにより故障を検出できないなどの問題を引き起こす懸念がある。この場合、システムとしての故障の検出漏れが生じると、車両走行時の安全性が保証できないおそれが生じる。
特表２００１−５２２９６６号公報

本発明は、必要に応じてフェールセーフ処置を適度に実施することができる車両制御システムを提供することを主たる目的とするものである。

車両制御システムにおいては、車両の挙動変化によって運転者等に恐怖感を与えることがないようにすることが重要であり、そのためには運転者が意図しない車両の異常加速又は異常減速が起きたかどうかをモニタすることが良いと考えられる。つまり、車両の異常加速（又は減速）は何らかのシステム異常の結果として起こる事象の一つであり、システム上のセンサ、アクチュエータ、ソフトウエア等の異常に対し上位の事象としてとらえることができる。

この考えに則し、請求項１の発明では、車両の実際の加速度に基づいて運転者が意図しない車両の加減速の状態であるかどうかを判定する。そして、運転者が意図しない車両の加減速の状態である場合に車両の動力源に関して所定のフェールセーフ処置を実行する。フェールセーフ処置としては、例えばエンジン等の動力源の出力を強制的に停止又は制限する。この場合、上位の事象である異常加速（又は減速）に基づいてフェールセーフ処置を実行することで、少なくとも運転者に恐怖感を与えることのない車両走行が実現できる。過度にフェールセーフ処置を実施することによる車両走行性の低下も抑制できる。その結果、必要に応じてフェールセーフ処置を適度に実施することができるようになる。また、システムの複雑化等に伴い、仮に設計・プログラムのミス／抜け落ちによりシステム異常の検出漏れが生じるような場合であっても、車両の走行安全性が確保できる。

請求項２に記載の発明では、運転者が意図しない車両の加減速の状態である旨検出され、且つシステム構成要素での異常発生が検出されていれば、その異常発生情報をその時の異常原因としてメモリに記憶保持する。これにより、異常の上位事象（異常な加減速）と下位事象（構成要素異常）とを関連付けて記憶保持することができ、後の異常解析が容易となる。

また、予期しない加速が起きる要因の一つとしてＣＰＵ自体の故障も考えられる。このＣＰＵの故障時には、当該ＣＰＵによりフェールセーフ処置が実行できないか、仮に実行できたとしてもその信頼性が低いものとなる。そこで、請求項３に記載したように、複数設けられたＣＰＵが各々、車両の実際の加速度を監視すると共に該監視の結果に基づいてＣＰＵ個別のフェールセーフ処置を実行すると良い。すなわち、複数系統でフェールセーフ処置を実行する。これにより、何れかのＣＰＵが故障しても、他のＣＰＵによって確実にフェールセーフ処置が実行され、車両の走行安全性が維持できる。

一方、請求項４の発明では、走行中の車両の挙動変化が運転者が意図するものかどうかにより異常検出を行い、その際、異常発生の旨が検出されると、フェールセーフ処置として少なくとも動力源の出力を停止又は低減する。また、当該システムにおける各種構成要素の状態に基づいて異常検出を行い、その際、異常発生の旨が検出されると、フェールセーフ処置として少なくとも運転者等に対して警告を発する、又は異常発生情報をメモリに記憶する。

この場合、車両の挙動変化が運転者が意図するものでない異常は上位事象、システムの各種構成要素の異常は下位事象と考えることができ、各々についての異常検出結果に基づいて最適なフェールセーフ処置を実行することができる。動力源の出力停止又は低減は、少なくとも車両の挙動変化に基づいて行われるため、運転者に恐怖感を与えることのない車両走行が可能となると共に、過度にフェールセーフ処置を実施することによる車両走行性の低下が抑制できる。また、システムの複雑化等に伴い、仮に設計・プログラムのミス／抜け落ちによりシステム異常の検出漏れが生じるような場合であっても、車両の走行安全性が確保できる。

請求項５に記載したように、車両の実際の加速度が運転者が要求する要求加速度と異なる場合に異常発生の旨を検出すると良い。つまりこの場合、車両が異常加速（又は減速）の状態となった時に、フェールセーフ処置として動力源の出力停止又は低減が実行される。これにより、運転者が意図しない加減速が生じたとしても、車両の安全走行が実現できる。

また、請求項６に記載の発明では、複数系統でフェールセーフ処置を実行する構成としたため、何れかのＣＰＵが故障しても、他のＣＰＵによって確実にフェールセーフ処置が実行され、車両の走行安全性が維持できる。

以下、本発明を具体化した一実施の形態を図面に従って説明する。本実施の形態は、自動車用ガソリンエンジンの制御システムに適用されるものであり、当該制御システムにおいて電子制御ユニット（以下、ＥＣＵという）によりエンジンの運転状態を好適に制御するための手法について以下に詳述する。周知構成であるため図示は省略するが、車両は、エンジンと該エンジンのクランク軸に連結された変速機とを備えており、エンジンの出力がクランク軸を介して変速機に伝達され、更に自動変速機の出力軸の回転がディファレンシャルギア及び車軸を介して車輪に伝達されることで車両が走行する。

図１は、本制御システムの要部構成を示すブロック図である。なお、図１では、エンジンのインジェクタとスロットルバルブとをＥＣＵにより電気的に制御する構成を例示している。

ＥＣＵ１０は、第１ＣＰＵ１１、第２ＣＰＵ１２及び信号入力部１３を備えている。信号入力部１３には、エアフロメータ２１、スロットル開度センサ２２、エンジン回転数センサ２３、アクセルセンサ２４、加速度センサ２５が接続されており、これら各センサより検出信号が入力される。これら各センサは何れも周知であるが、簡単に説明すると、エアフロメータ２１により、エンジン吸気管より吸入される空気量（吸入空気量）が検出される。スロットル開度センサ２２により、スロットルバルブの開度（スロットル開度）が検出される。エンジン回転数センサ２３により、エンジンの回転に伴うクランク角位置が検出され、その信号に基づいてエンジン回転数が検出される。アクセルセンサ２４により、運転者によるアクセルペダルの踏み込み操作量（アクセル操作量）が検出される。加速度センサ２５により、車両走行時おける当該車両の加速度が検出される。

第１ＣＰＵ１１及び第２ＣＰＵ１２は、信号入力部１３を介して入力される各種検出情報に基づき各々に用意された制御プラグラムを実行する。この場合、特に第１ＣＰＵ１１はインジェクタ３１の駆動を制御し、第２ＣＰＵ１２は、スロットルアクチュエータ３２の駆動を制御する。より具体的には、第１ＣＰＵ１１は、その都度の吸入空気量やエンジン回転数等に基づいて目標燃料量を算出し、該目標燃料量に基づいてインジェクタ３１の駆動を制御する。また、第２ＣＰＵ１２は、その都度のアクセル操作量等に基づいて目標スロットル開度を算出し、該目標スロットル開度に基づいてスロットルアクチュエータ３２の駆動を制御する。このスロットルアクチュエータ３２の駆動により、実スロットル開度が目標スロットル開度に調整される。

また、前記ＥＣＵ１０では、システムで何らかの異常が発生すると、所定のフェールセーフ処置を実行する構成としている。特に本実施の形態では、第１ＣＰＵ１１，第２ＣＰＵ１２でそれぞれ独立して異常を監視し、異常発生の検出時には各ＣＰＵ１１，１２でそれぞれ個別にフェールセーフ処置を実行する。このとき基本的には、第１ＣＰＵ１１は、インジェクタ３１に対してフェールセーフ処置を実行し、第２ＣＰＵ１２は、スロットルアクチュエータ３２に対してフェールセーフ処置を実行する。

ところで、上記制御システムにて発生する異常（故障）は、センサ、ソフトウエアといった下位事象での異常から、車両の挙動変化といった上位事象での異常までに分別できる。これを図２を用いて説明する。下位事象としてセンサやソフトウエア等で異常が発生すると（例えば、異常ａ，ｂ，ｃ等）、それを原因として各種アクチュエータが誤作動する（誤作動Ａ，Ｂ，Ｃ等）。勿論、センサ異常等を原因とする以外にも、アクチュエータ自体の故障等で誤作動が生じる場合もある。そして、これらセンサ、ソフトウエア、アクチュエータ等の異常に伴いエンジン出力が増加すると、上位事象として車両で運転者が意図しない異常加速が生じたりする。

電子スロットル制御を行う場合について具体的に説明すると、例えば、スロットル開度センサやスロットルアクチュエータの故障などが発生するとスロットル開度がシステムの意図する位置に制御できず、最悪スロットル全開の状態、すなわちアクセルペダルを深く踏み込んだ状態と同等の位置に誤って制御される。この場合、運転者の意図しない車両挙動となり危険な状態となることが予測される。

センサ、ソフトウエア、アクチュエータ等の異常（下位事象）は、必ずしも運転者が危険と感じる挙動変化を生じさせるものでないのに対し、車両の異常加速（上位事象）は運転者が危険と感じる挙動変化を生じさせると考えられる。

そこで本実施の形態では、
（１）車両において運転者が危険と感じる挙動変化が現れる異常と、
（２）それ以外のシステム上の異常と、
に分別し、それら各々を常時検出すると共に異常発生時にはその異常に応じたフェールセーフ処置を実行する。

より具体的には、上記（１）の異常は、例えば車両の実加速度が運転者の要求する加速度（要求加速度）よりも大きくなることで検出できる。そして、上記（１）の異常発生が検出された場合、直ぐにエンジンの運転を停止又は制限するような比較的強いフェールセーフ処置を実行する。例えば、第１ＣＰＵ１１は、燃料噴射を停止又は燃料噴射量を削減し、第２ＣＰＵ１２は、スロットル開度を全閉側に制御して吸入空気量を低減する。これにより、エンジン出力が大幅に抑制される。この場合、第１ＣＰＵ１１，第２ＣＰＵ１２によって２系統のフェールセーフ処置が実行されるため、仮に一方のＣＰＵが正しく機能していない場合であっても、他方のＣＰＵによって適正なフェールセーフ処置が実行できる。つまり、正しく機能していないＣＰＵでは異常検出やフェールセーフ処置の信頼性は低いものとなるが、他方のＣＰＵによってそれが補われる。

また、上記（１）の異常検出時において、上記（２）の異常も検出されれば、（１）の異常の原因が（２）の異常であると特定する。この場合、異常発生の情報と共にその原因が上記（２）であることの情報がＥＣＵ１０のバックアップ用メモリ（例えばＥＥＰＲＯＭやバックアップＲＡＭ等）に記憶保持される。車両の修理工場等では、バックアップ用メモリに記憶保持された情報を基に故障解析がなされる。

なお、上記（１）の異常発生のみ検出した場合、その原因が上記（２）であると特定できないが、上記（１）の異常発生時には危険回避のためのフェールセーフ処置の実行が最優先事項であり、安全確保が保証されている限り問題はない。

上記（２）の異常は、センサ出力や各種アクチュエータの動作状態を適宜モニタすることで検出できる。ここで、上記（２）の異常のみ検出される場合には、必ずしも危険な状態でないことから上記（１）の異常検出時のような強めのフェールセーフは不要である。そこで、その後の二次的な異常発生により危険な状態となることを抑制すべく、比較的軽微なフェールセーフ処置を実行する。例えば、各ＣＰＵ１１，１２では、運転者に修理を促すためにメータパネル内の警告ランプを点灯させたり、異常発生情報をバックアップ用メモリに記憶したりする。その他、車速制限や加速抑制をしたり、クルーズ制御の実行を禁止したりすることも可能である。

次に、第１ＣＰＵ１１及び第２ＣＰＵ１２で各々実行される異常診断の処理手順について説明する。図３は、第１ＣＰＵ１１で実行される異常診断処理を示すフローチャートである。

図３において、ステップＳ１０１では、運転者が要求する加速度（要求加速度）を算出する。このとき、アクセルセンサ２４にて検出されたアクセル操作量（絶対量）又は／及びその変化度合いから要求加速度が算出される。また、ステップＳ１０２では、加速度センサ２５にて検出された車両の実加速度を読み込む。なお、各車輪速度の変化量から車両の実加速度を推定することも可能である。

その後、ステップＳ１０３では、実加速度が要求加速度よりも大きいか否かを判別する。実加速度＞要求加速度の場合、運転者が危険と感じる異常であるとみなし、ステップＳ１０４で燃料噴射停止や燃料噴射量削減といった強めのフェールセーフ処置を実行する。実加速度≦要求加速度の場合には、燃料噴射停止や燃料噴射量削減といった強めのフェールセーフ処置を実行しない。但しこの場合、実加速度と要求加速度との直接比較以外に、それらの偏差（＝実加速度−要求加速度）が所定のしきい値以上となる場合にフェールセーフ処置を実行するようにしても良い。

その後、ステップＳ１０５では、センサやアクチュエータ等のシステム構成要素を対象に異常検出を実施する。そして、センサやアクチュエータ等での異常発生が検出されると（ステップＳ１０６がＹＥＳになると）、ステップＳ１０７で警告ランプの点灯や車速制限といった弱めのフェールセーフ処置を実行する。最後に、ステップＳ１０８では、異常発生が検出された場合において、その異常発生情報等をダイアグデータとしてＥＥＰＲＯＭ等に記憶する。なお、第２ＣＰＵ１２でも、上記図３と同様の異常診断処理が実行される。その違いは、フェールセーフ処置の内容のみであり、ここでは図示及び説明を割愛する。

以上詳述した本実施の形態によれば、以下の優れた効果が得られる。

車両の実加速度が運転者が要求する要求加速度よりも大きい場合に、フェールセーフ処置としてエンジンの出力停止又は低減を実行すると共に、システムの各種構成要素（センサやアクチュエータ等）で異常が発生した場合に、フェールセーフ処置として運転者等への警告等の実行する構成とした。このため、車両の異常加速が生じたとしても運転者に恐怖感を与えることのない車両走行が可能となる。また、過度にフェールセーフ処置を実施することによる車両走行性の低下も抑制できる。また、システムの複雑化等に伴い、仮に設計・プログラムのミス／抜け落ちによりシステム異常の検出漏れが生じる場合であっても、車両の走行安全性が確保できる。

２つのＣＰＵ１１，１２を設け、それら各ＣＰＵ１１，１２において２系統で異常検出とフェールセーフ処置とを実行する構成とした。これにより、システムとしての冗長性が高められ、何れかのＣＰＵが故障しても他のＣＰＵによって確実にフェールセーフ処置が実行され、車両の走行安全性が維持できる。

なお、本発明は上記実施の形態の記載内容に限定されず、例えば次のように実施しても良い。

実加速度が要求加速度よりも大きくなるような異常が発生した場合、フェールセーフ処置として、実加速度が要求加速度に一致するようにフィードバック制御を行うようにしても良い。単純にエンジンの出力停止又は低減を行うだけでは、車両の走行性能が著しく低下してしまい、リンプホーム性能の観点からは好ましくない。そこでシステム故障時も運転者の意図する加速度を最大限に実現し、走行性能を極力確保できるようにする。

上記実施の形態では、車両の挙動変化を監視する際に、実加速度が要求加速度よりも大きい異常加速の状態であるか否かを判別したが、これに代えて又は加えて、異常減速の状態であるか否かを判別しても良い。異常減速の場合にも、異常加速の場合と同様に、フェールセーフ処置としてエンジンの出力停止又は低減を実行する。

上記実施の形態では、運転者のアクセル操作に基づく要求加速度と車両の実加速度とを直接比較することで、車両の挙動変化が運転者が意図するものかどうかを判定したが、この構成を変更する。例えば、車両の実加速度が、予め定めておいた許容範囲内にあるかどうかを判定し、それにより車両の挙動変化が運転者が意図するものかどうかを判定しても良い。前記許容範囲は、例えば、運転者による加速操作としてあり得ないものを排除して定められる。この場合、当該許容範囲を、車速やギア比等をパラメータとして可変設定することも可能である。

上記実施の形態では、２つのＣＰＵを有するエンジンＥＣＵについて説明したが、単一のＣＰＵを有するＥＣＵであっても良い。かかる場合にも、既述のとおり車両の実加速度等を監視してその結果に応じてフェールセーフ処置を実行することにより、必要に応じてフェールセーフ処置を適度に実施することができる。

上記実施の形態では、車両の動力源をガソリンエンジンとした事例について異常検出及びフェールセーフ処置を説明したが、本発明はガソリンエンジン以外の動力源を持つ車両にも適用できる。例えば、ディーゼルエンジンを動力源とする車両の場合、フェールセーフ処置として燃料噴射停止又は燃料噴射量の減量により出力抑制する。また、電気モータを動力源とする電気自動車の場合、フェールセーフ処置として電力供給の完全停止又は電力供給の減量により出力抑制する。更に、電気モータとガソリンエンジンとを動力源とするハイブリッド車の場合、フェールセーフ処置として、モータへの電力供給の完全停止又は電力供給の減量により出力抑制すると共に、エンジンへの燃料噴射の完全停止又は燃料噴射量の減量により出力抑制すると同時若しくは独立にスロットル開度を強制的に低開度に戻すことにより出力抑制する。

発明の実施の形態における車両制御システムの概略を示す構成図である。 異常の下位事象から上位事象までを説明するための図である。 異常診断処理を示すフローチャートである。

符号の説明

１０…ＥＣＵ、１１…第１ＣＰＵ、１２…第２ＣＰＵ、３１…インジェクタ、３２…スロットルアクチュエータ。

Claims (6)

1. 運転者の要求に応じて動力源の運転状態を制御し、車両を走行させる車両制御システムに適用され、
   車両の実際の加速度に基づいて運転者が意図しない車両の加減速の状態であるかどうかを判定する手段と、運転者が意図しない車両の加減速の状態である場合に前記動力源に関して所定のフェールセーフ処置を実行する手段と、を備えたことを特徴とする車両制御システム。
2. 当該システムにおける各種構成要素を対象に異常を検出する手段を更に備え、運転者が意図しない車両の加減速の状態である旨検出され、且つ前記各種構成要素での異常発生が検出されていれば、その異常発生情報をその時の異常原因としてメモリに記憶保持する請求項１に記載の車両制御システム。
3. 複数のＣＰＵを備え、各ＣＰＵでそれぞれ個別のアクチュエータを制御する車両制御システムであって、
   前記複数のＣＰＵは各々、車両の実際の加速度を監視すると共に該監視の結果に基づいてＣＰＵ個別のフェールセーフ処置を実行する請求項１又は２に記載の車両制御システム。
4. 運転者の要求に応じて動力源の運転状態を制御し、車両を走行させる車両制御システムに適用され、
   走行中の車両の挙動変化が運転者が意図するものかどうかにより異常検出を行う第１の異常検出手段と、
   当該システムにおける各種構成要素の状態に基づいて異常検出を行う第２の異常検出手段と、
   前記第１の異常検出手段により異常発生の旨が検出された時、フェールセーフ処置として少なくとも前記動力源の出力を停止又は低減する第１のフェールセーフ手段と、
   前記第２の異常検出手段により異常発生の旨が検出された時、フェールセーフ処置として少なくとも運転者等に対して警告を発する、又は異常発生情報をメモリに記憶する第２のフェールセーフ手段と、
   を備えたことを特徴とする車両制御システム。
5. 前記第１の異常検出手段は、車両の実際の加速度が運転者が要求する要求加速度と異なる場合に異常発生の旨を検出する請求項４に記載の車両制御システム。
6. 複数のＣＰＵを備え、各ＣＰＵでそれぞれ個別のアクチュエータを制御する車両制御システムであって、
   前記複数のＣＰＵは各々、前記第１の異常検出手段及び前記第２の異常検出手段による各異常検出を実施すると共に、前記第１のフェールセーフ手段及び前記第２のフェールセーフ手段による各フェールセーフ処置を実施する構成とし、更に少なくとも前記第１の異常検出手段により異常発生が検出された場合に前記第１のフェールセーフ手段によるＣＰＵ個別のフェールセーフ処置を実行する請求項４又は５に記載の車両制御システム。