JP2020138641A - 車両 - Google Patents

Abstract

【課題】自動運転が可能に構成された車両において、ユーザに不利益を与えることを抑制しつつ、車載機器の潜在的な故障を検出することである。【解決手段】車両の走行状態が切り替わると、車両は更新プログラムの配信をＯＴＡサーバに要求する（Ｓ３）。たとえば、車両が有人走行する場合には、車両は有人走行用の更新プログラムの配信をＯＴＡサーバに要求する。車両が無人走行する場合には、車両は無人走行用の更新プログラムの配信をＯＴＡサーバに要求する。ＯＴＡサーバは、有人／無人走行用の更新プログラムの配信の要求を受けると、配信の要求を受けた有人／無人走行用の更新プログラムを車両に配信する（Ｓ５３）。車両は、受信した有人／無人走行用の更新プログラムを用いて診断プログラムを更新する（Ｓ５）。【選択図】図５

Description

本開示は、自動運転が可能に構成された車両に関する。

車両のプログラムを所謂ＯＴＡ（Over The Air）により更新する技術が知られている。たとえば、特開２０１６−６０４０７号公報（特許文献１）には、車両と、車両のユーザの携帯通信端末と、車両のプログラムを更新するための更新プログラムを配信するサーバとを備えた更新システムが開示されている。この更新システムでは、サーバから携帯通信端末に更新プログラムが配信され、携帯通信端末を介して車両が更新プログラムを取得してプログラムを更新する。

特開２０１６−６０４０７号公報

ＯＴＡにより更新されるプログラムには、たとえば車載機器の故障を検出するためのプログラム（以下「診断プログラム」とも称する）が含まれる。診断プログラムは、たとえば、車両の走行中に診断条件が成立した際に実行される。診断プログラムが実行されると、たとえば、診断の対象となる機器の特性が算出され、算出された当該特性が閾範囲に収まっているか否かによって故障の有無が診断される。

ここで、ＯＴＡによる診断プログラムの更新には、本来的な故障に加えて潜在的な故障を検出できるようにする更新が含まれ得る。潜在的な故障を検出することで、ユーザが乗車中に本来的な故障に至ってしまうことを抑制するためである。潜在的な故障を検出するための更新の例としては、たとえば、診断プログラムの閾範囲（機器の正常を検出する範囲）をより狭く設定するようにしたり、機器の特性を算出するためのシーケンスをより故障を検出しやすいシーケンスに変更したりする更新があげられる。以下においては、本来的な故障に加えて潜在的な故障を検出できるように診断プログラムを更新することを「敏感化」とも称する。

しかしながら、診断プログラムが敏感化されると本来的な故障に加えて潜在的な故障も検出するため、診断プログラムの実行結果が異常となる機会が多くなり得る。そのため、たとえば自動運転可能な車両において、ユーザを乗せて走行しているときにＯＴＡにより診断プログラムが敏感化されると、ユーザの乗車中に故障が検出される可能性が高まる。ユーザの乗車中に故障が検出されると、本来的な故障ではないため車両の走行禁止には至らなかったとしても、たとえば、走行が制限されて目的地への到着が遅れたり、警告が報知されてユーザに不安感を与えてしまったり、ユーザに不利益を与えてしまう可能性がある。そこで、ユーザに不利益を与えることなく車載機器の潜在的な故障を検出することが望まれている。

本開示は、上記問題を解決するためになされたものであり、その目的は、自動運転が可能に構成された車両において、ユーザに不利益を与えることを抑制しつつ、車載機器の潜在的な故障を検出することである。

この開示に係る車両は、自動運転が可能に構成された車両であって、車両に搭載された機器の故障を診断するためのプログラムを記憶した記憶装置と、車両の走行時において診断条件が成立した場合にプログラムを実行する制御装置と、プログラムを更新するための更新プログラムを配信するサーバと通信可能に構成された通信装置とを備える。更新プログラムとして、サーバは、車両が有人走行する場合に適用される第１更新プログラムと、車両が無人走行する場合に適用される第２更新プログラムとを有する。制御装置は、車両が無人走行する場合に、サーバから第２更新プログラムを取得し、取得した第２更新プログラムを用いてプログラムを更新する。

上記構成によれば、車両がユーザを乗せずに走行する無人走行する場合には、サーバから第２更新プログラムを取得して、当該第２更新プログラムを用いてプログラムが更新される。たとえば、敏感化させるようにプログラムを更新すれば、無人走行時に潜在的な故障を検出することが可能となる。無人走行時に潜在的な故障を診断すれば潜在的な故障が検出されたとしても、当該車両を利用予定であったユーザに他の車両を手配したり、ユーザ自身が他の移動手段を予め手配したり、何らかの対策を立てることができる。すなわち、無人走行時に潜在的な故障を診断すれば、潜在的な故障が検出されたとしてもユーザに不利益に与えることを抑制することができる。したがって、ユーザに不利益を与えることを抑制しつつ車載機器の潜在的な故障を検出することができる。

ある実施の形態においては、制御装置は、プログラムの実行によって算出した機器の特性が閾範囲外であるか否かによって機器の故障を判定する。第２更新プログラムに含まれる閾範囲は、第１更新プログラムに含まれる閾範囲よりも狭い。

上記構成によれば、第２更新プログラムに含まれる閾範囲は、第１更新プログラムに含まれる閾範囲よりも狭く設定される。すなわち、有人走行時よりも無人走行時の方が潜在的な故障を検出しやすくなる。これによって、無人走行時に潜在的な故障を検出することができるので、潜在的な故障の検出によってユーザに不利益を与えることを抑制することができる。すなわち、ユーザに不利益を与えることを抑制しつつ車載機器の潜在的な故障を検出することができる。

ある実施の形態においては、制御装置は、車両が有人走行する場合に、サーバから第１更新プログラムを取得し、取得した第１更新プログラムを用いてプログラムを更新する。

上記構成によれば、たとえば無人走行と有人走行とが切り替わる毎にプログラムが更新される。具体的には、無人走行から有人走行に切り替わった場合には第１更新プログラムを用いてプログラムが更新され、有人走行から無人走行に切り替わった場合には第２更新プログラムを用いてプログラムが更新される。これによって、無人走行時には本来的な故障および潜在的な故障を検出し、有人走行時には本来的な故障を検出するようにすることができる。

ある実施の形態においては、自動運転が可能に構成された車両であって、車両に搭載された機器の故障を診断するためのプログラムを記憶した記憶装置と、車両の走行時において診断条件が成立した場合にプログラムを実行する制御装置と、プログラムを更新するための更新プログラムを配信するサーバと通信可能に構成された通信装置とを備える。プログラムとして、記憶装置は、車両が有人走行する場合に用いられる第１プログラムと、車両が無人走行する場合に用いられる第２プログラムとを記憶する。更新プログラムとして、サーバは、車両が有人走行する場合に適用される第１更新プログラムと、車両が無人走行する場合に適用される第２更新プログラムとを有する。制御装置は、車両が有人走行する場合に第１プログラムを用いて機器の故障を診断し、車両が無人走行する場合に第２プログラムを用いて機器の故障を診断する。制御装置は、第１更新プログラムを受信した場合に、受信した第１更新プログラムを用いて第１プログラムを更新する。制御装置は、第２更新プログラムを受信した場合に、受信した第２更新プログラムを用いて第２プログラムを更新する。

上記構成によれば、記憶装置には、有人走行する場合に用いられる第１プログラム、および無人走行する場合に用いられる第２プログラムが記憶される。そして、現在の第１プログラムに適用されている更新よりも新しい更新を含んだ第１更新プログラムがある場合には、当該第１更新プログラムを用いて第１プログラムが更新される。現在の第２プログラムに適用されている更新よりも新しい更新を含んだ第２更新プログラムがある場合には、当該第２更新プログラムを用いて第２プログラムが更新される。そして、制御装置は、車両の走行状態、たとえば有人走行か無人走行かに応じて、記憶装置に記憶されている上記の第１プログラムまたは第２プログラムを用いて機器の故障を診断する。第２プログラムを敏感化させれば、無人走行時に潜在的な故障を検出することが可能となる。無人走行時に潜在的な故障を診断すれば、潜在的な故障が検出されたとしてもユーザに不利益を与えることを抑制することができる。すなわち、ユーザに不利益を与えることを抑制しつつ車載機器の潜在的な故障を検出することができる。

本開示によれば、自動運転が可能に構成された車両において、ユーザに不利益を与えることを抑制しつつ、車載機器の潜在的な故障を検出することができる。

更新システムの全体構成を概略的に示す図である。 実施の形態１に係る診断プログラムの更新を説明するための図である。 診断プログラムの閾範囲を説明するための図である。 実施の形態１における自己診断の処理の手順を示すフローチャートである。 実施の形態１における診断プログラムの更新の処理の手順を示すフローチャートである。 実施の形態２における自己診断の処理の手順を示すフローチャートである。 実施の形態２における診断プログラムの更新の処理の手順を示すフローチャートである。

以下、本開示の実施の形態について、図面を参照しながら詳細に説明する。なお、図中同一または相当部分には同一符号を付してその説明は繰り返さない。

（実施の形態１）
＜全体構成＞
図１は、更新システム１の全体構成を概略的に示す図である。更新システム１は、車両２とＯＴＡサーバ２００とを含む。

ＯＴＡサーバ２００は、インターネット等の通信ネットワーク３００を介して、車両２と双方向に通信可能に構成される。ＯＴＡサーバ２００は、車両２の各種のプログラムを更新するための更新プログラムを有しており、車両２に更新プログラムを配信する。

車両２は、自動運転が可能なハイブリッド自動車である。自動運転とは、車両２の乗員が運転操作をすることなく、各種センサからの情報や他の車両からの情報に基づいて、車両２が自律的に走行することをいう。自動運転では、たとえば、各種情報（後述のセンサ群７０からの情報やナビゲーション装置９０からの情報）に基づいて選択された走行経路を、車両２が自律的に走行するように車両２の各アクチュエータが制御される。なお、車両２は自動運転が可能な車両であればよく、たとえば、内燃機関のみを動力源とする自動車であってもよいし、電気自動車や燃料電池自動車であってもよい。

車両２が不特定多数のユーザで車両を共有するカーシェアリングや不特定多数のユーザに車両を貸し出すレンタカー等に用いられる営業車両である場合には、車両２は、たとえば、ユーザを目的地に送り届けた後、別の場所にいる他のユーザを乗車させるために無人で走行することがある。また、車両２が自家用車である場合には、たとえば、ユーザを目的地へ送り届けた後、無人で自宅に向けて走行することがある。このように、実施の形態１に係る車両２の走行状態は、車両２が有人で走行する有人走行と、車両２が無人で走行する無人走行とが切り替わり得る。

車両２は、蓄電装置１０と、監視ユニット１５と、システムメインリレー（以下「ＳＭＲ（System Main Relay）」とも称する）２０と、パワーコントロールユニット（以下「ＰＣＵ（Power Control Unit）」とも称する）３０と、モータジェネレータ（以下「ＭＧ（Motor Generator）」とも称する）４１，４２と、エンジン５０と、動力分割装置５５と、駆動軸６０と、駆動輪６５と、ＥＣＵ（Electronic Control Unit）１００とを備える。さらに、車両２は、センサ群７０と、通信ユニット８０と、ナビゲーション装置９０とを備える。

蓄電装置１０は、車両２の駆動電源（すなわち動力源）として車両２に搭載される。蓄電装置１０は、積層された複数の電池を含んで構成される。電池は、たとえば、ニッケル水素電池、リチウムイオン電池等の二次電池である。また、電池は、正極と負極との間に液体電解質を有する電池であってもよいし、固体電解質を有する電池（全固体電池）であってもよい。なお、蓄電装置１０は、再充電可能な直流電源であればよく、大容量のキャパシタも採用可能である。

監視ユニット１５は、蓄電装置１０の状態を監視する。具体的には、監視ユニット１５は、蓄電装置１０の電圧を検出する電圧センサ１６と、蓄電装置１０に入出力される電流を検出する電流センサ１７と、蓄電装置１０の温度を検出する温度センサ１８とを含む。各センサは、その検出結果を示す信号をＥＣＵ１００に出力する。

ＳＭＲ２０は、ＰＣＵ３０と蓄電装置１０との間に電気的に接続される。ＳＭＲ２０が閉状態であると、蓄電装置１０からＰＣＵ３０に電力が供給される。ＳＭＲ２０が開状態であると、蓄電装置１０からＰＣＵ３０に電力が供給されない。

ＰＣＵ３０は、ＥＣＵ１００からの制御信号に応じて、蓄電装置１０に蓄えられた直流電力を交流電力に変換してモータジェネレータ４１，４２に供給する。また、ＰＣＵ３０は、モータジェネレータ４１，４２が発電した交流電力を直流電力に変換して蓄電装置１０に供給する。ＰＣＵ３０は、モータジェネレータ４１，４２の状態をそれぞれ別々に制御可能に構成されており、たとえば、モータジェネレータ４１を回生状態にしつつ、モータジェネレータ４２を力行状態にすることができる。ＰＣＵ３０は、たとえば、モータジェネレータ４１，４２に対応して設けられる２つのインバータと、各インバータに供給される直流電圧を蓄電装置１０の出力電圧以上に昇圧するコンバータとを含んで構成される。

モータジェネレータ４１，４２の各々は、交流回転電機であり、たとえば、永久磁石がロータ（図示せず）に埋設された三相交流回転電機である。モータジェネレータ４１は、動力分割装置５５を介してエンジン５０のクランク軸に連結される。モータジェネレータ４１は、エンジン５０を始動する際に蓄電装置１０の電力を用いてエンジン５０のクランク軸を回転させる。また、モータジェネレータ４１はエンジン５０の動力を用いて発電することも可能である。モータジェネレータ４１によって発電された交流電力は、ＰＣＵ３０により直流電力に変換されて蓄電装置１０に充電される。また、モータジェネレータ４１によって発電された交流電力は、モータジェネレータ４２に供給される場合もある。

モータジェネレータ４２は、蓄電装置１０からの電力およびモータジェネレータ４１により発電された電力の少なくとも一方を用いて駆動軸６０を回転させる。また、モータジェネレータ４２は、制動時や加速度低減時には、回生制動によって発電することも可能である。モータジェネレータ４２によって発電された交流電力は、ＰＣＵ３０により直流電力に変換されて蓄電装置１０に充電される。

エンジン５０は、たとえば、ガソリンエンジン、ディーゼルエンジン等の内燃機関である。エンジン５０は、ＥＣＵ１００からの制御信号によって制御される。

動力分割装置５５は、たとえば、サンギヤ、キャリア、および、リングギヤの３つの回転軸を有する遊星歯車機構であって、エンジン５０が発生した動力を、駆動輪６５に伝達される動力と、モータジェネレータ４１に伝達される動力とに分割する。

センサ群７０は、車両２の外部状況を検出したり、車両２の走行状態を検出したりする各種のセンサを含む。具体的には、センサ群７０は、カメラ７１と、レーダー（Ｒａｄａｒ）７２と、ライダー（ＬＩＤＡＲ：Laser Imaging Detection and Ranging）７３と、車速センサ７４と、加速度センサ７５と、ジャイロセンサ７６とを含む。

カメラ７１は、車両２の外部状況を撮像し、車両２の外部状況に関する撮像情報をＥＣＵ１００に出力する。

レーダー７２は、電波（たとえばミリ波）を車両２の周囲に送信し、障害物で反射された電波を受信して障害物を検出する。レーダー７２は、たとえば、障害物までの距離および障害物の方向を障害物に関する障害物情報としてＥＣＵ１００に出力する。

ライダー７３は、光（典型的には紫外線、可視光線または近赤外線）を車両２の周囲に送信し、障害物で反射された光を受信することで反射点までの距離を計測し、障害物を検出する。ライダー７３は、たとえば、障害物までの距離および障害物の方向を障害物情報としてＥＣＵ１００に出力する。

車速センサ７４は、車両２の駆動輪６５または駆動軸６０等に設けられる。車速センサ７４は、たとえば、駆動輪６５の回転速度を検出して車両２の速度を含む車速情報をＥＣＵ１００に出力する。

加速度センサ７５は、たとえば、車両２の前後方向の加速度を検出する前後加速度センサと、車両２の横加速度を検出する横加速度センサとを含む。加速度センサ７５は、車両２の前後方向の加速度および車両２の横加速度の両方の加速度を含む加速度情報をＥＣＵ１００に出力する。

ジャイロセンサ７６は、車両２の水平方向からの傾きを検出する。具体的には、ジャイロセンサ７６は、水平方向に対する車両２の前後方向の傾き、および、水平方向に対する車両２の左右方向に対する傾きを検出する。ジャイロセンサ７６は、その検出結果を車両２の走行経路の勾配情報としてＥＣＵ１００に出力する。

通信ユニット８０は、車車間通信装置８１と、通信装置８３とを含む。車車間通信装置８１は、自身の周辺の他の車両と無線通信可能に構成される。車車間通信においては、たとえば、前方を走る車両から後方を走る車両に発進、停止、加速、減速等の情報が送信される。

通信装置８３は、通信ネットワーク３００を介してＯＴＡサーバ２００と双方向に通信可能に構成される。

ナビゲーション装置９０は、人工衛星からの電波に基づいて車両２の現在地を特定するＧＰＳ（Global Pointing System）受信機９１と、地図データを記憶する地図データ記憶部９２とを含む。ナビゲーション装置９０は、ＧＰＳ受信機９１により特定された車両２の現在地の位置情報（ＧＰＳ情報）を用いて車両２の各種ナビゲーション処理を実行する。より具体的には、ナビゲーション装置９０は、車両２のＧＰＳ情報と地図データ記憶部９２に格納された道路地図データとに基づいて、車両２の現在地から目的地までの走行ルートを算出し、その走行ルートの情報をＥＣＵ１００に出力する。

ＥＣＵ１００は、各センサなどからの信号の入力および各機器への制御信号の出力を行なうとともに、各機器の制御を行なう。これらの制御については、ソフトウェアによる処理に限られず、専用のハードウェア（電子回路）で構築して処理することも可能である。

ＥＣＵ１００は、情報取得部１１０と、記憶部１２０と、制御部１３０とを含む。情報取得部１１０は、センサ群７０から各センサの検出結果を取得する。また、情報取得部１１０は、車車間通信装置８１を介して他の車両から情報を取得する。また、情報取得部１１０は、通信装置８３を介してＯＴＡサーバ２００から情報を取得する。

記憶部１２０は、ＲＯＭ（Read Only Memory）およびＲＡＭ（Random Access Memory）を含み、ＥＣＵ１００により実行されるプログラム等を記憶する。記憶部１２０に記憶されているプログラムには、車両２の各機器に故障が発生しているか否かを自己診断するための診断プログラムが含まれる。車両２の各機器とは、たとえば、蓄電装置１０、モータジェネレータ４１，４２、エンジン５０、蓄電装置１０の冷却ファン（図示せず）、ステアリング装置（図示せず）、ブレーキ装置（図示せず）、方向指示器（図示せず）等である。なお、記憶部１２０は、ＥＣＵ１００の外部に別途設けることも可能である。

制御部１３０は、ＲＯＭに格納されているプログラムをＲＡＭに展開して実行する。制御部１３０は、自動運転の実行中において、センサ群７０からの情報、ナビゲーション装置９０からの走行ルートの情報、および車車間通信により取得した他の車両からの情報等に基づいて、車両２の各アクチュエータを制御する。また、制御部１３０は、診断条件が成立した際に、記憶部１２０に記憶されている診断プログラムを実行して、車載の各機器に故障が発生しているか否かを自己診断する。診断プログラムが実行されると、たとえば、診断の対象となる機器の特性が算出され、算出された当該特性が閾範囲外であるか否かによって故障の有無が診断される。閾範囲は、機器の正常を検出する範囲である。すなわち、算出された特性が閾範囲外でなければ機器に故障が発生していないと判定され、算出された特性が閾範囲外であれば機器に故障が発生していると判定される。

診断条件は、各機器の診断項目毎に予め定められており、制御部１３０は、いずれかの診断条件が成立した場合に、当該診断条件に対応する自己診断を実行する。診断条件は、たとえば、設定された所定周期が到来したことや、走行時において蓄電装置１０の充放電を所定回数繰り返したことや、エンジン５０への出力要求に所定以上の変動があったことや、方向指示器の点灯が必要となる走行があったこと等である。

＜診断プログラムの更新＞
ここで、ＯＴＡサーバ２００からは、本来的な故障に加えて潜在的な故障を検出することを目的とした、診断プログラムを更新するための更新プログラムが配信される場合がある。本来的な故障とは、機器の修理や交換が即時必要な故障をいう。潜在的な故障とは、機器の修理や交換が即時必要とまではいえないものの、本来的な故障に至る兆候がみられることをいう。配信された更新プログラムを用いて診断プログラムを更新することによって、潜在的な故障を検出することが可能となり、車両２が本来的な故障に至る前に対策を講じることが可能となる。

上記の更新プログラムの例としては、たとえば、診断プログラムの閾範囲を、潜在的な故障を検出できる程度までより狭く設定するようにしたり、機器の特性を算出するためのシーケンスをより故障を検出しやすいシーケンスに変更したりするものである。すなわち、更新プログラムを用いて診断プログラムを更新することによって、診断プログラムが敏感化される。診断プログラムが敏感化されることによって、本来的な故障に加えて潜在的な故障を検出することができる。そして、たとえば、検出された故障の程度によって車両２の走行を禁止したり、車両２の走行を制限（たとえば出力の制限等）したり、警告を報知したりする。具体的には、本来的な故障であった場合には車両２の走行を禁止し、潜在的な故障であった場合には、その程度や機器等によって、車両２の走行を制限したり、警告を報知したりする。

ここで、診断プログラムが敏感化されると本来的な故障に加えて潜在的な故障も検出するため、診断プログラムの実行結果が異常となる機会が多くなり得る。そのため、たとえば、ユーザを乗せて走行しているとき（有人走行時）にＯＴＡにより診断プログラムが敏感化されると、ユーザの乗車中に故障が検出される可能性が高まる。ユーザの乗車中に故障が検出されると、たとえば、走行が制限されて目的地への到着が遅れたり、警告が報知されてユーザに不安感を与えてしまったり、ユーザに不利益を与えてしまう可能性がある。潜在的な故障を検出して、車両２が本来的な故障に至る前に対策を講じることは重要であるが、ユーザに与える不利益とのバランスを適度に保ち、ユーザに不利益を与えることを抑制しつつ、車載機器の潜在的な故障を検出することが望まれている。

そこで、実施の形態１に係る車両２は、有人走行する場合には敏感化されていない診断プログラムを用いて自己診断を実行し、無人走行する場合には敏感化された診断プログラムを用いて自己診断を実行するようにする。すなわち、有人走行する場合には本来的な故障を検出することを目的とし、無人走行する場合には本来的な故障に加えて潜在的な故障も検出することを目的とする。

無人走行する場合に潜在的な故障を検出するようにすれば、潜在的な故障が検出されたとしてもユーザに不利益に与えることを抑制することができる。具体的には、車両２が、たとえばカーシェアリングに用いられる営業車両である場合を想定すると、無人走行時に潜在的な故障が検出された場合には、他の車両をユーザの元へ向かわせることができる。車両２が、たとえば自家用車である場合を想定すると、無人走行時に潜在的な故障が検出された場合には、ユーザは予め他の移動手段を手配することができる。

実施の形態１においては、ＯＴＡにより診断プログラムを適宜更新することによって、上記を実現する。具体的には、有人走行する場合と無人走行する場合とで、診断プログラムの閾範囲を異ならせたり、機器の特性を算出するためのシーケンスを異ならせたりする。以下、有人走行する場合と無人走行する場合とで診断プログラムの閾範囲を異ならせる例を用いながら、診断プログラムの更新タイミングと閾範囲について順次説明する。

＜＜診断プログラムの更新タイミング＞＞
図２は、実施の形態１に係る診断プログラムの更新を説明するための図である。図２を参照して、ＯＴＡサーバ２００は、更新プログラムとして、車両２が有人走行する場合に適用される有人走行用の更新プログラムと、車両２が無人走行する場合に適用される無人走行用の更新プログラムとを有している。有人走行用の更新プログラムおよび無人走行用の更新プログラムは、新しいアップデートが用意される毎に新しいものに置き換えられる。なお、実施の形態１に係る有人走行用の更新プログラムは、本開示に係る「第１更新プログラム」に相当する。また、実施の形態１に係る無人走行用の更新プログラムは、本開示に係る「第２更新プログラム」に相当する。

車両２は、ＯＴＡサーバ２００から有人走行用の更新プログラムを取得すると、当該有人走行用の更新プログラムを用いて、ＥＣＵ１００の記憶部１２０に記憶されている診断プログラムを更新する。車両２は、ＯＴＡサーバ２００から無人走行用の更新プログラムを取得すると、当該無人走行用の更新プログラムを用いて、ＥＣＵ１００の記憶部１２０に記憶されている診断プログラムを更新する。

具体例を用いて説明する。図２を参照して、たとえば、時刻ｔ１において停車している車両２にユーザが乗車して有人走行を開始したことを想定する。なお、「停車している」とは、車両２が起動していない状態をいう。

上記の場合、車両２は有人走行するので、ＯＴＡサーバ２００に有人走行用の更新プログラムを要求する。そして、ＯＴＡサーバ２００から有人走行用の更新プログラムを取得すると、当該有人走行用の更新プログラムを用いて、ＥＣＵ１００の記憶部１２０に記憶されている診断プログラムを更新する。

その後、時刻ｔ２においてユーザが降車し、ユーザが降車した後に車両２は、他のユーザに指定された場所へ無人で走行することを想定する。すなわち、時刻ｔ２において車両２が有人走行から無人走行に切り替わったことを想定する。この場合、車両２は無人走行するので、ＯＴＡサーバ２００に無人走行用の更新プログラムを要求する。そして、ＯＴＡサーバ２００から無人走行用の更新プログラムを取得すると、当該無人走行用の更新プログラムを用いて、ＥＣＵ１００の記憶部１２０に記憶されている診断プログラムを更新する。

上記のように、車両２が有人走行する場合にはＯＴＡにより有人走行用の更新プログラムを用いて診断プログラムを更新し、車両２が無人走行する場合にはＯＴＡにより無人走行用の更新プログラムを用いて診断プログラムを更新する。これによって、有人走行する場合には、各機器の本来的な故障を検出するように診断プログラムが更新され、無人走行する場合には、各機器の本来的な故障に加えて潜在的な故障を検出するように診断プログラムが更新される。

すなわち、車両２にユーザが乗車しているときには、敏感化されていない診断プログラムを用いて自己診断が実行される。車両２にユーザが乗車していないときには、敏感化された診断プログラムを用いて自己診断が実行される。

なお、無人走行か有人走行かの判断については、種々の公知の手法を適用することができる。たとえば、着座センサを用いた判断であってもよいし、車内を撮影する車載カメラを用いた判断であってもよい。また、停車していた車両２が、スタートボタンの操作（ユーザによる操作）によって起動された場合に有人走行と判断してもよい。

なお、図２においては、車両２が停車している状態から有人走行が開始される例を説明したが、たとえば、車両２が停車している状態から無人走行が開始されてもよい。この場合、車両２は無人走行するので、ＯＴＡサーバ２００に無人走行用の更新プログラムを要求する。そして、ＯＴＡサーバ２００から無人走行用の更新プログラムを取得すると、当該無人走行用の更新プログラムを用いて、ＥＣＵ１００の記憶部１２０に記憶されている診断プログラムを更新する。

その後、たとえば、ある地点でユーザが車両２に乗車した場合には、車両２の走行状態が無人走行から有人走行に切り替わる。この場合、車両２は有人走行するので、ＯＴＡサーバ２００に有人走行用の更新プログラムを要求する。そして、ＯＴＡサーバ２００から有人走行用の更新プログラムを取得すると、当該有人走行用の更新プログラムを用いて、ＥＣＵ１００の記憶部１２０に記憶されている診断プログラムを更新する。

＜＜閾範囲＞＞
実施の形態１においては、無人走行用の更新プログラムに含まれる閾範囲（以下「無人閾範囲」とも称する）は、有人走行用の更新プログラムに含まれる閾範囲（以下「有人閾範囲」とも称する）よりも狭く設定されている。

図３は、診断プログラムの閾範囲を説明するための図である。図３を参照して、図３には、ある機器の理想出力特性と２つの閾範囲（有人閾範囲および無人閾範囲）とが示されている。図３中の実線Ｌが理想出力特性を示し、２つの破線Ｌ１で規定される範囲が有人閾範囲を示し、２つの一点鎖線Ｌ２で規定される範囲が無人閾範囲を示している。有人閾範囲は、当該範囲を外れる場合を、本来的な故障として検出できるように設定された閾範囲である。無人閾範囲は、当該範囲を外れる場合を本来的な故障または潜在的な故障として検出できるように設定された閾範囲である。図３からも認識し得るように、無人閾範囲は有人閾範囲に対して、正常を検出する範囲を狭めることによって潜在的な故障を検出できるようにされている。

上記のある機器は、たとえば蓄電装置１０を冷却するための冷却ファンである。冷却ファンは、たとえば、入力されたデューティ信号のデューティ比に対応した回転速度で回転するようにアクチュエータが制御される。すなわち、図３の入力をデューティ信号のデューティ比とし、出力を回転速度とすることができる。冷却ファンの理想出力特性は、たとえば冷却ファンの仕様等に基づいて設定される。

例として、あるデューティ信号Ｄ１が入力された場合を想定する。図３には、当該入力に対する有人閾範囲がＡＲ１で示され、当該入力に対する無人閾範囲がＡＲ２で示されている。なお、図３においては、視認容易化のために、有人閾範囲ＡＲ１および無人閾範囲ＡＲ２は、デューティ信号Ｄ１に対する理想出力特性上のプロットからずらせて示している。

有人走行用の更新プログラムを用いて更新した診断プログラムを実行した場合、デューティ信号Ｄ１に対する出力が有人閾範囲ＡＲ１内になければ、冷却ファンが本来的な故障に至っていると判定することができる。無人走行用の更新プログラムを用いて更新した診断プログラムを実行した場合、デューティ信号Ｄ１に対する出力が無人閾範囲ＡＲ２内になければ、冷却ファンが本来的な故障に至っている、または本来的な故障に至る可能性があると判定することができる。

＜ＥＣＵで実行される処理＞
＜＜自己診断＞＞
図４は、実施の形態１における自己診断の処理の手順を示すフローチャートである。このフローチャートは、所定の制御周期毎にＥＣＵ１００により繰り返し実行される。図４、後述の図５から図７に示す各ステップ（以下ステップを「Ｓ」と略す）は、ＥＣＵ１００によるソフトウェア処理によって実現される場合について説明するが、その一部あるいは全部がＥＣＵ１００内に作製されたハードウェア（電気回路）によって実現されてもよい。

ＥＣＵ１００は、診断条件が成立したか否かを判定する（Ｓ１１）。診断条件が成立していない場合には（Ｓ１１においてＮＯ）、ＥＣＵ１００は、処理を終了させる。

診断条件が成立した場合には（Ｓ１１においてＹＥＳ）、ＥＣＵ１００は、成立した診断条件に対応する診断プログラムを実行する（Ｓ１３）。具体的には、ＥＣＵ１００の制御部１３０は、成立した診断条件に対応する診断プログラムを記憶部１２０から読み出して、当該診断プログラムを実行する。

ＥＣＵ１００は、診断プログラムの実行によって、故障を検出したか否かを判定する（Ｓ１５）。具体的には、ＥＣＵ１００の制御部１３０は、自己診断の対象となる機器の特性を算出し、算出した当該特性が閾範囲外であるか否かを判定する。制御部１３０は、算出した特性が閾範囲外でなければ異常なしと判定し（故障を検出せず）、算出した特性が閾範囲外であれば異常ありと判定する（故障を検出）。

故障を検出しなかった場合には（Ｓ１５においてＮＯ）、ＥＣＵ１００は処理を終了させる。一方、故障を検出した場合には（Ｓ１５においてＹＥＳ）、ＥＣＵ１００はメンテナンス対応を実行する（Ｓ１７）。メンテナンス対応とは、たとえば、メンテナンス工場に向かって走行するように車両２を制御したり、車両２の走行を制限する制御を実行したり、警告を報知したりすることをいう。

＜＜診断プログラムの更新＞＞
図５は、実施の形態１における診断プログラムの更新の処理の手順を示すフローチャートである。このフローチャートは、車両２の走行状態の切り替わりがあった際にメインルーチンから呼び出されて実行される。

車両２の走行状態の切り替わりには、たとえば、（１）有人走行から無人走行への切り替わり、（２）車両２が停車している状態から無人走行への切り替わり、（３）無人走行から有人走行への切り替わり、（４）車両２が停車している状態から有人走行への切り替わりが含まれる。上記（１）および（２）の切り替わりがあった場合とは、車両２が無人走行する場合を表わす。上記（３）および（４）の切り替わりがあった場合とは、車両２が有人走行する場合を表わす。

車両２の走行状態の切り替わりがあると、ＥＣＵ１００は処理を開始する。まず、上記（１）の有人走行から無人走行への切り替わりがあった場合、または、上記（２）の車両２が停車している状態から無人走行への切り替わりがあった場合について説明する。

車両２の走行状態が有人走行から無人走行へ切り替わった、または、車両２が停車している状態から無人走行へ切り替わった場合、ＥＣＵ１００は、無人走行用の更新プログラムの配信をＯＴＡサーバ２００に要求する（Ｓ３）。具体的には、ＥＣＵ１００の制御部１３０は、通信装置８３を介して無人走行用の更新プログラムの配信をＯＴＡサーバ２００に要求する。

ＯＴＡサーバ２００は、車両２から無人走行用の更新プログラムの配信の要求を受けると、車両２に無人走行用の更新プログラムを配信する（Ｓ５３）。

ＥＣＵ１００は、ＯＴＡサーバ２００から無人走行用の更新プログラムを受信すると、受信した無人走行用の更新プログラムを用いて診断プログラムを更新する（Ｓ５）。具体的には、ＥＣＵ１００の制御部１３０は、通信装置８３を介してＯＴＡサーバ２００から無人走行用の更新プログラムを受信すると、受信した無人走行用の更新プログラムを用いて記憶部１２０に記憶されている診断プログラムを更新する。

これによって、診断プログラムが敏感化される。ゆえに、無人走行時において診断条件が成立した際に敏感化された診断プログラムが実行され、本来的な故障に加えて潜在的な故障を検出することができる。

次に、上記（３）の無人走行から有人走行への切り替わりがあった場合、または、上記（４）の車両２が停車している状態から有人走行への切り替わりがあった場合について説明する。

車両２の走行状態が無人走行から有人走行へ切り替わった、または、車両２が停車している状態から有人走行へ切り替わった場合、ＥＣＵ１００は、有人走行用の更新プログラムの配信をＯＴＡサーバ２００に要求する（Ｓ３）。具体的には、ＥＣＵ１００の制御部１３０は、通信装置８３を介して有人走行用の更新プログラムの配信をＯＴＡサーバ２００に要求する。

ＯＴＡサーバ２００は、車両２から有人走行用の更新プログラムの配信の要求を受けると、車両２に有人走行用の更新プログラムを配信する（Ｓ５３）。

ＥＣＵ１００は、ＯＴＡサーバ２００から有人走行用の更新プログラムを受信すると、受信した有人走行用の更新プログラムを用いて診断プログラムを更新する（Ｓ５）。具体的には、ＥＣＵ１００の制御部１３０は、通信装置８３を介してＯＴＡサーバ２００から有人走行用の更新プログラムを受信すると、受信した有人走行用の更新プログラムを用いて記憶部１２０に記憶されている診断プログラムを更新する。

これによって、診断プログラムが、敏感化されていた状態から敏感化されていない状態に更新される。ゆえに、有人走行時において診断条件が成立した際に敏感化されていない診断プログラムが実行される。診断プログラムの実行により検出される故障は、本来的な故障の検出に留まり、潜在的な故障までは検出されないようにすることができる。

以上のように、実施の形態１においては、車両２が有人走行する場合にはＯＴＡにより有人走行用の更新プログラムを用いて診断プログラムを更新し、車両２が無人走行する場合にはＯＴＡにより無人走行用の更新プログラムを用いて診断プログラムを更新する。すなわち、有人走行する場合には、車両２の各機器の本来的な故障を検出するように診断プログラムが更新され、無人走行する場合には、車両２の各機器の本来的な故障に加えて潜在的な故障を検出するように診断プログラムが更新される。車両２の走行状態が切り替わった際にＯＴＡにより診断プログラムを適宜更新することによって、車両２の走行状態に応じた診断プログラムを用いて自己診断を実行することができる。これによって、有人走行する場合には本来的な故障を検出し、無人走行する場合には本来的な故障に加えて潜在的な故障を検出するようにできる。無人走行する場合に潜在的な故障を検出することにより、潜在的な故障が検出されたとしてもユーザに不利益に与えることを抑制することができる。

（実施の形態２）
実施の形態１においては、車両２の走行状態が切り替わった際に、ＯＴＡにより診断プログラムを適宜更新する例について説明した。これによって、車両２の走行状態に応じた診断プログラムを用いて自己診断を実行することを可能にした。しかしながら、たとえば、ＥＣＵ１００の記憶部１２０に、有人走行用の診断プログラムと無人走行用の診断プログラムとを記憶させ、走行状態に応じて使い分けるようにしてもよい。実施の形態２においては、ＥＣＵ１００の記憶部１２０に有人走行用の診断プログラムと無人走行用の診断プログラムとが記憶される例について説明する。

図１を参照して、実施の形態２に係る更新システム１Ａは、車両２Ａと、ＯＴＡサーバ２００Ａとを備える。

ＯＴＡサーバ２００Ａは、通信ネットワーク３００を介して車両２Ａと双方向に通信可能に構成される。

ＯＴＡサーバ２００Ａは、車両２Ａが有人走行する場合に適用される有人走行用の更新プログラムと、車両２Ａが無人走行する場合に適用される無人走行用の更新プログラムとを有している。有人走行用の更新プログラムおよび無人走行用の更新プログラムは、新しいアップデートが用意される毎に新しいものに置き換えられる。

ＯＴＡサーバ２００Ａは、有人走行用の更新プログラムおよび／または無人走行用の更新プログラムにアップデートがあった場合には、アップデートがあった有人走行用の更新プログラムおよび／または無人走行用の更新プログラムを車両２Ａに送信する。

車両２Ａは、実施の形態１に係る車両２に対して、ＥＣＵ１００をＥＣＵ１００Ａに変更したものである。その他の構成については、実施の形態１に係る車両２と同様であるため、繰り返し説明しない。

ＥＣＵ１００Ａは、情報取得部１１０と、記憶部１２０Ａと、制御部１３０Ａとを備える。情報取得部１１０についても、実施の形態１と同様であるため、繰り返し説明しない。

記憶部１２０Ａは、診断プログラムとして、有人走行用の診断プログラムと、無人走行用の診断プログラムとを記憶している。有人走行用の診断プログラムは、敏感化されていない診断プログラムである。無人走行用の診断プログラムは、敏感化された診断プログラムである。なお、実施の形態２に係る有人走行用の診断プログラムは、本開示に係る「第１プログラム」に相当する。また、実施の形態２に係る無人走行用の診断プログラムは、本開示に係る「第２プログラム」に相当する。

制御部１３０Ａは、車両２が有人走行する場合には有人走行用の診断プログラムを記憶部１２０Ａから読み出して、有人走行用の診断プログラムを用いて自己診断を実行する。制御部１３０Ａは、車両２が無人走行する場合には無人走行用の診断プログラムを記憶部１２０Ａから読み出して、無人走行用の診断プログラムを用いて自己診断を実行する。

制御部１３０Ａは、通信装置８３を介してＯＴＡサーバ２００Ａから有人走行用の更新プログラムを受信すると、受信した有人走行用の更新プログラムを用いて、有人走行用の診断プログラムを更新する。制御部１３０Ａは、通信装置８３を介してＯＴＡサーバ２００Ａから無人走行用の更新プログラムを受信すると、受信した無人走行用の更新プログラムを用いて、無人走行用の診断プログラムを更新する。

＜ＥＣＵで実行される処理＞
＜＜自己診断＞＞
図６は、実施の形態２における自己診断の処理の手順を示すフローチャートである。このフローチャートは、所定の制御周期毎にＥＣＵ１００Ａにより繰り返し実行される。このフローチャートは、図４のフローチャートのＳ１３をＳ２１からＳ２５に代えたものである。図４のフローチャートと同様のステップについては、図４のフローチャートと同じ番号を付し、繰り返し説明しない。

車両２Ａの走行時に診断条件が成立すると（Ｓ１１においてＹＥＳ）、ＥＣＵ１００Ａは、車両２Ａの走行状態を判定する（Ｓ２１）。具体的には、車両２Ａが有人走行しているか否かを判定する（Ｓ２１）。

車両２Ａが有人走行している場合（Ｓ２１においてＹＥＳ）、ＥＣＵ１００Ａは、有人走行用の診断プログラムを実行する（Ｓ２３）。具体的には、ＥＣＵ１００Ａの制御部１３０Ａは、成立した診断条件に対応する有人走行用の診断プログラムを記憶部１２０Ａから読み出して、当該有人走行用の診断プログラムを実行する。

一方、車両２Ａが無人走行している場合（Ｓ２１においてＮＯ）、ＥＣＵ１００Ａは、無人走行用の診断プログラムを実行する（Ｓ２５）。具体的には、ＥＣＵ１００Ａの制御部１３０Ａは、成立した診断条件に対応する無人走行用の診断プログラムを記憶部１２０Ａから読み出して、当該無人走行用の診断プログラムを実行する。

＜＜診断プログラムの更新＞＞
図７は、実施の形態２における診断プログラムの更新の処理の手順を示すフローチャートである。このフローチャートは、所定の周期毎に繰り返し実行される。

所定の周期が到来すると、ＯＴＡサーバ２００Ａは、更新プログラムのアップロードがあったか否かを判定する（Ｓ７１）。有人走行用の更新プログラムおよび無人走行用の更新プログラムのどちらにもアップロードがなかった場合（Ｓ７１においてＮＯ）、ＯＴＡサーバ２００Ａは、処理を終了する。

有人走行用の更新プログラムおよび無人走行用の更新プログラムの少なくともどちらか一方にアップロードがあった場合（Ｓ７１においてＹＥＳ）、ＯＴＡサーバ２００Ａは、アップロードのあった更新プログラムを車両２Ａに配信する（Ｓ７３）。

ＥＣＵ１００Ａは、更新プログラムを受信すると、受信した更新プログラムが有人走行用の更新プログラムであるか、無人走行用のプログラムであるかを判定する（Ｓ６１）。

有人走行用の更新プログラムを受信した場合（Ｓ６１においてＹＥＳ）、受信した有人走行用の更新プログラムを用いて、有人走行用の診断プログラムを更新する（Ｓ６３）。具体的には、制御部１３０Ａは、受信した有人走行用の診断プログラムを用いて記憶部１２０Ａに記憶されている有人走行用の診断プログラムを更新する。

無人走行用の更新プログラムを受信した場合（Ｓ６１においてＮＯ）、受信した無人走行用の更新プログラムを用いて、無人走行用の診断プログラムを更新する（Ｓ６３）。具体的には、制御部１３０Ａは、受信した無人走行用の診断プログラムを用いて記憶部１２０Ａに記憶されている無人走行用の診断プログラムを更新する。

なお、ＯＴＡサーバ２００Ａから、有人走行用の更新プログラムおよび無人走行用の更新プログラムの両方を受信した場合には、Ｓ６３およびＳ６５の両方の処理を実行すればよい。

以上のように、実施の形態２においては、有人走行用の診断プログラムと無人走行用の診断プログラムとを記憶し、車両２Ａの走行状態に応じて有人走行用の診断プログラムと無人走行用の診断プログラムとを使い分ける。これによって、車両２Ａが有人走行する場合に敏感化されていない診断プログラム（有人走行用の診断プログラム）を用い、車両２Ａが無人走行する場合に敏感化した診断プログラム（無人走行用の診断プログラム）を用いることができる。これによって、有人走行する場合には本来的な故障を検出し、無人走行する場合には本来的な故障に加えて潜在的な故障を検出するようにできる。無人走行する場合に潜在的な故障を検出することにより、潜在的な故障が検出されたとしてもユーザに不利益に与えることを抑制することができる。

今回開示された実施の形態は、すべての点で例示であって制限的なものではないと考えられるべきである。本開示の範囲は、上記した実施の形態の説明ではなくて特許請求の範囲によって示され、特許請求の範囲と均等の意味および範囲内でのすべての変更が含まれることが意図される。

１，１Ａ 更新システム、２，２Ａ 車両、１０ 蓄電装置、１５ 監視ユニット、１６ 電圧センサ、１７ 電流センサ、１８ 温度センサ、２０ ＳＭＲ、３０ ＰＣＵ、４１，４２ モータジェネレータ、５０ エンジン、５５ 動力分割装置、６０ 駆動軸、６５ 駆動輪、７０ センサ群、７１ カメラ、７２ レーダー、７３ ライダー、７４ 車速センサ、７５ 加速度センサ、７６ ジャイロセンサ、８０ 通信ユニット、８１ 車車間通信装置、８３ 通信装置、９０ ナビゲーション装置、９１ ＧＰＳ受信機、９２ 地図データ記憶部、１００，１００Ａ ＥＣＵ、１１０ 情報取得部、１２０，１２０Ａ 記憶部、１３０，１３０Ａ 制御部、２００，２００Ａ ＯＴＡサーバ、３００ 通信ネットワーク。

Claims (4)

1. 自動運転が可能に構成された車両であって、
   前記車両に搭載された機器の故障を診断するためのプログラムを記憶した記憶装置と、
   前記車両の走行時において診断条件が成立した場合に前記プログラムを実行する制御装置と、
   前記プログラムを更新するための更新プログラムを配信するサーバと通信可能に構成された通信装置とを備え、
   前記更新プログラムとして、前記サーバは、前記車両が有人走行する場合に適用される第１更新プログラムと、前記車両が無人走行する場合に適用される第２更新プログラムとを有し、
   前記制御装置は、前記車両が無人走行する場合に、前記サーバから前記第２更新プログラムを取得し、取得した前記第２更新プログラムを用いて前記プログラムを更新する、車両。
2. 前記制御装置は、前記プログラムの実行によって算出した前記機器の特性が閾範囲外であるか否かによって前記機器の故障を判定し、
   前記第２更新プログラムに含まれる前記閾範囲は、前記第１更新プログラムに含まれる前記閾範囲よりも狭い、請求項１に記載の車両。
3. 前記制御装置は、前記車両が有人走行する場合に、前記サーバから前記第１更新プログラムを取得し、取得した前記第１更新プログラムを用いて前記プログラムを更新する、請求項１または請求項２に記載の車両。
4. 自動運転が可能に構成された車両であって、
   前記車両に搭載された機器の故障を診断するためのプログラムを記憶した記憶装置と、
   前記車両の走行時において診断条件が成立した場合に前記プログラムを実行する制御装置と、
   前記プログラムを更新するための更新プログラムを配信するサーバと通信可能に構成された通信装置とを備え、
   前記プログラムとして、前記記憶装置は、前記車両が有人走行する場合に用いられる第１プログラムと、前記車両が無人走行する場合に用いられる第２プログラムとを記憶し、
   前記更新プログラムとして、前記サーバは、前記車両が有人走行する場合に適用される第１更新プログラムと、前記車両が無人走行する場合に適用される第２更新プログラムとを有し、
   前記制御装置は、前記車両が有人走行する場合に前記第１プログラムを用いて前記機器の故障を診断し、前記車両が無人走行する場合に前記第２プログラムを用いて前記機器の故障を診断し、
   前記制御装置は、
   前記第１更新プログラムを受信した場合に、受信した前記第１更新プログラムを用いて前記第１プログラムを更新し、
   前記第２更新プログラムを受信した場合に、受信した前記第２更新プログラムを用いて前記第２プログラムを更新する、車両。

Images