JP2021020648A - 車両制御システム - Google Patents

車両制御システム Download PDF

Info

Publication number
JP2021020648A
JP2021020648A JP2019140230A JP2019140230A JP2021020648A JP 2021020648 A JP2021020648 A JP 2021020648A JP 2019140230 A JP2019140230 A JP 2019140230A JP 2019140230 A JP2019140230 A JP 2019140230A JP 2021020648 A JP2021020648 A JP 2021020648A
Authority
JP
Japan
Prior art keywords
unit
control
control unit
vehicle
signal
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
JP2019140230A
Other languages
English (en)
Inventor
芳正 黒川
Yoshimasa Kurokawa
芳正 黒川
山下　哲弘
Tetsuhiro Yamashita
哲弘 山下
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Mazda Motor Corp
Original Assignee
Mazda Motor Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Mazda Motor Corp filed Critical Mazda Motor Corp
Priority to JP2019140230A priority Critical patent/JP2021020648A/ja
Priority to US17/630,927 priority patent/US20220281466A1/en
Priority to CN202080055556.4A priority patent/CN114269619B/zh
Priority to EP20846403.2A priority patent/EP4005891B1/en
Priority to PCT/JP2020/028502 priority patent/WO2021020293A1/ja
Publication of JP2021020648A publication Critical patent/JP2021020648A/ja
Pending legal-status Critical Current

Links

Images

Classifications

    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60W—CONJOINT CONTROL OF VEHICLE SUB-UNITS OF DIFFERENT TYPE OR DIFFERENT FUNCTION; CONTROL SYSTEMS SPECIALLY ADAPTED FOR HYBRID VEHICLES; ROAD VEHICLE DRIVE CONTROL SYSTEMS FOR PURPOSES NOT RELATED TO THE CONTROL OF A PARTICULAR SUB-UNIT
    • B60W50/00—Details of control systems for road vehicle drive control not related to the control of a particular sub-unit, e.g. process diagnostic or vehicle driver interfaces
    • B60W50/02—Ensuring safety in case of control system failures, e.g. by diagnosing, circumventing or fixing failures
    • B60W50/023—Avoiding failures by using redundant parts
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60W—CONJOINT CONTROL OF VEHICLE SUB-UNITS OF DIFFERENT TYPE OR DIFFERENT FUNCTION; CONTROL SYSTEMS SPECIALLY ADAPTED FOR HYBRID VEHICLES; ROAD VEHICLE DRIVE CONTROL SYSTEMS FOR PURPOSES NOT RELATED TO THE CONTROL OF A PARTICULAR SUB-UNIT
    • B60W50/00—Details of control systems for road vehicle drive control not related to the control of a particular sub-unit, e.g. process diagnostic or vehicle driver interfaces
    • B60W50/02—Ensuring safety in case of control system failures, e.g. by diagnosing, circumventing or fixing failures
    • B60W50/0205—Diagnosing or detecting failures; Failure detection models
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60W—CONJOINT CONTROL OF VEHICLE SUB-UNITS OF DIFFERENT TYPE OR DIFFERENT FUNCTION; CONTROL SYSTEMS SPECIALLY ADAPTED FOR HYBRID VEHICLES; ROAD VEHICLE DRIVE CONTROL SYSTEMS FOR PURPOSES NOT RELATED TO THE CONTROL OF A PARTICULAR SUB-UNIT
    • B60W50/00—Details of control systems for road vehicle drive control not related to the control of a particular sub-unit, e.g. process diagnostic or vehicle driver interfaces
    • B60W50/04—Monitoring the functioning of the control system
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/0703—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation
    • G06F11/0706—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation the processing taking place on a specific hardware platform or in a specific software environment
    • G06F11/0736—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation the processing taking place on a specific hardware platform or in a specific software environment in functional embedded systems, i.e. in a data processing system designed as a combination of hardware and software dedicated to performing a certain function
    • G06F11/0739—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation the processing taking place on a specific hardware platform or in a specific software environment in functional embedded systems, i.e. in a data processing system designed as a combination of hardware and software dedicated to performing a certain function in a data processing system embedded in automotive or aircraft systems
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/16—Error detection or correction of the data by redundancy in hardware
    • G06F11/1629—Error detection by comparing the output of redundant processing systems
    • G06F11/1641—Error detection by comparing the output of redundant processing systems where the comparison is not performed by the redundant processing components
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/16—Error detection or correction of the data by redundancy in hardware
    • G06F11/18—Error detection or correction of the data by redundancy in hardware using passive fault-masking of the redundant circuits
    • G06F11/183—Error detection or correction of the data by redundancy in hardware using passive fault-masking of the redundant circuits by voting, the voting not being performed by the redundant components
    • G06F11/184—Error detection or correction of the data by redundancy in hardware using passive fault-masking of the redundant circuits by voting, the voting not being performed by the redundant components where the redundant components implement processing functionality
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/16—Error detection or correction of the data by redundancy in hardware
    • G06F11/20—Error detection or correction of the data by redundancy in hardware using active fault-masking, e.g. by switching out faulty elements or by switching in spare elements
    • G06F11/2002—Error detection or correction of the data by redundancy in hardware using active fault-masking, e.g. by switching out faulty elements or by switching in spare elements where interconnections or communication control functionality are redundant
    • G06F11/2007—Error detection or correction of the data by redundancy in hardware using active fault-masking, e.g. by switching out faulty elements or by switching in spare elements where interconnections or communication control functionality are redundant using redundant communication media
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/16—Error detection or correction of the data by redundancy in hardware
    • G06F11/20—Error detection or correction of the data by redundancy in hardware using active fault-masking, e.g. by switching out faulty elements or by switching in spare elements
    • G06F11/202—Error detection or correction of the data by redundancy in hardware using active fault-masking, e.g. by switching out faulty elements or by switching in spare elements where processing functionality is redundant

Landscapes

  • Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Automation & Control Theory (AREA)
  • Quality & Reliability (AREA)
  • Physics & Mathematics (AREA)
  • General Engineering & Computer Science (AREA)
  • General Physics & Mathematics (AREA)
  • Human Computer Interaction (AREA)
  • Transportation (AREA)
  • Mechanical Engineering (AREA)
  • Control Of Driving Devices And Active Controlling Of Vehicle (AREA)
  • Steering Control In Accordance With Driving Conditions (AREA)

Abstract

【課題】フェールオペレーショナル機能の継続性を向上させる。【解決手段】第１制御部（300）は、複数の演算部（30）と診断部（40）とを有する。第２制御部（400）は、第１制御部（300）とアクチュエータ（100）との間の信号経路に設けられ、出力部（50）を有する。複数の演算部（30）の各々は、アクチュエータ（100）の制御のための第１制御信号を出力部（50）に供給する。診断部（40）は、複数の演算部（30）の各々における異常の診断を行う。出力部（50）は、複数の演算部（30）の各々から供給される第１制御信号と、診断部（40）による複数の演算部（30）の各々の診断結果とに基づいて、アクチュエータ（100）の制御のための第２制御信号を出力する。【選択図】図３

Description

ここに開示する技術は、車両制御システムに関する。
特許文献１には、車両制御システムが開示されている。この車両制御システムは、センサと、センサの信号に基づいて操作量指令値を演算する指令コントローラと、指令コントローラからの操作量指令値に基づいてアクチュエータを制御するアクチュエータ駆動コントローラとを備える。センサ、指令コントローラ、アクチュエータ駆動コントローラの少なくとも２つは、自己の故障を検出する故障検出部を有する。
特開２０１６−１９６２９５号公報
特許文献１のような車両制御システムにおいて、指令コントローラに複数の制御系統を設けることで、フェールオペレーショナル機能を実装させることが考えられる。このように、指令コントローラに複数の制御系統を設けることにより、複数の制御系統の１つに異常が発生したとしても、残りの制御系統によりアクチュエータの制御を継続させることができる。
しかしながら、指令コントローラとアクチュエータ駆動コントローラとの間の信号経路が１つしかない場合、その信号経路において通信異常（例えば通信途絶）が発生すると、指令コントローラにおける複数の制御系統に異常がない場合であっても、アクチュエータの制御を継続させることができなくなる。このように、フェールオペレーショナル機能を継続させることが困難である。
ここに開示する技術は、かかる点に鑑みてなされたものであり、その目的とするところは、フェールオペレーショナル機能の継続性を向上させることにある。
ここに開示する技術は、車両に設けられるアクチュエータを制御する車両制御システムに関し、この車両制御システムは、複数の演算部と診断部とを有する第１制御部と、前記第１制御部と前記アクチュエータとの間の信号経路に設けられ、出力部を有する第２制御部とを備える。前記複数の演算部の各々は、前記アクチュエータの制御のための第１制御信号を前記出力部に供給する。前記診断部は、前記複数の演算部の各々における異常の診断を行う。前記出力部は、前記複数の演算部の各々から供給される第１制御信号と、前記診断部による前記複数の演算部の各々の診断結果とに基づいて、前記アクチュエータの制御のための第２制御信号を出力する。
前記の構成では、複数の第１制御信号を第１制御部から第２制御部に供給し、第２制御部において複数の第１制御信号と複数の演算部の診断結果とに基づいて第２制御信号を出力する。これにより、複数の演算部の１つに異常が発生したとしても、残りの第１制御信号（異常なしの第１制御信号）を第２制御部に供給することができるので、アクチュエータの制御を継続させることができる。このように、フェールオペレーショナル機能を実現することができる。
また、複数の第１制御信号を第１制御部から第２制御部に供給することにより、単一の第１制御信号を第１制御部から第２制御部に供給する場合よりも、第１制御部と第２制御部との間の通信異常（例えば通信途絶）に対する抗堪性を強化することができる。すなわち、第１制御部と第２制御部との間の通信異常によりアクチュエータの制御を継続することができなくなるという事態を発生させにくくすることができる。これにより、フェールオペレーショナル機能の継続性を向上させることができる。
また、前記車両制御システムにおいて、前記出力部は、前記複数の演算部の各々に異常がない場合に、該複数の演算部の各々から供給される第１制御信号のうち信頼度が最も高い第１制御信号を前記第２制御信号として出力するように構成されてもよい。
前記の構成では、複数の演算部の各々から供給される第１制御信号のうち信頼度が最も高い第１制御信号を第２制御信号として出力することにより、アクチュエータの制御の信頼性を良好な状態に維持することができる。
また、前記車両制御システムにおいて、前記出力部は、前記複数の演算部の各々に異常がない場合に、該複数の演算部の各々から供給される第１制御信号のうち伝送速度が最も速い第１制御信号を前記第２制御信号として出力するように構成されてもよい。
前記の構成では、複数の演算部の各々から供給される第１制御信号のうち伝送速度が最も速い第１制御信号を第２制御信号として出力することにより、アクチュエータの制御の応答性を良好な状態に維持することができる。
また、前記車両制御システムにおいて、前記出力部は、前記複数の演算部の各々に異常がない場合に、該複数の演算部の各々から供給される第１制御信号のうち前記車両のシーンに応じた第１制御信号を前記第２制御信号として出力するように構成されてもよい。
前記の構成では、複数の演算部の各々から供給される第１制御信号のうち車両のシーンに応じた第１制御信号を第２制御信号として出力することにより、車両のシーンに応じてアクチュエータの制御を適切に行うことができる。
ここに開示する技術によれば、フェールオペレーショナル機能の継続性を向上させることができる。
実施形態の車両制御システムの構成を例示するブロック図である。 車両制御システムにおける信号経路を例示する模式図である。 車両制御システムの要部を例示するブロック図である。 車両制御システムの比較例の要部を例示するブロック図である。 実施形態の変形例の車両制御システムの要部を例示するブロック図である。
以下、実施の形態を図面を参照して詳しく説明する。なお、図中同一または相当部分には同一の符号を付しその説明は繰り返さない。
（実施形態）
図１および図２は、車両制御システム１０の構成を例示する。この車両制御システム１０は、車両１１（具体的には自動四輪車）に設けられる。この車両１１は、マニュアル運転とアシスト運転と自動運転とに切り換え可能である。マニュアル運転は、ドライバの操作（例えばアクセルの操作など）に応じて走行する運転である。アシスト運転は、ドライバの操作を支援して走行する運転である。自動運転は、ドライバの操作なしに走行する運転である。車両制御システム１０は、自動運転およびアシスト運転において、車両１１に設けられた複数のアクチュエータ１００を制御することで車両１１の動作を制御する。
なお、この車両１１では、駆動制御、制動制御、操舵制御において、電気的に制御を行うバイワイヤ方式が採用される。具体的には、アクセルペダルの操作、ブレーキペダルの操作、ステアリングホイールの操作が後述する各種センサにより検出され、各種センサの出力に基づいて生成された制御信号によりアクチュエータ１００（駆動制御、制動制御、操舵制御に関連するアクチュエータ１００）が制御されて駆動制御、制動制御、操舵制御が行われる。
〔アクチュエータ〕
複数のアクチュエータ１００は、車両１１に設けられた複数の車載デバイス（図示を省略）をそれぞれ作動させる。この複数のアクチュエータ１００には、車両１１の基本動作（例えば駆動や制動や操舵など）に関連する車載デバイスを作動させるアクチュエータ１００だけでなく、車両１１の基本動作に関連しない車載デバイス（いわゆるボディ系デバイス）を作動させるアクチュエータ１００も含まれる。車載デバイスの例としては、エンジン、トランスミッション、電動ブレーキ、電動パワーステアリング、ブレーキランプ、前照灯、電動ミラー、オーディオなどが挙げられる。図１および図２の例では、アクチュエータ１００の例として、電動パワーステアリング装置のアクチュエータ１０１と、電動ブレーキのアクチュエータ１０２，１０３，１１１，１１２と、ブレーキランプのアクチュエータ１０４，１１３と、前照灯のアクチュエータ１０５，１１４と、電動ミラーのアクチュエータ１０７，１１５が図示されている。
〔車両制御システムの構成〕
車両制御システム１０は、複数のセンサ２００と、通信部２１０と、演算装置１５とを備える。
〔センサ〕
複数のセンサ２００の各々は、複数のアクチュエータ１００の制御に用いられる各種情報を検出する。図１の例では、センサ２００の例として、複数のカメラ２０１と、複数のレーダ２０２と、位置センサ２０３と、車両状態センサ２０４と、乗員状態センサ２０５と、操舵角センサ２０６と、ブレーキセンサ２０７と、アクセルセンサ２０８とが例示されている。
〈カメラ（撮像部）〉
複数のカメラ２０１は、互いに同様の構成を有する。カメラ２０１は、車両１１の外部環境を撮像することで、車両１１の外部環境を示す画像データを取得する。カメラ２０１により得られた画像データは、演算装置１５（具体的には後述するセントラル制御部３００、以下同様）に送信される。なお、カメラ２０１は、車両１１の外部環境を撮像する撮像部の一例である。
この例では、カメラ２０１は、広角レンズを有する単眼カメラであり、複数のカメラ２０１による車両１１の外部環境の撮像範囲が車両１１の周囲の全周に渡るように、複数のカメラ２０１が車両１１に配置されている。例えば、カメラ２０１は、ＣＣＤ（Charge Coupled Device）やＣＭＯＳ（Complementary metal-oxide-semiconductor）などの固体撮像素子を用いて構成される。なお、カメラ２０１は、通常のレンズを有する単眼カメラであってもよいし、ステレオカメラであってもよい。
〈レーダ（検出部）〉
複数のレーダ２０２は、互いに同様の構成を有する。レーダ２０２は、車両１１の外部環境を検出する。具体的には、レーダ２０２は、車両１１の外部環境へ向けて電波を送信して車両１１の外部環境からの反射波を受信することで車両１１の外部環境を検出する。レーダ２０２の検出結果は、演算装置１５に送信される。なお、レーダ２０２は、車両１１の外部環境を検出する検出部の一例である。検出部は、車両１１の外部環境へ向けて探知波を送信して車両１１の外部環境からの反射波を受信することで、車両１１の外部環境を検出する。
この例では、複数のレーダ２０２による車両１１の外部環境の検出範囲が車両１１の周囲の全周に渡るように、複数のレーダ２０２が車両１１に配置されている。例えば、レーダ２０２は、ミリ波を送信するミリ波レーダであってもよいし、レーザ光を送信するライダ（Light Detection and Ranging）であってもよいし、赤外線を送信する赤外線レーダであってもよいし、超音波を送信する超音波センサであってもよい。
〈位置センサ〉
位置センサ２０３は、車両１１の位置（例えば緯度および経度）を検出する。例えば、位置センサ２０３は、全地球測位システムからのＧＰＳ情報を受信し、ＧＰＳ情報に基づいて車両１１の位置を検出する。位置センサ２０３により検出された車両１１の位置は、演算装置１５に送信される。
〈車両状態センサ〉
車両状態センサ２０４は、車両１１の状態（例えば速度や加速度やヨーレートなど）を検出する。例えば、車両状態センサ２０４は、車両１１の速度を検出する車速センサ、車両１１の加速度を検出する加速度センサ、車両１１のヨーレートを検出するヨーレートセンサなどを含む。車両状態センサ２０４により検出された車両１１の状態は、演算装置１５に送信される。
〈乗員状態センサ〉
乗員状態センサ２０５は、車両１１に搭乗する乗員の状態（例えばドライバの健康状態や感情や身体挙動など）を検出する。例えば、乗員状態センサ２０５は、乗員を撮像する車内カメラ、乗員の生体情報を検出する生体情報センサなどを含む。乗員状態センサ２０５により検出された乗員の状態は、演算装置１５に送信される。
〈運転操作センサ〉
操舵角センサ２０６とブレーキセンサ２０７とアクセルセンサ２０８は、車両１１に加えられる運転操作を検出する運転操作センサの一例である。操舵角センサ２０６は、車両１１のハンドルの操舵角を検出する。ブレーキセンサ２０７は、車両１１のブレーキの操作量を検出する。アクセルセンサ２０８は、車両１１のアクセルの操作量を検出する。運転操作センサにより検出された運転操作は、演算装置１５に送信される。
〔通信部〕
通信部２１０は、車両１１の外部に設けられた外部装置との間で通信を行う。例えば、通信部２１０は、車両１１の周囲に位置する他車両（図示を省略）からの通信情報、ナビゲーションシステム（図示を省略）からの交通情報などを受信する。通信部２１０により受信された情報は、演算装置１５に送信される。
〔演算装置〕
演算装置１５は、車両１１に設けられた複数のセンサ２００の出力および車外から送信された情報などに基づいて、複数のアクチュエータ１００の動作を制御する。例えば、演算装置１５は、車両１１が走行すべき経路である目標経路を決定し、目標経路を走行するために必要となる車両１１の運動である目標運動を決定し、車両１１の運動が目標運動となるように、複数のアクチュエータ１００の動作を制御する。
具体的には、演算装置１５は、セントラル制御部３００と、複数のゾーン制御部４００とを備える。この例では、演算装置１５は、１つのセントラル制御部３００と、２つのゾーン制御部４０１，４０２と、９つのゾーン制御部５０１〜５０５，５１１〜５１４とを備える。また、セントラル制御部３００および複数のゾーン制御部４００の各々は、１つまたは複数のプロセッサ、１つまたは複数のプロセッサを動作させるためのプログラムやデータを記憶する１つまたは複数のメモリなどを有する電子制御ユニット（ＥＣＵ）により構成される。
〈セントラル制御部およびゾーン制御部の接続〉
図１および図２の例では、セントラル制御部３００には、２つのゾーン制御部４０１，４０２が接続される。図２に示すように、ゾーン制御部４０１は、車両１１の右側の中央部に配置され、ゾーン制御部４０２は、車両１１の左側の中央部に配置される。ゾーン制御部４０１には、５つのゾーン制御部５０１〜５０５と、電動ミラーのアクチュエータ１０７とが接続される。５つのゾーン制御部５０１〜５０５には、５つのアクチュエータ１０１〜１０５がそれぞれ接続される。ゾーン制御部４０２には、４つのゾーン制御部５１１〜５１４と、電動ミラーのアクチュエータ１１５とが接続される。４つのゾーン制御部５１１〜５１４には、４つのアクチュエータ１１１〜１１４がそれぞれ接続される。
また、図１および図２の例では、セントラル制御部３００とゾーン制御部４００とを接続する信号線と、２つのゾーン制御部４００を接続する信号線は、Ｅｔｈｅｒｎｅｔ（登録商標）の通信ケーブルであり、セントラル制御部３００とアクチュエータ１００とを接続する信号線と、ゾーン制御部４００とアクチュエータ１００とを接続する信号線は、ＣＡＮ（Controller Area Network）の通信ケーブルである。また、ゾーン制御部５０１〜５０５，５１１〜５１４の各々は、Ｅｔｈｅｒｎｅｔ（登録商標）とＣＡＮとの間のプロトコル変換を行う機能を有する。
〈セントラル制御部（第１制御部）〉
セントラル制御部３００は、車両１１に設けられた複数のセンサ２００の出力および車外から送信された情報を受け、複数のアクチュエータ１００の制御のための複数の制御信号を生成する。そして、セントラル制御部３００は、複数の制御信号を出力する。セントラル制御部３００は、第１制御部の一例である。
例えば、セントラル制御部３００は、アシスト運転において、カメラ２０１およびレーダ２０２の出力に基づいて車両１１の外部環境を認識し、その認識された車両１１の外部環境に基づいて１つまたは複数の候補経路を生成する。候補経路は、車両１１が走行可能な経路であり、目標経路の候補である。
また、セントラル制御部３００は、車両状態センサ２０４の出力に基づいて車両１１の挙動（例えば速度や加速度やヨーレートなど）を認識する。例えば、セントラル制御部３００は、深層学習により生成された学習モデルを用いて車両状態センサ２０４の出力から車両１１の挙動を認識する。
また、セントラル制御部３００は、乗員状態センサ２０５の出力に基づいて乗員の挙動（例えばドライバの健康状態や感情や身体挙動など）を認識する。例えば、セントラル制御部３００は、深層学習により生成された学習モデルを用いて乗員状態センサ２０５の出力から乗員（特にドライバ）の挙動を認識する。
また、セントラル制御部３００は、操舵角センサ２０６とブレーキセンサ２０７とアクセルセンサ２０８の各々の出力に基づいて車両１１に加えられた運転操作を認識する。
次に、セントラル制御部３００は、上記の認識された車両１１の挙動と乗員の挙動と車両１１に加えられた運転操作とに基づいて、上記の生成された１つまたは複数の候補経路の中から目標経路となる候補経路を選択する。例えば、セントラル制御部３００は、複数の候補経路のうちドライバが最も快適であると感じる候補経路を選択する。そして、セントラル制御部３００は、目標経路として選択された候補経路に基づいて目標運動を決定する。
次に、セントラル制御部３００は、上記の決定された目標運動に基づいて、目標運動を達成するための制御信号を生成する。例えば、セントラル制御部３００は、目標運動を達成するための駆動力と制動力と操舵量である目標駆動力と目標制動力と目標操舵量をそれぞれ導出する。そして、セントラル制御部３００は、目標駆動力を示す駆動制御信号と、目標制動力を示す制動制御信号と、目標操舵量を示す操舵制御信号を生成する。そして、セントラル制御部３００は、制御信号を出力する。
〈ゾーン制御部（第２制御部）〉
複数のゾーン制御部４００の各々は、車両１１の所定のゾーンに設けられる。また、複数のゾーン制御部４００の各々は、セントラル制御部３００と複数のアクチュエータ１００の各々との間の信号経路に設けられる。具体的には、セントラル制御部３００と１つのアクチュエータ１００との間の信号経路には、１つ以上のゾーン制御部４００が設けられる。例えば、図１および図２の例では、セントラル制御部３００と電動パワーステアリングのアクチュエータ１０１との間の信号経路には、２つのゾーン制御部４０１，５０１が設けられる。そして、複数のゾーン制御部４００の各々は、信号の中継を行う。このような構成により、セントラル制御部３００から出力された制御信号は、１つ以上のゾーン制御部４００を経由してアクチュエータ１００に供給され、アクチュエータ１００の動作が制御される。
例えば、セントラル制御部３００とエンジンおよびトランスミッションのアクチュエータ（図示を省略）との間の信号経路に設けられたゾーン制御部４００（図示を省略）は、セントラル制御部３００から出力された駆動制御信号を、エンジンおよびトランスミッションのアクチュエータに中継する。エンジンおよびトランスミッションのアクチュエータは、駆動制御信号に示された目標駆動力に基づいてエンジンおよびトランスミッションを作動させる。これにより、車両１１の駆動力が目標駆動力となるように制御される。
また、セントラル制御部３００と電動ブレーキのアクチュエータ１０２との間の信号経路に設けられたゾーン制御部４０１，５０２は、セントラル制御部３００から出力された制動制御信号をアクチュエータ１０２に中継する。アクチュエータ１０２は、制動制御信号に示された目標制動力に基づいて電動ブレーキを作動させる。これにより、電動ブレーキの制動力が目標制動力となるように制御される。
また、セントラル制御部３００と電動パワーステアリングのアクチュエータ１０１との間の信号経路に設けられたゾーン制御部４０１，５０１は、セントラル制御部３００から出力された操舵制御信号をアクチュエータ１０１に中継する。アクチュエータ１０１は、操舵制御信号に示された目標操舵量に基づいて電動パワーステアリングを作動させる。これにより、車両１１の操舵量が目標操舵量となるように制御される。
〔セントラル制御部およびゾーン制御部の詳細〕
次に、図３を参照して、セントラル制御部３００およびゾーン制御部４００の詳細について説明する。以下では、セントラル制御部３００と１つのゾーン制御部４００との組合せを例に挙げて説明する。
〈信号線〉
図３に示すように、車両制御システム１０は、セントラル制御部３００（第１制御部）とゾーン制御部４００（第２制御部）とを接続する複数の信号線６００を備える。この例では、車両制御システム１０の演算装置１５は、２つの信号線６００を備える。また、この例では、信号線６００は、Ｅｔｈｅｒｎｅｔ（登録商標）の通信ケーブルである。
〈セントラル制御部（第１制御部）〉
セントラル制御部３００は、複数の信号線６００を通じて複数の第１制御信号をゾーン制御部４００に供給する。また、セントラル制御部３００は、複数の第１制御信号の各々における異常の診断（この例では異常の有無の診断）を行う。この例では、セントラル制御部３００は、２つの信号線６００を通じて２つの第１制御信号を出力する。また、この例では、セントラル制御部３００による複数の第１制御信号の各々の診断結果は、複数の信号線６００を通じてゾーン制御部４００に送信される。
複数の第１制御信号の各々は、アクチュエータ１００の制御のための信号である。具体的には、複数の第１制御信号の各々は、アクチュエータ１００の目標出力（例えば目標制御量）を示す。目標出力の具体例としては、目標駆動力、目標制動力、目標操舵量などが挙げられる。また、複数の第１制御信号の各々に示される目標出力は、互いに同種であるが、その目標出力の導出に用いられる情報（センサ２００により検出される情報など）および目標出力の導出処理の内容（計算式など）のうち少なくとも１つが互いに異なる。例えば、２つの第１制御信号のうち１つの制御信号は、操舵角センサ２０６により検出された車両１１のハンドルの操舵角に基づいて導出された目標操舵量を示し、もう１つの制御信号は、レゾルバ（図示を省略）により検出された電動パワーステアリングの電動モータ（図示を省略）の回転角に基づいて導出された目標操舵量を示す。
図３に示すように、セントラル制御部３００は、複数の演算部３０と診断部４０とを有する。この例では、セントラル制御部３００は、２つの演算部３０（具体的には第１演算部３１と第２演算部３２）を有する。
《演算部》
複数の演算部３０の各々は、第１制御信号をゾーン制御部４００（具体的には後述する出力部５０）に供給する。具体的には、複数の演算部３０の各々は、センサ２００により検出される情報などに基づいてアクチュエータ１００の目標出力を求め、その求められたアクチュエータ１００の目標出力を示す第１制御信号を出力する。
複数の演算部３０の各々において求められる目標出力は、互いに同種であるが、その演算部３０において目標出力の導出に用いられる情報（センサ２００により検出される情報など）および演算部３０における目標出力の導出処理の内容（計算式など）のうち少なくとも１つが互いに異なる。例えば、第１演算部３１は、操舵角センサ２０６により検出された情報に基づいて目標操舵量を求め、第２演算部３２は、レゾルバ（図示を省略）により検出された情報に基づいて目標操舵量を求める。
なお、セントラル制御部３００において、複数の演算部３０の出力端は、複数の信号線６００の一端とそれぞれ電気的に接続される。具体的には、この例では、セントラル制御部３００は、２つの演算部３０にそれぞれ対応する２つのコネクタ３０ａを有する。２つの演算部３０の出力端は、２つの内部配線３０ｂにより２つのコネクタ３０ａとそれぞれ電気的に接続される。２つのコネクタ３０ａには、２つの信号線６００の一端がそれぞれ接続される。例えば、複数の演算部３０の各々は、予め定められた演算を行う演算コア（プロセッサ）により構成される。
《診断部》
診断部４０は、複数の演算部３０の各々における異常の診断（この例では異常の有無の診断）を行う。例えば、診断部４０は、ＢＩＳＴ（Built-In Self Test）により演算部３０の異常の有無を診断する。なお、診断部４０は、他の周知の診断技術を用いて演算部３０の異常の診断をしてもよい。
この例では、診断部４０は、２つの演算部３０にそれぞれ対応する２つの診断部（第１診断部４１と第２診断部４２）により構成される。第１診断部４１は、第１演算部３１の異常の診断を行う。第２診断部４２は、第２演算部３２の異常の診断を行う。例えば、第１診断部４１および第２診断部４２の各々は、予め定められた演算を行う演算コア（プロセッサ）により構成される。また、この例では、診断部４０による複数の演算部３０の診断結果は、複数の信号線６００を通じてゾーン制御部４００に送信される。
〈ゾーン制御部（第２制御部）〉
ゾーン制御部４００は、セントラル制御部３００とアクチュエータ１００との間の信号経路に設けられる。そして、ゾーン制御部４００は、セントラル制御部３００から複数の信号線６００を通じて供給された複数の第１制御信号と、セントラル制御部３００による複数の第１制御信号の各々の診断結果とに基づいて、第２制御信号を出力する。
第２制御信号は、アクチュエータ１００の制御のための信号である。具体的には、第２制御信号は、アクチュエータ１００の目標出力（例えば目標制御量）を示す信号である。なお、この例では、第２制御信号に示される目標出力は、複数の第１制御部の各々に示される目標出力と同種である。例えば、複数の第１制御部の各々に示される目標出力が目標操舵量である場合、第２制御信号に示される目標出力も目標操舵量である。
例えば、複数の第１制御信号の各々に異常がない場合、ゾーン制御部４００は、複数の第１制御信号の中から予め定められた第１制御信号を選択し、その選択された第１制御信号を第２制御信号として出力する。複数の第１制御信号のうち１つ以上の第１制御信号に異常がないが残りの第１制御信号に異常がある場合、ゾーン制御部４００は、異常なしの１つ以上の第１制御信号の中から予め定められた第１制御信号を選択し、その選択された第１制御信号を第２制御信号として出力する。複数の第１制御信号の各々に異常がある場合、ゾーン制御部４００は、予め定められた固定信号（固定値）を第２制御信号として出力する。
この例では、ゾーン制御部４００は、セントラル制御部３００から２つの信号線６００を通じて供給された２つの第１制御信号と、セントラル制御部３００による２つの第１制御信号の各々の診断結果とに基づいて、１つの第２制御信号を出力する。
図３に示すように、ゾーン制御部４００は、出力部５０を有する。この例では、ゾーン制御部４００は、出力部５０の他に、入出力制御部６１と、診断部６２と、出力部６３とを有する。
《出力部》
出力部５０は、複数の演算部３０の各々から供給される第１制御信号と、診断部４０による複数の演算部３０の各々の診断結果とに基づいて、第２制御信号を出力する。
例えば、複数の演算部３０の各々に異常がない場合、出力部５０は、複数の第１制御信号の中から予め定められた第１制御信号を選択し、その選択された第１制御信号を第２制御信号として出力する。複数の演算部３０のうち１つ以上の演算部３０に異常がないが残りの演算部３０に異常がある場合、出力部５０は、複数の演算部３０のうち異常なしの１つ以上の演算部３０から供給される第１制御信号の中から予め定められた第１制御信号を選択し、その選択された第１制御信号を第２制御信号として出力する。複数の演算部３０の各々に異常がある場合、出力部５０は、予め定められた固定信号（固定値）を第２制御信号として出力する。
なお、ゾーン制御部４００において、出力部５０の複数の入力端は、複数の信号線６００の他端とそれぞれ電気的に接続される。具体的には、この例では、ゾーン制御部４００は、出力部５０の２つの入力端にそれぞれ対応する２つのコネクタ４０ａを有する。出力部５０の２つの入力端は、２つの内部配線４０ｂにより２つのコネクタ４０ａとそれぞれ電気的に接続される。２つのコネクタ４０ａには、２つの信号線６００の他端がそれぞれ接続される。例えば、出力部５０は、予め定められた演算を行う演算コア（プロセッサ）により構成される。
この例では、セントラル制御部３００に設けられた２つの演算部３０（第１演算部３１と第２演算部３２）および診断部４０と、ゾーン制御部４００に設けられた出力部５０とにより、１ｏｏ２Ｄ（1 out of 2 channelwith Diagnostics）の安全アーキテクチャ７０が構成される。この安全アーキテクチャ７０は、フェールオペレーショナル（制御継続型）である。
《入出力制御部と診断部と出力部》
入出力制御部６１は、出力部５０から出力された第２制御信号に対して予め定められた入出力処理（例えばプロトコル変換など）を行う。そして、入出力制御部６１は、入出力処理が施された第２制御信号を出力部５０に供給する。診断部６２は、入出力制御部６１における異常の診断を行う。出力部６３は、診断部６２による入出力制御部６１の診断結果に基づいて、入出力制御部６１から供給された第２制御信号を出力する第１状態と、予め定められた出力信号（固定値）を出力する第２状態とに切り換えられる。具体的には、出力部６３は、入出力制御部６１に異常がない場合に第１状態に設定され、入出力制御部６１に異常がある場合に第２状態に設定される。例えば、入出力制御部６１と診断部６２と出力部６３の各々は、予め定められた演算を行う演算コア（プロセッサ）により構成される。
この例では、入出力制御部６１と診断部６２と出力部６３とにより、１ｏｏ１Ｄ（1 out of 1 channel with Diagnostics）の安全アーキテクチャ８０が構成される。この安全アーキテクチャ８０は、フェールセーフ（制御停止型）である。
〔比較例〕
図４は、車両制御システム１０の比較例の要部を例示する。以下では、車両制御システム１０の比較例を「車両制御システム９０」と記載する。なお、以下では、便宜上、車両制御システム９０の構成部品の説明に、車両制御システム１０の構成部品と同一の符号を用いている。
図４に示すように、車両制御システム９０では、複数の演算部３０と診断部４０と出力部５０とがセントラル制御部３００に設けられる。そして、セントラル制御部３００とゾーン制御部４００とが単一の信号線６００により接続される。具体的には、セントラル制御部３００では、出力部５０の出力端は、内部配線３０ｂによりコネクタ３０ａと電気的に接続される。コネクタ３０ａには、信号線６００の一端が接続される。ゾーン制御部４００では、入出力制御部６１の入力端は、内部配線４０ｂによりコネクタ４０ａと電気的に接続される。コネクタ４０ａには、信号線６００の他端が接続される。
図４に示した車両制御システム９０では、セントラル制御部３００とゾーン制御部４００との間の信号経路が１つしかないので、その信号経路において通信異常（例えば通信途絶）が発生すると、セントラル制御部３００における複数の制御系統（具体的には演算部３０から供給される第１制御信号）に異常がない場合であっても、アクチュエータ１００の制御を継続させることができなくなる。このように、車両制御システム９０では、フェールオペレーショナル機能を継続させることが困難である。
〔実施形態の効果〕
この実施形態による車両制御システム１０では、複数の第１制御信号をセントラル制御部３００（第１制御部）から複数の信号線６００を通じてゾーン制御部４００（第２制御部）に供給し、ゾーン制御部４００において複数の第１制御信号と複数の第１制御信号の診断結果（具体的には複数の演算部３０の診断結果）とに基づいて第２制御信号を出力する。これにより、複数の第１制御信号の１つ（具体的には複数の演算部３０の１つ）に異常が発生したとしても、残りの第１制御信号（異常なしの第１制御信号）をゾーン制御部４００に供給することができるので、アクチュエータ１００の制御を継続させることができる。このように、フェールオペレーショナル機能を実現することができる。
また、この実施形態による車両制御システム１０では、複数の信号線６００を通じて複数の第１制御信号をセントラル制御部３００からゾーン制御部４００に供給することにより、単一の信号線を通じて単一の第１制御信号をセントラル制御部３００からゾーン制御部４００に供給する場合よりも、セントラル制御部３００とゾーン制御部４００との間の通信異常（例えば通信途絶）に対する抗堪性を強化することができる。すなわち、セントラル制御部３００とゾーン制御部４００との間の通信異常によりアクチュエータ１００の制御を継続することができなくなるという事態を発生させにくくすることができる。これにより、フェールオペレーショナル機能の継続性を向上させることができる。
（実施形態の変形例）
図５に示すように、セントラル制御部３００は、３つの第１制御信号を出力するように構成されてもよい。図５の例では、車両制御システム１０には、セントラル制御部３００とゾーン制御部４００とを接続する３つの信号線６００が設けられる。
図５の例では、セントラル制御部３００は、３つの演算部３０（具体的には第１演算部３１と第２演算部３２と第３演算部３３）を有する。診断部４０は、３つの演算部３０にそれぞれ対応する３つの診断部（具体的には第１診断部４１と第２診断部４２と第３診断部４３）により構成される。
また、図５の例では、ゾーン制御部４００（具体的には出力部５０）は、セントラル制御部３００から３つの信号線６００を通じて供給された３つの第１制御信号と、セントラル制御部３００（具体的には診断部４０）による３つの第１制御信号（具体的には演算部３０）の各々の診断結果とに基づいて、１つの第２制御信号を出力する。
なお、図５の例では、セントラル制御部３００に設けられた３つの演算部３０（第１演算部３１と第２演算部３２と第３演算部３３）および診断部４０と、ゾーン制御部４００に設けられた出力部５０とにより、１ｏｏ３Ｄ（1 out of 3 channelwith Diagnostics）の安全アーキテクチャ７０が構成される。
また、セントラル制御部３００は、４つ以上の第１制御信号を出力するように構成されてもよい。この場合、セントラル制御部３００は、４つ以上の演算部３０を有し、診断部４０は、４つ以上の診断部により構成されてもよい。また、車両制御システム１０には、セントラル制御部３００とゾーン制御部４００とを接続する４つ以上の信号線６００が設けられ、ゾーン制御部４００（出力部５０）は、セントラル制御部３００から４つ以上の信号線６００を通じて供給された４つ以上の第１制御信号と、セントラル制御部３００による４つ以上の第１制御信号の各々の診断結果とに基づいて、１つの第２制御信号を出力する。
また、セントラル制御部３００がＭ個（Ｍは２以上の整数）の第１制御信号を出力するように構成される場合、ゾーン制御部４００（出力部５０）は、Ｍ個の第１制御信号の各々に異常がない場合にＮ個（ＮはＭよりも小さい整数）の第２制御信号を出力するように構成されてもよい。例えば、セントラル制御部３００に設けられたＭ個の演算部３０と診断部４０と、ゾーン制御部４００に設けられた出力部５０とにより、ＭｏｏＮＤ（M out of N channelwith Diagnostics）の安全アーキテクチャ７０が構成されてもよい。
（信号線の変形例１）
なお、セントラル制御部３００（第１制御部）とゾーン制御部４００（第２制御部）とを接続する複数の信号線６００のうち少なくとも２つの信号線６００は、互いに異なる種類の耐性を有することが好ましい。
以上のように、複数の信号線６００のうち少なくとも２つの信号線６００が互いに異なる種類の耐性を有することにより、複数の信号線６００がすべて同一の耐性を有する場合よりも、セントラル制御部３００とゾーン制御部４００との間の通信異常に対する抗堪性を強化することができる。これにより、フェールオペレーショナル機能の継続性を向上させることができる。
例えば、複数の信号線６００に、振動や衝撃などの機械的な外力に対する耐性（機械的耐性）を有する信号線６００が含まれているが、ノイズなどの電気的な外力に対する耐性（電気的耐性）を有する信号線６００が含まれていない場合、電気的な外力により複数の信号線６００の全てに通信異常が発生するおそれがある。一方、複数の信号線６００に、機械的耐性を有する信号線６００だけでなく、電気的耐性を有する信号線６００も含まれている場合、電気的な外力により複数の信号線６００の全てに通信異常が発生するという事態を発生させにくくすることができる。
（信号線の変形例２）
また、セントラル制御部３００（第１制御部）とゾーン制御部４００（第２制御部）とを接続する複数の信号線６００のうち少なくとも２つの信号線６００は、互いに種別が異なることが好ましい。この信号線６００の種別の例としては、信号線６００の径、信号線６００を構成する材料、信号線６００の構造などが挙げられる。
以上のように、複数の信号線６００のうち少なくとも２つの信号線６００の種別を互いに異ならすことにより、これらの２つの信号線６００に互いに異なる種類の耐性を持たせることができる。これにより、複数の信号線６００がすべて同一の耐性を有する場合よりも、セントラル制御部３００とゾーン制御部４００との間の通信異常に対する抗堪性を強化することができるので、フェールオペレーショナル機能の継続性を向上させることができる。
例えば、一方の信号線６００の径を他方の信号線６００の径よりも大きくすることにより、一方の信号線６００の機械的耐性を他方の信号線６００の機械的耐性よりも強くすることができる。また、一方の信号線６００を構成する材料の強度を他方の信号線６００を構成する材料の強度よりも高くすることにより、一方の信号線６００の機械的耐性を他方の信号線６００の機械的耐性よりも強くすることができる。また、一方の信号線６００の構造を多層の絶縁被膜を有する構造とし、他方の信号線６００の構造を単層の絶縁被膜を有する構造とすることにより、一方の信号線６００の電気的耐性を他方の信号線６００の電気的耐性よりも強くすることができる。
（信号線の変形例３）
また、セントラル制御部３００（第１制御部）とゾーン制御部４００（第２制御部）とを接続する複数の信号線６００のうち少なくとも２つの信号線６００は、互いに離間していることが好ましい。
以上のように、複数の信号線６００のうち少なくとも２つの信号線６００を互いに離間させることにより、外力（特に機械的な外力）により複数の信号線６００の全てに通信異常（特に断線による通信途絶）が発生するリスクを低減することができる。これにより、フェールオペレーショナル機能の継続性を向上させることができる。
例えば、１つの信号線６００がセントラル制御部３００から車両１１の右側を経由してゾーン制御部４００に到達する一方で、もう１つの信号線６００がセントラル制御部３００から車両１１の左側を経由してゾーン制御部４００に到達するようにしてもよい。
（出力部の変形例１）
なお、出力部５０（ゾーン制御部４００）は、複数の演算部３０（第１制御信号）の各々に異常がない場合に、複数の演算部３０の各々から供給される第１制御信号（すなわち複数の第１制御信号）のうち信頼度が最も高い第１制御信号を第２制御信号として出力するように構成されてもよい。例えば、ゾーン制御部４００は、複数の第１制御信号の各々の信頼度を示す信頼度情報（情報テーブル）を記憶する。具体的には、ゾーン制御部４００には、信頼度情報を記憶する記憶部（図示を省略）が設けられる。そして、出力部５０（ゾーン制御部４００）は、記憶部に記憶された信頼度情報を参照して、複数の第１制御信号の中から信頼度が最も高い第１制御信号を選出し、その選出された第１制御信号を第２制御信号として出力する。
以上のように、複数の演算部３０の各々から供給される第１制御信号のうち信頼度が最も高い第１制御信号を第２制御信号として出力することにより、アクチュエータ１００の制御の信頼性を良好な状態に維持することができる。
なお、出力部５０（ゾーン制御部４００）は、２つ以上の演算部３０（第１制御信号）に異常がない場合に、その２つ以上の演算部３０の各々から供給される第１制御信号（合計で２つ以上の第１制御信号）のうち信頼度が最も高い第１制御信号を第２制御信号として出力するように構成されてもよい。
また、出力部５０（ゾーン制御部４００）は、異常なしの２つ以上の第１制御信号の各々に示された目標出力にその第１制御信号の信頼度に応じた重みを付けて目標出力の重み付け平均を行うように構成されてもよい。なお、第１制御信号の信頼度が高くなるに連れて、その第１制御信号に付される重みが大きくなる。そして、出力部５０（ゾーン制御部４００）は、その重み付け平均の結果を第２制御信号として出力するように構成されてもよい。
（出力部の変形例２）
また、出力部５０（ゾーン制御部４００）は、複数の演算部３０（第１制御信号）の各々に異常がない場合に、複数の演算部３０の各々から供給される第１制御信号（すなわち複数の第１制御信号）のうち伝送速度が最も速い第１制御信号を第２制御信号として出力するように構成されてもよい。例えば、ゾーン制御部４００は、複数の第１制御信号の各々の伝送速度を示す伝送速度情報（情報テーブル）を記憶する。具体的には、ゾーン制御部４００には、伝送速度情報を記憶する記憶部（図示を省略）が設けられる。そして、出力部５０（ゾーン制御部４００）は、記憶部に記憶された伝送速度情報を参照して、複数の第１制御信号の中から伝送速度が最も速い第１制御信号を選出し、その選出された第１制御信号を第２制御信号として出力する。
以上のように、複数の演算部３０の各々から供給される第１制御信号のうち伝送速度が最も速い第１制御信号を第２制御信号として出力することにより、アクチュエータ１００の制御の応答性を良好な状態に維持することができる。
なお、出力部５０（ゾーン制御部４００）は、２つ以上の演算部３０（第１制御信号）に異常がない場合に、その２つ以上の演算部３０の各々から供給される第１制御信号（合計で２つ以上の第１制御信号）のうち伝送速度が最も速い第１制御信号を第２制御信号として出力するように構成されてもよい。
また、出力部５０（ゾーン制御部４００）は、異常なしの２つ以上の第１制御信号の各々に示された目標出力にその第１制御信号の伝送速度に応じた重みを付けて目標出力の重み付け平均を行うように構成されてもよい。なお、第１制御信号の伝送速度が速くなるに連れて、その第１制御信号に付される重みが大きくなる。そして、出力部５０（ゾーン制御部４００）は、その重み付け平均の結果を第２制御信号として出力するように構成されてもよい。
（出力部の変形例３）
また、出力部５０（ゾーン制御部４００）は、複数の演算部３０（第１制御信号）の各々に異常がない場合に、複数の演算部３０の各々から供給される第１制御信号（すなわち複数の第１制御信号）のうち車両１１のシーンに応じた第１制御信号を第２制御信号として出力するように構成されてもよい。例えば、ゾーン制御部４００は、車両１１のシーンの各々において選出されるべき第１制御信号を示すシーン情報（情報テーブル）を記憶する。具体的には、ゾーン制御部４００には、シーン情報を記憶する記憶部（図示を省略）が設けられる。そして、出力部５０（ゾーン制御部４００）は、記憶部に記憶されたシーン情報を参照して、複数の第１制御信号の中から車両１１のシーンに対応する第１制御信号を選出し、その選出された第１制御信号を第２制御信号として出力する。
なお、車両１１のシーンの具体例としては、車両１１が日中に走行するというシーン、車両１１が夜間に走行するというシーン、車両１１が低速で走行するというシーン、車両１１が高速で走行するというシーン、車両１１が前方の他車両に追従するというシーン、車両が車庫入れを行うというシーン、これらのシーンの組合せなどが挙げられる。これらのシーンは、センサ２００により検出された情報、センサ２００により検出された情報から認識される車両１１の外部環境などから推定可能である。
以上のように、複数の演算部３０の各々から供給される第１制御信号のうち車両１１のシーンに応じた第１制御信号を第２制御信号として出力することにより、車両１１のシーンに応じてアクチュエータ１００の制御を適切に行うことができる。
（その他の実施形態）
以上の説明では、セントラル制御部３００（具体的には診断部４０）が複数の第１制御信号（具体的には演算部３０）の各々の異常の有無を診断する場合を例に挙げたが、これに限定されない。例えば、セントラル制御部３００（診断部４０）は、複数の第１制御信号（演算部３０）の各々における信頼度（異常のレベルの一例）を診断するように構成されてもよい。この場合、ゾーン制御部４００（具体的には出力部５０）は、複数の第１制御信号（具体的には演算部３０）のうち診断部４０により診断された信頼度が予め定められた正常信頼度を下回る第１制御信号（演算部３０）を「異常ありの第１制御信号（演算部３０）」とし、診断部４０により診断された信頼度が正常信頼度を下回らない第１制御信号（演算部３０）を「異常なしの第１制御信号（演算部３０）」とするように構成されてもよい。
また、以上の実施形態を適宜組み合わせて実施してもよい。以上の実施形態は、本質的に好ましい例示であって、この発明、その適用物、あるいはその用途の範囲を制限することを意図するものではない。
以上説明したように、ここに開示する技術は、車両制御システムとして有用である。
１０ 車両制御システム
１１ 車両
１５ 演算装置
１００ アクチュエータ
２００ センサ
３００ セントラル制御部（第１制御部）
４００ ゾーン制御部（第２制御部）
３０ 演算部
３１ 第１演算部
３２ 第２演算部
３３ 第３演算部
４０ 診断部
４１ 第１診断部
４２ 第２診断部
４３ 第３診断部
５０ 出力部
６１ 入出力制御部
６２ 診断部
６３ 出力部
７０ 安全アーキテクチャ
８０ 安全アーキテクチャ

Claims (4)

  1. 車両に設けられるアクチュエータを制御する車両制御システムであって、
    複数の演算部と診断部とを有する第１制御部と、
    前記第１制御部と前記アクチュエータとの間の信号経路に設けられ、出力部を有する第２制御部とを備え、
    前記複数の演算部の各々は、前記アクチュエータの制御のための第１制御信号を前記出力部に供給し、
    前記診断部は、前記複数の演算部の各々における異常の診断を行い、
    前記出力部は、前記複数の演算部の各々から供給される第１制御信号と、前記診断部による前記複数の演算部の各々の診断結果とに基づいて、前記アクチュエータの制御のための第２制御信号を出力する
    ことを特徴とする車両制御システム。
  2. 請求項１において、
    前記出力部は、前記複数の演算部の各々に異常がない場合に、該複数の演算部の各々から供給される第１制御信号のうち信頼度が最も高い第１制御信号を前記第２制御信号として出力する
    ことを特徴とする車両制御システム。
  3. 請求項１において、
    前記出力部は、前記複数の演算部の各々に異常がない場合に、該複数の演算部の各々から供給される第１制御信号のうち伝送速度が最も速い第１制御信号を前記第２制御信号として出力する
    ことを特徴とする車両制御システム。
  4. 請求項１において、
    前記出力部は、前記複数の演算部の各々に異常がない場合に、該複数の演算部の各々から供給される第１制御信号のうち前記車両のシーンに応じた第１制御信号を前記第２制御信号として出力する
    ことを特徴とする車両制御システム。
JP2019140230A 2019-07-30 2019-07-30 車両制御システム Pending JP2021020648A (ja)

Priority Applications (5)

Application Number Priority Date Filing Date Title
JP2019140230A JP2021020648A (ja) 2019-07-30 2019-07-30 車両制御システム
US17/630,927 US20220281466A1 (en) 2019-07-30 2020-07-22 Vehicle control system
CN202080055556.4A CN114269619B (zh) 2019-07-30 2020-07-22 车辆控制系统
EP20846403.2A EP4005891B1 (en) 2019-07-30 2020-07-22 Vehicle control system
PCT/JP2020/028502 WO2021020293A1 (ja) 2019-07-30 2020-07-22 車両制御システム

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
JP2019140230A JP2021020648A (ja) 2019-07-30 2019-07-30 車両制御システム

Publications (1)

Publication Number Publication Date
JP2021020648A true JP2021020648A (ja) 2021-02-18

Family

ID=74230310

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2019140230A Pending JP2021020648A (ja) 2019-07-30 2019-07-30 車両制御システム

Country Status (5)

Country Link
US (1) US20220281466A1 (ja)
EP (1) EP4005891B1 (ja)
JP (1) JP2021020648A (ja)
CN (1) CN114269619B (ja)
WO (1) WO2021020293A1 (ja)

Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20130060526A1 (en) * 2010-03-30 2013-03-07 Eads Deutschland Gmbh Computer System and Method for Comparing Output Signals
US20140229064A1 (en) * 2013-02-12 2014-08-14 Paravan Gmbh Circuit for controlling an acceleration, braking and steering system of a vehicle
US20140351658A1 (en) * 2013-05-22 2014-11-27 GM Global Technology Operations LLC Redundant computing architecture
JP2016133962A (ja) * 2015-01-19 2016-07-25 株式会社デンソー センサ装置及びセンサシステム
JP2017196965A (ja) * 2016-04-26 2017-11-02 三菱電機株式会社 自動運転制御装置および自動運転制御方法
WO2018221136A1 (ja) * 2017-05-29 2018-12-06 三菱電機株式会社 異常判定装置、異常判定方法及び異常判定プログラム

Family Cites Families (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP4848027B2 (ja) 2004-01-30 2011-12-28 日立オートモティブシステムズ株式会社 車両制御装置
US7173344B2 (en) * 2004-04-19 2007-02-06 Tai-Her Yang Series & parallel combined dual power drive system
CA2630199A1 (en) * 2008-05-01 2009-11-01 Multimatic Inc. Vehicle auxiliary hydraulic system
DE102017210955A1 (de) * 2017-06-28 2019-01-17 Volkswagen Aktiengesellschaft Verfahren, vorrichtung und computerlesbares speichermedium mit instruktionen zum auflösen einer redundanz von zwei oder mehr redundanten modulen

Patent Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20130060526A1 (en) * 2010-03-30 2013-03-07 Eads Deutschland Gmbh Computer System and Method for Comparing Output Signals
US20140229064A1 (en) * 2013-02-12 2014-08-14 Paravan Gmbh Circuit for controlling an acceleration, braking and steering system of a vehicle
US20140351658A1 (en) * 2013-05-22 2014-11-27 GM Global Technology Operations LLC Redundant computing architecture
JP2016133962A (ja) * 2015-01-19 2016-07-25 株式会社デンソー センサ装置及びセンサシステム
JP2017196965A (ja) * 2016-04-26 2017-11-02 三菱電機株式会社 自動運転制御装置および自動運転制御方法
WO2018221136A1 (ja) * 2017-05-29 2018-12-06 三菱電機株式会社 異常判定装置、異常判定方法及び異常判定プログラム

Also Published As

Publication number Publication date
CN114269619B (zh) 2023-12-08
EP4005891A1 (en) 2022-06-01
CN114269619A (zh) 2022-04-01
EP4005891B1 (en) 2023-10-11
US20220281466A1 (en) 2022-09-08
EP4005891A4 (en) 2022-08-24
WO2021020293A1 (ja) 2021-02-04

Similar Documents

Publication Publication Date Title
CN118062035A (zh) 用于自主车辆的冗余硬件系统
WO2021020230A1 (ja) 車両制御システム
CN114174123B (zh) 车辆控制系统
WO2021020286A1 (ja) 車両制御システム
WO2021020294A1 (ja) 車両制御システム
WO2021039626A1 (ja) 車載ネットワークシステム
WO2021020293A1 (ja) 車両制御システム
WO2021020172A1 (ja) 車両制御システム
JP6918080B2 (ja) 車載ネットワークシステム
WO2021039643A1 (ja) 中央演算装置
CN113711543B (zh) 车载网络系统

Legal Events

Date Code Title Description
A621 Written request for application examination

Free format text: JAPANESE INTERMEDIATE CODE: A621

Effective date: 20220517

A131 Notification of reasons for refusal

Free format text: JAPANESE INTERMEDIATE CODE: A131

Effective date: 20230322

A521 Request for written amendment filed

Free format text: JAPANESE INTERMEDIATE CODE: A523

Effective date: 20230522

A02 Decision of refusal

Free format text: JAPANESE INTERMEDIATE CODE: A02

Effective date: 20230926