JP2021120250A - 車両制御装置、車両制御方法およびプログラム - Google Patents

Abstract

【課題】代替制御の実行状況に基づいて、自己遮断の解除を判定可能とする車両制御装置を提供する。【解決手段】デバイスの制御により車両の走行制御を行う第１の走行制御手段は、第２の走行制御手段に代替制御を指示する指示手段と、前記指示手段により前記代替制御が指示された場合、前記デバイスの制御を停止する停止手段と、前記第２の走行制御手段から前記代替制御の実行状況に関する情報を受信する受信手段と、前記受信手段により受信した前記代替制御の実行状況に関する情報に基づいて、前記停止手段による前記デバイスの制御の停止を解除するか否かを判定する判定手段とを備える。【選択図】図８

Description

本発明は、車両の走行を制御する車両制御装置、車両制御方法およびプログラムに関する。

車両の自動運転を実現するための様々な技術が提案されている。特許文献１には、車両の機能低下を検出した場合に、車両の第１走行制御を行う第１走行制御手段と車両の第２走行制御を行う第２走行制御手段との少なくとも一方が代替制御を行う制御システムが記載されている。

国際公開第２０１９／１１６８７０号

第１走行制御手段が第２走行制御手段に対して代替制御を指示すると、第２走行制御手段に対してデバイスの制御権を引き渡すために、第１走行制御手段によるデバイスの制御を停止する、いわゆる自己遮断が実行される。その後、代替制御が終了した場合には、実行された自己遮断が解除される必要がある。特許文献１では、第１走行制御手段が代替制御の実行状況を把握することができず、自己遮断の解除の可否を判定することができない。

本発明は、代替制御の実行状況に基づいて、自己遮断の解除を判定可能とする車両制御装置、車両制御方法およびプログラムを提供することを目的とする。

本発明に係る車両制御装置は、デバイスの制御により車両の走行制御を行う第１の走行制御手段および第２の走行制御手段を備える車両制御装置であって、前記第１の走行制御手段は、前記第２の走行制御手段に代替制御を指示する指示手段と、前記指示手段により前記代替制御が指示された場合、前記デバイスの制御を停止する停止手段と、前記第２の走行制御手段から前記代替制御の実行状況に関する情報を受信する受信手段と、前記受信手段により受信した前記代替制御の実行状況に関する情報に基づいて、前記停止手段による前記デバイスの制御の停止を解除するか否かを判定する判定手段と、を備えることを特徴とする。

本発明に係る車両制御方法は、デバイスの制御により車両の走行制御を行う第１の走行制御手段および第２の走行制御手段を備える車両制御装置において実行される車両制御方法であって、前記第１の走行制御手段が、前記第２の走行制御手段に代替制御を指示する指示工程と、前記第１の走行制御手段が、前記指示工程において前記代替制御が指示された場合、前記デバイスの制御を停止する停止工程と、前記第１の走行制御手段が、前記第２の走行制御手段から前記代替制御の実行状況に関する情報を受信する受信工程と、前記第１の走行制御手段が、前記受信工程において受信した前記代替制御の実行状況に関する情報に基づいて、前記停止工程における前記デバイスの制御の停止を解除するか否かを判定する判定工程と、を有することを特徴とする。

本発明に係るプログラムは、デバイスの制御により車両の走行制御を行う第１の走行制御手段および第２の走行制御手段を備える車両制御装置を、前記第１の走行制御手段が、前記第２の走行制御手段に代替制御を指示する指示工程、前記第１の走行制御手段が、前記指示工程において前記代替制御が指示された場合、前記デバイスの制御を停止する停止工程、前記第１の走行制御手段が、前記第２の走行制御手段から前記代替制御の実行状況に関する情報を受信する受信工程、前記第１の走行制御手段が、前記受信工程において受信した前記代替制御の実行状況に関する情報に基づいて、前記停止工程における前記デバイスの制御の停止を解除するか否かを判定する判定工程、を実行させる。

本発明によれば、代替制御の実行状況に基づいて、自己遮断の解除を判定することができる。

車両制御装置のブロック図である。 車両制御装置のブロック図である。 車両制御装置のブロック図である。 車両制御装置のブロック図である。 代替制御の実行状態の遷移を説明するための図である。 状態判定と解除許可判定に係る構成を示すブロック図である。 解除許可判定が行われるタイミングを説明するための図である。 解除許可判定の処理を示すフローチャートである。 状態判定の処理を示すフローチャートである。 ＥＤＲ用データの遷移を説明するための図である。 ＥＤＲ用データ生成の処理を示すフローチャートである。

以下、添付図面を参照して実施形態を詳しく説明する。尚、以下の実施形態は特許請求の範囲に係る発明を限定するものではなく、また実施形態で説明されている特徴の組み合わせの全てが発明に必須のものとは限らない。実施形態で説明されている複数の特徴のうち二つ以上の特徴が任意に組み合わされてもよい。また、同一若しくは同様の構成には同一の参照番号を付し、重複した説明は省略する。

図１〜図４は、本発明の一実施形態に係る車両制御装置１（制御システム）のブロック図である。車両制御装置１は、車両Ｖを制御する。図１および図２において、車両Ｖはその概略が平面図と側面図とで示されている。車両Ｖは一例としてセダンタイプの四輪の乗用車である。車両制御装置１は、第１制御部１Ａと第２制御部１Ｂとを含む。図１は第１制御部１Ａの構成を示すブロック図であり、図２は第２制御部１Ｂの構成を示すブロック図である。図３は主に、第１制御部１Ａと第２制御部１Ｂとの間の通信回線及び電源の構成を示している。

第１制御部１Ａと第２制御部１Ｂとは車両Ｖが実現する一部の機能を多重化又は冗長化したものである。これによりシステムの信頼性を向上させることができる。第１制御部１Ａは、例えば、自動運転制御や、手動運転における通常の動作制御の他、危険回避等に関わる走行支援制御も行う。第２制御部１Ｂは、主に危険回避等に関わる走行支援制御を司る。走行支援のことを運転支援と呼ぶ場合がある。第１制御部１Ａと第２制御部１Ｂとで機能を冗長化しつつ、異なる制御処理を行わせることで、制御処理の分散化を図りつつ、信頼性を向上させることができる。

本実施形態の車両Ｖはパラレル方式のハイブリッド車両であり、図２には、車両Ｖの駆動輪を回転させる駆動力を出力するパワープラント５０の構成が模式的に図示されている。パワープラント５０は、内燃機関ＥＧ、モータＭおよび自動変速機ＴＭを有している。モータＭは、車両Ｖを加速させる駆動源として利用可能であると共に、減速時等において発電機としても利用可能である（回生制動）。

＜第１制御部１Ａ＞
図１を参照して第１制御部１Ａの構成について説明する。第１制御部１Ａは、ＥＣＵ群（制御ユニット群）２Ａを含む。ＥＣＵ群２Ａは、複数のＥＣＵ２０Ａ〜２９Ａを含む。各ＥＣＵは、ＣＰＵに代表されるプロセッサ、半導体メモリ等の記憶デバイス、外部デバイスとのインタフェース等を含む。記憶デバイスには、プロセッサが実行するプログラムやプロセッサが処理に使用するデータ等が格納される。各ＥＣＵは、プロセッサ、記憶デバイスおよびインタフェース等を複数備えていてもよい。なお、ＥＣＵの数や、担当する機能については適宜設計可能であり、本実施形態よりも細分化したり、あるいは、統合したりすることが可能である。なお、図１および図３においては、ＥＣＵ２０Ａ〜２９Ａの代表的な機能の名称を付している。例えば、ＥＣＵ２０Ａには「自動運転ＥＣＵ」と記載している。

ＥＣＵ２０Ａは、車両Ｖの走行制御として自動運転に関わる制御を実行する。自動運転においては、車両Ｖの駆動（パワープラント５０による車両Ｖの加速等）、操舵または制動の少なくとも１つを、運転者の運転操作に依らず自動的に行う。本実施形態では、駆動、操舵および制動を自動的に行う。

ＥＣＵ２１Ａは、車両Ｖの周囲状況を検知する検知ユニット３１Ａ、３２Ａの検知結果に基づいて、車両Ｖの走行環境を認識する環境認識ユニットである。ＥＣＵ２１Ａは周辺環境情報として後述する物標データを生成する。

本実施形態の場合、検知ユニット３１Ａは、撮像により車両Ｖの周囲の物体を検知する撮像デバイス（以下、カメラ３１Ａと表記する場合がある）である。カメラ３１Ａは、車両Ｖの前方を撮影可能なように車両Ｖのルーフ前部に設けられている。カメラ３１Ａが撮影した画像の解析により、物標の輪郭抽出や、道路上の車線の区画線（白線等）を抽出可能である。

本実施形態の場合、検知ユニット３２Ａは、光により車両Ｖの周囲の物体を検知するライダ（ＬＩＤＡＲ；Light Detection and Ranging）であり（以下、ライダ３２Ａと表記する場合がある）、車両Ｖの周囲の物標を検知したり、物標との距離を測距したりする。本実施形態の場合、ライダ３２Ａは５つ設けられており、車両Ｖの前部の各隅部に１つずつ、後部中央に１つ、後部各側方に１つずつ設けられている。ライダ３２Ａの数や配置は適宜選択可能である。

ＥＣＵ２９Ａは、検知ユニット３１Ａの検知結果に基づいて、車両Ｖの走行制御として走行支援（換言すると運転支援）に関わる制御を実行する走行支援ユニットである。

ＥＣＵ２２Ａは、電動パワーステアリング装置４１Ａを制御する操舵制御ユニットである。電動パワーステアリング装置４１Ａは、ステアリングホイールＳＴに対する運転者の運転操作（操舵操作）に応じて前輪を操舵する機構を含む。電動パワーステアリング装置４１Ａは、操舵操作をアシストしたり、あるいは、前輪を自動操舵するための駆動力を発揮したりするモータや、モータの回転量を検知するセンサや、運転者が負担する操舵トルクを検知するトルクセンサ等を含む。

ＥＣＵ２３Ａは、油圧装置４２Ａを制御する制動制御ユニットである。油圧装置４２Ａは、例えばＥＳＢ（電動サーボブレーキ）を実現する。ブレーキペダルＢＰに対する運転者の制動操作は、ブレーキマスタシリンダＢＭにおいて液圧に変換されて油圧装置４２Ａに伝達される。油圧装置４２Ａは、ブレーキマスタシリンダＢＭから伝達された液圧に基づいて、四輪にそれぞれ設けられたブレーキ装置（例えばディスクブレーキ装置）５１に供給する作動油の液圧を制御可能なアクチュエータであり、ＥＣＵ２３Ａは、油圧装置４２Ａが備える電磁弁等の駆動制御を行う。本実施形態の場合、ＥＣＵ２３Ａおよび油圧装置４２Ａは電動サーボブレーキを構成し、ＥＣＵ２３Ａは、例えば、４つのブレーキ装置５１による制動力と、モータＭの回生制動による制動力との配分を制御する。

ＥＣＵ２４Ａは、自動変速機ＴＭに設けられている電動パーキングロック装置５０ａを制御する停止維持制御ユニットである。電動パーキングロック装置５０ａは、主としてＰレンジ（パーキングレンジ）選択時に自動変速機ＴＭの内部機構をロックする機構を備える。ＥＣＵ２４Ａは、電動パーキングロック装置５０ａによるロックおよびロック解除を制御可能である。

ＥＣＵ２５Ａは、車内に情報を報知する情報出力装置４３Ａを制御する車内報知制御ユニットである。情報出力装置４３Ａは、例えばヘッドアップディスプレイ等の表示装置や音声出力装置を含む。更に、振動装置を含んでもよい。ＥＣＵ２５Ａは、例えば、車速や外気温等の各種情報や、経路案内等の情報を情報出力装置４３Ａに出力させる。

ＥＣＵ２６Ａは、車外に情報を報知する情報出力装置４４Ａを制御する車外報知制御ユニットである。本実施形態の場合、情報出力装置４４Ａは方向指示器（ハザードランプ）であり、ＥＣＵ２６Ａは、方向指示器として情報出力装置４４Ａの点滅制御を行うことで車外に対して車両Ｖの進行方向を報知し、また、ハザードランプとして情報出力装置４４Ａの点滅制御を行うことで車外に対して車両Ｖへの注意力を高めることができる。

ＥＣＵ２７Ａは、パワープラント５０を制御する駆動制御ユニットである。本実施形態では、パワープラント５０にＥＣＵ２７Ａを１つ割り当てているが、内燃機関ＥＧ、モータＭおよび自動変速機ＴＭのそれぞれにＥＣＵを１つずつ割り当ててもよい。ＥＣＵ２７Ａは、例えば、アクセルペダルＡＰに設けた操作検知センサ３４ａやブレーキペダルＢＰに設けた操作検知センサ３４ｂにより検知した運転者の運転操作や車速等に対応して、内燃機関ＥＧやモータＭの出力を制御したり、自動変速機ＴＭの変速段を切り替えたりする。なお、自動変速機ＴＭには、車両Ｖの走行状態を検知するセンサとして、自動変速機ＴＭの出力軸の回転数を検知する回転数センサ３９が設けられている。車両Ｖの車速は回転数センサ３９の検知結果から演算可能である。

ＥＣＵ２８Ａは、車両Ｖの現在位置や進路を認識する位置認識ユニットである。ＥＣＵ２８Ａは、ジャイロセンサ３３Ａ、ＧＰＳセンサ２８ｂ、通信装置２８ｃの制御および検知結果あるいは通信結果の情報処理を行う。ジャイロセンサ３３Ａは、車両Ｖの回転運動を検知する。ジャイロセンサ３３Ａの検知結果等により車両Ｖの進路を判定することができる。ＧＰＳセンサ２８ｂは、車両Ｖの現在位置を検知する。通信装置２８ｃは、地図情報や交通情報を提供するサーバと無線通信を行い、これらの情報を取得する。データベース２８ａには、高精度の地図情報を格納することができ、ＥＣＵ２８Ａは、この地図情報等に基づいて、車線上の車両Ｖの位置をより高精度に特定可能である。

入力装置４５Ａは、運転者が操作可能に車内に配置され、運転者からの指示や情報の入力を受け付ける。

＜第２制御部１Ｂ＞
図２を参照して第２制御部１Ｂの構成について説明する。第２制御部１Ｂは、ＥＣＵ群（制御ユニット群）２Ｂを含む。ＥＣＵ群２Ｂは、複数のＥＣＵ２１Ｂ〜２５Ｂを含む。各ＥＣＵは、ＣＰＵに代表されるプロセッサ、半導体メモリ等の記憶デバイス、外部デバイスとのインタフェース等を含む。記憶デバイスには、プロセッサが実行するプログラムやプロセッサが処理に使用するデータ等が格納される。各ＥＣＵは、プロセッサ、記憶デバイスおよびインタフェース等を複数備えていてもよい。なお、ＥＣＵの数や、担当する機能については適宜設計可能であり、本実施形態よりも細分化したり、あるいは、統合したりすることが可能である。なお、ＥＣＵ群２Ａと同様、図２および図３においてはＥＣＵ２１Ｂ〜２５Ｂの代表的な機能の名称を付している。

ＥＣＵ２１Ｂは、車両Ｖの周囲状況を検知する検知ユニット３１Ｂ、３２Ｂの検知結果に基づいて、車両Ｖの走行環境を認識する環境認識ユニットであると共に、車両Ｖの走行制御として走行支援（換言すると運転支援）に関わる制御を実行する走行支援ユニットである。ＥＣＵ２１Ｂは、周辺環境情報として後述する物標データを生成する。

なお、本実施形態では、ＥＣＵ２１Ｂが環境認識機能と走行支援機能とを有する構成としたが、第１制御部１ＡのＥＣＵ２１ＡおよびＥＣＵ２９Ａのように、機能毎にＥＣＵを設けてもよい。逆に、第１制御部１Ａにおいて、ＥＣＵ２１Ｂのように、ＥＣＵ２１ＡおよびＥＣＵ２９Ａの機能を１つのＥＣＵで実現する構成であってもよい。

本実施形態の場合、検知ユニット３１Ｂは、撮像により車両Ｖの周囲の物体を検知する撮像デバイス（以下、カメラ３１Ｂと表記する場合がある）である。カメラ３１Ｂは、車両Ｖの前方を撮影可能なように車両Ｖのルーフ前部に設けられている。カメラ３１Ｂが撮影した画像の解析により、物標の輪郭抽出や、道路上の車線の区画線（白線等）を抽出可能である。本実施形態の場合、検知ユニット３２Ｂは、電波により車両Ｖの周囲の物体を検知するミリ波レーダであり（以下、レーダ３２Ｂと表記する場合がある）、車両Ｖの周囲の物標を検知したり、物標との距離を測距したりする。本実施形態の場合、レーダ３２Ｂは５つ設けられており、車両Ｖの前部中央に１つ、前部各隅部に１つずつ、後部各隅部に１つずつ設けられている。レーダ３２Ｂの数や配置は適宜選択可能である。

ＥＣＵ２２Ｂは、電動パワーステアリング装置４１Ｂを制御する操舵制御ユニットである。電動パワーステアリング装置４１Ｂは、ステアリングホイールＳＴに対する運転者の運転操作（操舵操作）に応じて前輪を操舵する機構を含む。電動パワーステアリング装置４１Ｂは、操舵操作をアシストしたり、あるいは、前輪を自動操舵するための駆動力を発揮したりするモータや、モータの回転量を検知するセンサや、運転者が負担する操舵トルクを検知するトルクセンサ等を含む。また、ＥＣＵ２２Ｂには、後述する通信回線Ｌ２を介して操舵角センサ３７が電気的に接続されており、操舵角センサ３７の検知結果に基づいて電動パワーステアリング装置４１Ｂを制御可能である。ＥＣＵ２２Ｂは、運転者がステアリングホイールＳＴを把持しているか否かを検知するセンサ３６の検知結果を取得可能であり、運転者の把持状態を監視することができる。

ＥＣＵ２３Ｂは、油圧装置４２Ｂを制御する制動制御ユニットである。油圧装置４２Ｂは、例えばＶＳＡ（Vehicle Stability Assist）を実現する。ブレーキペダルＢＰに対する運転者の制動操作は、ブレーキマスタシリンダＢＭにおいて液圧に変換されて油圧装置４２Ｂに伝達される。油圧装置４２Ｂは、ブレーキマスタシリンダＢＭから伝達された液圧に基づいて、各車輪のブレーキ装置５１に供給する作動油の液圧を制御可能なアクチュエータであり、ＥＣＵ２３Ｂは油圧装置４２Ｂが備える電磁弁等の駆動制御を行う。

本実施形態の場合、ＥＣＵ２３Ｂおよび油圧装置４２Ｂには、四輪それぞれに設けられた車輪速センサ３８、ヨーレートセンサ３３Ｂ、ブレーキマスタシリンダＢＭ内の圧力を検知する圧力センサ３５が電気的に接続され、これらの検知結果に基づき、ＡＢＳ機能、トラクションコントロールおよび車両Ｖの姿勢制御機能を実現する。例えば、ＥＣＵ２３Ｂは、四輪それぞれに設けられた車輪速センサ３８の検知結果に基づき各車輪の制動力を調整し、各車輪の滑走を抑制する。また、ヨーレートセンサ３３Ｂが検知した車両Ｖの鉛直軸回りの回転角速度に基づき各車輪の制動力を調整し、車両Ｖの急激な姿勢変化を抑制する。

また、ＥＣＵ２３Ｂは、車外に情報を報知する情報出力装置４３Ｂを制御する車外報知制御ユニットとしても機能する。本実施形態の場合、情報出力装置４３Ｂはブレーキランプであり、制動時等にＥＣＵ２３Ｂはブレーキランプを点灯可能である。これにより後続車に対して車両Ｖへの注意力を高めることができる。

ＥＣＵ２４Ｂは、後輪に設けられている電動パーキングブレーキ装置（例えばドラムブレーキ）５２を制御する停止維持制御ユニットである。電動パーキングブレーキ装置５２は、後輪をロックする機構を備える。ＥＣＵ２４Ｂは、電動パーキングブレーキ装置５２による後輪のロックおよびロック解除を制御可能である。

ＥＣＵ２５Ｂは、車内に情報を報知する情報出力装置４４Ｂを制御する車内報知制御ユニットである。本実施形態の場合、情報出力装置４４Ｂは、インストルメントパネルに配置される表示装置を含む。ＥＣＵ２５Ｂは、情報出力装置４４Ｂに車速、燃費等の各種の情報を出力させることが可能である。

入力装置４５Ｂは、運転者が操作可能に車内に配置され、運転者からの指示や情報の入力を受け付ける。

＜通信回線＞
ＥＣＵ間を通信可能に接続する、車両制御装置１の通信回線の例について図３を参照して説明する。車両制御装置１は、有線の通信回線Ｌ１〜Ｌ７を含む。通信回線Ｌ１には、第１制御部１Ａの各ＥＣＵ２０Ａ〜２７Ａ、２９Ａが接続されている。なお、ＥＣＵ２８Ａも通信回線Ｌ１に接続されてもよい。

通信回線Ｌ２には、第２制御部１Ｂの各ＥＣＵ２１Ｂ〜２５Ｂが接続されている。また、第１制御部１ＡのＥＣＵ２０Ａも通信回線Ｌ２に接続されている。通信回線Ｌ３は、ＥＣＵ２０ＡとＥＣＵ２１Ｂを接続し、通信回線Ｌ４は、ＥＣＵ２０ＡとＥＣＵ２１Ａを接続する。通信回線Ｌ５は、ＥＣＵ２０Ａ、ＥＣＵ２１ＡおよびＥＣＵ２８Ａを接続する。通信回線Ｌ６は、ＥＣＵ２９ＡとＥＣＵ２１Ａとを接続する。通信回線Ｌ７は、ＥＣＵ２９ＡとＥＣＵ２０Ａとを接続する。

通信回線Ｌ１〜Ｌ７のプロトコルは同じであっても異なっていてもよいが、通信速度、通信量や耐久性等、通信環境に応じて異ならせてもよい。例えば、通信回線Ｌ３およびＬ４は、通信速度の点でイーサネット（登録商標）であってもよい。例えば、通信回線Ｌ１、Ｌ２、Ｌ５〜Ｌ７はＣＡＮであってもよい。

第１制御部１Ａは、ゲートウェイＧＷを備えている。ゲートウェイＧＷは、通信回線Ｌ１と通信回線Ｌ２を中継する。このため、例えば、ＥＣＵ２１Ｂは、通信回線Ｌ２、ゲートウェイＧＷおよび通信回線Ｌ１を介してＥＣＵ２７Ａに制御指令を出力可能である。

＜電源＞
車両制御装置１の電源について図３を参照して説明する。車両制御装置１は、大容量バッテリ６と、電源７Ａと、電源７Ｂとを含む。大容量バッテリ６は、モータＭの駆動用バッテリであると共に、モータＭにより充電されるバッテリである。

電源７Ａは、第１制御部１Ａに電力を供給する電源であり、電源回路７１Ａとバッテリ７２Ａとを含む。電源回路７１Ａは、大容量バッテリ６の電力を第１制御部１Ａに供給する回路であり、例えば、大容量バッテリ６の出力電圧（例えば１９０Ｖ）を基準電圧（例えば１２Ｖ）に降圧する。バッテリ７２Ａは、例えば１２Ｖの鉛バッテリである。バッテリ７２Ａを設けたことにより、大容量バッテリ６や電源回路７１Ａの電力供給が遮断あるいは低下した場合であっても、第１制御部１Ａに電力の供給を行うことができる。

電源７Ｂは、第２制御部１Ｂに電力を供給する電源であり、電源回路７１Ｂとバッテリ７２Ｂとを含む。電源回路７１Ｂは、電源回路７１Ａと同様の回路であり、大容量バッテリ６の電力を第２制御部１Ｂに供給する回路である。バッテリ７２Ｂは、バッテリ７２Ａと同様のバッテリであり、例えば１２Ｖの鉛バッテリである。バッテリ７２Ｂを設けたことにより、大容量バッテリ６や電源回路７１Ｂの電力供給が遮断あるいは低下した場合であっても、第２制御部１Ｂに電力の供給を行うことができる。

＜全体構成＞
図４を参照して車両Ｖの全体構成を別の観点から説明する。車両Ｖは、第１制御部１Ａ、第２制御部１Ｂ、外界認識装置群８２及びアクチュエータ群８３を含む。図４では、第１制御部１Ａに含まれるＥＣＵとして、ＥＣＵ２０Ａ、ＥＣＵ２１Ａ、ＥＣＵ２２Ａ、ＥＣＵ２３ＡおよびＥＣＵ２７Ａが例示されており、第２制御部１Ｂに含まれるＥＣＵとして、ＥＣＵ２１Ｂ、ＥＣＵ２２ＢおよびＥＣＵ２３Ｂが例示されている。

外界認識装置群８２は、車両Ｖに搭載された外界認識装置（センサ）の集合であり、車両Ｖの走行制御の対象となるデバイス群である。外界認識装置群８２は、一例として、上述のカメラ３１Ａ、カメラ３１Ｂ、ライダ３２Ａおよびレーダ３２Ｂを含む。本実施形態の場合、カメラ３１Ａおよびライダ３２Ａは、第１制御部１ＡのＥＣＵ２１Ａに接続されており、ＥＣＵ２１Ａからの指示に従って動作する（即ち、第１制御部１Ａによって制御される）。ＥＣＵ２１Ａは、カメラ３１Ａおよびライダ３２Ａで得られた外界情報を取得すると共に、当該外界情報を第１制御部１ＡのＥＣＵ２０Ａに供給する。また、カメラ３１Ｂおよびレーダ３２Ｂは、第２制御部１ＢのＥＣＵ２１Ｂに接続されており、ＥＣＵ２１Ｂからの指示に従って動作する（即ち、第２制御部１Ｂによって制御される）。ＥＣＵ２１Ｂは、カメラ３１Ｂおよびレーダ３２Ｂで得られた外界情報を取得すると共に、当該外界情報を第１制御部１ＡのＥＣＵ２０Ａに供給する。これにより、第１制御部１Ａ（ＥＣＵ２０Ａ）は、カメラ３１Ａ、カメラ３１Ｂ、ライダ３２Ａおよびレーダ３２Ｂのそれぞれから得られた外界情報を用いて自動運転の制御を実行することができる。

アクチュエータ群８３は、車両Ｖに搭載されたアクチュエータの集合であり、車両Ｖの走行制御の対象となるデバイス群である。アクチュエータ群８３は、一例として、上述の電動パワーステアリング装置４１Ａ、電動パワーステアリング装置４１Ｂ、油圧装置４２Ａ、油圧装置４２Ｂおよびパワープラント５０を含む。電動パワーステアリング装置４１Ａおよび電動パワーステアリング装置４１Ｂはそれぞれ、車両Ｖの操舵を行うための操舵アクチュエータである。油圧装置４２Ａおよび油圧装置４２Ｂはそれぞれ、車両Ｖの制動を行うための制動アクチュエータである。また、パワープラント５０は、車両Ｖの駆動を行うための駆動アクチュエータである。

本実施形態の場合、電動パワーステアリング装置４１Ａ、油圧装置４２Ａおよびパワープラント５０は、ＥＣＵ２２Ａ、ＥＣＵ２３ＡおよびＥＣＵ２７Ａをそれぞれ介してＥＣＵ２０Ａに接続されており、ＥＣＵ２０Ａからの指示に従って動作する（即ち、第１制御部１Ａによって制御される）。また、電動パワーステアリング装置４１Ｂおよび油圧装置４２Ｂは、ＥＣＵ２２ＢおよびＥＣＵ２３Ｂをそれぞれ介してＥＣＵ２１Ｂに接続されており、ＥＣＵ２１Ｂからの指示に従って動作する（即ち、第２制御部１Ｂによって制御される）。

第１制御部１Ａ（ＥＣＵ２０Ａ）は、通信路を通じて外界認識装置群８２の一部（カメラ３１Ａ、ライダ３２Ａ）と通信し、別の通信路を通じてアクチュエータ群８３の一部（電動パワーステアリング装置４１Ａ、油圧装置４２Ａ、パワープラント５０）と通信する。また、第２制御部１Ｂ（ＥＣＵ２１Ｂ）は、通信路を通じて外界認識装置群８２の一部（カメラ３１Ｂ、レーダ３２Ｂ）と通信し、別の通信路を通じてアクチュエータ群８３の一部（電動パワーステアリング装置４１Ｂ、油圧装置４２Ｂ）と通信する。ＥＣＵ２０Ａに接続されている通信路とＥＣＵ２１Ｂに接続されている通信路とは互いに異なっていてもよい。これらの通信路は、例えばＣＡＮ（コントローラエリアネットワーク）であってもよいし、イーサネット（登録商標）であってもよい。また、ＥＣＵ２０ＡとＥＣＵ２１Ｂとは、通信路を通じて互いに接続されている。この通信路は、例えばＣＡＮ（コントローラエリアネットワーク）であってもよいし、イーサネット（登録商標）であってもよい。また、ＣＡＮとイーサネット（登録商標）との両方で接続されていてもよい。

第１制御部１Ａ（ＥＣＵ２０Ａ）は、ＣＰＵなどのプロセッサとＲＡＭなどのメモリとによって構成され、車両Ｖの走行制御（例えば自動運転制御）を実行可能に構成される。例えば、ＥＣＵ２０Ａは、外界認識装置群８２で得られた外界情報として、カメラ３１Ａおよびライダ３２Ａで得られた外界情報をＥＣＵ２１Ａを介して取得し、カメラ３１Ｂおよびレーダ３２Ｂで得られた外界情報をＥＣＵ２１Ｂを介して取得する。そして、ＥＣＵ２０Ａは、取得した外界情報に基づいて、自動運転中に車両Ｖがとるべき経路および速度を生成し、この経路および速度を実現するための車両Ｖの目標制御量（駆動量、制動量、操舵量）を決定する。ＥＣＵ２０Ａは、決定した車両Ｖの目標制御量に基づいて各アクチュエータの操作量（電圧または電流などの指令値（信号値））を生成し、当該操作量でアクチュエータ群８３（電動パワーステアリング装置４１Ａ、油圧装置４２Ａ、パワープラント５０）を制御することにより、車両Ｖの走行制御（例えば自動運転）を行うことができる。

ここで、ＥＣＵ２０Ａは、第１制御部１Ａによる車両Ｖの走行制御機能の低下を検出する検出部として動作することもできる。例えば、ＥＣＵ２０Ａは、外界認識装置群８２との通信路の通信状況およびアクチュエータ群８３との通信路の通信状況を監視し、それらの通信状況に基づいて外界認識装置群８２およびアクチュエータ群８３との通信機能の低下を検出することにより、走行制御機能の低下を検出することができる。通信機能の低下とは、通信の切断や、通信速度の低下などを含みうる。また、ＥＣＵ２０Ａは、外界認識装置群８２での外界の検知性能の低下や、アクチュエータ群８３の駆動性能の低下を検出することにより、走行制御機能の低下を検出してもよい。さらに、ＥＣＵ２０Ａは、自身の処理性能（例えば処理速度など）を診断するように構成されている場合、その診断結果に基づいて、走行制御機能の低下を検出してもよい。なお、本実施形態では、ＥＣＵ２０Ａを、自身の走行機能低下を検出する検出部として動作させているが、それに限られず、当該検出部がＥＣＵ２０Ａとは別に設けられてもよいし、第２制御部１Ｂ（例えばＥＣＵ２１Ｂ）を当該検出部として動作させてもよい。

第２制御部１Ｂ（ＥＣＵ２１Ｂ）は、ＣＰＵなどのプロセッサとＲＡＭなどのメモリとによって構成され、車両Ｖの走行制御を実行可能に構成される。ＥＣＵ２１Ｂは、第１制御部１ＡのＥＣＵ２０Ａと同様に、車両Ｖの目標制御量（制動量、操舵量）を決定し、決定した目標制御量に基づいて各アクチュエータの操作量を生成し、当該操作量でアクチュエータ群８３（電動パワーステアリング装置４１Ｂ、油圧装置４２Ｂ）を制御することができる。ＥＣＵ２１Ｂは、ＥＣＵ２０Ａで走行制御機能の低下が検出されていない通常時では、カメラ３１Ｂおよびレーダ３２Ｂで得られた外界情報を取得してＥＣＵ２０Ａに供給するが、ＥＣＵ２０Ａで走行制御機能の低下が検出された場合には、ＥＣＵ２０Ａの代わりに車両Ｖの走行制御を行う（即ち、代替制御を行う）。代替制御は、例えば、車両Ｖの自動運転の制御レベルに応じて、その制御レベルを低下させる機能制限を実行する縮退制御を含む。

上述したように、本実施形態の車両制御装置１では、自動運転制御を行っている第１制御部１Ａで走行制御機能の低下が検出された場合、第１制御部１Ａの代わりに第２制御部１Ｂで車両Ｖの走行制御（代替制御）が行われる。このように複数の制御部を設けた冗長構成とすることで、車両の自動運転制御の信頼性を向上させることができる。

以下、一例として、第１制御部１Ａは第１アクチュエータ群及び第１センサ群を制御し、第２制御部１Ｂは第２アクチュエータ群及び第２センサ群を制御する構成に基づいて代替制御を行う動作を説明する。第１アクチュエータ群および第２アクチュエータ群は、車両Ｖの走行制御における同一の制御項目で用いられるものと定義される。例えば、制御項目として車両Ｖの制動を制御する場合には、第１アクチュエータ群および第２アクチュエータ群は、油圧装置４２Ａおよび油圧装置４２Ｂにそれぞれ対応する。また、制御項目として車両Ｖの操舵を制御する場合には、第１アクチュエータ群および第２アクチュエータ群は、電動パワーステアリング装置４１Ａおよび電動パワーステアリング装置４１Ｂにそれぞれ対応する。以下、第１アクチュエータ群及び第２アクチュエータ群について説明するが、第１センサ群及び第２センサ群についても同様である。

例えば、第１アクチュエータ群のいずれかのアクチュエータで動作不良等が生じた場合、第１制御部１Ａは、第２制御部１Ｂにアクチュエータの制御権を引き渡して代替制御を開始させるため、第２制御部１Ｂに代替制御を指示する。そして、第１制御部１Ａは、動作不良等が生じたアクチュエータに対する制御だけでなく、動作不良等が生じたアクチュエータ以外のアクチュエータに対する制御を遮断する。本実施形態では、そのような制御の遮断を「自己遮断」と呼ぶ。そして、第１制御部１Ａは、動作不良等が生じたアクチュエータを含む第１アクチュエータ群の情報を第２制御部１Ｂに引き渡す。第２制御部１Ｂは、引き継いだ第１アクチュエータ群の情報に基づいて、第２アクチュエータ群を制御する。ここで、代替制御とは、例えば、車両Ｖの路肩退避である。

代替制御が終了すると、アクチュエータの制御権を第１制御部１Ａに復帰させるために、第１制御部１Ａで行われた自己遮断を解除する必要がある。そこで、本実施形態では、第２制御部１Ｂでの代替制御の実行状況は、第２制御部１Ｂと第１制御部１Ａとの間の通信経路４００を介して第１制御部１Ａに送信される。そのような構成により、第１制御部１Ａは、第２制御部１Ｂでの代替制御の実行状況を監視可能となり、代替制御が終了した適切なタイミングで自己遮断を解除することができる。

図５は、車両Ｖの代替制御の実行状態の遷移を説明するための図である。図５の状態５００〜５０４は、代替制御を実行する第２制御部１Ｂの状態遷移を示している。イニシャル状態５００は、車両Ｖがイグニッションオンとされた際の第２制御部１Ｂの状態である。そして、第２制御部１Ｂは、イグニッションオン後の自己診断処理を行い、自動運転制御が可能な状態であると判定すると、イニシャル状態５００からレディ状態５０１に遷移する。

自動運転制御中に例えばアクチュエータの動作不良が生じた場合には、上述のように、第２制御部１Ｂは、第１制御部１Ａから代替制御を指示され、レディ状態５０１からアクティブ状態５０２に遷移する。即ち、本実施形態では、アクティブ状態５０２とは、代替制御が実行されている状態を意味する。また、アクティブ状態５０２に遷移した場合、第１制御部１Ａでは上述の自己遮断が行われている。第２制御部１Ｂにより代替制御が正常終了した場合、アクティブ状態５０２から正常終了状態５０３に遷移する。そして、第１制御部１Ａは、代替制御が終了したことを認識して自己遮断を解除する。一方、代替制御が異常終了した場合、アクティブ状態５０２から異常終了状態５０４に遷移する。そして、第１制御部１Ａは、代替制御が終了したことを認識して自己遮断を解除する。

代替制御の実行状態は、図５に示すものに限られず、他の状態が存在しても良い。例えば、第１制御部１Ａから代替制御を指示された際、第２制御部１Ｂ側のセンサやアクチュエータが環境要因等により動作していない場合には、代替制御が不可であることを示す禁止状態が存在しても良い。また、通信経路の不具合等による通信不良等、特有の要因を示す状態が存在しても良い。いずれの場合においても、本実施形態では、イニシャル状態５００〜レディ状態５０１〜アクティブ状態５０２〜正常終了状態５０３の順、若しくは、イニシャル状態５００〜レディ状態５０１〜アクティブ状態５０２〜異常終了状態５０４の順で状態が遷移していく。

第２制御部１Ｂでの代替制御の実行状態を示す通信経路４００は、第１制御部１Ａと第２制御部１Ｂとの間で冗長的に構成される。例えば、本実施形態では、代替制御の実行状態を示す通信経路４００として、２種類の通信媒体を用いて冗長的に構成される。

図６は、第１制御部１Ａの内部の構成のうち、本実施形態の動作に係るブロックを示す図である。図６に示すように、第１制御部１Ａには、状態判定部６０１、解除許可判定部６０２、ＥＤＲ（イベントデータレコーダ）用データ生成部６０３を含む。各ブロックは、例えば、プロセッサとメモリとを含むコンピュータシステムとして構成される。また、各ブロックは、複数のチップ構成としても良いし、複数のブロックが単体のチップ内に構成されても良い。図６の通信経路４００ａ及び４００ｂは、図４の通信経路４００に対応する。通信経路４００ａ及び４００ｂは、同じ種類の通信媒体であるとは限らない。例えば、ＣＡＮとイーサネットという異なる種類の通信媒体が用いられても良い。本実施形態では、通信経路４００ａの通信媒体をＣＡＮとし、通信経路４００ｂの通信媒体をイーサネットとする。

通信経路４００ａで受信した第１状態情報および通信経路４００ｂで受信した第２状態情報は、通信インタフェース（Ｉ／Ｆ）６０７を介して、状態判定部６０１と解除許可判定部６０２に入力される。状態判定部６０１は、第１状態情報及び第２状態情報に基づいて、第２制御部１Ｂでの代替制御が実行されているかを判定する。例えば、いずれかの状態情報がアクティブ状態５０２を示しているのであれば、アクティブ状態５０２であるということを状態判定信号６０４として出力する。状態判定信号６０４は、第１制御部１Ａの外部、内部、もしくはその両方に出力されるとともに、後述するＥＤＲ用データ生成部６０３に出力される。

第２制御部１Ｂは、図５に示す状態情報を、随時、通信経路４００ａ、４００ｂを介して第１制御部１Ａに送信している。その際、通信経路４００ａ、４００ｂのそれぞれでは、同じ状態情報が送信される。例えば、第２制御部１Ｂの状態が、イニシャル状態５００〜レディ状態５０１〜アクティブ状態５０２〜正常終了状態５０３の順に遷移していく場合には、通信経路４００ａ、４００ｂのそれぞれにおいて、上記の順に状態情報が遷移していく。しかしながら、一般的にはＣＡＮの方がイーサネットよりも通信速度が速いため、通信経路４００ａ、４００ｂのそれぞれについて、第２制御部１Ｂ側での送信タイミングが同じであったとしても、第１制御部１Ａ側では、通信経路４００ａの方が、状態情報の遷移が若干早く行われることになる。例えば、第１制御部１Ａは、通信経路４００ａで正常終了状態５０３を状態情報として受信したタイミングにおいて、通信経路４００ｂで受信している状態情報は、依然として正常終了状態５０３である場合があり得る。

第１制御部１Ａは、第２制御部１Ｂから正常終了状態５０３もしくは異常終了状態５０４を受信すると、自己遮断を解除する。しかしながら、通信経路４００ａで受信している第１状態情報が正常終了状態５０３であり、通信経路４００ｂで受信している第２状態情報がアクティブ状態５０２である場合には、自己遮断を解除して良いのか否かが不明となる。そこで、本実施形態では、第１制御部１Ａは、通信経路４００ａで受信している第１状態情報と、通信経路４００ｂで受信している第２状態情報とが異なる場合に、自己遮断の解除を許可するか否かを予め設定しておく。以下に、その一例を示す。

（１）第１状態情報、第２状態情報がともにイニシャル状態５００である場合・・・自己遮断の解除を許可する。

（２）第１状態情報、第２状態情報がともにレディ状態５０１である場合・・・自己遮断の解除を許可する。

（３）第１状態情報、第２状態情報がともにアクティブ状態５０２である場合・・・自己遮断の解除を許可しない。

（４）第１状態情報、第２状態情報がともに正常終了状態５０３である場合、・・・自己遮断の解除を許可する。

（５）第１状態情報、第２状態情報がともに異常終了状態５０４である場合、・・・自己遮断の解除を許可する。

（６）第１状態情報がレディ状態５０１であり、第２状態情報がイニシャル状態５００である場合・・・自己遮断の解除を許可する。

（７）第１状態情報がアクティブ状態５０２であり、第２状態情報がイニシャル状態５００である場合・・・自己遮断の解除を許可しない。

（８）第１状態情報がアクティブ状態５０２であり、第２状態情報がレディ状態５０１である場合・・・自己遮断の解除を許可しない。

（９）第１状態情報が正常終了状態５０３であり、第２状態情報がイニシャル状態５００である場合・・・自己遮断の解除を許可する。

（１０）第１状態情報が正常終了状態５０３であり、第２状態情報がレディ状態５０１である場合・・・自己遮断の解除を許可する。

（１１）第１状態情報が正常終了状態５０３であり、第２状態情報がアクティブ状態５０２である場合・・・自己遮断の解除を許可する。

（１２）第１状態情報が異常終了状態５０４であり、第２状態情報がイニシャル状態５００である場合・・・自己遮断の解除を許可する。

（１３）第１状態情報が異常終了状態５０４であり、第２状態情報がレディ状態５０１である場合・・・自己遮断の解除を許可する。

（１４）第１状態情報が異常終了状態５０４であり、第２状態情報がアクティブ状態５０２である場合・・・自己遮断の解除を許可する。

上記の（１）〜（５）は、第１状態情報と第２状態情報との間に状態情報の遷移にずれがない場合を示している。また、（６）〜（１４）は、第１状態情報の遷移が第２状態情報の遷移よりも早い場合を示している。上記に示すように、通信経路４００ａで受信した状態情報が「終了」を表している場合には、代替制御は実質的に終了しているものの、通信経路４００ｂによる状態情報の伝達に遅れが生じているものと判断し、第１制御部１Ａにおける自己遮断の解除を許可する。

解除許可判定部６０２は、第１状態情報及び第２状態情報を受信すると、上記のような判定基準に基づいて、解除許可するか否かを示す解除許可判定信号６０５を出力する。なお、上記のような判定基準は、例えばテーブル形式により、解除許可判定部６０２内に記憶しておくようにしても良い。解除許可判定信号６０５は、第１制御部１Ａの外部、内部もしくはその両方に出力されるとともに、ＥＤＲ用データ生成部６０３に出力される。ＥＤＲ用データ生成部６０３は、第１制御部１Ａの外部に構成されたイベントデータレコーダ（ＥＤＲ：Ｅｖｅｎｔ Ｄａｔａ Ｒｅｃｏｒｄｅｒ）に記憶するデータを生成するブロックである。ＥＤＲに記憶するデータとは、自動運転制御や代替制御に関するデータであり、例えば、代替制御の開始／終了の時刻情報である。ＥＤＲ用データ生成部６０３の動作については後述する。なお、図６の各ブロックの少なくともいずれかは、図４の自動運転ＥＣＵ２０Ａ内に構成するようにしても良い。

状態判定部６０１、解除許可判定部６０２は、第１状態情報および第２状態情報に基づいて、アクティブ状態５０２であるかの判定、自己遮断の解除を許可するかの判定、を行う。第１制御部１Ａが第２制御部１Ｂに対して代替制御の実行を指示すると、第１状態情報および第２状態情報は、レディ状態５０１からアクティブ状態５０２に遷移するが、実際には、直ちに遷移するのではなく、所定時間経過の後に遷移する。ここで、所定時間には、代替制御の実行指示が第２制御部１Ｂに対して送信される時間と、第２制御部１Ｂにおいて代替制御が開始されるまでの時間と、第２制御部１Ｂから通信経路４００ａ及び４００ｂを介してアクティブ状態５０２の状態情報が送信される時間とが含まれる。

従って、代替制御の実行が指示された直後に、状態判定部６０１と解除許可判定部６０２が第１状態情報及び第２状態情報に基づいて各判定を行うと、本来はアクティブ状態５０２に基づいて判定を行うべきところ、レディ状態５０１に基づいて判定を行ってしまうことになる。

図７（ａ）は、第１制御部１Ａにおいて代替制御の実行が指示された直後に判定が行われた場合を説明するための図である。図７（ａ）のタイミング７００は、代替制御の実行が指示されたタイミングを示している。また、タイミング７０１は、状態判定部６０１と解除許可判定部６０２が各判定を行うタイミングを示している。

図７（ａ）に示すように、代替制御の実行がタイミング７００で指示されると、第１制御部１Ａ内部では、自己遮断がタイミング７００で開始されるとともに、自己遮断の解除を不許可とする状態となる。しかしながら、第１／第２状態情報がレディ状態５０１からアクティブ状態５０２に遷移するまでは、所定時間７０２が経過する必要があるため、その間は、レディ状態５０１のままとなる。従って、状態判定部６０１が代替制御の実行が指示された直後、タイミング７０１で判定を行うと、本来は、アクティブ状態５０２と判定すべきところ、レディ状態５０１と誤判定してしまう。また、解除許可判定部６０２が代替制御の実行が指示された直後、タイミング７０１で判定を行うと、本来は、自己遮断の解除を不許可と判定すべきところ、解除許可と誤判定してしまう。その結果、所定時間７０２の経過後に第１／第２状態情報がアクティブ状態５０２となったときには、自己遮断を解除した状態となってしまう。

そこで、本実施形態では、図７（ｂ）に示すように、代替制御の実行が指示されて自己遮断が行われた後、所定時間７０４の間は、状態判定部６０１と解除許可判定部６０２の各判定は行わないように制限する。所定時間７０４は、図７（ａ）の所定時間７０２以上であれば良い。即ち、所定時間７０４の経過後のタイミング７０３において、状態判定部６０１と解除許可判定部６０２の判定が行われる。そのような構成により、状態判定部６０１は、第１／第２状態情報がレディ状態５０１からアクティブ状態５０２に遷移した後に判定を行うので、アクティブ状態５０２であると正しく判定することができる。また、解除許可判定部６０２は、第１／第２状態情報がレディ状態５０１からアクティブ状態５０２に遷移した後に判定を行うので、アクティブ状態５０２であるにも関わらず自己遮断の解除を許可してしまうことを防ぐことができる。

図８は、解除許可判定部６０２における解除許可判定処理を示すフローチャートである。図８の処理は、例えば、第１制御部１Ａ内のプロセッサが、ＲＯＭ等のメモリに記憶されたプログラムを読み出して実行することにより実現される。

Ｓ１０１において、解除許可判定部６０２は、第１制御部１Ａから第２制御部１Ｂに対して代替制御の実行指示が出力されたことを検出する。例えば、通信Ｉ／Ｆ６０７が通信経路４００ａ及び４００ｂ上の情報を監視するようにし、解除許可判定部６０２は、その監視結果に基づいて、代替制御の実行指示が出力されたことを検出するようにしても良い。

Ｓ１０２において、解除許可判定部６０２は、所定時間の経過を判定する。例えば、解除許可判定部６０２がタイマー機能を有するように構成し、所定時間の経過を判定しても良い。ここでの所定時間とは、図７（ｂ）の所定時間７０４である。所定時間の経過後、Ｓ１０２からＳ１０３に進む。

Ｓ１０３において、解除許可判定部６０２は、通信経路４００ａで受信される第１状態情報を取得し、Ｓ１０４において、通信経路４００ｂで受信される第２状態情報を取得する。

Ｓ１０５において、解除許可判定部６０２は、Ｓ１０３で取得された第１状態情報と、Ｓ１０４で取得された第２状態情報とに基づいて、自己遮断の解除を許可するか否かを判定する。この判定は、上述したように、例えば内部に記憶された判定基準のテーブルに従って行われる。Ｓ１０５で自己遮断の解除を許可すると判定された場合、Ｓ１０６に進み、解除許可判定部６０２は、「解除許可」の内容を設定した解除許可判定信号６０５を出力する。一方、Ｓ１０５で自己遮断の解除を許可しないと判定された場合、Ｓ１０７に進み、解除許可判定部６０２は、「解除不許可」の内容を設定した解除許可判定信号６０５を出力する。Ｓ１０６及びＳ１０７の後、図８の処理を終了する。

上記の処理により、解除許可判定部６０２は、第１／第２状態情報がレディ状態５０１からアクティブ状態５０２に遷移した後に判定を行うので、アクティブ状態５０２であるにも関わらず自己遮断の解除を許可してしまうことを防ぐことができる。

図９は、状態判定部６０１における状態判定処理を示すフローチャートである。図９の処理は、例えば、第１制御部１Ａ内のプロセッサが、ＲＯＭ等のメモリに記憶されたプログラムを読み出して実行することにより実現される。

Ｓ２０１において、状態判定部６０１は、第１制御部１Ａから第２制御部１Ｂに対して代替制御の実行指示が出力されたことを検出する。例えば、通信Ｉ／Ｆ６０７が通信経路４００ａ及び４００ｂ上の情報を監視するようにし、状態判定部６０１は、その監視結果に基づいて、代替制御の実行指示が出力されたことを検出するようにしても良い。

Ｓ２０２において、状態判定部６０１は、所定時間の経過を判定する。例えば、状態判定部６０１がタイマー機能を有するように構成し、所定時間の経過を判定しても良い。ここでの所定時間とは、図７（ｂ）の所定時間７０４である。所定時間の経過後、Ｓ２０２からＳ２０３に進む。

Ｓ２０３において、状態判定部６０１は、通信経路４００ａで受信される第１状態情報を取得し、Ｓ２０４において、通信経路４００ｂで受信される第２状態情報を取得する。

Ｓ２０５において、状態判定部６０１は、Ｓ２０３で取得された第１状態情報と、Ｓ２０４で取得された第２状態情報とに基づいて、アクティブ状態５０２であるかを判定する。例えば、状態判定部６０１は、第１状態情報と第２状態情報のいずれかがアクティブ状態５０２を示しているのであれば、アクティブ状態５０２であると判定しても良い。Ｓ２０５でアクティブ状態５０２であると判定された場合、Ｓ２０６に進み、状態判定部６０１は、「アクティブ状態」の内容を設定した状態判定信号６０４を出力する。一方、Ｓ２０５でアクティブ状態５０２でないと判定された場合、Ｓ２０７に進み、状態判定部６０１は、「アクティブ状態でない」の内容を設定した状態判定信号６０４を出力する。Ｓ２０６及びＳ２０７の後、図９の処理を終了する。

上記の処理により、状態判定部６０１は、第１／第２状態情報がレディ状態５０１からアクティブ状態５０２に遷移した後に判定を行うので、アクティブ状態５０２であると正しく判定することができる。

次に、ＥＤＲ用データ生成部６０３の動作について説明する。ＥＤＲデータ生成部６０３は、第１制御部１Ａの外部に構成されているＥＤＲ（不図示）に記憶するイベント情報を示すデータを生成するブロックである。ここでは、ＥＤＲに記憶するデータとして、代替制御の実行中か否かを示す情報とする。

ＥＤＲに格納する代替制御の実行中か否かを示す情報は、本来、第１状態情報及び第２状態情報の状態情報に基づいて決定される。しかしながら、上述したように、第１状態情報及び第２状態情報は、その間で状態情報の遷移にずれが生じている。そこで、本実施形態では、ＥＤＲに格納する代替制御の実行中か否かを示す情報を、状態判定信号６０４と解除許可判定信号６０５とに基づいて決定する。

図１０は、アクティブ状態５０２から正常終了状態５０３に遷移する際の状態判定信号６０４および解除許可判定信号６０５を示す図である。本実施形態では、状態判定信号６０４がアクティブ状態５０２を示し、且つ、解除許可判定信号６０５が解除不許可を示すという条件を満たす場合には、ＥＤＲ用データ生成部６０３は、代替制御の実行中であることを示す情報をＥＤＲ用データ６０６として生成し、ＥＤＲに出力する。一方、上記の条件を満たさない場合には、ＥＤＲ用データ生成部６０３は、代替制御の実行中でないことを示す情報をＥＤＲ用データ６０６として生成し、ＥＤＲに出力する。つまり、図１０に示すように、タイミング１００１より前において、「代替制御の実行期間である」というＥＤＲ用データ６０６がＥＤＲに出力され、タイミング１００１より後において、「代替制御の実行期間でない」というＥＤＲ用データ６０６がＥＤＲに出力される。

図１１は、ＥＤＲ用データ生成部６０３におけるＥＤＲ用データ生成処理を示すフローチャートである。図１１の処理は、例えば、第１制御部１Ａ内のプロセッサが、ＲＯＭ等のメモリに記憶されたプログラムを読み出して実行することにより実現される。

Ｓ３０１において、ＥＤＲ用データ生成部６０３は、状態判定信号６０４の情報を取得し、Ｓ３０２において、解除許可判定信号６０５の情報を取得する。

Ｓ３０３において、ＥＤＲ用データ生成部６０３は、Ｓ３０１で取得された状態判定信号６０４と、Ｓ３０２で取得された解除許可判定信号６０５の情報とが条件を満たすか否かを判定する。ここでの条件とは、例えば、状態判定信号６０４がアクティブ状態５０２を示し、且つ、解除許可判定信号６０５が解除不許可を示すという条件である。条件を満たすと判定された場合、Ｓ３０４に進み、ＥＤＲ用データ生成部６０３は、「代替制御の実行期間である」という内容を設定したＥＤＲ用データ６０６を生成し、ＥＤＲに出力する。一方、条件を満たさないと判定された場合、Ｓ３０５に進み、ＥＤＲ用データ生成部６０３は、「代替制御の実行期間でない」という内容を設定したＥＤＲ用データ６０６を生成し、ＥＤＲに出力して記録する。Ｓ３０４及びＳ３０５の後、図１１の処理を終了する。

上記の処理により、ＥＤＲに格納する代替制御の実行中か否かを示す情報を、第１制御部１Ａ内の自己遮断の状態と整合させることができる。

＜実施形態のまとめ＞
上記実施形態の車両制御装置は、デバイスの制御により車両の走行制御を行う第１の走行制御手段（１Ａ）および第２の走行制御手段（１Ｂ）を備える車両制御装置であって、前記第１の走行制御手段は、前記第２の走行制御手段に代替制御を指示する指示手段（図７（ｂ）のタイミング７００）と、前記指示手段により前記代替制御が指示された場合、前記デバイスの制御を停止する停止手段（図７（ｂ）のタイミング７００）と、前記第２の走行制御手段から前記代替制御の実行状況に関する情報を受信する受信手段（Ｓ１０３、Ｓ１０４）と、前記受信手段により受信した前記代替制御の実行状況に関する情報に基づいて、前記停止手段による前記デバイスの制御の停止を解除するか否かを判定する判定手段（Ｓ１０５）とを備えることを特徴とする。

そのような構成により、代替制御の実行状況に基づいて、自己遮断の解除を判定することができる。

また、前記判定手段による判定は、前記指示手段により前記代替制御が指示されて所定時間（図７（ｂ）の７０４）が経過すると行われることを特徴とする。

そのような構成により、第２の走行制御手段で代替制御が実行されているにも関わらず、自己遮断を解除してしまうことを防ぐことができる。

また、前記受信手段により受信した前記代替制御の実行状況に関する情報から、前記代替制御が実行中であることを示す情報を取得する取得手段（Ｓ２０６）、をさらに備えることを特徴とする。また、前記取得手段による取得は、前記指示手段により前記代替制御が指示されて前記所定時間が経過する（Ｓ２０２）と行われることを特徴とする。

そのような構成により、第２の走行制御手段での代替制御の実行状況を適切に取得することができる。

また、前記取得手段により取得された前記代替制御が実行中であることを示す情報と、前記判定手段による判定結果とに基づいて、前記代替制御に関するイベント情報を記録手段に出力する出力手段（６０３）、をさらに備えることを特徴とする。また、前記判定結果は、前記停止手段による前記デバイスの制御の停止を解除しないと判定されたことであることを特徴とする。

そのような構成により、例えば、第２の走行制御手段での代替制御の実行中であるという情報をＥＤＲに記録することができる。

また、前記受信手段は、複数の通信媒体を介して、前記代替制御の実行状況に関する情報を受信することを特徴とする。

そのような構成により、例えば、イーサネットとＣＡＮにより、第２の走行制御手段での代替制御の実行状況に関する情報を受信することができる。

また、前記複数の通信媒体に含まれる第１の通信媒体を介して前記受信手段により受信した第１の情報と、前記複数の通信媒体に含まれる第２の通信媒体を介して前記受信手段により受信した第２の情報とに基づいて、前記停止手段による前記デバイスの制御の停止を解除するか否かを設定する設定手段（６０２）、をさらに備え、前記判定手段による判定は、前記設定手段による設定に従って行われることを特徴とする。

そのような構成により、第１の通信媒体と第２の通信媒体との間で通信速度が異なっていたとしても、第２の走行制御手段での代替制御の実行状況に関する情報を適切に取得することができる。

発明は上記の実施形態に制限されるものではなく、発明の要旨の範囲内で、種々の変形・変更が可能である。

１Ａ 第１制御部： １Ｂ 第２制御部： ６０１ 状態判定部： ６０２ 解除許可判定部： ６０３ ＥＤＲ用データ生成部

Claims (10)

1. デバイスの制御により車両の走行制御を行う第１の走行制御手段および第２の走行制御手段を備える車両制御装置であって、
   前記第１の走行制御手段は、
   前記第２の走行制御手段に代替制御を指示する指示手段と、
   前記指示手段により前記代替制御が指示された場合、前記デバイスの制御を停止する停止手段と、
   前記第２の走行制御手段から前記代替制御の実行状況に関する情報を受信する受信手段と、
   前記受信手段により受信した前記代替制御の実行状況に関する情報に基づいて、前記停止手段による前記デバイスの制御の停止を解除するか否かを判定する判定手段と、
   を備えることを特徴とする車両制御装置。
2. 前記判定手段による判定は、前記指示手段により前記代替制御が指示されて所定時間が経過すると行われることを特徴とする請求項１に記載の車両制御装置。
3. 前記受信手段により受信した前記代替制御の実行状況に関する情報から、前記代替制御が実行中であることを示す情報を取得する取得手段、をさらに備えることを特徴とする請求項２に記載の車両制御装置。
4. 前記取得手段による取得は、前記指示手段により前記代替制御が指示されて前記所定時間が経過すると行われることを特徴とする請求項３に記載の車両制御装置。
5. 前記取得手段により取得された前記代替制御が実行中であることを示す情報と、前記判定手段による判定結果とに基づいて、前記代替制御に関するイベント情報を記録手段に出力する出力手段、をさらに備えることを特徴とする請求項３又は４に記載の車両制御装置。
6. 前記判定結果は、前記停止手段による前記デバイスの制御の停止を解除しないと判定されたことであることを特徴とする請求項５に記載の車両制御装置。
7. 前記受信手段は、複数の通信媒体を介して、前記代替制御の実行状況に関する情報を受信することを特徴とする請求項１乃至６のいずれか１項に記載の車両制御装置。
8. 前記複数の通信媒体に含まれる第１の通信媒体を介して前記受信手段により受信した第１の情報と、前記複数の通信媒体に含まれる第２の通信媒体を介して前記受信手段により受信した第２の情報とに基づいて、前記停止手段による前記デバイスの制御の停止を解除するか否かを設定する設定手段、をさらに備え、
   前記判定手段による判定は、前記設定手段による設定に従って行われる、
   ことを特徴とする請求項７に記載の車両制御装置。
9. デバイスの制御により車両の走行制御を行う第１の走行制御手段および第２の走行制御手段を備える車両制御装置において実行される車両制御方法であって、
   前記第１の走行制御手段が、前記第２の走行制御手段に代替制御を指示する指示工程と、
   前記第１の走行制御手段が、前記指示工程において前記代替制御が指示された場合、前記デバイスの制御を停止する停止工程と、
   前記第１の走行制御手段が、前記第２の走行制御手段から前記代替制御の実行状況に関する情報を受信する受信工程と、
   前記第１の走行制御手段が、前記受信工程において受信した前記代替制御の実行状況に関する情報に基づいて、前記停止工程における前記デバイスの制御の停止を解除するか否かを判定する判定工程と、
   を有することを特徴とする車両制御方法。
10. デバイスの制御により車両の走行制御を行う第１の走行制御手段および第２の走行制御手段を備える車両制御装置を、
    前記第１の走行制御手段が、前記第２の走行制御手段に代替制御を指示する指示工程、
    前記第１の走行制御手段が、前記指示工程において前記代替制御が指示された場合、前記デバイスの制御を停止する停止工程、
    前記第１の走行制御手段が、前記第２の走行制御手段から前記代替制御の実行状況に関する情報を受信する受信工程、
    前記第１の走行制御手段が、前記受信工程において受信した前記代替制御の実行状況に関する情報に基づいて、前記停止工程における前記デバイスの制御の停止を解除するか否かを判定する判定工程、
    を実行させるためのプログラム。

Images