JP2021163342A

JP2021163342A - 車両制御装置

Info

Publication number: JP2021163342A
Application number: JP2020066411A
Authority: JP
Inventors: 徹田仲; Toru Tanaka; 篤志吉川; Atsushi Yoshikawa; 恒毅中村; Nobutaka Nakamura
Original assignee: Mitsubishi Electric Corp
Current assignee: Mitsubishi Electric Corp
Priority date: 2020-04-02
Filing date: 2020-04-02
Publication date: 2021-10-11
Anticipated expiration: 2040-04-02
Also published as: JP7106237B2

Abstract

【課題】走行中に瞬断が発生した場合にもフェイルセイフを実現できる車両制御装置を提供する。
【解決手段】第１の制御指令生成部は、第１の制御指令生成部が正常か異常かを判定する状態判定部を有し、第１の制御指令生成部から第２の制御指令生成部へ、状態判定部の状態判定結果が伝送され、第１および第２の制御指令生成部は、状態判定結果が、正常であれば、第１の制御指令生成部が車両の駆動装置に第１の制御指令を送信し、かつ、第２の制御指令生成部は車両の駆動装置に第２の制御指令を送信せず、状態判定結果が、異常であれば、第２の制御指令生成部が車両の駆動装置に第２の制御指令を送信し、かつ、第１の制御指令生成部が車両の駆動装置に第１の制御指令を送信しないように構成され、第１の制御指令生成部は、状態判定部での状態判定が完了するまでは、異常または正常の判定結果を第２の制御指令生成部に伝送する。
【選択図】図７

Description

本開示は車両制御装置に関し、特に、フェイルセイフを実現する車両制御装置に関する。

従来より、ＡＤＡＳ（Advanced Driving Assistance Systems）および自動運転を実現する車両制御装置は、安全性を考慮し、複数の制御装置を用いて、相互監視を行い、１つの制御装置が異常になると、機能の一部だけを他の制御装置で実現する、といった構成が知られていた。

例えば、特許文献１では、２つの制御装置を備えて相互監視を行い、両方の制御装置が正常の場合のみ、自動運転を行い、１つでも異常であれば自動運転を行わず、アクチュエータへの信号送信は、一方の制御装置に優先権を持たせる技術が開示されている。

また、特許文献２では、２つの制御装置を備え、通常時用の制御装置が故障した場合は緊急時用の制御装置に制御を切り替え、故障の発生は、通常時用の制御装置から緊急時用の制御装置に伝える技術が開示されている。

国際公開第２０１８／０３００３２号特許第６５３１１４４号公報

特許文献１では、２つの同じ機能を有する制御装置を準備し、通常時は、一方は全く用いていないため、シームレスな自動運転継続を行うために、コストがかかるという問題があった。

また、特許文献２の開示では、緊急時用の制御装置が先に起動完了し、次に、通常時用の制御装置が起動完了する場合、通常時用の制御装置が起動完了していない期間が存在することになる。

このとき一時的に電源供給が停止したり、電圧が制御装置内の半導体集積回路の機能を維持できないまでに一時的に電圧が低下したりする瞬断が発生すると、緊急時用の制御装置で対応しなければならないが、特許文献２にはそのような対応については開示されていない。

本開示は上記のような問題を解決するためになされたものであり、走行中に瞬断が発生した場合にもフェイルセイフを実現できる車両制御装置を提供することを目的とする。

本開示に係る車両制御装置は、車両に搭載され、前記車両の駆動を制御する車両制御装置であって、前記車両の駆動装置に第１の制御指令を送信する第１の制御指令生成部と、前記駆動装置に第２の制御指令を送信する第２の制御指令生成部と、を構成する、少なくとも１つの半導体集積回路を備え、前記第１の制御指令生成部は、前記第１の制御指令生成部が正常か異常かを判定する状態判定部を有し、前記第１の制御指令生成部から前記第２の制御指令生成部へ、前記状態判定部の状態判定結果が伝送され、前記第１および第２の制御指令生成部は、前記状態判定結果が、正常であれば、前記第１の制御指令生成部が前記車両の前記駆動装置に前記第１の制御指令を送信し、かつ、前記第２の制御指令生成部は前記車両の前記駆動装置に前記第２の制御指令を送信せず、前記状態判定結果が、異常であれば、前記第２の制御指令生成部が前記車両の前記駆動装置に前記第２の制御指令を送信し、かつ、前記第１の制御指令生成部が前記車両の前記駆動装置に前記第１の制御指令を送信しないように構成され、前記第１の制御指令生成部は、前記状態判定部での状態判定が完了するまでは、異常または正常の判定結果を前記第２の制御指令生成部に伝送する。

上記車両制御装置によれば、走行中に瞬断が発生した場合にもフェイルセイフを実現できる。

実施の形態１の車両制御装置を含む車両の構成を示すブロック図である。実施の形態１の車両制御装置の構成を示すブロック図である。実施の形態１の変形例の車両制御装置を含む車両の構成を示すブロック図である。実施の形態１の変形例の車両制御装置の構成を示すブロック図である。実施の形態１の変形例の車両制御装置の構成を示すブロック図である。実施の形態１の変形例の車両制御装置の構成を示すブロック図である。実施の形態１の車両制御装置の内部構成を示すブロック図である。実施の形態１の車両制御装置の第１の制御指令生成部の動作を説明するフローチャートである。実施の形態１の車両制御装置の第１の制御指令生成部の動作を説明するフローチャートである。Ｉ／Ｆ回路の構成の一例を示す図である。Ｉ／Ｆ回路の論理を示す図である。実施の形態１の車両制御装置の内部構成を示すブロック図である。実施の形態１の車両制御装置の第１の制御指令生成部の動作を説明するフローチャートである。実施の形態２の車両制御装置を含む車両の構成を示すブロック図である。実施の形態２の車両制御装置の内部構成を示すブロック図である。実施の形態２の車両制御装置の第１の制御指令生成部の動作を説明するフローチャートである。実施の形態２の車両制御装置の第１の制御指令生成部の動作を説明するフローチャートである。実施の形態３の車両制御装置を含む車両の構成を示すブロック図である。実施の形態３の車両制御装置の内部構成を示すブロック図である。実施の形態３の車両制御装置の第２の制御指令生成部の動作を説明するフローチャートである。

＜実施の形態１＞
以下、実施の形態１の車両制御装置について図１〜図１３を用いて説明する。図１は、実施の形態１の車両制御装置１００を含む車両の構成を示すブロック図である。

図１に示されるように車両制御装置１００は、第１の制御装置１０および第２の制御装置１１を有している。第１の制御装置１０および第２の制御装置１１は、センサ１２および駆動装置１５と車載ネットワーク１６により互いに接続されている。駆動装置１５は、コントローラユニット１３とアクチュエータ１４を有している。また、第１の制御装置１０と第２の制御装置１１との間は信号線１８で接続されている。

センサ１２は、例えばカメラ、ミリ波レーダー、ソナー等の他に、車速センサ、トルクセンサ、ヨーレートセンサ、舵角センサ、アクセル開度センサ、ブレーキ圧センサなどを含んでいる。

図２は、車両制御装置１００の構成を示すブロック図である。図２に示されるように、第１の制御装置１０は、半導体集積回路２０と半導体集積回路２３に接続されたインターフェース（Ｉ／Ｆ）回路４０（第１のインターフェース回路）を有し、半導体集積回路２０の内部で、第１のオペレーティングシステム（ＯＳ）２１および第１の制御指令生成部２２が実行される。

また、第２の制御装置１１は、半導体集積回路２３と半導体集積回路２３に接続されたＩ／Ｆ回路４１（第２のインターフェース回路）を有し、半導体集積回路２３の内部で、第２のＯＳ２４および第２の制御指令生成部２５が実行される。

そして、半導体集積回路２０から半導体集積回路２３へ、第１の制御指令生成部２２の故障の発生有無の信号が、Ｉ／Ｆ回路４０とＩ／Ｆ回路４１とを接続する信号線１８を介して伝送される。

図３は、図１の車両制御装置１００の変形例の車両制御装置１０１を含む車両の構成を示すブロック図である。

図３に示されるように車両制御装置１０１は、第１の制御装置１０および第２の制御装置１１の代わりに統合制御装置１７を有している。

図４は、車両制御装置１０１の構成を示すブロック図である。図４に示されるように、統合制御装置１７は、半導体集積回路２７と、半導体集積回路２７に接続されたＩ／Ｆ回路４０およびＩ／Ｆ回路４１を有し、半導体集積回路２７の内部で、第１のＯＳ２１、第１の制御指令生成部２２、第２のＯＳ２４および第２の制御指令生成部２５が実行される。

このような構成の車両制御装置１０１によれば、Ｉ／Ｆ回路４０とＩ／Ｆ回路４１との間の信号線１８が、車両制御装置１０１の内部に設けられているので、信号線１８が断線するリスクが低減される。また、１つの半導体集積回路２７を設ければ良いので、回路規模を小さくできて、車両制御装置のサイズを小さくできる。

なお、Ｉ／Ｆ回路４０とＩ／Ｆ回路４１との間の信号線１８は、半導体集積回路２７内部の、例えばＲＡＭ（Random Access Memory）内に記憶された情報（データ値）を電気的信号に変換して伝送するが、半導体集積回路２７内部の、例えばＲＡＭ（Random Access Memory）内に記憶された情報を伝送するものとして構成しても良い。

図５は、そのような構成を示す車両制御装置１０２のブロック図であり、第１の制御指令生成部２２と第２の制御指令生成部２５との間には、Ｉ／Ｆ回路を介さずに信号線１８が接続されており、第１の制御指令生成部２２から第２の制御指令生成部２５に情報が直接伝送される。

このような構成の車両制御装置１０２によれば、情報を伝送するので、伝送時間が速くなり、制御の切り替え速度が速くなる。また、伝送処理がソフトウェア処理で済むので、障害を受けるリスクが低減する。また、Ｉ／Ｆ回路を設けないので回路規模をさらに小さくできて、車両制御装置のサイズをさらに小さくできる。

また、車両制御装置１０１では、１つの半導体集積回路２７を設けた構成を示したが、図６に示される車両制御装置１０３のように、半導体集積回路２０および半導体集積回路２３を設け、半導体集積回路２０から半導体集積回路２３へ、第１の制御指令生成部２２の故障の発生有無の信号が、Ｉ／Ｆ回路４０とＩ／Ｆ回路４１とを接続する信号線１８を介して伝送される構成としても良い。

このような構成の車両制御装置１０３によれば、Ｉ／Ｆ回路４０とＩ／Ｆ回路４１との間の信号線１８が、車両制御装置１０１の内部に設けられているので、信号線１８が断線するリスクが低減される。

＜第１および第２の制御指令生成部の内部構成の第１の実施例＞
図７は、図２に示した車両制御装置１００の構成における第１の制御指令生成部２２および第２の制御指令生成部２５の内部構成の第１の例を示す図である。なお、車載ネットワーク１６は、便宜的に入力側と出力側で分割して示しているが、同一のものである。また、第１の制御指令生成部２２および第２の制御指令生成部２５を、車載ネットワーク１６に接続する部分には、通信Ｉ／Ｆ回路、例えばＣＡＮ（Controller Area Network）ドライバー回路などが存在するが、図示を省略している。

図７に示されるように、センサ１２から出力される各種信号は、第１の制御指令生成部２２および第２の制御指令生成部２５に入力され、第１の制御指令生成部２２と第２の制御指令生成部２５で生成された車両操作のための操作量の信号（第１の制御指令、第２の制御指令）は、コントローラユニット１３に入力される。

第１の制御指令生成部２２は、第１の制御指令生成部２２での故障の発生の有無を判定する状態判定部３０、状態判定部３０の判定結果に応じてＡＤＡＳ機能または自動運転のを実行するか否かを判定するＡＤＡＳ実行判定部３１およびＡＤＡＳ実行判定部３１の結果が実行可である場合にセンサ１２の信号に基づいてＡＤＡＳまたは自動運転の機能を実行し、アクチュエータ１４の操作量を演算するＡＤＡＳ機能実行部３２を有している。

状態判定部３０は、第１の制御指令生成部２２が、その機能を実施しているか否か、すなわち、正常か異常か、を判定する。場合によっては、第１の制御装置１０に電源が供給されてから、まだ状態判定を一度もしていない、すなわち、正常でも異常でもない、という判定を行い、状態判定結果を生成する。例えば、半導体集積回路２０の自己診断の結果を、状態判定部３０の判定結果である状態判定結果として用いることができる。

すなわち、半導体集積回路２０は、ＣＰＵ（Central Processing Unit）などの演算装置およびＲＡＭなどのメモリ、ＲＯＭ（Read Only Memory）などの記憶装置などにより構成される。

ＣＰＵの自己診断としては、例えば、半導体集積回路に対になった２つのＣＰＵ（コア）を内蔵し、全く同じプログラムを実行させ、結果を比較し、もし結果が異なれば、当該ＣＰＵの組を異常と判定するロックステップと呼ばれる機能により診断することができる。

また、メモリの自己診断としては、例えば、パリティまたはＥＣＣ（Error Correction Code）によりエラー検知して診断することができる。

また、記憶装置の自己診断としては、例えば、チェックサムが所定値と一致するか否かにより診断することができる。

第１の制御指令生成部２２のＡＤＡＳ実行判定部３１は、状態判定部３０での判定結果が正常の場合、かつ、車両またはドライバーによるＡＤＡＳが実行可の場合は、ＡＤＡＳ実行可の信号を出力し、それ以外の場合は、ＡＤＡＳ実行不可の信号を出力する。

ここで、車両またはドライバーによるＡＤＡＳ実行可、とは、ドライバーがＡＤＡＳ機能の実行を要求している場合、例えば、ＡＤＡＳスイッチがＯＮされている状態、センサ１２からの信号が正常である場合、車線が認識できている場合、などＡＤＡＳシステムが正常である場合を示す。

第１の制御指令生成部２２のＡＤＡＳ機能実行部３２は、ＡＤＡＳ実行判定部３１から機能実施の許可（ＡＤＡＳ実行可の信号）があれば、センサ１２からの信号に基づいて、ＡＤＡＳまたは自動運転の機能を半導体集積回路２０上で実行し、コントローラユニット１３に対する操作量を導出する。一方、ＡＤＡＳ実行判定部３１からＡＤＡＳ実行不可の信号が出された場合は、ＡＤＡＳまたは自動運転の機能を実行せず、操作量を導出しない。

ＡＤＡＳ機能実行部３２で導出された操作量は、車載ネットワーク１６に送信され、コントローラユニット１３で受信され、アクチュエータ１４に対して所望の操作を行う。操作量が導出されなければ、車載ネットワーク１６には何も送信されない。

状態判定部３０の出力は、Ｉ／Ｆ回路４０により信号線１８上の電気的信号、例えば高電位（Ｈｉ電位）信号または低電位（Ｌｏ電位）信号に変換され、Ｉ／Ｆ回路４１を経由して、第２の制御指令生成部２５のＡＤＡＳ実行判定部３３に入力される。

第２の制御指令生成部２５のＡＤＡＳ実行判定部３３は、第１の制御指令生成部２２が正常である場合は、ＡＤＡＳ実行不可の信号を出力し、第１の制御指令生成部２２が異常である場合は、ＡＤＡＳ実行可の信号を出力する。

第２の制御指令生成部２５のＡＤＡＳ縮退機能実行部３４は、ＡＤＡＳ実行判定部３３から機能実施の許可（ＡＤＡＳ実行可の信号）があれば、センサ１２からの信号に基づいて、ＡＤＡＳ機能実行部３２が実行するＡＤＡＳまたは自動運転の機能よりも縮退された縮退機能（制限された限定的な機能）を半導体集積回路２３上で実行し、コントローラユニット１３に対する操作量を導出する。一方、ＡＤＡＳ実行判定部３３からＡＤＡＳ実行不可の信号が出された場合は、ＡＤＡＳまたは自動運転の縮退機能を実行せず、操作量を導出しない。

ＡＤＡＳ縮退機能実行部３４で導出された操作量は、車載ネットワーク１６に送信され、コントローラユニット１３で受信され、アクチュエータ１４に対して所望の操作を行う。操作量が導出されなければ、車載ネットワーク１６に何も送信されない。

第１の制御指令生成部２２および第２の制御指令生成部２５のそれぞれのＡＤＡＳ実行判定部３１および３３は、ＡＤＡＳ機能実行部３２およびＡＤＡＳ縮退機能実行部３４にそれぞれ接続され、コントローラユニット１３に対する操作量を導出した場合は、導出した操作量の信号を車載ネットワーク１６に送信し、そうでない場合は車載ネットワーク１６には何も送信しない制御を行っているが、ＡＤＡＳ実行判定部３１および３３での判定結果を車載ネットワーク１６に接続する図示されない通信Ｉ／Ｆ回路、例えばＣＡＮドライバー回路にも入力し、ＣＡＮドライバー回路で、車載ネットワーク１６に信号を送信するかしないかを制御しても良い。

次に、第１の制御指令生成部２２の動作について、図８に示すフローチャートを用いて説明する。

第１の制御指令生成部２２が動作を開始すると、状態判定部３０が半導体集積回路２０の自己診断結果が正常か否かを確認する（ステップＳ１）。

自己診断結果が正常判定である場合（Ｙｅｓの場合）は、ステップＳ２に移行してＩ／Ｆ回路４０に対してＨｉ電位を出力し、ステップＳ３に移行する。一方、自己診断結果が正常ではない異常判定の場合（Ｎｏの場合）は、ステップＳ７に移行してＩ／Ｆ回路４０に対してＬｏ電位を出力し、ステップＳ３に移行する。

ＡＤＡＳ実行判定部３１は、状態判定部３０での判定結果が正常判定か異常判定かを確認し（ステップＳ３）、正常判定である場合（Ｙｅｓの場合）はステップＳ４に移行する。一方、異常判定の場合（Ｎｏの場合）は、ステップＳ８に移行する。

ステップＳ４では、ＡＤＡＳシステムが正常、例えばセンサ１２からの信号が正常で、かつドライバーによりＡＤＡＳスイッチがＯＮされているか否かを判定し、条件を満たす場合（Ｙｅｓの場合）は、ＡＤＡＳ実行可としてステップＳ５に移行する。一方、条件を満たさない場合（Ｎｏの場合）は、ＡＤＡＳ実行不可としてステップＳ８に移行する。

ＡＤＡＳ機能実行部３２は、ＡＤＡＳ実行判定部３１からＡＤＡＳ実行可の信号を受けた場合は、センサ１２からの信号、車両の状態などに基づいて、ＡＤＡＳ（または自動運転）機能を半導体集積回路２０上で実行し、コントローラユニット１３に対する操作量を算出し（ステップＳ５）、操作量の信号（第１の制御指令）を車載ネットワーク１６に送信する（ステップＳ６）。一方、ＡＤＡＳ実行判定部３１からＡＤＡＳ実行不可の信号を受けた場合は、ＡＤＡＳ（または自動運転）機能を実行せず、操作量を算出せず（ステップＳ８）、車載ネットワーク１６には何も送信しない（ステップＳ９）。

次に、第２の制御指令生成部２５の動作について、図９に示すフローチャートを用いて説明する。

第２の制御指令生成部２５が動作を開始すると、まず、ステップＳ１１において、Ｉ／Ｆ回路４１を介して電位を読み込む（Ａ／Ｄ変換）。

ＡＤＡＳ実行判定部３３は、Ｉ／Ｆ回路４１の電位がＬｏ電位か否かを確認し（ステップＳ１２）、Ｌｏ電位である場合（Ｙｅｓの場合）は、正常判定しステップＳ１３に移行する。一方、Ｉ／Ｆ回路４１の電位がＬｏ電位ではない場合は、異常判定し、ステップＳ１３に移行する。

ステップＳ１３では、ステップＳ１２での判定結果が正常判定か異常判定かを確認し、正常判定である場合（Ｙｅｓの場合）はステップＳ１７に移行する。一方、異常判定の場合（Ｎｏの場合）は、ステップＳ１４に移行する。

ステップＳ１４では、ＡＤＡＳシステムが正常、例えばセンサ１２からの信号が正常で、かつドライバーによりＡＤＡＳスイッチがＯＮされているか否かを判定し、条件を満たす場合（Ｙｅｓの場合）は、ＡＤＡＳ実行可としてステップＳ１５に移行する。一方、条件を満たさない場合（Ｎｏの場合）は、ＡＤＡＳ実行不可としてステップＳ１７に移行する。

ＡＤＡＳ縮退機能実行部３４は、ＡＤＡＳ実行判定部３３からＡＤＡＳ実行可の信号を受けた場合は、センサ１２からの信号、車両の状態などに基づいて、ＡＤＡＳ（または自動運転）の縮退機能を半導体集積回路２３上で実行し、コントローラユニット１３に対する操作量を算出し（ステップＳ１５）、操作量の信号（第２の制御指令）を車載ネットワーク１６に送信する（ステップＳ１６）。

一方、ＡＤＡＳ実行判定部３３からＡＤＡＳ実行不可の信号を受けた場合は、ＡＤＡＳ（または自動運転）の縮退機能を実行せず、操作量を算出せず（ステップＳ１７）、車載ネットワーク１６には何も送信しない（ステップＳ１８）。

図１０は、図７に示したＩ／Ｆ回路４０および４１の構成の一例を示す図である。図１０に示されるように、第１の制御装置１０と第２の制御装置１１が信号線１８で接続されるが、第１の制御装置１０の半導体集積回路２０の出力（デジタル信号）はＮＰＮトランジスタ１００２のベース信号として与えられ、ＮＰＮトランジスタ１００２のコレクタが端子Ｔ１を介して信号線１８に接続される。ＮＰＮトランジスタ１００２のエミッタは接地され、ゲートは抵抗素子１００１を介して接地される。これらのＮＰＮトランジスタ１００２および抵抗素子１００１がＩ／Ｆ回路４０を構成し、デジタル信号をアナログ信号に変換（Ｄ／Ａ変換）する。

また、第２の制御装置１１の半導体集積回路２３の入力は、端子Ｔ２を介して信号線１８に接続され、また、抵抗素子１１０１を介して、例えば電圧５Ｖの電源ＰＷに接続されている。これらの抵抗素子１１０１および電源ＰＷがＩ／Ｆ回路４１を構成し、アナログ信号をデジタル信号に変換（Ａ／Ｄ変換）する。このように、比較的簡単な構成の電気回路により状態判定部３０での判定結果を伝送するので、製造コストの増加を抑制できる。

図１１は、図１０に示したＩ／Ｆ回路４０および４１の論理を示す図である。図１１は、第１の制御装置１０の状態が、電源ＯＦＦの状態から電源ＯＮになって機能するまでを示す図であり、電源ＯＦＦ中、集積回路起動中、状態判定部３０での判定中、状態判定部３０での判定後における、第１の制御装置１０の半導体集積回路２０のポート、端子Ｔ１、第２の制御装置１１の端子Ｔ２、半導体集積回路２３のポートの電位を示している。

電源ＯＦＦの場合、半導体集積回路２０（マイクロコンピュータ）のポートは、ハイインピーダンスであり、半導体集積回路２０に電源が投入され、ポートの設定が行われるまでは、ハイインピーダンスを保つ。各ポートの設定が行われると、信号線１８につながるポートは設定した出力（ＨｉかＬｏ）となる。

ＯＳが起動し、最初の第１の制御指令生成部２２が実行されると、第１の制御指令生成部２２の中で、状態判定（自己診断）が開始され、状態判定中のポート出力は、例えばＬｏ（故障）に設定される。

自己診断が終了すると、判定結果が正常か異常か決まり，正常の場合はポートにＨｉを、異常の場合はＬｏを出力する。

図１０において、半導体集積回路２０のポートがハイインピーダンスである場合、端子Ｔ１およびＴ２は５Ｖになっている。これは、ポートがハイインピーダンスのため、ＮＰＮトランジスタ１００２（図１０）のベース電流は０であり、ＮＰＮトランジスタ１００２がオフし、第２の制御装置１１内で５Ｖにプルアップされている端子Ｔ２の電位は、接地に落ちる経路がないので５Ｖとなり、半導体集積回路２３のポートにはＨｉ電位が与えられる。

半導体集積回路２３のポートがＨｉ電位となると、第２の制御装置１１のＡＤＡＳ実行判定部３３では第１の制御装置１０が異常と判定され、その間は、第２の制御装置１１が縮退機能を実行する。従って、第１の制御装置１０が電源ＯＦＦの場合、第１の制御装置１０の半導体集積回路２０の起動中および状態判定部３０での判定中は、第２の制御装置１１が縮退機能での操作を行う。

なお、第１の制御装置１０が電源ＯＦＦの場合、第１の制御装置１０の半導体集積回路２０の起動中および状態判定部３０での判定中でも第２の制御装置１１が縮退機能での操作を行うことができるように、半導体集積回路２０および半導体集積回路２３に電源が供給されると、第１の制御指令生成部２２での実行開始よりも早く、第２の制御指令生成部２５が実行開始するように構成されている。これは、図４に示した車両制御装置１０１の統合制御装置１７のように、１つの半導体集積回路２７を有する構成においても同じである。

このように、例えば、瞬断などで第１の制御装置１０が電源ＯＦＦとなった場合、第１の制御装置１０の半導体集積回路２０の起動中および状態判定部３０での判定中は、第２の制御装置１１がＡＤＡＳ（または自動運転）の縮退機能を実行するので、車両が危険な状態になることを回避できる。また、第２の制御装置１１は、第１の制御装置１０の機能よりも縮退された縮退機能を実行すれば良いので、半導体集積回路２３の回路規模も小さくて済み、シームレスな自動運転継続を行うためのコストの増加を抑制できる。

＜第１および第２の制御指令生成部の内部構成の第２の実施例＞
図１２は、図２に示した車両制御装置１０１の構成における第１の制御指令生成部２２および第２の制御指令生成部２５の内部構成の第２の実施例を示す図である。

図７に示した第１の実施例では、状態判定部３０での判定結果である正常または異常の信号が信号線１８に与えられる構成であったが、図１２に示す第２の実施例では、ＡＤＡＳ実行判定部３１での結果であるＡＤＡＳ実行可またはＡＤＡＳ実行不可の信号が信号線１８に与えられる構成となっている。このような構成においても、第１の実施例と同様の効果を奏する。

次に、第２の実施例における第１の制御指令生成部２２の動作について、図１３に示すフローチャートを用いて説明する。

第１の制御指令生成部２２が動作を開始すると、状態判定部３０が半導体集積回路２０の自己診断結果が正常か否かを確認する（ステップＳ２１）。

自己診断結果が正常判定である場合（Ｙｅｓの場合）は、ステップＳ２２に移行する。一方、正常ではない異常判定の場合（Ｎｏの場合）もステップＳ２２に移行する。

ＡＤＡＳ実行判定部３１は、状態判定部３０での判定結果が正常判定か異常判定かを確認し、正常判定である場合（Ｙｅｓの場合）はステップＳ２３に移行する。一方、異常判定の場合（Ｎｏの場合）は、ステップＳ２７に移行する。

ステップＳ２３では、ＡＤＡＳシステムが正常、例えばセンサ１２からの信号が正常で、かつドライバーによりＡＤＡＳスイッチがＯＮされているか否かを判定し、条件を満たす場合（Ｙｅｓの場合）は、ＡＤＡＳ実行可としてＩ／Ｆ回路４０に対してＨｉ電位（正常）を出力し（ステップＳ２４）、ステップＳ２５に移行する。

一方、条件を満たさない場合（Ｎｏの場合）は、ＡＤＡＳ実行不可としてＩ／Ｆ回路４０に対してＬｏ電位（異常）を出力し（ステップＳ２７）、ステップＳ２８に移行する。

ＡＤＡＳ機能実行部３２は、ＡＤＡＳ実行判定部３１からＡＤＡＳ実行可の信号を受けた場合は、センサ１２からの信号、車両の状態などに基づいて、ＡＤＡＳ（または自動運転）機能を半導体集積回路２０上で実行し、コントローラユニット１３に対する操作量を算出し（ステップＳ２５）、操作量の信号（第１の制御指令）を車載ネットワーク１６に送信する（ステップＳ２６）。

一方、ＡＤＡＳ実行判定部３１からＡＤＡＳ実行不可の信号を受けた場合は、ＡＤＡＳ（または自動運転）機能を実行せず、操作量を算出せず（ステップＳ２８）、車載ネットワーク１６には何も送信しない（ステップＳ２９）。なお、第２の制御指令生成部２５の動作は、図９に示すフローチャートを用いて説明した動作と同じである。

＜実施の形態２＞
次に、実施の形態２の車両制御装置について図１４〜図１７を用いて説明する。図１４は、実施の形態２の車両制御装置２００を含む車両の構成を示すブロック図である。なお、図１４においては、図１に示した構成と同一の構成については同一の符号を付し、重複する説明は省略する。

図１４に示されるように車両制御装置２００は、図１に示した車両制御装置１００のような第１の制御装置１０と第２の制御装置１１との間の信号線１８を有さず、第２の制御装置１１が第１の制御装置１０から車載ネットワーク１６を介して信号を受信する構成となっている。

図１５は、図１４に示した車両制御装置２００の構成における第１の制御指令生成部２２および第２の制御指令生成部２５の内部構成を示す図である。

図１５に示されるように、センサ１２から出力される各種信号は、第１の制御指令生成部２２および第２の制御指令生成部２５に入力され、第１の制御指令生成部２２と第２の制御指令生成部２５で生成された車両操作のための操作量の信号（第１の制御指令、第２の制御指令）は、コントローラユニット１３に入力される。また、第１の制御指令生成部２２と第２の制御指令生成部２５との間を接続する信号線１８が不要であるので、Ｉ／Ｆ回路４０および４１も不要となる。また、第１の制御指令生成部２２の状態判定部３０、または、ＡＤＡＳ実行判定部３１の出力は、第２の制御指令生成部２５に対して分岐されない。その代わりに、第２の制御指令生成部２５のＡＤＡＳ実行判定部３３は、車載ネットワーク１６に接続され、第１の制御指令生成部２２のＡＤＡＳ機能実行部３２の出力を受ける構成となっており、第１の制御指令生成部２２がコントローラユニット１３に向けて送信している操作量の信号（第１の制御指令）を受信する。

ＡＤＡＳ実行判定部３３は、第１の制御指令生成部２２が、操作量の信号を送信しているか否かを判定し、送信がされている場合、すなわち第１の制御指令生成部２２が正常である場合は、ＡＤＡＳ実行不可の信号をＡＤＡＳ縮退機能実行部３４に出力し、送信がされていない場合、すなわち第１の制御指令生成部２２が異常である場合は、ＡＤＡＳ実行可の信号をＡＤＡＳ縮退機能実行部３４に出力する。

このように、車両制御装置２００においては、第１の制御装置１０と第２の制御装置１１との間の信号線１８が不要となり、Ｉ／Ｆ回路４０および４１も不要となる。このため、製造コストが削減できる。

次に、第１の制御指令生成部２２の動作について、図１６に示すフローチャートを用いて説明する。

第１の制御指令生成部２２が動作を開始すると、状態判定部３０が半導体集積回路２０の自己診断結果が正常か否かを確認する（ステップＳ３１）。

自己診断結果が正常判定である場合（Ｙｅｓの場合）は、ステップＳ３２に移行する。一方、自己診断結果が異常判定の場合（Ｎｏの場合）もステップＳ３２に移行する。

ＡＤＡＳ実行判定部３１は、状態判定部３０での判定結果が正常判定か異常判定かを確認し（ステップＳ３２）、正常判定である場合（Ｙｅｓの場合）はステップＳ３３に移行する。一方、異常判定の場合（Ｎｏの場合）は、ステップＳ３６に移行する。

ステップＳ３３では、ＡＤＡＳシステムが正常、例えばセンサ１２からの信号が正常で、かつドライバーによりＡＤＡＳスイッチがＯＮされているか否かを判定し、条件を満たす場合（Ｙｅｓの場合）は、ＡＤＡＳ実行可としてステップＳ３４に移行する。一方、条件を満たさない場合（Ｎｏの場合）は、ＡＤＡＳ実行不可としてステップＳ３６に移行する。

ＡＤＡＳ機能実行部３２は、ＡＤＡＳ実行判定部３１からＡＤＡＳ実行可の信号を受けた場合は、センサ１２からの信号、車両の状態などに基づいて、ＡＤＡＳ（または自動運転）機能を半導体集積回路２０上で実行し、コントローラユニット１３に対する操作量を算出し（ステップＳ３４）、操作量の信号（第１の制御指令）を車載ネットワーク１６に送信する（ステップＳ３５）。

一方、ＡＤＡＳ実行判定部３１からＡＤＡＳ実行不可の信号を受けた場合は、ＡＤＡＳ（または自動運転）機能を実行せず、操作量を算出せず（ステップＳ３６）、車載ネットワーク１６には何も送信しない（ステップＳ３７）。

次に、第２の制御指令生成部２５の動作について、図１７に示すフローチャートを用いて説明する。

第２の制御指令生成部２５が動作を開始すると、まず、ステップＳ４１において、車載ネットワーク１６から信号を受信する。

ＡＤＡＳ実行判定部３３は、第１の制御指令生成部２２が操作量の信号を送信しているか、すなわち正常に動作しているかを判定し（ステップＳ４２）、操作量の信号を送信している場合（Ｙｅｓの場合）は、正常判定しステップＳ４３に移行する。一方、操作量の信号を送信していない場合（Ｎｏの場合）は、異常判定し、ステップＳ４３に移行する。

ステップＳ４３では、ステップＳ４２での判定結果が正常判定か異常判定かを確認し、正常判定である場合（Ｙｅｓの場合）はステップＳ４７に移行する。一方、異常判定の場合（Ｎｏの場合）は、ステップＳ４４に移行する。

ステップＳ４４では、ＡＤＡＳシステムが正常、例えばセンサ１２からの信号が正常で、かつドライバーによりＡＤＡＳスイッチがＯＮされているか否かを判定し、条件を満たす場合（Ｙｅｓの場合）は、ＡＤＡＳ実行可としてステップＳ４５に移行する。一方、条件を満たさない場合（Ｎｏの場合）は、ＡＤＡＳ実行不可としてステップＳ４７に移行する。

ＡＤＡＳ縮退機能実行部３４は、ＡＤＡＳ実行判定部３３からＡＤＡＳ実行可の信号を受けた場合は、センサ１２からの信号、車両の状態などに基づいて、ＡＤＡＳ（または自動運転）の縮退機能を半導体集積回路２３上で実行し、コントローラユニット１３に対する操作量を算出し（ステップＳ４５）、操作量の信号（第２の制御指令）を車載ネットワーク１６に送信する（ステップＳ４６）。

一方、ＡＤＡＳ実行判定部３３からＡＤＡＳ実行不可の信号を受けた場合は、ＡＤＡＳ（または自動運転）の縮退機能を実行せず、操作量を算出せず（ステップＳ４７）、車載ネットワーク１６には何も送信しない（ステップＳ４８）。

＜実施の形態３＞
次に、実施の形態２の車両制御装置３００について図１８〜図２０を用いて説明する。図１８は、実施の形態３の車両制御装置３００を含む車両の構成を示すブロック図である。なお、図１８においては、図１に示した車両制御装置１００の構成と同一の構成については同一の符号を付し、重複する説明は省略する。

図１８に示されるように車両制御装置３００は、第１の制御装置１０と第２の制御装置１１との間に信号線１８を有すると共に、第２の制御装置１１が第１の制御装置１０から車載ネットワーク１６を介して信号を受信する構成となっている。

図１９は、図１８に示した車両制御装置３００の構成における第１の制御指令生成部２２および第２の制御指令生成部２５の内部構成を示す図である。

図１９に示すように車両制御装置３００においては、図７を用いて説明した車両制御装置１００および図１５を用いて説明した車両制御装置２００を組み合わせた構成を有しており、第１の制御指令生成部２２と第２の制御指令生成部２５との間は、Ｉ／Ｆ回路４０および４１を介して信号線１８で接続されている。また、第２の制御指令生成部２５のＡＤＡＳ実行判定部３３は、車載ネットワーク１６に接続され、第１の制御指令生成部２２のＡＤＡＳ機能実行部３２の出力を受ける構成となっており、第１の制御指令生成部２２がコントローラユニット１３に向けて送信している操作量の信号（第１の制御指令）を受信する。

ここで、実施の形態１においては、ＯＳが起動し、第１の制御指令生成部２２の中で、状態判定中の期間はポート出力はＬｏ（故障）に設定されるものとしたが、この期間にポート出力がＨｉ（正常）に設定される場合、第２の制御装置１１は第１の制御装置１０が正常に動作していると判断し、縮退機能は実行されない。しかし、第１の制御装置１０は動作していないので車載ネットワーク１６には操作量が送信されない。しかし、車両制御装置３００では、第２の制御指令生成部２５のＡＤＡＳ実行判定部３３は、車載ネットワーク１６に接続され、第１の制御指令生成部２２のＡＤＡＳ機能実行部３２の出力を受ける構成となっているので、車載ネットワーク１６に操作量が送信されていない場合には、第１の制御装置１０が機能停止していると判断され、第２の制御装置１１がＡＤＡＳ（または自動運転）の縮退機能を実行することができる。第１の制御装置１０の半導体集積回路２０の状態判定部３０での判定中は、第２の制御装置１１がＡＤＡＳ（または自動運転）の縮退機能を実行するので、車両が危険な状態になることを回避できる。

また、第１の制御指令生成部２２と第２の制御指令生成部２５との間は、Ｉ／Ｆ回路４０および４１を介して信号線１８で接続されているので、第１の制御装置１０が電源ＯＦＦの場合および第１の制御装置１０の半導体集積回路２０の起動中は第２の制御装置１１がＡＤＡＳ（または自動運転）の縮退機能を実行するので、車両が危険な状態になることを回避できる。

第２の制御指令生成部２５の動作について、図２０に示すフローチャートを用いて説明する。なお、第１の制御指令生成部２２の動作は、図８に示すフローチャートを用いて説明した動作と同じである。

第２の制御指令生成部２５が動作を開始すると、まず、ステップＳ７１において、Ｉ／Ｆ回路４１を介して電位を読み込む（Ａ／Ｄ変換）。

次に、ステップＳ７２において、車載ネットワーク１６から信号を受信する。

ＡＤＡＳ実行判定部３３は、Ｉ／Ｆ回路４１の電位がＬｏ電位か否かを確認し（ステップＳ７３）、Ｌｏ電位である場合（Ｙｅｓの場合）はステップＳ７４に移行する。一方、Ｉ／Ｆ回路４１の電位がＬｏ電位ではない場合は、異常判定し、ステップＳ７５に移行する。

また、ＡＤＡＳ実行判定部３３は、第１の制御指令生成部２２が操作量の信号を送信しているか、すなわち正常に動作しているかを判定し（ステップＳ７４）、操作量の信号を送信している場合（Ｙｅｓの場合）は、正常判定しステップＳ７５に移行する。一方、操作量の信号を送信していない場合（Ｎｏの場合）は、異常判定し、ステップＳ７５に移行する。

ステップＳ７５では、ステップＳ７４での判定結果が正常判定か異常判定かを確認し、正常判定である場合（Ｙｅｓの場合）は、ＡＤＡＳ実行不可としてステップＳ７９に移行する。一方、異常判定の場合（Ｎｏの場合）は、ステップＳ７６に移行する。

ステップＳ７６では、ＡＤＡＳシステムが正常、例えばセンサ１２からの信号が正常で、かつドライバーによりＡＤＡＳスイッチがＯＮされているか否かを判定し、条件を満たす場合（Ｙｅｓの場合）は、ＡＤＡＳ実行可としてステップＳ７７に移行する。一方、条件を満たさない場合（Ｎｏの場合）は、ＡＤＡＳ実行不可としてステップＳ７９に移行する。

ＡＤＡＳ縮退機能実行部３４は、ＡＤＡＳ実行判定部３３からＡＤＡＳ実行可の信号を受けた場合は、センサ１２からの信号、車両の状態などに基づいて、ＡＤＡＳ（または自動運転）の縮退機能を半導体集積回路２３上で実行し、コントローラユニット１３に対する操作量を算出し（ステップＳ７７）、操作量の信号（第２の制御指令）を車載ネットワーク１６に送信する（ステップＳ７８）。

一方、ＡＤＡＳ実行判定部３３からＡＤＡＳ実行不可の信号を受けた場合は、ＡＤＡＳ（または自動運転）の縮退機能を実行せず、操作量を算出せず（ステップＳ７９）、車載ネットワーク１６には何も送信しない（ステップＳ８０）。

なお、本開示は、その範囲内において、各実施の形態を自由に組み合わせたり、各実施の形態を適宜、変形、省略することが可能である。

１０第１の制御装置、１１第２の制御装置、２２第１の制御指令生成部、２５第２の制御指令生成部、１００，１０１，１０２，１０３，２００，３００車両制御装置。

本開示に係る車両制御装置は、車両に搭載され、前記車両の駆動を制御する車両制御装置であって、前記車両の駆動装置に第１の制御指令を送信する第１の制御指令生成部と、前記駆動装置に第２の制御指令を送信する第２の制御指令生成部と、を構成する、少なくとも１つの半導体集積回路を備え、前記第１の制御指令生成部は、前記第１の制御指令生成部が正常か異常かを判定する状態判定部を有し、前記第１の制御指令生成部から前記第２の制御指令生成部へ、前記状態判定部の状態判定結果が伝送され、前記第１および第２の制御指令生成部は、前記状態判定結果が、正常であれば、前記第１の制御指令生成部が前記車両の前記駆動装置に前記第１の制御指令を送信し、かつ、前記第２の制御指令生成部は前記車両の前記駆動装置に前記第２の制御指令を送信せず、前記状態判定結果が、異常であれば、前記第２の制御指令生成部が前記車両の前記駆動装置に前記第２の制御指令を送信し、かつ、前記第１の制御指令生成部が前記車両の前記駆動装置に前記第１の制御指令を送信しないように構成され、前記第１の制御指令生成部は、前記状態判定部での状態判定が完了するまでは、異常の判定結果を前記第２の制御指令生成部に伝送し、前記第１および第２の制御指令生成部は、前記少なくとも１つの半導体集積回路に電源が供給されると、前記第１の制御指令生成部よりも、前記第２の制御指令生成部が早く実行開始される。

Claims

車両に搭載され、前記車両の駆動を制御する車両制御装置であって、
前記車両の駆動装置に第１の制御指令を送信する第１の制御指令生成部と、
前記駆動装置に第２の制御指令を送信する第２の制御指令生成部と、を構成する、少なくとも１つの半導体集積回路を備え、
前記第１の制御指令生成部は、
前記第１の制御指令生成部が正常か異常かを判定する状態判定部を有し、
前記第１の制御指令生成部から前記第２の制御指令生成部へ、前記状態判定部の状態判定結果が伝送され、
前記第１および第２の制御指令生成部は、
前記状態判定結果が、正常であれば、前記第１の制御指令生成部が前記車両の前記駆動装置に前記第１の制御指令を送信し、かつ、前記第２の制御指令生成部は前記車両の前記駆動装置に前記第２の制御指令を送信せず、
前記状態判定結果が、異常であれば、前記第２の制御指令生成部が前記車両の前記駆動装置に前記第２の制御指令を送信し、かつ、前記第１の制御指令生成部が前記車両の前記駆動装置に前記第１の制御指令を送信しないように構成され、
前記第１の制御指令生成部は、
前記状態判定部での状態判定が完了するまでは、異常または正常の判定結果を前記第２の制御指令生成部に伝送する、車両制御装置。
前記第１の制御指令生成部と前記第２の制御指令生成部との間は、前記第１の制御指令生成部側の第１のインターフェース回路と、前記第２の制御指令生成部側の第２のインターフェース回路とを介して信号線によって接続され、
前記状態判定部での状態判定が完了するまでの間、前記第１の制御指令生成部から前記第２の制御指令生成部へ前記異常の判定結果が伝送される場合、前記異常の判定結果は、前記第１および第２のインターフェース回路により生成される、請求項１記載の車両制御装置。
前記第１の制御指令生成部と前記第２の制御指令生成部との間は、前記第１の制御指令生成部側の第１のインターフェース回路と、前記第２の制御指令生成部側の第２のインターフェース回路とを介して信号線によって接続されると共に、前記第２の制御指令生成部は、前記第１の制御指令生成部から前記第１の制御指令を受信できるように構成され、
前記状態判定部での状態判定が完了するまでの間、前記第１の制御指令生成部から前記第２の制御指令生成部へ前記正常の判定結果が伝送される場合、
前記第２の制御指令生成部は、
前記第１の制御指令生成部からの前記第１の制御指令が受信されない場合、前記第１の制御指令生成部が異常と判定して前記車両の前記駆動装置に前記第２の制御指令を送信する、請求項１記載の車両制御装置。
車両に搭載され、前記車両の駆動を制御する車両制御装置であって、
前記車両の駆動装置に第１の制御指令を送信する第１の制御指令生成部と、
前記車両の駆動装置に第２の制御指令を送信する第２の制御指令生成部と、を構成する、少なくとも１つの半導体集積回路を備え、
前記第１の制御指令生成部は、
前記第１の制御指令生成部が正常か異常かを判定する状態判定部を有し、
前記第１の制御指令生成部から前記第２の制御指令生成部へ、前記状態判定部の状態判定結果が伝送され、
前記第１および第２の制御指令生成部は、
前記状態判定結果が、正常であれば、前記第１の制御指令生成部が前記車両の前記駆動装置に前記第１の制御指令を送信し、かつ、前記第２の制御指令生成部は前記車両の前記駆動装置に前記第２の制御指令を送信せず、
前記状態判定結果が、異常であれば、前記第２の制御指令生成部が前記車両の前記駆動装置に前記第２の制御指令を送信し、かつ、前記第１の制御指令生成部が前記車両の前記駆動装置に前記第１の制御指令を送信しないように構成され、
前記第２の制御指令生成部は、前記第１の制御指令生成部から前記第１の制御指令を受信できるように構成され、
前記第２の制御指令生成部は、
前記第１の制御指令生成部からの前記第１の制御指令が受信されない場合、前記第１の制御指令生成部が異常と判定して前記車両の前記駆動装置に前記第２の制御指令を送信する、車両制御装置。
前記第１および第２の制御指令生成部は、
前記少なくとも１つの半導体集積回路に電源が供給されると、前記第１の制御指令生成部よりも、前記第２の制御指令生成部が早く実行開始される、請求項１または請求項４記載の車両制御装置。
前記第２の制御指令生成部は、
前記第１の制御指令生成部が実行する機能よりも縮退された縮退機能を実行する、請求項１または請求項４記載の車両制御装置。