JP3851522B2

JP3851522B2 - 車両の自動運転システム

Info

Publication number: JP3851522B2
Application number: JP2001195066A
Authority: JP
Inventors: 恭文山田; 学小野; 彰英橘; 芳宏大桑; 英夫中村
Original assignee: Denso Corp; Toyota Motor Corp
Current assignee: Denso Corp; Toyota Motor Corp
Priority date: 2001-06-27
Filing date: 2001-06-27
Publication date: 2006-11-29
Anticipated expiration: 2021-06-27
Also published as: JP2003015742A

Description

【０００１】
【発明の属する技術分野】
この発明は車両の自動運転システムに関するものである。
【０００２】
【従来の技術】
車両の自動運転システムは、通信インフラと自動車搭載機器を利用して道路と車の路車間通信や車同士で行う車車間通信を用いて車載情報処理装置により道路から受け取った信号を基に車両制御用アクチュエータを制御して自動運転を行うものである。このとき、安全性を確保する目的で車載側センサを多重化するとともにセンサ信号を処理する車載情報処理装置を多重化することが行われている。センサと情報処理装置を完全に多重化することは全ての部品を複数用意することであり、これによりいずれかの部品に不具合が発生したとしても待避走行を行うことができフェールセーフ化を図ることが可能となるが、反面、部品点数が膨大になり、機能としては満足できるが、コスト・体格の面では好ましくないという問題点がある。また、それを避けようとすると、一部の部品は多重化でなくなり安全性が損なわれてしまう。
【０００３】
【発明が解決しようとする課題】
本発明はこのような背景の下になされたものであり、その目的は、車載機器のコストアップや大型化を避けつつ安全性を確保することができる車両の自動運転システムを提供することにある。
【０００４】
【課題を解決するための手段】
請求項１に記載の発明によれば、各処理系において一つ設けられたデコーダは、処理装置からアドレスバスを通して送られてくるアドレスデータに対応する入力回路に対しセレクト信号を送る。そして、各処理系において複数設けられた入力回路は、セレクト信号に応答してセンサからの入力データをデータバスを通して各処理系での処理装置に送る。このようにして、入力回路を順に選択して多重化されたセンサでの各センサからのデータを処理装置に取り込む。
【０００５】
このようにして、車載側において、多重化されたセンサからの信号が多重化された処理系に取り込まれ、各処理系において複数の処理装置により演算処理が行われ、複数の処理装置での各演算結果が各処理系での比較装置により比較されて、不一致の場合には演算結果が一致している処理系での演算結果に基づいて走行制御用アクチュエータが制御されて道路に沿って車両が自動運転される。
【０００６】
ここで、もしデコーダやその周辺部品が故障し、同じ入力回路を選択し続けていたとしたら、処理装置としては、多重化されたセンサ入力はどれも同じ値になり全部正常と判断してしまい、多重化構成の本来の機能を果たすことができなくなる。
【０００７】
本発明では、入力回路を順に選択して多重化されたセンサでの各センサからのデータを処理装置に取り込む際の入力回路からデータを処理装置に送るときに、データを送る入力回路を特定するための識別子を付与し、処理装置においてデコーダへのアドレスデータと入力回路から送られた識別子を比較して選択した入力回路とデータを送ってきた入力回路が不一致の場合には異常であると判定するようにした。
【０００８】
よって、デコーダやその周辺部品については多重化されていないが、デコーダやその周辺部品の故障が検出できることになる。これにより、デコーダやその周辺部品の故障が検出でき、不具合を回避するための処置を行うことが可能となる。その結果、多重化していない部位においてもダイアグ機能を持たせることにより安全性を確保することができる。
【０００９】
このようにして、車載機器のコストアップや大型化を避けつつ安全性を確保することができる。
また、請求項２に記載のように、異常であると判定した際には、走行制御用アクチュエータを制御するための処理系を切り替えるようにするとよい。
【００１０】
【発明の実施の形態】
以下、この発明を具体化した実施の形態を図面に従って説明する。
図１には、本実施の形態における車両の自動運転システムの全体構成を示す。走行道路１０にはその幅方向中央部に磁気レーンマーカー１１が所定の間隔をおいて多数埋設されている。磁気レーンマーカー１１からは磁気信号が発せられる。一方、走行道路１０を走行する車両２０側において、磁気ネイルセンサ２１が搭載され、磁気ネイルセンサ２１により磁気レーンマーカー１１が発する磁気信号を検出することができるようになっている。
【００１１】
また、走行道路１０にはループアンテナ１２が所定の間隔をおいて多数埋設されるとともに、この各ループアンテナ１２は路車間通信路側機１３を通して管制装置１４と接続されている。一方、車両２０側において、路車間通信機２２が搭載され、路車間通信機２２によりループアンテナ１２と路車間通信路側機１３を介して管制装置１４と通信できるようになっている。
【００１２】
さらに、車両２０側において、衝突防止レーダ２３や車車間通信装置２４や車間距離センサ２５が搭載されている。衝突防止レーダ２３は衝突対象物との距離が所定値よりも接近した場合には車両停止信号を出力する。また、車車間通信装置２４により車車間での通信を行うことができる。さらに、車間距離センサ２５により車間距離が測定される。
【００１３】
また、車両２０にはコントローラ（車両制御ＥＣＵ）２６とドライバ２７とアクセル用アクチュエータ２８とブレーキ用アクチュエータ２９とステアリング用アクチュエータ３０が搭載されている。コントローラ２６は各種のセンサからの信号を取り込んで所定の演算処理を実行し、その演算結果に基づいてドライバ２７を介してアクセル用アクチュエータ２８とブレーキ用アクチュエータ２９とステアリング用アクチュエータ３０を作動させて所望の自動運転を行わせる。また、コントローラ２６は緊急停止する必要がある時にはドライバ２７を介して非常ブレーキ用アクチュエータ（図示略）を作動させるようになっている。
【００１４】
このように本システムは、走行道路１０に埋設された磁気レーンマーカー１１を、車両に搭載された磁気ネイルセンサ２１により検出し、コントローラ２６によりアクセル、ブレーキ、ステアリングの各アクチュエータ２８，２９，３０を制御しながら車両２０が道路中央部を走行するよう誘導するシステムである。
【００１５】
図１におけるコントローラ２６の詳細を、図２に示す。
図２において、コントローラ２６にはメインＣＰＵ４１とサブＣＰＵ４２が備えられ、ＣＰＵに関して多重化（２重化）されている。メインＣＰＵ４１にはデータバス４３が接続され、このデータバス４３には拡張入力回路４４，４５，４６，…がそれぞれ接続されている。本例のデータバス４３は８ビットである。拡張入力回路４４，４５，４６，…には、それぞれ多重化されたセンサが接続されている。具体的には、多重化されたセンサＡ−１，Ａ−２，Ａ−３，…に関して、センサＡ−１が拡張入力回路４４に、センサＡ−２が拡張入力回路４５に、センサＡ−３が拡張入力回路４６に、それぞれ接続されている。また、多重化されたセンサＢ−１，Ｂ−２，Ｂ−３，…に関して、センサＢ−１が拡張入力回路４４に、センサＢ−２が拡張入力回路４５に、センサＢ−３が拡張入力回路４６に、それぞれ接続されている。
【００１６】
また、メインＣＰＵ４１にはアドレスバス４７が接続され、このアドレスバス４７にはデコーダ４８が接続されている。本例のアドレスバス４７は３ビットである。このデコーダ４８には拡張入力回路４４，４５，４６，…がそれぞれ接続されている。そして、メインＣＰＵ４１から拡張入力回路４４，４５，４６，…を選択するためのアドレスデータがアドレスバス４７に送出されると、デコーダ４８を通して選択された拡張入力回路４４，４５，４６，…に対してセレクト信号が送られる。このセレクト信号により拡張入力回路４４，４５，４６，…においてはセンサデータがデータバス４３を通してメインＣＰＵ４１に送られる。この入力データに基づいてメインＣＰＵ４１は各種の演算を実行する。
【００１７】
また、メインＣＰＵ４１からサブＣＰＵ４２に対し、メインＣＰＵ４１で取り込んだ入力データ（センサデータ）を送るようになっている。このデータに基づいてサブＣＰＵ４２はメインＣＰＵ４１での演算と同じ処理を実行する。
【００１８】
メインＣＰＵ４１とサブＣＰＵ４２には比較装置４９が接続され、メインＣＰＵ４１での処理データ（演算結果）とサブＣＰＵ４２での処理データ（演算結果）が比較装置４９に送られる。比較装置４９は両データ（両演算結果）を比較して、メインＣＰＵ４１での処理データとサブＣＰＵ４２での処理データが一致しないとＣＰＵ故障信号を出力する。
【００１９】
このような構成をなすコンピュータ４０が、もう一つ用意されている。つまり、コンピュータ１系４０と、これと同じ構成をなすコンピュータ２系６０を備えている。
【００２０】
コンピュータ１系４０とコンピュータ２系６０には系選択装置７０が接続されている。この系選択装置７０とコンピュータとの信号のやり取りをコンピュータ１系４０で説明すると、メインＣＰＵ４１から系選択装置７０へは出力データが送られるとともにサブＣＰＵ４２から系選択装置７０へも出力データが送られる。そして、系選択装置７０においていずれかの出力データを外部のドライバ２７（図１参照）に送出する。本例では、メインＣＰＵ４１とサブＣＰＵ４２とを比較した場合、メインＣＰＵ４１の優先度が高く設定されており、当初、メインＣＰＵ４１からの出力データがドライバ２７に送られる。また、メインＣＰＵ４１から系選択装置７０へは自系停止信号が送られるとともにサブＣＰＵ４２から系選択装置７０へも自系停止信号が送られる。そして、系選択装置７０において、ドライバ２７に送るデータとして自系停止信号が送られてきた方のＣＰＵ（異常が発生したＣＰＵ）から正常な方のＣＰＵに切り替えられる。
【００２１】
さらに、比較装置４９からのＣＰＵ故障信号が系選択装置７０に送られる。このＣＰＵ故障信号に応答して系選択装置７０はコンピュータ１系から２系に切り替える（２系を選択する）。つまり、メインＣＰＵ４１とサブＣＰＵ４２が正常時には演算後の結果を比較データとして比較装置４９に出力し、比較装置４９は比較データが一致していることを監視しており、不一致になったらＣＰＵ故障信号を系選択装置７０に出力し、系選択装置７０は、コンピュータを１系から２系に切り替える（２系を選択する）。
【００２２】
なお、コンピュータ１系４０にいて説明したが、コンピュータ２系６０も同様な構成および動作となる。
ここまでの説明において本例の車両の自動運転システムは、車載側において、多重化されたセンサからの信号を多重化された処理系４０，６０に取り込み、各処理系４０，６０において複数の処理装置（メインＣＰＵ４１、サブＣＰＵ４２）により演算処理を行い、複数の処理装置（メインＣＰＵ４１、サブＣＰＵ４２）での各演算結果を各処理系４０，６０での比較装置４９により比較して、不一致の場合には演算結果が一致している処理系での演算結果に基づいて走行制御用アクチュエータ２８，２９，３０を制御して道路１０に沿って車両２０を自動運転する。
【００２３】
ここで、本実施の形態での車両の自動運転システムにおいては、図２に示すように、各拡張入力回路４４，４５，４６，…において、８本の入力ポートに対しそのうちの３本を各拡張入力回路を特定するためのアドレス専用のポートとして用いている。つまり、入力８ビットのうちの３ビットを各拡張入力回路を特定するためのアドレスとして用いている。よって、図２のデコーダ４８が、メインＣＰＵ４１からのアドレスデータにより選択すべき拡張入力回路４４,４５，４６，…に対しセレクト信号を出力すると、多重化されたセンサ信号を入力している拡張入力回路４４,４５，４６，…は、デコーダ４８により選択された時、データバス４３にアドレスデータを含む入力信号と同じデータを送出し、メインＣＰＵ４１はこのデータを取り込むことになる。
【００２４】
ここで、本実施形態の場合は、拡張入力回路４４,４５，４６，…における８ビットのうちの３ビットをアドレス識別用のデータ（識別子）として利用しているため、８個の拡張入力回路を識別することができる。
【００２５】
次に、車両の自動運転システムの作用を、図３を用いて説明する。図３は、メインＣＰＵ４１が５ｍｓｅｃ毎に行う処理内容を示すフローチャートである。
メインＣＰＵ４１は、センサ入力を取り込むために、図３における処理を５ｍｓｅｃ毎に開始してステップ１００でアドレスデータとして第１の拡張入力回路４４を選択するためのＮ＝０をアドレスバス４７に出力する。すると、これを受けて図２のデコーダ４８が、選択すべき拡張入力回路４４に対しセレクト信号を送出する。これを受けた拡張入力回路４４が自身の入力データ（８ビット）をデータバス４３に送出する。この時、入力のうち３つはアドレス識別用のデータ（３ビット分の識別子）として同時に送出される。
【００２６】
メインＣＰＵ４１は、ステップ１０１で、データバス４３を通して送られてきた拡張入力回路４４からのデータを取り込む。そして、メインＣＰＵ４１は、ステップ１０２で、取り込んだデータにおけるアドレス（識別子）が指定した第１の拡張入力回路４４を選択するためのアドレスデータ（Ｎ＝０）であるか否か判定する。
【００２７】
Ｎ＝０であれば、メインＣＰＵ４１は、ステップ１０３でＮ値を１インクリメントしてＮ＝１とした後、Ｎ＝７でなければステップ１００に戻り、ステップ１００〜１０４を繰り返して、同様にして順次、拡張入力回路４５→４６→…からそれぞれのデータを取り込む。そして、第１〜第８の拡張入力回路からのセンサ信号を取り込んだならば、メインＣＰＵ４１は、ステップ１０４からステップ１０５に移行して多重化したセンサにおける各センサ値が全て一致するか否か判定する。多重化したセンサにおける各センサ値が全て一致すると、メインＣＰＵ４１は、ステップ１０６に移行して所定の演算処理を実行する。また、多重化したセンサにおける各センサ値が全て一致しないと、メインＣＰＵ４１は、ステップ１０７に移行して自系停止信号を出力する。このようにメインＣＰＵ４１は取り込んだ入力のうち、多重化されたセンサ入力に対応するものを比較してセンサの異常を監視するという機能を担っている。この自系停止信号が図２の系選択装置７０に送られると、系選択装置７０において、ドライバ２７に送るデータとして自系停止信号が送られてきた方のＣＰＵから正常な方のＣＰＵに切り替えられることになる。
【００２８】
また、メインＣＰＵ４１はこれらの入力データをサブＣＰＵ４２にも受け渡し、メインおよびサブＣＰＵ４１，４２は同じ入力値で演算を行い、その結果を図２の比較装置４９に送出し、一致していればメインＣＰＵ４１からの出力を基に全体の制御が行われることになる。
【００２９】
一方、図３のステップ１０２において、取り込んだデータにおけるアドレス（識別子）が指定した拡張入力回路を選択するためのアドレス（Ｎ値）と一致しないと、メインＣＰＵ４１は、ステップ１０７に移行して自系停止信号を出力する。
【００３０】
以上のような処理が行われることにより、以下の効果を奏する。この効果の説明を、比較のための図４，５を用いて行う。図４は、図２での各拡張入力回路４４，４５，４６，…において８本の入力ポート全てにセンサをつないだものであり、図５は、図３でのステップ１０２の処理を行わなかった場合のフローチャートである。
【００３１】
車両の自動運転システムにおいては、自動運転、無人走行であるが故に安全走行が第１であり、また故障時には安全側に停止させること、また、冗長系による一時待避のための走行機能等が重要となってくる。そのため、追突防止のための衝突防止レーダや、車間距離センサ、車車間通信、またループアンテナを介した路車間通信等により、安全な走行管制システムを構築することが必須である。そして、コントローラ（車両制御ＥＣＵ）において、重要故障時にも安全にかつ待避走行も可能とするため、ＣＰＵの二重化およびＣＰＵ部の多冗長系（本例では二冗長系）を構築としている。また、センサ入力が故障した場合の問題点として、自動運転システムにおける車両制御コンピュータの入力部でのハード構成部の故障に関し、特に、拡張した入力ポート部分の、多重化されていない部分の故障を検知することが必要となってくる。
【００３２】
図４のように、自動運転においては安全性が最優先されるため、ＣＰＵの多重化、冗長化、センサ入力の多重化等により、故障率を極力下げる方法がとられている。ここで、例えば、センサＡという入力は、追突防止用の近接センサであったり、人への衝突を避けるための人感知センサであったり、また非常ブレーキ用のセンサであったりする。これらのセンサにより、車両は緊急停止する制御になっており、もしセンサが故障していると車両同士の追突や、人身事故を招いたりすることになる。そのため、センサ故障はすぐに検知し修理することが必須となる。
【００３３】
その対策として、センサの数を例えば３つ（センサＡ−１、センサＡ−２、センサＡ−３）にし、それらの入力をＣＰＵでチェックし、センサが全部正常であるかどうかを常に監視しており、故障を検知することができるようにしてある。３つのセンサ全部が同じ信号であれば正常で、一つでも違えばどれかが故障していると判断し、緊急停止し、この車両を待避、修理を行うことができる。
【００３４】
以上のように複数の入力により、安全性には十分な配慮がなされているが、車両制御コンピュータのすべての部分を複数にすることは、膨大な回路規模になり、コストも増大し、製品としての実現性に欠けてくる。そのため、複数化するところとそうでないところが共存する。
【００３５】
図４，５の場合、一つしかないデコーダ４８が故障する可能性がある。例えば、デコーダ４８が故障して同一の拡張入力回路に対しセレクト信号を出力し続ける状態になる。このように、図４，５の場合、デコーダ４８の故障検知ができず、センサ異常を検知する機能を損なう可能性がある。
【００３６】
これに対し、図２，３の場合においては、その対策が講じられており、デコーダ４８の故障を検知できる。特に安全性を重視した多重系コンピュータにおいて、複数のＣＰＵにより多重化構成されているにも関わらず、周辺の多重化されていない部分が故障した時、多重化の効果がなくなることに対し、簡単な構成により入力拡張用のデコーダ周辺部分の故障も検知することができる。つまり、デコーダ４８が故障して同一の拡張入力回路に対しセレクト信号を出力し続ける状態になってしまった場合、メインＣＰＵ４１は取り込んだ拡張入力回路からのデータの内の３ビットのアドレスデータ部分が要求した拡張入力回路と同一であるかどうかをチェックしているため、要求とは異なる拡張入力回路であることがすぐに判別でき、故障を検知することができる。この場合、メインＣＰＵ４１は、自系停止信号を系選択装置７０に送出し、系選択装置７０はコンピュータを１系から２系に切り替える。
【００３７】
以上のように、図２，３の構成とすることにより、図４，５の構成とした場合に比べデコーダ４８の故障検知ができセンサ異常を検知する機能を損なうことがない。
【００３８】
つまり、ＣＰＵへの入力として拡張入力のためのデコーダ４８を用いる場合、図４の構成とした場合、機能としては、多重化されたセンサ入力を取り込んで、ＣＰＵがセンサ異常はないかどうかをチェックしているが、この場合、もしデコーダ４８が故障し、同じ拡張入力回路を選択し続けていたとしたら、ＣＰＵとしては、多重化されたセンサ入力はどれも同じ値になり全部正常と判断してしまい、デコーダ４８の故障を検知できずに多重化構成の本来の機能を果たしていないことになってしまう。これに対し、拡張入力回路からデータを処理装置（メインＣＰＵ４１）に送る際に、データを送る拡張入力回路を特定するための識別子を付与し、処理装置（メインＣＰＵ４１）においてデコーダ４８へのアドレスデータと拡張入力回路から送られた識別子を比較して選択した拡張入力回路とデータを送ってきた拡張入力回路が不一致の場合には異常であると判定するようにすることにより、デコーダ４８については多重化されていないが、デコーダ４８の故障が検出できることになる。これにより、デコーダ４８の故障が検出でき、不具合を回避するための処置を行うことが可能となり、その結果、多重化していない部位においてもダイアグ機能を持たせることにより安全性を確保することができる。このようにして、車載機器のコストアップや大型化を避けつつ安全性を確保することができる。
【００３９】
なお、これまでの説明ではデコーダ故障についての説明をしたが、メインＣＰＵ４１のアドレス出力から、メインＣＰＵ４１のデータバス４３からデータを取り込むまでの間におけるデータ伝達系を構成する部品のいずれが故障しても、例えば、メインＣＰＵ４１のアドレス出力部分が故障したり拡張入力回路のセレクト信号の入力部あるいはデータ出力部のいずれかが故障したりメインＣＰＵ４１でのデータバス４３の入力部が故障しても、メインＣＰＵ４１におけるデータバス４３からの入力データのアドレスデータと、アドレスバス４７へ出力したアドレスデータとを比較することにより、それらの故障を検知することができる。
【００４０】
また、本実施形態においては拡張入力回路の入力ポートの一部をアドレスデータ入力ポートとしてハード的に割振ったが、他にも、例えばＣＰＵ４１から拡張入力回路に対してアドレス識別用データを書込むことによっても、同様の効果を得ることができる。
【図面の簡単な説明】
【図１】実施の形態における車両の自動運転システムの全体構成図。
【図２】コントローラの詳細構成図。
【図３】メインＣＰＵが行う処理内容を示すフローチャート。
【図４】比較のための車両の自動運転システムの全体構成図。
【図５】比較のためのフローチャート。
【符号の説明】
２８…アクセル用アクチュエータ、２９…ブレーキ用アクチュエータ、３０…ステアリング用アクチュエータ、４０…コンピュータ１系、４１…メインＣＰＵ、４２…サブＣＰＵ、４３…データバス、４４,４５，４６…拡張入力回路、４７…アドレスバス、４８…デコーダ、４９…比較装置、６０…コンピュータ２系。

Claims

車載側において、多重化されたセンサからの信号を多重化された処理系に取り込み、各処理系において複数の処理装置により演算処理を行い、前記複数の処理装置での各演算結果を各処理系での比較装置により比較して、不一致の場合には演算結果が一致している処理系での演算結果に基づいて走行制御用アクチュエータを制御して道路に沿って車両を自動運転するようにした車両の自動運転システムであって、
各処理系において複数設けられ、各々が前記多重化されたセンサの各々に対応するように接続され、セレクト信号に応答してセンサからの入力データをデータバスを通して各処理系での処理装置に送る入力回路と、
各処理系において一つ設けられ、各処理系での前記各入力回路と接続され、処理装置からアドレスバスを通して送られてくるアドレスデータに対応する入力回路に対しセレクト信号を送るデコーダと、
を備え、
前記入力回路を順に選択して多重化されたセンサでの各センサからのデータを処理装置に取り込む際の入力回路からデータを処理装置に送るときに、データを送る入力回路を特定するための識別子を付与し、処理装置においてデコーダへのアドレスデータと入力回路から送られた識別子を比較して選択した入力回路とデータを送ってきた入力回路が不一致の場合には異常であると判定するようにしたことを特徴とする車両の自動運転システム。
異常であると判定した際には、走行制御用アクチュエータを制御するための処理系を切り替えるようにしたことを特徴とする請求項１に記載の車両の自動運転システム。