JP3881197B2 - 車両の自動運転システム - Google Patents

Description

【０００１】
【発明の属する技術分野】
この発明は車両の自動運転システムに関するものである。
【０００２】
【従来の技術】
車両の自動運転システムは、通信インフラと自動車搭載機器を利用して道路と車の路車間通信や車同士で行う車車間通信を用いて車載情報処理装置により道路から受け取った信号を基に車両制御用アクチュエータを制御して自動運転を行うものである。このとき、センサ信号を処理する車載情報処理装置の信頼性（寿命）の向上を図るべく車載情報処理装置を多重化することが行われている。情報処理装置を完全に多重化することは全ての部品を複数用意することであり、これによりいずれかの部品に不具合が発生したとしても待避走行を行うことができフェールセーフ化を図ることが可能となるが、反面、部品点数が膨大になり、機能としては満足できるが、コスト・体格の面では好ましくないという問題点がある。また、それを避けようとすると、一部の部品は多重化でなくなり安全性が損なわれてしまう。
【０００３】
【発明が解決しようとする課題】
本発明はこのような背景の下になされたものであり、その目的は、車載機器のコストアップや大型化を避けつつ安全性を確保することができる車両の自動運転システムを提供することにある。
【０００４】
【課題を解決するための手段】
請求項１に記載の発明によれば、車載側において、センサからの信号が多重化された処理系に取り込まれ、各処理系において複数の処理装置により演算処理が行われて、複数の処理装置での各演算結果が各処理系での比較装置により比較され、その比較に関する信号が出力信号選択装置に送られ、当該出力信号選択装置に入力される各処理系における処理装置による演算結果に関する信号のうち、比較装置からの信号により正常な処理系からの演算結果に関する信号が選択されて走行制御用アクチュエータを制御するための信号として出力されて、道路に沿った車両の自動運転が行われる。
【０００５】
ここで、各処理系から出力信号選択装置にその処理系を識別するためのデータが送られるとともに、出力信号選択装置の出力信号が、出力信号選択装置から走行制御用アクチュエータを制御するための信号を入力して同走行制御用アクチュエータをサーボ制御する装置に送られ、さらに、各処理系での比較装置からの比較に関する信号が、そのサーボ制御する装置に送られ、当該装置において、出力信号選択装置から出力された信号が、選択すべき処理系からの信号でないときには異常であると判定される。このように、多重化された処理系を具備する装置を２台用いて監視することにより出力信号選択装置の故障を検出することができる。
【０００６】
よって、出力信号選択装置については多重化されていないが、出力信号選択装置の故障が検出できることになる。その結果、多重化していない部位においてもダイアグ機能を持たせることにより安全性を確保することができる。
【０００７】
このようにして、車載機器のコストアップや大型化を避けつつ安全性を確保することができる。
【０００８】
さらに、請求項２に記載のように、各処理系から出力信号選択装置に対しサーボ制御装置の指令値を送る際に、処理系を識別するためのデータを付加して送るようにするとよい。
【０００９】
また、請求項３に記載のように、比較装置からの比較に関する信号は、一致・不一致を表す信号と、比較が完了したことを表す信号の少なくともいずれかであるとすることができる。
一方、請求項４に記載の発明では、センサからの信号を取り込んで走行制御用アクチュエータの制御信号を演算して出力する車両制御コンピュータと、その制御信号を取り込んで前記走行制御用アクチュエータのサーボ制御装置の指令値を演算して出力するサーボコンピュータとを備え、車載側において車両の自動運転を行う車両の自動運転システムにおいて、前記車両制御コンピュータ及び前記サーボコンピュータはそれぞれ、多重化された処理系を具備して、取り込んだ信号を各処理系において複数の処理装置により演算処理を行い、前記複数の処理装置での各演算結果を各処理系での比較装置により比較し、その比較に関する信号が単一の出力信号選択装置に送られ、当該出力信号選択装置に入力される各処理系における処理装置による演算結果に関する信号のうち、比較装置からの信号により正常な処理系からの演算結果に関する信号を選択して出力するものであって、且つ、車両制御コンピュータを、その各処理系から同車両制御コンピュータの出力信号選択装置にその処理系を識別するためのデータを送るとともに、同車両制御コンピュータの出力信号選択装置の出力信号及び同車両制御コンピュータの各処理系での比較装置からの比較に関する信号をサーボコンピュータに送るようにするとともに、サーボコンピュータを、その各処理系から同サーボコンピュータの出力信号選択装置にその処理系を識別するためのデータを送るとともに、同サーボコンピュータの出力信号選択装置の出力信号及び同サーボコンピュータの各処理系での比較装置からの比較に関する信号を車両制御コンピュータに送るようにし、更に車両制御コンピュータを、サーボコンピュータから送られた同サーボコンピュータの出力信号選択装置の出力信号及び同サーボコンピュータの各処理系での比較装置からの比較に関する信号に基づいて、同サーボコンピュータの出力信号選択装置から送られた信号が選択すべき処理系でないときには異常であると判定するものとするとともに、サーボコンピュータを、車両制御コンピュータから送られた同車両制御コンピュータの出力信号選択装置の出力信号及び同車両制御コンピュータの各処理系での比較装置からの比較に関する信号に基づいて、同車両制御コンピュータの出力信号選択装置から送られた信号が選択すべき処理系でないときには異常であると判定するものであるとしている。
こうした請求項４に記載の車両の自動運転システムは、さらに請求項５に記載のように、前記車両制御コンピュータにおいて前記各処理系から前記出力信号選択装置に対しサーボ制御装置の指令値を送る際に、前記処理系を識別するためのデータを付加して送るようにすることができる。また請求項６に記載のように、比較装置からの比較に関する信号を、一致・不一致を表す信号と、比較が完了したことを表す信号の少なくともいずれかであるとすることもできる。
【００１０】
【発明の実施の形態】
以下、この発明を具体化した実施の形態を図面に従って説明する。
図１には、本実施の形態における車両の自動運転システムの全体構成を示す。走行道路１０にはその幅方向中央部に磁気レーンマーカー１１が所定の間隔をおいて多数埋設されている。磁気レーンマーカー１１からは磁気信号が発せられる。一方、走行道路１０を走行する車両２０側において、磁気ネイルセンサ２１が搭載され、磁気ネイルセンサ２１により磁気レーンマーカー１１が発する磁気信号を検出することができるようになっている。
【００１１】
また、走行道路１０にはループアンテナ１２が所定の間隔をおいて多数埋設されるとともに、この各ループアンテナ１２は路車間通信路側機１３を通して管制装置１４と接続されている。一方、車両２０側において、路車間通信機２２が搭載され、路車間通信機２２によりループアンテナ１２と路車間通信路側機１３を介して管制装置１４と通信できるようになっている。
【００１２】
さらに、車両２０側において、衝突防止レーダ２３や車車間通信装置２４や車間距離センサ２５が搭載されている。衝突防止レーダ２３は衝突対象物との距離が所定値よりも接近した場合には車両停止信号を出力する。また、車車間通信装置２４により車車間での通信を行うことができる。さらに、車間距離センサ２５により車間距離が測定される。
【００１３】
また、車両２０には車両制御コンピュータ２６とサーボコンピュータ２７とアクセル用アクチュエータ２８と通常ブレーキ用アクチュエータ２９とステアリング用アクチュエータ３０と非常ブレーキ用アクチュエータ３１が搭載されている。車両制御コンピュータ２６は各種のセンサからの信号を取り込んで所定の演算処理を実行し、その演算結果に従った指令値をサーボコンピュータ２７に送出する。サーボコンピュータ２７は指令値に基づいてアクセル用アクチュエータ２８と通常ブレーキ用アクチュエータ２９とステアリング用アクチュエータ３０をサーボ制御にて作動させて所望の自動運転を行わせる。また、非常ブレーキ用アクチュエータ３１は緊急停止時に駆動される。
【００１４】
このように本システムは、走行道路１０に埋設された磁気レーンマーカー１１を、車両に搭載された磁気ネイルセンサ２１により検出し、車両制御コンピュータ２６によりアクセル、ブレーキ、ステアリングの各アクチュエータ２８，２９，３０，３１を制御しながら車両２０が道路中央部を走行するよう誘導するシステムである。
【００１５】
図１における車両制御コンピュータ２６とサーボコンピュータ２７の詳細を、図２に示す。
図２において、車両制御コンピュータ２６にはメインＣＰＵ４１とサブＣＰＵ４２が備えられ、ＣＰＵに関して多重化（２重化）されている。メインＣＰＵ４１は各センサからの信号を取り込み、センサ入力データに基づいて各種の演算を実行する。
【００１６】
また、メインＣＰＵ４１からサブＣＰＵ４２に対し、メインＣＰＵ４１で取り込んだ入力データ（センサデータ）を演算用データとして送るようになっている。このデータに基づいてサブＣＰＵ４２はメインＣＰＵ４１での演算と同じ処理を実行する。
【００１７】
メインＣＰＵ４１とサブＣＰＵ４２には比較装置４３が接続され、メインＣＰＵ４１での処理データ（演算結果）とサブＣＰＵ４２での処理データ（演算結果）が比較装置４３に送られる。比較装置４３は両データ（両演算結果）を比較して一致しない場合には図３に示すように異常検出信号を出力する。また、比較完了時には比較完了信号を出力する。
【００１８】
このコンピュータ（１系）に加えて、図２に示すごとく、もう一つ同様な構成をなすコンピュータ（２系）が用意されている。つまり、コンピュータ（２系）は、メインＣＰＵ４４とサブＣＰＵ４５と比較装置４６を備えている。
【００１９】
コンピュータ１系とコンピュータ２系には出力信号選択装置４７が接続されている（図４参照）。出力信号選択装置４７は図６に示すように信号切替部４７ａと使用系決定部４７ｂからなり、使用系決定部４７ｂにはコンピュータ１系での比較装置４３からの異常検出信号と比較完了信号が送られてくるとともにコンピュータ２系での比較装置４６からの異常検出信号と比較完了信号が送られてくる。また、信号切替部４７ａには、コンピュータ１系での演算結果データ（１系指令値）が送られてくるとともにコンピュータ２系での演算結果データ（２系指令値）が送られてくる。そして、使用系決定部４７ｂは、コンピュータ１系と２系からの異常検出信号および比較完了信号に基づいて使用する系を決定し、信号切替部４７ａを駆動して１系と２系のいずれかの指令値をサーボコンピュータ２７に送出する。
【００２０】
具体的には、比較装置４３においてメインＣＰＵ４１とサブＣＰＵ４２の演算出力結果を比較した結果、双方のＣＰＵ４１，４２の出力が一致していれば、コンピュータ１系は正常とみなして出力信号選択装置４７においてコンピュータ１系からのデータを選択して次段（図１のサーボコンピュータ２７）に送る。一方、比較装置４３で比較した結果、不一致であれば、コンピュータ1系は故障であるとして異常検出信号を出力信号選択装置４７に送り、出力信号選択装置４７において送り出すデータをコンピュータ２系からのデータに切替える。
【００２１】
出力信号選択装置４７での系の切り替えに関して、詳しくは、次のように行われる。
各系から入力される「異常信号」および「比較完了信号」を常時チェックしており、異常信号が入力された場合、あるいは、比較完了信号が一定時間経過しても入力されない場合には、その系が異常であるとして系の切り替えを行う。切り替え動作としては、当初１系が選択されており、異常が検出された場合、以下の動作をする。
その１；１系に異常が発生した時に２系がまだ正常の場合には、２系へ切り替えるとともに、１系故障信号を管制装置１４（図１参照）に出力する。
その２；１系に異常が発生した時に２系も既に異常の場合には、非常ブレーキ操作信号を出力する。
その３；２系に異常が発生した時に１系はまだ正常の場合には、１系を選択したままとするとともに、２系故障信号を管制装置１４（図１参照）に出力する。
その４；２系に異常が発生した時に１系も既に異常の場合には、非常ブレーキ操作信号を出力する。
【００２２】
次に、メインＣＰＵ・サブＣＰＵの基本動作について、図５を用いて説明する。図５は車両制御コンピュータ２６におけるメインＣＰＵとサブＣＰＵおよび比較装置の処理内容を示すフローチャートである。
【００２３】
メインＣＰＵが処理タイミング（５ｍｓｅｃ周期）を決定し、各周期毎に以下の処理を実行する。
メインＣＰＵは５ｍｓｅｃ周期の開始後、まずステップ１００でセンサ等の入力信号の読み込みを行った後、ステップ１０１でサブＣＰＵに同期信号を出力する。サブＣＰＵは、ステップ２００で同期信号が入力されたら、ステップ２０１で準備完了信号をメインＣＰＵに出力する。
【００２４】
メインＣＰＵは、ステップ１０２で準備完了信号が入力されたら、ステップ１０３でサブＣＰＵに対し読み込んだデータ（演算用データ）を出力する。サブＣＰＵは、ステップ２０２でメインＣＰＵからのデータを入力する。そして、ステップ１０４，２０３において各ＣＰＵで同じデータを使って同じ演算処理を実行する。各ＣＰＵは演算終了後、ステップ１０５，２０４で演算結果を比較用データとして、２バイトずつ比較装置へ出力する。比較装置はステップ３００において両ＣＰＵからの比較用データを比較し、ＣＰＵに対し比較が完了した時には比較完了信号を送るとともに不一致ならば異常検出信号を送る。その後、メインＣＰＵとサブＣＰＵデータは、ステップ１０６，２０５において比較完了信号を入力したことを確認する。
【００２５】
ここで、図３を用いてメインＣＰＵ・サブＣＰＵの必要性について言及する。自動（無人）運転では人による最終的な危険回避措置（非常ブレーキ等）がとれないため、各機器に非常に高い信頼性が求められる。そこで、ノイズ等による演算の間違えやプログラム暴走、部品故障による演算間違えやプログラム暴走を確実に防止する必要がある。従来一般に行われているウォッチドッグではノイズや故障等でメモリのある１ビットが反転したような場合異常を検出することは不可能であった。つまり、演算値は異常になるが、プログラムが暴走するわけではないからである。そのために図３のように、メイン、サブ両ＣＰＵ４１，４２で同じ演算を行い、その結果をハード的に比較するという構成が必要となってくる。この構成であれば、前述のノイズや故障等でメモリのある１ビットが反転した場合でも、メイン側とサブ側の演算結果に違いが出てくるので異常を検出することが可能で、フェイルセーフが確保できる。
【００２６】
次に、図４を用いて、メインＣＰＵとサブＣＰＵと比較装置から構成される２つの系（冗長系）の必要性について言及する。
本システムでは、前記のフェイルセーフ実現のためのメイン・サブＣＰＵおよび比較装置にて構成される系が図４のように２系統用意されている。本システムは自動（無人）運転されるバス等公共交通機関での使用を想定しているのでフェイルセーフを実現しつつ稼働率を可能な限り向上させる必要がある。そのために、前記のフェイルセーフな「メイン・サブＣＰＵおよび比較装置にて構成される系」を図４のように２系統用意して、各系において同一系のＣＰＵ（メイン・サブ）の演算結果を常時比較して比較結果に不一致があった場合に他の系に切り替えることにより稼働率の向上を実現している。この場合、どちらか１系統が動作している限り運行は通常通り可能である。
【００２７】
以上のように、ＣＰＵは二重化され故障検出を行うことができるようになっており、フェールセーフ化されている。さらに、故障時は他の系を利用するという二冗長系が組まれている。
【００２８】
同様に、図２のサーボコンピュータ２７においても多重化された処理系を具備する装置となっている。コンピュータ１系として、メインＣＰＵ５１とサブＣＰＵ５２と比較装置５３を備えている。また、コンピュータ２系として、メインＣＰＵ５４とサブＣＰＵ５５と比較装置５６を備えている。コンピュータ１系とコンピュータ２系には出力信号選択装置５７が接続され、出力信号選択装置５７においていずれかの出力データをサーボコンピュータ２７の出力とする。また、出力信号選択装置５７と車両制御コンピュータの出力信号選択装置４７から非常ブレーキ操作信号がオアゲート５８を介して出力される。
【００２９】
ここまでの説明において本例の車両の自動運転システムでの車両制御コンピュータ２６は、車載側において、センサからの信号を多重化された処理系（１系、２系）に取り込み、各処理系において複数の処理装置（メインＣＰＵ４１，４４、サブＣＰＵ４２，４５）により演算処理を行い、複数の処理装置（メインＣＰＵ４１，４４、サブＣＰＵ４２，４５）での各演算結果を各処理系での比較装置４３，４６により比較し、その比較に関する信号が単一の出力信号選択装置４７に送られ、当該出力信号選択装置４７に入力される各処理系における処理装置による演算結果に関する信号のうち、比較装置４３，４６からの信号により正常な処理系からの演算結果に関する信号を選択して走行制御用アクチュエータ２８，２９，３０，３１を制御するための信号として出力して道路１０に沿った車両２０の自動運転を行うようになっている。このように、本システムでは、自動運転、無人走行であるが故に安全走行が第１であり、また故障時には安全側に停止させること、また、冗長系による一時待避のための走行機能等が重要となってくる。そのための追突防止のための衝突防止レーダや、車間距離センサ、車車間通信、またループアンテナを介した路車間通信等により、安全な走行管制システムを構築している。つまり、車両制御コンピュータ２６において、重要故障時にも安全にかつ待避走行も可能とするため、ＣＰＵの二重化およびＣＰＵ部の多冗長系（今回の例では二冗長系）構成している。
【００３０】
ここで、図４に示すように、どちらの系の演算結果（指令値）を外部へ出力するかを判定している出力信号選択装置（４７）は１個しか存在しておらず、その出力信号選択装置（４７）が故障した場合、正常でない系の演算結果（指令値）が出力される可能性がある。即ち、多重化された系を選択するためのシステム最終段に存在する機能部品４７が故障する可能性がある。
【００３１】
もし、正常でない系の演算結果（指令値）が出力されると、走行する上での不具合が発生する可能性があり、その可能性は出力信号選択装置（４７）の故障率に依存している。つまり、多重化システム全体の信頼性はこの部分によって決まってしまうことになる。
【００３２】
そこで、本実施形態においては、図４と同様な構成を持つサーボコンピュータを用いてそのコンピュータとの間で相互監視を実施して、これにより上述の不具合に対処している。つまり、図２の車両制御コンピュータ２６において各処理系から出力信号選択装置４７にその処理系を識別するためのデータを送るとともに、出力信号選択装置４７の出力信号を、別の多重化された処理系を具備する装置としてのサーボコンピュータ２７に送り、さらに、各処理系での比較装置４３，４６からの比較に関する信号をサーボコンピュータ２７に送り、サーボコンピュータ２７において、出力信号選択装置４７から出力された信号が、選択すべき処理系からの信号でないときには異常であると判定する。同様にサーボコンピュータ２７での信号を車両制御コンピュータ２６に送って判定を行う。これにより、車両制御コンピュータ２６とサーボコンピュータ２７というように多重化された処理系を具備する装置を２台用い、相互監視することにより出力信号選択装置４７，５７の故障を検出することができる。よって、出力信号選択装置４７，５７については多重化されていないが、出力信号選択装置４７，５７の故障が検出できることになる。その結果、多重化していない部位においてもダイアグ機能を持たせることにより安全性を確保することができる。このようにして、車載機器のコストアップや大型化を避けつつ安全性を確保することができる。
【００３３】
特に、別の多重化された処理系を具備する装置としてのサーボコンピュータ２７は、出力信号選択装置４７から走行制御用アクチュエータを制御するための信号を入力して走行制御用アクチュエータをサーボ制御する装置であり、各処理系から出力信号選択装置４７に対しサーボコンピュータ（サーボ制御装置）２７の指令値を送る際に、図７に示すように処理系を識別するためのデータ（発信元の系の番号）Ａ３を付加して送るようにした。また、比較装置４３，４６からの比較に関する信号は、図４での異常検出信号（一致・不一致を表す信号）と、比較が完了したことを表す比較完了信号の少なくともいずれかとした。
【００３４】
以下、詳しく説明する。
図２において、車両制御コンピュータ２６の比較装置４３からの比較完了信号と異常検出信号を、図中、符号Ｌ４，Ｌ５に示す信号線を用いて、出力信号選択装置４７を経由せずにサーボコンピュータ２７の各ＣＰＵ５１，５２，５４，５５へ送っている。同様に、車両制御コンピュータ２６の比較装置４６からの比較完了信号と異常検出信号を、図中、符号Ｌ６，Ｌ７に示す信号線を用いて、出力信号選択装置４７を経由せずにサーボコンピュータ２７の各ＣＰＵ５１，５２，５４，５５へ送っている。一方、サーボコンピュータ２７の比較装置５３からの比較完了信号と異常検出信号を、図中、符号Ｌ１４，Ｌ１５に示す信号線を用いて、出力信号選択装置５７を経由せずに車両制御コンピュータ２６の各ＣＰＵ４１，４２，４４，４５へ送っている。同様に、サーボコンピュータ２７の比較装置５６からの比較完了信号と異常検出信号を、図中、符号Ｌ１６，Ｌ１７に示す信号線を用いて、出力信号選択装置５７を経由せずに車両制御コンピュータ２６の各ＣＰＵ４１，４２，４４，４５へ送っている。
【００３５】
さらに、図２の車両制御コンピュータ２６での各処理系から出力信号選択装置４７への信号線Ｌ１，Ｌ２において、出力信号選択装置４７へのシリアル信号に、図７に示すように、シリアル信号の送信元の情報（１系あるいは２系であるかを示す情報）Ａ３を付加している。詳しくは、スタートビットＡ１とストップビットＡ４の間において、サーボコンピュータ２７への指令値（例えば操舵角）データＡ２の後に発信元の系の番号Ａ３を付加している。よって、これらデータが、図２で符号Ｌ３に示すシリアル信号線を通じて車両制御コンピュータ２６からサーボコンピュータ２７の各ＣＰＵ５１，５２，５４，５５に送られることになる。
【００３６】
同様に、サーボコンピュータ２７での各処理系から出力信号選択装置５７への信号線Ｌ１１，Ｌ１２において、出力信号選択装置５７へのシリアル信号に、サーボコンピュータ２７の指令データに加えて、シリアル信号の送信元の情報（１系あるいは２系であるかを示す情報）を付加している。そして、これらデータが、図２で符号Ｌ１３に示すシリアル信号線を通じてサーボコンピュータ２７から車両制御コンピュータ２６の各ＣＰＵ４１，４２，４４，４５に送られる。
【００３７】
図８には、車両制御コンピュータ２６およびサーボコンピュータ２７の各ＣＰＵにおいて実行されるフローチャートを示す。
ステップ４００で異常検出信号の入力をチェックし、ステップ４０１で異常なしか否か判定する。具体的には、異常信号が入力された場合には異常と判定する。そして、異常信号が入力された場合にはステップ４０２で、出力信号選択装置（４７，５７）が切り替えるであろう系を記憶する。つまり、発信元の系をそのコンピュータ自身が想定した相手に切り替える。一方、異常検出信号が入力されない場合において、ステップ４０３で比較完了信号の入力をチェックし、ステップ４０４で異常なしか否か判定する。具体的には、比較完了信号が一定時間経過しても入力されない場合には、異常と判定する。そして、比較完了信号が一定時間経過しても入力されない場合には、ステップ４０５で、出力信号選択装置（４７，５７）が切り替えるであろう系を記憶する。つまり、発信元の系をそのコンピュータ自身が想定した相手に切り替える。
【００３８】
このようにステップ４００〜４０５の処理を行うことにより、出力信号選択装置（４７，５７）が正常に系の切り替え動作をしている時における発信元の系が分かることになる。
【００３９】
そして、ステップ４０６で所定期間内にデータを受信したかを判定し、所定期間内にデータを受信しないと、出力信号選択装置（４７，５７）が正常に動作していないとしてステップ４０９で非常ブレーキ操作信号を送出して緊急停止する。
【００４０】
また、所定期間内にデータを受信した場合には、ステップ４０７でコンピュータ自身が想定した相手の系と、送られてきたデータ（シリアル信号に付加した送信元の系番号データＡ３）による発信元を比較する。そして、一致すれば、出力信号選択装置（４７，５７）が正常に動作しているものとしてステップ４０８で通常動作を行う。一方、ステップ４０７で不一致の場合には、出力信号選択装置（４７，５７）が正常に動作（切り替え動作）を行っていないとしてステップ４０９で非常ブレーキ操作信号を送出して緊急停止する。
【００４１】
このようにして、サーボコンピュータ２７においては、車両制御コンピュータ２６からのシリアル信号に付加した送信元の系番号データＡ３から、車両制御コンピュータ２６の送信元の系を判定し、車両制御コンピュータ２６の比較装置４３，４６からの比較完了信号と異常検出信号を用いて出力信号選択装置４７が正常かどうかの判定を行う。同様に、車両制御コンピュータ２６においては、サーボコンピュータ２７からのシリアル信号に付加した送信元の系番号データＡ３から、サーボコンピュータ２７の送信元の系を判定し、サーボコンピュータ２７の比較装置５３，５６の比較完了信号と異常検出信号を用いて出力信号選択装置５７が正常かどうかの判定を行う。
【００４２】
次に、図９を用いて正常時と異常時の判定動作を説明する。図９の横軸は時間である。
図９において、（ａ）には正常時の系の切り替えを示し、ｔ１００のタイミングにて１系から異常検出信号が送出された等にて２系に切り替わったことを示している。この場合には、図８のステップ４０６において所定期間内にデータを受信していると判定されるとともに、ステップ４０７において、想定している発信元とシリアル信号に付加した発信元データが一致するので正常と判定され、ステップ４０８において通常動作が行われる。
【００４３】
一方、図９の（ｂ）のごとく、ｔ１００になっても系が切り替わらなかった場合には、図８のステップ４０７の処理にて想定している発信元とシリアル信号に付加した発信元データが一致しないので異常と判定され、ステップ４０９において非常ブレーキが作動される。また、図９の（ｃ）のごとく、ｔ１００になってもデータがこなかった場合には、図８のステップ４０６の処理にて所定期間内にデータを受信していないと判定され、ステップ４０９において非常ブレーキが作動される。
【００４４】
上記のような構成を持つことにより、ハードコア（多重化されない最終段である出力信号選択装置４７）の故障時にもフェイルセーフが確立される。また、正常でない系の指令値が出力される確率も「出力信号選択装置の故障率」×「相手コンピュータの故障率」となり、非常に小さくなる。
【図面の簡単な説明】
【図１】実施の形態における車両の自動運転システムの全体構成図。
【図２】車両制御コンピュータとサーボコンピュータの詳細を示す図。
【図３】メインＣＰＵとサブＣＰＵを説明するための図。
【図４】２重系を説明するための図。
【図５】メインＣＰＵ・サブＣＰＵの基本動作を説明するための図。
【図６】出力信号選択装置を説明するための図。
【図７】シリアル信号データを説明するための図。
【図８】動作説明のためのフローチャート。
【図９】正常時と異常時の判定動作を説明するための図。
【符号の説明】
２６…車両制御コンピュータ、２７…サーボコンピュータ、２８…アクセル用アクチュエータ、２９…通常ブレーキ用アクチュエータ、３０…ステアリング用アクチュエータ、３０…非常ブレーキ用アクチュエータ、４１…メインＣＰＵ、４２…サブＣＰＵ、４３…比較装置、４４…メインＣＰＵ、４５…サブＣＰＵ、４６…比較装置、４７…出力信号選択装置、５１…メインＣＰＵ、５２…サブＣＰＵ、５３…比較装置、５４…メインＣＰＵ、５５…サブＣＰＵ、５６…比較装置、５７…出力信号選択装置。

Claims (6)

1. 車載側において、センサからの信号を多重化された処理系に取り込み、各処理系において複数の処理装置により演算処理を行い、前記複数の処理装置での各演算結果を各処理系での比較装置により比較し、その比較に関する信号が単一の出力信号選択装置に送られ、当該出力信号選択装置に入力される各処理系における処理装置による演算結果に関する信号のうち、比較装置からの信号により正常な処理系からの演算結果に関する信号を選択して走行制御用アクチュエータを制御するための信号として出力して、道路に沿った車両の自動運転を行う車両の自動運転システムであって、
   前記各処理系から前記出力信号選択装置にその処理系を識別するためのデータを送るとともに、出力信号選択装置の出力信号を、前記出力信号選択装置から前記走行制御用アクチュエータを制御するための信号を入力して同走行制御用アクチュエータをサーボ制御する装置に送り、さらに、前記各処理系での比較装置からの比較に関する信号を、前記サーボ制御する装置に送り、当該装置において、出力信号選択装置から出力された信号が、選択すべき処理系からの信号でないときには異常であると判定するようにしたことを特徴とする車両の自動運転システム。
2. 前記各処理系から出力信号選択装置に対しサーボ制御装置の指令値を送る際に、前記処理系を識別するためのデータを付加して送るようにした
   ことを特徴とする請求項１に記載の車両の自動運転システム。
3. 前記比較装置からの比較に関する信号は、一致・不一致を表す信号と、比較が完了したことを表す信号の少なくともいずれかである
   ことを特徴とする請求項１または２に記載の車両の自動運転システム。
4. センサからの信号を取り込んで走行制御用アクチュエータの制御信号を演算して出力する車両制御コンピュータと、その制御信号を取り込んで前記走行制御用アクチュエータのサーボ制御装置の指令値を演算して出力するサーボコンピュータとを備え、車載側において車両の自動運転を行う車両の自動運転システムにおいて、
   前記車両制御コンピュータ及び前記サーボコンピュータはそれぞれ、多重化された処理系を具備して、取り込んだ信号を各処理系において複数の処理装置により演算処理を行い、前記複数の処理装置での各演算結果を各処理系での比較装置により比較し、その比較に関する信号が単一の出力信号選択装置に送られ、当該出力信号選択装置に入力される各処理系における処理装置による演算結果に関する信号のうち、比較装置からの信号により正常な処理系からの演算結果に関する信号を選択して出力するものであって、
   且つ、前記車両制御コンピュータを、その前記各処理系から同車両制御コンピュータの前記出力信号選択装置にその処理系を識別するためのデータを送るとともに、同車両制御コンピュータの出力信号選択装置の出力信号及び同車両制御コンピュータの前記各処理系での比較装置からの比較に関する信号を前記サーボコンピュータに送るようにするとともに、
   前記サーボコンピュータを、その前記各処理系から同サーボコンピュータの前記出力信号選択装置にその処理系を識別するためのデータを送るとともに、同サーボコンピュータの出力信号選択装置の出力信号及び同サーボコンピュータの前記各処理系での比較装置からの比較に関する信号を前記車両制御コンピュータに送るようにし、
   更に前記車両制御コンピュータを、前記サーボコンピュータから送られた同サーボコンピュータの出力信号選択装置の出力信号及び同サーボコンピュータの前記各処理系での比較装置からの比較に関する信号に基づいて、同サーボコンピュータの出力信号選択装置から送られた信号が選択すべき処理系でないときには異常であると判定するものとするとともに、
   前記サーボコンピュータを、前記車両制御コンピュータから送られた同車両制御コンピュータの出力信号選択装置の出力信号及び同車両制御コンピュータの前記各処理系での比較装置からの比較に関する信号に基づいて、同車両制御コンピュータの出力信号選択装置から送られた信号が選択すべき処理系でないときには異常であると判定するものとした
   ことを特徴とする車両の自動運転システム。
5. 前記車両制御コンピュータにおいて前記各処理系から出力信号選択装置に対しサーボ制御装置の指令値を送る際に、前記処理系を識別するためのデータを付加して送るようにした
   ことを特徴とする請求項４に記載の車両の自動運転システム。
6. 前記比較装置からの比較に関する信号は、一致・不一致を表す信号と、比較が完了したことを表す信号の少なくともいずれかである
   ことを特徴とする請求項５に記載の車両の自動運転システム。

Images