JP6442129B2 - 自動車の自律制御のための装置および方法 - Google Patents

自動車の自律制御のための装置および方法 Download PDF

Info

Publication number
JP6442129B2
JP6442129B2 JP2015561821A JP2015561821A JP6442129B2 JP 6442129 B2 JP6442129 B2 JP 6442129B2 JP 2015561821 A JP2015561821 A JP 2015561821A JP 2015561821 A JP2015561821 A JP 2015561821A JP 6442129 B2 JP6442129 B2 JP 6442129B2
Authority
JP
Japan
Prior art keywords
components
component
ttethernet
message
sensor
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
JP2015561821A
Other languages
English (en)
Other versions
JP2016512483A (ja
Inventor
コペッツ、ヘルマン
Original Assignee
エフティーエス コンピューターテクニク ジーエムビーエイチ
エフティーエス コンピューターテクニク ジーエムビーエイチ
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by エフティーエス コンピューターテクニク ジーエムビーエイチ, エフティーエス コンピューターテクニク ジーエムビーエイチ filed Critical エフティーエス コンピューターテクニク ジーエムビーエイチ
Publication of JP2016512483A publication Critical patent/JP2016512483A/ja
Application granted granted Critical
Publication of JP6442129B2 publication Critical patent/JP6442129B2/ja
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60W—CONJOINT CONTROL OF VEHICLE SUB-UNITS OF DIFFERENT TYPE OR DIFFERENT FUNCTION; CONTROL SYSTEMS SPECIALLY ADAPTED FOR HYBRID VEHICLES; ROAD VEHICLE DRIVE CONTROL SYSTEMS FOR PURPOSES NOT RELATED TO THE CONTROL OF A PARTICULAR SUB-UNIT
    • B60W60/00—Drive control systems specially adapted for autonomous road vehicles
    • B60W60/001—Planning or execution of driving tasks
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60W—CONJOINT CONTROL OF VEHICLE SUB-UNITS OF DIFFERENT TYPE OR DIFFERENT FUNCTION; CONTROL SYSTEMS SPECIALLY ADAPTED FOR HYBRID VEHICLES; ROAD VEHICLE DRIVE CONTROL SYSTEMS FOR PURPOSES NOT RELATED TO THE CONTROL OF A PARTICULAR SUB-UNIT
    • B60W10/00—Conjoint control of vehicle sub-units of different type or different function
    • B60W10/18—Conjoint control of vehicle sub-units of different type or different function including control of braking systems
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60W—CONJOINT CONTROL OF VEHICLE SUB-UNITS OF DIFFERENT TYPE OR DIFFERENT FUNCTION; CONTROL SYSTEMS SPECIALLY ADAPTED FOR HYBRID VEHICLES; ROAD VEHICLE DRIVE CONTROL SYSTEMS FOR PURPOSES NOT RELATED TO THE CONTROL OF A PARTICULAR SUB-UNIT
    • B60W10/00—Conjoint control of vehicle sub-units of different type or different function
    • B60W10/20—Conjoint control of vehicle sub-units of different type or different function including control of steering systems
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60W—CONJOINT CONTROL OF VEHICLE SUB-UNITS OF DIFFERENT TYPE OR DIFFERENT FUNCTION; CONTROL SYSTEMS SPECIALLY ADAPTED FOR HYBRID VEHICLES; ROAD VEHICLE DRIVE CONTROL SYSTEMS FOR PURPOSES NOT RELATED TO THE CONTROL OF A PARTICULAR SUB-UNIT
    • B60W30/00—Purposes of road vehicle drive control systems not related to the control of a particular sub-unit, e.g. of systems using conjoint control of vehicle sub-units
    • B60W30/08—Active safety systems predicting or avoiding probable or impending collision or attempting to minimise its consequences
    • B60W30/09—Taking automatic action to avoid collision, e.g. braking and steering
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60W—CONJOINT CONTROL OF VEHICLE SUB-UNITS OF DIFFERENT TYPE OR DIFFERENT FUNCTION; CONTROL SYSTEMS SPECIALLY ADAPTED FOR HYBRID VEHICLES; ROAD VEHICLE DRIVE CONTROL SYSTEMS FOR PURPOSES NOT RELATED TO THE CONTROL OF A PARTICULAR SUB-UNIT
    • B60W30/00—Purposes of road vehicle drive control systems not related to the control of a particular sub-unit, e.g. of systems using conjoint control of vehicle sub-units
    • B60W30/14—Adaptive cruise control
    • B60W30/143—Speed control
    • G—PHYSICS
    • G05—CONTROLLING; REGULATING
    • G05D—SYSTEMS FOR CONTROLLING OR REGULATING NON-ELECTRIC VARIABLES
    • G05D1/00—Control of position, course, altitude or attitude of land, water, air or space vehicles, e.g. using automatic pilots
    • G05D1/0055—Control of position, course, altitude or attitude of land, water, air or space vehicles, e.g. using automatic pilots with safety arrangements
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/40—Bus networks
    • H04L12/40169—Flexible bus arrangements
    • H04L12/40176—Flexible bus arrangements involving redundancy
    • H04L12/40182—Flexible bus arrangements involving redundancy by using a plurality of communication lines
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/40—Bus networks
    • H04L12/403—Bus networks with centralised control, e.g. polling
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60W—CONJOINT CONTROL OF VEHICLE SUB-UNITS OF DIFFERENT TYPE OR DIFFERENT FUNCTION; CONTROL SYSTEMS SPECIALLY ADAPTED FOR HYBRID VEHICLES; ROAD VEHICLE DRIVE CONTROL SYSTEMS FOR PURPOSES NOT RELATED TO THE CONTROL OF A PARTICULAR SUB-UNIT
    • B60W2554/00—Input parameters relating to objects
    • B60W2554/80—Spatial relation or speed relative to objects
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60W—CONJOINT CONTROL OF VEHICLE SUB-UNITS OF DIFFERENT TYPE OR DIFFERENT FUNCTION; CONTROL SYSTEMS SPECIALLY ADAPTED FOR HYBRID VEHICLES; ROAD VEHICLE DRIVE CONTROL SYSTEMS FOR PURPOSES NOT RELATED TO THE CONTROL OF A PARTICULAR SUB-UNIT
    • B60W2554/00—Input parameters relating to objects
    • B60W2554/80—Spatial relation or speed relative to objects
    • B60W2554/802—Longitudinal distance
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60W—CONJOINT CONTROL OF VEHICLE SUB-UNITS OF DIFFERENT TYPE OR DIFFERENT FUNCTION; CONTROL SYSTEMS SPECIALLY ADAPTED FOR HYBRID VEHICLES; ROAD VEHICLE DRIVE CONTROL SYSTEMS FOR PURPOSES NOT RELATED TO THE CONTROL OF A PARTICULAR SUB-UNIT
    • B60W2720/00—Output or target parameters relating to overall vehicle dynamics
    • B60W2720/10—Longitudinal speed
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60W—CONJOINT CONTROL OF VEHICLE SUB-UNITS OF DIFFERENT TYPE OR DIFFERENT FUNCTION; CONTROL SYSTEMS SPECIALLY ADAPTED FOR HYBRID VEHICLES; ROAD VEHICLE DRIVE CONTROL SYSTEMS FOR PURPOSES NOT RELATED TO THE CONTROL OF A PARTICULAR SUB-UNIT
    • B60W2754/00—Output or target parameters relating to objects
    • B60W2754/10—Spatial relation or speed relative to objects
    • B60W2754/30—Longitudinal distance
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/40—Bus networks
    • H04L2012/40267—Bus for use in transportation systems
    • H04L2012/40273—Bus for use in transportation systems the transportation system being a vehicle
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/44—Star or tree networks
    • H04L2012/445—Star or tree networks with switching in a hub, e.g. ETHERNET switch

Landscapes

  • Engineering & Computer Science (AREA)
  • Transportation (AREA)
  • Mechanical Engineering (AREA)
  • Automation & Control Theory (AREA)
  • Chemical & Material Sciences (AREA)
  • Combustion & Propulsion (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • General Physics & Mathematics (AREA)
  • Remote Sensing (AREA)
  • Physics & Mathematics (AREA)
  • Aviation & Aerospace Engineering (AREA)
  • Radar, Positioning & Navigation (AREA)
  • Human Computer Interaction (AREA)
  • Regulating Braking Force (AREA)
  • Traffic Control Systems (AREA)
  • Health & Medical Sciences (AREA)
  • Business, Economics & Management (AREA)
  • Artificial Intelligence (AREA)
  • Evolutionary Computation (AREA)
  • Game Theory and Decision Science (AREA)
  • Medical Informatics (AREA)
  • Hardware Redundancy (AREA)
  • Control Of Driving Devices And Active Controlling Of Vehicle (AREA)

Description

本発明は、自動車におけるブレーキおよび／または操舵（ないしステアリング）および／または加速を制御する装置に関する。
さらに、本発明はかかる装置を用いて自動車におけるブレーキおよび／または操舵（ないしステアリング）および／または加速を制御する方法に関する。
最後に、本発明はさらにかかる装置を少なくとも１つ備えた自動車に関する。
本発明は、自動車用電子機器の分野に関する。２０１２年６月には、ＮＣＡＰ（European New Car Assessment Program、欧州新車アセスメントプログラム）という組織はロードマップ（非特許文献１）を公表した。ロードマップによると、２０１６年に自動緊急ブレーキ（ＡＥＢ：Autonomous Emergency Braking）システムを広範囲の新車に導入すべきとされている。さらに将来的には、自律走行のための電子システムは、まず高級車市場に投入され、その後マスマーケットに投入される。
US 7,839,868, Kopetz, H. Communication method and System for the transmission of time-driven and event-driven Ethernet messages. Granted November 23, 2010. Oesterreichische Patentanmeldung A 201/2013 der Fa. FTS Computertechnik, "Verfahren zur Allokation der Kontrolle in einem System-of-Systems," Eingereicht am 14.3. 2013. Oesterreichische Patentanmeldung A 198/2013 der Fa. FTS Computertechnik, "Verfahren zur Risikobegrenzung von Fehlern in einem sicherheitsrelevanten Steuerungssystem," Eingereicht am 14.3. 2013. US Patent Application 200432334, Kind, C., "Doze-off early Warning System for Automotive and other Applications," Feb. 19, 2004.
NCAP Rating Group. "EURO NCAP Rating Review 2012," Online at: URL: http://www.euroncap.com/ Oezguner, Ue., et al. "System for Safety and Autonomous Behavior in Cars: The DARPA Grand Challenge Experience," Proc. of the IEEE. Vol 95.No. 2. Pp.397-412. 2007. Kopetz, H., "Real-time Systems-Design Principles for Distributed Embedded Applications," Springer Verlag, 2011. Strayer, D.L. et al. Profiles in Driver Distraction: Effects of Cell Phone Conversations on Younger and Older Drivers. Human Factors. Vol. 46. No. 4, pp. 640-649. 2004 Autokiste., Brake distance calculator, accessed on Jan 13, 2013 at URL: http://www.autokiste.de/service/anhalteweg/index.htm
技術的／商業的な観点から、すでにプロトタイプで機能が実証可能となったこれらの電子システムを、必要な機能と信頼性が妥当なコストで実現できるように構成することが大きな課題となる（非特許文献２）。一度限りの開発コストに加えて、マスマーケットにおいては、繰り返し生じるコンピュータハードウェアの製造コストおよびメンテナンスコストが特に重要となる。
自動車の自律制御のための電子システムは、典型的には以下のコンポーネントを有する。
１．車道および自動車の周囲を監視するための複数の異種のセンサコンポーネント（カメラ、レーダー、レーザー、超音波など）
２．センサデータを処理し、コンピュータ内部における周囲の３次元モデルを作成し、アクチュエータに対する制御値を算出する、通常は冗長に実装されたセンサ融合コンポーネント
３．ドライバからの制御値を受信し、インテリジェントなアクチュエータ制御コンポーネント（ＡＳＴ）に転送するマンマシンインタフェースコンポーネント
４．ドライバの注意力を決定するためにドライバを観察する監視コンポーネント
５．センサ融合コンポーネントおよびマンマシンインタフェースコンポーネントからの制御値を受け取り、自動車に対する制御を有する主体を決定するとともに、どの制御値を自動車の物理的なアクチュエータ（ブレーキ、ステアリング、モータ）に転送すべきかを決定するインテリジェントなアクチュエータ制御コンポーネント（ＡＳＴ）
従来技術によると、これらのコンポーネントは、専用のデータ線および信号線を介して、または、比較的低速のバスシステム（例えば、ＣＡＮ（Controller Area Network）バスまたはフレックスレイ（FlexRay））を用いて接続される。
本発明の目的は、自動車のブレーキおよび／または操舵および／または加速を制御するためのかかる装置またはシステム、特にかかるフォールトトレラントな装置またはフォールトトレラントなシステムを有意に改良することにある。
かかる目的は導入部で言及した装置によって達成される。すなわち、本発明に係る装置は、複数の異なるセンサコンポーネントと、２つの異種のセンサ融合コンポーネントと、マンマシンインタフェースコンポーネントと、好ましくはインテリジェントなアクチュエータ制御コンポーネントを備え、前記コンポーネントは、それぞれ、故障封じ込めユニットを構成するとともにTTEthernet通信インタフェースを有し、すべてのコンポーネントは中央TTEthernetメッセージ配信部に接続され、すべてのコンポーネントは専ら標準化されたEthernetメッセージを用いて互いに通信し、TTEthernetメッセージ配信部には、伝達されたメッセージをリアルタイムに監視するための診断部が接続可能である。
中央TTEthernetメッセージ配信部の導入により、既存の装置は有意に改良される。
さらに、コンポーネントはそれぞれ自律的な故障封じ込め（ないし隔離）ユニット（ＦＣＵ：Fault-Containment Unit）として構成され、TTEthernetメッセージインタフェースを備えており、コンポーネント間の通信は標準化された高性能なリアルタイム通信システムTTEhernet（特許文献１）を介して１ギガビット／秒（Gb/sec）のデータレートで行うことができる。
単独で、または、任意の組み合わせとして実現可能な本発明に係る装置および本発明に係る方法の好ましい実施例は、次のように説明される。
・すべてのコンポーネントは基板上に配置され、コンポーネントと中央メッセージ配信部との間のデータ線は基板上の導線として実装されている。
・センサコンポーネントを除いたすべてのコンポーネントは基板上に配置され、コンポーネント、特に基板上のコンポーネントと中央メッセージ配信部との間のデータ線は導線として実装されている。
・中央メッセージ配信部と中央メッセージ配信部へのすべてのデータ線は、冗長に設けられている。
・マンマシンインタフェースコンポーネント、インテリジェントなアクチュエータ制御コンポーネント、および、アクチュエータ制御コンポーネントとアクチュエータの間のデータ線は、冗長に設けられている。
・前記装置は２つの独立した電流源を備え、２つの冗長化コンポーネントの第１のコンポーネントはそれぞれ第１の電流源から電流が供給され、２つの冗長化コンポーネントの第２のコンポーネントはそれぞれ第２の電流源から電流が供給される。
・２つのセンサ融合コンポーネントは、異種（ないし多様、diversitaer）であり、かつ、冗長に実装されていると、特に有利である。これにより、設計上の欠陥が同時に活性化される確率を低下させることができる。冗長化センサ融合コンポーネントも、２つの冗長化コンポーネントのソフトウェアが異なることにより、同じ課題を解決する。ハードウェアも異なっていてもよいが、異なっている必要はない。
・センサコンポーネント、２つのセンサ融合コンポーネント、監視コンポーネント、マンマシンインタフェースコンポーネント、および、好ましくはインテリジェントなアクチュエータ制御コンポーネント（各複数を含む）は、専ら標準化されたTTEthernetメッセージを用いてメッセージ配信部を介して通信し、メッセージ配信部はTTEthernetメッセージの一部をコピーして診断部に送信し、診断部はコピーされたメッセージを分析して保持する。
上述の装置を用いて自動車におけるブレーキおよび／または操舵および／または加速を制御するための方法において、複数のセンサコンポーネント、２つのセンサ融合コンポーネント、監視コンポーネント、マンマシンインタフェースコンポーネント、および、インテリジェントなアクチュエータ制御コンポーネントは、専ら標準化されたTTEthernetメッセージを用いてメッセージ配信部を介して通信し、メッセージ配信部はTTEthernetメッセージの一部をコピーして診断部に送信し、診断部はコピーされたメッセージを分析して保持することが特に好ましい。
さらに、上記方法において、診断部は、センサコンポーネントのそれぞれ、２つのセンサ融合コンポーネントのそれぞれ、監視コンポーネント、および、マンマシンインタフェースコンポーネントの動作を、ダイナミックレンジとタイムレンジについてシミュレートするメッセージを生成することが好ましい。
中央TTEthernetリアルタイム通信システムに関する電子部品のモジュラー構成によると、次の利点がもたらされる。
・物理的なデータ線の数が削減され、これはハードウェアの信頼性の向上につながる。
・２つの冗長化センサ融合コンポーネントのそれぞれが、すべてのセンサのデータにアクセスする。
・中央メッセージ配信部は選択されたメッセージをコピーし、このメッセージを分析して保持する独立した診断部に送信することができる。これにより、選択されたＦＣＵのそれぞれの結果をリアルタイムに監視することが可能となり、テスト、トラブルシューティング、および、メンテナンスが容易となる。
・診断部は、ＦＣＵのそれぞれの動作をリアルタイムにシミュレートすることができる。
・追加のセンサの接続も非常に容易となり、これにより、電子アーキテクチャの柔軟性が大幅に向上する。
・TTEthernet通信システムの正確な時間ラスタ（Zeitraster）は、イベントシーケンスの因果関係をシステムレベルで分析することをサポートする。
・目標とする冗長化を導入することが簡便となる。
以下では、本発明について図面に基づいてより詳細に論ずる。
典型的な装置のアーキテクチャの概略を示す。 目標とする冗長化の導入によって信頼性の向上を図ることが可能となる様子を示す図である。 制御システムの構成を示す図であり、制御システムに基づいてクリティカリティインデックスKIおよびエンゲージメントインデックスEIの算出について論じるための図である。 冗長化制御システムの構成を示す図である。
以下の具体的な実施例は、本発明に係る装置の実現可能な多くの構成のうちの１つを示すものである。
図１は中央TTEthernetメッセージ配信部１００を図の中心に示し、その周りには制御システムの必要不可欠なコンポーネントが配置されている。コンポーネントのそれぞれは、TTEthernet通信インタフェース（特許文献１）を備えている。コンポーネントとメッセージ配信部１００の間のデータ線１０１上では、専らイーサネット（登録商標）（Ethernet）（登録商標）メッセージがやり取りされる。
本発明によると、コンポーネントはそれぞれ故障封じ込め（隔離）ユニット（ＦＣＵ）を形成する必要がある。ＦＣＵとは、カプセル化されたセンサ／ハードウェア／ソフトウェアのサブシステムであると理解され、このサブシステムのエラー（ハードウェアエラー、ソフトウェアエラー、センサエラーのいずれであるかに依らず）の直接的な影響はこのサブシステムに限定されている（非特許文献３、１３６頁）。
したがって、提案するアーキテクチャにおいて、エラーは、間接的に、あるコンポーネントから他のコンポーネントへ誤りを含んだメッセージを通じてのみ伝搬し得る。メッセージ配信部１００が仲介するメッセージのうちの所定のメッセージクラスをコピーして、好ましくはリアルタイムに診断部１９０に送信するように、メッセージ配信部１００はパラメータ化することができる。メッセージはメッセージシーケンスの原因分析の前提であるため、メッセージはリアルタイム性を有することが特に好ましい。障害のあるコンポーネントによって生成された誤りを含んだメッセージに基づいて診断部１９０が当該コンポーネントを識別できるように、各ＦＣＵの結果を点検のために診断部にも送信することができる。
診断部１９０は、すべてのコンポーネントの動作をこれらに対応するメッセージを生成することによりシミュレートすることができる。すなわち、診断部１９０は、センサコンポーネントのそれぞれ、２つのセンサ融合コンポーネントのそれぞれ、監視コンポーネント、および、マンマシンインタフェースコンポーネントの動作を、ダイナミックレンジとタイムレンジについてシミュレートすることができる。
図１の左側には、３つの撮像センサ／センサコンポーネント１１１、１１２、１１３（例えば、カメラ１１１、レーダセンサ１１２、レーザセンサ１１３）が例示されている。画像認識は、通常、２つのステップで行われる。第１のステップにおいて重要な特徴（線、影、角度）が決定され、第２のステップにおいて、対象物を認識できるように、これらの特徴が組み合わされる。メッセージインタフェース１０１上のデータ量を削減するために、画像認識の第１のステップ（すなわち、重要な特徴の認識）を対応するセンサコンポーネントで実行するとともに、これらの特徴を異種の冗長化センサ融合コンポーネント１２１、１２２にTTEthernetメッセージを用いて送信することが提案される。設計上の欠陥が同時に活性化される確率を低くするために、センサ融合コンポーネント１２１、１２２は異種のものとして（すなわち、多様性を有するように）設計されている。
センサ融合コンポーネント１２１は、すべてのセンサコンポーネントからメッセージ配信部１００を介して配信されたデータを受信して、自動車の周囲に対する内部３次元モデルを構築する。このモデルにおいて、センサによって検出されたすべての対象物は３次元で表現され、（例えば、障害物や影であるかどうか）分類される。これから通過すると予想された道路上に障害物が検出された場合、適切な（例えばブレーキまたは操舵の）制御値がアクチュエータ制御部（ＡＳＴ）１５０に発行される。センサ融合コンポーネント１２１は、現在のシナリオのクリティカリティインデックスKIを算出する（特許文献２）。
センサ融合コンポーネント１２２は、センサ融合コンポーネント１２１と並列に、異なるソフトウェアを用いて動作する。特許文献３には、ソフトウェアエラーが発生した場合、センサ融合コンポーネント１２１およびセンサ融合コンポーネント１２２によって算出された２つの制御値を融合可能とする方法が開示されている。
監視コンポーネント１４０は、特許文献２に開示されているように、ドライバ１３２を観察し、ドライバのエンゲージメント（ないし、コミットメント、関与）インデックスEIを算出する。
マンマシンインタフェースコンポーネント１３０は、ドライバの要求を受信し、定期的にドライバの制御値を含むTTEthernetメッセージを（好ましくはインテリジェントな）ＡＳＴ１５０に送信する。ＡＳＴ１５０は、センサ融合コンポーネント１２１からのクリティカリティインデックスKIと、監視コンポーネント１４０からのエンゲージメントインデックスEIに基づいて、いずれの制御値を、データ線１５１を介して自動車のアクチュエータ１５２（ブレーキ、操舵、モータ）に発行するかを決定することができる（特許文献２参照）。
図２は、図１に関する電子アーキテクチャを示す。ここで、選択されたコンポーネントおよびデータ線は冗長に実装されている。図２の目的は、システム全体の故障につながるおそれのある危機的な単一故障を許容することにある。この目的を達成するために、中央メッセージ配信部１００と、メッセージ配信部に接続するすべてのデータ線１０１は冗長に実装する必要がある。加えて、マンマシンインタフェースコンポーネント１３０と、ＡＳＴ１５０と、ＡＳＴから物理的なアクチュエータへのデータ線１５１も、冗長に実装する必要がある。一方、センサコンポーネント１１１、１１２、１１３は冗長に実装する必要はない。なぜなら、これらのセンサは全体として自動車の周囲に関する冗長性の高いデータを供給し、したがって１つのセンサの故障は許容できるからである。センサ融合コンポーネント１２１、１２２は、すでに冗長化されている。ＡＳＴ１５０がドライバによって予め設定された制御値からドライバのエンゲージメントインデックスEIを導出することで、監視コンポーネントの故障はＡＳＴ１５０によって部分的に補償される（特許文献２）。
電流供給源における故障の結果を許容できるようにするために、冗長化電子システムは２つの独立な電流源から電流供給を受ける必要がある。ここで、各冗長化コンポーネントの第１の構成要素は第１の電流源から電流供給を受け、各冗長化コンポーネントの第２の構成要素は第２の電流源から電流供給を受ける。
本発明は、自動車用電子機器の分野に属する。本発明では、自動車のブレーキおよび／または操舵および／または加速の自律制御のためのフォールトトレラントな制御システムに対するネットワークベースのアーキテクチャについて説明する。すべてのセンサコンポーネントおよび処理コンポーネントを自律的な障害封じ込めユニット（ＦＣＵ）として構成するとともに、コンポーネント間のすべての通信が標準化された高信頼性のリアルタイム通信システムのメッセージインタフェースTTEthernetを介して行われるように、TTEthernetメッセージインタフェースを設けることが提案される。かかるネットワークベースのアーキテクチャによると、信頼性、保守性、および、柔軟性が高まり、電子機器を容易に使用開始（ないし援用）することができる。
以下では、特許文献２に記載されているような、クリティカリティインデックスKIおよびエンゲージメントインデックスEIの好ましい算出方法について論ずる。以下の図３に対して使用された参照符号は部分的に図１および図２のものと重複するが、これらは必ずしも図１および図２における同一の要素を意味しないことに留意されたい。したがって、図３に対する参照符号は図３との関連においてのみ理解されるべきである。
多くの技術的用途において、立法者は、人が自律的に実行されるプロセスを監視するとともに、つねにプロセスに介入できることを要求している。このような自動化された技術システムにおいては、２つの独立した制御システムが存在し、一方には、センサを備えた自律的な技術的な制御システムが存在し、他方には、人が存在する。制御システムを並列にコントロールすることによって、意図しないネガティブな緊急事態（Eigenschaften）がもたらされるおそれがある。本発明は、このようなネガティブな緊急事態を防ぐために、制御を如何に割り当てるかの方法を開示する。かかる方法は、自律走行車の制御の例について詳細に説明する。
図３によると、自律技術システムについて提案する制御システムは、４つのブロックを有する。図３の左側には、制御を行うコンピュータシステム（ＣＳ）が表示されている。コンピュータシステム（ＣＳ）は、センサ１１０、１２０とセンサ融合コンポーネントＳＦＫ１３０を含む。中央部には、好ましくはインテリジェントなアクチュエータ制御部（ＡＳＴ）１００が示されている。ＡＳＴ１００は、データ線１０１を介して技術システムのアクチュエータ１０２に対して、制御値を与える。図３の右側には、マンマシンインタフェースコンポーネント（ＭＭＩ）１５０と、ヒューマンオペレータ（人、操作者）ＨＯ１６０を示す。また、図３には、ＡＳＴ１００を介して監視コンポーネント（ＭＫ）１４０も示す。
以下では、この制御システムの機能を、自律走行車の制御の一例に即して説明する。（複数の）センサ１１０、１２０（例えば、カメラとレーザセンサ）は、定期的（ないし周期的）に自動車の周囲を観察し、収集したデータを、データ線１１１、１２１を介してＳＦＫ１３０に送信する。典型的な周期は、例えば１０ミリ秒（msec）である。ＳＦＫ１３０は、定期的に収集された周囲のデータに基づいて、自動車の周囲の３次元モデルを作成し、道路の障害物までの距離を計算し、障害物が移動する場合、障害物の運動方向と速度を計算する。３次元モデルの分析の後、ＳＦＫ１３０によって、当該自動車の速度を考慮しつつＡＳＴ１００に対する制御値が算出され、この制御値はデータ線１３１を介して定期的にＡＳＴ１００に送信される。
モデルの分析の間に、ＳＦＫ１３０は自動車の今後の動きにとって特別な意味を持つ３次元空間内の危険な場所（kritishe Orte）を算出する。例えば歩行者が速度を低下させることなく走行路（車道）方向に移動する場合、車道への進入が予想される場所がそのような危険な場所となる。ここでは、危険な場所を「ポイント・オブ・クリティカル・アクション（ＰＣＡ：Point of Critical Action）」という。ＳＦＫは３次元モデルにおいてドライバの目とＰＣＡの間の視線ベクトルを求め、求めた視線ベクトルのパラメータを、データ線１３３を介してＭＫ１４０に送信する。
認識されたＰＣＡが自動車の予定された走行路上に存在する場合、ＳＦＫ１３０は自動車を歩行者の手前で停止させるために、アクション（例えばブレーキプロセス）開始する。ここでは、障害物の前で停止するためにアクション（例えば、急ブレーキ）を開始することが可能な最後の時点を「ラスト・インスタント・オブ・アクション（ＬＩＡ：Last Instant of Action）」という。
以下の表１は、通常の路面状況における乗用車の制動距離と制動時間を示す。初期時間（オンセット時間）とは、障害物が登場してからブレーキを開始するまでの間に経過する期間を指すものとする。初期時間の間に、以下のアクションを行う必要がある。
・シナリオの監視
・シナリオの分析
・必要なアクションの決定
・アクションの開始
非特許文献４によると、ＨＯ（Human Operator）１６０初期時間の典型的な値は1秒であり、一方、ＣＳに対して20ミリ秒（msec）の値が想定されている。表１の初期距離ＡＥ（Anfangsentfernung）は、初期時間の間に自動車が進む距離（m）を示す。制動距離ＢＷは、初期距離と、ブレーキの開始後に自動車を停止させるために必要な距離との和である。表において、ＡＥは「初期距離」を示し、ＢＷは「制動距離」を示し、自動（auto）は「自動（automatisch）」を示す。また、初期時間は手動の場合「1秒」であり、自動の場合「0.1秒」であることを前提とする。
表１：制動距離と制動時間（非特許文献５）
Figure 0006442129
残された反応時間VRZは、現在時刻／時点（今）とＬＩＡとの時間間隔である。VRZは、現在のシナリオのクリティカリティ（ないし緊急性）の程度を表す。ＳＦＫは、自動車の速度と現在の走行条件を考慮して、VRZから、現在のシナリオのクリティカリティインデックスKIを決定する。規格化されたKIは0と1の間の値をとり、値0は緊急性が最も低いことを表し、値1は緊急性が最も高いことを表す。
表１に関連して、KIは、例えば以下のように決定することができる。
・VRZ > 4×（制動時間）である場合、KI = 0
・VRZ <（制動時間）である場合、KI = 1、
・これら以外の場合、KI = 1 -｛VRZ−（制動時間）｝／｛３×（制動時間）｝
KIは、ＳＦＫ１３０によって定期的にデータ線１３１を介してＡＳＴ１００に送信される。
図３のＨＯ１６０は、自動車の周囲を自身の目によって監視し、シナリオを分析し、ＭＭＩ１５０に制御値を与える。自動車では、ＭＭＩは主にブレーキ、ステアリングホイール、および、アクセルペダルから成る。特許文献４では、例えば、ＨＯがステアリングホイールを持つ力を測定するセンサをステアリングホイールに組み込むことが提案されている。ＭＭＩはこの制御値を定期的に受信し、現在のサイクルおよび直近のサイクルにおいてＨＯから受信した制御値を含むベクトル（CCV: Current Control Vector）を生成する（直近のサイクルとは、例えば、最近の10サイクルである）。CCVは、定期的にＡＳＴ１００およびＭＫ１４０に送信される。
ＭＫ１４０は定期的（ないし周期的）にカメラを用いてＨＯ１６０（ドライバ）の視線を取得して、ＨＯ１６０が道路とＳＦＫ１３０から受信したＰＣＡに目を向けているかどうかを決定し、現在のサイクルにおける視覚注意力インデックス（OAI: Optischer Aufmerksamkeitsindex）を算出する。ＨＯ１６０が現在のサイクルにおいて視覚的な注意力を払っている場合、OAIは値1をとる。一方、ＨＯ１６０が走行路を見ていない、または、マイクロスリープに陥っている場合、OAIは値0をとる。他の場合には、OAIは1と0の間の値をとる。次に、ＭＫ１４０は直近のサイクル、例えば１秒（表１の初期時間）以内のOAIの時系列を生成するために、OAIをベクトルとして保持し、この時系列から、好ましくは指数スムージングを用いて、好ましくは平滑化された視覚注意力インデックスOAIgeglを計算する。ここで、直近の過去（例えば、直近の10サイクル）のOAI値には、それ以前の値と比較して、より大きい重みが付される。
同様に、ＭＫ１４０はＭＭＩ１５０から受信したCCVから、好ましくは指数スムージングを用いて、好ましくは平滑化された、運動（動的）注意力インデックス（motorischer Aufmerksamkeitsindex）MAIgeglをサイクルごとに算出する。
エンゲージメントインデックスEIは、現時点でＨＯが自動車の制御にどの程度コミットしているかを示す。EIは、OAIgeglおよびMAIgeglの関数である。この関数は、交通状況（市街地走行、高速道路での運転）に応じて異なる。考えられる関数の特性が、表２に示されている。
表２：OAIgeglとMAIgeglの関数としてのエンゲージメントインデックスEI
Figure 0006442129
EIは0と1の間の値をとる規格化された値であり、値0はＨＯ１６０がコミットしていないことを意味し、値1はＨＯ１６０が完全にコミットしていることを意味する。表２の第２列（MAIgegl = 0.0）はＨＯ１６０が多少なりとも注意を払ってイベントを追跡しているものの、イベントには介入していない場合に相当する。ＭＫ１４０は、定期的にデータ線１４１を介してEIをＡＳＴ１００に送信する。
ＡＳＴ１００は、サイクルごとに、アクチュエータに対する制御値のセットと、現在のシナリオのＫＩをＳＦＫ１３０から、アクチュエータに対するさらなる制御値の集合をＭＭＩ１５０から、ＨＯ１６０の現在のEIをＭＫ１４０から、それぞれ取得する。
まず、ＡＳＴは、現在のサイクルにおいてアクチュエータに対する制御をだれが行使するか、すなわち、ＳＦＫ１３０または（ＭＭＩ１５０を介した）ＨＯ１６０のいずれかを決定する必要がある。EI > KIである場合、ＨＯ１６０が制御を取得し、ＡＳＴはＭＭＩ１５０から制御値を受け取る。EI > EIgrenz、かつ、ＨＯ１６０が過去のサイクルで制御を行使した場合、ＨＯ１６０は現在のサイクルにおいても制御を維持し続ける。Elgrenzは、一時的にＨＯ１６０の強いコミットメントが生じた場合、ＨＯ１６０とＳＦＫ１３０の間で制御が行き来する（チャタリングする）のを防ぐために導入されたパラメータである。EI ≦ Elgrenz かつ KI ≧ EIの場合、ＳＦＫ１３０が制御を取得する。次に、ＡＳＴ１００は選択された制御値をアクチュエータ１０２に送信する。
EIgrenzの典型的な値は、0.7である。
制御の明確な割り当てにより、ＳＯＳ事態において、予期しない好ましくない緊急事態が発生するのを防ぐとともに、システムの信頼性が向上する。したがって、本発明は経済的にも社会的にも重要な意味を持つものである。
上述のＳＯＳ事態における制御の割り当て方法は、自律走行車に適用可能であるのみならず、他の自律装置、例えば、ロボットの制御にも適用可能である。
特許文献３には、ソフトウェアエラーが発生した場合に、２つのセンサ融合コンポーネントによって算出された制御値を融合可能とする方法が開示されている。以下では、特許文献３に記載された方法について、図４を参照して議論する。以下の図４に対して使用された参照符号は部分的に図１ないし図３のものと重複するが、これらは必ずしも図１ないし図３における同一の要素を意味しないことに留意されたい。したがって、図４に対する参照符号は、図４との関連においてのみ理解されるべきである。
以下の具体例では、車両（自動車）における自律ブレーキシステムを参照して、かかる方法について記載する。
２０１２年６月にはＮＣＡＰ（European New Car Assessment Program、欧州新車アセスメントプログラム）という組織がロードマップ（非特許文献１）を公表した。ロードマップによると、２０１６年に自動緊急ブレーキ（ＡＥＢ：Autonomous Emergency Braking）システムを広範囲の新車に導入すべきとされている。自律ブレーキシステムの信頼性と安全性を向上させるため、次のことが提案される。すなわち、故障封じ込めユニット（ＦＣＵ：Fault-Conainment Unit）の１つにエラーが発生した場合においても自動車を素早く安全な状態にすることができるように、自動車の周囲を観察するセンサと、評価のために必要な電子機器を、２つの自律的な故障封じ込めユニットに分割すること、および、２つの独立したＦＣＵによって算出された制御値を融合することが提案される。ＦＣＵとは、カプセル化されたセンサ／ハードウェア／ソフトウェアのサブシステムであると理解され、このサブシステムのエラー（ハードウェアエラーか、ソフトウェアエラーか、センサエラーかに関わりなく）の直接的な影響はこのサブシステムに限定されている（非特許文献３、１３６頁）。ＦＣＵが他のＦＣＵを参照することなく必要な機能を提供できる状況にある場合、ＦＣＵは自律性を有する。
本発明によると、ＡＥＢシステムは２つのＦＣＵ１１０、１２０を有する。ＦＣＵ１１０は、自動車の周囲を監視するセンサ（例えばカメラ、レーダー）１１１、１１２を備えている。ＦＣＵ１２０は、センサ１２１、１２２を備えている。センサ１１１、１１２、１２１、１２２は、定期的（ないし周期的）に読み出される。ここで、周期は典型的には10ミリ秒（msec）である。ＦＣＵ１１０において、センサ融合コンポーネントＳＦＫ１１３はセンサデータを取得し、ブレーキアクチュエータに対する制御値を算出する。ここで、制御値0はブレーキをかけないことを意味し、制御値1は最大のブレーキ力を発揮することを意味する。同様に、センサ融合コンポーネント１２３は、ＦＣＵ１２０の制御値を算出する。２つの制御値は、ブレーキを制御するため、データ線１１４、１２４を介してインテリジェントなアクチュエータ制御部（ＡＳＴ）１００に出力される。ＡＳＴ１００のハードウェア故障を素早く検出できるように、ＡＳＴ１００はセルフチェック（自己診断）ハードウェア上で実行することができる。ＡＳＴ１００の比較的単純なソフトウェアには、設計エラーがないものと想定される。
障害がない場合、ＦＣＵ１１０、１２０による２つの制御値は同一となるため、ＡＳＴ１００が２つの制御値のうちのいずれを取得するかは重要ではない。
一方、エラーが発生した場合、ＦＣＵ１１０、１２０による２つの制御値の値は異なる。極端な場合には、あるサイクルにおいてＦＣＵ１１０は値1（フルブレーキング）を算出し、ＦＣＵ１２０は値0（ブレーキなし）を算出する。一方のＦＣＵのみが故障したと仮定しているため、これら２つの値の一方が正しく、他方は誤りである。しかし、どの値が正しく、どの値が誤りであるのかは分かっていない。正しい値が0（ブレーキなし）である場合、間違った値1（すなわち、不要な自発的なフルブレーキング）を選択すると、後続の自動車によって追突されるおそれがある。一方、正しい値が1（フルブレーキング）である場合、間違った値0を選択すると、事故を招くおそれがある。誤った選択を行うリスクを抑えるために、エラーが発生した（すなわち、２つのＦＣＵによる制御値が異なる）場合、安全性への配慮からブレーキをかけないという選択肢よりもブレーキをかけるという選択肢に対してより大きい重み付けを行う加重平均アルゴリズムによって、制御値を算出することが提案される。
また、エラーが発生した（すなわち、２つの制御値が異なる）場合、インテリジェントなＡＳＴが自動車の診断用メモリにエラーメッセージを記録することが提案される。
本発明では、ＡＳＴ１００はＦＣＵ１１０、１２０の２つの制御値から以下の式を適用して現在のサイクルiの制御値Biを算出する。
Bi = (g*Bgross + Bklein)/(g+l)
ここで、Bgrossは、ＦＣＵ１１０、１２０による２つの制御値のうちの相対的に大きい方であり、Bkleinは相対的に小さい方である。変数gは、相対的に大きい方の制御値（相対的に強いブレーキ）に対して、相対的に小さい方の制御値（相対的に弱いブレーキ）と比較して、どの程度の重みを考慮するかを示す。
以下の例では、g = 3、すなわち、加重平均アルゴリズムにおいて、相対的に大きい方の制御値は相対的に小さい方の制御値と比較して３倍の重みを有するものと仮定する。相対的に大きい制御値に大きい重みを付することにより、障害が発生した場合、自動車を素早く安全な状態（例えば、減速中の状態、もしくは、減速された状態、または、静止した状態）にすることができる。
表３：BgrossとBkleinの関数として与えられた制御値（g = 3）
Figure 0006442129
重みg = 3の例は、すでに考察した極端な場合（すなわち、一方のＦＣＵがフルブレーキングであり、他方のＦＣＵがブレーキなしである場合）、75パーセントのブレーキ力が適用されることを示す。表３によると、障害がない場合（表３の対角線）、制御値が変更されないことも分かる。
アナログ技術のシステムとは異なり、デジタルシステムでは、障害が結果に及ぼす影響は予測不可能である。障害によって引き起こされたＰＳ（Physical System、物理システム、上記例では自動車）の自発的な反応をさらに緩和するために、２つのＦＣＵにより算出された制御値において急に大きい差が生じた場合、サイクルiの制御値Biを、現在の制御値と直前のサイクル(i - 1)の制御値の加重平均によってさらに補正することができる。かかる目的で、ＡＳＴ１００は次のように補正された制御値Bikorを求めることが提案される。
Bikor = (Bi + Bi-i *(Bgross - Bklein))/(1 + Bgross - Bklein)
(Βgross - Bklein) = 0 （制御値が同一）の場合、Bikor = Biとなり、すなわち補正は行われない。 逆に、(Bgross - Bklein) = 1 （極端なケース）の場合、Bikor = (Bi + Bi-i)/2となり、すなわちBikorは最後の2サイクルの中間値をとる。他のすべての(Βgross - Bklein)の値について、Bikorの値は、これらの２つの限界値の間の値となる。補正された制御値Bikorを計算することにより、故障によって引き起こされた自発的な反応が緩和される。
提案された方法は、冗長システムにおいて比較的少ないコストで実現することができ、自律制御システムの信頼性と安全性を大幅に向上させることにつながる。
なお、特許請求の範囲に付記した図面参照符号は、図示した形態に限定することを意図するものではなく、専ら理解を助けるためのものである。
また、本発明において、さらに以下の形態が可能である。
［形態１］
自動車におけるブレーキおよび／または操舵および／または加速を制御するための装置であって、
前記装置は、複数の異なるセンサコンポーネントと、マンマシンインタフェースコンポーネントと、アクチュエータ制御コンポーネントを備え、
前記コンポーネントは、それぞれ故障封じ込めユニットを構成するとともにTTEthernet通信インタフェースを有し、
前記装置は、２つの異種のセンサ融合コンポーネントと、自動車のドライバを監視する監視コンポーネントをさらに備え、
前記センサ融合コンポーネントは、それぞれ、同様に故障封じ込めユニットを構成するとともにTTEthernet通信インタフェースを有し、
すべてのコンポーネントは中央TTEthernetメッセージ配信部に接続され、TTEthernetメッセージを用いて前記中央TTEthernetメッセージ配信部を介して互いに通信し、
前記中央TTEthernetメッセージ配信部には、伝達されたメッセージをリアルタイムに監視するための診断部が接続可能である、
ことを特徴とする制御装置。
［形態２］
すべてのコンポーネントは基板上に配置され、コンポーネントと前記中央TTEthernetメッセージ配信部との間のデータ線は基板上の導線として実現されている、
形態１に記載の装置。
［形態３］
センサコンポーネントを除いたすべてのコンポーネントは基板上に配置され、コンポーネント間、特に基板上のコンポーネントと前記中央TTEthernetメッセージ配信部との間のデータ線は導線として実装されている、
形態１に記載の装置。
［形態４］
前記中央TTEthernetメッセージ配信部と前記中央TTEthernetメッセージ配信部へのすべてのデータ線は、冗長に設けられている、
形態１ないし３のいずれか一に記載の装置。
［形態５］
マンマシンインタフェースコンポーネント、アクチュエータ制御コンポーネント、および、アクチュエータ制御コンポーネントとアクチュエータの間のデータ線は、冗長に設けられている、
形態１ないし３のいずれか一に記載の装置。
［形態６］
２つの冗長化コンポーネントの第１のコンポーネントはそれぞれ第１の電流源から電流が供給され、２つの冗長化コンポーネントの第２のコンポーネントはそれぞれ第２の電流源から電流が供給される、
形態１ないし５のいずれか一に記載の装置。
［形態７］
２つのセンサ融合コンポーネントは、異種であり、かつ、冗長に実装されている、
形態１ないし６のいずれか一に記載の装置。
［形態８］
センサコンポーネント、２つの異種のセンサ融合コンポーネント、監視コンポーネント、マンマシンインタフェースコンポーネント、および、アクチュエータ制御コンポーネントは、TTEthernetメッセージを用いて前記中央TTEthernetメッセージ配信部を介して通信し、
前記中央TTEthernetメッセージ配信部はTTEthernetメッセージの一部をコピーして診断部に送信し、
診断部はコピーされたメッセージを分析して保持する、
形態１ないし７のいずれか一に記載の装置。
［形態９］
形態１ないし８のいずれか一に記載の装置を用いて自動車におけるブレーキおよび／または操舵および／または加速を制御するための方法であって、
複数のセンサコンポーネント、２つの異種のセンサ融合コンポーネント、自動車のドライバを監視する監視コンポーネント、マンマシンインタフェースコンポーネント、および、アクチュエータ制御コンポーネントは、TTEthernetメッセージを用いて中央TTEthernetメッセージ配信部を介して通信し、
前記中央TTEthernetメッセージ配信部はTTEthernetメッセージの一部をコピーして前記診断部に送信し、
前記診断部はコピーされたメッセージを分析して保持する、
ことを特徴とする制御方法。
［形態１０］
前記診断部は、センサコンポーネントのそれぞれ、２つの異種のセンサ融合コンポーネントのそれぞれ、監視コンポーネント、および、マンマシンインタフェースコンポーネントの動作を、ダイナミックレンジとタイムレンジについてシミュレートするメッセージを生成する、
形態９に記載の方法。
＜図１、図２＞
１００ メッセージ配信部
１０１、１５１ データ線（メッセージインタフェース）
１１１−１１３ センサコンポーネント（センサ）
１２１、１２２ センサ融合コンポーネント（ＳＦＫ）
１３０ マンマシンインタフェースコンポーネント（ＭＭＩ）
１３２ ドライバ
１４０ 監視コンポーネント（ＭＫ）
１５０ アクチュエータ制御部（ＡＳＴ）
１５２ アクチュエータ
１９０ 診断部
＜図３＞
１００ アクチュエータ制御部（ＡＳＴ）
１０２ アクチュエータ
１１０、１２０ センサ
１１１、１２１、１３１、１３３、１４１ データ線
１３０ センサ融合コンポーネント（ＳＦＫ）
１４０ 監視コンポーネント（ＭＫ）
１５０ マンマシンインタフェースコンポーネント（ＭＭＩ）
１６０ ヒューマンオペレータ（ＨＯ）（ドライバ）
＜図４＞
１００ アクチュエータ制御部（ＡＳＴ）
１０１ アクチュエータ
１１０、１２０ 故障封じ込め（隔離）ユニット（ＦＣＵ）
１１１、１１２、１２１、１２２ センサ
１１３、１２３ センサ融合コンポーネント（ＳＦＫ）
１１４、１２４ データ線

Claims (10)

  1. 自動車におけるブレーキおよび／または操舵および／または加速を制御するための装置であって、
    前記装置は、複数の異なるセンサコンポーネント（１１１、１１２、１１３）と、マンマシンインタフェースコンポーネント（１３０）と、アクチュエータ制御コンポーネント（１５０）を備え、
    前記コンポーネントは、それぞれ故障封じ込めユニットを構成するとともにTTEthernet通信インタフェースを有し、
    前記装置は、２つの異種のセンサ融合コンポーネント（１２１、１２２）と、自動車のドライバを監視する監視コンポーネント（１４０）をさらに備え、
    前記センサ融合コンポーネント（１２１，１２２）は、それぞれ、同様に故障封じ込めユニットを構成するとともにTTEthernet通信インタフェースを有し、
    すべてのコンポーネントは中央TTEthernetメッセージ配信部（１００）に接続され、TTEthernetメッセージを用いて前記中央TTEthernetメッセージ配信部（１００）を介して互いに通信し、
    前記中央TTEthernetメッセージ配信部（１００）には、伝達されたメッセージをリアルタイムに監視するための診断部（１９０）が接続可能である、
    ことを特徴とする制御装置。
  2. すべてのコンポーネント（１１１、１１２、１１３、１３０、１５０、１２２、１２２、１００）は基板上に配置され、コンポーネントと前記中央TTEthernetメッセージ配信部（１００）との間のデータ線（１０１）は基板上の導線として実現されている、
    請求項１に記載の装置。
  3. センサコンポーネントを除いたすべてのコンポーネント（１２０、１５０、１２１、１２２、１００）は基板上に配置され、コンポーネント間、または、基板上のコンポーネントと前記中央TTEthernetメッセージ配信部（１００）との間のデータ線（１０１）は導線として実装されている、
    請求項１に記載の装置。
  4. 前記中央TTEthernetメッセージ配信部（１００）と前記中央TTEthernetメッセージ配信部へのすべてのデータ線は、冗長に設けられている、
    請求項１ないし３のいずれか１項に記載の装置。
  5. マンマシンインタフェースコンポーネント（１３０）、アクチュエータ制御コンポーネント（１５０）、および、アクチュエータ制御コンポーネントとアクチュエータの間のデータ線（１５１）は、冗長に設けられている、
    請求項１ないし３のいずれか１項に記載の装置。
  6. ２つの冗長化コンポーネントの第１のコンポーネントはそれぞれ第１の電流源から電流が供給され、２つの冗長化コンポーネントの第２のコンポーネントはそれぞれ第２の電流源から電流が供給される、
    請求項４または５に記載の装置。
  7. ２つのセンサ融合コンポーネント（１２１、１２２）は、異種であり、かつ、冗長に実装されている、
    請求項１ないし６のいずれか１項に記載の装置。
  8. センサコンポーネント（１１１、１１２、１１３）、２つの異種のセンサ融合コンポーネント（１２１、１２２）、監視コンポーネント（１４０）、マンマシンインタフェースコンポーネント（１３０）、および、アクチュエータ制御コンポーネント（１５０）は、TTEthernetメッセージを用いて前記中央TTEthernetメッセージ配信部（１００）を介して通信し、
    前記中央TTEthernetメッセージ配信部（１００）はTTEthernetメッセージの一部をコピーして診断部（１９０）に送信し、
    前記診断部（１９０）はコピーされたメッセージを分析して保持する、
    請求項１ないし７のいずれか１項に記載の装置。
  9. 請求項１ないし８のいずれか１項に記載の装置を用いて自動車におけるブレーキおよび／または操舵および／または加速を制御するための方法であって、
    複数のセンサコンポーネント（１１１、１１２、１１３）、２つの異種のセンサ融合コンポーネント（１２１、１２２）、自動車のドライバを監視する監視コンポーネント（１４０）、マンマシンインタフェースコンポーネント（１３０）、および、アクチュエータ制御コンポーネント（１５０）は、TTEthernetメッセージを用いて中央TTEthernetメッセージ配信部（１００）を介して通信し、
    前記中央TTEthernetメッセージ配信部（１００）はTTEthernetメッセージの一部をコピーして前記診断部に送信し、
    前記診断部はコピーされたメッセージを分析して保持する、
    ことを特徴とする制御方法。
  10. 前記診断部は、センサコンポーネント（１１１、１１２、１１３）のそれぞれ、２つの異種のセンサ融合コンポーネント（１２１、１２２）のそれぞれ、監視コンポーネント（１４０）、および、マンマシンインタフェースコンポーネント（１３０）の動作を、ダイナミックレンジとタイムレンジについてシミュレートするメッセージを生成する、
    請求項９に記載の方法。
JP2015561821A 2013-03-14 2014-03-13 自動車の自律制御のための装置および方法 Active JP6442129B2 (ja)

Applications Claiming Priority (3)

Application Number Priority Date Filing Date Title
ATA199/2013 2013-03-14
AT1992013 2013-03-14
PCT/AT2014/050062 WO2014138765A1 (de) 2013-03-14 2014-03-13 Vorrichtung und verfahren zur autonomen steuerung von kraftfahrzeugen

Publications (2)

Publication Number Publication Date
JP2016512483A JP2016512483A (ja) 2016-04-28
JP6442129B2 true JP6442129B2 (ja) 2018-12-19

Family

ID=50548983

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2015561821A Active JP6442129B2 (ja) 2013-03-14 2014-03-13 自動車の自律制御のための装置および方法

Country Status (5)

Country Link
US (1) US9606538B2 (ja)
EP (1) EP2974156B1 (ja)
JP (1) JP6442129B2 (ja)
CN (1) CN105191222A (ja)
WO (1) WO2014138765A1 (ja)

Families Citing this family (19)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US9454152B2 (en) * 2013-03-14 2016-09-27 Fts Computertechnik Gmbh Method for allocating control in a system of systems
CN205721346U (zh) * 2016-04-08 2016-11-23 同济大学 一种基于车载以太网的电动智能汽车星型通信网络系统
AT519164A3 (de) * 2016-08-16 2018-10-15 Fts Computertechnik Gmbh Fehlertolerantes Verfahren und Vorrichtung zur Steuerung einer autonomen technischen Anlage auf der Basis eines konsolidierten Umweltmodells
AT519165A3 (de) * 2016-08-16 2018-10-15 Fts Computertechnik Gmbh Fehlertolerantes Verfahren und Vorrichtung zur Steuerung einer autonomen technischen Anlage mittels diversitärer Trajektorenplanung
EP3293543B1 (en) * 2016-09-08 2021-06-09 KNORR-BREMSE Systeme für Nutzfahrzeuge GmbH Apparatus for sensing a vehicular environment when fitted to a vehicle
EP3293667A1 (en) 2016-09-08 2018-03-14 KNORR-BREMSE Systeme für Nutzfahrzeuge GmbH An apparatus for providing vehicular environment information
EP3293542B1 (en) * 2016-09-08 2023-11-01 KNORR-BREMSE Systeme für Nutzfahrzeuge GmbH Apparatus for sensing a vehicular environment when fitted to a vehicle
US10114374B2 (en) * 2016-11-16 2018-10-30 Baidu Usa Llc Emergency handling system for an autonomous driving vehicle (ADV)
US10073456B2 (en) 2016-11-17 2018-09-11 GM Global Technology Operations LLC Automated co-pilot control for autonomous vehicles
EP3376330B1 (de) 2017-03-17 2020-11-04 TTTech Auto AG Fehlertolerantes verfahren zur erkennung von fehlern in einem elektronischen system zur steuerung eines kontrollierten objektes
EP3376390B1 (de) * 2017-03-17 2019-10-30 TTTech Auto AG Fehlertolerantes verfahren zur steuerung eines autonomen kontrollierten objektes
US10433951B2 (en) * 2017-05-22 2019-10-08 Rxsight, Inc. Depth of focus and visual acuity using colorized apodization of intra-ocular lenses
WO2018220663A1 (ja) * 2017-05-29 2018-12-06 三菱電機株式会社 異常判定装置、異常判定方法及び異常判定プログラム
CN107643682B (zh) * 2017-08-23 2021-05-07 中车青岛四方机车车辆股份有限公司 用于切换司控器冗余信号的控制方法和装置
DE102018206712B4 (de) * 2018-05-02 2022-02-03 Audi Ag Betriebsverfahren für eine autonom betreibbare Vorrichtung und autonom betreibbare Vorrichtung
DK201870684A1 (en) 2018-08-27 2020-05-19 Aptiv Technologies Limited PARTITIONED WIRELESS COMMUNICATION SYSTEM WITH REDUNDANT DATA LINKS AND POWER LINES
DE102018219246A1 (de) * 2018-11-12 2020-05-14 Continental Automotive Gmbh Steuergerätearchitektur für Fahrzeuge
CN109606384B (zh) * 2018-12-29 2021-04-20 百度在线网络技术（北京）有限公司 车辆控制方法、装置、设备和存储介质
FR3107631B1 (fr) * 2020-02-20 2022-09-09 Psa Automobiles Sa Procédé et dispositif de gestion de l’état en veille ou éveillé d’un réseau Ethernet dans un véhicule automobile, produit programme d’ordinateur, et véhicule automobile l’incorporant.

Family Cites Families (14)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20020151297A1 (en) * 2000-10-14 2002-10-17 Donald Remboski Context aware wireless communication device and method
AT411948B (de) 2002-06-13 2004-07-26 Fts Computertechnik Gmbh Kommunikationsverfahren und apparat zur übertragung von zeitgesteuerten und ereignisgesteuerten ethernet nachrichten
US7124027B1 (en) * 2002-07-11 2006-10-17 Yazaki North America, Inc. Vehicular collision avoidance system
US20040032334A1 (en) 2002-08-13 2004-02-19 Ataul Haq Doze-off early warning system for automotives and other applications
US7675919B2 (en) * 2006-08-02 2010-03-09 Honeywell International Inc. End system scheduling for switched networks
US8396934B2 (en) * 2007-04-11 2013-03-12 Tttech Computertechnik Aktiengesellschaft Communication method and apparatus for the efficient and reliable transmission of TT ethernet messages
ATE524006T1 (de) 2007-06-11 2011-09-15 Fts Computertechnik Gmbh Verfahren und architektur zur sicherung von echtzeitdaten
EP2073448B1 (en) * 2007-12-17 2020-06-17 Avago Technologies International Sales Pte. Limited Method and system for a centralized vehicular electronics system utilizing Ethernet with audio video bridging
US8130773B2 (en) * 2008-06-25 2012-03-06 Honeywell International Inc. Hybrid topology ethernet architecture
US8503484B2 (en) * 2009-01-19 2013-08-06 Honeywell International Inc. System and method for a cross channel data link
US8464102B2 (en) * 2010-12-23 2013-06-11 GM Global Technology Operations LLC Methods and systems for diagnosing hardware and software faults using time-stamped events
KR101714062B1 (ko) * 2011-03-22 2017-03-08 현대자동차주식회사 이더넷 기반의 영상 제공 장치 및 그 방법
EP2798495A2 (de) * 2011-12-27 2014-11-05 FTS Computertechnik GmbH Verfahren zur zeitrichtigen zusammenführung von ergebnissen von periodisch arbeitenden edv-komponenten
US20130179528A1 (en) * 2012-01-11 2013-07-11 Bae Systems Controls, Inc. Use of multicore processors for network communication in control systems

Also Published As

Publication number Publication date
US9606538B2 (en) 2017-03-28
EP2974156A1 (de) 2016-01-20
US20160033965A1 (en) 2016-02-04
EP2974156B1 (de) 2017-05-03
WO2014138765A1 (de) 2014-09-18
CN105191222A (zh) 2015-12-23
JP2016512483A (ja) 2016-04-28

Similar Documents

Publication Publication Date Title
JP6442129B2 (ja) 自動車の自律制御のための装置および方法
US20220080992A1 (en) Method of using a single controller (ecu) for a fault-tolerant/fail-operational self-driving system
JP7430734B2 (ja) 車両内通信システム、車両内通信方法、およびデバイス
US10875511B2 (en) Systems and methods for brake redundancy for an autonomous vehicle
JP6388871B2 (ja) ドライバー・アシスタント・アプリケーション用の方法
CN109032116A (zh) 车辆故障处理方法、装置、设备及存储介质
EP3085596A1 (en) A vehicle safety electronic control system
WO2018198547A1 (ja) 車両の電子制御装置
CN110077420A (zh) 一种自动驾驶控制系统和方法
CN112429012B (zh) 汽车电控系统、自动驾驶控制方法及汽车
US11975727B2 (en) Autonomous vehicle control system
JP2008505012A (ja) 冗長データバスシステム
WO2020066304A1 (ja) 車載電子制御システム
US20160034363A1 (en) Method for handling faults in a central control device, and control device
CN113173178B (zh) 一种用于车辆的自动驾驶控制方法及控制系统
KR102077201B1 (ko) 차량의 통합 제어 장치 및 방법
Kopetz et al. Autonomous emergency braking: A system-of-systems perspective
CN110481564A (zh) 自动驾驶的控制方法、系统、设备和存储介质
WO2019058962A1 (ja) 移動体の制御システムおよび移動体の制御方法
JP7004534B2 (ja) 車両の制御装置及び車両の制御方法
CN112537310A (zh) 用于安全求取基础设施数据的方法、设备、基础设施和存储介质
WO2023201563A1 (zh) 一种控制方法、装置和交通工具
CN213042144U (zh) 一种自动驾驶系统的融合测试台架
JP2022543591A (ja) 周囲のエリア内で車両を位置特定するための方法およびデバイス
JP7411961B2 (ja) 走行支援装置、走行支援システム、及び走行支援方法

Legal Events

Date Code Title Description
A621 Written request for application examination

Free format text: JAPANESE INTERMEDIATE CODE: A621

Effective date: 20170206

A131 Notification of reasons for refusal

Free format text: JAPANESE INTERMEDIATE CODE: A131

Effective date: 20180417

A521 Request for written amendment filed

Free format text: JAPANESE INTERMEDIATE CODE: A523

Effective date: 20180629

TRDD Decision of grant or rejection written
A01 Written decision to grant a patent or to grant a registration (utility model)

Free format text: JAPANESE INTERMEDIATE CODE: A01

Effective date: 20181106

A61 First payment of annual fees (during grant procedure)

Free format text: JAPANESE INTERMEDIATE CODE: A61

Effective date: 20181124

R150 Certificate of patent or registration of utility model

Ref document number: 6442129

Country of ref document: JP

Free format text: JAPANESE INTERMEDIATE CODE: R150

S111 Request for change of ownership or part of ownership

Free format text: JAPANESE INTERMEDIATE CODE: R313111

R350 Written notification of registration of transfer

Free format text: JAPANESE INTERMEDIATE CODE: R350

S111 Request for change of ownership or part of ownership

Free format text: JAPANESE INTERMEDIATE CODE: R313113

R350 Written notification of registration of transfer

Free format text: JAPANESE INTERMEDIATE CODE: R350

R250 Receipt of annual fees

Free format text: JAPANESE INTERMEDIATE CODE: R250

R250 Receipt of annual fees

Free format text: JAPANESE INTERMEDIATE CODE: R250

R250 Receipt of annual fees

Free format text: JAPANESE INTERMEDIATE CODE: R250