JP6639552B2 - フェールセーフ制御装置及びフェールセーフ制御方法 - Google Patents

Description

本発明は、車両のフェールセーフ制御装置及びフェールセーフ制御方法に関する。

特許文献１に記載された電子制御システムは、複数のセンサーモジュール、複数の機能モジュール、及び、機能モジュールを統括する統括機能モジュールで構成されている。

複数の機能モジュールのうちの一の機能モジュールは、他の機能モジュールと協調することなく、センサーモジュールからの入力値を基づいて、自らの機能に対応するアクチュエータに対する指令値を決定し、アクチュエータに接続された統括機能モジュールに出力する。機能モジュール及びセンサーモジュールは、入力値の異常を検知した場合、または自らが故障した場合に、出力値が異常であることを統括機能モジュールに通知する。

統括機能モジュールは、センサーモジュール及び機能モジュールの実行に関する優先関係を予め保持し、当該優先関係が高いセンサーモジュール及び機能モジュールからの指令値を採用し、アクチュエータに出力する。センサーモジュール及び機能モジュールのいずれかに異常が発生した場合には、異常が発生したことが統括機能モジュールに通知される。この場合、統括機能モジュールは、異常であると通知されたセンサーモジュール及び機能モジュールからの指令値と、異常であると通知された機能モジュールよりも優先関係が低い全ての機能モジュールからの指令値とを、アクチュエータに出力する指令値として採用しない。このような構成によれば、障害に対する安全性及び運行継続性が確保される。

特許第５１１９８９２号公報

しかしながら、車両の内部の状況、または、車両の周囲の状況は、時々刻々と変化するにもかかわらず、特許文献１の技術は、異常に対処するための処置を、状況に十分に対応させて変更するように構成されていない。このため、異常に対応するための処置を適切に行うことができない場合があった。

そこで、本発明は、上記のような問題点を鑑みてなされたものであり、異常に対応するための処置を適切に行うことが可能な技術を提供することを目的とする。

本発明に係るフェールセーフ制御装置は、車両のフェールセーフ制御装置であって、複数のセンサーモジュールと、それぞれが、１つ以上の前記センサーモジュールからの入力値に基づいて、自らの機能に対応するアクチュエータに対する指令値を決定する複数の機能モジュールと、前記車両動作時の前記車両の内部状況及び外部状況の少なくともいずれか１つを示す状況情報を取得する情報取得部と、前記情報取得部で取得された前記状況情報に基づいて、前記複数の機能モジュールの優先順位が定義された複数のテーブルの中から１つのテーブルを選択するテーブル選択部と、前記テーブル選択部で選択された前記１つのテーブルに定義された優先順位と、前記複数の機能モジュールの異常についての検知結果とに基づいて、前記複数の機能モジュールの前記指令値の中から、前記アクチュエータに出力すべき指令値である出力指令値を選択する調停モジュールとを備える。前記状況情報は、前記車両の挙動の情報、前記車両周辺の他車両の距離、位置及び台数の情報、前記車両が走行している道路の情報、及び、前記車両の周囲の環境の情報、の少なくともいずれか１つの情報を含む。

本発明によれば、状況情報に基づいて複数のテーブルの中から１つのテーブルを選択し、当該１つのテーブルに定義された優先順位と、複数の機能モジュールの異常についての検知結果とに基づいて、複数の機能モジュールの指令値の中から、アクチュエータに出力すべき指令値である出力指令値を選択する。これにより、異常に対応するための処置を適切に行うことができる。

実施の形態１に係るフェールセーフ制御装置の構成を示すブロック図である。 優先順位テーブルの一例を示す図である。 実施の形態１に係るフェールセーフ制御装置の動作を示すフローチャートである。 その他の変形例に係るフェールセーフ制御装置のハードウェア構成を示すブロック図である。 その他の変形例に係るフェールセーフ制御装置のハードウェア構成を示すブロック図である。 その他の変形例に係るサーバの構成を示すブロック図である。 その他の変形例に係る通信端末の構成を示すブロック図である。

＜実施の形態１＞
図１は、本発明の実施の形態１に係るフェールセーフ制御装置の構成を示すブロック図である。図１のフェールセーフ制御装置は、センサーモジュール１０１，１０２，１０３と、機能モジュール１０４，１０５，１０６と、異常検知部１０７と、調停モジュール１０８と、アクチュエータ１１０，１１１，１１２と、情報取得部２０１と、優先順位テーブル記憶部２０２と、優先順位テーブル選択部２０３とを備える。

センサーモジュール１０１は、センサーモジュール１０１に入力される入力値の異常、または、センサーモジュール１０１内部の異常を、センサーモジュール１０１の異常として検知する。センサーモジュール１０１に入力される入力値は、例えば、車両の内部状況及び外部状況を示す値などである。センサーモジュール１０１は、異常の検知結果を異常検知部１０７に出力する。異常検知部１０７は、センサーモジュール１０１の検知結果に従う。

なお、センサーモジュール１０１ではなく、異常検知部１０７が、センサーモジュール１０１に入力される入力値の異常、または、センサーモジュール１０１内部の異常を検知してもよい。例えば、異常検知部１０７が、センサーモジュール１０１の出力値を既定の基準に照らして判定することによって、センサーモジュール１０１の異常を検知（判定）してもよい。または、異常検知部１０７が、センサーモジュール１０１の入力に基づいて、センサーモジュール１０１と同等の演算を異常検知部１０７にて実行して、その演算結果とセンサーモジュール１０１の出力とを比較することで、センサーモジュール１０１の異常を検知（判定）してもよい。

センサーモジュール１０２，１０３もセンサーモジュール１０１と同様に構成されている。なお、図１では、センサーモジュールの数は３つであるが、これに限ったものではない。

機能モジュール１０４は、センサーモジュール１０１〜１０３のうちの１つ以上のセンサーモジュールからの入力値に基づいて、アクチュエータ１１０〜１１２のうち自らの機能に対応するアクチュエータに対する指令値を決定する。機能モジュール１０４は、例えばレーンキープ、自動ブレーキ、自動駐車などの車両の走行に係る機能を実装しており、当該機能を実現するための指令値を決定する。機能モジュール１０４は、決定した指令値を調停モジュール１０８に出力する。

また、機能モジュール１０４は、機能モジュール１０４に入力される入力値の異常、または、機能モジュール１０４内部の異常を、機能モジュール１０４の異常として検知する。機能モジュール１０４は、異常の検知結果を異常検知部１０７及び調停モジュール１０８に出力する。

なお、機能モジュール１０４ではなく、異常検知部１０７が、機能モジュール１０４に入力される入力値の異常、または、機能モジュール１０４内部の異常を検知してもよい。例えば、異常検知部１０７が、機能モジュール１０４の出力値を既定の基準に照らして判定することによって、機能モジュール１０４の異常を検知（判定）してもよい。または、異常検知部１０７が、機能モジュール１０４の入力（センサモジュールの出力）に基づいて、機能モジュール１０４と同等の演算を異常検知部１０７にて実行して、その演算結果と機能モジュール１０４の出力とを比較することで、機能モジュール１０４の異常を検知（判定）してもよい。

機能モジュール１０５，１０６も機能モジュール１０４と同様に構成されている。なお、図１では、機能モジュールの数は３つであるが、これに限ったものではない。また、機能モジュール１０４〜１０６は、単独のＥＣＵ（電子制御装置）によって実現されてもよく、または、１つのＥＣＵに実装されたアプリケーションによって実現されてもよい。加えて、１つの機能モジュールの入力が、複数のセンサーモジュールの出力と接続されてもよく、逆に、複数の機能モジュールの入力が、１つのセンサーモジュールの出力と接続されてもよい。

異常検知部１０７は、センサーモジュール１０１〜１０３の出力と、機能モジュール１０４〜１０６の出力とに基づいて、車両の異常を検知する。異常検知部１０７が異常を検知した場合、調停モジュール１０８及び情報取得部２０１に異常情報が伝達される。

情報取得部２０１は、異常検知部１０７からの車両の異常についての検知結果と、センサーモジュール１０１〜１０３からの情報と、アクチュエータ１１０〜１１２からの情報とに基づいて、車両の内部状況及び外部状況の少なくともいずれか１つを示す状況情報を取得する。本実施の形態１では、情報取得部２０１は、異常検知部１０７からの車両の異常が通知された場合に、センサーモジュール１０１〜１０３からの情報と、アクチュエータ１１０〜１１２からの情報とを含む情報を状況情報として取得し、当該状況情報を優先順位テーブル選択部２０３に出力する。

なお、状況情報は、車両の挙動の情報、車両が走行している道路の情報、及び、車両の周囲の環境の情報の少なくともいずれか１つを含んでもよく、また、これら情報は他のセンサーで検出されてもよい。ここで、車両の挙動の情報は、例えば車両の加速頻度、減速頻度、ハンドル操作の頻度などを含む。道路の情報は、例えば高速道路、一般道路、交差点、道路の凍結などを含む。環境の情報は、例えば昼間及び夜間などの日時、雨天、降雪及び霧などの天候などを含む。

優先順位テーブル記憶部２０２は、複数のテーブルである複数の優先順位テーブルを記憶（蓄積）している。複数の優先順位テーブルのそれぞれには、複数の機能モジュールの優先順位（優先関係）が定義されている。

図２は、２つの優先順位テーブルの一例を示す図である。優先順位テーブルＴ１，Ｔ２には、第１，第２，第３機能モジュールの優先順位が定義されている。なお、第１，第２，第３機能モジュールは、それぞれ機能モジュール１０４，１０５，１０６に相当する。以下の説明では、機能モジュール１０４、機能モジュール１０５、及び、機能モジュール１０６を、それぞれ第１機能モジュール１０４、第２機能モジュール１０５、及び、第３機能モジュール１０６と記すこともある。

優先順位テーブルＴ１では、第１機能モジュール１０４、第２機能モジュール１０５、第３機能モジュール１０６の順に優先順位が高くなっている。一方、優先順位テーブルＴ２では、第３機能モジュール１０６、第１機能モジュール１０４、第２機能モジュール１０５の順に優先順位が高くなっている。

テーブル選択部である優先順位テーブル選択部２０３は、情報取得部２０１で取得された状況情報に基づいて、複数の優先順位テーブルの中から１つの優先順位テーブルを選択する。なお、優先順位テーブル選択部２０３は、１つの選択部から構成してもよいし、各段で選択を部分的に行う複数段の選択部から構成してもよい。

調停モジュール１０８は、指令値採用部１０９を内蔵している。指令値採用部１０９は、優先順位テーブル選択部２０３で選択された１つの優先順位テーブルに定義された優先順位と、機能モジュールの異常についての検知結果とに基づいて、機能モジュールの優先順位を判定する。そして、指令値採用部１０９は、当該判定結果に基づいて、機能モジュール１０４〜１０６の指令値の中から、アクチュエータ１１０〜１１２に出力すべき指令値である出力指令値を採用（選択）する。

本実施の形態１では、指令値採用部１０９は、異常である機能モジュールの指令値と、異常である機能モジュールよりも優先順位が低い機能モジュールの指令値とを除いた、機能モジュール１０４〜１０６の指令値を、出力指令値として採用する。

ここで、優先順位テーブル選択部２０３が図２の優先順位テーブルＴ１を選択し、第２機能モジュール１０５が異常である場合を例にして説明する。この場合、指令値採用部１０９は、第２機能モジュール１０５の指令値と、第２機能モジュール１０５よりも優先順位が低い第３機能モジュール１０６の指令値とを除いた、第１〜第３機能モジュール１０４〜１０６の指令値を、出力指令値として採用する。つまり、指令値採用部１０９は、第１機能モジュール１０４の指令値を出力指令値として採用する。

次に、優先順位テーブル選択部２０３が図２の優先順位テーブルＴ２を選択し、第２機能モジュール１０５が異常である場合を例にして説明する。この場合、指令値採用部１０９は、優先順位が最下位の第２機能モジュール１０５の指令値を除いた、第１〜第３機能モジュール１０４〜１０６の指令値を、出力指令値として採用する。つまり、指令値採用部１０９は、第１，第３機能モジュール１０４，１０６の指令値を出力指令値として採用する。

このように、上記２つの例はいずれも、第２機能モジュール１０５が異常である例であるが、状況情報、ひいては状況情報に基づいて選択された優先順位テーブルが異なれば、指令値採用部１０９は、異なる出力指令値を採用することができる。

なお、本実施の形態１では、指令値採用部１０９は、センサーモジュール１０１〜１０３の異常についての検知結果を、出力指令値の採用に用いる。例えば、指令値採用部１０９は、（１）異常である機能モジュールの指令値と、（２）異常である機能モジュールよりも優先順位が低い機能モジュールの指令値と、（３）異常であるセンサーモジュールからの入力値を用いる機能モジュールの指令値とを除いた、複数の機能モジュールの指令値を、出力指令値として採用する。

調停モジュール１０８は、指令値採用部１０９で採用された出力指令値をアクチュエータ１１０〜１１２に出力する。このため、指令値採用部１０９の出力指令値の採用（選択）は、駆動すべきセンサーモジュール１０１〜１０３の選択と実質的に同じとなる。

アクチュエータ１１０〜１１２は、調停モジュール１０８からの出力指令値に基づいて、車両に搭載されたアクチュエータ（図示せず）を駆動する。ここで、車両に搭載されたアクチュエータは、例えば、エンジン制御ＥＣＵ（走る機能）、電動パワーステアリングＥＣＵ（曲がる機能）、ブレーキＥＣＵ（止まる機能）などである。なお、アクチュエータは走る機能、曲がる機能、止まる機能に限ったものではなく、例えばＨＭＩ(Human Machine Interface)、灯火類、ドア、パワーウインドウなど他の機能であってもよい。また、図１では、アクチュエータの数は３つであるが、これに限ったものではない。

＜動作＞
図３は、本実施の形態１に係るフェールセーフ制御装置の動作を示すフローチャートである。

ステップＳ１にて、センサーモジュール１０１〜１０３、及び、機能モジュール１０４〜１０６は、異常を検知する。また、機能モジュール１０４〜１０６は、センサーモジュール１０１〜１０３のうちの１つ以上のセンサーモジュールからの入力値に基づいて、指令値を決定する。

ステップＳ２にて、異常検知部１０７は、センサーモジュール１０１〜１０３の出力と、機能モジュール１０４〜１０６の出力とに基づいて、車両の異常を検知する。異常が検知された場合にはステップＳ３に処理が進み、異常が検知されなかった場合にはステップＳ１に処理が戻る。

ステップＳ３にて、情報取得部２０１は状況情報を取得する。ステップＳ４にて、優先順位テーブル選択部２０３は、情報取得部２０１で取得された状況情報に基づいて１つの優先順位テーブルを選択する。

ステップＳ５にて、指令値採用部１０９は、１つの優先順位テーブルに定義された優先順位と、機能モジュールの異常についての検知結果とに基づいて、優先順位の判定を行う。

ステップＳ６にて、指令値採用部１０９は、優先順位の判定結果に基づいて出力指令値を採用し、調停モジュール１０８は、指令値採用部１０９で採用された出力指令値をアクチュエータ１１０〜１１２に出力する。その後、図３の動作が終了する。

＜実施の形態１のまとめ＞
以上のような本実施の形態１に係るフェールセーフ制御装置によれば、状況情報に基づいて１つの優先順位テーブルを選択し、当該１つの優先順位テーブルに定義された優先順位と、複数の機能モジュールの異常についての検知結果とに基づいて、出力指令値を採用する。このような構成によれば、状況情報が示す状況に対して、適切な１つの優先順位テーブルの選択、ひいては適切な出力指令値の採用を行うことができる。これにより安全性及びロバスト性が高いフェールセーフ制御装置、つまり異常に対応するための処置を適切に行うことが可能なフェールセーフ制御装置を実現することが可能となる。

また、本実施の形態１では、複数のセンサーモジュールの異常についての検知結果を、出力指令値の採用に用いる。これにより、より適切な出力指令値の採用を行うことができるので、安全性及びロバスト性がより高いフェールセーフ制御装置を実現することが可能となる。

また、本実施の形態１では、状況情報は、車両の挙動の情報を含むので、異常が発生した後に車両の挙動が変化した場合には、その挙動に対応して適切なフェールセーフ処理を行うことができる。これにより安全性及びロバスト性が高いフェールセーフ制御装置を実現することが可能となる。

また、本実施の形態１では、状況情報は、車両が走行している道路の情報を含むので、異常が発生した後に道路が変化した場合には、その道路に対応して適切なフェールセーフ処理を行うことができる。これにより安全性及びロバスト性が高いフェールセーフ制御装置を実現することが可能となる。

また、本実施の形態１では、状況情報は、環境の情報を含むので、異常が発生した後に環境が変化した場合には、その環境に対応して適切なフェールセーフ処理を行うことができる。これにより安全性及びロバスト性が高いフェールセーフ制御装置を実現することが可能となる。

＜変形例＞
実施の形態１において、状況情報は、車両周辺の他車両の距離、位置及び台数の情報を含んでもよい。そして、優先順位テーブル選択部２０３は、情報取得部２０１で取得された状況情報に基づいて、車両と他車両とが接触する可能性を求め、当該可能性に基づいて１つの優先順位テーブルを選択してもよい。このような構成によれば、異常が発生した後に車両と他車両とが接触する可能性が変化した場合には、その可能性に対応して適切なフェールセーフ処理を行うことができる。これにより安全性及びロバスト性が高いフェールセーフ制御装置を実現することが可能となる。

＜その他の変形例＞
上述した図１のセンサーモジュール１０１〜１０３、機能モジュール１０４〜１０６、調停モジュール１０８、アクチュエータ１１０〜１１２、情報取得部２０１、及び、優先順位テーブル選択部２０３を、以下「センサーモジュール１０１等」と記す。センサーモジュール１０１等は、図４に示す処理回路８１により実現される。すなわち、処理回路８１は、複数のセンサーモジュール１０１〜１０３と、それぞれが、自らの機能に対応するアクチュエータ１１０〜１１２に対する指令値を決定する複数の機能モジュール１０４〜１０６と、状況情報を取得する情報取得部２０１と、状況情報に基づいて複数のテーブルの中から１つのテーブルを選択する優先順位テーブル選択部２０３と、当該１つのテーブルに定義された優先順位と複数の機能モジュール１０４〜１０６の異常についての検知結果とに基づいて出力指令値を選択する調停モジュール１０８と、を備える。処理回路８１には、専用のハードウェアが適用されてもよいし、メモリに格納されるプログラムを実行するプロセッサが適用されてもよい。プロセッサには、例えば、中央処理装置、処理装置、演算装置、マイクロプロセッサ、マイクロコンピュータ、ＤＳＰ（Digital Signal Processor）などが該当する。

処理回路８１が専用のハードウェアである場合、処理回路８１は、例えば、単一回路、複合回路、プログラム化したプロセッサ、並列プログラム化したプロセッサ、ＡＳＩＣ（Application Specific Integrated Circuit）、ＦＰＧＡ（Field Programmable Gate Array）、またはこれらを組み合わせたものが該当する。センサーモジュール１０１等の各部の機能それぞれは、処理回路を分散させた回路で実現されてもよいし、各部の機能をまとめて一つの処理回路で実現されてもよい。

処理回路８１がプロセッサである場合、センサーモジュール１０１等の機能は、ソフトウェア等との組み合わせにより実現される。なお、ソフトウェア等には、例えば、ソフトウェア、ファームウェア、または、ソフトウェア及びファームウェアが該当する。ソフトウェア等はプログラムとして記述され、メモリに格納される。図５に示すように、処理回路８１に適用されるプロセッサ８２は、メモリ８３に記憶されたプログラムを読み出して実行することにより、各部の機能を実現する。すなわち、フェールセーフ制御装置は、処理回路８１により実行されるときに、複数の機能モジュール１０４〜１０６のそれぞれが、自らの機能に対応するアクチュエータ１１０〜１１２に対する指令値を決定するステップと、状況情報を取得するステップと、状況情報に基づいて複数のテーブルの中から１つのテーブルを選択するステップと、当該１つのテーブルに定義された優先順位と複数の機能モジュール１０４〜１０６の異常についての検知結果とに基づいて出力指令値を選択するステップと、が結果的に実行されることになるプログラムを格納するためのメモリ８３を備える。換言すれば、このプログラムは、センサーモジュール１０１等の手順や方法をコンピュータに実行させるものであるともいえる。ここで、メモリ８３は、例えば、ＲＡＭ（Random Access Memory）、ＲＯＭ（Read Only Memory）、フラッシュメモリ、ＥＰＲＯＭ（Erasable Programmable Read Only Memory）、ＥＥＰＲＯＭ（Electrically Erasable Programmable Read Only Memory）などの、不揮発性または揮発性の半導体メモリ、ＨＤＤ（Hard Disk Drive）、磁気ディスク、フレキシブルディスク、光ディスク、コンパクトディスク、ミニディスク、ＤＶＤ（Digital Versatile Disc）、そのドライブ装置等、または、今後使用されるあらゆる記憶媒体であってもよい。

以上、センサーモジュール１０１等の各機能が、ハードウェア及びソフトウェア等のいずれか一方で実現される構成について説明した。しかしこれに限ったものではなく、センサーモジュール１０１等の一部を専用のハードウェアで実現し、別の一部をソフトウェア等で実現する構成であってもよい。例えば、情報取得部２０１については専用のハードウェアとしての処理回路８１、インターフェース及びレシーバなどでその機能を実現し、それ以外についてはプロセッサ８２としての処理回路８１がメモリ８３に格納されたプログラムを読み出して実行することによってその機能を実現することが可能である。

以上のように、処理回路８１は、ハードウェア、ソフトウェア等、またはこれらの組み合わせによって、上述の各機能を実現することができる。

また、以上で説明したフェールセーフ制御装置は、ＰＮＤ（Portable Navigation Device）などのナビゲーション装置と、携帯電話、スマートフォン及びタブレットなどの携帯端末を含む通信端末と、ナビゲーション装置及び通信端末の少なくともいずれか１つにインストールされるアプリケーションの機能と、サーバとを適宜に組み合わせてシステムとして構築されるフェールセーフ制御システムにも適用することができる。この場合、以上で説明したフェールセーフ制御装置の各機能あるいは各構成要素は、前記システムを構築する各機器に分散して配置されてもよいし、いずれかの機器に集中して配置されてもよい。

図６は、本変形例に係るサーバ９１の構成を示すブロック図である。図６のサーバ９１は、通信部９１ａと制御部９１ｂとを備えており、車両９２のナビゲーション装置などの車両装置９３と無線通信を行うことが可能となっている。

通信部９１ａは、車両装置９３と無線通信を行うことにより、車両装置９３で取得された車両９２の内部状況及び外部状況の少なくともいずれか１つを示す状況情報と、複数の機能モジュールの異常についての検知結果とを受信する。

制御部９１ｂは、サーバ９１の図示しないプロセッサなどが、サーバ９１の図示しないメモリに記憶されたプログラムを実行することにより、図１の調停モジュール１０８及び優先順位テーブル選択部２０３と同様の機能を有している。つまり、制御部９１ｂは、通信部９１ａで受信された状況情報に基づいて、複数の機能モジュールの優先順位が定義された複数のテーブルの中から１つのテーブルを選択する。制御部９１ｂは、選択された１つのテーブルに定義された優先順位と、複数の機能モジュールの異常についての検知結果とに基づいて、複数の機能モジュールの指令値の中から、アクチュエータに出力すべき指令値である出力指令値を選択する。そして、通信部９１ａは、制御部９１ｂの選択結果を車両装置９３に送信する。このように構成されたサーバ９１によれば、実施の形態１で説明したフェールセーフ制御装置と同様の効果を得ることができる。

図７は、本変形例に係る通信端末９６の構成を示すブロック図である。図７の通信端末９６は、通信部９１ａと同様の通信部９６ａと、制御部９１ｂと同様の制御部９６ｂとを備えており、車両９７の車両装置９８と無線通信を行うことが可能となっている。なお、通信端末９６には、例えば車両９７の運転者が携帯する携帯電話、スマートフォン、及びタブレットなどの携帯端末が適用される。このように構成された通信端末９６によれば、実施の形態１で説明したフェールセーフ制御装置と同様の効果を得ることができる。

なお、本発明は、その発明の範囲内において、実施の形態を適宜、変形、省略することが可能である。

１０１〜１０３ センサーモジュール、１０４〜１０６ 機能モジュール、１０９ 調停モジュール、１１０〜１１２ アクチュエータ、２０１ 情報取得部、２０３ 優先順位テーブル選択部。

Claims (5)

1. 車両のフェールセーフ制御装置であって、
   複数のセンサーモジュールと、
   それぞれが、１つ以上の前記センサーモジュールからの入力値に基づいて、自らの機能に対応するアクチュエータに対する指令値を決定する複数の機能モジュールと、
   前記車両動作時の前記車両の内部状況及び外部状況の少なくともいずれか１つを示す状況情報を取得する情報取得部と、
   前記情報取得部で取得された前記状況情報に基づいて、前記複数の機能モジュールの優先順位が定義された複数のテーブルの中から１つのテーブルを選択するテーブル選択部と、
   前記テーブル選択部で選択された前記１つのテーブルに定義された優先順位と、前記複数の機能モジュールの異常についての検知結果とに基づいて、前記複数の機能モジュールの前記指令値の中から、前記アクチュエータに出力すべき指令値である出力指令値を選択する調停モジュールと
   を備え、
   前記状況情報は、前記車両の挙動の情報、前記車両周辺の他車両の距離、位置及び台数の情報、前記車両が走行している道路の情報、及び、前記車両の周囲の環境の情報、の少なくともいずれか１つの情報を含む、フェールセーフ制御装置。
2. 請求項１に記載のフェールセーフ制御装置であって、
   前記調停モジュールは、
   異常である機能モジュールの前記指令値と、異常である機能モジュールよりも前記優先順位が低い機能モジュールの前記指令値とを除いた、前記複数の機能モジュールの前記指令値を、前記出力指令値として選択する、フェールセーフ制御装置。
3. 請求項１または請求項２に記載のフェールセーフ制御装置であって、
   前記調停モジュールは、
   前記複数のセンサーモジュールに入力される入力値の異常、または、前記複数のセンサーモジュール内部の異常、を含む前記複数のセンサーモジュールの異常についての検知結果を、前記出力指令値の選択に用いる、フェールセーフ制御装置。
4. 請求項３に記載のフェールセーフ制御装置であって、
   前記調停モジュールは、
   異常である機能モジュールの前記指令値と、異常である機能モジュールよりも前記優先順位が低い機能モジュールの前記指令値と、異常であるセンサーモジュールからの入力値を用いる機能モジュールの前記指令値とを除いた、前記複数の機能モジュールの前記指令値を、前記出力指令値として選択する、フェールセーフ制御装置。
5. 車両のフェールセーフ制御方法であって、
   複数の機能モジュールのそれぞれは、１つ以上のセンサーモジュールからの入力値に基づいて、自らの機能に対応するアクチュエータに対する指令値を決定し、
   前記車両動作時の前記車両の内部状況及び外部状況の少なくともいずれか１つを示す状況情報を取得し、
   取得された前記状況情報に基づいて、前記複数の機能モジュールの優先順位が定義された複数のテーブルの中から１つのテーブルを選択し、
   選択された前記１つのテーブルに定義された優先順位と、前記複数の機能モジュールの異常についての検知結果とに基づいて、前記複数の機能モジュールの前記指令値の中から、前記アクチュエータに出力すべき指令値である出力指令値を選択し、
   前記状況情報は、前記車両の挙動の情報、前記車両周辺の他車両の距離、位置及び台数の情報、前記車両が走行している道路の情報、及び、前記車両の周囲の環境の情報、の少なくともいずれか１つの情報を含む、フェールセーフ制御方法。

Images