JP6753388B2 - 自動運転制御装置、車両の自動運転制御方法 - Google Patents

Description

本開示は、車両の自動運転制御に関する。

近年、先行車両を追尾して走行する、或いは、走行予定走路上の障害物を検出してかかる障害物を避けるように自動的に操舵やブレーキを行うなど、車両の自動運転を実現するために、様々な自動運転制御装置が提案されている。自動運転制御装置は、ＣＰＵ（Central Processing Unit）、ＲＡＭ（Random Access Memory）およびＲＯＭ（Read Only Memory）を有するＥＣＵ（Electric Control Unit）と呼ばれる制御装置により実現される場合がある。かかる制御装置では、ＲＯＭに格納されている自動運転用プログラムがＣＰＵによりＲＡＭにロードされて実行されることにより、自動運転の各機能が実現される。

このような自動運転制御装置において制御装置に故障が発生した場合のフェイルセールのため、通常時に動作している複数のＥＣＵとは別に共用バックアップＥＣＵを予め用意しておき、いずれかのＥＣＵが故障した場合に、かかるＥＣＵで実行されていたプログラムを共用バックアップＥＣＵが実行する構成が提案されている（下記特許文献１参照）。特許文献１の制御システムでは、故障したＥＣＵで実行されていたプログラムのうち、自動車運転特有のリスクの段階に応じて予め定められた優先度に応じて、或いは、共用バックアップＥＣＵのＣＰＵの合計負荷が負荷容量を超えないように、ロードすべきプログラムが選択されて共用バックアップＥＣＵにロードされて実行される。

特許第６１８９００４号公報

特許文献１のシステムでは、複数のＥＣＵとは別にフェイルセーフのための専用のＥＣＵ（共用バックアップＥＣＵ）を設けなければならず、自動運転制御装置の大型化や消費電力の増大を招くおそれがある。このため、制御装置の故障時における自動運転機能の継続性の低下を抑制しつつ、大型化および消費電力の増大を抑制可能な技術が望まれる。

本開示は、上述の課題の少なくとも一部を解決するためになされたものであり、以下の形態として実現することが可能である。

本開示の一形態によれば、車両に搭載されて用いられる自動運転制御装置（１０；１０ａ；１０ｂ；１０ｃ）が提供される。この自動運転制御装置は、第１の記憶部（１２０、２２０）と前記第１の記憶部にロードされたプログラムを実行する処理部（１１０、２１０）とを有する複数の制御装置（１００、２００）と；前記複数の制御装置のそれぞれの前記第１の記憶部への前記プログラムのロードを制御するロード制御部（５１０；１１４、２１４）と；前記プログラムを記憶する第２の記憶部（３００、４００）と；前記複数の制御装置のうち、少なくとも１つの制御装置の故障を検出する故障検出部（５２０；１１５、２１５）と；を備え；前記プログラムには、前記車両の自動運転用プログラム（ｐ１ａ、ｐ２ａ）と、前記自動運転用プログラムとは異なる他のプログラム（ｐ１ｍ、ｐ２ｍ）と、が含まれており；前記ロード制御部は、前記故障が検出された場合に、前記複数の制御装置のうち、正常な制御装置の前記第１の記憶部にロードされている前記他のプログラムの少なくとも一部を前記第１の記憶部からアンロードし、故障した制御装置の前記第１の記憶部にロードされていた前記自動運転用プログラムを、前記第２の記憶部から前記正常な制御装置の前記第１の記憶部にロードする。

この形態の自動運転制御装置によれば、故障が検出された場合に、複数の制御装置のうち、正常な制御装置の第１の記憶部にロードされている他のプログラムの少なくとも一部を第１の記憶部からアンロードし、故障した制御装置の第１の記憶部にロードされていた自動運転用プログラムを、第２の記憶部から正常な制御装置の第１の記憶部にロードするので、故障した制御装置において実行されていた自動運転用プログラムを正常な制御装置において実行でき、かかるプログラムの継続性の低下を抑制できる。また、正常な制御装置および故障した制御装置以外に、故障した制御装置において実行されていた自動運転用プログラムを継続実行するために他の装置を必要としないため、自動運転制御装置の増大化および消費電力の増大を抑制できる。

本開示は、自動運転制御装置以外の種々の形態で実現することも可能である。例えば、車両の自動運転制御方法、かかる方法を実現するためのコンピュータプログラム、かかるコンピュータプログラムを記憶した記憶媒体等の形態で実現することができる。

本開示の一実施形態としての自動運転制御装置の構成を示すブロック図。 第１実施形態における自動運転制御処理の手順を示すフローチャート。 第２制御装置が故障した際の自動運転制御装置の構成を示すブロック図。 第２実施形態における自動運転制御装置の構成を示すブロック図。 第２実施形態における自動運転制御処理の手順を示すフローチャート。 第３実施形態における自動運転制御装置の構成を示すブロック図。 第４実施形態における自動運転制御装置の構成を示すブロック図。 その他の実施形態２における自動運転制御装置の構成を示すブロック図。

Ａ．第１実施形態：
Ａ１．装置構成：
図１に示す第１実施形態の自動運転制御装置１０は、車両に搭載され、車両の自動運転を制御する。自動運転制御装置１０は、運転自動化レベルとして所定数のレベルで自動運転を実現する。本実施形態では、自動運転制御装置１０は、レベル０、レベル１、レベル２、およびレベル３で車両の運転を制御する。レベル０とは、運転者が車両の走行に関する主制御を行うレベルである。主制御とは、車両の加速、減速、操舵などの制御を意味する。レベル１は、主制御のうちのいずれか単一の制御のみを自動的に行うレベルである。レベル２は、運転者が車両の走行状況を常時監視し、必要に応じて自らによる操作を行い得る状況下で、主制御のうちの複数の制御を同時に実行し得るレベルである。本実施形態では、レベル２は、運転者が車両のハンドルを掴んでいることを検出することにより、運転者が車両の走行状況を常時監視し、必要に応じて自らによる操作を行い得る状況下であることを検出する。レベル３は、運転者による車両の走行状態の常時監視を行うことなく、且つ、限られた条件下においてのみ運転者が操作を行い得るという状況下で、主制御のうちの複数の制御を同時に実行し得るレベルである。上述のレベル０〜３は、例えば、米国運輸省道路交通安全局（ＮＨＴＳＡ）により定義されているレベル０〜３と同じであってもよい。

自動運転制御装置１０は、第１制御装置１００と、第２制御装置２００と、第１記憶部３００と、第２記憶部４００と、ロード制御部５１０と、故障検出部５２０とを備える。

第１制御装置１００は、ＣＰＵ１１０と、ＲＡＭ１２０とを備える。本実施形態において、第１制御装置１００は、ＥＣＵ（Electronic Control Unit）として構成されている。平常時において、ＲＡＭ１２０には、第１自動運転用プログラム（以下、「第１ＡＤプログラム」とも呼ぶ）ｐ１ａがロードされ、ＣＰＵ１１０は、かかるプログラムを実行することにより、第１自動運転機能部（以下、「第１ＡＤ機能部」とも呼ぶ）１１１として機能する。同様に、平常時において、ＲＡＭ１２０には、第１マルチメディアプログラム（以下、「第１ＭＭプログラム」とも呼ぶ）ｐ１ｍがロードされ、ＣＰＵ１１０は、かかるプログラムを実行することにより、第１マルチメディア機能部（以下、「第１ＭＭ機能部」とも呼ぶ）１１２として機能する。本実施形態において、平常時とは、第１制御装置１００または第２制御装置２００において故障が発生していない状況を意味する。

第１ＡＤ機能部１１１は、自動運転を実行するための機能部である。具体的には、第１ＡＤ機能部１１１は、車両が有するステレオカメラのうち、車両の進行方向に向かって右側のカメラにより得られる撮像画像に基づき画像認識を行い、先行車両の種類や大きさ、また、歩行者や障害物などを検知する。

第１ＭＭ機能部１１２は、マルチメディア機能を実現するための機能部である。具体的には、第１ＭＭ機能部１１２は、車両が有するオーディオ装置６２０を制御する。

第２制御装置２００は、第１制御装置１００と同様な構成を有する。具体的には、第２制御装置２００は、ＣＰＵ２１０とＲＡＭ２２０とを備える。ＲＡＭ２２０には、第２自動運転用プログラム（以下、「第２ＡＤプログラム」とも呼ぶ）ｐ２ａがロードされ、ＣＰＵ２１０は、かかるプログラムを実行することにより、第２自動運転機能部（以下、「第２ＡＤ機能部」とも呼ぶ）２１１として機能する。同様に、平常時において、ＲＡＭ２２０には、第２マルチメディアプログラム（以下、「第２ＭＭプログラム」とも呼ぶ）ｐ２ｍがロードされ、ＣＰＵ２１０は、かかるプログラムを実行することにより、第２マルチメディア機能部（以下、「第２ＭＭ機能部」とも呼ぶ）２１２として機能する。

第２ＡＤ機能部２１１は、自動運転を実行するための機能部である。具体的には、第２ＡＤ機能部２１１は、車両が有するステレオカメラのうち、車両の進行方向に向かって左側のカメラにより得られる撮像画像に基づき画像認識を行い、先行車両の種類や大きさ、また、歩行者や障害物などを検知する。

第２ＭＭ機能部２１２は、マルチメディア機能を実現するための機能部である。具体的には、第２ＭＭ機能部２１２は、車両が有するナビゲーション装置６３０を制御する。なお、上述の第１制御装置１００および第２制御装置２００には、それぞれ互いに異なる電源系統から電力が供給される。なお、第１制御装置１００および第２制御装置２００に同一の電源系から電力を供給する構成としてもよい。

第１記憶部３００および第２記憶部４００には、上述の第１ＡＤプログラムｐ１ａ、第２ＡＤプログラムｐ２ａ、第１ＭＭプログラムｐ１ｍ、および第２ＭＭプログラムｐ２ｍが予め記憶されている。第１記憶部３００は、第１制御装置１００と接続されている。第１記憶部３００に記憶されているプログラムは、第１制御装置１００のＲＡＭ１２０にロードされ得る。同様に、第２記憶部４００は、第２制御装置２００と接続されている。第２記憶部４００に記憶されているプログラムは、第２制御装置２００のＲＡＭ２２０にロードされ得る。

ここで、第１ＭＭプログラムｐ１ｍと第２ＡＤプログラムｐ２ａとは、互いに同程度のデータ量のプログラムである。同様に、第２ＭＭプログラムｐ２ｍと第１ＡＤプログラムｐ１ａとは互いに同程度のデータ量のプログラムである。なお、第１ＭＭプログラムｐ１ｍまたは第２ＭＭプログラムｐ２ｍは、本開示における「その他のプログラム」の下位概念に相当する。

ロード制御部５１０は、第１制御装置１００のＲＡＭ１２０へのプログラムのロードおよびアンロードと、第２制御装置２００のＲＡＭ２２０へのプログラムのロードおよびアンロードとを制御する。平常時において、車両のイグニッションがオンすると、ロード制御部５１０は、第１制御装置１００のＲＡＭ１２０に上述の第１ＡＤプログラムｐ１ａおよび第１ＭＭプログラムｐ１ｍをロードする。また、ロード制御部５１０は、第２制御装置２００のＲＡＭ２２０に上述の第２ＡＤプログラムｐ２ａおよび第２ＭＭプログラムｐ２ｍをロードする。また、後述の自動運転制御処理において、第１制御装置１００の故障または第２制御装置２００の故障が検出されると、ロード制御部５１０は、平常時とは異なるプログラムを、第１記憶部３００または第２記憶部４００から読み出してＲＡＭ１２０またはＲＡＭ２２０にロードする。

故障検出部５２０は、第１制御装置１００の故障と、第２制御装置２００の故障とをそれぞれ検出する。故障検出部５２０は、第１制御装置１００の第１ＡＤ機能部１１１と定期的に通信（いわゆるウォッチドッグ）を行うことにより、第１制御装置１００の正常性を検知する。そして、第１ＭＭ機能部１１２から応答が無い場合には、第１制御装置１００が故障していると判断する。同様に、故障検出部５２０は、第２制御装置２００の第２ＡＤ機能部２１１と定期的に通信を行うことにより、第２制御装置２００の正常性を検知する。そして、第２ＡＤ機能部２１１から応答が無い場合には、第２制御装置２００が故障していると判断する。

本実施形態において、上述のロード制御部５１０および故障検出部５２０は、第１制御装置１００および第２制御装置２００とは異なる単一のＥＣＵにより実現されている。なお、ロード制御部５１０と故障検出部５２０とがそれぞれ互いに異なり、且つ、第１制御装置１００および第２制御装置２００とは異なるＥＣＵにより実現されてもよい。

なお、図示は省略されているが、第１記憶部３００および第２記憶部４００には、それぞれ自動運転を実現するためのプログラムであって第１ＡＤプログラムｐ１ａおよび第２ＡＤプログラムｐ２ａとは異なるプログラムが予め記憶されている。そして、ＣＰＵ１１０およびＣＰＵ２１０は、これらのプログラムを実行することにより、ステレオカメラで得られた撮像画像に基づき画像認識する機能以外の自動運転のための機能を実現する機能部（以下、「自動運転主制御部」と呼ぶ）としても機能する。

自動運転制御装置１０は、センサ６１０と電気的に接続されており、かかるセンサ６１０による検出結果の信号を受信可能に構成されている。センサ６１０としては、例えば、車速センサ、加速度センサ、ＧＮＳＳ（Global Navigation Satellite System）センサ、ステレオカメラ、ミリ波レーダ、ＬｉＤＡＲ（Light Detection And Ranging又はLaser Imaging Detection And Ranging）、ヨーレートセンサ、操舵角センサ、ハンドルセンサなどが該当する。ハンドルセンサとは、運転者がハンドルを握っているか否かを検知するセンサである。

また、自動運転制御装置１０は、エンジンＥＣＵ７１０、ブレーキＥＣＵ７２０、および操舵ＥＣＵ７３０と電気的に接続されている。エンジンＥＣＵ７１０は、図示しないエンジンの動作を制御する。具体的には、各種アクチュエータを制御することにより、スロットルバルブの開閉動作や、イグナイタの点火動作や、吸気弁の開閉動作等を制御する。ブレーキＥＣＵ７２０は、図示しないブレーキ機構を制御する。ブレーキ機構は、センサ、モータ、バルブおよびポンプ等のブレーキ制御に関わる装置群（アクチュエータ）からなる。ブレーキＥＣＵ７２０は、ブレーキを掛けるタイミングおよびブレーキ量（制動量）を決定し、決定されたタイミングで決定されたブレーキ量が得られるように、ブレーキ機構を構成する各装置を制御する。操舵ＥＣＵ７３０は、図示しない操舵機構を制御する。操舵機構は、パワーステアリングモータ等操舵に関わる装置群（アクチュエータ）からなる。操舵ＥＣＵ７３０は、ヨーレートセンサおよび操舵角センサから得られる測定値に基づき操舵量（操舵角）を決定し、決定された操舵量となるように、操舵機構を構成する各装置を制御する。上述の自動運転自動運転主制御部は、エンジンＥＣＵ７１０、ブレーキＥＣＵ７２０、および操舵ＥＣＵ７３０を制御して、自動運転を実現する。

上記構成を有する自動運転制御装置１０では、後述する自動運転制御処理を実行することにより、第１制御装置１００または第２制御装置２００が故障した場合であっても、自動運転機能の継続性の低下を抑制しつつ、自動運転制御装置１０の大型化および消費電力の増大を抑制することができる。

上述のＲＡＭ１２０およびＲＡＭ２２０は、本開示における第１の記憶部の下位概念に相当する。また、ＣＰＵ１１０および２１０は本開示における処理部の下位概念に、第１記憶部３００および第２記憶部４００は本開示における第２の記憶部の下位概念に、それぞれ相当する。

Ａ２．自動運転制御処理：
図２に示す自動運転制御処理は、車両のイグニッションがオンされ、且つ、運転者によりレベル３の自動運転が指定された場合に実行される。本実施形態において、運転者によるレベル３の自動運転の指定は、インストルメントパネル等に用意された所定のスイッチまたはモニタディスプレイ上に表示されたメニュー画面を操作することにより実行される。なお、音声入力のためのインタフェースを車両が有する構成においては、運転者は、所定の音声を発することによりレベル３の自動運転を指定してもよい。

第１ＡＤ機能部１１１、第２ＡＤ機能部２１１および上述の自動運転主制御部は、レベル３（ＬＶ３）にて自動運転を実行する（ステップＳ１０５）。

故障検出部５２０は、第１制御装置１００または第２制御装置２００の故障を検出したか否かを判定する（ステップＳ１１０）。第１制御装置１００または第２制御装置２００の故障が検出されないと判定された場合（ステップＳ１１０：ＮＯ）、上述のステップＳ１０５が実行される。これに対して、第１制御装置１００または第２制御装置２００の故障が検出されたと判定された場合（ステップＳ１１０：ＹＥＳ）、ロード制御部５１０は、正常な制御装置のＲＡＭから、マルチメディアプログラムをアンロードする（ステップＳ１１５）。

ロード制御部５１０は、故障した制御装置のＲＡＭにロードされていた自動運転用プログラムを、記憶部から正常な制御装置のＲＡＭにロードする（ステップＳ１２０）。

例えば、図１に示す状態において、第２制御装置２００の故障が発生した場合、ステップＳ１１５およびＳ１２０が実行された後には、図３に示すように、ＲＡＭ１２０からは、図１に示す第１ＭＭプログラムｐ１ｍがアンロードされ、代わりに、第２ＡＤプログラムｐ２ａが第１記憶部３００からロードされることとなる。このため、ＣＰＵ１１０は、第１ＡＤ機能部１１１として機能すると共に、第２ＡＤ機能部１１３として機能することとなる。

図２に示すように、自動運転主制御部は、センサ６１０から得られる信号（例えば、車両の速度を示す信号）に基づき、車両が停車中であるか否かを判定する（ステップＳ１２５）。なお、ステップＳ１２５、Ｓ１３５〜Ｓ１４４を実行する自動運転主制御部は、正常なＣＰＵにより実現される。車両が停車中であると判定された場合（ステップＳ１２５：ＹＥＳ）、自動運転主制御部は、自動運転モードから手動モードに運転モードを切り替える（ステップＳ１３０）。本実施形態において、手動モードとは、レベル０の運転を意味する。したがって、レベル３からレベル０に自動化レベルが変化することとなる。このように、停車中の場合に自動運転モードから手動モードに運転モードを切り替えることにより、次に車両が走行する際には、最初から手動運転にすることができる。このため、制御装置が故障したために残った制御装置も同様な理由により故障する可能性が高い状態、或いは、残った制御装置において将来的に故障が発生した際に正常な制御装置が存在しなくなる可能性が高い状態において、車両の走行時の安全性を向上できる。

上述のステップＳ１２５において、車両が停車中でないと判定された場合（ステップＳ１２５：ＮＯ）、自動運転主制御部は、車両の自動運転機能を、レベル２（ＬＶ２）にて起動させる（ステップＳ１３５）。

自動運転主制御部は、センサ６１０の検出結果に基づき、所定時間内にハンズオンを検出した否か、すなわち、運転者がハンドルを握ったか否かを判定する（ステップＳ１４０）。ハンズオンを検出しないと判定された場合（ステップＳ１４０：ＮＯ）、自動運転主制御部は、車両に退避動作を行わせる（ステップＳ１４５）。本実施形態において、退避動作とは、車両の速度を徐々に低減する動作を意味する。自動運転主制御部は、ブレーキＥＣＵ７２０を制御して、かかる退避動作を実現する。ハンズオンが検出されない場合には、運転者が車両の走行状況を常時監視可能な状態に無い可能性が高いため、レベル２の運転が維持できず、かつ、そのままレベル１やレベル０に移行したとしても、運転者が手動で運転できない可能性が高い。そのため、所定期間内にハンズオンが検出されない場合には、退避動作を行うようにしている。そして、退避動作として、車両の速度を徐々に低下させるので、車両運転における安全性の低下を抑制できる。

上述のステップＳ１４０においてハンズオンが検出されたと判定された場合（ステップＳ１４０：ＹＥＳ）、自動運転主制御部は、レベル２にて自動運転を実行する（ステップＳ１５０）。このように、制御装置の故障が発生し、且つ、運転者が車両の走行状況を常時監視可能な状態である場合にレベル２にて自動運転を行うことにより、制御装置が故障したために残った制御装置も同様な理由により故障する可能性が高い状態、或いは、残った制御装置において将来的に故障が発生した際に正常な制御装置が存在しなくなる可能性が高い状態において、運転者が監視していることから、直ぐに運転者へ運転を権限移譲することができ、車両の走行時の安全性を向上させることができる。

自動運転主制御部は、制御装置の故障が解消されたか否かを判定し（ステップＳ１５５）、故障が解消されていないと判定された場合には（ステップＳ１５５：ＮＯ）、上述のステップＳ１４０に戻る。これに対して、故障が解消されたと判定された場合（ステップＳ１５５：ＹＥＳ）、上述のステップＳ１０５に戻る。

以上説明した第１実施形態の自動運転制御装置１０によれば、第１制御装置１００または第２制御装置２００の故障が検出された場合に、正常な制御装置のＲＡＭにロードされているマルチメディアプログラムをＲＡＭからアンロードし、故障した制御装置のＲＡＭにロードされていた自動運転用プログラムを、記憶部から正常な制御装置のＲＡＭにロードするので、故障した制御装置において実行されていた自動運転用プログラムを正常な制御装置において継続実行させることができる。したがって、かかる自動運転用プログラムが実現する自動運転機能の継続性の低下を抑制できる。また、このような自動運転機能を継続させるために、専用のＥＣＵを用意しないので、自動運転制御装置１０の大型化および消費電力の増大を抑制できる。

また、正常な制御装置と故障した制御装置とでそれぞれ実現する機能が異なる自動運転用プログラムがロードされているので、実現する機能が同一の自動運転用プログラムが正常な制御装置と故障した制御装置とで平常時において重複してロードされている構成に比べて、ステップＳ１２０において正常な制御装置のＲＡＭにロードすべき自動運転用プログラムのデータ量を小さくでき、ロードに要する時間を短縮できる。

また、正常な制御装置は、故障した制御装置のＲＡＭにロードされていた自動運転用プログラムを実行する場合に、運転自動化レベルにおけるレベル２にて自動運転を実行するので、制御装置が故障したために残った制御装置も同様な理由により故障する可能性が高い状態、或いは、残った制御装置において将来的に故障が発生した際に正常な制御装置が存在しなくなる可能性が高い状態において、運転者にすぐに運転の権限移譲することができ、車両の走行時の安全性を向上させることができる。

また、故障が検出され、レベル２にて自動運転機能が起動した後、所定期間内にハンズオンが検出されない場合に退避動作が行われるので、運転者が車両の走行状況を常時監視可能な状態に無い可能性が高いためにレベル２の運転が維持できず、かつ、そのままレベル１やレベル０に移行したとしても、運転者が手動で運転できない可能性が高い場合に、車両の速度を徐々に低下させることができ、車両運転における安全性の低下を抑制できる。

また、制御装置が故障した際に停車中の場合に、自動運転モードから手動モードに運転モードを切り替えるので、次に車両が走行する際には、最初から手動運転にすることができる。このため、制御装置が故障したために残った制御装置も同様な理由により故障する可能性が高い状態、或いは、残った制御装置において将来的に故障が発生した際に正常な制御装置が存在しなくなる可能性が高い状態において、車両の次回走行時の安全性を向上できる。

Ｂ．第２実施形態：
図４に示すように、第２実施形態の自動運転制御装置１０ａは、ロード監視部５３０および報知制御部５４０を備えている点と、報知部６４０に電気的に接続されている点とにおいて、第１実施形態の自動運転制御装置１０と異なる。第２実施形態の自動運転制御装置１０ａにおけるその他の構成は、第１実施形態の自動運転制御装置１０と同じであるので、同一の構成要素には同一の符号を付し、その詳細な説明を省略する。

ロード監視部５３０は、ロード制御部５１０による記憶部からＲＡＭへのプログラムのロードの成否を監視する。具体的には、第１実施形態のように、第２制御装置２００が故障して第１制御装置１００のＲＡＭ１２０に第２ＡＤプログラムｐ２ａがロードされる場合、図３に示すＣＰＵ１１０の第２ＡＤ機能部１１３と通信を行うことにより、第２ＡＤプログラムｐ２ａのロードが成功したか否かを監視する。

報知制御部５４０は、車両の乗員（運転者を含む）に対して報知を実行する報知部６４０による報知を制御する。本実施形態において、報知部６４０は、モニタディスプレイと、スピーカとを備える。報知制御部５４０および報知部６４０の詳細動作については後述する。ロード監視部５３０と報知制御部５４０とは、ロード制御部５１０および故障検出部５２０を実現するＥＣＵと同一のＥＣＵによって実現されている。なお、ロード監視部５３０と報知制御部５４０とを、ロード制御部５１０および故障検出部５２０を実現するＥＣＵとは異なるＥＣＵにより実現してもよい。また、ロード監視部５３０と報知制御部５４０とを互いに異なるＥＣＵにより実現してもよい。

図５に示す第２実施形態における自動運転制御処理は、ステップＳ１２１、Ｓ１２２、およびＳ１２３を実行する点において、図２に示す第１実施形態における自動運転制御処理と異なる。第２実施形態における自動運転制御処理におけるその他の手順は、第１実施形態における自動運転制御処理と同じであるので、同一の手順には同一の符号を付し、その詳細な説明を省略する。

上述のステップＳ１２０の実行後、ロード監視部５３０は、ステップＳ１２０における正常な制御装置のＲＡＭへの自動運転用プログラムのロードが成功したか否かを判定する（ステップＳ１２１）。ロードが成功したと判定された場合（ステップＳ１２１：ＹＥＳ）、上述のステップＳ１２５が実行される。

これに対して、ロードが成功しなかったと判定された場合（ステップＳ１２１：ＮＯ）、報知制御部５４０は、自動運転から手動運転への切り替えを促す旨を、報知部６４０に報知させる（ステップＳ１２２）。ステップＳ１２２の実行により、報知部６４０は、図示しないモニタディスプレイに手動運転を促す旨のメッセージを表示させると共に、スピーカから手動運転を促す旨の音声を出力する。なお、メッセージに代えてまたはメッセージに加えて、所定の記号やアイコンを表示させてもよい。また、手動運転を促す旨の音声に代えてまたはかかる音声に加えて、所定の警告音を出力してもよい。また、メッセージの表示と、音声の出力とのうち、いずれか一方を省略してもよい。

自動運転主制御部は、運転者による動作入力があるか否かを判定する（ステップＳ１２３）。動作入力とは、例えば、ハンドル、アクセルペダル、またはブレーキペダル等の操作入力を意味する。動作入力があったと判定された場合（ステップＳ１２３：ＹＥＳ）、上述のステップＳ１３０が実行される。したがって、この場合、運転モードは手動運転に切り替わる。これに対して、動作入力が無いと判定された場合（ステップＳ１２３：ＮＯ）、上述のステップＳ１４５が実行される。したがって、この場合、退避動作が実行される。ステップＳ１２２において手動運転を促す旨を報知したにも関わらず動作入力が無い場合には、運転者が運転可能な状況に無いことが想定される。したがって、この場合、手動運転に切り替えずに退避動作を行って、より安全に車両を動作させるようにしている。

以上説明した第２実施形態の自動運転制御装置１０ａは、第１実施形態の自動運転制御装置１０と同様な効果を有する。加えて、報知制御部５４０は、故障した制御装置のＲＡＭにロードされていた自動運転用プログラムの正常な制御装置のＲＡＭへのロードが成功しなかったと判定された場合に、乗員に手動運転への切り替えを促す旨を報知部６４０に報知させるので、乗員は、かかる報知により手動運転に切り替えることができる。したがって、制御装置が故障したために残った制御装置も同様な理由により故障する可能性が高い状態、或いは、残った制御装置において将来的に故障が発生した際に正常な制御装置が存在しなくなる可能性が高い状態において、より安全な手動運転に切り替えさせることができ、車両の走行時の安全性を向上できる。

また、乗員による動作入力があった場合に、車両の運転モードを、自動運転モードから手動運転モードに切り替えるので、乗員が手動運転可能な状態でないにも関わらずに手動運転モードに切り替えてしまうことを抑制でき、より安全に車両を動作させることができる。また、故障した制御装置のＲＡＭにロードされていた自動運転用プログラムの正常な制御装置のＲＡＭへのロードが成功しなかったと判定された場合に、車両に退避動作を行わせるので、故障した制御装置にロードされていた自動運転用プログラムがいずれの制御装置でも実行されず、正常な自動運転が継続できない状態になった場合でも、車両運転における安全性の低下を抑制できる。

Ｃ．第３実施形態：
図６に示すように、第３実施形態の自動運転制御装置１０ｂは、ロード制御部５１０が省略されている点と、第１制御装置１００のＣＰＵ１１０がロード制御部１１４として機能する点と、第２制御装置２００のＣＰＵ２１０がロード制御部２１４として機能する点とにおいて、図１に示す自動運転制御装置１０と異なる。第３実施形態の自動運転制御装置１０ｂにおけるその他の構成は、第１実施形態の自動運転制御装置１０と同じであるので、同一の構成要素には同一の符号を付し、その詳細な説明を省略する。

ロード制御部１１４は、第１記憶部３００に予め記憶されている図示しない制御用プログラムがＲＡＭ１２０にロードされてＣＰＵ１１０が実行することにより実現される。ロード制御部１１４は、第１記憶部３００からＲＡＭ１２０へのプログラムのロードを制御する。

ロード制御部２１４は、第２記憶部４００に予め記憶されている図示しない制御用プログラムがＲＡＭ２２０にロードされてＣＰＵ２１０が実行することにより実現される。ロード制御部２１４は、第２記憶部４００からＲＡＭ２２０へのプログラムのロードを制御する。

第３実施形態の自動運転制御処理の手順は、第１実施形態の自動運転制御処理の手順と同じである。但し、第１実施形態においてロード制御部５１０が実行していた手順であるステップＳ１１５およびＳ１２０については、ロード制御部１１４、２１４のうち、正常な制御装置が有するロード制御部が実行する。

以上の構成を有する第３実施形態の自動運転制御装置１０ｂは、第１実施形態の自動運転制御装置１０と同様な効果を有する。

Ｄ．第４実施形態：
図７に示すように、第４実施形態の自動運転制御装置１０ｃは、ロード制御部５１０と故障検出部５２０とが省略されている点と、第１制御装置１００のＣＰＵ１１０がロード制御部１１４および故障検出部１１５として機能する点と、第２制御装置２００のＣＰＵ２１０がロード制御部２１４および故障検出部２１５として機能する点とにおいて、図１に示す自動運転制御装置１０と異なる。第４実施形態の自動運転制御装置１０ｃにおけるその他の構成は、第１実施形態の自動運転制御装置１０と同じであるので、同一の構成要素には同一の符号を付し、その詳細な説明を省略する。

ロード制御部１１４は、第２実施形態のロード制御部１１４と同じである。また、ロード制御部２１４は、第２実施形態のロード制御部２１４と同じである。このため、ロード制御部１１４およびロード制御部２１４の詳細な説明を省略する。

故障検出部１１５は、第１記憶部３００に予め記憶されている図示しない制御用プログラムがＲＡＭ１２０にロードされてＣＰＵ１１０が実行することにより実現される。故障検出部１１５は、第１制御装置１００の故障を検出する。具体的には、第１実施形態の故障検出部５２０と同様に、第１制御装置１００の第１ＡＤ機能部１１１と定期的に通信を行うことにより、第１制御装置１００の正常性を検知する。

故障検出部２１５は、第２記憶部４００に予め記憶されている図示しない制御用プログラムがＲＡＭ２２０にロードされてＣＰＵ２１０が実行することにより実現される。故障検出部２１５は、第２制御装置２００の故障を検出する。具体的には、第１実施形態の故障検出部５２０と同様に、第２制御装置２００の第２ＡＤ機能部２１１と定期的に通信を行うことにより、第２制御装置２００の正常性を検知する。

以上の構成を有する第４実施形態の自動運転制御装置１０ｃは、第１実施形態の自動運転制御装置１０と同様な効果を有する。

Ｅ．その他の実施形態：
Ｅ１．その他の実施形態１：
各実施形態において、自動運転用プログラムのうち緊急退避用プログラムについては、平常時において、第１制御装置１００のＲＡＭ１２０と第２制御装置２００のＲＡＭ２２０とのいずれにもロードしておいてもよい。緊急退避用プログラムとしては、例えば、自動緊急ブレーキ（ＡＥＢ：Autonomous Emergency Braking）を実現するためのプログラム、車線逸脱抑制動作を実現するためのプログラムなど、車両の緊急動作を実行するためのプログラムが該当する。このような構成によれば、ステップＳ１１５およびＳ１２０が実行されて、制御装置の故障が発生してから、正常な制御装置のＲＡＭに自動運転用プログラムがロードされるまでの期間においても緊急退避用プログラムを実行でき、安全性を向上できる。

Ｅ２．その他の実施形態２：
各実施形態において、ＲＡＭ１２０およびＲＡＭ２２０にロードされるプログラムのうち、第１ＭＭプログラムｐ１ｍおよび第２ＭＭプログラムｐ２ｍのようなマルチメディアプログラムに代えて、自動運転用プログラムとは異なる他の任意の種類プログラム（換言すると、自動運転に直接的に関係しないプログラム）をロードしてもよい。具体的には、例えば、インターネットのブラウザプログラムや、インターネットの検索等を代行して実行するためのエージェントプログラムや、車両のボディ系を制御するためのプログラムであってもよい。ボディ系を制御するためのプログラムとしては、例えば、パワーウィンドウを制御するためのプログラム、ヘッドライトの切り替え用プログラム、空気調和装置を制御するためのプログラムなどが該当する。かかる構成においても、各実施形態と同様な効果を奏する。また、第１ＭＭプログラムｐ１ｍおよび第２ＭＭプログラムｐ２ｍのようなマルチメディアプログラムに代えて、自動運転用プログラムではあるが第１ＡＤプログラムｐ１ａおよび第２ＡＤプログラムｐ２ａとは異なるプログラム（換言すると、同一種類のプログラムではあるが、第１ＡＤプログラムｐ１ａおよび第２ＡＤプログラムｐ２ａとは異なるプログラム）をロードしてもよい。

例えば、図８に示すように、平常時において、第１制御装置１００のＲＡＭ１２０には第３ＡＤプログラムｐ３ａと第５ＡＤプログラムｐ５ａとがロードされており、第２制御装置２００のＲＡＭ２２０には第４ＡＤプログラムｐ４ａと第６ＡＤプログラムｐ６ａとがロードされている構成としてもよい。第３ＡＤプログラムｐ３ａおよび第４ＡＤプログラムｐ４ａは、レベル２での自動運転において用いられる自動運転用プログラムである。他方、第５ＡＤプログラムｐ５ａおよび第６ＡＤプログラムｐ６ａは、レベル３での自動運転において用いられる自動運転用プログラムである。このような構成において、第２制御装置２００の故障が発生した場合、第１制御装置１００のＲＡＭ１２０において、第５ＡＤプログラムｐ５ａをアンロードして、第４ＡＤプログラムｐ４ａをロードしてもよい。かかる構成では、第２制御装置２００の故障が発生した後において、レベル２での自動運転用プログラム（第３ＡＤプログラムｐ３ａおよび第４ＡＤプログラムｐ４ａ）はＲＡＭ１２０にロードされているので、レベル２での自動運転を実行することができる。

Ｅ３．その他の実施形態３：
各実施形態では、自動運転制御処理のステップＳ１１５において、正常な制御装置のＲＡＭから、マルチメディアプログラムをすべてアンロードしていたが、本開示はこれに限定されない。正常な制御装置のＲＡＭの空き容量が十分に存在する場合には、正常な制御装置のＲＡＭに記憶されているマルチメディアプログラムの一部のみをアンロードし、残りはロードしたままとしてもよい。すなわち、一般には、ステップＳ１１５において、正常な制御装置のＲＡＭから、マルチメディアプログラムの少なくとも一部をアンロードしてもよい。

また、正常な制御装置のＲＡＭに十分な容量がある場合には、必ずしもアンロードしなくても良い。なお、アンロードしないと、正常な制御装置には、元々ロードしていた自動運転用プログラムとマルチメディアプログラムと、異常な制御装置にロードされていた自動運転用プログラムとが併存することになり、正常な制御装置のＣＰＵにて処理しきれない場合がある。このような場合には、正常な制御装置に元々ロードされていたマルチメディアプログラムの処理を停止させるようにすると良い。

Ｅ４．その他の実施形態４：
各実施形態において、ＲＡＭ１２０およびＲＡＭ２２０にロードされる自動運転用プログラムは、車両が有するステレオカメラのうち、いずれか一方のカメラにより得られる撮像画像に基づき画像認識を行い、先行車両の種類や大きさ、また、歩行者や障害物などを検知するためのプログラムであったが、本開示はこれに限定されない。例えば、ＲＡＭ１２０には、ステレオカメラの両方のカメラにより得られる撮像画像に基づき画像認識を行うプログラムがロードされ、ＲＡＭ２２０には、ステレオカメラの撮像画像に基づく画像認識結果や、他のセンサ、例えば、ミリ波レーダやＬｉＤＥＲの検出結果を利用して障害物を特定するプログラム、さらには、かかる障害物を避けるための操舵量や制動量を算出するためのプルグラムがロードされる構成であってもよい。

Ｅ５．その他の実施形態５：
各実施形態では、制御装置および記憶部は、それぞれ二重系として構成されていたが、二重系に限らず、３以上の複数系として構成されていてもよい。この場合、いずれかの制御装置が故障した場合に、かかる制御装置のＲＡＭにロードされていた自動運転用プログラムを、どの制御装置のＲＡＭにロードさせるかを予め決定しておいてもよい。また、例えば、いずれかの制御装置が故障した場合に、正常な制御装置のうち、故障した制御装置のＲＡＭにロードされていた自動運転用プログラムをロード可能な空き容量を確保可能なＲＡＭを備える制御装置を抽出し、それらの制御装置の中で、ＣＰＵの処理負荷がより低い制御装置のＲＡＭに故障した制御装置のＲＡＭにロードされていた自動運転用プログラムをロードさせてもよい。上述の「故障した制御装置のＲＡＭにロードされていた自動運転用プログラムをロード可能な空き容量を確保可能なＲＡＭ」とは、自身のＲＡＭにロードされているマルチメディアプログラムなどの他のプログラムをアンロードすればかかる空き容量を確保可能なＲＡＭを意味する。

Ｅ６．その他の実施形態６：
各実施形態では、平常時において、２つの制御装置１００、２００のＲＡＭ１２０、２２０には、それぞれ自動運転用プログラムとマルチメディアプログラムとがロードされていたが、本開示はこれに限定されない。例えば、平常時において、ＲＡＭ１２０には自動運転用プログラムとマルチメディアプログラムがロードされており、ＲＡＭ２２０には自動運転用プログラムのみがロードされている構成であってもよい。この構成において、第２制御装置２００が故障した場合には、各実施形態と同様に、ＲＡＭ１２０にロードされているマルチメディアプログラムをアンロードし、ＲＡＭ２２０にロードされていた自動運転用プログラムをＲＡＭ１２０にロードすればよい。

また、例えば、平常時において、ＲＡＭ１２０にはマルチメディアプログラムのみがロードされており、ＲＡＭ２２０には自動運転用プログラムとマルチメディアプログラムがロードされている構成であってもよい。この構成において、第２制御装置２００が故障した場合には、各実施形態と同様に、ＲＡＭ１２０にロードされているマルチメディアプログラムをアンロードし、ＲＡＭ２２０にロードされていた自動運転用プログラムをＲＡＭ１２０にロードすればよい。

また、例えば、平常時において、ＲＡＭ１２０にはマルチメディアプログラムのみがロードされており、ＲＡＭ２２０には自動運転用プログラムのみがロードされている構成であってもよい。この構成において、第２制御装置２００が故障した場合には、各実施形態と同様に、ＲＡＭ１２０にロードされているマルチメディアプログラムをアンロードし、ＲＡＭ２２０にロードされていた自動運転用プログラムをＲＡＭ１２０にロードすればよい。

但し、上述の各実施形態のように、自動運転用プログラムをＲＡＭ１２０とＲＡＭ２２０とに分散してロードしておくことにより、ステップＳ１２０に要する時間を短縮化でき、ステップＳ１２０においてロードされるプログラムにより実現される機能が実行できない時間を短縮化できる。

Ｅ７．その他の実施形態７：
自動運転制御装置の構成は、各実施形態の自動運転制御装置１０、１０ａ、１０ｂ、１０ｃの構成に限定されるものではなく、例えば、以下のような構成としてもよい。各実施形態では、ステップＳ１２０の実行後、レベル２での運転、手動運転（レベル０での運転）、退避動作のいずれかで運転を実現していたが、ステップＳ１２０が正常に実行された場合には、レベル３にて自動運転を継続させてもよい。また、第２実施形態のステップＳ１２１においてロードが成功しなかったと判定された場合（ステップＳ１２１：ＮＯ）、ステップＳ１２２およびＳ１２３を省略して、ステップＳ１４５（退避動作実行）を実行してもよい。また、第２実施形態において、ステップＳ１２３を省略して、動作入力の有無に関わらず、ステップＳ１３０（運転モードを手動運転に切り替える）を実行してもよい。また、各実施形態において、ステップＳ１２５を省略してもよい。すなわち、車両が停車中か否かを判定せずに、ステップＳ１３５を実行してもよい。この構成では、停車後車両が走行を開始した段階でレベル２での自動走行が実現される。また、各実施形態において、退避動作を、車両の速度を徐々に低下させることに代えて、または、車両の速度を徐々に低下させることに加えて、車両を路肩に寄せる動作を実行してもよい。

Ｅ８．その他の実施形態８：
各実施形態において、ハードウェアによって実現されていた構成の一部をソフトウェアに置き換えるようにしてもよく、逆に、ソフトウェアによって実現されていた構成の一部をハードウェアに置き換えるようにしてもよい。例えば、かかる構成の一部を、集積回路、ディスクリート回路、またはそれらの回路を組み合わせたモジュールにより実現してもよい。また、本開示の機能の一部または全部がソフトウェアで実現される場合には、そのソフトウェア（コンピュータプログラム）は、コンピューター読み取り可能な記録媒体に格納された形で提供することができる。「コンピューター読み取り可能な記録媒体」とは、フレキシブルディスクやＣＤ−ＲＯＭのような携帯型の記録媒体に限らず、各種のＲＡＭやＲＯＭ等のコンピューター内の内部記憶装置や、ハードディスク等のコンピューターに固定されている外部記憶装置も含んでいる。すなわち、「コンピューター読み取り可能な記録媒体」とは、データパケットを一時的ではなく固定可能な任意の記録媒体を含む広い意味を有している。

本開示は、上述の実施形態に限られるものではなく、その趣旨を逸脱しない範囲において種々の構成で実現することができる。例えば、発明の概要の欄に記載した形態中の技術的特徴に対応する各実施形態中の技術的特徴は、上述の課題の一部又は全部を解決するために、あるいは、上述の効果の一部又は全部を達成するために、適宜、差し替えや、組み合わせを行うことが可能である。また、その技術的特徴が本明細書中に必須なものとして説明されていなければ、適宜、削除することが可能である。

１０；１０ａ；１０ｂ；１０ｃ 自動運転制御装置、１００ 制御装置、２００ 制御装置、１１０ ＣＰＵ、２１０ ＣＰＵ、１２０ ＲＡＭ、２２０ ＲＡＭ、５１０ ロード制御部、１１４ ロード制御部、２１４ ロード制御部、３００ 記憶部、４００ 記憶部、５２０ 故障検出部、１１５ 故障検出部、２１５ 故障検出部、ｐ１ａ 自動運転用プログラム、ｐ２ａ 自動運転用プログラム、ｐ１ｍ マルチメディアプログラム、ｐ２ｍ マルチメディアプログラム

Claims (11)

1. 車両に搭載されて用いられる自動運転制御装置（１０；１０ａ；１０ｂ；１０ｃ）であって、
   第１の記憶部（１２０、２２０）と前記第１の記憶部にロードされたプログラムを実行する処理部（１１０、２１０）とを有する複数の制御装置（１００、２００）と、
   前記複数の制御装置のそれぞれの前記第１の記憶部への前記プログラムのロードを制御するロード制御部（５１０；１１４、２１４）と、
   前記プログラムを記憶する第２の記憶部（３００、４００）と、
   前記複数の制御装置のうち、少なくとも１つの制御装置の故障を検出する故障検出部（５２０；１１５、２１５）と、
   を備え、
   前記プログラムには、前記車両の自動運転用プログラム（ｐ１ａ、ｐ２ａ）と、前記自動運転用プログラムとは異なる他のプログラム（ｐ１ｍ、ｐ２ｍ）と、が含まれており、
   前記ロード制御部は、前記故障が検出された場合に、前記複数の制御装置のうち、正常な制御装置の前記第１の記憶部にロードされている前記他のプログラムの少なくとも一部を前記第１の記憶部からアンロードし、故障した制御装置の前記第１の記憶部にロードされていた前記自動運転用プログラムを、前記第２の記憶部から前記正常な制御装置の前記第１の記憶部にロードする、
   自動運転制御装置。
2. 請求項１に記載の自動運転制御装置において、
   前記故障した制御装置の前記第１の記憶部にロードされていた前記自動運転用プログラムは、前記正常な制御装置の前記第１の記憶部にロードされている前記自動運転用プログラムが実現する機能とは異なる機能を実現するためのプログラムを含む、
   自動運転制御装置。
3. 請求項１または請求項２に記載の自動運転制御装置において、
   前記正常な制御装置は、前記故障した制御装置の前記第１の記憶部にロードされていた前記自動運転用プログラムを実行する場合に、運転自動化レベルにおけるレベル２にて自動運転を実行する、
   自動運転制御装置。
4. 請求項１から請求項３までのいずれか一項に記載の自動運転制御装置において、
   前記ロード制御部によるプログラムのロードの成否を監視するロード監視部（５３０）と、前記車両の乗員への報知を実行する報知部（６４０）による前記報知を制御する報知制御部（５４０）と、を更に備え、
   前記報知制御部は、前記故障した制御装置の前記第１の記憶部にロードされていた前記自動運転用プログラムの前記正常な制御装置の前記第１の記憶部へのロードが失敗したことが検出された場合に、手動運転への切り替えを促す旨を前記報知部に報知させる、
   自動運転制御装置。
5. 請求項４に記載の自動運転制御装置において、
   前記正常な制御装置は、前記乗員による運転動作の入力があった場合に、前記車両の運転モードを、自動運転モードから手動運転モードに切り替える、
   自動運転制御装置。
6. 請求項１から請求項３までのいずれか一項に記載の自動運転制御装置において、
   前記ロード制御部による前記プログラムのロードの成否を監視するロード監視部（５３０）を更に備え、
   前記正常な制御装置は、前記故障した制御装置の前記第１の記憶部にロードされていた前記自動運転用プログラムの前記正常な制御装置の前記第１の記憶部へのロードが失敗したことが検出された場合に、前記車両に退避動作を行わせる、
   自動運転制御装置。
7. 請求項６に記載の自動運転制御装置において、
   前記退避動作は、前記車両の速度を次第に低下させる動作である、
   自動運転制御装置。
8. 請求項１から請求項７までのいずれか一項に記載の自動運転制御装置において、
   前記ロード制御部は、前記故障が検出され、且つ、前記車両が停車中である場合に、前記車両の運転モードを、自動運転モードから手動運転モードに切り替える、
   自動運転制御装置。
9. 請求項１から請求項８までのいずれか一項に記載の自動運転制御装置において、
   前記複数の制御装置の前記第１の記憶部には、前記故障が発生していない状態において、前記自動運転用プログラムのうち、緊急退避用プログラムがそれぞれロードされている、
   自動運転制御装置。
10. 車両の自動運転制御方法であって、
    前記車両に搭載されている複数の制御装置（１００、２００）であって、第１の記憶部（１２０、２２０）と前記第１の記憶部にロードされたプログラムを実行する処理部（１１０、２１０）とを有する複数の制御装置のうち、少なくとも１つの制御装置の故障を検出する工程と、
    前記故障が検出された場合に、前記複数の制御装置のうちの正常な制御装置の前記第１の記憶部にロードされている前記プログラムに含まれるプログラムであって前記車両の自動運転用プログラム（ｐ１ａ、ｐ２ａ）とは異なる他のプログラム（ｐ１ｍ、ｐ２ｍ）の少なくとも一部を前記第１の記憶部からアンロードし、故障した制御装置の前記第１の記憶部にロードされていた前記自動運転用プログラムを、第２の記憶部から前記正常な制御装置の前記第１の記憶部にロードする工程と、
    を備える、
    車両の自動運転制御方法。
11. 車両に搭載されて用いられる自動運転制御装置（１０；１０ａ；１０ｂ；１０ｃ）であって、
    第１の記憶部（１２０、２２０）と前記第１記憶部にロードされたプログラムを実行する処理部（１１０、２１０）とを有する複数の制御装置（１００、２００）と、
    前記複数の制御装置のそれぞれの前記第１の記憶部への前記プログラムのロードを制御するロード制御部（５１０；１１４、２１４）と、
    前記プログラムを記憶する第２の記憶部（３００、４００）と、
    前記複数の制御装置のうち、少なくとも１つの制御装置の故障を検出する故障検出部（５２０；１１５、２１５）と、
    を備え、
    前記プログラムには、前記車両の自動運転用プログラム（ｐ１ａ、ｐ２ａ）と、前記自動運転用プログラムとは異なる他のプログラム（ｐ１ｍ、ｐ２ｍ）と、が含まれており、
    前記ロード制御部は、前記故障が検出された場合に、前記複数の制御装置のうち、故障した制御装置の前記第１の記憶部にロードされていた前記自動運転用プログラムを、前記第２の記憶部から前記正常な制御装置の前記第１の記憶部にロードする、
    
    自動運転制御装置。

Images