JP6802391B2 - 車両制御装置および電子制御システム - Google Patents

Description

本発明は、自動運転システムの車両制御装置および電子制御システムに関する。

高度な自動運転システムの実現に向け、自動運転を制御する上位の制御装置であるＥＣＵ（Ｅｌｅｃｔｒｏｎｉｃ Ｃｏｎｔｒｏｌ Ｕｎｉｔ）には、例えば自動運転制御のための演算を行う演算処理装置（マイコン）に障害が発生したような際においても、ドライバに運転操作を引き渡すまでの一定期間、動作を継続することが求められる。

特許文献１には、メイン制御装置のマイコンの動作が正常な状態であって、このマイコンの電源電圧が適正範囲から外れているときには、複数のサブ制御装置の制御機能を部分的に制限する車両の制御装置が開示されている。

特開２０１５−９３４９８号公報

自動運転システムは、例えば、制御指令を出力する車両制御装置と、車両制御装置からの制御指令に基づいて、エンジン制御、ブレーキ制御、パワーステアリング制御などをそれぞれに実施する複数のアクチュエータ制御装置とで構成される。

ここで、自動運転システムにおいては、機能安全上から、例えば、マイコン内のプログラム暴走を監視するウォッチドックタイマ等、マイコンの動作について診断回路によって監視し、マイコンの異常を検知してフェール処理を実施することが望まれるが、マイコンの異常に対して一律にマイコンを停止（リセット）させるなどの処理を実施した場合、自動運転システムの機能が停止することになる。

しかし、自動運転システムの機能が突然停止すると、車両搭乗者が車両の運転を引き継ぐ必要があるが、車両搭乗者が運転を引き継ぐまでの時間が生じるため、車両システムによる制御補間が必要であり、そのための技術が要求される。

上記課題を解決する手段として、特許文献１では、マイコンの動作が正常な状態でマイコンの電源電圧が適正範囲から外れている場合の制御について記載があるが、マイコン過負荷などの要因によるマイコン自体の動作異常も考慮する必要があり、マイコンのリセット回避は困難である。

また、複数の駆動力源を調停するＥＣＵのマイコンが異常となったとき、それを、駆動源を制御するＥＣＵに適切に通知し、アイドリング走行や緊急停止等を行い、駆動力の異常の発生を防止することが考えられる。

しかし、マイコン異常時に外部の駆動動力源を制御するＥＣＵにマイコン異常を通知しても、自車両の外界の状況によっては、制御規模の大きさから適切な制御移行ができない懸念がある。

そこで、自動運転システムの動作制御を行う制御マイコンの動作に異常が検知された場合に、制御マイコンから縮退用の制御マイコンに制御を移行する方法が考えられる。

しかしながら、縮退用の制御マイコンが異常通知を受信後に制御を切り替えるための、制御の移行時間すなわち制御の空白区間を避けることは困難であり、その制御移行リスクを伴うことになる。

また、その制御移行リスクは自車周囲の物体との関係によっても異なるといった問題がある。

本発明は、上記問題点に鑑みなされたものであり、その目的は、制御装置における演算処理部に動作異常が発生した場合においても、縮退用の制御マイコンに安全に制御移行することができ、安全性の向上が可能な車両制御装置および電子制御システムを実現することである。

上記目的を達成するため、本発明は次のように構成される。

車両制御装置において、車両の駆動装置に制御指令を生成する制御指令生成部と、上記車両の外界情報を認識する外界認識部と、上記制御指令生成部の動作を監視する監視部と、この監視部が上記制御指令生成部の異常を検出したときに、上記制御指令生成部をリセットするリセット生成部とを有する監視回路と、上記車両の駆動装置に、上記制御指令生成部が生成する制御指令より縮退した制御指令を生成する縮退制御部と、を備え、上記監視部は、上記制御指令生成部に異常が発生してから第１の異常検出時間で上記制御指令生成部の異常を検出する第１の監視部と、上記制御指令生成部に異常が発生してから、上記第１の異常検出時間より長い第２の異常検出時間で上記制御指令生成部の異常を検出する第２の監視部とを有し、上記監視回路は、上記外界認識部が認識した上記車両の外界情報に基いて、上記第１の監視部の異常検出に従って上記リセット生成部により上記制御指令生成部をリセットするか、上記第２の監視部の異常検出に従って上記リセット生成部により上記制御指令生成部をリセットするかを判断し、上記第２の異常検出時間は、上記制御指令生成部に異常が発生した後、上記縮退制御部の制御移行が終了する時間以上に設定され、上記外界認識部が認識した上記車両の外界情報により、上記縮退制御部が上記縮退制御指令を生成する必要があると判断した場合には、上記監視回路は、上記第２の監視部の異常検出に従って上記リセット生成部により上記制御指令生成部をリセットする。
。

また、電子制御システムにおいて、外界認識部と、駆動装置を駆動する第１制御部と、上記外界認識部から情報が入力され、上記第１制御部へ制御指令を送信する第２制御部と、上記第２制御部が異常を検知している場合に、制御移行されて縮退動作を上記第１制御部へ指令する第３制御部と、を備え、上記第２制御部は、上記外界認識部が外部の物体との衝突可能性が高い外界状況であると判断した場合に、上記第２制御部の異常を検知したときは、上記第３制御部へ制御移行した後に、上記第２制御部のリセットを実行し、上記外界認識部が外部の物体との衝突可能性が低い外界状況であると判断した場合に、上記第２制御部の異常を検知したときは、上記第２制御部のリセットを実行した後に、制御指令動作を復帰する。

本発明によれば、制御装置における演算処理部に動作異常が発生した場合においても、縮退用の制御マイコンに安全に制御移行することができ、安全性の向上が可能な車両制御装置および電子制御システムを実現することができる。

本発明が適用される車両に備えられる自動運転システムの概略構成図である。 本発明の実施例１における自律走行制御部（第１ＥＣＵ）の内部構成を示す図である。 本発明の実施例１における縮退要求信号と制御マイコンのリセットタイミングの関係を示す表である。 本発明の実施例１における縮退動作を実行する場合の制御移行時タイムチャートである。 本発明の実施例１における自車の衝突ポテンシャルが低い場合の動作制御のタイミングチャートである。 本発明の実施例２における自律走行制御部（第１ＥＣＵ）の内部構成を示す図である。 本発明の実施例３における異常検出クライテリアと検出時間の説明図である。 本発明の実施例４における自律走行制御部（第１ＥＣＵ）の内部構成を示す図である。 本発明の実施例４における縮退要求信号と制御マイコンのリセットタイミングの関係を示す表である。 本発明の実施例５における電子制御システム（自律走行制御システム）の動作機能ブロック図である。 実施例５における故障発生時の動作タイミングチャートである。 本発明の実施例１〜５において外界状況により縮退要求信号をどのように設定するかについての説明図である

以下、本発明の実施形態について添付図面を参照して説明する。

（自動運転システムの構成例）
まず、本発明が適用される自動運転システム（車両制御システム）の構成について説明する。

図１は、本発明が適用される車両に備えられる自動運転システムの概略構成図である。図１において、自動運転システムは、車両の外界状況を認識するための外界認識センサである、カメラ（第１センサ）１と、レーダ（第２センサ）２と、自車位置センサ（第３センサ）３と、自動運転を設定するための自動運転設定部４とを備える。

さらに、自動運転システムは、自律走行制御部（第１ＥＣＵ）１１（車両制御装置）と、縮退制御部（第２ＥＣＵ）１２と、ブレーキ制御部（第３ＥＣＵ）１３と、エンジン制御部（第４ＥＣＵ）１４と、パワーステアリング制御部（第５ＥＣＵ）１５とを備える。

なお、ブレーキ制御部１３、エンジン制御部１４、及びパワーステアリング制御部１５は、車両の動作を制御する駆動装置制御部又はアクチュエータ制御部とすることができる。

カメラ１、レーダ２、自車位置センサ３、自律走行制御部１１、縮退制御部１２、ブレーキ制御部１３、エンジン制御部１４、パワーステアリング制御部１５は、車載ネットワーク（例えば、ＣＡＮ（Ｃｏｎｔｒｏｌｌｅｒ Ａｒｅａ Ｎｅｔｗｏｒｋ、コントローラエリアネットワーク）やＥｔｈｅｒｎｅｔ（登録商標）等）によって相互に通信可能となるよう接続される。

縮退制御部１２は、自律走行制御部１１が失陥した際にバックアップとして適切な縮退制御を実行するように動作する制御装置であるが、自律走行制御部１１が失陥した場合においても自律走行制御部１１内に、縮退制御機能を持たせることで安全が担保できるのであれば、縮退制御部１２は不要である。

ブレーキ制御部１３は、車両のブレーキ制御（制動力制御）を行う制御装置であり、エンジン制御部１４は、車両の駆動力を発生するエンジンを制御する制御装置である。また、パワーステアリング制御部１５は、車両のパワーステアリングを制御する制御装置である。

自車位置センサ３は、ＧＰＳ（Ｇｌｏｂａｌ Ｐｏｓｉｔｉｏｎｉｎｇ Ｓｙｓｔｅｍ）などの測位用衛星からの電波を用いて、自車両の位置を取得する装置である。自車位置センサ３は、取得した自車位置情報を自律走行制御部１１に出力する。なお、自車位置センサ３は、ＧＰＳ以外の測位システムを用いて自車位置情報を取得しても良い。

また、自車位置センサ３内部には、自動運転で使用する地図データを保持するメモリを有しており、道路の道幅、車線数、勾配、カーブの曲率、交差点の形状、制限速度情報などの地図データが格納される。なお、地図データは自律走行制御部１１内部に格納されていても良い。

自動運転設定部４は、自動運転時の目的地、ルート、走行速度などを設定する装置である。自動運転設定部４は、搭乗者が設定を行うための入力装置（図示せず）を有する。

この入力装置には、例えば、搭乗者が自動運転システムを起動するための開始スイッチを始め、ボタンやタッチパネルといった物理的な入力装置、カメラや赤外線を用いたジェスチャ入力装置、音声入力装置などが該当する。自動運転設定部４は、入力装置を介して搭乗者が入力した情報を自動走行制御部１１に出力する。

ここで、自律走行制御部１１が、自動運転設定部４により自動運転の要求を受け付けると、カメラ１、レーダ２、自車位置センサ３など外界の情報を基に車両が移動する軌道を算出し、自律走行制御部１１は、前述したルート通りに車両を移動させるように、ブレーキや駆動力などの制御指令を、ブレーキ制御部１３、エンジン制御部１４、及びパワーステアリング制御部１５に出力する。

ブレーキ制御部１３、エンジン制御部１４、パワーステアリング制御部１５は、自律走行制御部１１から自動走行制御の制御指令を受けて、各制御対象（アクチュエータ（駆動装置））に操作信号を出力する。

（実施例１）
本発明の実施例１について以下に説明する。

図２は、実施例１における自律走行制御部（第１ＥＣＵ）１１の内部構成を示す図である。

図２において、自律走行制御部１１内の外界認識マイコン（外界認識部）１０ｂが、第１センサ１、第２センサ２、又は第３センサ３等の外界センサからの情報に基づき、車両の外界情報を認識し、認識した車両外界情報に基づいて、制御マイコン１１ｂがリセットした場合に自車の衝突ポテンシャルが高いと判断している状況とする。

この状況下で、監視回路１１ｈが制御マイコン１１ｂの動作異常を検出すると、縮退用制御マイコン（縮退用制御部）１２ｂに制御移行した後に制御マイコン１１ｂをリセットする例を以下に説明する。

ここで、制御マイコン１１ｂは外部のアクチュエータ（駆動装置）制御部への制御指令を生成する制御指令生成部と定義する。

自動運転の走行制御装置である自律走行制御部１１は、外界認識マイコン１０ｂと制御マイコン１１ｂの２つのマイコンを有している。外界認識マイコン１０ｂは、通信回路１０ｃ（通信回路０）と通信回路１０ｄ（通信回路１）を備えている。また、制御マイコン１１ｂは、通信回路１１ｃ（通信回路２）を備えている。

また、自律走行制御部１１が失陥した際に自律走行制御部１１に代わって動作する縮退制御部１２には、縮退用制御マイコン１２ｂと通信回路１２ｃ（通信回路３）を備えている。縮退用制御マイコン１２ｂは、制御マイコン１１ｂが生成する制御指令より、縮退した制御指令を生成する。

図２において、自律走行制御部１１は外界認識マイコン１０ｂと制御マイコン１１ｂを備え、縮退制御部１２は縮退用制御マイコン１２ｂを備えているが、例えば、自律走行制御部１１内に外界認識マイコン１０ｂ、制御マイコン１１ｂと縮退用制御マイコン１２ｂとを配置しても良い。

また、自律走行制御部１１内に制御マイコン１１ｂと縮退用制御マイコン１２ｂとを有し、外界認識マイコン１０ｂを自律走行制御部１１以外の制御部に配置しても良い。

外界認識マイコン１０ｂには、通信回路１０ｃを介して、外界センサである、カメラ１（第１センサ）、レーダ２（第２センサ）、および自車位置センサ３（第３センサ）からセンサ情報（外界認識情報）が伝達される。外界認識マイコン１０ｂは伝達されたセンサ情報に基づいて外界の状況を認識し、自車両が移動する軌道情報を生成する。

このため、外界認識マイコン１０ｂは軌道情報生成部と定義することができる。

外界認識マイコン１０ｂは、軌道情報通信ライン１０ｋを介し、生成した軌道情報を制御マイコン１１ｂに送信する。制御マイコン１１ｂは、通信回路１１ｃ（通信回路２）を介して、外部から、図示していない車輪速センサ、加速度センサ、ヨーレートセンサ等の外界認識センサの情報（これらの情報も外界認識情報に含まれる）を外部ＥＣＵ（制御装置）から受信しており、それらの情報と外界認識マイコン１０ｂが演算した軌道情報とに基づいて、ブレーキ制御部１３（第３ＥＣＵ）、エンジン制御部１４（第４ＥＣＵ）、パワーステアリング制御部１５（第５ＥＣＵ）に、それぞれのアクチュエータ制御指令を生成し送信する。

制御マイコン１１ｂには、制御マイコン１１ｂを監視する監視回路１１ｈが接続されており、監視回路１１ｈは、異常検出時間Ｔ１（第１異常検出時間）で制御マイコン１１ｂの異常を検出する第１の監視部と、異常検出時間Ｔ１よりも検出時間が長い異常検出時間Ｔ２（第２異常検出時間）で制御マイコン１１ｂを異常検出する第２の監視部とを備えている。

第１の監視部と第２の監視部とは、異常検出の判断基準が互いに異なるように構成されている。第１の監視部の異常検出の判断基準は軽度の異常に対するものであり、第２の監視部の異常検出の判断基準は第１の監視部の異常検出の判断基準に比較して重度の異常に対するものである。

第１の監視部は、制御マイコン１１ｂのプログラム動作の正常性を判断するウォッチドックタイマ１１ｉ（ＷＤＴ部）である。制御マイコン１１ｂのパルス出力部１１ｄより通信ライン１１ｆを介して一定周期のＨｉｇｈ／Ｌｏｗパルス信号が出力され、ウォッチドックタイマ１１ｉ（ＷＤＴ部）でパルス出力部１１ｄの正常性を判断する。

第２の監視部は、制御マイコン１１ｂの演算部１１ｅの正常性を判断する演算論理照合部１１ｊである。監視回路１１ｈと制御マイコン１１ｂとの間で通信ライン１１ｇを介した双方向通信により、定期的に演算論理照合部１１ｊが質問信号（例えば、あるランダムな数値とその数値を使用した演算式）を制御マイコン１１ｂの演算部１１ｅに送信する。

そして、その質問信号に対応する演算部１１ｅの回答信号が演算論理照合部１１ｊで予め算出された期待値と照合され、制御マイコン１１ｂの正常性を判断する。

第２の監視部は演算論理の照合であり、照合不一致の場合に異常カウンタをカウントアップする仕様とし、最終的に異常を判定するクライテリアを設定することにより異常検出時間を調整可能である。このようにして異常検出時間Ｔ１よりも長い異常検出時間Ｔ２を予め設定する。

第１の監視部と第２の監視部とを監視部と総称する。

なお、制御マイコン１１ｂを監視する監視回路１１ｈはロジック回路であり、外界認識マイコン１０ｂに内蔵することも可能である。

一方、外界認識マイコン１０ｂは、伝達されたセンサ情報に基づいて外界の状況を認識し、自車両が移動する軌道情報を生成するマイコンであり、定期的に周囲物体との衝突ポテンシャルを演算している。

外界認識マイコン１０ｂは仮に制御マイコン１１ｂに異常が発生して、制御マイコン１１ｂがリセットされる場合に、自動運転制御を制御マイコン１１ｂから縮退制御マイコン１２ｂに移行する縮退要求信号１０ｆを監視回路１１ｈに出力する。

外界認識マイコン１０ｂの縮退要求信号発生部１０ｅから出力される縮退要求信号１０ｆは、自車の突ポテンシャルが低い場合はＬｏｗ出力で、衝突ポテンシャルが高い場合はＨｉｇｈにトグルする仕様である。

監視回路１１ｈのリセット時期切り替え部１１ｓには、第１の監視部であるＷＤＴ部１１ｉと第２の監視部である演算論理照合部１１ｊとの双方から制御マイコン１１ｂ異常検出信号が入力されている。そして、リセット時期切り替え部１１ｓは、縮退要求信号１０ｆにより、ＷＤＴ部１１ｉ及び演算論理照合部１１ｊのどちらからの信号で制御マイコン１１ｂをリセットするかを決定する。

言い換えると、縮退要求信号１０ｆにより異常検出時間Ｔ１でリセットするか異常検出時間Ｔ２でリセットするかが決定される。異常通知信号生成部１１ｑは、リセット時期切り替え部１１ｓから供給される信号に従って異常通知信号１１ｕを外界認識マイコン１０ｂに供給する。

図３は、本発明の実施例１における縮退要求信号１０ｆと異常通知信号１１ｕ、制御マイコン１１ｂのリセットタイミングを示す表である。

図３において、縮退要求信号１０ｆがＬｏｗの場合は、制御マイコン１１ｂに異常が検出されても異常検出信号１１ｕは出力されず、制御マイコン１１ｂは異常検出時間Ｔ１でリセットされる。一方、縮退要求信号１０ｆがＨｉｇｈの場合は、制御マイコン１１ｂに異常が検出されると異常通知信号１１ｕが出力され、制御マイコン１１ｂは異常検出時間Ｔ２でリセットされる。

図４は、本発明の実施例１における縮退動作を実行する場合の制御移行時タイムチャートである。

図４において、タイミング（ｔ０）では、制御マイコン１１ｂは外部のアクチュエータ制御部への制御指令を出力しており、縮退用制御マイコン１２ｂはスタンバイ状態である。縮退要求信号はタイミング（ｔ０）の時点ではＬｏｗ出力だが、タイミング（ｔ１）において衝突ポテンシャルが高まったことによりＨｉｇｈとなる。

この後のタイミング（ｔ２）において制御マイコン１１ｂに故障が発生した場合、故障発生から異常検出時間Ｔ１を経過した後のタイミング（ｔ３）において異常通知信号（１１ｕ）がＨｉｇｈとなり（ＷＤＴ部１１ｉによる異常検出１）、外界認識マイコン１０ｂ、通信回路１０ｄ及び通信回路１２ｃを介して縮退用制御マイコン１２ｂに制御マイコン異常（制御指令生成部異常）が通知され、縮退用制御マイコン１２ｂへの制御の移行が開始される。

制御移行期間Ｔ３を経過したタイミング（ｔ４）にて縮退用制御マイコン１２ｂの移行準備が終了し、故障発生から異常検出時間Ｔ２が経過したタイミング（ｔ５）にて制御マイコン１１ｂのリセットが実施される（演算論理照合部１１ｊによる異常検出２）。

なお、タイミング（ｔ２）のタイミングで発生する故障（パルス出力部１１ｄの異常）が、過渡的な故障である場合は、第１の監視手段で異常判定されても、第２の監視手段はより深いレベルの異常判定（演算部１１ｅが異常か否か）とすることで、異常判定されないシーンもあり、その場合には、タイミング（ｔ５）で制御マイコン１１ｂはリセットされず制御も継続することになる。

例えば、ノイズにより、パルス出力部１１ｄに異常が発生したと判定されたとしても、演算部１１ｅには異常が発生していないと判定される場合があり、そのときには、制御マイコン１１ｂはリセット生成部１１ｔからのリセット信号１１ｒにより、リセットされることはなく、制御マイコン１１ｂによる制御が継続される。

ノイズにより、パルス出力部１１ｄは異常と判定することにより、縮退用制御マイコン１２ｂは、制御移行動作を経て縮退制御を実行することになり、この縮退制御動作と制御マイコン１１ｂによる制御とが並行して実行されてしまうことになる。

この場合、ブレーキ制御部３、エンジン制御部１４及びパワーステアリング制御部１５は、制御マイコン１１ｂからの制御指令を優先するように予め定められている。これによって、制御マイコン１１ｂによる制御が継続される。

以上のように、本発明の実施例１によれば、衝突ポテンシャルが高いシーンで制御マイコン１１ｂに異常が検出された場合でも、制御の空白期間を生ずることなく、縮退用制御マイコン１２ｂに安全に制御移行が可能となる。また、ノイズ発生等の過渡的な故障である場合には、制御は主縮退制御に移行されず、制御マイコン１１ｂによる制御を継続することができるため安全性が確保される。

特に、上記異常検出時間Ｔ２を、異常検出時間Ｔ１と縮退制御マイコン１２ｂの制御移行期間Ｔ３とを用いて、Ｔ２≧Ｔ１＋Ｔ３の関係にて設定することにより、縮退制御動作が開始された後、制御マイコン１１ｂによる制御動作をリセットすることにより、制御の空白期間を排除するができ、制御回路の信頼性が向上可能となる。

次に、実施例１において、自車の衝突ポテンシャルが低い場合の動作について説明する。

図５は、自車の衝突ポテンシャルが低い場合の動作制御のタイミングチャートである。

図５は、自律走行制御部１１内の外界認識マイコン１０ｂが、自車の衝突ポテンシャルが低いと判断している状況下で、監視回路１１ｈが制御マイコン１１ｂの動作異常を検出したときの動作制御を示している。この例の場合は、縮退用制御マイコン１２ｂには制御移行せず、制御マイコン１１ｂをリセットする例である。

図５において、タイミング（ｔ０）では、制御マイコン１１ｂは外部のアクチュエータ制御部への制御指令を出力しており、縮退用制御マイコン１２ｂはスタンバイ状態である。衝突ポテンシャルが低く、縮退要求信号１１ｕはＬｏｗ出力となっているシーンにおいてタイミング（ｔ２）で制御マイコン１１ｂに故障が発生した場合、故障発生から異常検出時間Ｔ１を経過した後のタイミング（ｔ３）において制御マイコン１１ｂのリセットが実施される。この場合、縮退要求信号１１ｕはＬｏｗ出力であり、縮退制御用マイコン１２ｂには制御移行せず、タイミング（ｔ５）から一定時間経過後のタイミング（ｔ６）にて制御マイコン１１ｂはリセットから制御復帰させる。

つまり、監視回路１１ｈは、第１の監視部の判断結果か、第２の監視部の判断結果のいずれかで、制御マイコン１１ｂをリセットするかを、縮退要求信号１０ｆがＨｉｇｈかＬｏｗかに従って判断している。

以上のように、衝突ポテンシャルが低いシーンで制御マイコン１１ｂに異常が検出された場合は、制御マイコン１１ｂを早期にリセットすることで時間経過後に自車の外界状況が変化しリスクが高まる前に制御復帰することができる（制御マイコン１１ｂ（制御指令生成部）の制御指令生成動作を復帰させることができる）。

従って、制御装置における演算処理部に動作異常が発生した場合においても、縮退用の制御マイコンに安全に制御移行することができ、安全性の向上が可能な車両制御装置を実現することができる。

（実施例２）
次に、本発明の実施例２について説明する。

図６は、実施例２における自律走行制御部（第１ＥＣＵ）１１の内部構成を示す図である。図６において、外界認識マイコン１０ｂと制御マイコン１１ｂに加え、縮退用制御マイコン１２ｂを自律走行制御部１１に配置する場合の例を示す。

縮退用制御マイコン１２ｂならびに通信回路１２ｃ（通信回路３）は自律走行制御部１１内に配置されている。実施例２は、実施例１とほぼ同一の構成だが、異常通知信号１１ｕが自律走行制御部１１内部で、外界認識マイコン１０ｂ及び縮退用制御マイコン１２ｂに接続されている。

実施例２においても、実施例１と同様な効果が得られる他、異常検出信号１１ｕの縮退用制御マイコン１２ｂへの信号線の接続が容易となることから、異常発生時レイテンシが改善されるという効果がある。

（実施例３）
次に、本発明の実施例３について説明する。

実施例３は、自律走行制御部（第１ＥＣＵ）１１の内部構成は実施例１又は実施例２と同一であるが、監視回路１１ｈで異常検出時間Ｔ１と異常検知時間Ｔ２を変更可能な例である。

図７は、実施例３における異常検出クライテリア（判定基準）と検出時間Ｔ１及びＴ２の設定説明図である。

図７は、横軸に制御マイコン１１ｂの故障発生からの経過時間と、縦軸に異常カウンタを示している。

図７に示した例では、時間の経過に伴って、異常カウンタが増加する直線Ｌを定めておき、クライテリア１（判定基準１）及びクライテリア２（判定基準２）を調整し、クライテリア１と直線Ｌとが交差する点の時間を異常検出時間Ｔ１とし、クライテリア２と直線Ｌとが交差する点の時間を異常検出時間Ｔ２とする。ただし、クライテリア１よりクライテリア２を大とする。

このように、異常を検知する度にカウントアップする異常カウンタ値に対し、異常判定のためのクライテリア１とクライテリア２を設定することで異常検出時間Ｔ１と異常検出時間Ｔ２を設定可能である。つまり、異常検知回数によって、クライテリア１とクライテリア２を設定し、クライテリア１よりクライテリア２の方が異常検知回数を大とする。そして、異常検出時間Ｔ１をクライテリア１に対応させ、異常検出時間Ｔ２をクライテリア２に対応させて設定することにより、異常時間検出時間Ｔ２が異常検出時間Ｔ１より長くなるように時間差を設定する。

上記異常検出時間Ｔ２を、異常検出時間Ｔ１と縮退制御マイコン１２ｂの制御移行期間Ｔ３を用いて、Ｔ２≧Ｔ１＋Ｔ３の関係にて設定することにより、制御マイコン１１ｂリセットによる制御の空白期間を排除することで、制御回路の信頼性が向上可能となる。

実施例３においても、実施例１及び実施例２と同様な効果を得ることができる他、適用される車両等に合わせて異常検出時間Ｔ１、Ｔ２を設定可能であり、適用される車両等に応じた適切な縮退動作移行制御を行うことができる。

（実施例４）次に、本発明の実施例４について説明する。実施例４は、二つの監視回路と論理ゲートを用いた構成例である。

図８は、実施例４における自律走行制御部（第１ＥＣＵ）１１の内部構成を示す図である。

図８において、制御マイコン１１ｂには、制御マイコン１１ｂを監視する監視回路１１ｉ（第１の監視部）と、監視回路１１ｊ（第２の監視部）とが接続されている。実施例１と同様に、監視回路１１ｉは制御マイコン１１ｂのプログラム動作の正常性を判断するウォッチドッグタイマであり、監視回路１１ｊは制御マイコン１１ｂの演算部１１ｅの正常性を判断する演算論理照合部であり、それぞれ異なる監視手段を備える。

上記監視回路１１ｉ（第１の監視部）と監視回路１１ｊ（第２の監視部）の正常性判断結果は、それぞれ信号１１ｋと信号１１ｍとして、ＡＮＤゲート１１ｐの入力端子とＯＲゲート１１ｗの入力端子にそれぞれ接続される。

ＯＲゲート１１ｗのゲート出力は、監視回路１１ｉと監視回路１１ｊとのいずれかの監視回路にて異常検出された場合に反応し、異常通知信号１１ｕが外界認識マイコン１０ｂに通知される。

一方で、ＡＮＤゲート１１ｐの出力信号１１ｖは、監視回路１１ｉと監視回路１１ｊの双方の監視回路にて異常検出された場合に反応し、より確実な異常検知が可能となっている。

従って、ＯＲゲート１１ｗのゲート出力とＡＮＤゲート１１ｐの出力では反応するタイミングが異なるため、実施例１と同様に異常検出時間Ｔ１と異常検出時間Ｔ２を生成することが可能である。

また、外界認識マイコン１０ｂは実施例１と同様に、制御マイコン１１ｂに異常が発生して制御マイコン１１ｂをリセットする場合に、自動運転制御を制御マイコン１１ｂから縮退制御マイコン１２ｂに移行するかの縮退要求信号１０ｆをリセット時期切り替え回路１１ｓに出力する。

図９は、実施例４における縮退要求信号１０ｆと制御マイコン１１ｂのリセットタイミングを示す表である。

図９において、縮退要求信号１０ｆがＬｏｗの場合は、リセット時期切り替え回路１１ｓは信号１１ｕ側に接続され、制御マイコン１１ｂに異常が検出されると異常検出時間Ｔ１で制御マイコン１１ｂをリセットする。

縮退要求信号１０ｆがＬｏｗの場合は、制御マイコン１１ｂに異常が検出されても外界認識マイコン１０ｂから縮退制御部１２に対して異常検出信号は出力しないため制御移行はせず、制御マイコン１１ｂはリセット後に制御復帰する。

一方、縮退要求信号１０ｆがＨｉｇｈの場合は、リセット時期切り替え回路１１ｓは信号１１ｖ側に接続され、制御マイコン１１ｂに異常が検出されると異常検出時間Ｔ２で、制御マイコン１１ｂをリセットする。縮退要求信号１０ｆがＨｉｇｈの場合は、制御マイコン１１ｂに異常が検出されると信号１１ｕがトグルしたことで外界認識マイコン１０ｂから縮退制御部１２に対して異常検出信号を出力し、制御マイコン１１ｂは異常検出時間Ｔ２でリセットされる。

以上のように、実施例４によれば、実施例１と同様に、衝突ポテンシャルが高いシーンで制御マイコン１１ｂに異常が検出された場合でも縮退用制御マイコン１２ｂに安全に制御移行が可能となる。また、過渡的な故障である場合には、制御は移行されず継続するため安全性が確保される。

（実施例５）
次に、本発明の実施例５について説明する。

上述した例は、本発明を自動車に適用した場合の例であるが、本発明は自動車に限らず、移動体であれば、二輪車、工場用の荷物運搬車、走行ロボット等にも適用可能である。

実施例５は、種々の移動体に適用可能な電子制御システムの例である。

図１０は、実施例５の電子制御システム（自律走行制御システム）の動作機能ブロック図である。

図１０において、電子制御システムは、外界認識部２０ｂと、アクチュエータ（駆動装置）２４を駆動する第１制御部２３と、外界認識部２０ｂから情報が入力され、第１制御部２３へ制御指令を送信する第２制御部２１ｂと、第２制御部２１ｂが異常を検知している場合に、制御移行されて縮退動作を第１制御部２３に指令する第３制御部２２とを備えている。

第２制御部２１ｂは、外界認識部２０が外部の物体との衝突ポテンシャルが高い外界状況であると判断した場合に、第２制御部２１ｂ自身の異常を検知したときは、第３制御部２２ｂへ制御移行した後に、第２制御部２１ｂ自身のリセットを実行する。

また、第２制御部２１ｂは、外界認識部２０が外部の物体との衝突ポテンシャルが低い外界状況であると判断した場合に、第２制御部２１ｂ自身の異常を検知したときは、即時に第２制御部２１ｂ自身のリセットを実行して、その後、制御指令動作を復帰する。第３制御部２２ｂは、第２制御部２１ｂから異常信号が供給されると、縮退時の制御指令を第１制御部２３に出力する。

図１１は、実施例５における故障発生時の動作タイミングチャートである。

図１１において、衝突ポテンシャルが高い外界状況について説明する。時点（ｔ０）では、故障が発生しておらず、第２制御部２１ｂは、第１制御部２３に制御指令を出力し、第３制御部２２ｂは、スタンバイ状態となっている。

時点（ｔ２）にて故障が発生すると、時点（ｔ３）にて異常が検出され（異常検出１）、第３制御部２２ｂは、第２制御部２１ｂからの異常信号に従って、縮退制御への移行を開始する。この異常検出１は、上述した実施例１〜４と同様な第１の監視部により判断されるプログラム動作の異常性の検出である。

そして、時点（ｔ４）にて第３制御部２２ｂの縮退制御移行が終了すると、第３制御部２２ｂは、縮退時の制御指令を第１制御部２３に出力する。その後、時点（ｔ５）にて異常が検出され（異常検出２）、第２制御部２１ｂは、第２制御部２１ｂ自身をリセットする。

この異常検出２は、上述した実施例１〜４と同様な第２の監視部により判断される演算部の異常性の検出である。

次に、図１１において、衝突ポテンシャルが低い外界状況について説明する。時点（ｔ０）では、故障が発生しておらず、第２制御部２１ｂは、第１制御部２３に制御指令を出力し、第３制御部２２ｂは、スタンバイ状態となっている。

時点（ｔ２）にて故障が発生すると、時点（ｔ３）にて異常が検出され（異常検出１）、第２制御部２１ｂか自身をリセットする。異常検出１は、上述した実施例１〜４と同様な第１の監視部により判断されるプログラム動作の異常性の検出である。

そして、時点（ｔ５）にて異常が検出されるが（異常検出２）、第２制御部２１ｂは、リセット状態を維持する。

この異常検出２は、上述した実施例１〜４と同様な第２の監視部により判断される演算部の異常性の検出である。

その後、第２制御部２１ｂは制御を復帰する。

第３制御部２２ｂは、衝突ポテンシャルが低い外界状況では、スタンバイ状態を維持している。

以上のように、本発明の実施例５によれば、衝突ポテンシャルが高いシーンで第２制御部２１ｂに異常が検出された場合でも、制御の空白期間を生ずることなく、第３制御部２２ｂに安全に制御移行が可能となり、制御の空白期間を排除するができ、制御回路の信頼性が向上可能となる。

また、衝突ポテンシャルが低いシーンで第２制御部２１ｂに異常が検出された場合は、第２制御部２１ｂを早期にリセットすることで時間経過後に自車の外界状況が変化しリスクが高まる前に制御復帰することができる。

従って、制御装置における演算処理部に動作異常が発生した場合においても、縮退用の制御マイコンに安全に制御移行することができ、安全性の向上が可能な電子制御システムを実現することができる。

次に、上記実施例１〜５において、外界状況により、縮退要求信号をどのように設定するかについて説明する。

図１２は、外界状況と縮退要求信号との関係を示す表である。図１２を参照して、外界状況、外界情報量による制御マイコン１１ｂのリセットタイミングの切り替えについて説明する。

図１２において、外界状況として走行道が直線かつ周囲物体との距離が遠く、また外界の情量が少ない場合は、外界認識マイコン１０ｂは、自車両と周囲物体との衝突ポテンシャル（衝突可能性）は低いと判断することができると考えられるため、縮退要求はせず（縮退要求信号１０ｆはＬｏｗ出力として）、異常検出時間Ｔ１にて制御マイコン１１ｂをリセットする。

外界認識マイコン１０ｂは定期的に自車の走行する軌道を予測して生成している。そして、生成した自車の走行軌道における衝突ポテンシャルを判断している。走行道が直線の場合には、制御中であっても制御マイコン１１ｂがリセットした場合の制御の空白区間でも軌道自体はほぼ変わらないと考え、衝突ポテンシャルは低いと推定可能（判断可能）である。

つまり、自車が走行すると予測した走行道路の形状に応じて衝突可能性を判断することができる。

一方、外界状況として走行道がカーブの場合、自車両の周囲物体との距離が近い場合、また外界の情報の量が多い場合は、自車との衝突ポテンシャルは高いことが考えられるため、縮退要求を行う（縮退要求信号はＨｉｇｈ出力する）。異常検出時間Ｔ１にて縮退制御マイコン１２ｂに制御マイコン１１ｂの異常を通知することで縮退制御への移行準備を開始し、移行準備が完了後の異常検出時間Ｔ２で制御マイコン１１ｂをリセットする。

つまり、自車が走行する外界の情報の量に応じて衝突可能性を判断することができる。

以上のように、外界状況に応じて縮退要求信号を切り替えるように構成すれば、衝突ポテンシャルが低いシーンで制御マイコン１１ｂに異常が検出された場合は制御マイコン１１ｂを早期にリセットすることで時間経過後に自車の外界状況が変化しリスクが高まる前に制御復帰できる。

また、衝突ポテンシャルが高いシーンで制御マイコン１１ｂに異常が検出された場合は、縮退用制御マイコン１２ｂに早期に移行準備を開始させ、移行準備が完了後の異常検出時間Ｔ２で制御マイコン１１ｂをリセットすることで制御の空白区間を排除し、安全性の高い制御移行が可能となる。

なお、図１２に示した各判断基準において、走行道の形状のみ、周囲物体との距離のみ、又は外界情報量のみにより、自車両との衝突可能性を判断することもできる。

１・・・カメラ、 ２・・・レーダ、 ３・・・自車位置センサ、 ４・・・自動運転設定部、 １１・・・自律走行制御部、 １２・・・縮退制御部、 １３・・・ブレーキ制御部、 １４・・・エンジン制御部、 １５・・・パワーステアリング制御部、 １０ｂ・・・外界認識マイコン、 １０ｃ、１０ｄ、１１ｃ、１２ｃ・・・通信回路、 １０ｆ・・・縮退要求信号、 １０ｋ・・・軌道情報送信ライン、 １１ｂ・・・制御マイコン、 １２ｂ・・・縮退用制御マイコン、 １１ｈ・・・監視回路、 １１ｉ・・・ＷＤＴ部、 １１ｊ・・・演算論理照合部、 １１ｐ・・・ＡＮＤゲート、 １１ｑ・・・異常通知信号生成部、 １１ｒ・・・リセット信号、 １１ｓ・・・リセット時期切り替え回路、 １１ｔ・・・リセット生成部、 １１ｕ・・・異常通知信号、 １１ｗ・・・ＯＲゲート、 ２０ｂ・・・外界認識部、 ２１ｂ・・・第２制御部、 ２２ｂ・・・第３制御部、 ２３・・・第１制御部、 ２４・・・アクチュエータ

Claims (12)

1. 車両の駆動装置に制御指令を生成する制御指令生成部と、
   上記車両の外界情報を認識する外界認識部と、
   上記制御指令生成部の動作を監視する監視部と、この監視部が上記制御指令生成部の異常を検出したときに、上記制御指令生成部をリセットするリセット生成部とを有する監視回路と、
   上記車両の駆動装置に、上記制御指令生成部が生成する制御指令より縮退した制御指令を生成する縮退制御部と、
   を備え、
   上記監視部は、上記制御指令生成部に異常が発生してから第１の異常検出時間で上記制御指令生成部の異常を検出する第１の監視部と、上記制御指令生成部に異常が発生してから、上記第１の異常検出時間より長い第２の異常検出時間で上記制御指令生成部の異常を検出する第２の監視部とを有し、
   上記監視回路は、上記外界認識部が認識した上記車両の外界情報に基いて、上記第１の監視部の異常検出に従って上記リセット生成部により上記制御指令生成部をリセットするか、上記第２の監視部の異常検出に従って上記リセット生成部により上記制御指令生成部をリセットするかを判断し、
   上記第２の異常検出時間は、上記制御指令生成部に異常が発生した後、上記縮退制御部の制御移行が終了する時間以上に設定され、
   上記外界認識部が認識した上記車両の外界情報により、上記縮退制御部が上記縮退制御指令を生成する必要があると判断した場合には、上記監視回路は、上記第２の監視部の異常検出に従って上記リセット生成部により上記制御指令生成部をリセットすることを特徴とする車両制御装置。
2. 請求項１に記載の車両制御装置において、
   上記縮退制御部は、監視回路が有することを特徴とする車両制御装置。
3. 請求項１または２に記載の車両制御装置において、
   上記外界認識部は、上記車両がこの車両の周囲の物体と衝突可能性が高いか低いかを判断し、衝突可能性が低い判断した場合には、上記監視回路は、上記第１の監視部の異常検出結果に基づき上記制御指令生成部をリセット生成部によりリセットし、リセットした後に、上記制御指令生成部の制御指令生成動作を復帰させることを特徴とする車両制御装置。
4. 請求項１または２に記載の車両制御装置において、
   上記外界認識部は、上記車両がこの車両の周囲の物体と衝突可能性が高いか低いかを判断し、衝突可能性が高いと判断した場合には、上記監視回路は、上記第１の監視部の異常検出結果に基づき上記縮退制御部に制御指令生成部異常を通知し、上記第２の監視部の異常検出結果に基づき上記制御指令生成部をリセット生成部によりリセットすることを特徴とする車両制御装置。
5. 請求項１から４のうちのいずれか一項に記載の車両制御装置において、
   異常検出回数により設定される判定基準１と、この判定基準１より異常検出回数が大の判定基準２とが設定され、上記第１の異常検出時間を上記判定基準１に対応させ、上記第２の異常検出時間を上記判定基準２に対応させ、上記第１の異常検出時間と上記第２の異常検出時間とに時間差を持たせていることを特徴とする車両制御装置。
6. 請求項１から４のうちのいずれか一項に記載の車両制御装置において、
   上記第１の監視部と上記第２の監視部とは、異常検出の判断基準が互いに異なることを特徴とする車両制御装置。
7. 請求項６に記載の車両制御装置において、
   上記第２の監視部の異常検出の判断基準は、上記第１の監視部の異常検出の判断基準に比較して重度の異常に対するものであることを特徴とする車両制御装置。
8. 請求項４に記載の車両制御装置において、
   上記外界認識部は、上記車両の走行軌道を予測して生成し、生成した上記車両の走行軌道における衝突可能性を判断することを特著とする車両制御装置。
9. 請求項４に記載の車両制御装置において、
   上記外界認識部は、上記車両から周囲の物体までの距離に応じて衝突可能性を判断することを特徴とする車両制御装置。
10. 請求項４に記載の車両制御装置において、
    上記外界認識部は、上記車両が走行する走行道路の形状に応じて衝突可能性を判断することを特徴とする車両制御装置。
11. 請求項４に記載の車両制御装置において、
    上記外界認識部は、上記車両の外界情報の量に応じて衝突可能性を判断することを特徴とする車両制御装置。
12. 外界認識部と、
    駆動装置を駆動する第１制御部と、
    上記外界認識部から情報が入力され、上記第１制御部へ制御指令を送信する第２制御部と、
    上記第２制御部が異常を検知している場合に、制御移行されて縮退動作を上記第１制御部へ指令する第３制御部と、
    を備え、
    上記第２制御部は、上記外界認識部が外部の物体との衝突可能性が高い外界状況であると判断した場合に、上記第２制御部の異常を検知したときは、上記第３制御部へ制御移行した後に、上記第２制御部のリセットを実行し、
    上記外界認識部が外部の物体との衝突可能性が低い外界状況であると判断した場合に、上記第２制御部の異常を検知したときは、上記第２制御部のリセットを実行した後に、制御指令動作を復帰することを特徴とする電子制御システム。

Images