JP6875240B2 - 移動体の制御システムおよび移動体の制御方法 - Google Patents

Description

本発明は、移動体の制御システムおよび移動体の制御方法に関する。

近年、車両、建設機械、エレベータなどの産業機器では、産業機器を制御する制御システムに不具合が発生した場合の影響が深刻となることがある。そのため、この種の産業機器では、制御システムの一部の機能に不具合が発生した場合、他の機能で代替させることが考えられる。
このように、産業機器の制御システムにおいて、所定の機能を他の機能で代替させることができるようにしたものを、システムの多重化又は冗長化と言う。

多重化又は冗長化された制御システムに不具合が発生した場合、または不具合が回復して正常機能に復帰する場合、正常機能と代替機能との相互の移行を、産業機器の制御を停止させることなく、所定の切り替え期間内にスムーズに行うことが産業機器の安全性と、機能の品質の点から求められている。

特許文献１には、車両の制御システムにおいて、故障を修復しシステムを正常な状態へと復元した際に発生する制御段差を緩和する技術が開示されている。

特開２０１７−３３２３６号公報

ここで、近年、開発が進められている車両の自動運転技術では、将来の自車位置（軌道）の時系列情報（制御出力）が、正常機能と代替機能の２系統から出力される場合がある。また、この種の車両の制御システムでは、代替機能で用いられる将来の運動情報だけでなく、自動運転中に運転者が操作を行った場合（オーバーライドした場合）の操作情報や、より緊急性の高い車両の緊急情報なども出力される場合がある。

特許文献１に開示された技術は、正常機能と代替機能の各々から出力された情報を単純に比較するだけの技術であり、制御システムの一部に不具合が発生した場合、複数の機能から出力された複数の制御出力の中から、制御出力を適切に選択することはできない。

したがって、本発明は、上記の課題に着目してなされたもので、移動体の制御システムの一部に不具合が発生した場合に、複数の機能から出力された複数の制御出力の中から、制御出力を適切に選択できる制御システムを提供することを目的とする。

上記課題を解決するため、移動体の運動を通常制御するための第１制御情報を生成する第１の制御部と、移動体の運動を非通常制御するための第２制御情報を生成する第２の制御部と、第１制御情報と第２制御情報の何れか一方を出力する切替部とを有し、切替部は、第１制御情報と第２制御情報との差分が所定の閾値以下である場合、第２制御情報を出力する構成とした。

本発明によれば、移動体の制御システムの一部に不具合が発生した場合に、複数の機能から出力された複数の制御出力の中から、制御出力を適切に選択できる制御システムを提供することができる。

実施の形態にかかる制御システムの機能を説明するブロック図である。 制御システムを搭載した車両の構成を説明する概略図である。 制御システムの装置構成を説明するブロック図である。 制御装置（ＥＣＵ）の内部構成の一例を説明するブロック図である。 プロセッサで動作するソフトウェアモジュールの構成を説明する図である。 制御システム全体の機能構成を説明する機能ブロック図である。 制御システムのＥＣＵの内部構成への機能配置の一例を説明する図である。 制御システムによる車両制御の一例を説明する図である。 切替部における制御情報切替処理のフローチャートである。 変形例にかかる制御システム全体の機能構成を説明する機能ブロック図である。 制御システムによる車両の制御方法の一例を説明する図である。 第２の実施の形態の制御システム全体の機能構成を説明するブロック図である。 再構成管理部の構成を説明するブロック部である。 再構成実行部の構成を説明するブロック図である。 第２の実施の形態の制御システムにおける、再構成処理のシーケンスを説明する図である。 第２の実施の形態の切替部における、制御情報切替処理のフローチャートである。 第３の実施の形態の制御システム全体の機能構成を説明するブロック図である。 第３の実施の形態の制御システムによる車両制御の一例を説明する図である。 第３の実施の形態の切替部の制御情報切替処理のフローチャートである。 第４の実施の形態の切替部のユーザ制御切り替え判定処理のフローチャートである。

［制御システム］
以下、本発明の実施の形態にかかる制御システム１を説明する。実施の形態では、制御システム１を、車両１００などの移動体の制御に用いられる制御システムに適用した場合を例示して説明する。
図１は、実施の形態にかかる移動体の制御システム１（以下、単に制御システム１という）の機能を説明するブロック図である。

図１に示すように、制御システム１は、ＡＤ１―ＥＣＵ２と、ＶＭＣ―ＥＣＵ３とを有しており、ＡＤ１−ＥＣＵ２とＶＭＣ−ＥＣＵ３とは、各々のネットワークリンクを接続するゲートウェイ（以下、ＧＷ（Ｇａｔｅｗａｙ）９７と言う）を介して接続されている。ここでＡＤは、Ａｕｔｏｍａｔｅｄ Ｄｒｉｖｉｎｇ、又はＡｕｔｏｎｏｍｏｕｓ Ｄｒｉｖｉｎｇを想定して用いている。またＶＭＣは、Ｖｅｈｉｃｌｅ Ｍｏｔｉｏｎ Ｃｏｎｔｏｒｏｌを想定して用いている。またＥＣＵは、Ｅｌｅｃｔｒｏｎｉｃ Ｃｏｎｔｒｏｌ Ｕｎｉｔを想定して用いている。

実施の形態では、ＡＤ１−ＥＣＵ２は、車両１００の全体制御を行う上位の高機能ＥＣＵである。ＡＤ１−ＥＣＵ２には、コーナライダ８１、コーナレーダ８２、フロントカメラ８３、ソナー８４などの車両１００の周囲状況を検知する検知装置８０が接続されている。ＡＤ１−ＥＣＵ２は、この検知装置８０による車両１００の周囲状況の検知結果に基づいて、車両１００の将来の位置情報（軌道）の生成（算出）を行う。実施の形態において、将来とは、現在時刻よりも先の時刻を意味する。

なお、検知装置８０は、上記のほか、コーナライダ８５、フロントレーダ８６、３６０°カメラ８７を有している。これらの検知装置８０は、スイッチ（以下、ＳＷ８８と言う）を介して、ＡＤ１−ＥＣＵ２とＶＭＣ−ＥＣＵ３（後述するＣＰＵ３Ｂ）に選択可能に接続されており、スイッチ８８の切り換えにより、ＡＤ１−ＥＣＵ２とＶＭＣ−ＥＣＵ３の何れかまたは両方に接続される。

自動運転システムを搭載した車両１００において、ＡＤ１−ＥＣＵ２は、前述した検知装置８０で検知した周囲状況と、車両１００の将来の位置情報（軌道）とに基づいて、車両１００を制御するための制御出力を生成する。ＡＤ１−ＥＣＵ２は、生成した制御出力をＶＭＣ−ＥＣＵ３に送信する。

ＶＭＣ−ＥＣＵ３は、車両１００の運動に関与する駆動装置（例えば、エンジン、アクセル、ブレーキ、ステアリングなど）のアクチュエータを直接制御する下位の単機能ＥＣＵである。

ＶＭＣ−ＥＣＵ３は、ブレーキ９１、ステアリング９２、他のＥＣＵ９３、ＥＭＣ９４、ＡＴＣＵ９５などの車両１００の駆動装置９０に、車載ネットワーク（Ｃｏｎｔｒｏｌｌｅｒ Ａｒｅａ Ｎｅｔｗｏｒｋ：以下、ＣＡＮ９９と言う）を介して接続されている。ＶＭＣ−ＥＣＵ３は、ＡＤ１−ＥＣＵ２からの制御出力に基づいてこれらの駆動装置９０を制御する。

なお、ＣＡＮ９９には、ＣＡＮＦＤ（ＣＡＮ Ｗｉｔｈ Ｆｌｅｘｉｂｌｅ Ｄａｔａ−ｒａｔｅ、Ｅｔｈｅｒｎｅｔ（登録商標）等の通信回線が含まれる。

ＶＭＣ−ＥＣＵ３は、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）３Ａと、このＣＰＵ３Ａと並列に設けられたＣＰＵ３Ｂとの２個ＣＰＵを有するデュアルコアプロセッサである。実施の形態では、ＶＭＣ−ＥＣＵ３は、ＣＰＵ３ＡとＣＰＵ３Ｂとを並列に有するデュアルコアプロセッサを例示して説明するが、これに限定されるものではない。例えば、ＶＭＣ−ＥＣＵ３は、４個のＣＰＵを並列に有するクアッドコアプロセッサ、６個のＣＰＵを並列に有するヘキサコアプロセッサ、それ以上のＣＰＵを並列に有するマルチコアプロセッサであってもよい。

また、ＶＭＣ−ＥＣＵ３には、メモリ３３が設けられている。メモリ３３には、ＶＭＣ−ＥＣＵ３の制御に用いられる制御プログラム（図示せず）や、制御用の各種パラメータ（図示せず）が記憶されている。

ＣＰＵ３Ａは、車両１００の運動に関与する駆動装置９０（例えば、ブレーキ９１、ステアリング９２、アクセル（図示せず））などの制御を行う。ＣＰＵ３Ａは、ＧＷ９７を介してＡＤ１−ＥＣＵ２に接続されている。ＣＰＵ３Ａは、ＣＰＵ３Ｂと接続されており、ＣＰＵ３Ｂとの間で、ＣＰＵ３Ａ又はＣＰＵ３Ｂで処理された各種情報の通信を相互に行う。

ＣＰＵ３Ｂは、コーナライダ８５、フロントレーダ８６、３６０°カメラ８７などの検知装置８０に接続されており、これら検知装置８０から周囲状況を取得する。ＣＰＵ３Ｂは、検知装置８０から取得した周囲状況をＣＰＵ３Ａに送信する。

なお、ＣＰＵ３ＡとＣＰＵ３Ｂとのうち、少なくとも何れか一方においては、当該ＣＰＵ３Ａ又はＣＰＵ３Ｂの機能を縮退させるための縮退モジュール９６がインストールされ実行可能となる演算装置やメモリ等のリソースが準備されている。

ここで縮退とは、ＣＰＵ３Ａ又はＣＰＵ３Ｂにおいて、駆動装置９０を制御するための基本的な機能（主機能）よりも性能を落としたり、主機能を制限して限定的ながら制御を続行すること、又はＣＰＵ３Ａ又はＣＰＵ３Ｂの所定の機能が使用できない場合、代替となる他の機能に切り替えること、又はその機能や構成を意味する。
実施の形態では、この主機能による車両１００の制御を通常制御、縮退機能による車両１００の制御を非通常制御と言うこともある。

これにより、ＶＭＣ−ＥＣＵ３は、ＣＰＵ３Ａ又はＣＰＵ３Ｂの何れか一方で駆動装置９０を制御する場合、他方のＣＰＵ３Ａ又はＣＰＵ３Ｂの機能を、縮退モジュール９６に基づいて縮退させることができる。よって、ＶＭＣ−ＥＣＵ３は、ＣＰＵ３Ａ又はＣＰＵ３Ｂの何れか一方は、ブレーキ９１、ステアリング９２などの駆動装置９０を縮退機能により制御することができる。

ＧＷ９７は、ネットワークリンク又は専用線を介してボディ９７１、ＨＭＩ９７２、接続装置９７３、情報提供装置９７４に接続されている。

前述したＶＭＣ−ＥＣＵ３のＣＰＵ３Ａは、本発明の第１の制御部を構成し、ＣＰＵ３Ｂは、本発明の第２の制御部を構成する。

次に、前述した制御システム１を搭載した車両１００の構成を説明する。
図２は、制御システム１を搭載した車両１００の構成を説明する概略図である。

図２に示すように、制御システム１は、車両１００の内部に配置されている。車両１００の内部には、ＡＤ１−ＥＣＵ２やＶＭＣ−ＥＣＵ３などの車両制御装置４と、通信装置５と、車両制御装置４と異なる又は同一のプロトコルを用いたネットワークにより構成される他の車両制御装置（ＥＣＵ：図１のＥＣＵ９３に相当）６と、外部出力装置７と、入力装置８と、報知装置９と、検知装置８０と、駆動装置９０と、が接続されている。

通信装置５は、車両１００内部に設けられた制御システム１と、車両１００の外部機器（図示せず）との間で無線通信を可能とする装置である。通信装置５は、例えば、携帯電話の通信、無線ＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）、ＷＡＮ（Ｗｉｄｅ Ａｒｅａ Ｎｅｔｗｏｒｋ）、Ｃ２Ｘ（Ｃａｒ ｔｏ Ｘ：車両と車両との通信又は車両と路上のインフラ機器との通信）等のプロトコルを使用した通信、又はＧＰＳ（Ｇｌｏｂａｌ Ｐｏｓｉｔｉｏｎｉｎｇ Ｓｙｓｔｅｍ）を使用した通信を可能とする装置である。

通信装置５は、外部機器（図示せず）と無線通信を行い、車両１００の周囲状況（例えば、路上インフラ設備に関する情報、他車の位置情報や速度情報、地図情報）を取得し、車両制御装置４（前述したＡＤ１−ＥＣＵ２）に周囲状況を送信する。この通信装置５による車両制御装置４への周囲状況の送信は、通信装置５に設けられた車両の自己診断機能用の診断端子（Ｏｎ−ｂｏａｒｄ ｄｉａｇｎｏｓｔｉｃｓ：ＯＢＤ）、外部記憶媒体（例えば、ＵＳＢ（Ｕｎｉｖｅｒｓａｌ Ｓｅｒｉａｌ Ｂｕｓ）メモリ、ＳＤメモリカード）端子を介して行われる。

外部出力装置７は、車両１００の運動状態や周囲状況を運転者などに通知するための装置である。例えば、外部出力装置７は、取得した情報を映像や音などで出力する液晶ディスプレイ、警告灯、スピーカである。

入力装置８は、運転者が制御システム１に対して、車両１００の運転に関する操作指示を行うための装置である。例えば、入力装置８は、ハンドル、フットペダル、各種操作ボタン、操作レバー、タッチパネル等である。

報知装置９は、制御システム１が、外界に対して車両１００の運動状態を報知するための装置である。例えば、報知装置９は、ライト（ヘッドライト等）、ランプ（ブレーキランプ、テールランプ、フォグランプ、スモールランプ等の警告灯）、ＬＥＤ、スピーカ等である。

検知装置８０は、車両１００に設けられたセンサなどで検出された周囲状況を取得する装置である。例えば、検知装置８０は、前述したように、車載カメラ、レーダ、ライダ（ＬＩＤＡＲ）、ソナー（超音波センサ）などの外界センサ、及び制御システム１の状態（運動状態、位置情報、加速度、車輪の回転速度等）を認識する力学センサ等である。

駆動装置９０は、制御システム１の制御に従い、車両１００の運動を制御する機械及び電気装置の駆動を行うアクチュエータ等の駆動装置である。例えば、駆動装置９０は、前述したように、エンジン、トランスミッション、ホイール、ブレーキ９１、ステアリング９２、アクセル等である。

次に、制御システム１の装置構成を説明する。
図３は、制御システム１の装置構成を説明するブロック図である。

図３に示すように、制御システム１では、車載ネットワークであるＣＡＮ９９に、各々の検知装置８０や駆動装置９０などを制御する複数のＶＭＣ−ＥＣＵ３（以下、単にＥＣＵ３と表記する）が接続されている。

各々のＥＣＵ３には、通信装置５や他の車両制御システム６や、各々の検知装置８０、ブレーキ９１等の駆動装置９０（アクチュエータ）等が接続されている。

各々のＥＣＵ３は、ＣＡＮ９９以外の他の車載ネットワーク（専用線含む）にも接続され、この他の車載ネットワークを介して駆動装置９０等との間で情報の送受信を行う。

なお、前述したＣＡＮ９９は、車両１００の内部に配設された２つのバスに複数のＥＣＵ３が接続されているバス型の場合を例示して説明したが、ＣＡＮ９９のネットワークトポロジは、これに限定されるものではない。例えば、複数のＥＣＵ３が放射状に配置されるスター型や、リング状に配設されたバスに複数のＥＣＵ３が接続されたリンク型、各々の型が混在し、複数のネットワークにより構成された混在型等であってもよい。

ＥＣＵ３は、ＣＡＮ９９等の車載ネットワークを介して取得した検知装置８０等の情報に基づいて、駆動装置９０へ制御出力を送信し、内部状態の変更などの制御処理を行う。

［制御装置］
次に、ＥＣＵ３（制御装置）の内部構成の一例を説明する。
図４は、ＥＣＵ３の内部構成の一例を説明するブロック図である。

図４に示すように、ＥＣＵ３は、プロセッサ３１と、Ｉ／Ｏ（Ｉｎｐｕｔ／Ｏｕｔｐｕｔ）３２と、タイマ３３と、ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）３４と、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）３５と、を有し、これらは、ＥＣＵ３内部での通信に用いられる内部バス３６で接続されている。

プロセッサ３１は、キャッシュレジスタなどの記憶素子を有し、制御を実行するＣＰＵなどの装置である。プロセッサ３１は、前述したＣＰＵ３Ａ、ＣＰＵ３Ｂを構成する。

Ｉ／Ｏ３２は、ＥＣＵ３に接続された検知装置８０又は駆動装置９０との間で、ＣＡＮ９９や専用線（図示せず）を介して情報の送受信を行う装置である。

タイマ３３は、プロセッサ３１等が有するクロック機能（図示せず）を使用し、時間及び時刻の管理を行う装置である。

ＲＯＭ３４は、ＥＣＵ３の制御を行うための制御プログラムや各種パラメータを記憶する不揮発性の記憶装置である。

ＲＡＭ３５は、ＥＣＵ３の機能を実行するための各種プログラムや、プロセッサ等で処理された情報を一時的に記憶する揮発性の記憶装置である。

次に、前述したプロセッサ３１で動作するソフトウェアモジュールの構成を説明する。
図５は、プロセッサ３１で動作するソフトウェアモジュールの構成を説明する図である。

図５に示すように、プロセッサ３１は、制御部３１１と、通信管理部３１２と、時間管理部３１３と、データテーブル３１４と、バッファ３１５とを有している。

制御部３１１は、プロセッサ３１の全体的な制御を行う。具体的には、制御部３１１は、所定の制御プログラムを実行し、その制御プログラムに基づいて処理を行う。この制御部３１１の動作により、制御システム１の各機能の実行が行われる。

通信管理部３１２は、内部バス３６を介して、Ｉ／Ｏ３２に対して、情報の送受信の指示を行う。

時間管理部３１３は、タイマ３３を管理し、時間や時刻に関する情報を取得すると共に、時間や時刻のカウントなどの制御を行う。

データテーブル３１４は、車両１００の制御に必要な各種情報を記憶する。

バッファ３１５は、制御部３１１や時間管理部３１３で演算された情報を、一時的に記憶する。

前述した制御部３１１、通信管理部３１２、時間管理部３１３は、動作に必要な情報を、ＲＯＭ３４、ＲＡＭ３５から読み込み、又はこれらＲＯＭ３４やＲＡＭ３５に書き込む動作を行う。

［制御システムの機能構成］
次に、制御システム１全体の機能構成を説明する。
図６は、制御システム１全体の機能構成を説明する機能ブロック図である。

図６に示すように、制御システム１は、統合認識部１１と、自動運転制御部１２と、ユーザ入力部１３と、出力管理部１４と、通知管理部１５と、異常検出部１６と、切替部１７と、運動制御部１８と、安全制御部１９とを有している。

これら、統合認識部１１と、自動運転制御部１２と、ユーザ入力部１３と、出力管理部１４と、通知管理部１５と、異常検出部１６と、切替部１７と、運動制御部１８と、安全制御部１９は、前述した何れかのＥＣＵ３に配置されている。

統合認識部１１は、複数の検知装置８０や通信装置５に接続されており、これらの装置から周囲状況Ｌ１を取得する。統合認識部１１は、取得した周囲状況Ｌ１を統合して外界認識マップＬ２を生成する。統合認識部１１は、自動運転制御部１２と接続されており、生成した外界認識マップＬ２を自動運転制御部１２に送信する。

自動運転制御部１２は、統合認識部１１で生成された外界認識マップＬ２と、ユーザ入力部１３を介して入力されたユーザ入力情報Ｌ３とに基づいて、自動運転制御情報Ｌ４（軌道等）を生成する。自動運転制御部１２は、生成した自動運転制御情報Ｌ４を、出力管理部１４、通知管理部１５、異常検出部１６、切替部１７に出力する。

ユーザ入力部１３は、入力装置８からのユーザ入力に基づいて、ユーザ入力情報Ｌ３を生成する。

出力管理部１４は、外部出力装置７に接続されている。出力管理部１４は、自動運転制御部１２から受信した自動運転制御情報Ｌ４と、異常検出部１６から受信した異常検出情報Ｌ５とに基づいて生成した出力情報Ｌ６を、外部出力装置７に出力する。

通知管理部１５は、報知装置９及び通信装置５に接続されている。通知管理部１５は、自動運転制御部１２から受信した自動運転制御情報Ｌ４と、異常検出部１６から受信した異常検出情報Ｌ５とに基づいて生成した報知情報Ｌ７を、報知装置９に出力する。

異常検出部１６は、自動運転制御部１２から取得した自動運転制御情報Ｌ４や、その他の装置から取得した制御情報（図示せず）に基づいて、制御システム１の異常を検出する。異常検出部１６は、出力管理部１４、通知管理部１５、切替部１７、安全制御部１９に接続されており、これらの装置に異常検出情報Ｌ５を送信する。

切替部１７は、異常検出部１６、自動運転制御部１２、ユーザ入力部１３、安全制御部１９、運動制御部１８に接続されている。切替部１７は、異常検出部１６から取得した異常検出情報Ｌ５に基づいて、運動制御部１８に対して出力する制御出力Ｌ１０を、自動運転制御部１２、ユーザ入力部１３、安全制御部１９の何れかから取得した情報に切り替える。

ここで、制御出力Ｌ１０は、例えば、車両１００の加速度やヨーレート等の運動制御パラメータの目標値、各駆動装置９０への制御指令値、及びそれらの時系列での連続値である。

運動制御部１８は、検知装置８０及び駆動装置９０に接続されており、切替部１７から取得した制御出力Ｌ１０と、検知装置８０から取得した車両１００の周囲状況Ｌ１と、駆動装置９０から取得した当該駆動装置９０の運転状況（応答）などに基づいて生成した駆動制御情報Ｌ９を、複数の駆動装置９０に対して送信する。

安全制御部１９は、異常検出部１６、切替部１７、検知装置８０と接続されている。安全制御部１９は、検知装置８０から取得した周囲状況Ｌ１と、異常検出部１６から取得した異常検出情報Ｌ５とに基づいて、車両１００（制御システム１）の故障発生時等に安全運転制御情報Ｌ８を切替部１７に出力する。

実施の形態では、安全制御部１９は、縮退モジュール９６（図１参照）を有し、縮退モジュール９６の縮退機能により車両１００の運動機能を縮退させることで、車両１００を最低限の機能で運動させることができる。
よって、安全制御部１９で生成された安全運転制御情報Ｌ８は、運動制御部１８に縮退機能を発揮させるための制御情報である。

ここで、自動運転制御部１２による車両１００の運動制御を通常制御、安全制御部１９による車両１００の運動制御を非通常制御と言うこともある。

前述したように、切替部１７から見て、自動運転制御部１２（自動運転制御部１２が配置されたＥＣＵ３）と、安全制御部１９（安全制御部１９が配置されｔあＥＣＵ３）とは、並列に設けられている（図６参照）。

このため、制御システム１に何らかの故障が発生した場合、例えば、自動運転制御部１２による通常制御から、安全制御部１９による非通常制御（安全制御）に切り替える際、安全制御部１９による非通常制御の準備が完了するまで、自動運転制御部１２から出力された自動運転制御情報により継続して制御し、安全制御部１９による非通常制御の準備が完了した段階で、安全制御部１９による制御に移行することで、制御の切り替えをスムーズに行うことができる。

また、自動運転制御部１２と安全制御部１９とを並列に設けているので、それぞれの制御部で、車両１００を適切に運動させるための機能を分担することで、所定の切り替え期間（例えば、５００ｍｓｅｃ）以内に切り替えることができ、故障時の切り換えを迅速、かつ安全に行うことができる。

制御システム１には、通信装置５、検知装置８０、駆動装置９０、外部出力装置７、入力装置８又は報知装置９の一部又は全部が含まれる場合がある。また、運動制御部１８、出力管理部１４、通知管理部１５を含むＶＭＣ−ＥＣＵ３は、制御システム１の一部の機能を有する場合を例示して説明したが、全ての機能を有するものとしてもよい。

前述したように、制御システム１は、複数の機能から構成されており、図４に示すＥＣＵ３の内部構成への機能配置は、複数のパターンが考えられる。

図７に示すように、実施の形態では、複数のＥＣＵ３に、制御システム１の各機能がそれぞれ分けて設けられている。実施の形態では、ＥＣＵ３に設けられている場合の一例として、統合認識部１１と自動運転制御部１２、異常検出部１６と安全制御部１９、切替部１７と運動制御部１８、ユーザ入力部１３と出力管理部１４、通知管理部１５、がそれぞれ並列の設けられた別々のＥＣＵ３に配置されている。

なお、前述した制御システム１の機能配置の例は、これに限定されず、所定の機能を別のＥＣＵに配置してもよい。

［制御システムによる車両制御］
次に、制御システム１による車両１００の制御の一例を説明する。
図８は、制御システム１による車両１００の制御の一例を説明する図である。

図８に示すように、以下の説明では、自車（車両１００）の制御システム１（自動運転制御部１２）は、片側２車線の道路において、自車（車両１００）が左車線を走行しており、前方に先行車１０１がいるため右車線から追い越すように自車の軌道８０１（自動運転制御情報Ｌ４）を生成した場合の自車の運動制御を例示して説明する。

自動運転制御部１２の主機能により生成されたこの軌道８０１は、自車が安全に走行可能（例えば、他車両や障害物に衝突する可能性が低い状態）である安全性制約、自車が実現可能な加速度、減速度、ヨーレート等の運動制約を満たしているものとする。

図８に示すように、自動運転制御部１２が生成した軌道８０１において、時刻ｔ０（現在の時刻）における自車の位置が（Ｘ０、Ｙ０）、ｔ１における自車の位置が（Ｘ１、Ｙ１）、ｔ２における自車の位置が（Ｘ２、Ｙ２）であるとする。また、軌道８０１では、以降も位置情報（例えば、ｔ３（ｘ３、Ｙ３）〜ｔｎ（Ｘｎ、Ｙｎ））が同様に生成されているものとする。

自動運転制御部１２では、軌道８０１に沿って自車が移動するように、現在の自車の運動状態（現在の速度、現在の加速度、現在のヨーレート）等を取得するすると共に、取得した運動状態に基づいて、自車の目標速度、目標加速度、目標ヨーレート等を算出する。

自動運転制御部１２では、目標速度等を達成するために、エンジントルクの出力を増加させる、ブレーキを制御して制動力を増加させる、ステアリングを転舵させる、また、各車輪が不均等になるように車輪ごとに制動、加速を行う。
なお、自動運転制御部１２が生成する情報が、自車の軌道８０１ではなく、駆動装置９０の制御値である場合、この制御値を用いて駆動装置９０の制御を行うことで、目標の運動制御を行うことができる。

［異常検出部における異常検出方法］
次に、異常検出部１６における異常検出方法を説明する。
実施の形態では、「異常」とは、制御システム１のハードウェアの故障やソフトウェアの不具合、想定外の入力等を原因として発生する通常時想定している状態と異なる状態を言う。

制御システム１の各構装置は、車載ネットワーク（ＣＡＮ９９）又は専用線等の通信を介して通信を行っている。よって、制御システム１では、通常の異常では、通信が行えない（通信処理がエラー応答、信号線の電位が異常）、通信の信号値の異常等が発生する。これらの通信異常は、電気回路での異常検出（電位検出等）、定期的な生存確認（ハートビートの送受信によるエラー検出）、巡回冗長検査（Ｃｙｃｌｉｃ Ｒｅｄｕｎｄａｎｃｙ Ｃｈｅｃｋ：ＣＲＣ）等の異常検出符号によるエラー検出を行うことにより検出可能である。

また、ＣＰＵなどの演算装置の故障については、同じ演算を行った結果の検算（演算結果の比較）により異常検出可能であり、メモリの故障については、ＲＯＭやＲＡＭにアクセスした場合の誤り検出等により検出可能である。

ソフトウェアの不具合については、同じ演算を行った結果の検算の比較以外にも、出力結果が所定の範囲以外（閾値以上又は閾値以下）であることにより検出することが可能である。

これらの異常については、永続的に発生する永続故障と、過渡的に発生する過渡故障とがある。例えば、出力値が不安定に変位しながら発生する場合には、過渡故障である可能性が高く、出力値が０（ゼロ）や１の値に固定されている場合には、永続故障の可能性が高いと判定できる。

制御システム１の異常検出部１６は、これらの異常情報を受信することにより制御システム１の異常を検出する。また、他の装置が異常を検出し、他の装置からの異常情報を異常検出部１６が受信することにより異常の検知を行ってもよい。

例えば、自動運転制御部１２は、検知装置８０、通信装置５、統合認識部１１、及びそれらの間の通信の何れかの部分で異常が発生していることを自動運転制御情報Ｌ４に付加して送信し、異常検出部１６は、この異常情報を検出することで、制御システム１の異常を検出する。

切替部１７は、異常検出部１６による異常検出結果（異常検出情報Ｌ５の受信）に基づいて、後述する制御情報切替処理を実行する。

［切替部における制御情報切替処理］
次に、切替部１７における制御情報切替処理を説明する。
図９は、切替部１７における制御情報切替処理のフローチャートである。
異常検出部１６により異常の検出がされた場合、切替部１７は、以下の制御信号切替処理を実行する。

初めに、ステップＳ１０１において、切替部１７は、自動運転制御部１２から取得した自動運転制御情報Ｌ４（第１制御の出力）と、安全制御部１９から取得した安全運転制御情報Ｌ８（第２制御の出力）とを、時系列で比較する。

ステップＳ１０２において、切替部１７は、自動運転制御情報Ｌ４（第１制御の出力）と安全運転制御情報Ｌ８（第２制御の出力）とを比較した結果、差分ｄが所定の規定値（所定の閾値ｄｔｈ）以下でないと判定した場合（ステップＳ１０２：Ｎｏ）、ステップＳ１０３に進み、自動運転制御情報Ｌ４（第１制御の出力）を運動制御部１８に出力する。

よって、自動運転制御情報Ｌ４と安全運転制御情報Ｌ８との差分ｄが所定の閾値ｄｔｈよりも大きい場合（ｄ＞ｄｔｈ）、切替部１７は、車両１００の自動運転制御情報Ｌ４に基づく制御から安全運転制御情報Ｌ８に基づく制御に切り替えると、制御の切り替え時の衝撃（制御段差）が大きくなる結果、運転者の違和感が大きくなると判断し、そのまま自動運転制御情報Ｌ４に基づく制御を行うことで、制御情報の切り替えによる運転者の違和感を少なくし、車両１００を安心、安全に運転することができる。

一方、切替部１７は、自動運転制御情報Ｌ４（第１制御の出力）と安全運転制御情報Ｌ８（第２制御の出力）とを比較した結果、差分ｄが所定の規定値（所定の閾値ｄｔｈ）以下であると判定した場合（ステップＳ１０２：Ｙｅｓ）、ステップＳ１０４に進み、安全運転制御情報Ｌ８（第２制御の出力）を運動制御部１８に出力する。

よって、自動運転制御情報Ｌ４と安全運転制御情報Ｌ８との差分ｄが所定の閾値ｄｔｈ以下の場合（ｄ≦ｄｔｈ）、切替部１７は、車両１００の自動運転制御情報Ｌ４に基づく制御から安全運転制御情報Ｌ８に基づく制御に切り替えても、運転者に対する切り替え時の違和感が少ないと判断し、安全運転制御情報Ｌ８に基づく制御に切り替えることで、縮退機能による運動制御により車両１００の安全性を確保しつつ、運転者に違和感を与えない車両１００の運動制御を行うことができる。

ここで、自動運転制御部１２では、異常検出部１６による異常検出後も、自動運転制御情報Ｌ４による制御から安全運転制御情報Ｌ８による制御への切り替えが完了するまでの一定時間は、自動運転制御部１２で生成した自動運転制御情報Ｌ４による制御を継続する必要があるため、異常が発生していないと検証済みの自動運転制御情報Ｌ４を所定時間分保持し、一定時間出力を行う。

前述した実施の形態では、自動運転制御情報Ｌ４を、自動運転制御部１２が保持する場合を例示して説明したが、これに限定されるものではなく、自動運転制御情報Ｌ４を、自動運転制御部１２以外の装置が保持する構成としてもよい。
以下、自動運転制御情報Ｌ４を、自動運転制御部１２以外の制御情報保持部４０が保持するようにした制御システム１Ａを説明する。

［制御情報保持部］
図１０は、変形例にかかる制御システム１Ａ全体の機能構成を説明する機能ブロック図である。

制御システム１Ａの制御情報保持部４０は、切替部１７に接続されている。制御情報保持部４０は、切替部１７を介して、自動運転制御部１２で生成した自動運転制御情報Ｌ４を所定時間分取得すると共に、その所定時間分の自動運転制御情報Ｌ４を保持する。

具体的には、制御情報保持部４０は、制御システム１Ａ等に何らかの異常が発生した場合、車両１００の安全な走行を最低限保証可能であると検証された自動運転制御情報Ｌ４を、所定時間分保持しておき、異常が発生した時に、保持していた自動運転制御情報Ｌ４（以下、保持制御情報Ｌ１１と言う）を切替部１７に出力する。

これにより、切替部１７は、異常検出部１６により制御システム１Ａに異常が発生したことが検出された場合、制御情報保持部４０に保持された保持制御情報Ｌ１１を運動制御部１８に出力することで、運動制御部１８では、この保持制御情報Ｌ１１に基づく車両１００（駆動装置９０）の制御を行うことができる。よって、車両１００は、安全走行が最低限保証された保持制御情報Ｌ１１に基づく運動制御が行われるので、異常発生時でも安全に走行することができる。

ここで、制御情報保持部４０で保持する保持制御情報Ｌ１１は、自動運転制御部１２で生成された一定時刻先（将来）までの自動運転制御情報であり、例えば、現在の車線に沿う走行、車線に沿って走行しつつ緩やかに減速、路肩に退避して停止等の制御を車両１００に行わせるための情報などである。

前述したように、自動運転制御部１２以外の制御情報保持部４０が、保持制御情報Ｌ１１（自動運転制御情報Ｌ４）を保持する場合、図９で説明した制御情報切替処理において、制御情報保持部４０から出力された保持制御情報Ｌ１１を第１制御の出力、安全制御部１９から出力された安全運転制御情報Ｌ８を第２制御の出力として処理を行う。

このように構成すると、自動運転制御部１２及びその出力経路に何らかの障害が発生した場合でも、車両１００は、制御情報保持部４０から出力された保持制御情報Ｌ１１に基づく主機能により、所定の軌道８０１に沿った自動走行が可能となり、また、安全制御部１９から出力された安全運転制御情報Ｌ８に基づく縮退機能により、最低限の運動により所定の軌道８０１に沿った自動走行が可能となる。

なお、制御情報保持部４０は、安全制御部１９で生成された安全運転制御情報Ｌ８を保持してもよく、保持制御情報Ｌ１１と、安全運転制御情報Ｌ８のうち、何れか一方又は両方を保持するようにしてもよい。
このように構成すると、安全制御部１９を配置したＥＣＵ３で何らかの不具合が発生した場合、制御情報保持部４０で保持していた安全運転制御情報Ｌ８を用いて、車両１００の運動を安全に制御することができる。

［制御出力の比較方法］
次に、制御情報保持部４０を有する制御システム１Ａによる車両１００の制御方法の一例を説明する。
図１１は、制御システム１Ａによる車両１００の制御方法の一例を説明する図である。

図１１において、第１制御の出力（例えば、保持制御情報Ｌ１１）に基づく主機能の軌道が軌道１００１であり、第２制御の出力（例えば、安全運転制御情報Ｌ８）に基づく縮退機能の軌道が軌道１００２である。主機能に基づく軌道１００１と縮退機能に基づく軌道１００２の何れも、時系列の一定時刻先（将来）までの自車（車両１００）の位置情報を有している。

実施の形態では、時刻ｔ０は現在の時刻を表しており、現在の時刻ｔ０から一定時刻先までの時刻ｔ１、ｔ２における保持制御情報Ｌ１１に基づく位置と、安全運転制御情報Ｌ８に基づく位置は、それぞれ（ｘａ０、ｙａ０）と（ｘｂ０、ｙｂ０）、（ｘａ１、ｙａ１）と（ｘｂ１、ｙｂ１）、（ｘａ２、ｙａ２）と（ｘｂ２、ｙｂ２）となる。

現在の時刻ｔ０において、（ｘａ０、ｙａ０）と（ｘｂ０、ｙｂ０）とは等しくなる。そして、時刻ｔ１の時に、自車が、位置（ｘａ１、ｙａ１）、（ｘｂ１、ｙｂ１）にそれぞれ移動したとすると、この場合の位置の差分ｄは、以下の数式１で表すことができる。

例えば、切替部１７では、数式１による算出結果から、時刻ｔ１における保持制御情報Ｌ１１に基づく位置（ｘａ１、ｙａ１）と、安全運転制御情報Ｌ８に基づく位置（ｘｂ１、ｙｂ１）との差分が、一定の閾値ｄｔｈ（例えば、０．５ｍ）以上になると判断した場合、保持制御情報Ｌ１１から安全運転制御情報Ｌ８への切り替えに伴う自車の運動制御が大きくなると判断し、安全運転制御情報Ｌ８（第２制御の出力）による制御に切り替えず、保持制御情報Ｌ１１（第１制御の出力）による制御を行う。

つまり、差分ｄが所定の閾値ｄｔｈよりも大きい場合、制御システム１に何らかの異常があった場合でも、車両１００は、安全運転制御情報Ｌ８（縮退機能）に基づく軌道１００２には進まず、保持制御情報Ｌ１１（主機能）に基づく軌道１００１を走行することとなる。

そして、所定の周期で、差分ｄと所定の閾値ｄｔｈとの比較を行い、差分ｄが閾値ｄｔｈ以下となった時点で、安全運転制御情報Ｌ８（縮退機能）に基づく軌道１００２に進むこととなる。実施の形態では、車両１００が、主機能に基づく軌道１００１に進み、右車線に入った後、差分ｄが閾値ｄｔｈ以下になった時点で、縮退機能に基づく軌道１００２で走行する（例えば、右車線に沿って走行しつつ緩やかに減速するなど）。

前述した実施の形態では、時刻ｔ１における絶対距離での比較を行ったが、例えばｘ軸（車両１００の進行方向）またはｙ軸方向（車両１００の進行方向と直交方向）の位置関係のみで判断してもよい。例えば車両１００のｘ軸方向の位置のみで判定することで、車両１００の車線上の位置が異なる場合にのみ出力値が乖離すると判定することができる。また、車両１００のｙ軸方向の位置のみで判定することにより、加減速度が大きく異なる場合にのみ制御出力値が乖離すると判定することができる。

また、前述した実施の形態では、制御システム１（１Ａ）では、切替部１７が、車両１００の位置情報による差分ｄにより制御出力の切り替え判定を行う場合を例示して説明したが、これに限定されるものではなく、例えば、切替部１７は、速度情報、加速度情報に基づいて判定してもよい。それぞれの情報を比較することで、例えば、速度情報が大きく乖離する場合にのみ第１制御の出力（自動運転制御情報Ｌ４又は保持制御情報Ｌ１１）を使用することで、大きな速度変化（縦方向、横方向、または回転方向）が発生することを抑制することができる。同様に、加速度情報が大きく乖離する場合にのみ第１制御の出力（自動運転制御情報Ｌ４又は保持制御情報Ｌ１１）を使用することで、大きな加速度変化（縦方向、横方向、または絶対値）が発生することを抑制することができる。

前述した制御システム１（１Ａ）において、車両１００の速度や加速度に基づいて比較判定する場合、それぞれのＸ成分、Ｙ成分、または角速度方向の符号が異なる場合を閾値としても良い。速度や加速度のＸ成分、Ｙ成分、または角速度方向の符号が異なる場合、一般的に車両１００の運動制御が大きく異なることを意味し、これを判定として用いることは有効であり、また判定が容易となる。

制御システム１（１Ａ）において、前述した以外の閾値の設定方法としては、例えば、車両１００の速度変化がそれぞれで大きく、車両１００の運動制御が不安定（例えば、スピン、スリップ）となることが想定される運動の限界値を閾値として設定してもよい。これにより、車両１００の運動制御の安全性を確実に確保することができる。

また、切替部１７の出力方式として、ここではスイッチの様に切り替える方式について説明したが、例えば、時刻情報に合わせて徐々に出力を切り替えてもよい。例えば、第１制御の出力（自動運転制御情報Ｌ４又は保持制御情報Ｌ１１）から第２制御の出力（安全運転制御情報Ｌ８）へ切り替える際に、切り替えが終了する途中では中間値（平均値等）を出力し、その後、第２制御の出力へ切り替える。このようにすることにより、制御出力の切替時の大きな変動を抑制させることが可能となる。

また、それぞれの時刻情報は、厳密に一致している必要は無く、例えば、時刻ｔ０とｔ１の中間の値は平均を取る（例えば、（ｘａ０＋ｘａ１）／２）など補正して比較してもよい。これにより生成した時刻情報にずれや軌道情報に不足があった場合でも、適切に判定を行うことができる。

また、第１制御の出力が、例えば、保持制御情報Ｌ１１である場合、時系列で保持制御情報Ｌ１１と第２制御の出力（安全運転制御情報Ｌ８）との比較を行った結果、車両１００の位置や速度などの差分が、保持している保持制御情報Ｌ１１の期間内で所定値以下とならないと判断された場合には、保持制御情報Ｌ１１の範囲内で、差分が最小値となった時点で制御出力の切り替え（安全運転制御情報Ｌ８への切り替え）を行う。これにより、制御システム１Ａでは、保持制御情報Ｌ１１の範囲内で最も運動制御への影響が小さくなる時点での制御出力の切り替えが可能となり、運転者の違和感を極力少なくすることができる。

また、前述した異常検出部１６による異常検出の結果、異常検出部１６が、当該異常が過渡的なものであると判定した場合、過渡的な異常から復帰すると予想される時間（例えば、部分的な再起動の所用時間）以内であれば、前述した制御出力の判定方法による判定の結果、差分が所定値以下であった場合でも、切り替えを実施せず第１制御の出力（自動運転制御情報Ｌ４又は保持制御情報Ｌ１１）に基づいて処理を継続してもよい。これにより、過渡的な異常の場合の不要な切り替えを防ぐことができる。

また、さらに過渡的な異常等により、第２制御の出力（安全運転制御情報Ｌ８）に切り替えた後に、元の第１制御の出力（自動運転制御情報Ｌ４又は保持制御情報Ｌ１１）へ再度切り替える場合、前述と同様の制御出力の判定方法による判定を行って元の制御出力に切り替えることにより、同様に過渡的な第２制御の出力（安全運転制御情報Ｌ８）から第１制御の出力（自動運転制御情報Ｌ４又は保持制御情報Ｌ１１）に切り替える際の運動制御の安定性を確保することができる。

また、前述した実施の形態では、制御システム１（１Ａ）において、安全制御部１９が１つの場合を例示して説明したが、多重系などで安全制御部１９を並列に複数有していてもよい。例えば、制御システムでは、安全制御部１９Ａと安全制御部１９Ｂの２個の安全制御部を有し、主機能に障害が発生した場合は、優先度に従い安全制御部１９Ａを使用し、安全制御部１９Ａにも異常が発生した場合には安全制御部１９Ｂにさらに切り替えることにより信頼性を向上させることができる。

このように構成すると、例えば、第１制御の出力と、第２制御の出力である安全制御部１９Ａの制御出力（安全運転制御情報Ｌ８Ａ）について、前述した制御出力の比較方法で判定を行った結果、差分が所定値以下とならなかった場合、次に、第１制御の出力と、第２制御の出力である安全制御部１９Ｂの制御出力（安全運転制御情報Ｌ８Ｂ）について、前述した制御出力の比較方法で判定を行った結果、差分が所定値以下となった場合、当該制御出力を使用することができる。

これにより、安全を考慮して多重系とした複数の制御出力の中から、より運動制御の差分が小さく、運動制御の観点で安全性が高い出力を選択することも可能となる。
よって、自動運転の制御出力を切り替える際に、自動運転制御情報による運動制御の結果が時系列で大きく変動する場合の出力を抑制し、運動制御等の観点から安全に、縮退系等の異なる制御出力へ切り替えることができる。

以上説明した通り、実施の形態では、
（１）車両１００（移動体）の運動を通常制御するための自動運転制御情報Ｌ４（第１制御情報）を生成する自動運転制御部１２（第１の制御部）と、車両１００の運動を非通常制御するための安全運転制御情報Ｌ８（第２制御情報）を生成する安全制御部１９（第２の制御部）と、自動運転制御情報Ｌ４と安全運転制御情報Ｌ８の何れか一方を出力する切替部１７とを有し、切替部１７は、自動運転制御情報Ｌ４と安全運転制御情報Ｌ８との差分ｄが所定の閾値ｄｔｈ以下である場合（ｄ≦ｄｔｈ）、安全運転制御情報Ｌ８を出力する構成とした。

このように構成すると、切替部１７は、自動運転制御情報Ｌ４と安全運転制御情報Ｌ８との差分ｄが十分に小さい場合に、非通常制御のための安全運転制御情報Ｌ８を出力する。よって、例えば、切替部１７は、車両１００の制御システム１の一部に不具合が発生した場合に、複数の機能（自動運転制御部１２、安全制御部１９）から出力された複数の制御出力（自動運転制御情報Ｌ４、安全運転制御情報Ｌ８）の中から、より安全性が保たれる制御出力を選択できる。

また、切替部１７は、自動運転制御情報Ｌ４と安全運転制御情報Ｌ８との差分ｄが十分に小さい場合に、安全運転制御情報Ｌ８を出力するので、車両１００の運動を安全運転制御情報Ｌ８に基づいて制御しても、運転者に切り替え時の衝撃等の違和感を与えず、安心、安全に車両１００の運動を制御できる。

（２）また、自動運転制御情報Ｌ４と安全運転制御情報Ｌ８は、経時的な時刻情報（例えば、ｔ０、ｔ１、ｔ２、・・・、ｔｎ）を含み、切替部１７は、同じ時刻情報（例えば、ｔ１）における自動運転制御情報Ｌ４と安全運転制御情報Ｌ８との差分ｄ（例えば、距離、速度、加速度、ヨーレート等の差分）が所定の閾値ｄｔｈ以下である場合（ｄ≦ｄｔｈ）、安全運転制御情報Ｌ８を出力する構成とした。

このように構成すると、切替部１７は、同じ時刻における自動運転制御情報Ｌ４と安全運転制御情報Ｌ８との差分に基づいて判断することで、同じ基準で判断でき、自動運転制御情報Ｌ４と安全運転制御情報Ｌ８のどちらを出力するかの判断を適切に行うことができる。

（３）また、切替部１７による差分ｄとの判断に用いる閾値ｄｔｈは、差分ｄの符号の逆転（プラス、マイナス）、又は車両１００の運動の限界値（例えば、車両１００がスピン、スリップしてしまう運動の限界値）である構成とした。

このように構成すると、閾値ｄｔｈを差分ｄの符号の逆転や、車両１００の運動の限界値としても、切替部１７による自動運転制御情報Ｌ４と安全運転制御情報Ｌ８との差分ｄと閾値ｄｔｈとの比較を適切に行うことができる結果、車両１００の運動の安全性を維持しつつ、運転者への切り替え時の衝撃等の違和感を少なくすることができる。

（４）また、切替部１７は、経時的に取得された差分ｄの全てが所定の閾値ｄｔｈ以下でない場合、差分ｄが最も小さくなる時刻情報以降では、安全運転制御情報Ｌ８を出力する構成とした。

このように構成すると、切替部１７は、差分ｄが所定の閾値ｄｔｈ以下とならない場合でも、差分ｄが最小となる時点で、安全運転制御情報Ｌ８を出力するので、運転者の切り替え時の違和感を最小限に抑えつつ、安全運転制御情報Ｌ８に基づく車両１００の安全運転を確実に行うことができる。

（５）また、車両１００の運動を制御するための安全運転制御情報Ｌ８Ｂ（第３制御情報）を生成する安全制御部１９Ｂ（第３に制御部）を有し、切替部１７は、保持制御情報Ｌ１１（第１制御情報）と安全運転制御情報Ｌ８Ａ（第２制御情報）との差分と、保持制御情報Ｌ１１（第１制御情報）と安全運転制御情報Ｌ８Ｂ（第３制御情報）との差分とを比較し、保持制御情報Ｌ１１との差分がより小さくなる方の安全運転制御情報Ｌ８Ａまたは安全運転制御情報８Ｂを出力する構成とした。

このように構成すると、安全制御部１９（所定の制御部）を多重化した場合、最も、差分の小さくなる安全制御部１９の制御出力に基づいて、車両１００の運動制御を行うことができる。よって、制御部を多重化して安全性を向上させつつ、制御の切り替え時の衝撃（切替段差）をより少なくすることができる結果、運転者への違和感もより少なくすることができる。

［第２の実施の形態］
前述した実施の形態では、制御システム１（１Ａ）は、運動制御部１８への制御出力を自動運転制御部１２又は安全制御部１９で生成する場合を例示して説明したが、制御出力の生成はこれに限定されるものではない。例えば、何れかの制御部の車両１００を主機能で運動させる本来の制御プログラムを、縮退機能で運動させる代替プログラムに置き替えても（再配置しても）よい。

以下の第２の実施の形態では、安全制御部１９が有する制御プログラムを、代替プログラムで置き替える（再配置する）場合を例示して説明する。この場合、安全制御部１９では、置き替えられた代替プログラムに従って、車両１００を縮退機能で運動させる制御出力を生成する。

図１２は、第２の実施の形態にかかる制御システム１Ｂ全体の機能構成を説明するブロック図である。
図１３は、再構成管理部４１の機能構成を説明するブロック図である。
図１４は、再構成実行部４２の機能構成を説明するブロック図である。

図１２に示すように、制御システム１Ｂでは、前述した実施の形態の制御システム１Ａの構成に加えて、再構成管理部４１と再構成実行部４２とを有し、再構成実行部４２が、制御システム１Ｂの故障発生時に制御プログラムを代替プログラムに置き替える（再構成）する点が、前述した実施の形態の制御システム１Ａと異なる。
第２の実施の形態では、再構成された代替プログラムに基づく、縮退機能での車両１００の運動制御が、非通常制御に相当する。

実施の形態では、再構成管理部４１と再構成実行部４２とは、それぞれ異なるＥＣＵ３（図７参照）に配置されている。例えば、再構成管理部４１は、統合認識部１１と自動運転制御部１２と同じＥＣＵ３に配置されており（図７参照）、再構成実行部４２は、切替部１７と運動制御部１８と同じＥＣＵ３に配置されている（図７参照）。

これにより、例えば、自動運転制御部１２が配置されているＥＣＵ３に何らかの故障が発生した場合、再構成管理部４１が、再構成実行部４２の配置されているＥＣＵ３に代替プログラムを配置することで、故障の発生していないＥＣＵ３（再構成実行部４２の配置されたＥＣＵ３）において、再構成実行部４２による代替プログラムの実行が可能となる。

再構成管理部４１は、異常検出部１６に接続されており、異常検出部１６で検出された異常検出情報Ｌ５に基づいて、代替プログラム（縮退機能を実現するプログラム）を準備する。

図１３に示すように、再構成管理部４１は、制御状態監視部４１１と、制御状態判定部４１２と、情報通知部４１３と、代替プログラム取得部４１４と、代替プログラム送信部４１５と、異常時制御決定部４１６とを有している。

制御状態監視部４１１は、自動運転制御部１２等から現在の車両１００の制御状態を取得し、取得した車両１００の制御状態を制御状態判定部４１２に送信する。

制御状態判定部４１２は、制御状態監視部４１１から取得した車両１００の制御状態に基づいて、何れの制御部（ＥＣＵ３）にどの代替プログラムを配置するかという再構成の方針を決定する。

情報通知部４１３は、制御状態判定部４１２で決定された再構成に関する情報を、出力管理部１４又は通知管理部１５の何れか一方又は両方に通知する。

代替プログラム取得部４１４は、代替プログラムを再構成管理部４１が配置された何れかのＥＣＵ３、又はＣＡＮ９９等の車載ネットワークや通信装置５等を介し、異なる場所の記憶領域（クラウドネットワーク、ＲＯＭ、ＨＤＤ、ＲＡＭなど）から取得する。

代替プログラム送信部４１５は、代替プログラム取得部４１４で取得した代替プログラムを、再構成実行部４２に送信する。

異常時制御決定部４１６は、制御システム１Ｂに何らかの異常が発生した場合、制御出力を後述する異常時制御決定方法に従い決定する。

次に、図１４に示すように、再構成実行部４２は、代替プログラム受信部４２１と、代替プログラム配置部４２２と、配置完了通知部４２３と、再構成指示受信部４２４と、代替プログラム実行部４２５とを有する。

代替プログラム受信部４２１は、再構成管理部４１の代替プログラム送信部４１５から送信された代替プログラムを受信する。

代替プログラム配置部４２２は、受信した代替プログラムを、再構成実行部４２が配置された何れかのＥＣＵ３の所定の記憶領域（ＲＯＭ、ＲＡＭなど）に配置する。

配置完了通知部４２３は、代替プログラム配置部４２２による代替プログラムの所定の記憶領域への配置が完了したことを、再構成管理部４１に通知する。

再構成指示受信部４２４は、再構成管理部４１から代替プログラムの受信指示又は実行指示を受け付ける。

代替プログラム実行部４２５は、所定の記憶領域に配置された代替プログラムを実行する。

前述した再構成管理部４１及び再構成実行部４２の内部の各部はそれぞれに通信を行い、必要な情報や指示をやり取りする。また再構成管理部４１と再構成実行部４２の機能分担については、前述した実施の形態に限ることはなく、例えば、代替プログラムの取得は再構成管理部４１でなく再構成実行部４２が直接実行してもよい。その場合、再構成管理部４１による代替プログラムの送受信処理が不要となり、処理負荷を低減できる。

［車両制御状態］
次に、車両制御状態について説明する。
車両制御状態とは、車両１００の制御システム１Ｂの制御の状態を示す。例えば、自動運転状態のＯＮ／ＯＦＦ（ＯＦＦでは運転者が操作し、システムがアシストを行う、もしくはシステムは制御を行わない）、一般道または高速道を走行、自動駐車中のＯＮ／ＯＦＦ、走行速度（低速、中速、高速）、運転者の状態（運転操作可能または困難）、天候など自動運転が困難な状況（強雨、霧、逆光、地図に無い道等）、などを表す。

制御システム１Ｂでは、これら車両制御状態に応じて、代替機能が必要なＥＣＵ３、または機能代替が可能なＥＣＵ３が変更となる。例えば、自動駐車を行っていない場合には、自動駐車がその機能を実現するために必要となるＣＰＵ、ＲＯＭ、ＲＡＭ等のリソースが一時的に不要となり、その領域に代替プログラムを配置しておく。また、他の例では、一般道を自動運転中では使用しない統合認識部１１や自動運転制御部１２のリソースに配置をしておく。

車両制御状態及び／又は要求安全レベルに応じて前記代替プログラムや配置ＥＣＵを変更することにより、車両制御状態に合わせた最適な代替制御を実行することができる。

［再構成処理シーケンス］
次に、前述した第２の実施の形態における制御システム１Ｂにおける、再構成処理のシーケンスを説明する。
図１５は、前述した第２の実施の形態における制御システム１Ｂにおける、再構成処理のシーケンスを説明する図である。

第２の実施の形態では、ＥＣＵ３Ａ（例えば、図１に示すＣＰＵ３Ａに相当）が、代替プログラムによる再構成指示を行う再構成管理部４１と、故障が発生する制御部（例：自動運転制御部１２）とを有する場合を例示して説明する。
また、ＥＣＵ３Ｂ（例えば、図１に示すＣＰＵ３Ｂに相当）は、再構成管理部４１で再構成された代替プログラムを実行する再構成実行部４２を有し、代替制御を実施するＥＣＵ３Ｂ、ＥＣＵ３Ｃが通常時にＥＣＵ３Ａから制御を受けている場合を例示して説明する。

通常時の車両１００の走行において、ＥＣＵ３Ａは、通常制御を実行するための制御出力をＥＣＵ３Ｃに対して出力する（Ｓ１３０１）。またＥＣＵ３Ｂも通常時にＥＣＵ３Ｃに対して通常制御を実行するための制御出力を出力している（Ｓ１３０２）。

その後、車両１００が走行を続け、車両制御状態が変更になるなど代替プログラムが変更となった場合、ここではＥＣＵ３Ａの自動運転制御部１２がそれを判断し、再構成管理部４１に対して、車両制御状態の変更を通知する（Ｓ１３０３）。

ＥＣＵ３Ａにおいて、通知を受けた再構成管理部４１は、代替プログラムを自ら取得する。又は、再構成管理部４１は、何れかの他のＥＣＵ３Ｂ、３Ｃ又はストレージ（ＨＤＤ等）に対して、代替プログラムを出力するように指示を行う（Ｓ１３０４）。

この場合、再構成管理部４１による代替プログラムの取得先は、車両１００の制御システム１Ｂ内部の何れかのＥＣＵ、もしくはストレージ（ＨＤＤ等）、又は通信装置５やＧＷ９７を介して制御システム１Ｂの外部装置から取得する。もしくはＥＣＵ３Ａ内など、機能代行を依頼するＥＣＵにあらかじめ保持しておく。

代替プログラムを取得した（Ｓ１３０５）ＥＣＵ３Ａは、故障時に機能代行を行うＥＣＵ３Ｂに、再構成管理部４１が取得した代替プログラムを送信する（Ｓ１３０６）。代替プログラムを受信したＥＣＵ３Ｂは、再構成実行部４２により代替プログラムを配置する。また、ＥＣＵ３Ｂは、全ての代替プログラムを受信および配置が完了した時点で配置完了の通知を行う（Ｓ１３０７）。ＥＣＵ３Ａは、再構成の管理を行いながら、通常時の制御を継続して実施する（Ｓ１３０８）。

その後、ＥＣＵ３Ａで故障が発生した場合（Ｓ１３０９）、例えば、制御システム１の異常検出部１６により当該故障を検出し、ＥＣＵ３Ｂに対して故障発生の通知を行う。又は、ＥＣＵ３Ｂは通信が途絶したことを契機として、異常を検出する（Ｓ１３１０）。

故障を認識したＥＣＵ３Ｂは、再構成実行部４２で保持していた代替プログラムの実行を開始する（Ｓ１３１１）。その時点で制御を引き継ぎ、ＥＣＵ３ＢからＥＣＵ３Ｃに対して代替プログラムに基づく制御（非通常制御）を実施する（Ｓ１３１２）。このようにして機能の代替を実施する。

一方、故障が発生する前に車両制御状態が変更になった場合（Ｓ１３１３）、前記と同様に再構成管理部４１が自動運転制御部１２などから通知を受け、ＥＣＵ３Ｂに対して代替プログラムが不要である情報を含む状態変更通知を行う（Ｓ１３１４）。

ＥＣＵ３Ｂは、状態変更通知を受けたことを契機として、再構成実行部４２で保持していた代替プログラムを破棄する（Ｓ１３１５）。その後、必要に応じてＥＣＵ３Ｂは、通常の制御プログラムに基づく通常時の制御を実施する（Ｓ１３１６）。

このようにして車両制御状態に応じて代替処理用の代替プログラムをあらかじめＥＣＵ３Ｂに配置し、故障が発生した場合には代替プログラムに切り替える。

これら再構成については、例えば安全制御部１９の再構成について実施される。これにより、例えば、図９の切替部１７による制御フローにおいて、第１制御の出力を自動運転制御情報Ｌ４、第２制御の出力を再構成した安全制御部１９の安全運転制御情報Ｌ８とすることにより、自動運転制御情報Ｌ１から安全制御部１９の安全運転制御情報Ｌ８への切り替えについて、運動情報の差分が小さくなる時点で切り替え、安全性を向上させることができる。

［切替部における制御情報切替処理］
次に、第２の実施の形態の切替部１７の制御情報切替処理を説明する。
図１６は、第２の実施の形態の切替部１７の制御情報切替処理のフローチャートである。

第２の実施の形態の切替部１７の制御情報切替処理では、再構成が完了したか否かを判定する再構成完了判定処理（ステップＳ１４０１）を有している点が、前述した制御情報切替処理（図６参照）と主に異なる点である。

ステップＳ１４０１において、制御システム１Ｂの切替部１７は、異常検出部１６から異常検出の通知を取得した後、再構成（再構成管理部４１による代替プログラムの置き替え）が完了しているか否かを判定し、再構成が完了していないと判定した場合（ステップＳ１４０１：Ｎｏ）、ステップＳ１４０５に進み、再構成した制御出力を使用することができないため、制御情報保持部４０から取得した保持制御情報Ｌ１１を、運動制御部１８に出力する。

切替部１７は、再構成が完了しいると判定した場合（ステップＳ１４０１：Ｙｅｓ）、ステップＳ１４０２に進み、再構成実行部４２から取得した再構成した制御出力と、制御情報保持部４０から取得した保持制御情報Ｌ１１との比較を行い、ステップＳ１４０３において、比較結果の差分ｄが所定の規定値（閾値ｄｔｈ）以下か否かの判定を行う。

切替部１７は、差分ｄが所定の閾値ｄｔｈ以下であると判定した場合（ステップＳ１４０３：Ｙｅｓ）、ステップＳ１４０４に進み、再構成された制御出力（車両１００の運動を縮退機能で制御するための安全運転制御情報Ｌ８）を運動制御部１８に出力し、差分ｄが所定の閾値ｄｔｈ以下でないと判定した場合（ステップＳ１４０３：Ｎｏ）、ステップＳ１４０５に進み、保持制御情報Ｌ１１を、運動制御部１８に出力する。

以上説明した通り、第２の実施の形態では、
（５）車両１００の運動を制御するための代替プログラムを有する再構成管理部４１と、再構成実行部４２（再構成管理部４１と再構成実行部４２とを合わせて、本発明の再構成部を構成する）とを有し、安全制御部１９は、主機能を発揮する制御プログラムに代えて、再構成実行部４２が有する代替プログラムに基づいて、車両１００を制御する構成とした。

このように構成すると、安全制御部１９は、通常の主機能を発揮する制御プログラムに代えて、縮退機能を発揮する代替プログラムで車両１００を制御することができるので、自動運転制御部１２に何らかの不具合（故障）が発生した場合でも、代替プログラムに基づいて、車両１００の安全制御を適切に行うことができる。

（６）また、切替部１７は、安全制御部１９が、通常の主機能を発揮する制御プログラムに代えて、代替プログラムを用いて安全制御情報Ｌ８（制御出力）を生成する準備が完了していない場合、制御情報保持部４０で保持された保持制御情報Ｌ１１を出力する構成とした。

このように構成すると、切替部１７は、代替プログラムによる制御の準備が完了する前であっても、車両１００の制御を停止することなく、適切に行うことができる。

［第３の実施の形態］
なお、前述した制御システムにおいて、車両１００が緊急状態か否かを判定し、その判定結果に基づいて、切替部１７による制御情報切替処理を実行してもよい。

次に、第３の実施の形態にかかる制御システム１Ｃを説明する。
図１７は、第３の実施の形態にかかる制御システム１Ｃ全体の機能構成を説明するブロック図である。
図１８は、第３の実施の形態の制御システム１Ｃによる車両制御の一例を説明する図である。

制御システム１Ｃでは、前述した制御システム１Ｂの構成に加え、車両１００の緊急状態を判定する緊急制御部４３をさらに有している点が、前述した制御システム１Ｂと異なる。

緊急制御部４３は、複数の検知装置８０に接続されており、この検知装置８０で検知した車両１００の周囲状況Ｌ１に基づいて、車両１００が緊急状態であるか否かの判定を行う。そして、緊急制御部４３は、緊急状態であると判定した場合、車両１００の緊急状態を回避するための緊急制御情報Ｌ１２（例えば、車両１００を路肩に寄せながら減速して、路肩で停止させる制御情報）を、切替部１７に出力する。

実施の形態では、緊急制御部４３は、３６０°カメラ８７やソナー８４等で検知した車両１００の周囲状況Ｌ１から相対情報を取得し、この相対情報に基づいて車両１００が緊急状態か否かを判定する。

ここで、相対情報とは、外界認識情報のうち、特に検知装置８０から取得可能な情報であり、周辺オブジェクトと自車両との相対位置および相対速度、相対加速度、およびそれら値から演算可能な値の何れかの情報の組み合わせである。

相対情報の例を図１８に示す。ここでは、検知装置８０により先行車１０１を認識している例を示している。

図１８の（ａ）では、前方に先行車１０１が存在しており、相対位置として距離をｌａ、自車（車両１００）の水平右方向を０度とした角度をθａ、相対速度をｄｖａとする。

相対速度は、自車（車両１００）と先行車１０１（オブジェクト）が近づく、又は離れる速度を示している。図１８の（ａ）では、自車（車両１００）から先行車１０１への方向と双方の進行方向が同一のため、先行車１０１と自車の速度の差分で表せる。

図１８の（ｂ）では、自車から先行車１０１への方向と双方の進行方向が同一で無い場合、それぞれの速度を自車から先行車１０１への方向の直線に射影し、差分を計算することにより、相対速度ｄｖｂを求めることができる。ここでは、相対速度が正の場合には自車から先行車１０１が遠ざかっていることを示し、負の場合には自車に先行車１０１が近づいていることを示す。図示しないが、相対加速度については相対速度の時間変化であるため、観測した速度の変化から計算することができる。

相対位置の表現方法は、相対距離と角度の他に、自車を原点とした座標系で表してもよい。例えば、図１８において、自車を原点とし、自車の前後方向をｙ座標かつ前方を正、左右方向をｘ座標かつ右を正とし、（ｒｘａ、ｒｘｙ）で表すことができる。

［緊急制御］
次に、相対情報に基づく緊急制御の一例を説明する。
制御システム１Ｃの緊急制御部４３は、検知装置８０から取得する自車（車両１００）の状態に基づいて駆動制御情報を作成する。

図１８に示すように、自車（車両１００）の前方にオブジェクト（先行車１０１）が存在し、相対情報における相対位置（距離）が一定値を下回った場合には自車に対して減速する制御を行う。そのため、緊急制御部４３は、相対情報及び検知装置８０から取得した自車の状態を判定し、減速を行うための駆動制御情報を切替部１７に対して出力する。

また、自車と先行車１０１との相対位置が一定値を上回る場合には、同様にして自車に対して加速の制御を行うための駆動制御情報を出力する。このように、緊急制御部２３は、前方の先行車１０１に対して相対位置が一定量を上回る又は一定量を下回ることの無いように、加速又は減速の制御を行う。

自車の後方に先行車１０１が存在している場合にも同様に、緊急制御部４３は、相対位置が一定量を上回る、又は一定量を下回ることの無いように制御を行う。

また、相対位置のみでなく、相対速度および相対加速度に基づき判定を行ってもよい。例えば、前方に先行車１０１が存在しており、相対位置が同様でも相対速度又は相対加速度により自車に接近する可能性が高い場合には減速の制御を行う。

上記判断のためのリスク値の計算式は、リスク値をＲ、相対距離をｄｌ、相対速度をｄｖ、相対加速度をｄａ、として以下の数式２で表せる。ここでＡ、Ｂ、Ｃは定数である。

リスク値Ｒを用いた計算でも相対位置による判定と同様に、リスク値Ｒが一定量を上回ることの無いように加速又は減速の制御を行う。このように相対速度と相対加速度を用いて判定を行うことにより、同一相対位置でもよりリスクが高い状況（先行車１０１が自車に接近等）を発生することを抑制し、安全を確保することができる。前述した緊急制御部２３による判定及び加減速の制御により、相対情報に基づいた制御が可能となる。

また、前後に同時に他車両が存在する場合には、相対位置が近い方から離れるように制御を行う。例えば、前方の他車両の方が近接している場合には減速、または後方の他車両の方が近接している場合には加速の制御を行う。
また、前後方向のみでなく、左右方向についても、相対位置から認識し、他車両が存在していない方向に操舵を行い、例えば、前後方向への衝突を回避する制御を行う。そのための目標ヨーレートについても上記駆動制御情報を含み、緊急制御部４３が切替部１７に対して出力を行う。

＜緊急制御を含む切替部の制御情報切替処理＞
次に、第３の実施の形態の切替部１７の制御情報切替処理を説明する。
図１９は、第３の実施の形態の切替部１７の制御情報切替処理のフローチャートである。

ステップＳ１７０１において、制御システム１Ｃの切替部１７は、緊急制御部４３からの緊急制御情報Ｌ１２（制御出力）を受信したか否かを判定し、緊急制御部４３からの緊急制御情報Ｌ１２を受信したと判定した場合（ステップＳ１７０１：Ｙｅｓ）、ステップＳ１７０６に進み、緊急制御部４３から受信した緊急制御情報Ｌ１２を、運動制御部１８に出力する。

切替部１７は、受信した制御出力が、緊急制御部４３からの緊急制御情報Ｌ１２でないと判定した場合には（ステップＳ１７０１：Ｎｏ）、ステップＳ１７０２に進み、以下第１の実施例の場合と同様に、第１の制御出力と、第２の制御出力を比較する。

そして、ステップＳ１７０３において、切替部１７は、ステップＳ１７０２での比較の結果の差分ｄが、所定の規定値（閾値ｄｔｈ）以下か否かを判定し、所定の規定値（閾値ｄｔｈ）以下であると判定した場合（ステップＳ１７０３：Ｙｅｓ）、ステップＳ１７０５に進み、第２制御の出力（例えば、安全運転制御情報Ｌ８）を、運動制御部１８に出力する。

一方、切替部１７は、差分ｄが所定の規定値（閾値ｄｔｈ）以下でないと判定した場合（ステップＳ１７０３：Ｎｏ）、そのままでは、制御の切り替え時の衝撃が大きくなり、制御の切り替えができないので、ステップＳ１７０４に進み、第１制御の出力（例えば、保持制御情報Ｌ１１）を、運動制御部１８に出力する。

このように、制御出力の切り替え時に運動制御の出力を比較して判定する場合でも、周囲の状況が変更になったなど緊急性の高い処理が必要な場合には優先して制御を実施することができる。

なお、前述した実施の形態では、安全制御部１９と緊急制御部４３を異なる機能ブロックとした場合を例示して説明したが、これらを同じ機能ブロックとし、例えば、安全制御部１９の制御出力に、緊急制御である旨の情報を追加しても良い。このように構成すると、機能ブロックの削減と、判定の容易化が可能となる。

以上説明した通り、第３の実施の形態では、
（７）車両１００の緊急制御を行う緊急制御部４３を有し、切替部１７は、緊急制御部４３で生成された緊急制御情報Ｌ１２を取得した場合、自動運転制御部１２で生成された自動運転制御情報Ｌ４、安全制御部１９で生成された安全運転制御情報Ｌ８、又は制御情報保持部４０で保持された保持制御情報Ｌ１１に代えて、緊急制御情報Ｌ１２を優先的に出力する構成とした。

このように構成すると、切替部１７は、車両１００が緊急状態となった場合、他の制御情報に代えて、車両１００の緊急状態を回避するための緊急制御情報Ｌ１２を出力するので、この緊急制御情報Ｌ１２に基づいて、車両１００の緊急状態の回避を迅速かつ確実に行うことができる。

［第４の実施の形態］
次に、前述した実施の形態の自動運転制御情報に基づく制御、または相対情報に基づく制御から、ユーザによる制御について切り替える（オーバーライドする）場合の一例を説明する。

この第４の実施の形態にかかるユーザ入力部１３は、ユーザの運転操作の開始動作（例えばペダルを踏む、ステアリングを操作する、自動運転終了のボタンを押す、等）を、入力装置８を介して検出し、切替部１７に通知する。切替部１７は、ユーザの運転操作の開始動作の通知を受け、後述するユーザ制御切り替え判定処理を行う。

［ユーザ制御切り替え判定処理］
次に、第４の実施の形態の切替部１７のユーザ制御切り替え判定処理を説明する。
図２０は、第４の実施の形態の切替部１７のユーザ制御切り替え判定処理のフローチャートである。

ステップＳ１８０１において、切替部１７は、前述した第１の実施の形態の切替部１７での制御情報切替処理（ステップＳ１０１）と同様に、制御システムによる制御出力（例えば、保持制御情報Ｌ１１）と、ユーザ操作による制御出力（例えば、ユーザ操作入力）を比較する。
実施の形態では、制御システムによる制御出力が第１制御の出力に相当し、ユーザ操作による制御出力が第２制御の出力に相当する。

ステップＳ１８０２において、切替部１７は、ステップＳ１８０１での比較の結果の差分ｄが、所定の規定値（閾値ｄｔｈ）以下であるか否かを判定し、所定の規定値（閾値ｄｔｈ）以下であると判定した場合（ステップＳ１８０２：Ｙｅｓ）、制御を安全に切り替えられるため、ステップＳ１８０４に進み、ユーザ操作による制御出力を、運動制御部１８に出力する。

一方、切替部１７は、ステップＳ１８０１での比較の結果の差分ｄが、所定の規定値（閾値ｄｔｈ）以下でないと判定した場合（ステップＳ１８０２：Ｎｏ）、そのままでは、制御の切り替え時の衝撃が大きくなる結果、制御を安全に切り替えられないため、ステップＳ１８０３に進み、ユーザ操作に切り替えず、そのまま制御システムによる制御出力を、運動制御部１８に出力する。

前述したように、ユーザ操作の入力があり制御を切り替える場合、車両１００の制御システムによる時系列の操作と、ユーザ操作の入力で運動制御の大幅な違いがあった場合には制御を切り替えないため、不安全な運動制御状態を避け、安全に制御を切り替えることが可能となる。

また、前述した第４の実施の形態の制御システムにおいても、第３の実施の形態の制御システムと同様に、緊急制御の入力があった場合には、図１９に示す通り、第１制御の出力又は第２制御の出力より優先的に緊急制御の出力を優先して実施する。このように構成すると、危険な状況に対しては第１制御の出力又はユーザ操作より優先して緊急制御を実施することが可能となる。

前述したように、車両１００の制御システム１において、自動運転の制御出力を切り替える際に、自動運転制御情報による運動制御の結果が時系列で大きく変動する場合の出力を抑制し、運動制御等の観点から安全に、縮退系等の異なる制御出力へ切り替えることが可能となる。

特に、保持制御情報Ｌ１１から安全運転制御情報Ｌ８の出力に切り替える際に、時系列で比較し、安全に制御を切り替えることができる。

また、安全制御出力が再構成された制御出力の場合でも安全に制御を切り替えることができる。

また、安全制御出力として緊急制御の出力があった場合には、緊急制御の出力に対応し、周囲の環境の変化に合わせて安全に制御を切り替えることができる。

さらに、運転者の操作入力があった場合でも、故障の発生時など、運動制御が安定している範囲での切り替えを行うことができる。

以上説明した通り、第４の実施の形態では、
（８）安全運転制御情報Ｌ８は、ユーザ操作による操作制御情報である構成とした。

このように構成すると、切替部１７は、自動運転制御情報Ｌ４に基づく車両１００の自動運転中に、ユーザ操作による操作制御情報を受信した場合（オーバーライドした場合）、自動運転制御情報Ｌ４とユーザ操作による操作制御情報との差分ｄが所定の閾値ｄｔｈ以下である場合には、ユーザ操作による操作制御情報を出力するので、オーバーライド時のユーザ操作への切り替えを、スムーズに行うことができる。

以上、本発明の実施の形態の一例を説明したが、本発明は、前述した実施の形態を全て組み合わせてもよく、何れか２つ以上の実施の形態を任意に組み合わせても好適である。

また、前述した実施の形態では、制御システム１を車両１００に適用した場合を例示して説明したが、車両１００に限定されるものではなく、前述した制御システム１は、例えば、建設機械、エスカレータ、エレベータ、鉄道、船舶、航空機、ドローンなどの移動体全般に好適に適用することができる。
特に、有人の移動体（例えば、建設機械、エスカレータ、エレベータ、鉄道、船舶、航空機）の場合には、制御の切り替え時の衝撃が大きくなる場合には、制御の切り替えを行わず、規定値以下となる場合にのみ、制御の切り替えをおこなうようにしたので、運転者や乗員の制御切り替え時の違和感を小さくすることができ、安心、安全に運転することができる。

また、本発明は、前述した実施の形態の全ての構成を備えているものに限定されるものではなく、前述した実施の形態の構成の一部を、他の実施の形態の構成に置き換えてもよく、また、前述した実施の形態の構成を、他の実施の形態の構成に置き換えてもよい。

また、前述した実施の形態の一部の構成について、他の実施の形態の構成に追加、削除、置換をしてもよい。

１：制御システム
１１：統合認識部
１２：自動運転制御部
１３：ユーザ入力部
１４：出力管理部
１５：通知管理部
１６：異常検出部
１７：切替部
１８：運動制御部
１９：安全制御部
２：ＡＤ１−ＥＣＵ
３：ＶＭＣ−ＥＣＵ
３１：ＣＰＵ
３２：ＣＰＵ
３３：メモリ
４：ＧＷ
４０：制御情報保持部
４１：再構成管理部
４２：再構成実行部
４３：緊急制御部
５：通信装置
６：他の車両制御システム
７：外部出力装置
８：入力装置
９：報知装置
８０：検知装置
８１、８５：コーナライダ
８２：コーナレーダ
８３：フロントカメラ
８４：ソナー
８６：フロントレーダ
８７：３６０°カメラ
９０：駆動装置
９１：ブレーキ
９２：ステアリング
９３：ＥＣＵ
９４：ＥＭＣ
９５：ＡＴＣＵ
９７１：ボディ
９７２：ＨＭＩ
９７３：接続装置
９７４：情報提供装置

Claims (9)

1. 移動体の運動を通常制御するための第１制御情報を生成する第１の制御部と、
   前記移動体の運動を非通常制御するための第２制御情報を生成する第２の制御部と、
   前記第１制御情報と前記第２制御情報の何れか一方を出力する切替部とを有し、
   前記第１制御情報と前記第２制御情報は、経時的な時刻情報を含み、
   前記切替部は、
   同じ時刻情報における前記第１制御情報と前記第２制御情報との差分が所定の閾値以下である場合、前記第２制御情報を出力し、経時的に取得された前記差分の全てが前記所定の閾値以下でない場合、前記差分が最も小さくなる時刻情報以降では、前記第２制御情報を出力する移動体の制御システム。
2. 前記移動体の運動を制御するための代替プログラムを有する再構成部を有し、
   前記第１の制御部と前記第２の制御部とのうち、少なくとも何れか一方は、前記第１の制御部と前記第２の制御部を制御する主機能プログラムに代えて、前記再構成部が有する前記代替プログラムを用いて前記移動体を制御する請求項１に記載の移動体の制御システム。
3. 前記第１の制御部で生成された前記第１制御情報と前記第２の制御部で生成された第２制御情報とのうち、少なくとも何れか一方の制御情報を保持する制御情報保持部を有し、
   前記切替部は、
   前記制御情報保持部で保持された制御情報と、前記代替プログラムに基づいて、前記第１の制御部と前記第２の制御部との少なくとも何れか一方で生成された制御情報との差分が所定の閾値以下である場合、前記代替プログラムに基づいて生成された制御情報を出力する請求項２に記載の移動体の制御システム。
4. 前記切替部は、前記第１の制御部と前記第２の制御部とのうち、少なくとも何れか一方が、前記主機能プログラムに代えて、前記代替プログラムを用いて前記制御情報を生成する準備が完了していない場合、前記制御情報保持部で保持された制御情報を出力する請求項３に記載の移動体の制御システム。
5. 前記移動体の緊急制御を行う緊急制御部を有し、
   前記切替部は、前記緊急制御部で生成された緊急制御情報を取得した場合、前記第１の制御部で生成された第１制御情報、前記第２の制御部で生成された第２制御情報、または前記制御情報保持部で保持された制御情報に代えて、前記緊急制御情報を優先的に出力する請求項４に記載の移動体の制御システム。
6. 前記切替部による差分との判断に用いる前記閾値は、前記移動体の運動制御が不安定となることが想定される運動の限界値である請求項３に記載の移動体の制御システム。
7. 前記移動体の運動を制御するための第３制御情報を生成する第３の制御部を有し、
   前記切替部は、
   前記第１制御情報と前記第２制御情報との差分と、前記第１制御情報と前記第３制御情報との差分とを比較し、
   前記第１制御情報との差分がより小さくなる方の前記第２制御情報または前記第３制御情報を出力する請求項１に記載の移動体の制御システム。
8. 前記第２制御情報は、ユーザ操作による操作制御情報である請求項１に記載の移動体の制御システム。
9. 経時的な時刻情報を含んでいて移動体の運動を通常制御するための第１制御情報と、経時的な時刻情報を含んでいて前記移動体の運動を非通常制御するための第２制御情報とを取得する制御情報取得ステップと、
   同時刻における前記第１制御情報と前記第２制御情報との差分を算出する差分算出ステップと、
   前記第１制御情報と前記第２制御情報との差分が所定の閾値以下である場合、前記第２制御情報を出力し、経時的に取得された前記差分の全てが前記所定の閾値以下でない場合、前記差分が最も小さくなる時刻情報以降では、前記第２制御情報を出力する制御情報出力ステップとを有する移動体の制御方法。

Images