JP7115971B2 - 車載制御システム - Google Patents

Description

本発明は、車載制御システムに関し、例えば、自動車に搭載されたセンサ（車載センサ）から受信したデータに基づいて車両の制御を実行する車載制御システムに関する。

自動車の自動運転化が進んでいる。自動運転化が進み、運転者を必要としなくなると、自動車に故障があった場合でも、人が運転に介在することなく、車載制御システムのみで安全に動作させることが要求される。故障があった場合でも安全に動作させるために、電源を含めた車載制御システムの２重化が検討されている。特許文献１には、ステアリングシステムにおいて、センサから制御回路に送られるデータに異常があった場合に、電源の供給経路およびセンサからのデータ経路を切り替える技術が示されている。

また、自動運転化が進むと、車載センサが増加する。例えば、車両の周囲の状況を認識するために外界認識センサが増加する。外界認識センサとしては、例えばカメラ、レーダーあるいはＬＩＤＡＲ（Ｌｉｇｈｔ Ｄｅｔｅｃｔｉｏｎ ａｎｄ Ｒａｎｇｉｎｇ、Ｌａｓｅｒ Ｉｍａｇｉｎｇ Ｄｅｔｅｃｔｉｏｎ ａｎｄ Ｒａｎｇｉｎｇ）などのセンサがある。車載センサの増加に伴い、車載センサへ電源を給電する電源配線および車載センサのデータを伝達する信号配線が増加するため、配線スペースと配線重量が課題となる。この課題を解決するために、車載センサへの電力の供給とデータの伝達を一本の同軸ケーブルで送信可能なＰｏＣ（Ｐｏｗｅｒ ｏｖｅｒ Ｃｏａｘｉａｌ）技術の採用が進んでいる。

特開２００９－１２００７６号公報

自動車の故障時には、自動運転の機能が一部制限されても構わないが、安全を確保する動作、すなわちＦａｌｌｂａｃｋ（縮退）動作が要求される。Ｆａｌｌｂａｃｋ動作も様々な動作が考えられる。例えば、少なくとも、暴走することなく停車することは、車載制御システムに対して最低限求められる安全動作として考えられる。さらに、停車する場合にも、同一車線で停止するのではなく、路肩に自動車を寄せて停止する方が安全である。この場合、車載制御システムは、周辺の状況を把握する必要がある。

さらに、車道の幅が狭く、路肩に停車するスペースが無い場合や、見通しが悪い場合などには、路肩に停車スペースの余裕がある場所や、見通しが良い場所まで自動車を走行させる。また、高速道路を走行している場合であれば、サービスエリアまで、自動車を走行させるなどといった動作の方がより安全である。さらには、完全自動運転を実現したロボットタクシーなどでは、故障しても自動車工場まで、自走できることが最も望ましい。しかし、故障時の自動運転動作の高度化を求めるほど、車載制御システムの冗長化箇所が増加し、コストが増加することになる。例えば、安全に停車させるだけであれば、ブレーキシステム、ステアリングシステム、前方と後方の外界認識センサの一部を冗長化すればよいが、路肩に止める場合は左右の外界認識センサの冗長化も必要になる。

さらにより安全な路肩や避難場所に停車させるためには、走行距離が延びることになる。この場合には、冗長化が必要な外界認識センサの数がさらに増加することになる。また、外界認識センサのデータをもとに周辺の状況を判断し、自動車の軌道を決定し、車両の動作を制御する車載制御システムにより高い演算能力が要求される。このように冗長化する箇所を増やすほど、故障時にも、安全かつ快適な動作を実現することができるが、一方でコストが増加することになる。今後自動運転化が進むにつれて、Ｆａｌｌｂａｃｋ動作の高度化が求められる一方で、コストの低減が課題になることが予想される。特に外界認識センサは、自動運転化が進むのに合わせて数が増加しており、冗長化した場合の影響が大きい。

また、電源故障時特有の課題として、電源システムの切り替えの課題がある。例えば、電源システムを冗長化することで、通常の電源システムに異常が生じた場合でも、対象の機器に、冗長電源システムから電源を供給することができる。この場合、通常電源システムから冗長電源システムに切り替えたときに、対象の機器に対して一定時間電源の供給が途絶えることが危惧される。あるいは、切り替えの際の電源電圧の変化が、電源変動となって、対象の機器が正常動作できなくなることも危惧される。いずれの場合も、車両の制御に問題が発生する可能性がある。特に外界認識センサや車載制御システムでは、システムの複雑化に伴い、電源が途絶えたあとの起動シーケンスが複雑化し起動に時間がかかる可能性がある。走行している自動車においては、システムの機能の喪失時間の発生は、安全性の観点で問題を増加させることになる。

そのため、電源故障等の電源異常においては、いかに電源の供給を途絶えさせることなく、電源変動による機器の異常動作を引きおこさないように冗長電源システムへ切り替えることが、重要である。

例えば、特許文献１ではセンサへの電源異常があったことを、センサからの信号の異常で検知する。そのため、センサが異常状態となっている時間が発生しており、自動車の制御に影響を与えることが危惧される。

また、２系統の電源をダイオードＯＲで入力し、ダイオードＯＲの出力電源を、対象の機器に供給する技術が知られている。この技術であれば、一方の電源電圧が低下した場合でも、連続して電源を給電することができる。ただし、電源スイッチに比べてダイオードによる電力損失が大きいという問題がある。また、対象の機器が、例えばダイオードを介さずに電源にショート（天絡）すると、機器には正常の電源電圧より高い高電圧が供給され、高電圧の供給により機器に異常が発生するのを防止できないという問題がある。さらに、外界認識センサをＰｏＣで接続する場合には、電源の供給とセンサのデータの伝達が、同じ配線で行われるため、電源の他にセンサデータの伝達経路を切り替えることも必要となる。

本発明の目的は、Ｆａｌｌｂａｃｋ動作の高度化に伴うコストの増加を低減することが可能な車載制御システムを提供することにある。また、本発明の他の目的は、電源異常時に、通常電源から冗長電源への切り替えを高速化することが可能な車載制御システムを提供することにある。

本発明の前記並びにその他の目的と新規な特徴は、本明細書の記述及び添付図面から明らかになるであろう。

本願において開示される発明のうち、代表的なものの概要を簡単に説明すれば、次のとおりである。

すなわち、車載制御システムは、それぞれ相互にデータの通信を行う制御部を備えた複数の制御装置と、第１センサと、第１センサと複数の制御装置とを接続する複数の配線とを備える。ここで、複数の制御装置のそれぞれは、複数の配線のうち、対応する配線を介して、第１センサに電源を供給する第１電源部と、第１センサに供給される電源に関する異常を検知する第１検知部とを備える。異常を検知した第１検知部を備える制御装置における制御部は、他の制御装置が備える制御部から第１センサのデータを取得するように制御される。

本願において開示される発明のうち、代表的なものによって得られる効果を簡単に説明すれば、以下のとおりである。

Ｆａｌｌｂａｃｋ動作の高度化に伴うコストの増加を低減することが可能な車載制御システムを提供することができる。

実施の形態１に係わる車載制御システムの構成を示すブロック図である。 実施の形態２に係わる車載制御システムの構成を示すブロック図である。 実施の形態２に係わる車載制御システムの動作を説明するためのブロック図である。 実施の形態３に係わる電源モニタの構成を示すブロック図である。 実施の形態３に係わる電源遮断回路の構成を示すブロック図である。 実施の形態４に係わる外界認識センサの構成を示すブロック図である。 実施の形態５に係わる車載制御システムの構成を示すブロック図である。 本発明者らが検討した比較例の構成を示すブロック図である。

以下の実施の形態においては便宜上その必要があるときは、複数のセクションまたは実施の形態に分割して説明するが、特に明示した場合を除き、それらは互いに無関係なものではなく、一方は他方の一部または全部の変形例、詳細、補足説明等の関係にある。また、以下の実施の形態において、要素の数等（個数、数値、量、範囲等を含む）に言及する場合、特に明示した場合および原理的に明らかに特定の数に限定される場合等を除き、その特定の数に限定されるものではなく、特定の数以上でも以下でも良い。

さらに、以下の実施の形態において、その構成要素（要素ステップ等も含む）は、特に明示した場合および原理的に明らかに必須であると考えられる場合等を除き、必ずしも必須のものではないことは言うまでもない。同様に、以下の実施の形態において、構成要素等の形状、位置関係等に言及するときは、特に明示した場合および原理的に明らかにそうでないと考えられる場合等を除き、実質的にその形状等に近似または類似するもの等を含むものとする。このことは、上記数値および範囲についても同様である。

以下、本発明の実施の形態を図面に基づいて詳細に説明する。なお、実施の形態を説明するための全図において、同一の部材には原則として同一の符号を付し、その繰り返しの説明は原則として省略する。

（実施の形態１）
＜比較例＞
実施の形態１に係わる車載制御システムの理解を容易にするために、実施の形態１を説明する前に、本発明者らが、本発明に先だって検討した完全冗長化を施した比較例を説明する。図８は、本発明者らが検討した比較例の構成を示すブロック図である。

図８において、１００は、車載制御システムを示している。車載制御システム１００を構成する各ブロックは、特に制限されないが、図示されていない自動運転が可能な自動車（自動運転車）に搭載されている。自動運転車において、一部に故障が発生しても、Ｆａｌｌｂａｃｋ動作を実現するために車載制御システム１００は冗長化されている。すなわち、車載制御システム１００に、第１の車載制御システムと第２の車載制御システムの２つの車載制御システムを設けることにより、冗長化を行っている。第１の車載制御システムは、自動車の周辺の情報を取得する外界認識センサａ５および外界認識センサｂ６と、外界認識センサａ５および外界認識センサｂ６のデータを基にして、車両周辺の状況を把握し、自動車の動作を制御する制御回路３と、電源を供給するバッテリ１によって構成されている。第２の車載制御システムは、第１の車載制御システムと同様に、外界認識センサａ７および外界認識センサｂ８と、制御回路４と、バッテリ２とによって構成されている。

これにより、第１の車載制御システムにおいて何等かの故障が発生しても、第２の車載制御システムによって、車両を制御することが可能となるため、Ｆａｌｌｂａｃｋ動作を実現することができる。また、制御回路３と制御回路４とは、信号配線１５によって接続されており、この信号配線１５を用いて制御回路３と制御回路４とは通信を行い、例えば故障に係わる情報を、制御回路３と制御回路４との間で共有することができる。

図８において、９および１０は、バッテリ１および２からの電源電圧を、制御回路３および４に供給するための電源配線を示している。また、図８において、１１～１４は、外界認識センサａ５、外界認識センサｂ６、外界認識センサａ７および外界認識センサｂ８と制御回路３および４とを接続する配線を示している。制御回路３、４は、電源電圧を配線１１～１４によって、外界認識センサａ５、外界認識センサｂ６、外界認識センサａ７および外界認識センサｂ８に供給する。外界認識センサａ５、外界認識センサｂ６、外界認識センサａ７および外界認識センサｂ８は、供給された電源電圧を動作電圧として動作し、取得した自動車の周辺の情報を、データとして、配線１１～１４を介して、制御回路３、４に供給する。すなわち、配線１１～１４は、センサのデータを伝達する信号配線と、電源電圧を供給する電源配線として機能する。

比較例では、冗長化することにより、Ｆａｌｌｂａｃｋ動作を実現することが可能となっているが、冗長化により部品数および配線数が増加し、コストが増加することになる。特に、外界認識センサの数は、自動運転の高度化に伴って増える。そのため、自動運転の高度化を図ると、冗長化によるコストの増加はさらに大きくなる。

＜車載制御システムの構成＞
図１は、実施の形態１に係わる車載制御システムの構成を示すブロック図である。同図において、１００は車載制御システムを示している。図８と同様に、車載制御システム１００を構成する各ブロックは、図示しない自動運転車に搭載されている。特に制限されないが、実施の形態１では、２つの外界認識センサａ５および外界認識センサｂ６を用いて、自動運転車の周囲の状況を把握し、自動運転車を制御する車載制御システムを説明する。

外界認識センサａ５と外界認識センサｂ６とは、互いに異なる外界認識センサによって構成されている。例えば、外界認識センサａ５と外界認識センサｂ６とは、互いに異なる種類のセンサによって構成されている。あるいは、同じ種類のセンサによって、外界認識センサａ５とｂ６とが構成されている場合には、計測する方向、角度または／および距離が、外界認識センサａ５とｂ６との間で異なっている。一例を述べると、外界認識センサａ５とｂ６は、センサの種類としては同じカメラによって構成されている。しかしながら、外界認識センサａ５は、例えば自動運転車の前方を撮影するような位置に搭載され、外界認識センサｂ６は、自動運転車の後方を撮影するような位置に搭載されている。車載制御システム１００が、自動運転車に対して所望の車両制御を実現するためには、外界認識センサａ５およびｂ６のいずれか一方によって取得された情報だけでは、不足しており、両方の外界認識センサによって取得された情報が必要とされる。

車載制御システム１００は、バッテリ１、２と、制御回路３、４と、外界認識センサａ５と、外界認識センサｂ６とを備えている。バッテリ１は、電源配線９によって制御回路３に接続され、バッテリ２は、電源配線１０によって制御回路４に接続されている。これにより、電源配線９を介して、バッテリ１から制御回路３に電源電圧が供給され、電源配線１０を介して、バッテリ２から制御回路４に電源電圧が供給される。

制御回路３、４は、バッテリ１、２から供給された電源電圧を動作電圧として動作する。また、制御回路３、４は、バッテリ１、２から供給された電源電圧に基づいて、外界認識センサａ５、ｂ６を動作させる電源電圧を発生し、外界認識センサａ５、ｂ６に供給する。

制御回路３は、配線１１によって外界認識センサａ５に接続され、配線１２によって外界認識センサｂ６に接続されている。また、制御回路４は、配線１４によって外界認識センサｂ６に接続され、配線１３によって外界認識センサａ５に接続されている。さらに、制御回路３と４は、信号配線１５によって接続されている。

実施の形態１においては、電源異常等の故障が発生していないとき、すなわち通常動作（正常動作）時、外界認識センサと制御回路とは一対一に対応しているが、故障が発生して、Ｆａｌｌｂａｃｋ動作が行われているとき、すなわち冗長動作時には、対応関係が自動的に変更される。

すなわち、通常動作時には、外界認識センサａ５と制御回路３とが対応し、配線１１を用いて、制御回路３から外界認識センサａ５に給電が行われ、配線１１を用いて、制御回路３と外界認識センサａ５との間で通信が行われる。また、通常動作時には、外界認識センサｂ６と制御回路４とが対応し、配線１４を用いて、制御回路４から外界認識センサｂ６に給電が行われ、配線１４を用いて、制御回路４と外界認識センサｂ６との間で通信が行われる。

これに対して、冗長動作時には、制御回路３および制御回路４のいずれかが、外界認識センサａ５およびｂ６の両方に対応する。冗長動作時において、例えば制御回路３が、両方の外界認識センサに対応する場合、制御回路３は、通常動作時と同様に、配線１１を用いて、外界認識センサａ５に対して給電を行うとともに、外界認識センサａ５との間で通信を行う。また、制御回路３は、配線１２を用いて、外界認識センサｂ６に対して給電を行い、配線１２を用いて、外界認識センサｂ６との間で通信を行う。同様に、冗長動作時において、制御回路４が、両方の外界認識センサに対応する場合、制御回路４は、通常動作時と同様に、配線１４を用いて、外界認識センサｂ６に対して給電を行うとともに、外界認識センサｂ６との間で通信を行う。また、制御回路４は、配線１３を用いて、外界認識センサａ５に対して給電を行い、配線１３を用いて、外界認識センサａ５との間で通信を行う。

このように、配線１２および１３は、冗長動作時に用いられるため、以下、冗長配線１２および１３と称する。一方、配線１１および１４は、冗長動作時だけでなく、通常動作時にも用いられるため、以下、通常配線と称する。

＜＜通常動作時の車載制御システムの動作＞＞
外界認識センサａ５は、通常配線１１を介して、制御回路３から供給されている電源電圧を動作電圧として動作する。外界認識センサａ５は、車両の周辺の状況（外界の状況）に応じた情報、例えば車両の前方を撮影した情報を、センサのデータとして、通常配線１１に出力する。このデータは、通常配線１１を伝播して、制御回路３に供給される。また、外界認識センサｂ６は、通常配線１４を介して、制御回路４から供給されている電源電圧を動作電圧として動作する。外界認識センサｂ６は、車両の周辺の状況に応じた情報、例えば車両の後方を撮影した情報を、センサのデータとして、通常配線１４に出力する。このデータは、通常配線１４を伝播して、制御回路４に供給される。

制御回路３と制御回路４とは、信号配線１５によって接続されており、信号配線１５を介して、制御回路３と制御回路４とが通信を行う。すなわち、制御回路３は、対応する外界認識センサａ５から取得したセンサのデータを、信号配線１５を介して、制御回路４に送信する。また、制御回路４は、対応する外界認識センサｂ６から取得したセンサのデータを、信号配線１５を介して、制御回路３に送信する。これにより、制御回路３および４のそれぞれが、外界認識センサａ５およびｂ６からのデータを取得することになる。制御回路３および４のそれぞれは、取得した外界認識センサａ５およびｂ６からのデータに対して所定の制御演算等の処理を行い、外界認識センサａ５およびｂ６からのデータに基づいて、車両の周囲の状況、例えば車両の前方および後方を認識する。認識した車両の周囲の状況に従って、制御回路３および４は、車両を制御する。

また、制御回路３において実行された所定の制御演算の結果は、信号配線１５を介して、制御回路４に送信される。同様に、制御回路４において実行された所定の制御演算の結果は、信号配線１５を介して、制御回路３に送信される。制御回路３においては、自らが実行した所定の制御演算の結果と、信号配線１５を介して受信した制御回路４における制御演算結果とを比較する。同様に、制御回路４においては、自らが実行した所定の制御演算の結果と、信号配線１５を介して受信した制御回路３における制御演算結果とを比較する。このように比較することにより、制御回路３および４の両方において、異常を検知することが可能となる。なお、比較により検知された異常は、特に制限されないが、制御回路３および４に対して上位のシステムに、制御回路３および４から通知される。

＜＜冗長動作時の車載制御システムの動作＞＞
次に故障等が生じたときの車載制御システム１００の動作を説明する。ここでは、通常配線１１に断線あるいは他の配線との間でショートが発生し、通常配線１１に電源異常が発生した場合を例として説明する。

外界認識センサａ５は、冗長配線１３を介して制御回路４から給電されている電源電圧を動作電圧として動作する。この場合、外界認識センサａ５によって取得された車両の周辺の情報は、センサのデータとして、冗長配線１３に出力される。このとき、外界認識センサｂ６は、通常動作のときと同様に、通常配線１４を介して供給されている電源電圧を動作電圧として動作する。動作することにより、外界認識センサｂ６が取得した車両の周辺の情報は、センサのデータとして、通常配線１４に出力される。

制御回路４は、冗長配線１３を介して、外界認識センサａ５からのセンサのデータを受信し、通常配線１４を介して、外界認識センサｂ６からのセンサのデータを受信する。制御回路４は、受信した外界認識センサａ５からのデータと外界認識センサｂ６からのデータとを、信号配線１５を介して、制御回路３へ送信する。これにより、制御回路３および４のそれぞれが、通常動作時のときと同様に、外界認識センサｂ６からのデータと外界認識センサａ５からのデータの両方を取得する。

制御回路３および４のそれぞれは、取得した両方の外界認識センサからのデータに対して、通常動作のときと同様に、所定の制御演算を行い、車両の周囲の状況を認識し、車両の制御を行う。また、制御回路３において実行された所定の制御演算の結果は、信号配線１５を介して、制御回路４に送信され、制御回路４において実行された所定の制御演算の結果は、信号配線１５を介して、制御回路３に送信される。通常動作のときと同様に、制御回路３および４のそれぞれが、所定の制御演算の結果の比較を行い、異常の検知を行う。これにより、制御回路３または４において異常が発生している場合にも、異常を検知することが可能である。冗長動作時においても、比較により検知された異常は、制御回路３および４が、上位システムに通知する。

これにより、通常配線１１に異常があった場合でも、制御回路３および制御回路４ともに外界認識センサａ５、外界認識センサｂ６の両方のデータを基に、車両の制御を行うことができ、通常動作時と同等の制御が可能となる。

通常配線１１に電源異常が発生した場合を例にして説明したが、通常配線１４に電源異常が発生した場合も、車載制御システム１００は、通常動作時と同等の制御を行うことが可能である。すなわち、通常配線１４に電源異常があった場合、外界認識センサｂ６には冗長配線１２を通じて制御回路３から電源が給電されるとともに、外界認識センサｂ６のデータは、冗長配線１２を通じて制御回路３に送信される。制御回路３は外界認識センサａ５および外界認識センサｂ６のデータを、信号配線１５を通じて制御回路４に送信する。これにより、通常配線１４に電源異常があった場合でも、制御回路３および４のそれぞれが、外界認識センサａ５およびｂ６の両方のデータを基にして、車両の制御を行うことができ、通常動作時と同等の制御が可能となる。

実施の形態１によれば、完全冗長化を施した比較例（図８）に比べて、外界認識センサの数を半分に低減することが可能である。その結果、コストの低減を図りながら、Ｆａｌｌｂａｃｋ動作を実現することが可能な車載制御システムを提供することができる。

（実施の形態２）
図２は、実施の形態２に係わる車載制御システムの構成を示すブロック図である。実施の形態２では、実施の形態１で述べた車載制御システム１００のより具体的な構成の一例が提示される。

図２には、図１に示した制御回路３、制御回路４および外界認識センサａ５、ｂ６の具体的な構成の一例が示されている。外界認識センサａ５、ｂ６と制御回路３、４とを接続する通常配線１１、１４および冗長配線１２、１３のそれぞれは、一本の同軸ケーブルで信号と電源電圧を供給するＰｏＣで構成されている。すなわち、電源電圧が一本の同軸ケーブルで給電されるとともに、給電される電源電圧に、データ通信のデータが重畳されている。

バッテリ１は、電源配線９によって、制御回路３に接続され、電源配線９を介して、バッテリ１から制御回路３に電源電圧が供給される。同様に、バッテリ２は、電源配線１０を介して、制御回路４に電源電圧を供給する。

図１と同様に、外界認識センサａ５は、通常配線１１を介して対応する制御回路３に接続され、冗長配線１３を介して制御回路４に接続されている。また、外界認識センサｂ６は、通常配線１４を介して対応する制御回路４に接続され、冗長配線１２を介して制御回路３に接続されている。前記したように、通常配線１１、１４および冗長配線１２、１３のそれぞれは、一本の同軸ケーブルによって構成されている。

特に制限されないが、実施の形態２においては、制御回路３と制御回路４は互いに同じ構成を備えており、外界認識センサａ５と外界認識センサｂ６は互いに同じ構成を備えている。そのため、制御回路３および外界認識センサａ５を、制御回路および外界認識センサの代表例として説明する。

＜制御回路＞
制御回路３は、電源（第１電源部）２１と、プロセッサ（以下、ＭＰＵと称する）２２と、通信用半導体装置（以下、通信ＩＣまたは通信部と称する）２３と、電源遮断回路２４と、インダクタ２７、２８と、キャパシタ２５、２６とを備えている。

電源２１は、電源配線９を介してバッテリ１に接続されている。電源２１は、バッテリ１から供給された電源電圧から、ＭＰＵ２２、通信ＩＣ２３、電源遮断回路２４等を動作させるための動作電圧を生成し、電源配線２９、３０、３１等を介して、ＭＰＵ２２、通信ＩＣ２３、電源遮断回路２４等に給電する。ＭＰＵ２２は、信号配線３４、３５、１５を介して供給されるセンサのデータに対して、所定の制御演算を実行する。ＭＰＵ２２によって実行された所定の制御演算により、車両の周辺の状況が認識され、車両が制御される。

通信ＩＣ２３は、キャパシタ２５を介して通常配線１１に接続された入力ノードと、キャパシタ２６を介して冗長配線１２に接続された入力ノードとを備えている。キャパシタ２５、２６によって、通信ＩＣ２３の入力ノードは、通常配線１１および冗長配線１２から直流的には分離されており、通常配線１１および冗長配線１２において時間の経過とともに変化するセンサのデータが、通信ＩＣ２３の入力ノードに供給される。通信ＩＣ２３は、入力ノードに供給されたセンサのデータを、信号配線３４、３５を介してＭＰＵ２２に供給する。

電源遮断回路２４は、信号配線３７を介して通信ＩＣ２３に接続され、信号配線３６を介してＭＰＵ２２に接続されている。また、電源遮断回路２４は、電源配線３２を介してインダクタ２７の一方の端部に接続され、電源配線３３を介してインダクタ２８の一方の端部に接続されている。インダクタ２７の他方の端部は、冗長配線１２に接続され、インダクタ２８の他方の端部は、通常配線１１に接続されている。電源遮断回路２４は、電源配線３１を介して電源２１から供給されている電圧に基づいて、外界認識センサを動作させる電源電圧を生成し、電源配線３２および３３に供給する。また、電源遮断回路２４は、電源配線３２および３３における電圧及び電流を監視（モニタ）し、電圧値または電流値が、所定の検知範囲外になると、異常が発生としたと判定する。電源遮断回路２４は、異常と判定した電源配線に対して、電源電圧の供給を遮断する。また、電源遮断回路２４は、異常を検知したことを、信号配線３６、３７を介して、制御信号により、通信ＩＣ２３およびＭＰＵ２２に通知する。

電源配線３２、３３は、インダクタ２７、２８を介して通常配線１１、冗長配線１２に接続されている。そのため、電源遮断回路２４によって、異常が検知された電源配線への電源電圧の供給が遮断されることにより、インダクタを介して、異常が検知された電源配線に接続されている通常配線１１または冗長配線１２に対する電源電圧の供給が遮断されることになる。その結果、電源電圧の供給が遮断された通常配線１１または冗長配線１２に接続されている外界認識センサと電源２１との間は電気的に分離されることになる。電源遮断回路２４については、後で図５を用いて具体的な例を説明するので、これ以上の説明は省略する。

前記したように、通常配線１１および冗長配線１２と、電源配線３３および３２との間にインダクタ２８、２７が接続されている。このインダクタ２８および２７は、通常配線１１、冗長配線１２と電源配線３３、３２との間を、交流的に分離するように動作する。これにより、外界認識センサから、時間の経過に伴って変化するセンサのデータが、通常配線１１、冗長配線１２に送信された時、センサのデータが、電源２１側に漏れるのを低減している。

すなわち、実施の形態２に係わる制御回路３は、ＰｏＣ通信のために、電源配線３２と冗長配線１２とを交流的に分離するインダクタ２７と、電源配線３３と通常配線１１とを交流的に分離するインダクタ２８と、通信ＩＣ２３の入力ノードと通常配線１１とを直流的に分離するキャパシタ２５と、ＩＣ２３の入力ノードと冗長配線１２とを直流的に分離するキャパシタ２６とを備えている。これにより、電源電圧（電力）は直流成分として、センサのデータは交流成分として、分離され、同一配線で電力とデータを同時に送ることが可能となっている。

前記したように、制御回路４は、制御回路３と同じ構成であるため、対応関係のみを述べておく。制御回路４において、電源３８が電源２１に対応し、ＭＰＵ３９がＭＰＵ２２に対応し、通信ＩＣ４０が通信ＩＣ２４に対応し、電源遮断回路４１が電源遮断回路２４に対応する。また、制御回路４において、インダクタ４４がインダクタ２８に対応し、インダクタ４５がインダクタ２７に対応し、キャパシタ４３がキャパシタ２５に対応し、キャパシタ４２がキャパシタ２６に対応する。

制御回路３内のＭＰＵ２２と制御回路４内のＭＰＵ３９との間は、信号配線１５によって接続されており、信号配線１５を介して、ＭＰＵ２２とＭＰＵ３９との間で、例えばセンサのデータが送受信される。

なお、実施の形態２において、ＭＰＵ２２および３９は、制御部と見なすことができる。このように見なした場合、制御回路３および４は、第１制御装置および第２制御装置と見なすことができる。また、電源遮断回路２４、４１は、異常を検知するため、第１検知部と見なすことができる。さらに、外界認識センサａ５は、例えば第１センサと見なし、外界認識センサｂ６は、第２センサと見なすことができる。

＜外界認識センサ＞
外界認識センサａ５は、車両の周辺の状況、言い換えるならば外界情報を電気信号に変換するセンサ（センサ部）５５と、通信ＩＣ５６と、電源（第２電源部）５７と、電源モニタ５８と、スイッチ６３、６４と、キャパシタ５９、６０と、インダクタ６１、６２とを備えている。

後で説明するが、電源配線６７は、スイッチ６４または６３と、インダクタ６２または６１を介して、通常配線１１または冗長配線１３に接続され、電源配線６７には、通常配線１１または冗長配線１３における電源電圧が供給される。電源５７は、電源配線６７における電源電圧に基づいて、センサ５５および通信ＩＣ５６等を動作させる電源電圧を生成し、電源配線６９および６８等を介して、センサ５５および通信ＩＣ５６に供給する。

センサ５５は、電源配線６９における電源電圧を動作電圧として動作し、外界情報に応じたデータを、信号配線７１を介して、通信ＩＣ５６へ供給する。通信ＩＣ５６は、センサ５５から供給されたデータを、キャパシタ５９または６０を介して、通常配線１１または冗長配線１３に送信する。

インダクタ６２は、通常配線１１と電源配線（接続ノード）６６との間に接続され、インダクタ６１は、冗長配線１３と電源配線（接続ノード）６５との間に接続されている。キャパシタ５９、６０およびインダクタ６１、６２は、制御回路３で説明したキャパシタ２５、２６およびインダクタ２７、２８と同様に、交流成分のセンサのデータと、直流成分の電力とを分離するために、外界認識センサａ５に設けられている。

電源モニタ５８は、通常配線１１および冗長配線１３を介して、制御回路３および４から供給されている電源電圧を監視し、スイッチ６４および６３を制御するとともに、制御信号を、信号配線７０を介して通信ＩＣ５６に供給する。スイッチ６４は、接続ノード６６と電圧配線６７との間に接続され、スイッチ６３は、接続ノード６５と電圧配線６７との間に接続されている。スイッチ６４は、信号配線７２を介して電源モニタ５８から供給される制御信号によって、導通または非導通に切り替えられる。同様に、スイッチ６３は、信号配線７３を介して電源モニタ５８から供給される制御信号によって、非導通または導通に切り替えられる。なお、スイッチ６３とスイッチ６４とによってスイッチ部が構成されていると見なすことができる。

電源モニタ５８は、接続ノード６６に接続された入力ノードと、接続ノード６５に接続された入力ノードとを備え、接続ノード６５および６６の電圧を監視し、監視した結果に従った制御信号を、スイッチ６３、６４および通信ＩＣ５６に出力する。

前記したように、外界認識センサｂ６は、外界認識センサａ５と同じ構成であるため、対応関係のみを述べておく。外界認識センサｂ６において、センサ７４はセンサ５５に対応し、電源７６は電源５７に対応し、通信ＩＣ７５は通信ＩＣ５６に対応し、電源モニタ７７は電源モニタ５８に対応し、スイッチ８２、８３はスイッチ６３、６４に対応する。また、外界認識センサｂ６において、インダクタ８０、８１はインダクタ６２、６１に対応し、キャパシタ７８、７９はキャパシタ６０、５９に対応する。

図２において、スイッチ６３、６４および８２、８３の導通／非導通状態は、故障等が発生していない通常動作のときの状態が示されている。すなわち、通常動作時に、電源モニタ５８、７７は、スイッチ６３、６４および８２、８３のうち、インダクタを介して通常配線１１、１４に接続されているスイッチ（通常電源スイッチ）６４、８２が導通状態となり、インダクタを介して冗長配線１３、１２に接続されているスイッチ（冗長電源スイッチ）６３、８３が非導通状態となるように、制御信号によりスイッチ６３、６４および８２、８３を制御する。

通常動作時には、通常配線１１、１４に断線あるいはショート等の電源異常が発生していないため、通常電源スイッチ６４、８２と冗長電源スイッチ６３、８３の両方を導通状態にしておき、通常配線および冗長配線の両方を用いて、制御回路から外界認識センサ内の電源に電源電圧を供給することも考えられる。しかしながら、通常配線および冗長配線を介して、制御回路３と制御回路４から供給される電源電圧が、それぞれの制御回路を構成する部品のバラツキ等により必ずしも同一ではないことが考えられる。もし、部品のバラツキ等によって制御回路３と制御回路４から供給される電源電圧が異なる場合、通常電源スイッチと冗長電源スイッチの両方を導通状態にしていると、制御回路３と４の電源２１と３８との間で電流が流れる可能性がある。

また、例えば電源２１または３８に異常があった場合、異常の影響が、導通状態の通常電源スイッチと冗長電源スイッチとを介して、異常の発生していない電源に及ぶ可能性がある。これらを防止するために、実施の形態２においては、通常動作時に、通常電源スイッチが導通状態となり、冗長電源スイッチが非導通状態となるように、通常電源スイッチおよび冗長電源スイッチは制御されている。

後で図４を用いて、電源モニタ５８の具体的な構成例を示すが、電源モニタ５８は、接続ノード６６および６５の電圧を監視し、接続ノードの電圧が、所定の正常電圧範囲内にあるか否かを判定する。接続ノード６６または６５の電圧が、正常電圧範囲から外れていると、電源モニタ５８は、正常電圧範囲から外れていると判定した接続ノードに接続されているスイッチを、制御信号によって非導通状態にし、正常電圧範囲内にあると判定した接続ノードに接続されているスイッチを、制御信号によって導通状態にする。すなわち、実施の形態２においては、電源モニタ５８、７７が、通常配線における電圧と冗長配線における電圧が、正常電圧範囲内か否かを検知することによって、通常配線および冗長配線を介して供給される電源に係わる異常を検知している。この電源モニタ５８、７７は、電源に係わる異常を検知する第２検知部と見なすことができる。

＜通常配線における異常発生時の動作＞
図３は、実施の形態２に係わる車載制御システムの動作を説明するためのブロック図である。図３は、図２に類似しており、相異点は、通常電源スイッチ６４が非導通状態となっており、冗長電源スイッチ６３が導通状態となっていることである。すなわち、通常配線１１における電源電圧が、異常な電圧となり、接続ノード６６の電圧が正常電圧範囲外となったときの状態が、図３に示されている。なお、通常配線１４および冗長配線１３における電圧は異常となっていないため、通常電源スイッチ８２および冗長電源スイッチ８３は、図２に示した通常動作時と同じ状態となっている。

この場合、電源モニタ５８が、接続ノード６６の電源電圧が正常電圧範囲外であると検知すると、電源モニタ５８は、通常電源スイッチ６４を非導通状態とし、冗長電源スイッチ６３を導通状態となるように、スイッチ６４、６３を制御する。また、電源モニタ５８は、信号配線７０を介して、通常配線１１に異常が発生したことを、制御信号によって、通信ＩＣ５６に通知する。

通信ＩＣ５６は、通常配線１１の異常が通知されると、センサ５５からのデータの送信先を、通常配線１１から冗長配線１３に切り替える。また、制御回路３においては、電源遮断回路２４が、電源配線３２、３３における電圧及び電流を監視している。通常配線１１に異常が発生しているため、電源配線３３における電圧値または電流値が、所定の検知範囲外となり、電源遮断回路２４は、電源配線３１と電源配線３３との間を遮断し、異常の発生を、信号配線３７、３６を介して、通信ＩＣ２３およびＭＰＵ２２に通知する。遮断により、電源配線３３と電源配線３１との間が電気的に分離されることにより、通常配線１１における異常の影響が、他の電源５７等に及ぶのを防ぐことが可能である。

通信ＩＣ２３は、異常の発生の通知を受けると、通常配線１１から供給されるデータに対する処理を停止し、ＭＰＵ２２へのデータの送信も停止する。また、ＭＰＵ２２は、異常の発生の通知を受けると、信号配線１５を介して、制御回路４に設けられているＭＰＵ３９に対して、通常配線１１に異常が発生したことを通知し、冗長配線１３を介して、制御回路４に外界認識センサａ５からセンサのデータが送信されることを通知する。さらに、ＭＰＵ２２は、信号配線１５を介して、ＭＰＵ３９に対して、外界認識センサａ５からのデータも、ＭＰＵ２２へ送信するように要求する。

ＭＰＵ２２から通知および要求を受けた制御回路４内のＭＰＵ３９は、信号配線５１または５２を介して、通信ＩＣ４０に対して、外界認識センサａ５からのデータが、冗長配線１３を介して制御回路４に送信されることを通知する。通知を受けた通信ＩＣ４０は、冗長配線１３を介して送信されてくる外界認識センサａ５のデータの受信を開始し、受信したデータを、信号配線５１または５２を介してＭＰＵ３９へ送信する。また、通常動作のときと同様に、通信ＩＣ４０は、通常配線１４を介して送信されてくる外界認識センサｂ６のデータを受信し、受信したデータを信号配線５２または５１を介してＭＰＵ３９へ送信する。

ＭＰＵ３９は、通信ＩＣ４０から送信された外界認識センサａ５のデータと、外界認識センサｂ６のデータとに対して、所定の制御演算を実行するとともに、外界認識センサａ５のデータと外界認識センサｂ６のデータの両方を、信号配線１５を介して、ＭＰＵ２２へ送信する。ＭＰＵ２２は、信号配線１５を介して、ＭＰＵ３９から送信された外界認識センサａ５のデータと外界認識センサｂ６のデータとに対して、所定の制御演算を実行する。また、ＭＰＵ２２は、実行した所定の制御演算の結果を、信号配線１５を介して、ＭＰＵ３９へ送信し、ＭＰＵ３９も、実行した所定の制御演算の結果を、信号配線１５を介して、ＭＰＵ２２へ送信する。ＭＰＵ２２および３９のそれぞれにおいて、所定の演算結果を比較し、ＭＰＵ２２および３９は、比較結果を上位システムに送信するとともに、故障が発生したことを、上位システムに送信し、ユーザーに通知する。

＜通常配線がショートまたは断線した場合の動作＞
通常配線が接地電圧またはバッテリ等にショート（地絡または天絡）した場合あるいは通常配線が断線した場合も、ショートあるいは断線を検知し、車載制御システム１００は、動作を継続することが可能である。

例えば通常配線１１が、接地電圧またはバッテリにショートした場合、外界認識センサａ５に対応する制御回路３における電圧配線３３の電圧または電流が、ショートにより変化する。例えば、ショートにより、電圧配線３３における電圧や電流が増加したり、電流が逆流する。これにより、電圧配線３３における電圧・電流が、電源遮断回路２４に設定されている所定の検知範囲外となり、＜通常配線における異常発生時の動作＞で述べたように、検知されるとともに、車載制御システム１００は、動作を継続する。

例えば、通常配線１１がＧＮＤにショートした場合やバッテリ電圧などにショートした場合は、電源配線３３における電圧の異常や電流の増加もしくは逆流が発生し、電源遮断回路２４によって、所定の検知範囲外であるとして検知することが可能である。また、断線の場合には、電源配線３３を電流が流れなくなるため、電源遮断回路２４で、検知範囲外であるとして検知することが可能である。

通常配線１１を例にして述べたが、通常配線１４がショートした場合あるいは断線した場合も同様である。

＜冗長配線における異常発生時の動作＞
次に、通常動作時に、データの送信および電源電圧の給電に用いられていない冗長配線に異常が発生した場合の動作を説明する。ここでは、冗長配線１３に異常が発生した場合を例にして説明する。

冗長配線１３に異常が発生すると、電源配線５０における電圧値または電流値が、電源遮断回路４１に設定されている所定の検知範囲を外れることになる。そのため、電源遮断回路４１は、異常が発生したことを、信号配線５４、５３を介して、制御信号により通信ＩＣ４０、ＭＰＵ３９に通知する。また、電源遮断回路４１は、電源配線５０と電源配線４８との間を遮断し、電源配線５０と電源配線４８との間を電気的に分離する。

異常の発生の通知を受けたＭＰＵ３９は、制御回路３内のＭＰＵ２２に対して、冗長配線１３に異常があることを通知する。また、ＭＰＵ３９は、故障が発生し、修理が必要であることを上位システムおよびユーザーに通知する。

なお、冗長配線に異常があっても、通常配線に異常が発生していなければ、通常動作時と同様に、制御回路３および４によって、車両の制御が行われる。冗長配線１３を例にして説明したが、冗長配線１２に異常が発生した場合も同様である。

＜電源、バッテリ等の電源系の異常時の動作＞
通常配線または冗長配線に異常があった場合を説明したが、電源２１、３８から出力される電源電圧に異常があった場合、バッテリ１、２から制御回路３、４への電源供給に異常があった場合にも、異常を検知し、車載制御システム１００は、動作を継続することが可能である。

電源２１から出力される電源電圧に異常があった場合または／およびバッテリ１からの電源電圧に異常があった場合を例にして説明する。電源２１または／およびバッテリ１に異常が発生すると、通常配線１１における電圧が変化し、接続ノード６６における電圧が、電源モニタ５８に設定されている所定の正常電圧範囲外に変化する。電源モニタ５８は、接続ノード６６における電圧が、所定の正常電圧範囲外になったことを検知し、正常電源スイッチ６４を導通状態から非導通状態に切り替え、冗長電源スイッチ６３を非導通状態から導通状態へ切り替えるように動作する。また、電源モニタ５８は、信号配線７０を介して、通信ＩＣ５６に異常を通知する。通信ＩＣ５６は、通知を受けると、センサ５５からのデータを、通常配線１１から冗長配線１３へ供給するように、センサのデータの送信先を変更する。

この場合、バッテリ１および電源２１に対応する電源遮断回路２４は、動作しない。これは、例えばバッテリ１または／および電源２１の異常により、電源遮断回路２４に供給される電源電圧が接地電圧となる場合があり、この場合には電源遮断回路２４に動作電圧が供給されないことになるためである。この場合、ＭＰＵ２２および通信ＩＣ２３にも動作電圧が供給されない状態となる。そのため、制御回路３は非動作状態となってしまう。

前記したように、外界認識センサａ５に設けられているセンサ５５のデータは、冗長配線１３に送信されるため、冗長配線１３における電圧・電流がセンサ５５のデータに従って変化することになる。制御回路４に設けられている電源遮断回路４１は、インダクタ４５を介して冗長配線１３に接続されている電圧配線５０における例えば電流の変化を検知し、信号配線５４を介して、通信ＩＣ４０に、電流が変化していることを通知する。通知を受けた通信ＩＣ４０は、冗長配線１３におけるデータをチェックし、外界認識センサａ５からのデータであると確認すると、信号配線５１または５２を介して、ＭＰＵ３９に、冗長配線１３からデータが送信されていることを通知し、冗長配線１３から受信したデータを、信号配線５１または５２を介して、ＭＰＵ３９へ送信する。

ＭＰＵ３９は、通信ＩＣ４０からのデータと通知を受信し、信号配線１５を介して制御回路３内のＭＰＵ２２との通信を試みる。この通信において、例えば所定の時間内に、ＭＰＵ２２から応答がない場合、ＭＰＵ３９は、冗長配線１３を用いて送信された外界認識センサａ５からのデータと、通常配線１４を用いて送信された外界認識センサｂ６からのデータとに対して、所定に制御演算を実行し、制御演算の結果に基づいて、車両の制御を実行する。さらに、ＭＰＵ３９は、制御回路３において電源２１または／およびバッテリ１等の電源系に異常が発生していると判定し、この異常を、上位システムやユーザーに通知する。

制御回路３における電源系の異常を例にして説明したが、制御回路４における電源系に異常が発生した場合も同様である。この場合には、ＭＰＵ３９の代わりにＭＰＵ２２が、外界認識センサａ５およびｂ６のデータに基づいて車両の制御を実行し、上位システムやユーザーに、制御回路４における電源系の異常を通知する。

その結果、制御回路３または４における電源系に異常が発生しても、車載制御システム１００は、動作を継続することが可能である。

実施の形態１および２においては、電源電圧の異常に基づいて、通常配線および冗長配線の異常を検知し、センサのデータを伝達する経路を切り替えるように制御が行われる。そのため、電源電圧に異常が発生し、これにより外界認識センサのデータに異常が発生するのを検知する制御に比べて、電源電圧に異常が発生してから、センサのデータ伝達経路を切り替えるまでの時間を短縮することが可能である。

また、実施の形態２においては、制御回路から外界認識センサへ供給される電源電圧が、外界認識センサを動作させることが可能な動作電圧よりも下回る前に、通常電源スイッチと冗長電源スイッチを切り替えることが可能である。例えば、通常配線１１を介して供給される電源電圧は、電源５７に供給され、電源５７がセンサ５５および通信ＩＣ５６を動作させる電源電圧を生成するが、通常配線１１における電圧が低下し、電源５７が生成する電源電圧が、センサ５５および通信ＩＣ５６を正常に動作させることが可能な正常動作電圧範囲よりも下回る前に、電源モニタ５８は、冗長電源スイッチ６３を非導通状態から導通状態に変更する。これにより、通常配線１１における電圧が低下しても、センサ５５および通信ＩＣ５６には、適切な動作電圧を給電することが可能となり、センサ５５や通信ＩＣ５６が異常動作状態になりパワーオンリセット動作が発生することを防止できるため故障から正常動作への復帰時間を短縮することができる。

さらに、電源モニタ５８は、冗長電源スイッチ６３を導通状態に変更するとき、通常電源スイッチ６４を導通状態から非導通状態へ変更する。これにより、通常配線１１における電圧低下の影響が、冗長配線１３に与えられるのを防ぐことが可能である。

通常配線１１における電圧の低下を例にして説明したが、通常配線１４における電圧が低下した場合も同様である。

実施の形態１および２においては、外界認識センサと制御回路との間の接続が、ＰｏＣ接続の場合を説明したが、これに限定されるものではない。すなわち、電力とデータが、同一の配線を用いて、外界認識センサと制御回路との間を伝達される構成であればよい、なお、車両の制御には、前記した外界認識センサと制御回路の他に、ブレーキシステムやステアリングシステムといった制御システムも必要になるが、実施の形態１および２では省略している。

（実施の形態３）
実施の形態３では、前記した電源モニタ５８、７７および電源遮断回路２４、４１の具体的な一例を提示する。

＜電源モニタ＞
図４は、実施の形態３に係わる電源モニタの構成を示すブロック図である。電源モニタ５８と７７は、同じ構成であるため、ここでは電源モニタ５８を代表例として説明する。電源モニタ５８は、制御回路１０１と、定電圧源１０２と、コンパレータ１０３、１０４、１０５、１０６と、抵抗１０９、１１０、１１１、１１２と、ダイオード１０７、１０８とを備えている。

図３および図４に示したインダクタ６２を介して通常配線１１に接続された接続ノード６６は、ダイオード１０７のアノードに接続され、インダクタ６１を介して冗長配線１３に接続された接続ノード６５は、ダイオード１０８のアノードに接続されている。ダイオード１０７、１０８のカソードは、共通に接続されている。ダイオード１０７、１０８の共通接続のカソードは、制御回路１０１と、定電圧源１０２と、コンパレータ１０３～１０６とに接続されている。なお、図４では、図面が複雑になるのを避けるために、共通接続のカソードとコンパレータ１０３～１０６との間の接続は省略されている。

ダイオード１０７と１０８のカソードを共通接続することにより、ダイオードＯＲが構成され、通常配線１１および冗長配線１３における電圧が、制御回路１０１、定電圧源１０２およびコンパレータ１０３～１０６の電源電圧として供給される。また、通常配線１１または冗長配線１３が接地電圧にショートして、接続ノード６６または６５の電圧が低下した場合、インダクタを介してショートした通常配線または冗長配線に接続されている接続ノードに接続されたダイオード１０７または１０８が逆バイアス状態となる。そのため、ショートしていない通常配線または冗長配線に接続されたダイオード１０７または１０８から、制御回路１０１、定電圧源１０２およびコンパレータ１０３～１０６に電源電圧が供給され、制御回路１０１、定電圧源１０２およびコンパレータ１０３～１０６は、正常に動作することが可能である。

また、電圧モニタ５８を構成する素子の耐圧は、バッテリ１の電圧より高いものが使用されており、素子の正常動作範囲が、バッテリ１の電圧より高く設計されている。これにより、通常配線１１もしくは冗長配線１３のどちらかがバッテリ１にショートした場合でも、電源モニタ５８は、正常に動作することが可能となっている。

抵抗１０９と１１０は、接続ノード６６と接地電圧Ｖｓとの間に直列接続されている。抵抗１０９と１１０との間の接続ノードは、電圧配線１１６を介して、コンパレータ１０５の入力（－）とコンパレータ１０６の入力（＋）に接続されている。これにより、接続ノード６６における電圧が、抵抗１０９と１１０の抵抗比により分圧され、分圧により形成された分圧電圧が、コンパレータ１０５の入力（－）とコンパレータ１０６の入力（＋）に供給されることになる。同様に、抵抗１１１と１１２は、接続ノード６５と接地電圧Ｖｓとの間に直列接続されている。抵抗１１１と１１２との間の接続ノードは、電圧配線１１５を介して、コンパレータ１０３の入力（－）とコンパレータ１０４の入力（＋）に接続されている。これにより、接続ノード６５における電圧が、抵抗１１１と１１２の抵抗比により分圧され、分圧により形成された分圧電圧が、コンパレータ１０３の入力（－）とコンパレータ１０４の入力（＋）に供給されることになる。

定電圧源１０２は、外界認識センサａ５に含まれるセンサ５５、通信ＩＣ５６および電源５７等を正常に動作させることが可能な正常電圧範囲の高電圧側のリミット値（上限電圧）に、抵抗１０９と１１０の分圧比を掛けた電圧を上限リミット電圧として生成し、電圧配線１１４に出力するように動作する。また、定電圧源１０２は、外界認識センサａ５に含まれるセンサ５５、通信ＩＣ５６および電源５７等を正常に動作させることが可能な正常電圧範囲の低電圧側のリミット値（下限電圧）に、抵抗１１１と１１２の分圧比を掛けた電圧を下限リミット電圧として生成し、電圧配線１１３に出力するように動作する。

コンパレータ１０４と１０６は、接続ノード６６、６５における電圧と、上限リミット値とを比較し、上限リミット値を超えているか否かを判定する。また、コンパレータ１０３と１０５は、接続ノード６５、６６における電圧と、下限リミット値とを比較し、下限リミット値を超えているか否かを判定する。すなわち、コンパレータ１０５と１０６によって、接続ノード６６における電圧が、前記した正常電圧範囲内か範囲外かの判定が行われ、コンパレータ１０３と１０４によって、接続ノード６５における電圧が、前記した正常電圧範囲内か範囲外かの判定が行われることになる。コンパレータ１０３～１０６の比較結果は、制御回路１０１に供給される。

制御回路１０１は、供給された比較結果に基づいて、高電圧異常、低電圧異常を判定する。すなわち、接続ノード６６における電圧が、上限リミット値を超えていた場合、通常配線１１における電圧が高電圧異常であると判定し、接続ノード６５における電圧が、上限リミット値を超えていた場合、冗長配線１３における電圧が高電圧異常であると判定する。また、制御回路１０１は、接続ノード６６における電圧が、下限リミット値よりも下回って場合、通常配線１１における電圧が低電圧異常であると判定し、接続ノード６５における電圧が、下限リミット値よりも下回っていた場合、冗長配線１３における電圧が低電圧異常であると判定する。制御回路１０１は、判定結果に基づいて制御信号を生成し、信号配線７０、７２、７３に出力する。

例えば、制御回路１０１は、通常配線１１における電圧が、高電圧異常または低電圧異常であると判定すると、通常電源スイッチ６４を非導通状態にするような制御信号を、信号配線７２に出力し、冗長電源スイッチ６３を導通状態にするような制御信号を、信号配線７３に出力し、異常の発生を通知する制御信号を、信号配線７０を介して通信ＩＣ５６に出力する。電源モニタ５８を例にして説明したが、電源モニタ７７も同様である。

＜電源遮断回路＞
図５は、実施の形態３に係わる電源遮断回路の構成を示すブロック図である。図２および図３に示した電源遮断回路２４および４１は、同じ構成を備えているため、ここでは、電源遮断回路２４を代表例として説明する。

電源遮断回路２５は、制御回路１４０と、通常遮断スイッチ１４２と、冗長遮断スイッチ１４１とを備えている。通常遮断スイッチ１４２は、電源配線３１と電源配線３３との間に接続され、冗長遮断スイッチ１４１は、電源配線３１と電源配線３２との間に接続されている。図２で説明したように、電源配線３１は、電源２１に接続され、電源２１から電源電圧が供給される。また、電源配線３３は、インダクタ２８を介して通常配線１１に接続され、電源配線３２は、インダクタ２７を介して冗長配線１２に接続されている。

制御回路１４０は、電源配線３２と３３に接続され、電源配線３２、３３における電圧および電流と、予め設定されている所定の電圧範囲および所定の電流範囲とを比較することにより、電源配線３２、３３における電圧・電流が、所定の検知範囲内か外かを監視し、監視の結果に従って、通常遮断スイッチ１４２および冗長遮断スイッチ１４２を導通状態または非導通状態に切り替える。また、制御回路１４０は、監視の結果に従って、制御信号を生成し、信号配線３６および３７を介して、ＭＰＵ２２および通信ＩＣ２３に、監視の結果に従った通知を行う。

制御回路１４０は、電源配線３１を介して電源電圧が給電されると、動作を開始する。動作を開始すると、制御回路１４０は、通常遮断スイッチ１４２および冗長遮断スイッチ１４１の両方が導通状態となるように、制御信号によって、通常遮断スイッチ１４２および冗長遮断スイッチ１４１を制御する。制御回路１４０は、前記したように、電源配線３２および３３の両方における電圧と電流と予め設定された所定の電圧範囲および所定の電流範囲とを比較する。比較により、電源配線３２、３３における電圧および電流が、予め設定した所定の電圧範囲および電流範囲内にあると判定すると、制御回路１４０は、通常遮断スイッチ１４２および冗長遮断スイッチ１４１の両方が継続して導通状態となるように、これらのスイッチを制御する。

これに対して、比較により、電源配線３３または３２における電圧または／および電流が、前記した所定の電圧範囲または／および電流範囲から外れたと判定すると、制御回路１４０は、所定の電圧範囲または／および電流範囲から外れた電圧または／および電流となっている電源配線３３または３２に接続されている通常遮断スイッチ１４２または冗長遮断スイッチ１４１を、導通状態から非導通状態に切り替わるように、制御信号で通常遮断スイッチ１４２または冗長遮断スイッチ１４１を制御する。

例えば、電源配線３３における電圧が、所定の電圧範囲から外れると、制御回路１４０は、電源配線３３に接続された通常遮断スイッチ１４２を非導通状態に切り替え、冗長遮断スイッチ１４１は導通状態を維持するように制御する。また、この場合、制御回路１４０は、信号配線３６および３７を介して、通常配線１１に異常が発生したことを、ＭＰＵ２２および通信ＩＣ２３に制御信号で通知する。この通知により、ＭＰＵ２２および通信ＩＣは、実施の形態１および２で説明したように動作する。

また、制御回路１４０は、冗長配線１２に対応する電源配線３２を流れる電流の変化を検出する。制御回路１４０は、電源配線３２を流れる電流の変化を検出すると、通常遮断スイッチ１４２および冗長遮断スイッチ１４１の両方を導通状態に維持しながら、冗長配線１２に電流の変化が生じていることを、信号配線３６を介する制御信号によって、ＭＰＵ２２に通知する。この通知により、ＭＰＵ２２は、実施の形態２の＜電源、バッテリ等の電源系の異常時の動作＞で説明したように、ＭＰＵ３９に対して通信を試みる動作を実行する。なお、通常遮断スイッチ１４１と冗長遮断スイッチ１４２とによって、スイッチ部が構成されていると見なすことができる。この場合、制御回路１４０は、異常を検知して、ＭＰＵ２２及び通信ＩＣ２３に通知する検知制御部と見なすことができる。

（実施の形態４）
図６は、実施の形態４に係わる外界認識センサの構成を示すブロック図である。図６に示す外界認識センサ１２１は、図３に示した外界認識センサａ５と類似している。相異点は、接続ノード６６と接地電圧Ｖｓとの間にキャパシタ１２３が接続され、接続ノード６５と接地電圧Ｖｓとの間にキャパシタ１２２が接続されていることである。実施の形態４においては、インダクタ６２とキャパシタ１２３によって、通常配線用のローパスフィルタが構成され、インダクタ６１とキャパシタ１２２によって、冗長配線用のローパスフィルタが構成されている。異常が発生して、通常配線１１もしくは冗長配線１３における電源電圧が変化すると、接続ノード６６もしくは６５における電圧も変化する。しかしながら、接続ノード６６および６５には、ローパスフィルタを構成するキャパシタ１２３および１２２が接続されているため、通常配線１１もしくは冗長配線１３における電圧変化に対して、接続ノード６６もしくは６５における電圧変化は遅くなる。そのため、通常電源スイッチ６４と冗長電源スイッチ６３を切り替えている期間において、接続ノード６６、６５における電圧変化を小さくすることが可能である。すなわち、ローパスフィルタを構成するキャパシタ１２２および１２３の容量値は、電源モニタ５８が電圧の異常を検知してスイッチ６３、６４を切り替えるまでの時間の間の接続ノード６５、６６の電圧変化が十分小さくなるように設定されている。言い換えるならば、ローパスフィルタの時定数は、第２検知部の応答時間よりも長く設定されている。

これにより、通常電源スイッチ６４および冗長電源スイッチ６３の状態を切り替えるときに、電源５７に供給されている電圧の変化を十分に小さくすることが可能となり、電源５７が出力している電源電圧の変化が、センサ５５や通信ＩＣ５６の正常動作の範囲に収まるような電圧変化にすることが可能である。

すなわち、通常配線１１および冗長配線１３における電圧に異常が発生して、通常電源スイッチ６４および冗長電源スイッチ６３の状態を切り替えているときにおいても、電源５７から電圧変動の十分に小さな電源電圧をセンサ５５や通信ＩＣ５６に給電することが可能となる。その結果、電源異常が生じても、センサ５５や通信ＩＣに誤動作が発生したり、電源変動によるパワーオンリセット動作の発生によってセンサのデータが得られない状態を発生させずに、電源の切り替えを行い、動作を継続させることができる。

（実施の形態５）
実施の形態５においては、異常検知および異常検知時の動作をテストすることが可能な車載制御システム１００が提供される。図７は、実施の形態５に係わる車載制御システムの構成を示すブロック図である。図７は、図２に類似しているので、主に相異点を説明する。

図７においては、図２に示した制御回路３に対して、電源２１とＭＰＵ２２とを接続する信号配線１３３が追加され、制御回路３は、符号が１３１へ変更されている。同様に、制御回路４に対して、電源３８とＭＰＵ３９とを接続する信号配線１３４が追加され、制御回路４は、符号が１３２へ変更されている。また、図７においては、図２に示した外界認識センサａ５に対して、電源モニタ５８と通信ＩＣ５６とを接続する信号配線１３５が追加され、外界認識センサａ５は、符号が１３７へ変更されている。同様に、図２に示した外界認識センサｂ６に対して、電源モニタ７７と通信ＩＣ７５とを接続する信号配線１３６が追加され、外界認識センサｂ６は、符号が１３８へ変更されている。また、電源２１および３８は、出力する電圧を変更することが可能な可変電源によって構成されている。

＜電圧異常の検知動作およびデータ経路切り替え動作のテスト方法＞
まず、電圧異常の検知動作およびデータ経路切り替え動作のテスト方法を説明する。この場合、ＭＰＵ２２が、追加された信号配線１３３によって、電源２１に対して、電源配線３１に出力する電源電圧として、通常よりも高い電圧または低い電圧を出力するように指示をする。ここで、通常よりも高い電圧または低い電圧とは、電源モニタ５８、７７が、正常と判断する電圧よりも高い電圧または低い電圧を意味している。言い換えるならば、通常よりも高い電圧または低い電圧は、配線を介して電源モニタに供給されたとき、電源モニタが、対応する通常電源スイッチおよび冗長電源スイッチの状態を切り替えるような電圧である。

これにより、電圧異常が発生したときと同じ異常状態が、意識的に発生させることができる。このときの電源モニタ５８、７７、スイッチ６３、６４、８２、８３、通信ＩＣ５６、７５、電源遮断回路２４、４１が所望の動作を行うか否かを確認することで、電圧異常の検知動作、電圧異常検知時の電源およびデータ経路の切り替え動作をテストすることができる。

同様に、ＭＰＵ３９が、追加された信号配線１３４によって、電源３８に対して、電源配線４８に出力する電源電圧として、通常よりも高い電圧または低い電圧を出力するように指示をする。これにより、通常配線１３および冗長配線１４を介して外界認識センサに供給される電圧が異常になった場合の電圧異常の検知動作、異常検知時の電源およびデータ経路の切り替え動作をテストすることができる。

＜通常配線および冗長配線の高抵抗化状態の検知＞
次に、通常配線１１、１４および冗長配線１２、１３の高抵抗化状態の試験について説明する。通常配線および冗長配線は、断線までには至らないが、高抵抗となっている状態が考えられる。通常配線および冗長配線が高抵抗化状態となっていると、データの伝達の遅延または／および外界認識センサへ給電される電力が低下する恐れがある。

この場合、ＭＰＵ２２から信号配線３４または３５を介して通信ＩＣ２３に、高抵抗化状態の試験を示す制御信号を供給する。通信ＩＣ２３は、高抵抗化状態試験を示す制御信号を、通常配線１１を介して通信ＩＣ５６に送信する。通信ＩＣ５６は、受信した制御信号を、追加された信号配線１３５を介して、電源モニタ５８に送信する。電源モニタ５８は、信号配線１３５を介して制御信号が供給されると、通常電源スイッチ６４および冗長電源スイッチ６３の両方を導通状態とするような制御信号を、信号配線７２および７３を介して、通常電源スイッチ６４および冗長電源スイッチ６３に供給する。

例えば、図４に示した電源モニタ５８において、制御回路１０１が信号配線１３５によって通信ＩＣ５６に接続されている。制御回路１０１は、高抵抗化状態試験を示す制御信号が供給されると、前記したように、通常電源スイッチ６４および冗長電源スイッチ６３の両方を導通状態とするような制御信号を、信号配線７２および７３に出力する。

また、ＭＰＵ２２は、信号配線１３３を介して、電源２１に電源配線３１に出力する電源電圧の値を変更するように指示する。この指示により、電源２１は、電源３８が電源配線４８に出力する電源電圧の値とは異なる値の電源電圧を、電源配線３１に出力するようになる。これにより、電源配線３１と電源配線４８との間で所望の電圧差が設定されることになる。

前記したように、通常電源スイッチ６４および冗長電源スイッチ６３の両方が導通状態となっているため、通常配線１１と冗長配線１３が、通常電源スイッチ６４および冗長電源スイッチ６３を介して電気的に接続されることになる。従って、電源配線３１と電源配線４８との間を、設定された所望の電圧差と通常配線１１と冗長配線１３の抵抗値とに応じた電流が流れることになる。この電流を、電源遮断回路２４および４１によって測定する。通常配線１１と冗長配線１３の合成の抵抗値は、測定した電流値と設定した所望の電圧差とから算出することできる。算出した抵抗値が、通常配線１１と冗長配線１３の合成抵抗値以下か否かを試験することが可能である。

通常配線１４と冗長配線１２の合成抵抗値についても、同様に算出することが可能である。すなわち、通常電源スイッチ８２および冗長電源スイッチ８３の両方を導通状態となるように、信号配線１３６を介して電源モニタ７７に、高抵抗化状態試験を示す制御信号を供給する。また、信号配線１３４を介して、電源３８に、電源２１とは異なる値の電源電圧を出力するように指示する。このとき電圧配線３２および４９を流れる電流を、電源遮断回路２４、４１で測定することにより、通常配線１４と冗長配線１２の合成抵抗値を算出することが可能である。

このように試験を行うことにより、完全な断線ではないが、データ伝送および供給電力に影響を与えるような高抵抗化状態の通常配線および冗長配線を検知することが可能である。

実施の形態１～５においては、２つの外界認識センサと２つの制御回路を備えた車載制御システムを例にして説明したが、これに限定されるものではない。すなわち、外界認識センサおよび制御回路は、２つ以上であってもよい。また、外界認識センサの数は、制御回路の数よりも少なくてもよい。実施の形態１を例にして述べると、車載制御システム１００は、外界認識センサａ５と、制御回路３、４とを備えるようにしてもよい。この場合、外界認識センサａ５は、通常配線１１によって、制御回路３に接続され、冗長配線１３によって、制御回路４に接続されることになる。通常配線１１において電源異常が発生した場合、外界認識センサａ５は、冗長配線１３を介して制御回路４から給電が行われ、外界認識センサａ５のデータは、冗長配線１３を介して制御回路４に送信されることになる。この場合、制御回路４は、受信した外界認識センサａ５のデータを、信号配線１５を介して、制御回路３に供給する。これにより、通常配線１１に電源異常が発生した場合も、外界認識センサａ５に対応する制御回路３は、外界認識センサａ５のデータに基づいた制御演算を実行することが可能となる。これにより、冗長化を図りながら、コスト増加を抑制することが可能である。

実施の形態１～５によれば、特に自動運転において重要となる外界認識センサに関する技術が提供される。すなわち、実施の形態１～５によれば、自動車の外界認識センサの電源の多重化を低コストで実現し、電源異常からの復帰時間を短縮することができる。

実施の形態１～５に係わる車載制御システムは、外界認識センサと外界認識センサのデータを元に自動車の周辺の状況を把握し、車両の軌道を決定し、制御を行う制御回路を備える。この場合、制御回路としては、通常動作用と冗長動作用に２個の回路を有し、通常動作用の制御回路と冗長動作用の回路の電源は独立した電源経路から電源を供給されている。外界認識センサは、通常動作用と冗長動作用の制御回路の両方と、電源配線および信号配線が接続されている。これにより、どちらか一方の電源系に異常が発生しても、外界認識センサには電源が給電され、外界認識センサは動作を継続することができる。

また、外界認識センサは電源異常検知回路（例えば、図２の電源モニタ５８）と電源切り替えスイッチ（６３、６４）を備え、異常があった電源系統を正常な電源系統と切り離すことが可能である。また、制御回路も外界認識センサに供給する電源の電源異常を検知する電源異常検知回路（電源遮断回路２４）を備え、外界認識センサもしくは、外界認識センサと制御回路間の電源接続経路に異常があった場合に異常を検知し、異常があったセンサを電源系統から切り離すことができる。

また、外界認識センサ側の電源異常検知回路は電源異常を検知すると、電源スイッチの電源経路を切り替えるとともに通信ＩＣに異常検知信号（信号配線７０における制御信号）を送信する。これにより、通信ＩＣは、外界認識センサのデータを送信する信号経路を切り替える。また、制御回路側の電源異常検知回路は、特定の外界認識センサのデータの制御経路で異常を検知すると、ＭＰＵにセンサ経路に異常が発生したことを通知し、ＭＰＵは外界認識センサからのデータを受け取る経路を切り替えるように制御をする。

また、車載制御システムは、通常動作用の制御回路と冗長動作用の制御回路はお互いの情報をやり取りする経路（信号配線１５）を備える。これにより、一方の制御回路が外界認識センサから受け取ったデータを、他方の制御回路に送信することができる。これにより、一方の電源系統に異常が発生した場合にも、外界認識センサは動作可能であり、通常動作時と同等の外界認識センサデータで車両はＦａｌｌｂａｃｋ動作を行うことが可能となる。また、電源異常の発生を電源電圧や電流値の異常で検知し、電源を切り替えるので、電源異常によって外界認識センサが異常動作をする前に、正常な動作状態に移行し、かつ異常が発生したことを検知できるため、電源異常発生時に外界認識センサのデータが途絶える時間を短くすることが可能となる。

冗長化を図るために、実施の形態に係わる車載制御システムは複数の制御回路を備えている。外界認識センサへの電源の供給が、複数の制御回路から行われるとともに、いずれかの制御回路から外界認識センサへの電源供給に異常が生じた場合には、電源供給経路および信号経路が共に変更され、複数の制御回路間でセンサデータの共有が行われ、低コストで外界認識センサの冗長化を実現することが可能である。また、外界認識センサのデータの異常ではなく、電源電圧や電流異常によって電源異常を検知し、電源供給経路および制御回路へのセンサデータの伝達経路を切り替えることで、外界認識センサが異常動作をする前に電源及び信号経路の切り替えを行い、電源異常発生から正常な動作への復帰時間を短縮することが可能である。

以上、本発明者によってなされた発明を実施の形態に基づき具体的に説明したが、本発明は前記実施の形態に限定されるものではなく、その要旨を逸脱しない範囲で種々変更可能であることはいうまでもない。

１、２ バッテリ
３、４、１３１、１３２ 制御回路
５、１３７ 外界認識センサａ
６、１３８ 外界認識センサｂ
１１、１４ 通常配線
１２、１３ 冗長配線
１５ 信号配線
２１、３８、５７、７６ 電源
２２、３９ ＭＰＵ
２３、４０、５７、７５ 通信ＩＣ
２４、４１ 電源遮断回路
５５、５７ センサ
５８、７７ 電源モニタ
６３、６４、８２、８３ スイッチ
１００ 車載制御システム

Claims (8)

1. それぞれ相互にデータの通信を行う制御部を備えた複数の制御装置と、
   第１センサと、
   前記第１センサと前記複数の制御装置とを接続する複数の配線と、
   を備え、
   前記複数の制御装置のそれぞれは、前記複数の配線のうち、対応する配線を介して、前記第１センサに電源を供給する第１電源部と、前記第１センサに供給される電源に関する異常を検知する第１検知部と、を備え、
   前記複数の配線は、前記複数の制御装置のうち、前記第１センサに対応する第１制御装置と前記第１センサとの間を接続する通常配線と、前記第１制御装置とは異なる第２制御装置と前記第１センサとの間を接続する冗長配線と、を備え、
   前記通常配線または前記冗長配線には、前記第１センサに供給される電源と、前記第１センサのデータが重畳され、前記通常配線または前記冗長配線によって前記第１センサへの給電とデータ通信とが行われ、
   前記第１制御装置における第１検知部が、電源に関する異常を検知したとき、前記第１制御装置における制御部は、前記通常配線および前記冗長配線とは異なる信号配線を介して、前記第２制御装置における制御部から前記第１センサのデータを取得するように制御される、車載制御システム。
2. 請求項１に記載の車載制御システムにおいて、
   前記第１センサとは異なり、前記第２制御装置に対応する第２センサを、さらに備え、
   前記複数の配線は、前記第２制御装置と前記第２センサとの間を接続する通常配線と、前記第１制御装置と前記第２センサとの間を接続する冗長配線とを備え、
   前記第２制御装置における第１検知部が、電源に関する異常を検知したとき、前記第２制御装置における制御部は、前記第１制御装置における制御部から前記第２センサのデータを取得するように制御される、車載制御システム。
3. 請求項２に記載の車載制御システムにおいて、
   前記第１検知部は、
   前記第１電源部と前記通常配線および前記冗長配線との間に接続されたスイッチ部と、
   前記通常配線および前記冗長配線に接続され、前記異常を検知したとき、前記通常配線と前記第１電源部との間を分離するように、前記スイッチ部を制御し、前記異常の検知を、前記制御部に通知する検知制御部と、
   を備える、車載制御システム。
4. 請求項３に記載の車載制御システムにおいて、
   前記第１制御装置および前記第２制御装置のそれぞれは、前記通常配線および前記冗長配線に接続され、前記検知制御部によって制御される通信部を備え、
   前記通信部で受信されたセンサのデータは、前記制御部に供給される、車載制御システム。
5. 請求項１に記載の車載制御システムにおいて、
   前記第１センサは、
   外界を認識するセンサ部と、
   前記センサ部と前記通常配線および前記冗長配線に接続され、前記センサ部からのデータを送信する通信部と、
   前記センサ部および前記通信部に接続された第２電源部と、
   前記第２電源部と前記通常配線および前記冗長配線との間に接続されたスイッチ部と、
   前記通常配線および前記冗長配線における電源をモニタし、モニタの結果に基づいて、前記スイッチ部を制御する第２検知部と、
   を備える、車載制御システム。
6. 請求項５に記載の車載制御システムにおいて、
   前記第１センサは、前記通常配線および前記冗長配線に接続され、前記第２検知部の応答時間よりも長い時定数のローパスフィルタを、さらに備える、車載制御システム。
7. 請求項１に記載の車載制御システムにおいて、
   前記第１電源部は可変電源によって構成され、
   前記第１電源部から前記第１センサに供給される電源を変更することにより、動作確認が行われる、車載制御システム。
8. 請求項７に記載の車載制御システムにおいて、
   前記第１センサにおいて、前記複数の配線間が短絡状態とされ、前記複数の制御装置における第１電源から前記複数の配線に供給される電源の電圧差と短絡状態にされた配線間を流れる電流とに基づいて、配線の抵抗値が測定可能な、車載制御システム。

Images