JP7399313B2

JP7399313B2 - 車両制御システム

Info

Publication number: JP7399313B2
Application number: JP2022561237A
Authority: JP
Inventors: 源長谷川; 成樹辻井; 大介八瀬; 修前田; 達也前木場
Original assignee: Mitsubishi Electric Corp
Current assignee: Mitsubishi Electric Corp
Priority date: 2020-11-16
Filing date: 2020-11-16
Publication date: 2023-12-15
Anticipated expiration: 2040-11-16
Also published as: WO2022102114A1; JPWO2022102114A1; US20230406332A1; DE112020007774T5; CN116419876A

Description

本願は、車両制御システムに関するものである。

車両制御システムにおいて、車両は複数のセンサと複数のアクチュエータを有し、これらを制御装置と接続して車両を制御する。運転手が車両の操作を必要としない自動運転車両において、高度な制御を行う制御装置に故障が発生した場合、ドライバーの操作なしに自律的に対処することが求められている。対処法として、故障時に動作する予備の制御装置を搭載し、故障時においても予備の制御装置で対応ができるシステムが提案されてきた。しかし、制御装置の数を増加させると、搭載スペースの増加、配線設計の複雑化、開発コストの増加が考えられるため、最小限の構成で故障時の対応が可能となることが、必要とされている。

個々の制御装置の冗長度を必要以上に上げることなく、システム全体でエラーをバックアップすることが要求されている。低コスト、高い信頼性、リアルタイム性、拡張性の確保をバランスよく維持することが望まれている。

特許第６２１４７３０号公報

特許文献１に記載された車両制御システムでは、車両を制御する指令コントローラの指示に応じてアクチュエータコントローラがアクチュエータを作動させる。指令コントローラおよびアクチュエータコントローラは、ともにリアルタイムな演算が可能である。指令コントローラが機能停止した時は、アクチュエータコントローラによって指令コントローラの機能が代行されて、動作の継続が可能である。しかし、指令コントローラの単一故障には対応可能だが、指令コントローラとアクチュエータコントローラの二つのコントローラの故障の場合は、アクチュエータの駆動指示を与えることができない。このため、コントローラの二重故障の場合、自律走行の対応が困難である。

自律走行を可能とする自動走行車両の場合、二か所の故障においても対処が求められる。二つのコントローラの故障時に、アクチュエータを作動させる場合は、リアルタイムな演算を可能とするコントローラを追加で用意する必要があり、コストが上昇する課題がある。

本願はかかる課題を解決するためになされたものであり、その目的は、自律的な走行をする自動運転車両において、冗長度を必要以上に上げることなく二か所のリアルタイム制御用の演算装置の故障においても、自律走行の対応を可能とする車両制御システムを提供することである。

本願に係る車両制御システムは、
車両の周辺環境を検出するセンサ、
車両を操作するアクチュエータ、
アクチュエータを駆動する駆動ユニット、
センサの信号に基づいて車両の制御目標値を算出し、制御目標値に基づいて駆動ユニットを駆動する、二つのリアルタイム制御用の演算装置と二つの非リアルタイム制御用の演算装置とを有する制御装置、を備えた車両制御システムであって、
いずれかの一つまたは二つの演算装置が故障した場合は、他の演算装置が故障した演算装置の機能を引き継ぐよう構成され、
リアルタイム制御用の演算装置の一方が故障し他方が健全な場合は、一方のリアルタイム制御用の演算装置の機能を他方のリアルタイム制御用の演算装置が引き継ぎ、
リアルタイム制御用の演算装置の双方が故障した場合は、非リアルタイム制御用の演算装置がリアルタイム制御用の演算装置の機能を引き継ぐものである。

本願に係る車両制御システムでは、自律的な走行をする自動運転車両において、冗長度を必要以上に上げることなく、二か所のリアルタイム制御用の演算装置の故障においても、自律走行の対応を可能とすることができる。

実施の形態１に係る車両制御システムの構成図である。実施の形態１に係る制御部のハードウェア構成図である。実施の形態１に係る演算装置２０５のリアルタイム制御用の演算の第一のフローチャートである。実施の形態１に係る演算装置２０５のリアルタイム制御用の演算の第二のフローチャートである。実施の形態１に係る演算装置３０５のリアルタイム制御用の演算の第一のフローチャートである。実施の形態１に係る演算装置３０５のリアルタイム制御用の演算の第二のフローチャートである。実施の形態１に係る演算装置１０１の非リアルタイム制御用の演算のフローチャートである。実施の形態１に係る演算装置２０１の非リアルタイム制御用の演算のフローチャートである。実施の形態１に係る演算装置１０１の非リアルタイム制御用の演算の優先処理のフローチャートである。実施の形態１に係る演算装置２０１の非リアルタイム制御用の演算の優先処理のフローチャートである。実施の形態１に係る通信部１０４の駆動信号出力のフローチャートである。実施の形態１に係る通信部２０４の駆動信号出力のフローチャートである。実施の形態２に係る車両制御システムの構成図である。

以下、本願の実施の形態に係る車両制御システムについて、図面を参照して説明する。

１．実施の形態１
＜車両制御システムの構成＞

図１に示す車両制御システム１は、制御装置１０が、制御部１００、２００、３００を備え、３つの制御部は１つまたは２つの演算装置を有する。制御部１００、２００、３００に実装される機能は取付位置によって固定されているわけではなく、制御部の有する制御周期、処理能力によって配分されている。

制御部１００、２００、３００はセンサ４０１の出力および制御部１００、２００、３００の演算結果を相互に共有するために、基幹通信網２で接続されている。基幹通信網２では、例えばＩＥＥＥ８０２．３に規定された通信プロトコル、ＩＳＯ１１８９８に規定された通信プロトコル、ＩＳＯ１７４５８に規定された通信プロトコルなどを用いることで、大容量かつサービス指向の通信を実現することができる。そして、機能分担が仮想化された制御部１００、２００、３００を実現することができる。言い換えれば、制御部１００、２００、３００の分担する機能を再分配することが可能となる。

基幹通信網２の結線方法はループ型を二重化することにより、基幹通信網２の断線による車両制御システム１の機能不全を防止する。

センサ４０１の出力は基幹通信網２によって、制御部１００、２００、３００いずれか、またはすべてに伝達される。制御部１００、２００、３００は、センサ４０１の信号を取り込んで、車両周辺環境の情報を更新し、目的地までの車両走行経路を更新する。そして更新された車両走行経路に基づいて車両の制御目標値を算出し、制御目標値に基づいて駆動ユニット３１に駆動信号を伝達する。

制御部１００、２００、３００は、制御通信網６を介して駆動ユニット３１に駆動信号を伝達する。受け取った駆動信号に基づいて駆動ユニット３１はアクチュエータ３２を駆動する。アクチュエータ３２によって、車両のセキュリティ解錠と施錠、動力伝達、操舵、制動の操作などがなされる。アクチュエータ３２は、各種アクチュエータおよび駆動回路をまとめた総称である。アクチュエータ３２は例えば、ドアの解錠と施錠、燃料噴射弁、スロットル制御弁、電動パワーステアリング装置の操舵の駆動方向、駆動力、駆動速度を制御するインバータ、電動ブレーキ装置のブレーキ制御モータ、空気調整装置の電磁弁、照明装置の点灯と消灯、パワーウィンドウの昇降などを操作するアクチュエータおよび駆動回路などによって構成される。

アクチュエータ３２としては、低遅延制御を要求される部品を想定している。アクチュエータ３２の中で、冗長性が要求されておらず、遅延が許される、例えばパワーウィンドウの昇降制御器などは、アクチュエータ３２とは別に制御部１００、２００、３００に直接接続して駆動制御しても良い。

センサ４０１は各種センサをまとめた総称である。センサ４０１は、車両の周辺の環境を収集し、自己位置を検出するために、例えばカメラ、レーダ、ＬｉＤＡＲ（Laser Imaging Detection and Ranging）、衛星測位ロケータ、自立式ロケータなどで構成される。センサ４０１は例えばモータの回転角度センサ、速度計、カメラの設置角度計、電波受信器などを含んでいてもよい。センサ４０１の信号は、基幹通信網２によって制御部１００、２００、３００へ伝達されるが、基幹通信網２に加えて制御通信網６によって伝達されることとしてもよい。また、基幹通信網２に加えて直接制御部１００、２００、３００に通信線を接続する構成として冗長性をより大きくすることもできる。

制御通信網６では、基幹通信網２と同様に、例えばＩＥＥＥ８０２．３に規定された通信プロトコル、ＩＳＯ１１８９８に規定された通信プロトコル、ＩＳＯ１７４５８に規定された通信プロトコルなどを用いてもよい。

制御部１００は演算を実行する非リアルタイム制御用の演算装置１０１を有する。演算装置１０１は、センサ４０１の信号に基づいて、非リアルタイム制御用の演算を実施し車両周辺環境情報を更新する。制御部１００は、演算装置１０１のプログラムおよび現在から予め定めた移行期間後までの間の駆動信号を保持するメモリ１０２を有する。メモリには不揮発性メモリを使用することができる。制御部１００は、故障時の自律的な対処をするときに演算装置１０１から駆動ユニット３１へ伝達する駆動信号を補正する信号補正部１０３を有する。そして、制御部１００は、制御部１００から駆動信号を制御通信網６へ送信する通信部１０４を有する。

制御部２００は演算を実行する非リアルタイム制御用の演算装置２０１とリアルタイム制御用の演算装置２０５を有する。演算装置２０１は、センサ４０１の信号と制御部１００で更新された車両周辺環境情報に基づいて、非リアルタイム制御用の演算を実施し車両走行経路を更新する。制御部２００は、演算装置２０１のプログラムおよび現在から予め定めた移行期間後までの間の駆動信号を保持するメモリ２０２を有する。メモリには不揮発性メモリを使用することができる。制御部２００は、故障時の自律的な対処をするときに演算装置２０１から駆動ユニット３１へ伝達する駆動信号を補正する信号補正部２０３を有する。

演算装置２０５は、センサ４０１の信号に基づいて、リアルタイム制御用の演算を実施しセキュリティの検証を実施する。演算装置２０５は、セキュリティの検証結果に基づいて駆動信号を出力する。この駆動信号は、車両の解錠と施錠および、車両の盗難防止と外部の違法介入の遮断のための出力を含む。そして、制御部２００は、制御部２００から駆動信号を制御通信網６へ送信する通信部２０４を有する。

制御部３００は演算を実行するリアルタイム制御用の演算装置３０５を有する。演算装置３０５は、センサ４０１の信号と制御部２００で更新された車両走行経路に基づいて車両の制御目標値を算出し、制御目標値に基づいて駆動ユニットを駆動する駆動信号を出力する。この駆動信号は、車両のエネルギーマネジメント、動力伝達、操舵、制動の操作を含む。駆動信号は、通信部３０４から制御通信網６を介して駆動ユニット３１に伝達される。

＜制御部のハードウェア構成＞
図２に、実施の形態１に係る制御部１００、２００、３００のハードウェア構成図を示す。制御部１００、２００、３００の各機能は、制御部１００、２００、３００が備えた処理回路により実現される。具体的には、制御部１００、２００、３００は、図２に示すように、処理回路として、ＣＰＵ（Central Processing Unit）などの演算処理装置９０（コンピュータ）、演算処理装置９０とデータのやり取りする記憶装置９１、演算処理装置９０に外部の信号を入力する入力回路９２、演算処理装置９０から外部に信号を出力する出力回路９３、及び通信部などの外部装置とデータのやり取りを行うインターフェース９４などを備えている。

演算処理装置９０として、ＡＳＩＣ（Application Specific Integrated Circuit）、ＩＣ（Integrated Circuit）、ＤＳＰ（Digital Signal Processor）、ＦＰＧＡ（Field Programmable Gate Array）、各種の論理回路、及び各種の信号処理回路などが備えられてもよい。また、演算処理装置９０として、同じ種類のものまたは異なる種類のものが複数備えられ、各処理が分担して実行されてもよい。制御部１００、２００、３００には、演算処理装置９０として、演算装置１０１、２０１、２０５、３０５が設けられている。記憶装置９１として、演算処理装置９０からデータを読み出し及び書き込みが可能に構成されたＲＡＭ（Random Access Memory）、演算処理装置９０からデータを読み出し可能に構成されたＲＯＭ（Read Only Memory）などが備えられている。記憶装置９１は、演算処理装置９０に内蔵されていてもよい。入力回路９２は、入力信号、センサ、スイッチが接続され、これら入力信号、センサ、スイッチの信号を演算処理装置９０に入力するＡ／Ｄ変換器などを備えている。出力回路９３は、スイッチング素子をオンオフ駆動するゲート駆動回路などの電気負荷が接続され、これら電気負荷に演算処理装置９０から制御信号を出力する駆動回路などを備えている。インターフェース９４は、通信部、外部の記憶装置、外部の制御部などの外部装置とデータのやり取りを行う。

制御部１００、２００、３００が備える各機能は、演算処理装置９０が、ＲＯＭなどの記憶装置９１に記憶されたソフトウェア（プログラム）を実行し、記憶装置９１、入力回路９２、及び出力回路９３などの制御部１００、２００、３００の他のハードウェアと協働することにより実現される。なお、制御部１００、２００、３００が用いる閾値、判定値などの設定データは、ソフトウェア（プログラム）の一部として、ＲＯＭなどの記憶装置９１に記憶されている。制御部１００、２００、３００の有する各機能は、それぞれソフトウェアのモジュールで構成されるものであってもよいが、ソフトウェアとハードウェアの組み合わせによって構成されるものであってもよい。

＜演算装置＞
図１の制御部１００の演算装置１０１、２０１は例えばＳｏＣ（System on a Chip）、ＦＰＧＡ（Field Programmable Gate Array）、ＧＰＵ(Graphic Processer Unit)の何れか１つまたは複数を組み合わせて構成された、非リアルタイムの制御を目的とするＯＳ(Operating System)を実装する半導体集積回路を指し、ここではマイクロコンピュータと称する。

演算装置２０５、３０５はリアルタイムの制御を目的としたＯＳ(Operating System)を実装することを前提に作製された半導体集積回路を指し、ここではマイクロコントローラと称する（単にコントローラと称する場合もある）。マイクロコントローラでは、演算装置２０５、３０５で動作するプログラムを蓄積するためのメモリを内部に備えているとして、図１では外部メモリを省略している。しかし、演算装置２０５、３０５にも、演算装置１０１、２０１と同様に外部メモリを備えてもよい。

ここで、リアルタイム制御とは定められた時間内に制御が完了することを目的とする制御である。例えば車両用の４ストローク内燃機関のシリンダにおいて、排気工程の始期ＢＤＣ(Bottom Death Center) までに、必ず燃料噴射量の演算を終了し燃料噴射の開始に備える場合はリアルタイム制御である。これに対して、噴射燃料量を積算して、走行距離で除し平均燃費を表示する制御について、特に時間的制約を設けない場合は非リアルタイム制御である。

また、例えば自動運転車両の目的地までの全走行経路の算出とその画面表示は、最初に目的地を設定する場合は時間的制約を受けず、非リアルタイム制御に該当する。これに対し、前方の車両の接近に際して旋回制御、制動制御によって回避操作を行うために、例えば５０ｍｓ以内に演算を終了して制御を実施する必要がある場合はリアルタイム制御に該当する。

＜演算装置の故障＞
演算装置１０１、２０１、２０５、３０５は故障検知機能（自己診断機能）を備えており、故障した際は基幹通信網２を介して故障していない他の演算装置に故障状況を報知する。故障検知は自己診断以外に正常確認用の信号を他の演算装置に送信し、正常に動作しているか相互監視して故障検知をしてもよい。

メモリ１０２、２０２は例えばＮＡＭＤ型フラッシュメモリなどの、プログラムを大容量に蓄積できる半導体記録装置を指す。メモリ１０２、２０２は演算装置１０１、２０１のプログラムを保持している。さらに、メモリ１０２、２０２は演算装置２０５、３０５が故障時に演算装置１０１、２０１へ機能を移譲するまでの期間（移行期間）の駆動信号を事前に蓄積する役割を有する。メモリ１０２、２０２は、現在から予め定めた移行期間後までの間の駆動信号を分担して蓄積してもよいが、それぞれ同じ内容のデータを蓄積することとしてもよい。

演算装置１０１は、演算装置２０１および演算装置２０５の片方または双方が故障した場合、演算装置２０１、演算装置２０５の機能をバックアップする機能を備えている。演算装置２０１は、演算装置１０１および演算装置３０５の片方または双方が故障した場合、演算装置１０１、演算装置３０５の機能をバックアップする機能を備えている。演算装置２０５は、演算装置２０１および演算装置３０５の片方または双方が故障した場合、演算装置２０１、演算装置３０５をバックアップする機能を備えている。演算装置３０５は演算装置１０１および演算装置２０５の片方または双方が故障した場合、演算装置１０１、演算装置２０５をバックアップする機能を備えている。メモリ１０２、２０２と、演算装置２０５、３０５の内部メモリには予め故障時に動作するためのプログラムが格納されている。どの演算装置が故障したか、通知を受けた後、制御部１００、２００、３００の故障していない演算装置は、故障した演算装置の機能の代行と両立するために、実装された機能のスケジュールの変更を行う。スケジュール変更は、自動運転を継続するにあたり、制御の遅延が許されない車両制御の優先度を高める。

演算装置１０１、２０１、２０５、３０５のバックアップの構成は、上記に限らずほかの組み合わせでもよい。演算装置のうちのいずれか二つに故障が起きても、故障が発生していない演算装置によって、故障した演算装置のバックアップを果たす機能が存在するように構成されていればよい。

＜二つのリアルタイム制御用の演算装置が故障した場合＞
リアルタイム制御用の演算装置２０５、３０５の両方が故障した場合に、非リアルタイム制御用の演算装置１０１、２０１がリアルタイム制御用の演算装置２０５と３０５の機能を引き継ぐ。このとき、非リアルタイム制御用の演算装置１０１、２０１は、予め定めた予測期間後の車両制御状態を予測し、予測した車両制御状態に基づいた駆動予定信号を信号補正部１０３、２０３に伝達する。信号補正部１０３、２０３は、演算装置１０１、２０１が出力した駆動予定信号から、補間した駆動信号を求め、周期のばらつき、駆動予定信号間の情報の補間を行うための回路またはソフトウェアで構成されている。例えばＦＰＧＡ、ＡＳＩＣ（Application Specific Integrated Circuit）など、高速で演算処理可能な半導体集積回路を用いる。または、信号補正部１０３、２０３は、演算装置１０１、２０１の機能の１つとして、プログラムとして組み込まれていても良い。

信号補正部１０３、２０３のアクチュエータ駆動周期の情報を補間する方法として、非リアルタイム制御用の演算装置１０１、２０１から受信した駆動予定信号の履歴の移動平均値またはスプライン曲線に基づいて、補間した駆動信号を生成することとしてもよい。また信号補正部１０３、２０３は、アクチュエータ特有の制御波形に応じて駆動信号を補間してもよい。例えば、燃料噴射インジェクタの無効時間は、駆動時間に応じて変化する場合があり、電動ブレーキの制動力とモータ駆動電流はヒステリシスを持つ場合がある。信号補正部１０３、２０３は、これらの特性を考慮して、駆動信号を補間する。補間方法は異常時にどのような車両環境下で動作しなければならないかという条件に基づいて適宜選択することとしてもよい。

演算装置１０１、２０１は非リアルタイム制御用の演算によって発生する遅延を解消するために、センサ４０１の情報などから車両の現在位置と速度、加速度情報などを割り出し、予め定めた予測期間後の車両制御状態を予測する。演算装置１０１、２０１は、予測した車両制御状態に基づいた駆動予定信号を信号補正部１０３、２０３に伝達する。

信号補正部１０３、２０３は現在出力している駆動信号と予測期間後の駆動予定信号に基づいて、補間した駆動信号を予め定めた周期で駆動ユニット３１に出力する。このとき、信号補正部１０３、２０３は、信号補正処理による遅延を織り込んで補間を実施してもよい。

リアルタイム制御用の演算装置２０５、３０５の故障が判定されてから、非リアルタイム制御用の演算装置１０１、２０１がリアルタイム制御用の演算装置２０５、３０５の機能を引き継いで、予め定めた予測期間後の車両制御状態を予測し、予測した車両制御状態に基づいた駆動予定信号を信号補正部１０３、２０３に伝達する。故障が判定されてから、演算装置１０１、２０１が駆動予定信号を伝達するまで、移行期間が必要である。この移行期間中の、駆動ユニット３１へ送信する駆動信号を、メモリ１０２、２０２からデータを読み出して通信部１０４、２０４が送信する。これを実現するために、演算装置２０５または演算装置３０５が正常に動作している間に、現在から移行期間後までの駆動信号を、演算装置１０１、２０１または演算装置２０５、３０５がメモリ１０２、２０２に予め蓄積する。自動運転中でありかつ、演算装置１０１、２０１、２０５、３０５のうち何れにも故障がないとき、異常時に対処するまでの駆動信号は基幹通信網２を経由してメモリ１０２、２０２に書き込むこととしてもよい。また、メモリ１０２、２０２への駆動信号の書き込みを実施するとき、メモリ領域は上書きするようにして、メモリ領域の使用容量を制限し他のプログラムの容量逼迫を防止することもできる。

演算装置２０５、３０５の故障が判定され、駆動ユニット３１へ送信する駆動信号を、メモリ１０２、２０２から読み出して送信する移行期間は、演算装置１０１、２０１が、駆動予定信号を信号補正部１０３、２０３に出力し始める期間よりも長く設定しておくべきである。駆動予定信号が信号補正部１０３、２０３に出力され、駆動信号を切り替える指令信号を送付するシーケンスを加えて、正確かつシームレスな故障時の対処を実現しても良い。

以上、実施の形態１で述べてきた非リアルタイム制御用の演算装置１０１、２０１の実行するソフトウェアの配置は一例であり、他のソフトウェアの配置の追加、および例示したソフトウェアの削除と、演算装置１０１と２０１の間で配置の変更を行っても問題ない。リアルタイム制御用の演算装置２０５、３０５の実行するソフトウェアの配置は一例であり、他のソフトウェアの配置の追加、例示したソフトウェアの削除と、演算装置２０５と３０５の間で配置の変更を行っても問題ない。

また、実施の形態１で説明した構成は、非リアルタイム制御用の演算装置１０１、２０１とリアルタイム制御用の演算装置２０５、３０５が、二つずつの場合であるが、三つ以上の演算装置を設けた場合であっても、演算装置が故障した場合の対応は適用可能である。

＜フローチャート＞
＜リアルタイム制御の処理＞
図３、４は、実施の形態１に係るリアルタイム制御用の演算装置（マイクロコントローラ）２０５の演算のフローチャートである（以下、コントローラと称する）。図４は図３の続きの処理を示す。図３、４の処理は、例えば１ｍｓ毎に実行される。リアルタイム制御用の処理なので、必ず１ｍｓ以内に制御を終了する。

処理はステップＳ３０１から開始され、ステップＳ３０２で演算装置がすべて正常かどうか判定する。すべて正常な場合（判断はＹＥＳ）は、図４のステップＳ３０３で制御部１００の通信部１０４が保有する第一切替タイマをクリアする。第一切替タイマは、リアルタイム制御用の演算装置（コントローラ）が二つとも故障した場合に、メモリ１０２から読み出した駆動信号から、信号補正部１０３から読み出した駆動信号に切り替えるタイミングを決定するタイマである。

ステップＳ３０４で、演算装置２０１によって算出された車両走行経路を読み出す。ステップＳ３０５で、センサ情報を取り込む。ステップＳ３０６でセキュリティ関連およびパワーウィンドウの制御目標値を算出する。ステップＳ３０７でセキュリティ関連およびパワーウィンドウの駆動出力を通信装置から送信するように設定する。

ステップＳ３０８で、演算装置３０５が故障していないか確認する。ステップＳ３１６からステップＳ３０３に進んだ場合、演算装置３０５が故障している場合があり得る。演算装置３０５が故障している場合（判断がＹＥＳ）、ステップＳ３１８、ステップＳ３１９で演算装置３０５の機能を替わりに実行する。ステップＳ３１７でそのための演算装置の機能切替を実施する。

ステップＳ３１８で操舵、制動、エネルギ管理の制御目標値を演算する。ステップＳ３１９で駆動出力を通信装置から送信するように設定する。

ステップＳ３２０で移行期間後までのセキュリティ関連、パワーウィンドウ駆動信号を
メモリに書込む。コントローラが二つとも故障した時の準備である。ステップＳ３２９で処理を終了する。

ステップＳ３０２で演算装置がすべて正常、ではない場合（判定はＮＯ）、ステップＳ３１０で演算装置が３個以上故障しているかどうか判定する。演算装置３個以上の故障が発生したとき（判定はＹＥＳ）、実施の形態１では自律的な動作を保証することはできない。このためステップＳ３２１で退避制御を実行し、直ちに緊急停止を行う。緊急停止時は、車両のハザードランプの点灯、クラクションの吹鳴を残った演算装置により制御させることで、周囲に危険を知らせる制御を追加しても良い。これらの制御を実現するには、予め、アクチュエータ側の配線の冗長化を実施する必要がある。その後ステップＳ３２９で処理を終了する。

ステップＳ３１０で演算装置が３個以上故障していない場合（判定はＮＯ）、ステップＳ３１１でコントローラが２個故障しているかどうか判定する。コントローラが２個故障している場合（判定はＹＥＳ）、演算装置２０５も故障しているので、そのままステップＳ３２９で処理を終了する。

ステップＳ３１１で、コントローラが２個故障していない場合（判定はＮＯ）ステップＳ３１２で演算装置２０１が故障しているかどうか判定する。演算装置２０１が故障している場合（判定はＹＥＳ）ステップＳ３１４からステップＳ３１６で、演算装置２０１の機能を代理で実施する。そのために、ステップＳ３１３で演算装置の機能切替を行う。ステップＳ３１６の後、ステップＳ３１２で演算装置２０１が故障していない場合（判定はＮＯ）と同様に、ステップＳ３０３に進む。

図５、６は、実施の形態１に係るリアルタイム制御用の演算装置（コントローラ）３０５の演算のフローチャートである。図６は図５の続きの処理を示す。図５、６の処理は、例えば１ｍｓ毎に実行される。リアルタイム制御用の処理なので、必ず１ｍｓ以内に制御を終了する。

図５、６は、図４、５と基本的には同様であるので、異なる部分のみ説明する。図６のステップＳ３３３で制御部２００の通信部２０４が保有する第二切替タイマをクリアする。第二切替タイマは、リアルタイム制御用の演算装置（コントローラ）が二つとも故障した場合に、メモリ２０２から読み出した駆動信号から、信号補正部２０３から読み出した駆動信号に切り替えるタイミングを決定するタイマである。

ステップＳ３３８で、演算装置２０５が故障していないか確認する。ステップＳ３４６からステップＳ３３３に進んだ場合、演算装置２０５が故障している場合があり得る。演算装置２０５が故障している場合（判断がＹＥＳ）、ステップＳ３０６、ステップＳ３０７で演算装置２０５の機能を替わりに実行する。ステップＳ３４７でそのための演算装置の機能切替を実施する。

ステップＳ３４０で移行期間後までの操舵、制動、エネルギ管理の駆動信号をメモリに書込む。コントローラが二つとも故障した時の準備である。ステップＳ３４９で処理を終了する。

ステップＳ３４２で演算装置１０１が故障しているかどうか判定する。演算装置１０１が故障している場合（判定はＹＥＳ）ステップＳ３１４、ステップＳ３４６で、演算装置１０１の機能を代理で実施する。そのために、ステップＳ３４３で演算装置の機能切替を行う。ステップＳ３４６の後、ステップＳ３４２で演算装置１０１が故障していない場合（判定はＮＯ）と同様に、ステップＳ３３３に進む。

＜非リアルタイム制御の処理＞
図７は実施の形態１に係る演算装置１０１の非リアルタイム制御用の演算のフローチャートである。演算装置１０１では、制御時間を決めず分担している処理を常に実行する構成となっている。

ステップＳ４０１で処理が開始されるが、その後処理を常に繰り返すこととなる。例えば最大１００ｍｓ程度処理時間がかかる非リアルタイム制御用の演算を実行する場合を想定する。ステップＳ４０２で演算装置がすべて正常であるかどうか確認する。演算装置がすべて正常な場合（判定はＹＥＳ）、ステップＳ４０３でセンサ情報を取り込み、次のステップＳ４０４で車両全走行経路周辺環境情報を更新する。その後ステップＳ４０２へ戻り処理を繰り返す。

ステップＳ４０２で演算装置がすべて正常ではなかった場合（判定はＮＯ）ステップＳ４０５へ進む。ステップＳ４０５で演算装置が３個以上故障しているかどうか判定し、３個以上故障している場合（判定はＹＥＳ）は、ステップＳ４１６で退避制御を実施した後、ステップＳ４０２へ戻る。

ステップＳ４０５で演算装置が３個以上故障で無ければ（判定はＮＯ）ステップＳ４０６でコントローラ２個故障かどうか判定する。コントローラ２個故障でなければ（判定はＮＯ）ステップＳ４０７で演算装置２０１が故障かどうか判定する。演算装置２０１が故障の場合（判定はＹＥＳ）、演算装置１０１は、演算装置２０１の機能も代理で実行する。具体的には、演算装置１０１の本来機能であるステップＳ４１０の車両全走行経路周辺環境情報更新だけでなく、ステップＳ４１１の車両全走行経路更新を実行する。このためにステップＳ４０８で、演算装置機能切替を実行し、ステップＳ４０９でセンサ情報取込
を実行している。ステップＳ４１１の後、ステップＳ４０２へ戻る。

ステップＳ４０６で、コントローラ２個故障の場合（判定はＹＥＳ）ステップＳ４１２で演算装置機能切替を実行する。非リアルタイム制御用の演算装置１０１が、リアルタイム制御用の演算装置（コントローラ）のバックアップを引き受けるために、１０ｍｓタイマで実施する優先処理と、通常の処理に分けて演算を実行する。ステップＳ４１３からステップＳ４１５は、非優先処理を示す。ステップＳ４１３でセンサ情報を取り込み、ステップＳ４１４で、１００ｍ先以降の車両走行経路周辺環境情報更新し、ステップＳ４１５で、パワーウィンドウ駆動信号を補正部に出力する。その後ステップＳ４０２へ戻る。

図８は実施の形態１に係る演算装置２０１の非リアルタイム制御用の演算のフローチャートである。演算装置２０１では、制御時間を決めず分担している処理を常に実行する構成となっている。フローチャートの構成は、図７の演算装置１０１に関するフローチャートと類似しているので、異なる部分について説明する。

ステップＳ４２１で処理が開始されるが、その後処理を常に繰り返すこととなる。例えば最大１００ｍｓ程度処理時間がかかる非リアルタイム制御用の演算を実行する場合を想定する。ステップＳ４０２で演算装置がすべて正常であるかどうか確認する。演算装置がすべて正常な場合（判定はＹＥＳ）、ステップＳ４０３でセンサ情報を取り込み、次のステップＳ４２３で車両全走行経路周辺環境情報取込を実施し、ステップＳ４２４で車両全走行経路を更新する。その後ステップＳ４０２へ戻り処理を繰り返す。

ステップＳ４２７で、演算装置１０１が故障しているかどうか判定する。演算装置１０１が故障の場合（判定はＹＥＳ）、演算装置２０１は、演算装置１０１の機能も代理で実行する。具体的には、演算装置２０１の本来機能であるステップＳ４１１の車両全走行経路更新だけでなく、ステップＳ４１０の車両全走行経路周辺環境情報更新を実行する。このためにステップＳ４２８で、演算装置機能切替を実行し、ステップＳ４０９でセンサ情報取込を実行している。ステップＳ４１１の後、ステップＳ４０２へ戻る。

ステップＳ４０６で、コントローラ２個故障の場合（判定はＹＥＳ）ステップＳ４３２で演算装置機能切替を実行する。非リアルタイム制御用の演算装置２０１が、リアルタイム制御用の演算装置（コントローラ）のバックアップを引き受けるために、１０ｍｓタイマで実施する優先処理と、通常の処理に分けて演算を実行する。ステップＳ４１３からステップＳ４３５は、非優先処理を示す。ステップＳ４１３でセンサ情報を取り込み、ステップＳ４３４で、１００ｍ先以降の車両全走行経路更新し、ステップＳ４３５でエネルギ管理駆動信号を補正部に出力する。その後ステップＳ４０２へ戻る。

＜非リアルタイム処理の優先処理＞
図９は、実施の形態１に係る演算装置１０１の非リアルタイム制御用の演算の優先処理のフローチャートである。コントローラ２個故障に際し、車両のセキュリティに係る機能を優先的に実行し、信号補正部を利用して制御周期を疑似的に高くし、リアルタイム制御に近づけている。

図９の処理は例えば１０ｍｓごとに実行する。非リアルタイム制御用の演算装置で、優先処理をタイマでトリガをかけて実行し、非優先処理を従来通り非リアルタイム制御用の演算として実行する。

ステップＳ５０１から処理を開始し、ステップＳ５０２で演算装置３個故障かどうか判定する。演算装置３個以上の故障の場合（判断はＹＥＳ）は、ステップＳ５０８で退避制御を実行しステップＳ５１９で処理を終了する。ステップＳ５０２で演算装置３個故障でない場合（判断はＮＯ）は、ステップＳ５０３でコントローラ２個故障かどうか判定する。コントローラ２個故障でない（判定はＮＯ）場合は、優先処理を実施せずそのままステップＳ５１９で処理を終了する。

ステップＳ５０３でコントローラ２個故障の場合（判定はＹＥＳ）は、ステップＳ５０４からステップＳ５０７までの優先処理を実行する。ステップＳ５０４でセンサ情報を取込み、ステップＳ５０５で１００ｍ先までの車両走行経路周辺情報更新し、ステップＳ５０６で予測期間後の車両制御状態を予測し、ステップＳ５０７で予測期間後のセキュリティ関連駆動予定信号を補正部に出力して、ステップＳ５１９で処理を終了する。

図１０は、実施の形態１に係る演算装置２０１の非リアルタイム制御用の演算の優先処理のフローチャートである。コントローラ２個故障に際し、車両の操舵、制動に係る機能を優先的に実行し、信号補正部を利用して制御周期を疑似的に高くし、リアルタイム制御に近づけている。

図１０の処理は例えば１０ｍｓごとに実行する。非リアルタイム制御用の演算装置で、優先処理をタイマでトリガをかけて実行し、非優先処理を現行通り非リアルタイム制御用の演算として実行する。図１０のフローチャートの図９のフローチャートと異なる点をステップＳ５０３から説明する。

ステップＳ５０３でコントローラ２個故障かどうか判定する。コントローラ２個故障でない（判定はＮＯ）場合は、優先処理を実施せずそのままステップＳ５３９で処理を終了する。

ステップＳ５０３でコントローラ２個故障の場合（判定はＹＥＳ）は、ステップＳ５０４からステップＳ５２７までの優先処理を実行する。ステップＳ５０４でセンサ情報を取込み、ステップＳ５２４で１００ｍ先までの車両走行経路周辺情報を取込み、ステップＳ５２５で１００ｍ先までの車両走行経路更新をし、ステップＳ５０６で予測期間後の車両制御状態を予測し、ステップＳ５２７で予測期間後の操舵、制動の駆動予定信号を補正部に出力して、ステップＳ５３９で処理を終了する。

＜メモリ、信号補正部、通信部＞
図１１は、実施の形態１に係る通信部１０４の駆動信号出力のフローチャートである。図１１の処理は、通信部によって例えば１ｍｓごとに実行される。ステップＳ６０１から処理を開始し、ステップＳ６０２でコントローラ２個故障かどうか判定する。コントローラ２個故障の場合にのみ、当該処理を実施するので、コントローラ２個故障でない（判定がＮＯ）の場合はステップＳ６０９で終了する。

コントローラ２個故障（判定がＹＥＳ）の場合は、ステップＳ６０３で第一切替タイマの値が予め定められた移行期間以上かどうか判断する。移行期間以上でない（判定はＮＯ）場合は、ステップＳ６０４でメモリ１０２から駆動信号を読み出す。そして、ステップＳ６０５で第一切替タイマを加算する。ステップＳ６０６で通信部は駆動信号を駆動ユニット３１へ制御通信網６を介して送信する。ステップＳ６０９で処理を終了する。

ステップＳ６０３で、第一切替タイマが予め定められた移行期間以上（判定はＹＥＳ）の場合は、ステップＳ６０７で信号補正部が補間した駆動信号を読み出す。そしてステップＳ６０６で通信部は駆動信号を駆動ユニット３１へ制御通信網６を介して送信する。

図１２は、実施の形態１に係る通信部２０４の駆動信号出力のフローチャートである。図１１が通信部１０４についてのフローチャートを示しているのに対して、図１２は通信部２０４について説明している。内容は対象が異なる以外は同等なので説明は省略する。

図１１、１２では、通信部１０４、２０４が駆動信号の切替を実施する説明としたが、駆動信号の切替は、信号補正部１０３、２０３が実施することとしてもよい。メモリ１０２、２０２または演算装置１０１、２０１、それ以外の外部装置が切替える構成とすることもできる。

故障した演算装置が演算装置２０５と３０５両方ではないとき、実施の形態１では故障していない演算装置の少なくとも１つはリアルタイム性の演算が可能であるため、各演算装置のメモリに実装されたメモリに書き込まれた故障した演算装置の代行する機能を起動し、自動運転を継続する。

リアルタイム制御用の演算装置２０５、３０５と、非リアルタイム制御用の演算装置１０１、２０２について、車両周辺環境情報を更新、車両走行経路を更新、セキュリティ、パワーウィンドウをリアルタイム制御、操舵、制動、エネルギ管理をリアルタイム制御する例を示して説明した。しかし、各演算装置の実施する制御は実施の形態に限られるものではなく、演算装置への割り当てについても実施の形態に制限されるものではない。

上記の説明では、リアルタイム制御用の演算装置２０５、３０５は、非リアルタイム制御用の演算装置１０１、２０１の処理を引き受けても、充分な余力がある場合として説明した。しかし、リアルタイム制御用の演算装置２０５、３０５の処理負荷に余裕が無ければ、非リアルタイム制御用の演算を分割して少しずつ実施するようにしてもよい。また、図３から図１２の説明における、１ｍｓ、１０ｍｓ、１００ｍｓ、１００ｍなどの例は、例示であってこれに限定するものではない。

また、非リアルタイム性の演算のみでリアルタイムの制御を実行する場合、利用するマイクロコンピュータにより、処理能力の限界から車両速度などに制約が必要になるときがある。そのため、演算装置２０５、３０５の故障が判明したときに、減速して、近くの退避場まで走行して停車する制御を追加しても良い。

以上のように、実施の形態１に係る車両制御システムでは、自律的な走行をする自動運転車両において、冗長度を必要以上に上げることなく、二か所のリアルタイム制御用の演算装置の故障においても、自律走行の対応を可能とすることができる。

２．実施の形態２
図１３は、実施の形態２に係る車両制御システムの構成図である。実施の形態１に係る図１と比較して、制御通信網６、７が二重となっている部分が異なる。駆動ユニット３１は、二重の通信網でリアルタイム制御用の演算装置および非リアルタイム制御用の演算装置と接続され、一方の通信網は全ての前記演算装置が正常な場合に使用され、他方の通信網は前記演算装置のいずれかが故障している場合に用いられる。これによって、演算装置の正常時と異常時との動作を明確に切り分けられるので、信頼性が向上する。

なお、実施の形態１、および実施の形態２の構成では、センサ４０１、制御通信網６、駆動ユニット３１、アクチュエータ３２のバックアップについて触れていないが、それぞれ二重化または三重化することができる。三重化することによって、二重故障にも耐えられるので意義が大きい。

本願は、様々な例示的な実施の形態及び実施例が記載されているが、１つ、または複数の実施の形態に記載された様々な特徴、態様、及び機能は特定の実施の形態の適用に限られるのではなく、単独で、または様々な組み合わせで実施の形態に適用可能である。従って、例示されていない無数の変形例が、本願明細書に開示される技術の範囲内において想定される。例えば、少なくとも１つの構成要素を変形する場合、追加する場合または省略する場合、さらには、少なくとも１つの構成要素を抽出し、他の実施の形態の構成要素と組み合わせる場合が含まれるものとする。

１車両制御システム、６、７制御通信網、１０制御装置、３１駆動ユニット、３２アクチュエータ、１００、２００、３００制御部、１０１、２０１、２０５、３０５演算装置、１０２、２０２メモリ、１０３、２０３信号補正部、１０４、２０４、３０４通信部、４０１センサ

Claims

車両の周辺環境を検出するセンサ、
前記車両を操作するアクチュエータ、
前記アクチュエータを駆動する駆動ユニット、
前記センサの信号に基づいて前記車両の制御目標値を算出し、前記制御目標値に基づいて前記駆動ユニットを駆動する、二つのリアルタイム制御用の演算装置と二つの非リアルタイム制御用の演算装置とを有する制御装置、を備えた車両制御システムであって、
いずれかの一つまたは二つの前記演算装置が故障した場合は、他の演算装置が故障した演算装置の機能を引き継ぐよう構成され、
前記リアルタイム制御用の演算装置の一方が故障し他方が健全な場合は、前記一方のリアルタイム制御用の演算装置の機能を前記他方のリアルタイム制御用の演算装置が引き継ぎ、
前記リアルタイム制御用の演算装置の双方が故障した場合は、前記非リアルタイム制御用の演算装置が前記リアルタイム制御用の演算装置の機能を引き継ぐ車両制御システム。
前記非リアルタイム制御用の演算装置が、前記リアルタイム制御用の演算装置の機能を引き継ぐ場合は、前記非リアルタイム制御用の演算装置の通常の演算周期よりも短い演算周期によって引き継いだ機能の処理を実行する請求項１に記載の車両制御システム。
前記非リアルタイム制御用の演算装置は、現在時点から予め定められた移行期間後までの間の前記駆動ユニットに与える駆動信号を生成してメモリに格納し、
前記リアルタイム制御用の演算装置が故障した場合に前記非リアルタイム制御用の演算装置が前記リアルタイム制御用の演算装置の機能を引き継ぐ場合は、前記移行期間の間、前記メモリに格納された駆動信号が予め定められた周期で前記駆動ユニットに供給される請求項１または２に記載の車両制御システム。
前記リアルタイム制御用の演算装置または前記非リアルタイム制御用の演算装置は、現在時点から予め定められた移行期間後までの間の前記駆動ユニットに与える駆動信号を生成してメモリに格納し、
前記リアルタイム制御用の演算装置が故障した場合に前記非リアルタイム制御用の演算装置が前記リアルタイム制御用の演算装置の機能を引き継ぐ場合は、前記移行期間の間、前記メモリに格納された駆動信号が予め定められた周期で前記駆動ユニットに供給され、
前記リアルタイム制御用の演算装置が故障した場合に前記非リアルタイム制御用の演算装置が前記リアルタイム制御用の演算装置の機能を引き継ぐ場合は、前記非リアルタイム制御用の演算装置は、予め定められた予測期間後の車両制御状態を予測し、前記予測した前記車両制御状態に基づいた駆動予定信号を信号補正部に伝達し、
前記移行期間後は、前記信号補正部は現在出力している駆動信号と前記予測期間後の駆動予定信号に基づいて、補間した駆動信号を予め定められた周期で前記駆動ユニットに出力する請求項１から３のいずれか一項に記載の車両制御システム。
前記信号補正部は、アクチュエータごとの出力特性に応じて、補間した駆動信号を生成する請求項４に記載の車両制御システム。
前記信号補正部は、前記非リアルタイム制御用の演算装置から受信した前記予測期間後の駆動予定信号の履歴の移動平均値またはスプライン曲線に基づいて、補間した駆動信号を生成する請求項４または５に記載の車両制御システム。
前記リアルタイム制御用の演算装置および前記非リアルタイム制御用の演算装置は、故障検知機能を備え、故障を検知した場合は他の演算装置に故障したことを通知する請求項１から６のいずれか一項に記載の車両制御システム。
前記駆動ユニットは、二重の通信網で前記リアルタイム制御用の演算装置および前記非リアルタイム制御用の演算装置と接続され、
一方の通信網は全ての前記演算装置が正常な場合に使用され、
他方の通信網は前記演算装置のいずれかが故障している場合に用いられる請求項１から７のいずれか一項に記載の車両制御システム。
前記センサは、前記車両の周辺環境を検知するカメラと、前記車両の位置を検出するロケータを含む請求項１から８のいずれか一項に記載の車両制御システム。