JPWO2018225352A1 - 車両制御装置および車両制御システム - Google Patents

Abstract

車両制御装置における演算処理部に動作異常が発生した場合でも、シームレスな自動運転制御ができ、安全性の向上が可能な車両制御装置を実現する。アクチュエータ制御指令の演算処理をマイコン11bと12bの２つのマイコンが同期して実行しマイコン11bの異常を監視回路11mが検知するとマイコン11bのアクチュエータ制御指令をブレーキ制御部13等に通信する通信回路11cをディセーブルにラッチし、イコン12bからのアクチュエータ制御指令をブレーキ制御部13等に通信回路12cを介して送信する。通信回路11cのディセーブル状態を車両のIGNSWまたは自動運転SWがトグルするまで維持し、それまではマイコン12bからのアクチュエータ制御指令をブレーキ制御部13等に送信する。制御がマイコン11b→マイコン12b→マイコン11bと移動し、複数回の制御移行の度に制御ギャップが発生することを抑制できシームレスな自動運転制御を維持可能となる。

Description

本発明は、自動運転システムの車両制御装置および車両制御システムに関する。

高度な自動運転システムの実現に向け、自動運転を制御する上位の制御装置であるＥＣＵ（Ｅｌｅｃｔｒｏｎｉｃ Ｃｏｎｔｒｏｌ Ｕｎｉｔ）には、例えば自動運転制御のための演算を行う演算処理装置（マイコン）に障害が発生したような際においても、ドライバに運転操作を引き渡すまでの一定期間、動作を継続することが求められる。

前述の一定期間の動作継続を実現するためには、制御システムの多重化と動作監視を用いた冗長化が考えられる。

特許文献１には、メイン系マイコンとサブ系マイコンを用いて冗長化された制御装置において、メイン系が備える複数のモジュールに対して診断を行い、診断された異常が重度である場合には、メイン系マイコンの全モジュールを停止させて、サブ系マイコンを動作させる制御装置が開示されている。

特開２０１６−７６０４９号公報

自動運転システムは、例えば、制御指令を出力する車両制御装置と、車両制御装置からの制御指令に基づいてエンジン制御、ブレーキ制御、パワーステアリング制御などをそれぞれに実施する複数のアクチュエータ制御装置とで構成される。

ここで、自動運転システムにおいては、機能安全上から、例えばマイコン内のプログラム暴走を監視するウォッチドックタイマ等、マイコンの動作について診断回路によって監視し、マイコンの異常を検知してフェール処理を実施することが望まれるが、マイコンの異常に対して一律にマイコンを停止（リセット）させるなどの処理を実施した場合、自動運転システムの機能が停止することになる。

しかし、自動運転システムの機能が突然停止すると、車両搭乗者が車両の運転を引き継ぐ必要があるが、車両搭乗者が運転を引き継ぐまでの時間が生じるため、車両システムによる制御補間が必要であり、そのための技術が要求される。

上記課題を解決する手段として、特許文献１に記載があるように、メイン系マイコンとサブ系マイコンを用いた冗長構成として、メイン系マイコンの異常検出時に、メイン系マイコンを停止させて、サブ系マイコンを動作させる制御が考えられる。

しかしながら、メイン系マイコンとサブ系マイコンの制御指令値に差異がある場合は、制御の移行時に発生する制御ギャップが課題となる。例えば、メイン系マイコンに一時的な異常が発生し、サブ系マイコンに制御が移動した後にメイン系マイコンが異常から復帰した場合、制御がメイン系マイコン→サブ系マイコン→メイン系マイコンと移動し、複数回の制御移行の度に制御ギャップが発生する可能性が考えられる。

制御ギャップが発生すると、シームレスな自動運転制御が困難となるという問題が生じる。

本発明は、上記問題点に鑑みなされたものであり、その目的は、車両制御装置における演算処理部に動作異常が発生した場合においても、シームレスな自動運転制御ができ、安全性の向上が可能な車両制御装置および車両制御システムを実現することである。

上記目的を達成するため、本発明は次のように構成される。

車両制御装置において、車両のアクチュエータ制御部に送信するアクチュエータ制御指令を生成する第１の制御指令生成部と、上記アクチュエータ制御部に送信するアクチュエータ制御指令を生成する第２の制御指令生成部と、上記第１の制御指令生成部が生成したアクチュエータ制御指令と第２の制御指令生成部が生成したアクチュエータ制御指令を上記アクチュエータ制御部に送信するための通信回路と、を備え、上記第１の制御指令生成部に異常が発生したときは、上記第１の制御指令生成部が生成したアクチュエータ制御指令の上記アクチュエータ制御部への送信を遮断するように上記通信回路がディセーブルにラッチされる。

車両制御システムにおいて、車両の外界を認識する外界認識センサと、上記車両の自動運転を設定する自動運転設定部と、上記車両の動作を制御するアクチュエータ制御部と、上記外界認識センサからの外界認識情報と軌道情報生成部により生成された軌道情報とに基づいて、上記車両の動作を指令するアクチュエータ制御指令を生成し、上記アクチュエータ制御部に送信する車両制御装置と、を備え、上記車両制御装置は、上記アクチュエータ制御部に送信するアクチュエータ制御指令を生成する第１の制御指令生成部と、上記アクチュエータ制御部に送信するアクチュエータ制御指令を生成する第２の制御指令生成部と、上記第１の制御指令生成部が生成したアクチュエータ制御指令と第２の制御指令生成部が生成したアクチュエータ制御指令を上記アクチュエータ制御部に送信するための通信回路と、を有し、上記第１の制御指令生成部に異常が発生したときは、上記第１の制御指令生成部が生成したアクチュエータ制御指令の上記アクチュエータ制御部への送信を遮断するように上記通信回路がディセーブルにラッチされる。

本発明によれば、車両制御装置における演算処理部に動作異常が発生した場合においても、シームレスな自動運転制御ができ、安全性の向上が可能な車両制御装置および車両制御システムを実現することができる。

本発明が適用される車両に備えられる自動運転システムの概略構成図である。 本発明の実施例１における自律走行制御部（第１ＥＣＵ）の内部構成を示す図である。 本発明の実施例１におけるラッチ回路の詳細を示す図である。 本発明の実施例２における自律走行制御部（第１ＥＣＵ）の内部構成を示す図である。 本発明の実施例３における自律走行制御部（第１ＥＣＵ）の内部構成を示す図である。 本発明の実施例３におけるラッチ回路（ラッチ回路１）の詳細を示す図である。 本発明の実施例３におけるラッチ回路と通信回路の状態関係性を示す表である。 本発明の実施例３におけるラッチ回路の入出力と通信回路の状態関係性を示す表である。 本発明の実施例３における各回路ブロックと各信号の状態を示したタイミングチャートである。

以下、本発明の実施形態について添付図面を参照して説明する。

（自動運転システムの構成例）
まず、本発明が適用される自動運転システム（車両制御システム）の構成について説明する。

図１は、本発明が適用される車両に備えられる自動運転システムの概略構成図である。図１において、自動運転システムは、車両の外界状況を認識するための外界認識センサである、カメラ（第１センサ）１と、レーダ（第２センサ）２と、自車位置センサ（第３センサ）３と、自動運転を設定するための自動運転設定部４とを備える。

さらに、自動運転システムは、自律走行制御部（第１ＥＣＵ）１１（車両制御装置）と、補助制御部（第２ＥＣＵ）１２と、ブレーキ制御部（第３ＥＣＵ）１３と、エンジン制御部（第４ＥＣＵ）１４と、パワーステアリング制御部（第５ＥＣＵ）１５とを備える。なお、ブレーキ制御部１３、エンジン制御部１４、及びパワーステアリング制御部１５は、車両の動作を制御するアクチュエータ制御部と総称することができる。

カメラ１、レーダ２、自車位置センサ３、自律走行制御部１１、補助制御部１２、ブレーキ制御部１３、エンジン制御部１４、パワーステアリング制御部１５は、車載ネットワーク（例えば、ＣＡＮ（Ｃｏｎｔｒｏｌｌｅｒ Ａｒｅａ Ｎｅｔｗｏｒｋ、コントローラエリアネットワーク）やＥｔｈｅｒｎｅｔ（登録商標）等）によって相互に通信可能となるよう接続される。

補助制御部１２は、自律走行制御部１１の送信状態を監視し、自律走行制御部１１が失陥した際にバックアップとして適切な縮退制御を実行するように動作する制御装置であるが、自律走行制御部１１が失陥した場合においても自律走行制御部１１内に、縮退制御機能を持たせることで安全が担保できるのであれば、縮退制御は不要である。

ブレーキ制御部１３は、車両のブレーキ制御（制動力制御）を行う制御装置であり、エンジン制御部１４は、車両の駆動力を発生するエンジンを制御する制御装置である。また、パワーステアリング制御部１５は、車両のパワーステアリングを制御する制御装置である。

自車位置センサ３は、ＧＰＳ（Ｇｌｏｂａｌ Ｐｏｓｉｔｉｏｎｉｎｇ Ｓｙｓｔｅｍ）などの測位用衛星からの電波を用いて、自車両の位置を取得する装置である。自車位置センサ３は、取得した自車位置情報を自律走行制御部１１に出力する。なお、自車位置センサ３は、ＧＰＳ以外の測位システムを用いて自車位置情報を取得しても良い。

また、自車位置センサ３内部には、自動運転で使用する地図データを保持するメモリを有しており、道路の道幅、車線数、勾配、カーブの曲率、交差点の形状、制限速度情報などの地図データが格納される。なお、地図データは自律走行制御部１１内部に格納されていても良い。

自動運転設定部４は、自動運転時の目的地、ルート、走行速度などを設定する装置である。自動運転設定部４は、搭乗者が設定を行うための入力装置（図示せず）を有する。この入力装置には、例えば、搭乗者が自動運転システムを起動するための開始スイッチを始め、ボタンやタッチパネルといった物理的な入力装置、カメラや赤外線を用いたジェスチャ入力装置、音声入力装置などが該当する。自動運転設定部４は、入力装置を介して搭乗者が入力した情報を自動走行制御部１１に出力する。

ここで、自律走行制御部１１が、自動運転設定部４により自動運転の要求を受け付けると、カメラ１、レーダ２、自車位置センサ３など外界の情報を基に車両が移動する軌道を算出し、自律走行制御部１１は、前述したルート通りに車両を移動させるように、ブレーキや駆動力などの制御指令を、ブレーキ制御部１３、エンジン制御部１４、及びパワーステアリング制御部１５に出力する。

ブレーキ制御部１３、エンジン制御部１４、パワーステアリング制御部１５は、自律走行制御部１１から自動走行制御の制御指令を受けて、各制御対象（アクチュエータ）に操作信号を出力する。

（実施例１）
図２は、本発明の実施例１における自律走行制御部（第１ＥＣＵ）１１の内部構成を示す図である。

図２において、制御装置内の第１の制御マイコン（マイコン１１ｂ）の動作についてマイコン外部の監視回路（監視回路１１ｍ）で異常検出し、異常検出後に第１の制御マイコン１１ｂ側の通信回路１１ｃをディセーブルにラッチする例を示す。

ここで、マイコン１１ｂは制御指令を生成する第１の制御指令生成部と定義し、マイコン１２ｂは制御指令を生成する第２の制御指令生成部と定義する。

マイコン１１ｂ及びマイコン１２ｂは、それぞれ、別箇の電源から電源供給されるマイコンである。

図２において、自動運転の走行制御装置である自律走行制御部１１は、マイコン１０ｂ、マイコン１１ｂ、及びマイコン１２ｂの３つのマイコンを有しており、それぞれのマイコン１０ｂ、１１ｂ、１２ｂに対応して、通信回路１０ｃ（通信回路０）、通信回路１１ｃ（通信回路１（第１通信回路））、通信回路１２ｃ（通信回路２（（第２通信回路））を備えている。

図２において、自律走行制御部１１はマイコン１０ｂ、マイコン１１ｂ、マイコン１２ｂの３つのマイコンを有しているが、例えば、自律走行制御部１１内にマイコン１０ｂ、マイコン１１ｂを配置し、マイコン１２ｂを自律走行制御部１１以外の制御部に配置しても良い。なお、自律走行制御部１１内にマイコン１１ｂとマイコン１２ｂを有し、マイコン１０ｂを自律走行制御部１１以外の制御部に配置しても良い。さらに、マイコン１０ｂは、自律走行制御部１１の外部にマイコン１０ｂ単独で配置してもよい。

マイコン１０ｂ（マイコン０）には、通信回路１０ｃを介して、外界センサである、カメラ１（第１センサ）、レーダ２（第２センサ）、および自車位置センサ３（第３センサ）からセンサ情報（外界認識情報）が伝達される。マイコン１０ｂは伝達されたセンサ情報に基づいて外界の状況を認識し、自車両が移動する軌道情報を生成する。このため、マイコン１０ｂは軌道情報生成部と定義することができる。

マイコン１０ｂは、生成した軌道情報をマイコン１１ｂ（マイコン１）とマイコン１２ｂ（マイコン２）に送信する。それぞれのマイコン１１ｂとマイコン１２ｂは、通信回路１１ｃ（通信回路１）と通信回路１２ｃ（通信回路２）を介して、外部から、図示していない車輪速センサ、加速度センサ、ヨーレートセンサ等の外界認識センサの情報（これらの情報も外界認識情報に含まれる）を外部ＥＣＵ（制御装置）から受信しており、それら情報とマイコン１０ｂが演算した軌道情報とに基づいて、ブレーキ制御部１３（第３ＥＣＵ）、エンジン制御部１４（第４ＥＣＵ）、パワーステアリング制御部１５（第５ＥＣＵ）に、それぞれのアクチュエータ制御指令を生成し送信する。

ここで、マイコン１１ｂ、マイコン１２ｂは、処理タイミングを同期させるための同期部（図示せず）を有している。マイコン１０ｂからの軌道情報がマイコン１１ｂ、マイコン１２ｂに入力されると、このタイミングが同期信号として取り込まれ、マイコン１１ｂ、マイコン１２ｂがそれぞれアクチュエータへの制御指令の演算処理を開始し、マイコン１１ｂとマイコン１２ｂとの処理タイミングが互いに同期している。

マイコン１１ｂには、マイコン１１ｂを監視する監視回路１１ｍ（監視回路１）が接続されており、マイコン１１ｂからプログラムラン信号１１ｎが監視回路１１ｍに出力されている。監視回路１１ｍには、マイコン１１ｂの暴走を監視するウォッチドックタイマ（図示せず）を有している。

ここで、マイコン１１ｂを監視する監視回路は１１ｍ、マイコン１１ｂ内に内蔵する回路としても良い。

監視回路１１ｍがマイコン１１ｂの異常を検知すると、監視回路１１ｍの出力に接続されているラッチ回路１１ｒ（ラッチ回路１（第１ラッチ回路））とマイコン１２ｂとに異常信号１１ｔが伝達される。

ラッチ回路１１ｒは、マイコン１１ｂの異常を通知されると通信回路１１ｃに信号１１ｑを送信し、通信回路１１ｃをディセーブルにラッチする。これによりマイコン１１ｂが異常時にはマイコン１１ｂの、ブレーキ制御部１３、エンジン制御部１４、及びパワーステアリング制御部１５へのアクチュエータ制御指令が遮断され、遮断された状態が保持される。

アクチュエータ制御指令は、常にマイコン１１ｂとマイコン１２ｂから送信する方式とし、マイコン１１ｂが異常時には、マイコン１１ｂのアクチュエータ制御指令のみ遮断しても良い。

また、別の方式として、システム起動時はマイコン１１ｂからのみアクチュエータ制御指令を出力し、マイコン１１ｂが異常時はマイコン１１ｂのアクチュエータ制御指令を遮断すると同時にマイコン１２ｂが異常信号１１ｔを受信することでマイコン１２ｂからアクチュエータ制御指令を出力する方式でも良い。

こうして、マイコン１１ｂのアクチュエータ制御指令からマイコン１２ｂのアクチュエータ制御指令に移行するが、制御移行時の制御ギャップを考慮すると、マイコン１１ｂとマイコン１２ｂとは、同一の制御ソフトウェアが実装されることが望ましい。

このように、マイコン１１ｂおよび通信回路１１ｃと、マイコン１２ｂおよび通信回路１２ｃは、異常時に制御が移行する関係であり、共通原因の故障を排除するため、それぞれに電源を供給する（図示していない）電源回路は独立である必要がある。

図３は、本発明の実施例１におけるラッチ回路の詳細を示す図である。

図３において、ラッチ回路１１ｒにはＳＲフリップフロップを用いて、マイコン１１ｂが異常である場合に出力される異常信号１１ｔをＳ端子に出力し、また車両のＩＧＮＳＷ信号（イグニッション信号）または自動運転設定部４から送信される自動運転ＳＷ信号（自動運転スイッチ信号）をＲ端子に出力する。

監視回路１１ｍがマイコン１１ｂの異常を検知すると、マイコン異常信号１１ｔは、ＬｏｗからＨｉｇｈとなり、ラッチ回路１１ｒから信号１１ｑ（Ｈｉｇｈ）が出力される。ラッチ回路１１ｒと通信回路１１ｃとは信号ラインで接続されており、信号１１ｑがＨｉｇｈになると通信回路１１ｃがディセーブルとなる。ここで言うディセーブルとは、通信回路の機能が停止する設定でも良いが、接続している通信バスへの干渉を配慮して（通信回路１１ｃの送信が停止するだけで）、受信専用になる設定としても良い。

また、仮にマイコン１１ｂの異常が一時的なもので、マイコン１１ｂのリセットなどにより異常から復帰して、監視回路１１ｍからのマイコン異常信号１１ｔがＨｉｇｈからＬｏｗになっても、ラッチ回路１１ｒのＲ端子に接続されている車両のＩＧＮＳＷ信号または自動運転ＳＷ信号がトグルしない限り、信号１１ｑのＨｉｇｈ出力がホールドされ、通信回路１１ｃのディセーブル状態が継続する。

これにより、一度、監視回路１１ｍがマイコン１１ｂの異常を検知すると、車両のＩＧＮＳＷまたは自動運転ＳＷがトグルするまで、マイコン１１ｂのアクチュエータ制御指令が遮断される。マイコン１１ｂがリセットなどにより正常復帰しても、復帰直後のマイコン１１ｂの内部制御値はデフォルト値に戻っているため、マイコン１１ｂのアクチュエータ制御指令を出力すると、車両システムとして制御ギャップが発生する可能性がある。このため、マイコン１１ｂのアクチュエータ制御指令を遮断することで制御ギャップが生じることを回避することができる。

以上のように、本発明の実施例１によれば、アクチュエータ制御指令の演算処理をマイコン１１ｂと１２ｂとの２つのマイコンが同期して実行し、マイコン１１ｂの異常を監視回路１１ｍが検知すると、マイコン１１ｂのアクチュエータ制御指令をブレーキ制御部１３等に通信する通信回路１１ｃをディセーブルにラッチし、マイコン１２ｂからのアクチュエータ制御指令をブレーキ制御部１３等に通信回路１２ｃを介して送信し、通信回路１１ｃのディセーブル状態を車両のＩＧＮＳＷまたは自動運転ＳＷがトグルするまで維持し、それまでは、マイコン１２ｂからのアクチュエータ制御指令をブレーキ制御部１３等に送信するように構成される。

したがって、制御がマイコン１１ｂ→マイコン１２ｂ→マイコン１１ｂと移動し、複数回の制御移行の度に制御ギャップが発生することを抑制でき、シームレスな自動運転制御を維持することが可能となる。車両のＩＧＮＳＷまたは自動運転ＳＷの入力状態がトグル（切り替わる）したときは、車両運転停止状態から運転開始又は手動運転から自動運転へと切り替わる場合であるので、自動運転状態で制御ギャップが生じることは無いので、上記ラッチ状態を解除することができる。

つまり、本発明の実施例１によれば、車両制御装置における演算処理部に動作異常が発生した場合においても、シームレスな自動運転制御ができ、安全性の向上が可能な車両制御装置および車両制御システムを実現することができるという効果が得られる。

（実施例２）
次に、本発明の実施例２について説明する。

本実施例２では、車両制御装置１１内の第１の制御マイコン（マイコン１１ｂ）の動作について第２の制御マイコン（マイコン１２ｂ）で監視し、第１の制御マイコン（マイコン１１ｂ）の異常検出後に、第１の制御マイコン側の通信回路（通信回路１１ｃ）をディセーブルにラッチする例である。

図４は、実施例２における自律走行制御部（第１ＥＣＵ）１１の内部構成を示す図である。

図４では、マイコン１０ｂおよび外界センサは図示していないが、図２と同様に、マイコン１０ｂおよび外界センサも配置され、接続されており、マイコン１０ｂは、外界センサからの情報に基づき生成した軌道情報をマイコン１１ｂとマイコン１２ｂに送信する。

マイコン１１ｂは、マイコン１０ｂからの軌道情報に基づきアクチュエータ制御指令を生成し、通信回路１１ｃを介してブレーキ制御部１３、エンジン制御部１４、及びパワーステアリング制御部１５に送信する一方で、アクチュエータ制御指令はマイコン１１ｂの正常性判断のため通信ライン１１ｆを介してマイコン１２ｂにも送信する。

マイコン１２ｂもマイコン１１ｂと同様に、マイコン１０ｂからの軌道情報に基づきアクチュエータ制御指令を生成するが、マイコン１２ｂで生成したアクチュエータ制御指令とマイコン１１ｂから受信したアクチュエータ制御指令とを比較することで、マイコン１１ｂに異常が発生したか否かを検知する。

マイコン１２ｂがマイコン１１ｂの異常を検知すると、マイコン１２ｂに接続されているラッチ回路１１ｒに異常信号１１ｔが出力される。ラッチ回路１１ｒは、マイコン１１ｂの異常を通知されると信号１１ｑを通信回路１１ｃに出力し、通信回路１１ｃをディセーブルにラッチする。これによりマイコン１１ｂが異常時にはマイコン１１ｂのアクチュエータ制御指令が遮断される。

実施例２におけるラッチ回路１１ｒも図３に示した例と同様な構成となっており、ＳＲフリップフロップを用いて、マイコン１１ｂが異常である場合にはマイコン１２ｂから出力される異常信号１１ｔをＳ端子に出力し、また車両のＩＧＮＳＷ信号または自動運転ＳＷ信号をＲ端子に出力する。車両のＩＧＮＳＷ信号または自動運転ＳＷ信号をＲ端子に出力された場合は、通信回路１１ｃのディセーブルが解除される。

本発明の実施例２においても、実施例１と同様な効果を得ることができる。

（実施例３）
次に、本発明の実施例３について説明する。

本発明の実施例３は、車両制御装置１１内の第１の制御マイコン１１ｂの動作についてマイコン１１ｂ外部の監視回路と第２の制御マイコン１２ｂとで監視し、双方の回路で異常検出後に第１の制御マイコン１１ｂ側の通信回路１１ｃをディセーブルにラッチする例である。

図５は、本発明の実施例３における自律走行制御部（第１ＥＣＵ）１１の内部構成を示す図である。

図５においても、図４と同様に、マイコン１０ｂおよび外界センサは図示していないが、図２と同様に、マイコン１０ｂおよび外界センサも配置され、接続されており、マイコン１０ｂは、外界センサからの情報に基づき生成した軌道情報をマイコン１１ｂとマイコン１２ｂに送信する。

マイコン１１ｂは、マイコン１０ｂからの軌道情報に基づきアクチュエータ制御指令を生成し、ブレーキ制御部１３、エンジン制御部１４、及びパワーステアリング制御部１５に送信する一方で、アクチュエータ制御指令はマイコン１１ｂの正常性判断のため通信ライン１１ｆを介してマイコン１２ｂにも送信する。

マイコン１２ｂも同様に、マイコン１０ｂからの軌道情報に基づきアクチュエータ制御指令を生成するが、マイコン１２ｂで生成したアクチュエータ指令とマイコン１１ｂから受信したアクチュエータ制御指令を比較することで、マイコン１１ｂの異常か否かを判断し、マイコン１１ｂの異常を検出すると、異常信号１２ｇを出力する。

一方、マイコン１１ｂには、マイコン１１ｂを監視する監視回路１１ｍが接続されており、監視回路１１ｍは、マイコン１１ｂの供給電圧の監視回路やマイコンの暴走を監視するウォッチドックタイマを有している。

ここで、マイコン１１ｂを監視する監視回路は、マイコン１１ｂ内に内蔵する回路としても良い。

監視回路１１ｍはマイコン１１ｂの異常を検知すると、異常信号１１ｈを出力する。異常信号１２ｇと異常信号１１ｈはＡＮＤゲート１１ｓの入力端子に接続され、マイコン１２ｂと監視回路１１ｍの双方で異常検知した際、ＡＮＤゲート１１ｓからの出力信号１１ｔがＨｉｇｈとなり、通信回路１１ｃをディセーブルにラッチするようにラッチ回路１１ｒを設定している。

これは、マイコン１２ｂ単独、または監視回路１１ｍ単独で監視した場合は、監視側回路１１ｍの異常や、監視側回路１１ｍの過剰検出においても通信回路１１ｃが停止してしまうことを防止するためである。ＡＮＤゲート１１ｓの出力端はラッチ回路１２ｒにも接続され、出力信号１１ｕがＡＮＤゲート１１ｓからラッチ回路１２ｒに送信される。

なお、マイコンの異常には、ハードの異常、ソフトの異常や、故意の不正アクセスによる異常などがあるが、それら異常に対して適切に検出できる構成とすることが望ましいが、ここでは限定しない。

図６は、本発明の実施例３におけるラッチ回路１１ｒ（ラッチ回路１）の詳細を示す図である。また、図７は、実施例３におけるラッチ回路１１ｒと通信回路１１ｃの状態関係性を示す表である。

図６及び図７において、マイコン１２ｂと監視回路１１ｍの異常信号を入力するＡＮＤゲート１１ｓの出力１１ｔは、ＡＮＤゲート１１ｓの出力端とＧＮＤとの間にプルダウン抵抗が実装されているため、自動運転システムの起動直後、ＡＮＤゲート１１ｓの出力１１ｔは、Ｌｏｗであり、通信回路１１ｃはイネーブル状態である。

マイコン１２ｂと監視回路１１ｍの双方がマイコン１１ｂの異常を検知した場合、ＡＮＤゲート１１ｓの出力１１ｔはＨｉｇｈとなり、通信回路１１ｃはラッチ回路１１ｒからの信号１１ｑにより、ディセーブル状態に遷移する。ここで言うディセーブルとは、通信回路１１ｃの機能が停止する設定でも良いが、接続している通信バスへの干渉を配慮して（通信回路１１ｃの送信が停止するだけで）、受信専用になる設定としても良い。

一方、実施例３においては、図５に示すように、マイコン１２ｂ側にも、監視回路１１ｍ（第１監視回路）と同様なウォッチドッグタイマを有する監視回路１２ｍ（第２監視回路）を設定している。

これは、マイコン１１ｂが異常となってマイコン１１ｂからマイコン１２ｂに制御が移行することを考慮し、安全上の観点でマイコン１２ｂの正常性を監視するためのものであり、マイコン１２ｂからプログラムラン信号が監視回路１２ｍに出力される。

監視回路１２ｍがマイコン１２ｂの異常を検知すると、異常信号１２ｈが出力される。

マイコン１２ｂは、マイコン１０ｂからの軌道情報に基づきアクチュエータ制御指令を生成し、このアクチュエータ制御指令はマイコン１２ｂの正常性判断のため通信ライン１２ｆを介してマイコン１１ｂにも送信する。

マイコン１１ｂも同様に、マイコン１０ｂからの軌道情報に基づきアクチュエータ制御指令を生成するが、マイコン１１ｂで生成したアクチュエータ指令とマイコン１２ｂから受信したアクチュエータ制御指令を比較することで、マイコン１２ｂの異常を検知し、異常を検出すると、マイコン１１ｂは異常信号１１ｇを出力する。

異常信号１２ｈと異常信号１１ｇとはＮＡＮＤゲート１２ｓの入力端に接続され、ＮＡＮＤ回路１２ｓの出力端はラッチ回路１２ｒ（第２ラッチ回路）に接続されている。マイコン１１ｂと監視回路１２ｍの双方が異常検知した際にはＮＡＮＤ回路１２ｓの出力信号はＬｏｗとなり、ラッチ回路１２ｒの出力信号１２ｑにより通信回路１２ｃをディセーブルにラッチするようにラッチ回路１２ｒを設定している。

図８は、本発明の実施例３におけるラッチ回路１２ｒの入出力と通信回路１２ｃの状態関係性を示す表である。自動運転システムの起動直後は、ラッチ回路１２ｒの入力１１ｕと１２ｔはＬｏｗであり、通信回路１１ｃ側をイネーブル、通信回路１２ｃ側をディセーブルとする設定としている。

図９は、本発明の実施例３における各回路ブロックと各信号の状態を示したタイミングチャートである。

図９において、時点ｔ０にてＩＧＮＳＷまたは自動運転ＳＷがＯＮ状態になると、外界センサの情報に基づき軌道情報がマイコン１１ｂとマイコン１２ｂに入力され、双方のマイコンにおいてアクチュエータ制御指令が生成されるが、ＩＧＮＳＷまたは自動運転ＳＷがＯＮした直後（ｔ０）は、通信回路１１ｃはイネーブル状態に対し、通信回路１２ｃはディセーブル状態となっている。

このため、マイコン１１ｂのアクチュエータ制御指令が通信回路１１ｃを介して送出される。

一方、マイコン１２ｂのアクチュエータ制御指令は通信回路１２ｃで遮断される。

また、マイコン１２ｂはマイコン１１ｂが生成したアクチュエータ制御指令とマイコン１２ｂが生成したアクチュエータ制御指令を比較することでマイコン１１ｂを監視する。一方、逆にマイコン１１ｂもマイコン１２ｂが生成したアクチュエータ制御指令とマイコン１１ｂが生成したアクチュエータ指令を比較することでマイコン１２ｂを監視する。

ここで、監視回路１１ｍによるマイコン１１ｂの監視において異常が検出されてリセットが発生する（時点ｔ１）と、マイコン１１ｂのアクチュエータ制御指令がマイコン１２ｂに送信されず、マイコン１２ｂによるアクチュエータ制御指令の比較においても異常が検出され、信号１２ｇが異常を示し、通信回路１１ｃがディセーブル状態（時点ｔ２）となる。

同時（時点ｔ２）に、信号１１ｕがＨｉｇｈ、信号１２ｔがＨｉｇｈであるから、信号１２ｑにより通信回路１２ｃがイネーブル状態となり、マイコン１２ｂのアクチュエータ制御指令が通信回路１２ｃを介してブレーキ制御部１３等に送出される。

マイコン１の異常発生前（マイコン１１ｂのリセット前）は、マイコン１１ｂとマイコン１２ｂのアクチュエータ制御指令は互いに比較して異常がないことを確認しているため、ブレーキ制御１３等に対するアクチュエータ制御指令が、マイコン１２ｂに移行しても制御ギャップを低減することが可能である。

マイコン１１ｂがリセットから復帰すると（時点ｔ３）、つまり、異常から正常に復帰すると、監視回路１１ｍとマイコン１２ｂによる異常フラグ（異常信号）１１ｈ、１２ｇがＬｏｗ（正常）となっても、ＩＧＳＷや自動運転ＳＷの状態に変化はないので、ラッチ回路１１ｒの出力１１ｑはＨｉｇｈ出力をホールドしている。このため、通信回路１１ｃはディセーブル状態が継続する。

したがって、マイコン１１ｂが異常から復帰してもマイコン１１ｂが生成するアクチュエータ制御指令は、通信回路１１ｃで遮断される。

ただし、マイコン１１ｂによるマイコン１２ｂとのアクチュエータ制御指令の比較監視は継続して行われるため、実質的に、マイコン１１ｂはマイコン１２ｂの監視マイコンとなる。

つまり、第１の制御指令生成部であるマイコン１１ｂは、第２の制御指令生成部であるマイコン１２ｂが生成したアクチュエータ制御指令を監視し、このアクチュエータ制御指令に基づいて、第２の制御指令生成部に異常が発生したか否かを検知する。

その後、マイコン１１ｂによるマイコン１２ｂのアクチュエータ制御指令の比較結果にて異常が検出され（時点ｔ４）、かつ、監視回路１２ｍでも異常が検出されると（時点ｔ５）と、信号１２ｔがＬｏｗとなり、ラッチ回路１２ｒから出力される信号１２ｑにより通信回路１２ｃもディセーブル状態となる。これは時点ｔ６にて信号１２ｈ及び信号１１ｇが正常となった後も、通信回路１１ｃ及び１２ｃはディセーブル状態が維持される。

このため、マイコン１１ｂのアクチュエータ制御指令の遮断に加えて、マイコン１２ｂのアクチュエータ制御指令も遮断される。この場合、補助制御装置（ＥＣＵ１２（補助制御部））は、ＥＣＵ１１の通信回路１１ｃ、１２ｃの通信状態が通知され、これにより、マイコン１１ｂ、マイコン１２ｂに異常が検出されたことを監視し、適切な縮退制御に移行する。

ＩＧＮＳＷまたは自動運転ＳＷがオフ（時点ｔ７）からオン（時点ｔ８）となると、車両制御は最初（時点ｔ０）と同一の制御から再開する。

本発明の実施例３においても、実施例１と同様な効果が得られる他、次のような効果を得ることができる。

つまり、本発明の実施例３においては、マイコン１１ｂに異常が発生したか否かを監視回路１１ｍとマイコン１２ｎとの両者で監視し、両者共にマイコン１１ｂに異常が発生したと判断したときに、通信回路１１ｃをディセーブルとするように構成したので、監視回路１１ｍの異常や過剰検出により、通信回路１１ｃをディセーブルとすることを防止できる。

同様に、マイコン１２ｂに異常が発生したか否かを監視回路１２ｍとマイコン１１ｂとの両者で監視し、両者共にマイコン１２ｂに異常が発生したと判断したときに、通信回路１２ｃをディセーブルとするように構成したので、監視回路１２ｍの異常や過剰検出により、通信回路１２ｃをディセーブルとすることを防止できる。

また、マイコン１１ｂに異常が発生した後、マイコン１２ｂによりアクチュエータ制御指令により自動運転制御を行い、その後、マイコン１２ｂに異常が検知された場合は、通信回路１２ｃをディセーブルとし、補助制御装置１２（第２ＥＣＵ）により、縮退制御に移行するように構成したので、より、安全性を向上することができる。

また、本発明の実施例３におけるマイコン１１ｂとマイコン１２ｂの機能は、マイコン１０ｂからの軌道情報に基づきアクチュエータ制御指令を生成し、相互のアクチュエータ制御指令の比較を行うため、マイコン１１ｂとマイコン１２ｂにインストールされる制御ソフトウェアを同一内容として共通化することができる。

このため、マイコン１１ｂからマイコン１２ｂへのアクチュエータ制御指令移行時の制御ギャップが低減されるのみならず、制御ソフトウェアの開発工数も削減可能である。

なお、上述した実施例１、２、３においては、マイコン１１ｂとマイコン１２ｂからのアクチュエータ制御指令を送信するための通信回路を、マイコン１１ｂの通信回路１１ｃとマイコン１２ｂの通信回路１２ｃとの２つとしたが、本発明は、マイコン１１ｂとマイコン１２ｂとの共通の一つの通信回路とし、この通信回路が、マイコン１１ｂからのアクチュエータ制御指令を入力するか、マイコン１２ｂからのアクチュエータ制御指令を入力するか、マイコン１１ｂ及びマイコン１２ｂのアクチュエータ制御指令のいずれも入力しないかをスイッチングするように構成し、いずれかの状態をラッチ可能とするように構成することもできる。

１・・・カメラ、 ２・・・レーダ、 ３・・・自車位置センサ、 ４・・・自動運転設定部、 １１・・・自律走行制御部、 １１ｂ、１２ｂ・・・制御マイコン（演算処理装置）、 １１ｃ、１２ｃ・・・通信回路、 １１ｍ、１２ｍ・・・監視回路、 １１ｒ、１２ｒ・・・ラッチ回路、 １１ｓ・・・ＡＮＤ回路、 １２ｓ・・・ＮＡＮＤ回路 １２・・・補助制御部、 １３・・・ブレーキ制御部、 １４・・・エンジン制御部、 １５・・・パワーステアリング制御部

Claims (16)

1. 車両のアクチュエータ制御部に送信するアクチュエータ制御指令を生成する第１の制御指令生成部と、
   上記アクチュエータ制御部に送信するアクチュエータ制御指令を生成する第２の制御指令生成部と、
   上記第１の制御指令生成部が生成したアクチュエータ制御指令と第２の制御指令生成部が生成したアクチュエータ制御指令を上記アクチュエータ制御部に送信するための通信回路と、
   を備え、上記第１の制御指令生成部に異常が発生したときは、上記第１の制御指令生成部が生成したアクチュエータ制御指令の上記アクチュエータ制御部への送信を遮断するように上記通信回路がディセーブルにラッチされることを特徴とする車両制御装置。
2. 請求項１に記載の車両制御装置において、
   上記第１の制御指令生成部に異常が発生したことを検知する第１監視回路と、この第１監視回路が上記第１の制御指令生成部に異常が発生したことを検知すると、上記第１の制御指令生成部が生成したアクチュエータ制御指令の上記アクチュエータ制御部への送信を遮断するように上記通信回路をディセーブルにラッチする第１ラッチ回路と、を備えることを特徴とする車両制御装置。
3. 請求項１に記載の車両制御装置において、
   上記第１の制御指令生成部が生成したアクチュエータ制御指令の上記アクチュエータ制御部への送信を遮断するように上記通信回路をディセーブルにラッチする第１ラッチ回路を備え、上記第２の制御指令生成部は、上記第１の制御指令生成部に異常が発生したことを検知し、上記第１ラッチ回路に異常信号を出力し、上記第１ラッチ回路により、上記通信回路がディセーブルにラッチされることを特徴とする車両制御装置。
4. 請求項１に記載の車両制御装置において、
   上記第１の制御指令生成部に異常が発生したときは、上記第２の制御指令生成部が生成したアクチュエータ制御指令が上記通信回路を介して上記アクチュエータ制御部に送信されることを特徴とする車両制御装置。
5. 請求項４に記載の車両制御装置において、
   上記第１の制御指令生成部が異常から正常に復帰すると、上記第１の制御指令生成部は、上記第２の制御指令生成部が生成したアクチュエータ制御指令に基づき、上記第２の制御指令生成部に異常が発生したか否かを検知することを特徴とする車両制御装置。
6. 請求項３に記載の車両制御装置において、
   上記第２の制御指令生成部は、上記第２の制御指令生成部が生成したアクチュエータ制御指令と、上記第１の制御指令生成部が生成したアクチュエータ制御指令とを比較することで、上記第１の制御指令生成部に異常が発生したか否かを検知することを特徴とする車両制御装置。
7. 請求項１に記載の車両制御装置において、
   上記第１の制御指令生成部に異常が発生したことを検知する第１監視回路を備え、上記第２の制御指令生成部は、上記第２の制御指令生成部が生成したアクチュエータ制御指令と上記第１の制御指令生成部が生成したアクチュエータ制御指令とを比較することで、上記第１の制御指令生成部に異常が発生したか否かを検知し、上記第１監視回路が上記第１の制御指令生成部に異常が発生したことを検知し、かつ、上記第２の制御指令生成部が上記第１の制御指令生成部に異常が発生したこと検知したときに、上記第１の制御指令生成部が生成したアクチュエータ制御指令の上記アクチュエータ制御部への送信を遮断するように上記通信回路がディセーブルにラッチされることを特徴とする車両制御装置。
8. 請求項１に記載の車両制御装置において、
   上記第１の制御指令生成部が生成したアクチュエータ制御指令の上記アクチュエータ制御部への送信を遮断するように上記通信回路をディセーブルにラッチする第１ラッチ回路を備え、上記車両のイグニッションスイッチ信号又は自動運転スイッチ信号が上記第１ラッチ回路に入力されることにより、上記通信回路がディセーブルにラッチされることが解除されることを特徴とする車両制御装置。
9. 請求項１に記載の車両制御装置において、
   車両のアクチュエータ制御部に送信するアクチュエータ制御指令を生成する補助制御部を備え、この補助制御部は、上記第１の制御指令生成部及び上記第２の制御指令生成部に異常が発生したが通知されることを特徴とする車両制御装置。
10. 請求項１に記載の車両制御装置において、
    上記第１の制御指令生成部及び上記第２の制御指令生成部は、それぞれ、別箇の電源から電源供給されることを特徴とする車両制御装置。
11. 請求項１に記載の車両制御装置において、
    上記通信回路は、
    上記第１の制御指令生成部が生成したアクチュエータ制御指令を上記アクチュエータ制御部に送信するための第１通信回路と、上記第２の制御指令生成部が生成したアクチュエータ制御指令を上記アクチュエータ制御部に送信するための第２通信回路とを有することを特徴とする車両制御装置。
12. 請求項１に記載の車両制御装置において、
    上記通信回路は、
    上記第１の制御指令生成部にインストールされる制御ソフトウェアと、上記第２の制御指令生成部にインストールされる制御ソフトウェアとは、同一内容であることを特徴とする車両制御装置。
13. 車両の外界を認識する外界認識センサと、
    上記車両の自動運転を設定する自動運転設定部と、
    上記車両の動作を制御するアクチュエータ制御部と、
    上記外界認識センサからの外界認識情報と軌道情報生成部により生成された軌道情報とに基づいて、上記車両の動作を指令するアクチュエータ制御指令を生成し、上記アクチュエータ制御部に送信する車両制御装置と、
    を備え、上記車両制御装置は、上記アクチュエータ制御部に送信するアクチュエータ制御指令を生成する第１の制御指令生成部と、上記アクチュエータ制御部に送信するアクチュエータ制御指令を生成する第２の制御指令生成部と、上記第１の制御指令生成部が生成したアクチュエータ制御指令と第２の制御指令生成部が生成したアクチュエータ制御指令を上記アクチュエータ制御部に送信するための通信回路と、を有し、上記第１の制御指令生成部に異常が発生したときは、上記第１の制御指令生成部が生成したアクチュエータ制御指令の上記アクチュエータ制御部への送信を遮断するように上記通信回路がディセーブルにラッチされることを特徴とする車両制御システム。
14. 請求項１３に記載の車両制御システムにおいて、
    上記車両制御装置は、上記第１の制御指令生成部に異常が発生したことを検知する第１監視回路と、この第１監視回路が上記第１の制御指令生成部に異常が発生したことを検知すると、上記第１の制御指令生成部が生成したアクチュエータ制御指令の上記アクチュエータ制御部への送信を遮断するように上記通信回路をディセーブルにラッチする第１ラッチ回路と、を有することを特徴とする車両制御システム。
15. 請求項１３に記載の車両制御システムにおいて、
    上記車両制御装置は、上記第１の制御指令生成部が生成したアクチュエータ制御指令の上記アクチュエータ制御部への送信を遮断するように上記通信回路をディセーブルにラッチする第１ラッチ回路を備え、上記第２の制御指令生成部は、上記第１の制御指令生成部に異常が発生したことを検知し、上記第１ラッチ回路に異常信号を出力し、上記第１ラッチ回路により、上記通信回路がディセーブルにラッチされることを特徴とする車両制御システム。
16. 請求項１５に記載の車両制御システムにおいて、
    上記第１の制御指令生成部が異常から正常に復帰すると、上記第１の制御指令生成部は、上記第２の制御指令生成部が生成したアクチュエータ制御指令に基づき、上記第２の制御指令生成部に異常が発生したか否かを検知することを特徴とする車両制御システム。

Images