WO2017073415A1 - 車両制御装置、車両制御システム - Google Patents

車両制御装置、車両制御システム Download PDF

Info

Publication number
WO2017073415A1
WO2017073415A1 PCT/JP2016/080890 JP2016080890W WO2017073415A1 WO 2017073415 A1 WO2017073415 A1 WO 2017073415A1 JP 2016080890 W JP2016080890 W JP 2016080890W WO 2017073415 A1 WO2017073415 A1 WO 2017073415A1
Authority
WO
WIPO (PCT)
Prior art keywords
unit
vehicle
computing unit
vehicle control
monitoring
Prior art date
Application number
PCT/JP2016/080890
Other languages
English (en)
French (fr)
Inventor
祐 石郷岡
敏史 大塚
櫻井　康平
Original Assignee
日立オートモティブシステムズ株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 日立オートモティブシステムズ株式会社 filed Critical 日立オートモティブシステムズ株式会社
Priority to CN201680050175.0A priority Critical patent/CN108137055B/zh
Priority to US15/761,179 priority patent/US10780894B2/en
Priority to EP16859645.0A priority patent/EP3369635B1/en
Publication of WO2017073415A1 publication Critical patent/WO2017073415A1/ja

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/0703—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation
    • G06F11/0706—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation the processing taking place on a specific hardware platform or in a specific software environment
    • G06F11/0736—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation the processing taking place on a specific hardware platform or in a specific software environment in functional embedded systems, i.e. in a data processing system designed as a combination of hardware and software dedicated to performing a certain function
    • G06F11/0739—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation the processing taking place on a specific hardware platform or in a specific software environment in functional embedded systems, i.e. in a data processing system designed as a combination of hardware and software dedicated to performing a certain function in a data processing system embedded in automotive or aircraft systems
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60W—CONJOINT CONTROL OF VEHICLE SUB-UNITS OF DIFFERENT TYPE OR DIFFERENT FUNCTION; CONTROL SYSTEMS SPECIALLY ADAPTED FOR HYBRID VEHICLES; ROAD VEHICLE DRIVE CONTROL SYSTEMS FOR PURPOSES NOT RELATED TO THE CONTROL OF A PARTICULAR SUB-UNIT
    • B60W50/00—Details of control systems for road vehicle drive control not related to the control of a particular sub-unit, e.g. process diagnostic or vehicle driver interfaces
    • B60W50/02—Ensuring safety in case of control system failures, e.g. by diagnosing, circumventing or fixing failures
    • B60W50/029—Adapting to failures or work around with other constraints, e.g. circumvention by avoiding use of failed parts
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60R—VEHICLES, VEHICLE FITTINGS, OR VEHICLE PARTS, NOT OTHERWISE PROVIDED FOR
    • B60R16/00—Electric or fluid circuits specially adapted for vehicles and not otherwise provided for; Arrangement of elements of electric or fluid circuits specially adapted for vehicles and not otherwise provided for
    • B60R16/02—Electric or fluid circuits specially adapted for vehicles and not otherwise provided for; Arrangement of elements of electric or fluid circuits specially adapted for vehicles and not otherwise provided for electric constitutive elements
    • B60R16/023—Electric or fluid circuits specially adapted for vehicles and not otherwise provided for; Arrangement of elements of electric or fluid circuits specially adapted for vehicles and not otherwise provided for electric constitutive elements for transmission of signals between vehicle parts or subsystems
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60R—VEHICLES, VEHICLE FITTINGS, OR VEHICLE PARTS, NOT OTHERWISE PROVIDED FOR
    • B60R16/00—Electric or fluid circuits specially adapted for vehicles and not otherwise provided for; Arrangement of elements of electric or fluid circuits specially adapted for vehicles and not otherwise provided for
    • B60R16/02—Electric or fluid circuits specially adapted for vehicles and not otherwise provided for; Arrangement of elements of electric or fluid circuits specially adapted for vehicles and not otherwise provided for electric constitutive elements
    • B60R16/023—Electric or fluid circuits specially adapted for vehicles and not otherwise provided for; Arrangement of elements of electric or fluid circuits specially adapted for vehicles and not otherwise provided for electric constitutive elements for transmission of signals between vehicle parts or subsystems
    • B60R16/0231—Circuits relating to the driving or the functioning of the vehicle
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60W—CONJOINT CONTROL OF VEHICLE SUB-UNITS OF DIFFERENT TYPE OR DIFFERENT FUNCTION; CONTROL SYSTEMS SPECIALLY ADAPTED FOR HYBRID VEHICLES; ROAD VEHICLE DRIVE CONTROL SYSTEMS FOR PURPOSES NOT RELATED TO THE CONTROL OF A PARTICULAR SUB-UNIT
    • B60W30/00—Purposes of road vehicle drive control systems not related to the control of a particular sub-unit, e.g. of systems using conjoint control of vehicle sub-units
    • B60W30/06—Automatic manoeuvring for parking
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60W—CONJOINT CONTROL OF VEHICLE SUB-UNITS OF DIFFERENT TYPE OR DIFFERENT FUNCTION; CONTROL SYSTEMS SPECIALLY ADAPTED FOR HYBRID VEHICLES; ROAD VEHICLE DRIVE CONTROL SYSTEMS FOR PURPOSES NOT RELATED TO THE CONTROL OF A PARTICULAR SUB-UNIT
    • B60W50/00—Details of control systems for road vehicle drive control not related to the control of a particular sub-unit, e.g. process diagnostic or vehicle driver interfaces
    • B60W50/02—Ensuring safety in case of control system failures, e.g. by diagnosing, circumventing or fixing failures
    • B60W50/023—Avoiding failures by using redundant parts
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60W—CONJOINT CONTROL OF VEHICLE SUB-UNITS OF DIFFERENT TYPE OR DIFFERENT FUNCTION; CONTROL SYSTEMS SPECIALLY ADAPTED FOR HYBRID VEHICLES; ROAD VEHICLE DRIVE CONTROL SYSTEMS FOR PURPOSES NOT RELATED TO THE CONTROL OF A PARTICULAR SUB-UNIT
    • B60W50/00—Details of control systems for road vehicle drive control not related to the control of a particular sub-unit, e.g. process diagnostic or vehicle driver interfaces
    • B60W50/08—Interaction between the driver and the control system
    • B60W50/14—Means for informing the driver, warning the driver or prompting a driver intervention
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/0703—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation
    • G06F11/0793—Remedial or corrective actions
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/16—Error detection or correction of the data by redundancy in hardware
    • G06F11/20—Error detection or correction of the data by redundancy in hardware using active fault-masking, e.g. by switching out faulty elements or by switching in spare elements
    • G06F11/202—Error detection or correction of the data by redundancy in hardware using active fault-masking, e.g. by switching out faulty elements or by switching in spare elements where processing functionality is redundant
    • G06F11/2023—Failover techniques
    • G06F11/2028—Failover techniques eliminating a faulty processor or activating a spare
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/16—Error detection or correction of the data by redundancy in hardware
    • G06F11/20—Error detection or correction of the data by redundancy in hardware using active fault-masking, e.g. by switching out faulty elements or by switching in spare elements
    • G06F11/202—Error detection or correction of the data by redundancy in hardware using active fault-masking, e.g. by switching out faulty elements or by switching in spare elements where processing functionality is redundant
    • G06F11/2035—Error detection or correction of the data by redundancy in hardware using active fault-masking, e.g. by switching out faulty elements or by switching in spare elements where processing functionality is redundant without idle spare hardware
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • G—PHYSICS
    • G08—SIGNALLING
    • G08G—TRAFFIC CONTROL SYSTEMS
    • G08G1/00—Traffic control systems for road vehicles

Definitions

  • the present invention relates to a technique for controlling a vehicle.
  • ECU electronice control unit
  • in-vehicle network Local Area Network
  • Redundancy is known as a way to keep the car running even when the ECU fails.
  • Redundancy is a technique in which two or more ECUs having the same function are prepared, and one of them is switched to the other when one breaks. For example, in normal times, only one ECU transmits a control command value to the in-vehicle network, and when the ECU breaks, the other ECU transmits the control command value to the in-vehicle network.
  • this method has a problem that the cost becomes high because two ECUs must be prepared.
  • an appropriate ECU is selected from limited information when selecting an alternative ECU.
  • an alternative ECU is selected based on limited information, it is not known whether the ECU can reliably substitute for a function.
  • the present invention has been made to solve the above-described problems, and an object of the present invention is to provide a vehicle control technology capable of enhancing the safety of function substitution.
  • the vehicle control apparatus determines whether or not the alternative execution has succeeded by monitoring the operation after the alternative execution is started.
  • the success or failure of the substituted function can be determined, so that the safety after the function substitution can be secured.
  • FIG. 1 is a configuration diagram of a vehicle control system 1 according to Embodiment 1.
  • FIG. 2 is a configuration diagram of a monitoring device 11.
  • FIG. It is a block diagram of automatic operation integrated ECU12. It is a block diagram of automatic parking ECU13. It is a block diagram of navigation ECU14. It is a block diagram of meter ECU15.
  • status data 1141 This is an example of the original data buffer 1142 and the running track data 1241.
  • This is an example of an alternative data buffer 1143 and traveling track data 1341.
  • It is an example of a comparison table 1144.
  • FIG. 5 is a flowchart for explaining the operation of a failure detection unit 1131.
  • 10 is a flowchart for explaining the operation of a substitution request unit 1132.
  • 10 is a flowchart for explaining the operation of a monitoring unit 1133.
  • 10 is a flowchart for explaining the operation of a determination unit 1134.
  • 10 is a flowchart for explaining the operation of a notification unit 1135.
  • 10 is a flowchart for explaining the operation of a communication unit 1136.
  • 5 is a flowchart for explaining the operation of a traveling track generation unit 1231.
  • 10 is a flowchart for explaining the operation of a communication unit 1232.
  • FIG. 12 is a flowchart for explaining the operation of an alternative processing unit 1332.
  • 10 is a flowchart for explaining the operation of a communication unit 1333.
  • 10 is a flowchart for explaining the operation of a navigation unit 1431.
  • 10 is a flowchart for explaining the operation of a communication unit 1432.
  • 12 is a flowchart for explaining the operation of the display unit 1531.
  • 10 is a flowchart for explaining the operation of a communication unit 1532.
  • FIG. is a block diagram of the vehicle control system 1 which concerns on Embodiment 3.
  • FIG. 1 is a configuration diagram of a vehicle control system 1 according to Embodiment 1 of the present invention.
  • the vehicle control system 1 includes a monitoring device 11, an automatic driving integrated ECU 12, an automatic parking ECU 13, a navigation ECU 14, a meter ECU 15, and an in-vehicle network 16.
  • the in-vehicle network 16 is a bus-type in-vehicle network such as CAN (Controller Area Network), CAN-FD (Flexible Data), FlexRay, and the like. The configuration of each device will be described in detail below.
  • a program executed by the arithmetic device may be described as an operation subject, but it is added that it is the arithmetic device that actually executes these programs.
  • FIG. 2 is a configuration diagram of the monitoring device 11.
  • the monitoring device 11 is a device that monitors a function substitution operation between ECUs.
  • the monitoring device 11 includes an arithmetic device (Central Processing Unit: CPU) 111, a memory 112, and an input / output circuit 115.
  • the memory 112 has a program area 113 and a data area 114 as storage areas.
  • the CPU 111 can communicate with other devices via the input / output circuit 115 and the in-vehicle network 16.
  • the program area 113 stores a failure detection unit 1131, a substitution request unit 1132, a monitoring unit 1133, a determination unit 1134, a notification unit 1135, and a communication unit 1136 as programs executed by the CPU 111.
  • the data area 114 stores status data 1141, an original data buffer 1142, an alternative data buffer 1143, a comparison table 1144, an error counter 1145, and a transmission buffer 1146. Details of each functional unit and data will be described later.
  • FIG. 3 is a configuration diagram of the automatic operation integrated ECU 12.
  • the automatic driving integrated ECU 12 is an ECU that controls automatic driving of a vehicle on which the vehicle control system 1 is mounted.
  • the automatic operation integrated ECU 12 includes an arithmetic unit (CPU) 121, a memory 122, and an input / output circuit 125.
  • the memory 122 has a program area 123 and a data area 124 as storage areas.
  • the CPU 121 can communicate with other devices via the input / output circuit 125 and the in-vehicle network 16.
  • the program area 123 stores a traveling track generation unit 1231 and a communication unit 1232 as programs executed by the CPU 121.
  • the data area 124 stores travel track data 1241 and a transmission request flag 1242. Details of each functional unit and data will be described later.
  • FIG. 4 is a configuration diagram of the automatic parking ECU 13.
  • the automatic parking ECU 13 is an ECU that controls automatic parking of a vehicle on which the vehicle control system 1 is mounted.
  • the automatic parking ECU 13 includes an arithmetic unit (CPU) 131, a memory 132, and an input / output circuit 135.
  • the memory 132 has a program area 133 and a data area 134 as storage areas.
  • the CPU 131 can communicate with other devices via the input / output circuit 135 and the in-vehicle network 16.
  • the program area 133 stores an automatic parking unit 1331, an alternative processing unit 1332, and a communication unit 1333 as programs executed by the CPU 131.
  • the data area 134 stores travel track data 1341, a function substitution flag 1342, and a transmission request flag 1343. Details of each functional unit and data will be described later.
  • FIG. 5 is a configuration diagram of the navigation ECU 14.
  • the navigation ECU 14 is an ECU that provides a car navigation function of a vehicle on which the vehicle control system 1 is mounted.
  • the navigation ECU 14 includes a calculation device (CPU) 141, a memory 142, and an input / output circuit 145.
  • the memory 142 has a program area 143 as a storage area.
  • the CPU 141 can communicate with other devices via the input / output circuit 145 and the in-vehicle network 16 to control the operation / display device 146.
  • the operation / display device 146 is a device for performing car navigation operations and screen display.
  • the program area 143 stores a navigation unit 1431 and a communication unit 1432 as programs executed by the CPU 141. Details of each functional unit will be described later.
  • FIG. 6 is a configuration diagram of the meter ECU 15.
  • the meter ECU 15 is an ECU that controls instruments of a vehicle on which the vehicle control system 1 is mounted.
  • the meter ECU 15 includes an arithmetic unit (CPU) 151, a memory 152, and an input / output circuit 155.
  • the memory 152 has a program area 153 as a storage area.
  • the CPU 151 can communicate with other devices via the input / output circuit 155 and the in-vehicle network 16 to control the display device 156.
  • the display device 156 is a device that displays an instrument screen.
  • the program area 153 stores a display unit 1531 and a communication unit 1532 as programs executed by the CPU 151. Details of each functional unit will be described later.
  • FIG. 7 is an example of the status data 1141.
  • the state data 1141 indicates the state of the automatic driving integrated ECU 12. When the status data 1141 is 0, it indicates that a failure of the automatic driving integrated ECU 12 has not occurred, and when it is 1, it indicates that a failure of the automatic driving integrated ECU 12 has occurred.
  • FIG. 8 is an example of the original data buffer 1142 and the running track data 1241.
  • the travel track data 1241 is data representing a travel plan describing an operation sequence when the vehicle travels automatically, and is created by the automatic driving integrated ECU 12.
  • the original data buffer 1142 is data in which the traveling track data 1241 is stored according to a procedure described later. Therefore, since they have the same configuration, each data field of the original data buffer 1142 will be described below.
  • the action ID 11421 is an operation sequence number, and the vehicle performs an operation in ascending order of the number, for example.
  • the distance 11422 is a distance traveled in the sequence of the number.
  • the curvature 11423 is a traveling angle in the sequence of the number. For example, when the curvature 11423 is 0% and the distance 11422 is 300, this means that 300 mail goes straight.
  • the automatic operation integrated ECU 12 creates a travel plan up to the next cycle, for example, every predetermined cycle. Since the surrounding environment of the vehicle changes from moment to moment, the automatic driving integrated ECU 12 sequentially creates the running track data 1241 while reflecting the situation at that time for each cycle.
  • FIG. 9 is an example of the alternative data buffer 1143 and the running track data 1341.
  • the travel track data 1341 is data representing a travel plan for automatic driving created by the automatic parking ECU 13 instead of the automatic driving integrated ECU 12.
  • the alternative data buffer 1143 is data in which the traveling track data 1341 is stored according to a procedure described later. Therefore, they have the same configuration as the traveling track data 1241.
  • FIG. 10 is an example of the comparison table 1144.
  • the comparison table 1144 is a data table that defines, for each control function included in the vehicle control system 1, a range that is allowed as a difference between the control parameter before function substitution and the control parameter after function substitution.
  • the function ID 11441 represents the type of control function provided in the vehicle control system 1. For example, 0 indicates the automatic driving integrated ECU 12.
  • the allowable threshold value 11442 indicates a value allowed as a difference between the control parameter calculated by the ECU before the failure and the control parameter calculated by the alternative ECU after the failure.
  • an allowable threshold value 11442 related to the control parameter calculated by the automatic driving integrated ECU 12 is illustrated. Specifically, a range allowed as a difference between the distance 11422 calculated before the automatic driving integrated ECU 12 fails and the distance 11432 calculated by the automatic parking ECU 13 by alternative execution after the automatic driving integrated ECU 12 fails. It prescribes.
  • the monitoring unit 1133 determines the success or failure of the substitute by checking whether or not the difference between the control parameters calculated by the ECU before the failure and the function substitute ECU are within the allowable threshold value 11442.
  • the allowable threshold value 11442 needs to be set in consideration thereof. For example, when the time from when the failure of the automatic operation integrated ECU 12 is detected until the function substitution is started is 100 ms, a car traveling at 100 km / h travels about 2.8 meters in 100 ms. Then, the distance 13412 that the automatic parking ECU 13 should calculate for the same action ID 13411 as the action ID 12411 is 2.8 meters less than the distance 12412. Therefore, it is desirable that the allowable threshold value 11442 related to the automatic driving integrated ECU 12 is 2.8 meters or a numerical value including an appropriate coefficient and error. In FIG. 10, it is set to 3 meters in consideration of some errors.
  • FIG. 11 shows an example of the error counter 1145.
  • the error counter 1145 is data that records the number of times that the automatic operation integrated ECU 12 has failed to substitute for the failure.
  • FIG. 12 shows an example of the transmission buffer 1146.
  • the transmission buffer 1146 is a buffer that temporarily accumulates data that the monitoring device 11 transmits to the in-vehicle network 16.
  • Each ECU can also have a similar buffer.
  • the transmission buffer 1146 has a data ID 11461, a data value 11462, and a transmission request flag 11463.
  • the data ID 11461 is a value indicating the type of data transmitted / received on the in-vehicle network 16. For example, when the in-vehicle network 16 is a CAN, a CAN ID can be used as the data ID 11461.
  • the data value 11462 indicates a data value transmitted to the in-vehicle network 16. When the transmission request flag 11463 is set, data is transmitted from the transmission buffer 1146 to the in-vehicle network 16.
  • FIG. 13 is an example of the transmission request flag 1242.
  • the traveling track data 1241 is transmitted to the in-vehicle network. The same applies to the transmission request flag 1343 and the traveling track data 1341.
  • FIG. 14 shows an example of the function substitution flag 1342.
  • the function substitution flag 1342 is a flag indicating whether or not the automatic parking ECU 13 performs a process of creating a travel plan instead of the automatic driving integrated ECU 12.
  • FIG. 15 is a sequence diagram for explaining the operation of the vehicle control system 1.
  • the overall operation of the vehicle control system 1 will be described with reference to FIG. 15, and each detailed operation will be described with reference to FIG.
  • the automatic driving integrated ECU 12 transmits the traveling track data 1241 to the monitoring device 11.
  • the transmission interval may be periodic or may be returned in response to a request from the monitoring device 11.
  • the monitoring device 11 stores the received traveling track data 1241 in the original data buffer 1142.
  • the monitoring device 11 detects that the automatic driving integrated ECU 12 has failed. For example, when the traveling track data 1241 that has been received periodically is not sent, it is determined that the automatic operation integrated ECU 12 has failed.
  • the monitoring device 11 requests the automatic parking ECU 13 to create a travel plan in place of the automatic driving integrated ECU 12. When receiving the request, the automatic parking ECU 13 starts the alternative execution.
  • the navigation ECU 14 periodically transmits navigation data such as a destination / neighboring map / route to the in-vehicle network 16. Since the in-vehicle network 16 is a bus network, the automatic parking ECU 13 can also receive the navigation data received before the automatic operation integrated ECU 12 breaks down. The automatic parking ECU 13 creates travel track data 1341 using the navigation data received from the navigation ECU 14 and transmits it to the monitoring device 11.
  • the monitoring device 11 compares the travel track data 1241 calculated before the automatic operation integrated ECU 12 breaks down and the travel track data 1341 calculated by the automatic parking ECU 13 through the alternative execution, and determines whether the alternative execution is successful. .
  • the monitoring device 11 transmits the determination result to the meter ECU 15.
  • the meter ECU 15 notifies the driver of the success or failure of substitution by displaying the determination result on the screen.
  • FIG. 16 is a flowchart for explaining the operation of the failure detection unit 1131. Hereinafter, each step of FIG. 16 will be described.
  • the failure detection unit 1131 determines whether the traveling track data 1241 has been received. For example, it is possible to distinguish whether or not the traveling track data 1241 can be received by an argument when calling the failure detection unit 1131 in FIG. 21 described later. If the traveling track data 1241 has not been received, the process proceeds to step S113102. If it has been received, this flowchart ends.
  • the failure detection unit 1131 calls the substitution request unit 1132.
  • the substitution request unit 1132 has a role of requesting the automatic parking ECU 13 to perform substitution.
  • FIG. 17 is a flowchart for explaining the operation of the substitution request unit 1132. Hereinafter, each step of FIG. 17 will be described.
  • the substitution request unit 1132 stores data for requesting substitution execution to the automatic parking ECU 13 in the transmission buffer 1146, and sets the transmission request flag 11463 of the data to 1 (value to be sent).
  • FIG. 18 is a flowchart for explaining the operation of the monitoring unit 1133. Hereinafter, each step of FIG. 18 will be described.
  • Step S113301 The monitoring unit 1133 confirms whether or not the automatic operation integrated ECU 12 is in a normal state by confirming the value of the state data 1141. For example, if the value is 0, it is normal and if it is 1, it is abnormal. If it is normal, the process proceeds to step S113302, and if it is abnormal, the process proceeds to S113303.
  • the monitoring unit 1133 stores the received traveling track data 1241 in the original data buffer 1142.
  • the traveling track data 1241 can be delivered as an argument when the monitoring unit 1133 is called, for example.
  • the monitoring unit 1133 stores the received traveling track data 1341 in the alternative data buffer 1143.
  • the traveling track data 1341 can be delivered as an argument when the monitoring unit 1133 is called, for example.
  • Step S113304 The monitoring unit 1133 compares the traveling track data 1241 stored in the original data buffer 1142 with the traveling track data 1341 stored in the alternative data buffer 1143, and whether or not the difference between the two is within the allowable threshold value 11442. To check. If it is within the threshold value, the process proceeds to step S113305. Otherwise, the process proceeds to step S113306.
  • Step S113304: Supplement 1 the success or failure of substitution is determined by whether or not the difference falls within the range of the allowable threshold value 11442, but the determination criterion is not limited to this. For example, the determination may be made based on whether or not the difference is equal to the assumed value.
  • Step S113304 Supplement 2
  • the monitoring unit 1133 performs this step for each behavior ID corresponding to a travel plan after the current time. If any action ID has a difference that exceeds the allowable threshold value 11442, it may be regarded as a substitution failure. For example, if the sum of the differences exceeds the allowable threshold value 11442, it may be regarded as a substitution failure.
  • Step S113305 The monitoring unit 1133 calls the determination unit 1134.
  • the argument delivered to the determination unit 1134 is a value (for example, 0) indicating that the difference in step S113304 is within the allowable threshold value 11442.
  • Step S113306 The monitoring unit 1133 calls the determination unit 1134.
  • the argument delivered to the determination unit 1134 is a value (for example, 1) indicating that the difference in step S113304 has exceeded the allowable threshold value 11442.
  • FIG. 19 is a flowchart for explaining the operation of the determination unit 1134. Hereinafter, each step of FIG. 19 will be described.
  • Step S113401 The determination unit 1134 determines whether or not the difference between the original data and the alternative data is within the allowable threshold value 11442. For example, the determination can be made based on whether or not the delivered argument is zero. If it is within the allowable threshold value 11442, the process proceeds to step S113402. Otherwise, the process proceeds to step S113403.
  • Step S113402 The determination unit 1134 resets the error counter 1145 to 0.
  • Step S113403 The determination unit 1134 adds 1 to the error counter 1145.
  • Step S113404 The determination unit 1134 determines whether or not the error counter 1145 has reached a predetermined threshold value or more. If the error counter 1145 is greater than or equal to this threshold, it is considered that the alternative execution has failed. In this flowchart, the number of times is three as an example. When the error counter 1145 is 3 or more, the process proceeds to step S113406, and when it is not, the flowchart is ended.
  • Step S113405 The determination unit 1134 calls the notification unit 1135.
  • the argument delivered to the notification unit 1135 is a value (for example, 0) indicating that the alternative execution is successful.
  • Step S113406 The determination unit 1134 calls the notification unit 1135.
  • the argument delivered to the notification unit 1135 is a value (for example, 1) indicating that the alternative execution has failed.
  • FIG. 20 is a flowchart for explaining the operation of the notification unit 1135. Hereinafter, each step of FIG. 20 will be described.
  • Step S113501 The notification unit 1135 confirms whether the alternative execution has succeeded. For example, if the argument passed is 0, it is a success, and if it is 1, it is a failure. If the alternative execution is successful, the process proceeds to step S113502. Otherwise, the process proceeds to step S113503.
  • the notification unit 1135 stores data for notifying that the function substitution has been successful in the transmission buffer 1146.
  • the data ID 11461 is a value assigned in advance to data for notifying the success or failure of the substitution.
  • the notification unit 1135 sets the transmission request flag 11463 of the stored data to 1.
  • the notification unit 1135 stores, in the transmission buffer 1146, data for notifying that the function substitution has failed.
  • the data ID 11461 is a value assigned in advance to data for notifying the success or failure of the substitution.
  • the notification unit 1135 sets the transmission request flag 11463 of the stored data to 1.
  • FIG. 21 is a flowchart for explaining the operation of the communication unit 1136.
  • the CPU 111 repeatedly executes this flowchart at a period assumed to have received the traveling track data 1241 and 1341.
  • each step of FIG. 21 will be described.
  • Step S113601 The communication unit 1136 confirms whether the traveling track data 1241 or 1341 has been received. If it has been received, the process proceeds to step S113602. If it has not been received, the process proceeds to step S113603.
  • Step S113602 The communication unit 1136 calls the monitoring unit 1133 using the received traveling track data 1241 or 1341 as an argument.
  • the communication unit 1136 calls the failure detection unit 1131 with a value (for example, 0) indicating that the traveling track data 1241 or 1341 is not received as an argument.
  • Step S113603 Supplement
  • the failure detection unit 1131 is called immediately, but the present invention is not limited to this.
  • the failure detection unit 1131 may be called when the number of times of reception is not counted and the count value reaches a certain value or more.
  • the communication unit 1136 calls the failure detection unit 1131 with a value (for example, 1) indicating that the traveling track data 1241 or 1341 is received as an argument.
  • Step S113605 The communication unit 1136 checks whether there is data for which the transmission request flag 11463 of the transmission buffer 1146 is set to 1. If there is, the process proceeds to step S113606, and if not, this flowchart is terminated.
  • Step S113606 The communication unit 1136 transmits data in which the transmission request flag 11463 is set to 1 to the in-vehicle network 16. The communication unit 1136 resets the transmission request flag 11463 corresponding to the transmitted data to 0.
  • FIG. 22 is a flowchart for explaining the operation of the traveling track generation unit 1231.
  • the CPU 121 executes this flowchart periodically, for example. Hereinafter, each step of FIG. 22 will be described.
  • the traveling track generation unit 1231 generates traveling track data 1241 necessary to reach the destination, and sets a transmission request flag 1242 to 1.
  • the traveling track generation unit 1231 calls the communication unit 1232.
  • FIG. 23 is a flowchart for explaining the operation of the communication unit 1232. Hereinafter, each step of FIG. 23 will be described.
  • the communication unit 1232 transmits the traveling track data 1241 in which the transmission request flag 1242 is set to 1 to the in-vehicle network 16.
  • Step S123202 The communication unit 1232 clears the transmission request flag 1242 corresponding to the transmitted data to 0.
  • FIG. 24 is a flowchart for explaining the operation of the automatic parking unit 1331.
  • the CPU 131 executes this flowchart.
  • each step of FIG. 24 will be described.
  • the automatic parking unit 1331 automatically parks the vehicle without depending on the operation by the driver when the vehicle gear is in the back and the automatic parking function is on.
  • FIG. 25 is a flowchart for explaining the operation of the alternative processing unit 1332. Hereinafter, each step of FIG. 25 will be described.
  • Step S133201 The substitution processing unit 1332 confirms whether or not the function substitution flag 1342 is 1. If it is 1, the process proceeds to step S133202. Otherwise, the process proceeds to step S133203.
  • the substitute processing unit 1332 generates travel track data 1341 necessary for arriving at the destination, and sets the transmission request flag 1343 to 1.
  • the alternative processing unit 1332 may perform the process of generating the traveling track data 1341 at the same function level as that of the traveling track generation unit 1231 or may be performed at a reduced function level.
  • the function level here is a control parameter corresponding to the usefulness of the running track data, such as the number and accuracy of the operation sequences. In the case where the function level of the alternative processing unit 1332 is lower than that of the traveling track generation unit 1231, an increase in the safety level can be minimized.
  • Step S133203 The substitute processing unit 1332 calls the communication unit 1333.
  • FIG. 26 is a flowchart for explaining the operation of the communication unit 1333. Hereinafter, each step of FIG. 26 will be described.
  • Step S133301 The communication unit 1333 checks whether or not the transmission request flag 1343 is 1. If it is 1, the process proceeds to step S133302. Otherwise, the process proceeds to step S133304.
  • Step S133302 The communication unit 1333 transmits the traveling track data 1341 in which the transmission request flag 1343 is set to 1 to the in-vehicle network 16.
  • Step S133303 The communication unit 1333 clears the transmission request flag 1343 corresponding to the transmitted data to 0.
  • Step S133304 The communication unit 1333 confirms whether the received navigation data is present and the function substitution flag 1342 is 1. If these conditions are met, the process proceeds to step S133305. Otherwise, this flowchart is terminated.
  • the communication unit 1333 stores the received data in a buffer that can be referred to by the alternative processing unit 1332.
  • FIG. 27 is a flowchart for explaining the operation of the navigation unit 1431.
  • the CPU 141 executes this flowchart periodically, for example. Hereinafter, each step of FIG. 27 will be described.
  • the navigation unit 1431 calculates the entire route for arriving at the destination set by the user.
  • the navigation unit 1431 calls the communication unit 1432 with the current vehicle surrounding map, destination, and travel route as arguments.
  • FIG. 28 is a flowchart for explaining the operation of the communication unit 1432. Hereinafter, each step of FIG. 28 will be described.
  • the communication unit 1432 transmits navigation data such as a surrounding map, a destination, and a travel route passed as arguments to the in-vehicle network 16.
  • navigation data is voluntarily transmitted from the navigation ECU 14 to the in-vehicle network 16 to support initialization of function substitution, but the present invention is not limited to this.
  • navigation data may be transmitted in response to an alternative request.
  • FIG. 29 is a flowchart for explaining the operation of the display unit 1531. Hereinafter, each step of FIG. 29 will be described.
  • Step S153101 The display unit 1531 confirms whether data indicating that the substitute execution has failed (for example, data having a value of 1) has been received. If received, the process proceeds to step S153102. Otherwise, the process proceeds to step S153103.
  • the display unit 1531 displays on the display device 156 that the automatic parking ECU 13 has failed to execute the function in place of the automatic driving integrated ECU 12.
  • Step S153103 The display unit 1531 confirms whether or not data (for example, data having a value of 0) indicating that the substitute execution has been successful has been received. If it has been received, the process proceeds to step S153104. Otherwise, this flowchart ends.
  • the display unit 1531 displays on the display device 156 that the automatic parking ECU 13 has succeeded in executing the function in place of the automatic driving integrated ECU 12.
  • FIG. 30 is a flowchart for explaining the operation of the communication unit 1532.
  • the CPU 151 can notify the success or failure of the alternative execution to the driver of the vehicle, for example, by periodically executing this flowchart.
  • each step of FIG. 30 will be described.
  • Step S153201 The communication unit 1532 confirms whether there is received data. If there is, the process proceeds to step S153202, and if not, this flowchart is terminated.
  • Step S153202 The communication unit 1532 calls the display unit 1531.
  • the vehicle control system 1 can determine whether or not the automatic parking ECU 13 has succeeded in function replacement by comparing control parameters before and after the start of replacement. Therefore, it is suitable for an automatic driving system that requires high reliability.
  • the vehicle control system 1 makes functions redundant by function replacement between ECUs, it is not necessary to make the ECU main body redundant. Therefore, a highly reliable system can be constructed at a low cost.
  • FIG. 31 is a configuration diagram of the vehicle control system 1 according to the second embodiment of the present invention.
  • the gateway 21 includes a monitoring unit 211 having the same configuration as the monitoring device 11 described in the first embodiment, and has a role of relaying communication in the in-vehicle network.
  • the meter ECU 15 and the navigation ECU 14 are connected to the in-vehicle network 16
  • the automatic driving integrated ECU 12 is connected to the in-vehicle network 22
  • the automatic parking ECU 13 is connected to the in-vehicle network 23.
  • Each in-vehicle network is connected via a gateway 21, and the gateway 21 can communicate with each other by relaying communication data.
  • the in-vehicle network 22 and the in-vehicle network 23 are one-to-one communication networks such as Ethernet (registered trademark).
  • the gateway 21 may not transfer all the data transmitted from the automatic parking ECU 13 when the automatic parking ECU 13 determines that the function substitution has failed. For example, even if the traveling track data 1341 is received, it can be discarded without being transferred. As a result, the range of influence of abnormal data can be minimized.
  • the gateway 21 automatically parks the data transferred to the automatic driving integrated ECU 12 at the time before the automatic driving integrated ECU 12 fails after the automatic parking ECU 13 starts function replacement (or after issuing the replacement request). You may change a routing table so that it may transfer with respect to ECU13. Thereby, function substitution can be started smoothly.
  • the gateway 21 controls the relay destination of communication data
  • the function substitution starts smoothly, or the influence on other ECUs when the substitution execution fails. Can be minimized.
  • FIG. 32 is a configuration diagram of the vehicle control system 1 according to the third embodiment of the present invention.
  • the automatic driving ECU 13 includes an automatic parking microcomputer 136 and a monitoring microcomputer 137. These microcomputers are connected by, for example, a serial line.
  • the automatic parking microcomputer 136 is a microcomputer that has the same function as the automatic parking ECU 13 described in the first embodiment.
  • the monitoring microcomputer 137 is a microcomputer that has the same function as the monitoring device 11 described in the first embodiment.
  • the monitoring microcomputer 137 is provided in the automatic parking ECU 13 to realize the same function as the monitoring device 11, so that the vehicle control system 1 is less expensive than constructing the monitoring device 11 as an independent ECU.
  • the equivalent function can be realized.
  • the present invention is not limited to the above embodiment, and includes various modifications.
  • the above-described embodiment has been described in detail for easy understanding of the present invention, and is not necessarily limited to one having all the configurations described.
  • a part of the configuration of an embodiment can be replaced with the configuration of another embodiment, and the configuration of another embodiment can be added to the configuration of an embodiment.
  • the function substitution target is the traveling track generation unit 1231.
  • other ECUs and other function units can be function substitution targets.
  • a similar function replacement can be implemented if the engine control ECU fails.
  • Two or more functional units can be targeted for function substitution.
  • the state data 1141 can be provided for each function that is a function substitution target. The same applies to the allowable threshold value 11442, the error counter 1145, the function substitution flag 1342, and the like.
  • the traveling track data 1241 (and 1341) is expressed as described with reference to FIGS. 8 to 9, the expression format is not limited to this.
  • the traveling track data 1241 and 1341 are compared to determine whether or not the automatic driving function is succeeded, but the present invention is not limited to this.
  • control plans for target torque can be compared.
  • the allowable threshold value 11442 is a constant, but is not limited thereto.
  • the data length is omitted for convenience of explanation, but when the transmission data exceeds the maximum packet size of the in-vehicle network 16, the transmission data can be divided into a plurality of packets for transmission.
  • the transmission request flag is used in the range necessary for explaining the present invention.
  • a transmission request flag is provided for each data. You can also.
  • the ECU requesting the function substitution is fixed to the automatic parking ECU 13, but the present invention is not limited to this.
  • a function substitution may be requested from another ECU in accordance with the state of calculation load.
  • the automatic parking ECU 13 includes the alternative processing unit 1332 in advance, but is not limited thereto.
  • the substitution destination ECU may have a substitution function by transferring a program during system execution.
  • 1 vehicle control system
  • 11 monitoring device
  • 12 automatic operation integrated ECU
  • 13 automatic parking ECU
  • 14 navigation ECU
  • 15 meter ECU
  • 16 in-vehicle network
  • 21 gateway.

Landscapes

  • Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Automation & Control Theory (AREA)
  • Mechanical Engineering (AREA)
  • General Engineering & Computer Science (AREA)
  • General Physics & Mathematics (AREA)
  • Physics & Mathematics (AREA)
  • Quality & Reliability (AREA)
  • Transportation (AREA)
  • Human Computer Interaction (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Control Of Driving Devices And Active Controlling Of Vehicle (AREA)
  • Traffic Control Systems (AREA)
  • Small-Scale Networks (AREA)

Abstract

機能代替の安全性を高めることができる車両制御技術を提供する。 本発明に係る車両制御装置は、代替実行を開始した後の動作を監視することにより、代替実行が成功したか否かを判定する。

Description

車両制御装置、車両制御システム
　本発明は、車両を制御する技術に関するものである。
　近年の多くの車両制御システムは、電子化された車両制御機器を操作する電子制御装置（Ｅｌｅｃｔｒｏｎｉｃ　Ｃｏｎｔｒｏｌ　Ｕｎｉｔ：ＥＣＵ）、ＥＣＵ間の通信を可能にする車載ネットワーク（Ｌｏｃａｌ　Ａｒｅａ　Ｎｅｔｗｏｒｋ）、を備える。
　また近年、ドライバによるアクセス／ブレーキ／ステアリング操作なしに車両を目的地まで自動で運ぶ自動運転システムの要求が高まっている。自動運転システムにおいては、ドライバの判断を肩代わりしている自動運転統合ＥＣＵが故障した際にも、十分に安全性を確保する必要がある。いかなる状態が安全であるかは走行環境に依存する。例えば高速道路や極寒地などの過酷な環境においては、止まることなく走り続けることが安全であるといえる。
　ＥＣＵが故障した際にも自動車が走り続けるための方法として、機能の冗長化が知られている。冗長化は、同じ機能を備えたＥＣＵを２つ以上用意し、一方が壊れた際にもう一方に切り替える手法である。例えば通常時は一方のＥＣＵのみが制御指令値を車載ネットワークに対して送信し、そのＥＣＵが壊れた際にもう一方のＥＣＵが制御指令値を車載ネットワークに送信する方法が考えられる。しかしこの手法は、ＥＣＵを２つ用意しなければならないのでコストが高くなる課題がある。
　ＥＣＵが故障した際にも自動車が走り続けるための他の方法として、機能代替が知られている。下記特許文献１においては、ＥＣＵの故障を検知すると、故障ＥＣＵの機能の代替先を選定し、その代替先に対して故障ＥＣＵの機能プログラムを転送する。代替先ＥＣＵは、その機能プログラムを用いて故障ＥＣＵの機能を代替する。これにより、新たなＥＣＵを設けずに高信頼化を実現している。
特開２００２－２２１０７５号公報
　上記特許文献１記載の技術においては、代替先ＥＣＵを選定する際に、限られた情報から妥当なＥＣＵを選定している。しかし限られた情報に基づき代替先ＥＣＵを選定した場合、そのＥＣＵが確実に機能代替をすることができるか否かが分からない。
　本発明は、上記のような課題を解決するためになされたものであり、機能代替の安全性を高めることができる車両制御技術を提供することを目的とする。
　本発明に係る車両制御装置は、代替実行を開始した後の動作を監視することにより、代替実行が成功したか否かを判定する。
　本発明に係る車両制御装置によれば、代替された機能の成否を判定できるため機能代替後の安全性が担保できる。
実施形態１に係る車両制御システム１の構成図である。 監視装置１１の構成図である。 自動運転統合ＥＣＵ１２の構成図である。 自動駐車ＥＣＵ１３の構成図である。 ナビＥＣＵ１４の構成図である。 メータＥＣＵ１５の構成図である。 状態データ１１４１の例である。 元データバッファ１１４２と走行軌道データ１２４１の例である。 代替データバッファ１１４３と走行軌道データ１３４１の例である。 比較テーブル１１４４の例である。 エラーカウンタ１１４５の例である。 送信バッファ１１４６の例である。 送信要求フラグ１２４２の例である。 機能代替フラグ１３４２の例である。 車両制御システム１の動作を説明するシーケンス図である。 故障検知部１１３１の動作を説明するフローチャートである。 代替依頼部１１３２の動作を説明するフローチャートである。 監視部１１３３の動作を説明するフローチャートである。 判定部１１３４の動作を説明するフローチャートである。 通知部１１３５の動作を説明するフローチャートである。 通信部１１３６の動作を説明するフローチャートである。 走行軌道生成部１２３１の動作を説明するフローチャートである。 通信部１２３２の動作を説明するフローチャートである。 自動駐車部１３３１の動作を説明するフローチャートである。 代替処理部１３３２の動作を説明するフローチャートである。 通信部１３３３の動作を説明するフローチャートである。 ナビゲーション部１４３１の動作を説明するフローチャートである。 通信部１４３２の動作を説明するフローチャートである。 表示部１５３１の動作を説明するフローチャートである。 通信部１５３２の動作を説明するフローチャートである。 実施形態２に係る車両制御システム１の構成図である。 実施形態３に係る車両制御システム１の構成図である。
＜実施の形態１＞
　図１は、本発明の実施形態１に係る車両制御システム１の構成図である。車両制御システム１は、監視装置１１、自動運転統合ＥＣＵ１２、自動駐車ＥＣＵ１３、ナビＥＣＵ１４、メータＥＣＵ１５、車載ネットワーク１６を備える。車載ネットワーク１６は、ＣＡＮ（Ｃｏｎｔｒｏｌｌｅｒ　Ａｒｅａ　Ｎｅｔｗｏｒｋ）、ＣＡＮ－ＦＤ（Ｆｌｅｘｉｂｌｅ　Ｄａｔａ）、ＦｌｅｘＲａｙなどのようなバス型の車載ネットワークである。各装置の構成については以下に詳述する。
　以下では記載の便宜上、演算装置が実行するプログラムを動作主体として説明する場合があるが、実際にこれらプログラムを実行するのはその演算装置であることを付言しておく。
　図２は、監視装置１１の構成図である。監視装置１１は、ＥＣＵ間の機能代替動作を監視する装置である。監視装置１１は、演算装置（Ｃｅｎｔｒａｌ　Ｐｒｏｃｅｓｓｉｎｇ　Ｕｎｉｔ：ＣＰＵ）１１１、メモリ１１２、入出力回路１１５を備える。メモリ１１２は記憶領域として、プログラム領域１１３とデータ領域１１４を有する。ＣＰＵ１１１は、入出力回路１１５と車載ネットワーク１６を介して他の装置と通信することができる。
　プログラム領域１１３は、ＣＰＵ１１１が実行するプログラムとして、故障検知部１１３１、代替依頼部１１３２、監視部１１３３、判定部１１３４、通知部１１３５、通信部１１３６を格納する。データ領域１１４は、状態データ１１４１、元データバッファ１１４２、代替データバッファ１１４３、比較テーブル１１４４、エラーカウンタ１１４５、送信バッファ１１４６を格納する。各機能部およびデータの詳細については後述する。
　図３は、自動運転統合ＥＣＵ１２の構成図である。自動運転統合ＥＣＵ１２は、車両制御システム１を搭載する車両の自動運転を制御するＥＣＵである。自動運転統合ＥＣＵ１２は、演算装置（ＣＰＵ）１２１、メモリ１２２、入出力回路１２５を備える。メモリ１２２は記憶領域として、プログラム領域１２３とデータ領域１２４を有する。ＣＰＵ１２１は、入出力回路１２５と車載ネットワーク１６を介して他の装置と通信することができる。
　プログラム領域１２３は、ＣＰＵ１２１が実行するプログラムとして、走行軌道生成部１２３１、通信部１２３２を格納する。データ領域１２４は、走行軌道データ１２４１、送信要求フラグ１２４２を格納する。各機能部およびデータの詳細については後述する。
　図４は、自動駐車ＥＣＵ１３の構成図である。自動駐車ＥＣＵ１３は、車両制御システム１を搭載する車両の自動駐車を制御するＥＣＵである。自動駐車ＥＣＵ１３は、演算装置（ＣＰＵ）１３１、メモリ１３２、入出力回路１３５を備える。メモリ１３２は記憶領域として、プログラム領域１３３とデータ領域１３４を有する。ＣＰＵ１３１は、入出力回路１３５と車載ネットワーク１６を介して他の装置と通信することができる。
　プログラム領域１３３は、ＣＰＵ１３１が実行するプログラムとして、自動駐車部１３３１、代替処理部１３３２、通信部１３３３を格納する。データ領域１３４は、走行軌道データ１３４１、機能代替フラグ１３４２、送信要求フラグ１３４３を格納する。各機能部およびデータの詳細については後述する。
　図５は、ナビＥＣＵ１４の構成図である。ナビＥＣＵ１４は、車両制御システム１を搭載する車両のカーナビゲーション機能を提供するＥＣＵである。ナビＥＣＵ１４は、演算装置（ＣＰＵ）１４１、メモリ１４２、入出力回路１４５を備える。メモリ１４２は記憶領域として、プログラム領域１４３を有する。ＣＰＵ１４１は、入出力回路１４５と車載ネットワーク１６を介して他の装置と通信し、操作・表示装置１４６を制御することができる。操作・表示装置１４６は、カーナビゲーションの操作や画面表示を実施するための装置である。
　プログラム領域１４３は、ＣＰＵ１４１が実行するプログラムとして、ナビゲーション部１４３１、通信部１４３２を格納する。各機能部の詳細については後述する。
　図６は、メータＥＣＵ１５の構成図である。メータＥＣＵ１５は、車両制御システム１を搭載する車両の計器類を制御するＥＣＵである。メータＥＣＵ１５は、演算装置（ＣＰＵ）１５１、メモリ１５２、入出力回路１５５を備える。メモリ１５２は記憶領域として、プログラム領域１５３を有する。ＣＰＵ１５１は、入出力回路１５５と車載ネットワーク１６を介して他の装置と通信し、表示装置１５６を制御することができる。表示装置１５６は、計器類の画面を表示する装置である。
　プログラム領域１５３は、ＣＰＵ１５１が実行するプログラムとして、表示部１５３１、通信部１５３２を格納する。各機能部の詳細については後述する。
　図７は、状態データ１１４１の例である。状態データ１１４１は、自動運転統合ＥＣＵ１２の状態を示す。状態データ１１４１が０である場合は自動運転統合ＥＣＵ１２の故障が発生していないことを示し、１である場合は自動運転統合ＥＣＵ１２の故障が発生していることを示す。
　図８は、元データバッファ１１４２と走行軌道データ１２４１の例である。走行軌道データ１２４１は、車両が自動走行するときの動作シーケンスを記述した走行計画を表すデータであり、自動運転統合ＥＣＵ１２が作成する。元データバッファ１１４２は、後述する手順にしたがって走行軌道データ１２４１を保存したデータである。したがってこれらは同一の構成を有するので、以下では元データバッファ１１４２が有する各データフィールドについて説明する。
　行動ＩＤ１１４２１は動作シーケンスの番号であり、車両は例えば番号が小さい順に動作を実施する。距離１１４２２は、当該番号のシーケンスにおいて走行する距離である。曲率１１４２３は、当該番号のシーケンスにおける走行角度である。例えば曲率１１４２３が０％で距離１１４２２が３００である場合は、３００メール直進することを示す。
　自動運転統合ＥＣＵ１２は、例えば所定周期ごとに、次の周期までの走行計画を作成する。車両の周辺環境は時々刻々変化するので、自動運転統合ＥＣＵ１２は周期毎にその時点における状況を反映した上で、走行軌道データ１２４１を逐次作成する。
　図９は、代替データバッファ１１４３と走行軌道データ１３４１の例である。走行軌道データ１３４１は、自動駐車ＥＣＵ１３が自動運転統合ＥＣＵ１２に代わって作成した自動運転の走行計画を表すデータである。代替データバッファ１１４３は、後述する手順にしたがって走行軌道データ１３４１を保存したデータである。したがってこれらは走行軌道データ１２４１と同一の構成を有する。
　図１０は、比較テーブル１１４４の例である。比較テーブル１１４４は、機能代替前の制御パラメータと機能代替後の制御パラメータとの間の差分として許容される範囲を、車両制御システム１が備える制御機能ごとに規定するデータテーブルである。機能ＩＤ１１４４１は、車両制御システム１が備える制御機能の種類を表す。例えば０は自動運転統合ＥＣＵ１２を示す。許容閾値１１４４２は、故障前のＥＣＵが算出した制御パラメータと故障後の代替ＥＣＵが算出した制御パラメータとの間の差分として許容される値を示す。
　図１０に示すデータ例においては、自動運転統合ＥＣＵ１２が算出する制御パラメータに関する許容閾値１１４４２を例示している。具体的には、自動運転統合ＥＣＵ１２が故障する前に算出した距離１１４２２と、自動運転統合ＥＣＵ１２が故障した後に自動駐車ＥＣＵ１３が代替実行により算出した距離１１４３２との間の差分として許容される範囲を規定している。監視部１１３３は、故障発生前のＥＣＵと機能代替ＥＣＵがそれぞれ算出した制御パラメータ間の差分が許容閾値１１４４２以内に収まっているか否かを確認することにより、代替の成否を判定する。
　ＥＣＵ故障発生から機能代替を開始するまでの間にも車両は動き続けると考えられるので、許容閾値１１４４２はそのことを考慮して設定する必要がある。例えば、自動運転統合ＥＣＵ１２の故障を検知してから機能代替が開始するまでの時間が１００ｍｓである場合、時速１００ｋｍで走行している車は１００ｍｓの間に約２．８メートル走行する。そうすると、行動ＩＤ１２４１１と同じ行動ＩＤ１３４１１について自動駐車ＥＣＵ１３が算出すべき距離１３４１２は、距離１２４１２よりも２．８メートル少ないことになる。したがって、自動運転統合ＥＣＵ１２に関する許容閾値１１４４２は、２．８メートルまたはこれに適当な係数や誤差を加味した数値とすることが望ましい。図１０においては若干の誤差を考慮して３メートルとした。
　図１１は、エラーカウンタ１１４５の例である。エラーカウンタ１１４５は、自動運転統合ＥＣＵ１２が故障したときこれを代替実行することに失敗した回数を記録するデータである。
　図１２は、送信バッファ１１４６の例である。送信バッファ１１４６は、監視装置１１が車載ネットワーク１６に対して送信するデータを一時的に蓄積するバッファである。各ＥＣＵも同様のバッファを備えることができる。送信バッファ１１４６は、データＩＤ１１４６１、データ値１１４６２、送信要求フラグ１１４６３を有する。
　データＩＤ１１４６１は、車載ネットワーク１６上で送受信されるデータの種別を表す値である。例えば車載ネットワーク１６がＣＡＮである場合、データＩＤ１１４６１としてＣＡＮ　ＩＤを用いることができる。データ値１１４６２は、車載ネットワーク１６に対して送信されるデータ値を示す。送信要求フラグ１１４６３がセットされると、送信バッファ１１４６から車載ネットワーク１６に対してデータが送出される。
　図１３は、送信要求フラグ１２４２の例である。送信要求フラグ１２４２がセットされると、走行軌道データ１２４１が車載ネットワークに対して送出される。送信要求フラグ１３４３と走行軌道データ１３４１についても同様である。
　図１４は、機能代替フラグ１３４２の例である。機能代替フラグ１３４２は、自動駐車ＥＣＵ１３が自動運転統合ＥＣＵ１２に代わって走行計画を作成する処理を代替実行するか否かを示すフラグである。
　図１５は、車両制御システム１の動作を説明するシーケンス図である。以下図１５を用いて車両制御システム１の全体動作を説明し、個々の詳細動作については図１６以降で説明する。
　自動運転統合ＥＣＵ１２は、走行軌道データ１２４１を監視装置１１に対して送信する。送信する間隔は周期的であってもよいし、監視装置１１からのリクエストに応じて返信してもよい。監視装置１１は、受信した走行軌道データ１２４１を元データバッファ１１４２へ保存する。
　自動運転統合ＥＣＵ１２が故障すると、監視装置１１は自動運転統合ＥＣＵ１２が故障したことを検知する。例えば、周期的に受信していた走行軌道データ１２４１が送られなくなった場合、自動運転統合ＥＣＵ１２が故障としたと判断する。監視装置１１は、自動運転統合ＥＣＵ１２に代わって走行計画を作成するように自動駐車ＥＣＵ１３に対して依頼する。自動駐車ＥＣＵ１３はその依頼を受け取ると、代替実行を開始する。
　ナビＥＣＵ１４は、周期的に目的地／周辺地図／経路などのナビゲーションデータを車載ネットワーク１６に送信している。車載ネットワーク１６はバス型ネットワークであるため、自動運転統合ＥＣＵ１２が故障する前に受信していたナビゲーションデータを自動駐車ＥＣＵ１３も受信することができる。自動駐車ＥＣＵ１３は、ナビＥＣＵ１４から受信したナビゲーションデータなどを用いて走行軌道データ１３４１を作成し、監視装置１１に対して送信する。
　監視装置１１は、自動運転統合ＥＣＵ１２が故障する前に算出した走行軌道データ１２４１と、自動駐車ＥＣＵ１３が代替実行によって算出した走行軌道データ１３４１を比較し、代替実行が成功したか否かを判定する。監視装置１１は、判定結果をメータＥＣＵ１５に送信する。メータＥＣＵ１５はその判定結果を画面に表示することにより代替成否を運転手に知らせる。
　図１６は、故障検知部１１３１の動作を説明するフローチャートである。以下、図１６の各ステップについて説明する。
（図１６：ステップＳ１１３１０１）
　故障検知部１１３１は、走行軌道データ１２４１を受信することができたか否かを判定する。例えば後述の図２１において故障検知部１１３１を呼び出す際の引数により、走行軌道データ１２４１を受信することができたか否かを区別することができる。走行軌道データ１２４１を受信していない場合はステップＳ１１３１０２へ進み、受信している場合は本フローチャートを終了する。
（図１６：ステップＳ１１３１０２）
　故障検知部１１３１は、代替依頼部１１３２を呼び出す。代替依頼部１１３２は、自動駐車ＥＣＵ１３に対して代替実行を依頼する役割を有する。
　図１７は、代替依頼部１１３２の動作を説明するフローチャートである。以下、図１７の各ステップについて説明する。
（図１７：ステップＳ１１３２０１）
　代替依頼部１１３２は、自動駐車ＥＣＵ１３に対して代替実行を依頼するデータを送信バッファ１１４６に格納し、当該データの送信要求フラグ１１４６３を１（送出するよう要求する値）にセットする。
　図１８は、監視部１１３３の動作を説明するフローチャートである。以下、図１８の各ステップについて説明する。
（図１８：ステップＳ１１３３０１）
　監視部１１３３は、状態データ１１４１の値を確認することにより、自動運転統合ＥＣＵ１２が正常状態であるか否かを確認する。例えば値が０であれば正常、１であれば異常である。正常である場合はステップＳ１１３３０２に進み、異常である場合はＳ１１３３０３に進む。
（図１８：ステップＳ１１３３０２）
　監視部１１３３は、受信した走行軌道データ１２４１を元データバッファ１１４２に格納する。走行軌道データ１２４１は、例えば監視部１１３３を呼び出す際の引数として引き渡すことができる。
（図１８：ステップＳ１１３３０３）
　監視部１１３３は、受信した走行軌道データ１３４１を代替データバッファ１１４３に格納する。走行軌道データ１３４１は、例えば監視部１１３３を呼び出す際の引数として引き渡すことができる。
（図１８：ステップＳ１１３３０４）
　監視部１１３３は、元データバッファ１１４２が格納している走行軌道データ１２４１と代替データバッファ１１４３が格納している走行軌道データ１３４１を比較し、両者の間の差分が許容閾値１１４４２以内であるか否かを確認する。閾値以内である場合はステップＳ１１３３０５に進み、それ以外である場合はステップＳ１１３３０６に進む。
（図１８：ステップＳ１１３３０４：補足その１）
　本ステップにおいては、差分が許容閾値１１４４２の範囲内に収まるか否かによって代替成否を判定しているが、判定基準はこれに限らない。例えば、差分が想定値と等しいか否かによって判定してもよい。
（図１８：ステップＳ１１３３０４：補足その２）
　走行軌道データ１２４１と１３４１が複数の動作ステップ（すなわち複数の行動ＩＤ）によって構成されている場合、監視部１１３３は現在時刻以降の走行計画に対応する行動ＩＤごとに本ステップを実施する。いずれかの行動ＩＤについて差分が許容閾値１１４４２を超えている場合は代替失敗とみなしてもよいし、例えば差分の総和が許容閾値１１４４２を超えている場合は代替失敗とみなしてもよい。
（図１８：ステップＳ１１３３０５）
　監視部１１３３は、判定部１１３４を呼び出す。判定部１１３４に対して引き渡す引数は、ステップＳ１１３３０４の差分が許容閾値１１４４２以内であることを示す値（例えば０）とする。
（図１８：ステップＳ１１３３０６）
　監視部１１３３は、判定部１１３４を呼び出す。判定部１１３４に対して引き渡す引数は、ステップＳ１１３３０４の差分が許容閾値１１４４２を超えていたことを示す値（例えば１）とする。
　図１９は、判定部１１３４の動作を説明するフローチャートである。以下、図１９の各ステップについて説明する。
（図１９：ステップＳ１１３４０１）
　判定部１１３４は、元データと代替データとの間の差分が許容閾値１１４４２以内であるか否かを判定する。例えば引き渡された引数が０であるか否かによって判定することができる。許容閾値１１４４２以内である場合はステップＳ１１３４０２に進み、それ以外である場合はステップＳ１１３４０３に進む。
（図１９：ステップＳ１１３４０２）
　判定部１１３４は、エラーカウンタ１１４５を０にリセットする。
（図１９：ステップＳ１１３４０３）
　判定部１１３４は、エラーカウンタ１１４５に１を加える。
（図１９：ステップＳ１１３４０４）
　判定部１１３４は、エラーカウンタ１１４５が所定の閾値以上に達しているか否かを判定する。エラーカウンタ１１４５がこの閾値以上である場合は、代替実行が失敗したとみなす。本フローチャートにおいては例として３回とした。エラーカウンタ１１４５が３以上である場合はステップＳ１１３４０６に進み、それ以外である場合は本フローチャートを終了する。
（図１９：ステップＳ１１３４０５）
　判定部１１３４は、通知部１１３５を呼び出す。通知部１１３５に対して引き渡す引数は、代替実行が成功したことを示す値（例えば０）とする。
（図１９：ステップＳ１１３４０６）
　判定部１１３４は、通知部１１３５を呼び出す。通知部１１３５に対して引き渡す引数は、代替実行が失敗したことを示す値（例えば１）とする。
　図２０は、通知部１１３５の動作を説明するフローチャートである。以下、図２０の各ステップについて説明する。
（図２０：ステップＳ１１３５０１）
　通知部１１３５は、代替実行が成功したか否かを確認する。例えば引き渡された引数が０であれば成功、１であれば失敗である。代替実行に成功した場合はステップＳ１１３５０２に進み、それ以外である場合はステップＳ１１３５０３に進む。
（図２０：ステップＳ１１３５０２）
　通知部１１３５は、機能代替が成功したことを通知するためのデータを送信バッファ１１４６に格納する。データＩＤ１１４６１は、代替成否を通知するためのデータに対してあらかじめ割り当てられている値とする。通知部１１３５は、格納したデータの送信要求フラグ１１４６３を１にセットする。
（図２０：ステップＳ１１３５０３）
　通知部１１３５は、機能代替が失敗したことを通知するためのデータを送信バッファ１１４６に格納する。データＩＤ１１４６１は、代替成否を通知するためのデータに対してあらかじめ割り当てられている値とする。通知部１１３５は、格納したデータの送信要求フラグ１１４６３を１にセットする。
　図２１は、通信部１１３６の動作を説明するフローチャートである。ＣＰＵ１１１は、例えば走行軌道データ１２４１と１３４１を受信済であると想定される周期で本フローチャートを繰り返し実行する。以下、図２１の各ステップについて説明する。
（図２１：ステップＳ１１３６０１）
　通信部１１３６は、走行軌道データ１２４１または１３４１を受信済であるか否かを確認する。受信済である場合はステップＳ１１３６０２に進み、受信していない場合はステップＳ１１３６０３に進む。
（図２１：ステップＳ１１３６０２）
　通信部１１３６は、受信した走行軌道データ１２４１または１３４１を引数にして監視部１１３３を呼び出す。
（図２１：ステップＳ１１３６０３）
　通信部１１３６は、走行軌道データ１２４１または１３４１を受信していないことを示す値（例えば０）を引数として、故障検知部１１３１を呼び出す。
（図２１：ステップＳ１１３６０３：補足）
　本ステップにおいては、走行軌道データ１２４１または１３４１を受信していなければ即座に故障検知部１１３１を呼び出しているが、これに限らない。例えば受信しなかった回数をカウントし、カウント値がある値程度以上となった時点で故障検知部１１３１を呼び出してもよい。
（図２１：ステップＳ１１３６０４）
　通信部１１３６は、走行軌道データ１２４１または１３４１を受信したことを示す値（例えば１）を引数として、故障検知部１１３１を呼び出す。
（図２１：ステップＳ１１３６０５）
　通信部１１３６は、送信バッファ１１４６の送信要求フラグ１１４６３が１にセットされているデータがあるか否かを確認する。ある場合はステップＳ１１３６０６に進み、ない場合は本フローチャートを終了する。
（図２１：ステップＳ１１３６０６）
　通信部１１３６は、送信要求フラグ１１４６３が１にセットされているデータを車載ネットワーク１６に対して送信する。通信部１１３６は、送信したデータに対応する送信要求フラグ１１４６３を０にリセットする。
　図２２は、走行軌道生成部１２３１の動作を説明するフローチャートである。ＣＰＵ１２１は、例えば周期的に本フローチャートを実行する。以下、図２２の各ステップについて説明する。
（図２２：ステップＳ１２３１０１）
　走行軌道生成部１２３１は、目的地に到達するために必要な走行軌道データ１２４１を生成し、送信要求フラグ１２４２を１にセットする。
（図２２：ステップＳ１２３１０２）
　走行軌道生成部１２３１は、通信部１２３２を呼び出す。
　図２３は、通信部１２３２の動作を説明するフローチャートである。以下、図２３の各ステップについて説明する。
（図２３：ステップＳ１２３２０１）
　通信部１２３２は、送信要求フラグ１２４２が１にセットされている走行軌道データ１２４１を車載ネットワーク１６に対して送信する。
（図２３：ステップＳ１２３２０２）
　通信部１２３２は、送信したデータに対応する送信要求フラグ１２４２を０にクリアする。
　図２４は、自動駐車部１３３１の動作を説明するフローチャートである。ＣＰＵ１３１は、例えば運転手が自動運転を指示したとき、本フローチャートを実行する。以下、図２４の各ステップについて説明する。
（図２４：ステップＳ１３３１０１）
　自動駐車部１３３１は、車両のギアがバックに入っており、かつ、自動駐車機能がオンになっている場合は、運転手による操作に依拠せず自動的に車両を駐車する。
　図２５は、代替処理部１３３２の動作を説明するフローチャートである。以下、図２５の各ステップについて説明する。
（図２５：ステップＳ１３３２０１）
　代替処理部１３３２は、機能代替フラグ１３４２が１であるか否かを確認する。１である場合はステップＳ１３３２０２に進み、それ以外である場合はステップＳ１３３２０３に進む。
（図２５：ステップＳ１３３２０２）
　代替処理部１３３２は、目的地に到着するために必要な走行軌道データ１３４１を生成し、送信要求フラグ１３４３を１にセットする。
（図２５：ステップＳ１３３２０２：補足）
　代替処理部１３３２は、走行軌道データ１３４１を生成する処理を、走行軌道生成部１２３１と同じ機能レベルで実施してもよいし、機能レベルを下げて実施してもよい。ここでいう機能レベルとは、例えば動作シーケンスの個数、精度、などのように、走行軌道データの有用度に対応する制御パラメータである。代替処理部１３３２の機能レベルを走行軌道生成部１２３１よりも落とす場合は、安全度水準の上昇を最低限に抑えることができる。
（図２５：ステップＳ１３３２０３）
　代替処理部１３３２は、通信部１３３３を呼び出す。
　図２６は、通信部１３３３の動作を説明するフローチャートである。以下、図２６の各ステップについて説明する。
（図２６：ステップＳ１３３３０１）
　通信部１３３３は、送信要求フラグ１３４３が１であるか否かを確認する。１である場合はステップＳ１３３３０２に進み、それ以外である場合はステップＳ１３３３０４に進む。
（図２６：ステップＳ１３３３０２）
　通信部１３３３は、送信要求フラグ１３４３が１にセットされている走行軌道データ１３４１を車載ネットワーク１６に対して送信する。
（図２６：ステップＳ１３３３０３）
　通信部１３３３は、送信したデータに対応する送信要求フラグ１３４３を０にクリアする。
（図２６：ステップＳ１３３３０４）
　通信部１３３３は、受信したナビゲーションデータがあり、かつ、機能代替フラグ１３４２が１であるか否かを確認する。これら条件に該当する場合はステップＳ１３３３０５に進み、それ以外の場合は本フローチャートを終了する。
（図２６：ステップＳ１３３３０５）
　通信部１３３３は、受信したデータを代替処理部１３３２が参照することができるバッファに保存する。
　図２７は、ナビゲーション部１４３１の動作を説明するフローチャートである。ＣＰＵ１４１は、例えば周期的に本フローチャートを実行する。以下、図２７の各ステップについて説明する。
（図２７：ステップＳ１４３１０１）
　ナビゲーション部１４３１は、ユーザが設定した目的地に到着するための全体ルートを計算する。
（図２７：ステップＳ１４３１０２）
　ナビゲーション部１４３１は、現在の車の周辺地図、目的地、走行経路を引数として、通信部１４３２を呼び出す。
　図２８は、通信部１４３２の動作を説明するフローチャートである。以下、図２８の各ステップについて説明する。
（図２８：ステップＳ１４３２０１）
　通信部１４３２は、引数として渡された周辺地図、目的地、走行経路などのナビゲーションデータを車載ネットワーク１６に対して送信する。
（図２８：ステップＳ１４３２０１：補足）
　本ステップにおいては、ナビＥＣＵ１４から自発的にナビゲーションデータを車載ネットワーク１６に対して送信し、機能代替を初期化することを支援しているが、これに限らない。例えば、代替依頼に応答してナビゲーションデータを送信してもよい。
　図２９は、表示部１５３１の動作を説明するフローチャートである。以下、図２９の各ステップについて説明する。
（図２９：ステップＳ１５３１０１）
　表示部１５３１は、代替実行に失敗した旨を示すデータ（例えば値が１のデータ）を受信したか否かを確認する。受信した場合はステップＳ１５３１０２に進み、それ以外である場合はステップＳ１５３１０３に進む。
（図２９：ステップＳ１５３１０２）
　表示部１５３１は、自動駐車ＥＣＵ１３が自動運転統合ＥＣＵ１２に代わって機能を実行することに失敗した旨を、表示装置１５６に表示する。
（図２９：ステップＳ１５３１０３）
　表示部１５３１は、代替実行に成功した旨を示すデータ（例えば値が０のデータ）を受信したか否かを確認する。受信した場合はステップＳ１５３１０４に進み、それ以外の場合は本フローチャートを終了する。
（図２９：ステップＳ１５３１０４）
　表示部１５３１は、自動駐車ＥＣＵ１３が自動運転統合ＥＣＵ１２に代わって機能を実行することに成功した旨を、表示装置１５６に表示する。
　図３０は、通信部１５３２の動作を説明するフローチャートである。ＣＰＵ１５１は、例えば周期的に本フローチャートを実行することにより、車両の運転手に対して代替実行の成否を通知することができる。以下、図３０の各ステップについて説明する。
（図３０：ステップＳ１５３２０１）
　通信部１５３２は、受信したデータがあるか否かを確認する。ある場合はステップＳ１５３２０２に進み、ない場合は本フローチャートを終了する。
（図３０：ステップＳ１５３２０２）
　通信部１５３２は、表示部１５３１を呼び出す。
＜実施の形態１：まとめ＞
　本実施形態１に係る車両制御システム１は、代替開始前後に係る制御パラメータを比較することにより、自動駐車ＥＣＵ１３が機能代替に成功したか否かを判定することができる。したがって、高信頼性が求められる自動運転システムにおいて適している。
　本実施形態１に係る車両制御システム１は、ＥＣＵ間の機能代替によって機能を冗長化するので、ＥＣＵ本体を冗長化する必要がない。したがって、高信頼なシステムを低コストで構築できる。
＜実施の形態２＞
　図３１は、本発明の実施形態２に係る車両制御システム１の構成図である。ゲートウェイ２１は、実施形態１で説明した監視装置１１と同じ構成を有する監視部２１１を備えるとともに、車載ネットワークにおける通信を中継する役割を有する。
　本実施形態２において、メータＥＣＵ１５とナビＥＣＵ１４は車載ネットワーク１６に接続され、自動運転統合ＥＣＵ１２は車載ネットワーク２２に接続され、自動駐車ＥＣＵ１３は車載ネットワーク２３に接続されている。各車載ネットワークはゲートウェイ２１を介して接続され、ゲートウェイ２１が通信データを中継することによって相互通信することができる。車載ネットワーク２２と車載ネットワーク２３は、Ｅｔｈｅｒｎｅｔ（登録商標）のような１対１通信のネットワークである。
　ゲートウェイ２１は、自動駐車ＥＣＵ１３が機能代替に失敗したと判定した場合、自動駐車ＥＣＵ１３から送信されるデータをすべて転送しなくてもよい。例えば走行軌道データ１３４１を受信しても転送せずに破棄することができる。これにより正常でないデータの影響範囲を最小限に留めることができる。
　ゲートウェイ２１は、自動駐車ＥＣＵ１３が機能代替を開始した後（あるいは代替依頼を発行した後）、自動運転統合ＥＣＵ１２が故障する前の時点で自動運転統合ＥＣＵ１２に対して転送していたデータを自動駐車ＥＣＵ１３に対して転送するように、ルーティングテーブルを変更してもよい。これにより、機能代替をスムーズに開始することができる。
　本実施形態２に係る車両制御システム１は、ゲートウェイ２１が通信データの中継先を制御することにより、機能代替をスムーズに開始し、または代替実行が失敗したとき他のＥＣＵに対して与える影響を最小化することができる。
＜実施の形態３＞
　図３２は、本発明の実施形態３に係る車両制御システム１の構成図である。本実施形態３において、自動運転ＥＣＵ１３は自動駐車マイコン１３６と監視マイコン１３７を備える。これらマイコンは例えばシリアル線によって接続されている。
　自動駐車マイコン１３６は、実施形態１で説明した自動駐車ＥＣＵ１３と同じ機能を実装したマイクロコンピュータである。監視マイコン１３７は、実施形態１で説明した監視装置１１と同じ機能を実装したマイクロコンピュータである。
　本実施形態３に係る車両制御システム１は、自動駐車ＥＣＵ１３内に監視マイコン１３７を設けて監視装置１１と同等の機能を実現しているので、監視装置１１を独立したＥＣＵとして構築するよりも安価に同等の機能を実現することができる。
＜本発明の変形例について＞
　本発明は上記実施形態に限定されるものではなく、様々な変形例が含まれる。例えば、上記した実施形態は本発明を分かりやすく説明するために詳細に説明したものであり、必ずしも説明した全ての構成を備えるものに限定されるものではない。また、ある実施形態の構成の一部を他の実施形態の構成に置き換える事が可能であり、また、ある実施形態の構成に他の実施形態の構成を加えることも可能である。また、各実施形態の構成の一部について他の構成の追加・削除・置換をすることができる。
　以上の実施形態においては、機能代替の対象は走行軌道生成部１２３１としたが、その他ＥＣＵやその他機能部についても機能代替の対象とすることができる。例えば、アクチュエータが車載ネットワーク１６に対して直接接続されるシステムにおいて、エンジン制御ＥＣＵが故障すると同様の機能代替を実施することができる。また２以上の機能部を機能代替の対象とすることもできる。この場合は、状態データ１１４１を機能代替の対象としている機能ごとに設けることができる。許容閾値１１４４２、エラーカウンタ１１４５、機能代替フラグ１３４２などについても同様である。
　以上の実施形態においては、車両が道路の中央を走行軌道にしたがって走ることを想定しているが、これに限らない。また走行軌道データ１２４１（および１３４１）は図８～図９で説明したように表現したが、表現形式はこれに限らない。例えば、絶対座標形式で自車位置の経時変化を記述することにより走行軌道を表することもできるし、グリッドマップ形式に基づいて走行軌道を表すこともできる。
　以上の実施形態においては、自動運転機能の代替成否を判定するために走行軌道データ１２４１と１３４１を比較したが、これに限らない。例えば、目標トルクの制御計画を比較することもできる。
　以上の実施形態において、許容閾値１１４４２を定数としたが、これに限らない。例えば、自動運転統合ＥＣＵ１２が故障してからの経過時間を測定し、その経過時間に応じて許容閾値１１４４２を動的に算出することもできる。
　図１２においては説明の都合上、データ長を省略しているが、送信データが車載ネットワーク１６の最大パケットサイズを超えている場合は、送信データを複数パケットに分割して送信することもできる。
　以上の実施形態においては、本発明を説明するために必要な範囲で送信要求フラグを用いているが、その他データを車載ネットワーク１６に対して送信する場合はそのデータごとに送信要求フラグを設けることもできる。
　以上の実施形態において、機能代替を依頼するＥＣＵは自動駐車ＥＣＵ１３に固定されているが、これに限らない。例えば、演算負荷の状況などに応じて他のＥＣＵに対して機能代替を依頼してもよい。
　以上の実施形態においては、自動駐車ＥＣＵ１３は代替処理部１３３２をあらかじめ備えているが、これに限らない。例えば、システム実行中にプログラムを転送することにより、代替先ＥＣＵが代替機能を備えるようにしてもよい。
　以上の実施形態においては、ＥＣＵ間で機能代替を実施する例を説明したが、同一のＥＣＵが複数のＣＰＵを備える場合において、いずれかのＣＰＵが故障した際に他のＣＰＵが故障したＣＰＵに代わって機能代替を実施する場合においても、本発明と同様の構成を用いることができる。例えば当該ＥＣＵが監視装置１１と同様の構成を備え、機能代替の成否を判定することができる。
　１：車両制御システム、１１：監視装置、１２：自動運転統合ＥＣＵ、１３：自動駐車ＥＣＵ、１４：ナビＥＣＵ、１５：メータＥＣＵ、１６：車載ネットワーク、２１：ゲートウェイ。

Claims (12)

  1. 　車両の動作を制御する第１および第２演算器と接続された車両制御装置であって、
    　前記第１演算器が故障したとき前記２演算器が前記第１演算器に代わって前記第１演算器が実行すべき制御演算を代替実行する動作を監視する監視部、
    　前記監視部による監視結果に基づき前記第２演算器が前記代替実行に成功したか否かを判定する判定部、
    　を備えることを特徴とする車両制御装置。
  2. 　前記監視部は、前記第１演算器が故障する前において前記第１演算器が出力する演算結果と、前記第１演算器が故障した後において前記第２演算器が前記第１演算器に代わって出力する演算結果とを比較することにより、前記代替実行する動作を監視し、
    　前記判定部は、前記監視部による前記比較の結果に基づき、前記代替実行の成否を判定する
    　ことを特徴とする請求項１記載の車両制御装置。
  3. 　前記第１演算器は、現在時刻以降における前記車両の動作シーケンスを制御するための制御計画パラメータを、前記動作シーケンスのシーケンス番号ごとに演算し、
    　前記監視部は、前記第２演算器が前記代替実行を開始した以降の時刻に対応する前記シーケンス番号ごとに、前記第１演算器が演算した前記制御計画パラメータと前記第２演算器が演算した前記制御計画パラメータを比較することにより、前記代替実行する動作を監視する
    　ことを特徴とする請求項２記載の車両制御装置。
  4. 　前記監視部は、前記第１演算器が出力する演算結果と前記第２演算器が出力する演算結果との間の差分が判定閾値以内に収まっているか否かに基づき、前記代替実行する動作を監視し、
    　前記監視部は、前記第１演算器が故障した時刻から、前記第２演算器が前記代替実行を開始するために必要であると想定される想定所要時間が経過するまでの間に、前記第１演算器が出力する演算結果が変化する量またはその量に対して所定の係数を乗じた量を、前記判定閾値として用いる
    　ことを特徴とする請求項１記載の車両制御装置。
  5. 　前記判定部は、前記第２演算器が前記代替実行に失敗したと判定した場合は、前記車両が備える車載ネットワークに対してその旨を通知するメッセージを発信する
    　ことを特徴とする請求項１記載の車両制御装置。
  6. 　前記監視部は、前記第２演算器が前記代替実行をする動作を継続的に監視し、
    　前記判定部は、前記第２演算器が前記代替実行を所定回数以上失敗した場合は、前記車両が備える車載ネットワークに対してその旨を通知するメッセージを発信する
    　ことを特徴とする請求項１記載の車両制御装置。
  7. 　前記第１演算器は、前記制御演算により、前記車両の自動走行計画を規定するパラメータを演算する
    　ことを特徴とする請求項１記載の車両制御装置。
  8. 　車両の動作を制御する第１および第２演算器と接続された車両制御装置、
    　前記第１演算器、前記第２演算器、および前記車両制御装置を接続する車載ネットワーク、
    　前記車載ネットワークにおける通信を中継する中継部、
    　を有する車両制御システムであって、
    　前記車両制御装置は、
    　　前記第１演算器が故障したとき前記２演算器が前記第１演算器に代わって前記第１演算器が実行すべき制御演算を代替実行する動作を監視する監視部、
    　　前記監視部による監視結果に基づき前記第２演算器が前記代替実行に成功したか否かを判定する判定部、
    　を備える
    　ことを特徴とする車両制御システム。
  9. 　前記中継部は、前記第２演算器が前記代替実行を開始すると、前記第１演算器が受信すべき通信データが前記第２演算器へ到着するように、前記車載ネットワークにおける通信経路を定義するルーティングテーブルを書き換える
    　ことを特徴とする請求項８記載の車両制御システム。
  10. 　前記監視部は、前記第１演算器が出力する演算結果と前記第２演算器が出力する演算結果との間の差分が判定閾値以内に収まっているか否かに基づき、前記代替実行する動作を監視し、
    　前記中継部は、前記差分が前記判定閾値以内に収まっていない場合は、前記第２演算器が前記代替実行により出力した演算結果を中継しない
    　ことを特徴とする請求項８記載の車両制御システム。
  11. 　前記第２演算器は、前記第１演算器の機能レベルよりも低い機能レベルで前記代替実行を実施する
    　ことを特徴とする請求項８記載の車両制御システム。
  12. 　前記判定部は、前記第２演算器が前記代替実行に失敗したと判定した場合は、前記車両の運転手に対してその旨を通知するメッセージを発信する
    　ことを特徴とする請求項８記載の車両制御システム。
PCT/JP2016/080890 2015-10-26 2016-10-19 車両制御装置、車両制御システム WO2017073415A1 (ja)

Priority Applications (3)

Application Number Priority Date Filing Date Title
CN201680050175.0A CN108137055B (zh) 2015-10-26 2016-10-19 车辆控制装置、车辆控制系统
US15/761,179 US10780894B2 (en) 2015-10-26 2016-10-19 Vehicle control device and vehicle control system
EP16859645.0A EP3369635B1 (en) 2015-10-26 2016-10-19 Vehicle control device and vehicle control system

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2015-209750 2015-10-26
JP2015209750A JP6535572B2 (ja) 2015-10-26 2015-10-26 車両制御装置、車両制御システム

Publications (1)

Publication Number Publication Date
WO2017073415A1 true WO2017073415A1 (ja) 2017-05-04

Family

ID=58630141

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2016/080890 WO2017073415A1 (ja) 2015-10-26 2016-10-19 車両制御装置、車両制御システム

Country Status (5)

Country Link
US (1) US10780894B2 (ja)
EP (1) EP3369635B1 (ja)
JP (1) JP6535572B2 (ja)
CN (1) CN108137055B (ja)
WO (1) WO2017073415A1 (ja)

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN109624880A (zh) * 2017-10-05 2019-04-16 通用汽车环球科技运作有限责任公司 基于健康主动转换到冗余子系统
US11173922B2 (en) 2017-06-05 2021-11-16 Hitachi Astemo, Ltd. Vehicle control device and vehicle control system

Families Citing this family (18)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2018114850A (ja) * 2017-01-18 2018-07-26 パナソニックＩｐマネジメント株式会社 異常検出装置
WO2019102926A1 (ja) * 2017-11-21 2019-05-31 ヤマハ発動機株式会社 マイクロコンピュータを備えたビークル制御装置
JP6950539B2 (ja) * 2018-01-12 2021-10-13 株式会社デンソー ネットワークシステム
US10798104B2 (en) * 2018-01-15 2020-10-06 Ford Global Technologies, Llc Networked communications control for vehicles
JP6932662B2 (ja) * 2018-03-01 2021-09-08 日立Astemo株式会社 車両走行制御装置
JP2019179410A (ja) * 2018-03-30 2019-10-17 株式会社デンソー 半導体装置
JP6987714B2 (ja) * 2018-07-27 2022-01-05 日立Astemo株式会社 電子制御装置
JP2020032793A (ja) * 2018-08-28 2020-03-05 日立オートモティブシステムズ株式会社 車両制御装置及び車両制御システム
JP7254474B2 (ja) 2018-10-09 2023-04-10 日立Astemo株式会社 車両制御システム
JP7289657B2 (ja) * 2019-01-17 2023-06-12 日立Astemo株式会社 駆動装置指令生成部、および、車両制御システム
CN111835627B (zh) * 2019-04-23 2022-04-26 华为技术有限公司 车载网关的通信方法、车载网关及智能车辆
DE112019007286T5 (de) 2019-06-07 2022-04-21 Mitsubishi Electric Corporation Fahrzeuginterne steuerungsvorrichtung und fahrzeuginternes steuerungssystem
CN112109690B (zh) * 2019-07-17 2022-06-21 上汽通用五菱汽车股份有限公司 自动驻车控制方法、装置及计算机可读存储介质
KR20210115750A (ko) * 2020-03-16 2021-09-27 현대자동차주식회사 자동 주차 제어 시스템 및 자동 주차 제어 방법
CN113978480A (zh) * 2020-05-20 2022-01-28 华为技术有限公司 一种冗余电子控制系统及设备
EP3961323A1 (en) * 2020-08-25 2022-03-02 ABB Schweiz AG Replacement of industrial field device
JP2022113050A (ja) * 2021-01-22 2022-08-03 日立Astemo株式会社 電子制御装置、車載制御システム、及び冗長機能制御方法
CN114013390B (zh) * 2021-11-15 2023-11-24 奇瑞汽车股份有限公司 汽车的网络架构及汽车

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2010136286A (ja) * 2008-12-08 2010-06-17 Denso Corp 車載通信ネットワークシステム
JP2013084284A (ja) * 2006-09-21 2013-05-09 Auto Network Gijutsu Kenkyusho:Kk 電子制御システム及び電子制御装置
WO2015129311A1 (ja) * 2014-02-25 2015-09-03 日立オートモティブシステムズ株式会社 モータ制御システムおよびモータ制御方法

Family Cites Families (19)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPH05105100A (ja) * 1991-09-27 1993-04-27 Honda Motor Co Ltd 車両の操舵装置
US5957985A (en) * 1996-12-16 1999-09-28 Microsoft Corporation Fault-resilient automobile control system
DE10064673B4 (de) * 2000-12-22 2005-02-24 Renk Ag Fehlertolerante elektromechanische Stelleinrichtung
JP4399987B2 (ja) * 2001-01-25 2010-01-20 株式会社デンソー 車両統合制御におけるフェイルセーフシステム
JP2002354871A (ja) * 2001-05-25 2002-12-06 Mitsubishi Electric Corp 電動パワーステアリング装置
FR2832685A1 (fr) * 2001-11-23 2003-05-30 Conception & Dev Michelin Sa Direction electrique pour vehicule, a redondance triple
JP4178217B2 (ja) * 2002-03-27 2008-11-12 株式会社ジェイテクト 車両用操舵装置
JP2004291877A (ja) * 2003-03-27 2004-10-21 Toyoda Mach Works Ltd 車両用操舵装置
JP5028250B2 (ja) * 2007-12-26 2012-09-19 本田技研工業株式会社 冗長通信システム
JP5246230B2 (ja) * 2010-09-13 2013-07-24 株式会社デンソー 車両用電子制御装置
JP5527270B2 (ja) * 2011-04-12 2014-06-18 株式会社デンソー 車載用電子制御装置
JP2012224298A (ja) * 2011-04-22 2012-11-15 Honda Motor Co Ltd 電動パワーステアリング装置
JP5548647B2 (ja) 2011-04-25 2014-07-16 株式会社日立製作所 計算機システムでの部分障害処理方法
JP5637097B2 (ja) * 2011-08-10 2014-12-10 トヨタ自動車株式会社 車両制御システムおよび車両制御方法
KR101776965B1 (ko) * 2011-08-26 2017-09-08 두산인프라코어 주식회사 하이브리드 전원 장치 및 그 제어 방법
JP5418644B2 (ja) * 2012-07-30 2014-02-19 日本精工株式会社 電動パワーステアリング装置
DE112014001505T5 (de) * 2013-03-18 2015-12-17 Honda Motor Co., Ltd. Fahrzeuglenkvorrichtung
JP6184712B2 (ja) * 2013-03-22 2017-08-23 Ntn株式会社 モータ駆動装置
CN104554074B (zh) * 2013-10-25 2017-09-15 通用电气公司 车辆控制系统

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2013084284A (ja) * 2006-09-21 2013-05-09 Auto Network Gijutsu Kenkyusho:Kk 電子制御システム及び電子制御装置
JP2010136286A (ja) * 2008-12-08 2010-06-17 Denso Corp 車載通信ネットワークシステム
WO2015129311A1 (ja) * 2014-02-25 2015-09-03 日立オートモティブシステムズ株式会社 モータ制御システムおよびモータ制御方法

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
See also references of EP3369635A4 *

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US11173922B2 (en) 2017-06-05 2021-11-16 Hitachi Astemo, Ltd. Vehicle control device and vehicle control system
CN109624880A (zh) * 2017-10-05 2019-04-16 通用汽车环球科技运作有限责任公司 基于健康主动转换到冗余子系统

Also Published As

Publication number Publication date
US20180257662A1 (en) 2018-09-13
EP3369635A1 (en) 2018-09-05
EP3369635B1 (en) 2020-07-29
JP6535572B2 (ja) 2019-06-26
CN108137055A (zh) 2018-06-08
EP3369635A4 (en) 2019-07-10
JP2017081290A (ja) 2017-05-18
CN108137055B (zh) 2020-11-13
US10780894B2 (en) 2020-09-22

Similar Documents

Publication Publication Date Title
WO2017073415A1 (ja) 車両制御装置、車両制御システム
WO2017086087A1 (ja) 処理装置および車両制御システム
JP6864992B2 (ja) 車両制御システム検証装置及び車両制御システム
JP4410661B2 (ja) 分散制御システム
JP6981357B2 (ja) 車両制御装置
ES2302179T3 (es) Dispositivo de deteccion de fallos de un sistema de control de vehiculo.
JP5914315B2 (ja) 車両制御システム
WO2013171829A1 (ja) 車両用ネットワークの通信管理装置及び通信管理方法
US10241858B2 (en) Computer system and method for safety-critical applications
JP2010027062A (ja) 分散制御システム
CN105438151B (zh) 制动控制系统及其故障导向安全处理方法
WO2009110502A1 (ja) 中継装置、通信システム及び通信方法
CN113619576A (zh) 车辆控制方法、装置、设备、存储介质及自动驾驶车辆
JP2016060413A (ja) 車両用電子制御装置及び制御方法
JP2014031077A (ja) 車両動作検証システム
JP5601306B2 (ja) 車両ネットワークの通信管理装置
CN112636881B (zh) 一种信号切换方法、装置及车辆
US20130024011A1 (en) Method and system for limited time fault tolerant control of actuators based on pre-computed values
JP2015171091A (ja) 通信装置及び通信方法
WO2021019715A1 (ja) 車両制御装置
JP5120783B2 (ja) 中継装置、当該装置で実行される中継方法、及び当該装置からなる中継システム
JP2005341495A (ja) ゲートウェイ装置および方法
JP5267199B2 (ja) 中継システム及び中継方法
WO2023209820A1 (ja) 車載電子装置
WO2022172498A1 (ja) 車載型コンピュータシステムおよび自動運転支援システム

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 16859645

Country of ref document: EP

Kind code of ref document: A1

WWE Wipo information: entry into national phase

Ref document number: 15761179

Country of ref document: US

NENP Non-entry into the national phase

Ref country code: DE