WO2017086087A1 - 処理装置および車両制御システム - Google Patents

処理装置および車両制御システム Download PDF

Info

Publication number
WO2017086087A1
WO2017086087A1 PCT/JP2016/081194 JP2016081194W WO2017086087A1 WO 2017086087 A1 WO2017086087 A1 WO 2017086087A1 JP 2016081194 W JP2016081194 W JP 2016081194W WO 2017086087 A1 WO2017086087 A1 WO 2017086087A1
Authority
WO
WIPO (PCT)
Prior art keywords
control
program
unit
processing device
ecu
Prior art date
Application number
PCT/JP2016/081194
Other languages
English (en)
French (fr)
Inventor
敏史 大塚
櫻井　康平
祐 石郷岡
Original Assignee
日立オートモティブシステムズ株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 日立オートモティブシステムズ株式会社 filed Critical 日立オートモティブシステムズ株式会社
Priority to US15/761,962 priority Critical patent/US10946867B2/en
Priority to CN201680053689.1A priority patent/CN108351822A/zh
Priority to EP16866089.2A priority patent/EP3379417B1/en
Publication of WO2017086087A1 publication Critical patent/WO2017086087A1/ja

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/0703—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation
    • G06F11/0793—Remedial or corrective actions
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60W—CONJOINT CONTROL OF VEHICLE SUB-UNITS OF DIFFERENT TYPE OR DIFFERENT FUNCTION; CONTROL SYSTEMS SPECIALLY ADAPTED FOR HYBRID VEHICLES; ROAD VEHICLE DRIVE CONTROL SYSTEMS FOR PURPOSES NOT RELATED TO THE CONTROL OF A PARTICULAR SUB-UNIT
    • B60W50/00—Details of control systems for road vehicle drive control not related to the control of a particular sub-unit, e.g. process diagnostic or vehicle driver interfaces
    • B60W50/02—Ensuring safety in case of control system failures, e.g. by diagnosing, circumventing or fixing failures
    • B60W50/029—Adapting to failures or work around with other constraints, e.g. circumvention by avoiding use of failed parts
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60R—VEHICLES, VEHICLE FITTINGS, OR VEHICLE PARTS, NOT OTHERWISE PROVIDED FOR
    • B60R16/00—Electric or fluid circuits specially adapted for vehicles and not otherwise provided for; Arrangement of elements of electric or fluid circuits specially adapted for vehicles and not otherwise provided for
    • B60R16/02—Electric or fluid circuits specially adapted for vehicles and not otherwise provided for; Arrangement of elements of electric or fluid circuits specially adapted for vehicles and not otherwise provided for electric constitutive elements
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60W—CONJOINT CONTROL OF VEHICLE SUB-UNITS OF DIFFERENT TYPE OR DIFFERENT FUNCTION; CONTROL SYSTEMS SPECIALLY ADAPTED FOR HYBRID VEHICLES; ROAD VEHICLE DRIVE CONTROL SYSTEMS FOR PURPOSES NOT RELATED TO THE CONTROL OF A PARTICULAR SUB-UNIT
    • B60W50/00—Details of control systems for road vehicle drive control not related to the control of a particular sub-unit, e.g. process diagnostic or vehicle driver interfaces
    • B60W50/02—Ensuring safety in case of control system failures, e.g. by diagnosing, circumventing or fixing failures
    • B60W50/0205—Diagnosing or detecting failures; Failure detection models
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/0703—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation
    • G06F11/0706—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation the processing taking place on a specific hardware platform or in a specific software environment
    • G06F11/0736—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation the processing taking place on a specific hardware platform or in a specific software environment in functional embedded systems, i.e. in a data processing system designed as a combination of hardware and software dedicated to performing a certain function
    • G06F11/0739—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation the processing taking place on a specific hardware platform or in a specific software environment in functional embedded systems, i.e. in a data processing system designed as a combination of hardware and software dedicated to performing a certain function in a data processing system embedded in automotive or aircraft systems
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/0703—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation
    • G06F11/0766—Error or fault reporting or storing
    • G06F11/0781—Error filtering or prioritizing based on a policy defined by the user or on a policy defined by a hardware/software module, e.g. according to a severity level
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/16—Error detection or correction of the data by redundancy in hardware
    • G06F11/20—Error detection or correction of the data by redundancy in hardware using active fault-masking, e.g. by switching out faulty elements or by switching in spare elements
    • G—PHYSICS
    • G07—CHECKING-DEVICES
    • G07C—TIME OR ATTENDANCE REGISTERS; REGISTERING OR INDICATING THE WORKING OF MACHINES; GENERATING RANDOM NUMBERS; VOTING OR LOTTERY APPARATUS; ARRANGEMENTS, SYSTEMS OR APPARATUS FOR CHECKING NOT PROVIDED FOR ELSEWHERE
    • G07C5/00—Registering or indicating the working of vehicles
    • G07C5/08—Registering or indicating performance data other than driving, working, idle, or waiting time, with or without registering driving, working, idle or waiting time
    • G07C5/0808—Diagnosing performance data
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60W—CONJOINT CONTROL OF VEHICLE SUB-UNITS OF DIFFERENT TYPE OR DIFFERENT FUNCTION; CONTROL SYSTEMS SPECIALLY ADAPTED FOR HYBRID VEHICLES; ROAD VEHICLE DRIVE CONTROL SYSTEMS FOR PURPOSES NOT RELATED TO THE CONTROL OF A PARTICULAR SUB-UNIT
    • B60W50/00—Details of control systems for road vehicle drive control not related to the control of a particular sub-unit, e.g. process diagnostic or vehicle driver interfaces
    • B60W50/02—Ensuring safety in case of control system failures, e.g. by diagnosing, circumventing or fixing failures
    • B60W50/0205—Diagnosing or detecting failures; Failure detection models
    • B60W2050/021—Means for detecting failure or malfunction
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60W—CONJOINT CONTROL OF VEHICLE SUB-UNITS OF DIFFERENT TYPE OR DIFFERENT FUNCTION; CONTROL SYSTEMS SPECIALLY ADAPTED FOR HYBRID VEHICLES; ROAD VEHICLE DRIVE CONTROL SYSTEMS FOR PURPOSES NOT RELATED TO THE CONTROL OF A PARTICULAR SUB-UNIT
    • B60W50/00—Details of control systems for road vehicle drive control not related to the control of a particular sub-unit, e.g. process diagnostic or vehicle driver interfaces
    • B60W50/02—Ensuring safety in case of control system failures, e.g. by diagnosing, circumventing or fixing failures
    • B60W50/029—Adapting to failures or work around with other constraints, e.g. circumvention by avoiding use of failed parts
    • B60W2050/0297—Control Giving priority to different actuators or systems

Definitions

  • the present invention relates to a processing apparatus and a vehicle control system.
  • JP 2010-285001 Patent Document 1
  • Patent Document 1 JP 2010-285001
  • This gazette aims to “provide an electronic control system and a function substitution method capable of coping with a failure of an ECU without depending on a specific ECU.”
  • first electronic control unit In the electronic control system 100 in which one and one or more second electronic control units A and B are connected via the network 20, the first electronic control unit includes a failure detection means 36 that detects a failure of its own function, Proxy requesting means 35 for requesting the second electronic control unit to substitute for the failed fault function, and the second electronic control unit determines whether the fault function can be replaced; , When it is determined that substitution is possible, it has substitution means 41 and 43 that substitute for the failure function.
  • Patent Document 2 Another background art is Japanese Patent Application Laid-Open No. 2014-49013 (Patent Document 2).
  • Patent Document 2 In an electronic control system having processors A and B, the memory A exclusively used by the processor A stores the program A and the RAM program A that realizes a part of its functions in the ROM of the memory A exclusively used by the processor A, while the memory exclusively used by the processor B A program B and a RAM program B that realizes a part of its functions are stored in the ROM of B.
  • the RAM program A of the processor A is transferred to the RAM of the processor B and expanded.
  • the RAM program B of the processor B is transferred to the RAM of the processor A and expanded.
  • the present invention provides a system that enables high-speed function reconfiguration of a vehicle control system.
  • the present invention is a processing device connected to at least one processing device, wherein the one processing device executes the control operation based on a control program installed in the one processing device. Get an alternative program to replace the program.
  • the function reconfiguration of the vehicle control system can be realized at high speed.
  • the present embodiment mainly describes a vehicle control system and a vehicle control device in a vehicle system, which is suitable for implementation in a vehicle system, but does not hinder application to other than the vehicle system.
  • FIG. 2 is an outline of a vehicle system having a vehicle control system and a vehicle control apparatus according to this embodiment.
  • Reference numeral 1 denotes a vehicle system having a vehicle control system inside an automobile or the like.
  • 2 shows a vehicle control system including, for example, an in-vehicle network (CAN: Controller Area Network, CANFD: CAN with Flexible Data-rate, Ethernet (registered trademark), etc.) and a controller (ECU: Electronic Control Unit). .
  • CAN Controller Area Network
  • CANFD Controller Area Network
  • Ethernet registered trademark
  • ECU Electronic Control Unit
  • vehicle system 3 is wireless communication with the outside of the vehicle system 1 (for example, communication using a mobile phone, wireless LAN, WAN, C2X (Car to X: vehicle-to-vehicle or vehicle-to-infrastructure communication)), or GPS: Global (Communication using Positioning System) and wireless communication such as acquisition / transmission of information on the outside world (infrastructure, other vehicles, maps) or information on the own vehicle, or diagnostic terminal (OBD), Ethernet terminal, external recording medium 2 shows a communication device that has terminals (for example, a USB memory, an SD card, etc.) and performs communication with the vehicle control system 2.
  • Reference numeral 4 denotes a vehicle control system configured by a network using, for example, a different protocol from 2 or the same protocol.
  • Reference numeral 5 denotes a drive device such as an actuator for driving a machine and an electric device (for example, an engine, a transmission, a wheel, a brake, a steering device, etc.) that control the vehicle motion according to the control of the vehicle control system 2.
  • 6 is an external sensor such as a camera, a radar, a LIDAR, and an ultrasonic sensor that obtains information input from the external world and outputs information for generating external world recognition information described later, and the state of the vehicle system 1 ( 1 shows a recognition device including a dynamic sensor that recognizes a motion state, position information, acceleration, wheel speed, and the like.
  • Reference numeral 7 denotes an input device such as a steering wheel, a pedal, a button, a lever, or a touch panel for generating an input signal for the user to input an operation intention or an instruction to the vehicle control system 2.
  • Reference numeral 9 denotes a notification device such as a lamp, LED, or speaker for the vehicle system 1 to notify the outside world of the state of the vehicle and the like.
  • the vehicle control system 2 is connected to the other vehicle control system 4, the wireless communication unit 3, the drive device 5, the recognition device 6, the output device 7, the input device 8, the notification device 9, and the like, and each transmits and receives information.
  • FIG. 3 shows an H / W (Hardware) configuration example of the vehicle control system 2.
  • Reference numeral 301 denotes a network link for connecting network devices on the in-vehicle network, for example, a network link such as a CAN bus, and 302 denotes a network link 301 and a network link other than the driving device 5 and the recognition device 6 and 301 (including dedicated lines).
  • ECU Electronic Control Unit: Electronic Control Unit
  • 303 that controls the drive device 5 and the recognition device 6, acquires information, and transmits / receives data to / from the network, 303 connects a plurality of network links 301, and each network link and data 1 shows a gateway (hereinafter referred to as GW) that performs transmission / reception.
  • GW Gateway
  • examples of the network topology include a star type in which a plurality of ECUs are directly connected to the GW, and an ECU in a series of links. There are a link type connected in a ring shape, a mixed type in which each type is mixed and configured by a plurality of networks, and the like.
  • the GW 303 and the ECU 302 include an ECU having a GW function or a GW having an ECU function.
  • FIG. 4 is an example of an internal configuration of the ECU 302 or the GW 303 which is a network device according to the present invention.
  • Reference numeral 401 denotes a processor such as a CPU that has a storage element such as a cache and a register and executes control.
  • 403 is a timer for managing time and time using a clock (not shown)
  • 404 is a ROM (Read Only Memory) for storing programs and nonvolatile data
  • 405 is A RAM (Random Access Memory) 406 for storing programs and volatile data
  • an internal bus 406 used for communication inside the ECU.
  • Reference numeral 502 denotes a communication management unit that manages the operation and state of the communication I / F 402 and instructs the communication I / F 402 via the internal bus 406.
  • Reference numeral 503 denotes a time for managing the timer 403 to acquire and control time information.
  • Management unit 501 is a control unit that analyzes data acquired from the communication I / F 402 and controls the entire software module
  • 504 is a data table that holds information necessary for vehicle control
  • 505 temporarily holds data. Buffer.
  • FIG. 5 shows the concept of operation on the processor 401, and information necessary at the time of operation is appropriately acquired from the ROM 404 and RAM 405, or written to the ROM 404 and RAM 405 as appropriate.
  • control unit 501 Each function of the vehicle control system described later is executed by the control unit 501.
  • Reference numeral 601 denotes the entire vehicle control system according to the present invention.
  • Reference numeral 602 denotes an integrated recognition unit that creates an external recognition map in which external recognition information output from a plurality of recognition devices 6 and communication devices 3 is integrated.
  • Reference numeral 603 denotes generation and output of automatic driving control information (such as a trajectory) based on the external world recognition map generated by the integrated recognition unit 602 and the user input input from the user input unit 604.
  • An automatic operation control unit that issues an output instruction to the output management unit 605 and a notification instruction to the notification management unit 606 is shown.
  • Reference numeral 604 denotes a user input unit that generates user instruction information in accordance with an input from the input device 8.
  • Reference numeral 605 denotes an output management unit that issues an output instruction to the output device 7 in accordance with the outputs of the automatic operation control unit 603 and the abnormality detection unit 607.
  • Reference numeral 606 denotes a notification management unit that issues a notification instruction to the notification device 9 in accordance with the outputs of the automatic operation control unit 603 and the abnormality detection unit 607.
  • Reference numeral 607 denotes an abnormality detection unit that detects an abnormality by notification of automatic operation control information or the like from the automatic operation control unit 603 or notification from each unit (not shown).
  • Reference numeral 608 denotes a switching unit that switches the output to the motion control unit 609 to the input from the automatic operation control unit 603 or the input from the user input unit 604 based on the abnormality detection result of the abnormality detection unit 607 and the like.
  • a motion control unit 609 controls the plurality of drive devices 5 according to the trajectory information or motion control information from the switching unit 608, the state of the vehicle system 1 acquired from the recognition device 6, and the response from the drive device 5. Is shown.
  • Reference numeral 611 denotes a reconfiguration execution unit that receives an instruction from the reconfiguration management unit 610 or an alternative program, and notifies the allocation and execution of the alternative program and the completion of the arrangement.
  • the motion control information indicates, for example, target values of motion control parameters such as acceleration and yaw rate, control command values to the respective driving devices 5, and continuous values in time series thereof.
  • the vehicle control system may include some or all of the communication device 3, the drive device 5, the recognition device 6, the output device 7, the input device 8, and the notification device 9.
  • the vehicle control device refers to a device having a part or all of the functions in the vehicle control system.
  • the vehicle control system 601 is composed of a plurality of functions, and there are a plurality of patterns in the function arrangement on the H / W shown in FIG. An example of the arrangement is shown in FIG.
  • the arrangement of the functions is not limited to this, and each function may be arranged in an ECU different from the description.
  • the reconfiguration management unit 610 includes the following units.
  • 801 is a control state monitoring unit that receives the current vehicle control state from the automatic driving control unit 603 and the like.
  • 802 is a reconfiguration policy that determines the current vehicle control state and which alternative program is arranged in which ECU.
  • the control state determination unit to be determined 803 is an information notification unit for notifying the output management unit 605 or the notification management unit 606 of information related to the reconfiguration
  • 804 is an ECU in which the reconfiguration management unit is arranged for the alternative program, or the network link 301 .
  • An alternative program acquisition unit that acquires from a storage area (cloud, ROM, HDD, RAM, etc.) at a different location via the communication device 3 or the like
  • 805 is an alternative program transmission unit that transmits an alternative program
  • 806 is a control in case of abnormality Represents an abnormal-time control determination unit that determines according to an abnormal-time control determination method described later.
  • the reconfiguration execution unit 611 includes the following units.
  • Reference numeral 810 denotes an alternative program receiving unit that receives an alternative program transmitted by the reconfiguration management unit 610 or the like.
  • Reference numeral 811 denotes an alternative program placement unit for placing the received substitute program in a storage area (ROM, RAM, etc.).
  • Reference numeral 812 denotes an arrangement completion notification unit that notifies the reconfiguration management unit 610 and the like that the arrangement of the alternative program in the storage area has been completed.
  • Reference numeral 813 denotes a reconfiguration instruction receiving unit that receives an alternative program reception instruction or an alternative program execution instruction from the reconfiguration management unit.
  • Reference numeral 814 denotes an alternative program execution unit that executes the alternative program arranged in the storage area.
  • the internal components of the reconfiguration management unit 610 and the reconfiguration execution unit 611 communicate with each other to exchange necessary information and instructions.
  • the function sharing between the reconfiguration management unit 610 and the reconfiguration execution unit 611 is not limited to this example.
  • the acquisition of an alternative program may be directly executed by the reconfiguration execution unit 611 instead of the reconfiguration management unit 610. In this case, the transmission / reception process of the alternative program by the reconfiguration management unit 610 becomes unnecessary, and the processing load is reduced.
  • a plurality of reconfiguration management units 610 and reconfiguration execution units 611 can exist in the system. For example, it is possible to arrange a plurality of reconfiguration execution units 611 so that not only ECU_B but also ECU_C and ECU_D execute a function substitution of a certain ECU_A, and at the same time, ECU_C can perform a function substitution of ECU_B. is there. By doing in this way, it becomes possible for a plurality of ECUs to perform function substitution of one ECU, and to perform function substitution of a plurality of ECUs simultaneously.
  • ECU_E it is possible for ECU_E to perform centralized control at one place, or ECU_E and ECU_F to manage them in a distributed manner. As a result, even if a part of the functions of the reconfiguration management fails, other ECUs can make up for it, and safety can be further improved.
  • Abnormality detection indicates a state different from a state that is normally assumed due to a hardware failure, a software failure, an unexpected input, or the like.
  • Each part of the vehicle control system 2 communicates via a communication path such as a network or a dedicated line, and communication cannot be performed for communication abnormality (communication processing is an error response, signal line potential is abnormal), The communication signal value is abnormal.
  • communication abnormalities can be detected by detecting abnormalities in electrical circuits (potential detection, etc.), periodic survival confirmation (heartbeat), and error detection of error detection codes such as CRC. .
  • the failure of the arithmetic unit can be detected by checking the result of the same calculation (comparison of the calculation result), and the failure of the memory can be detected by detecting an error when accessing the RAM or ROM. is there.
  • the anomaly detection unit 607 detects these anomalies by itself or detects anomalies by receiving notification from each unit of anomaly.
  • the automatic driving control unit 603 gives the automatic driving control information as information that an abnormality has occurred in any part of the recognition device 6, the communication device 3, the integrated recognition unit 602, and the communication between them.
  • the abnormality detection unit 607 receives the information and detects the occurrence of the abnormality. Based on the result of detecting the abnormality, control at the time of abnormality such as execution of an alternative program described later is performed.
  • the abnormality detection unit 607 notifies the output management unit 605 and / or the notification management unit 606 that an abnormality has been detected. Accordingly, the output management unit 605 and / or the notification management unit 606 performs output to the user in the vehicle state described below and / or notification to the outside of the vehicle.
  • ⁇ Reconfiguration processing sequence> A processing sequence of the reconstruction processing according to the present embodiment will be described with reference to FIG.
  • the ECU_A has a reconfiguration management unit 610 and issues a reconfiguration instruction, and has a control (eg, automatic operation control unit) that causes a failure.
  • the ECU_B has a reconfiguration execution unit 611, and shows an example in which an ECU that performs alternative control, ECU_C, receives control from the ECU_A during normal times.
  • ECU_A outputs a control signal to ECU_C (S101). Further, it is assumed that the ECU_B outputs a control signal to the ECU_C during normal operation (S102). If the vehicle control state, which will be described later, is changed as a result of continuing traveling thereafter, the automatic operation control unit 603 of the ECU_A determines here and notifies the reconfiguration management unit 610 of the change of the vehicle control state (S103). ). Reconfiguration management unit 610 that has received the notification in the previous period acquires the substitute program itself. Alternatively, an instruction is given to output to any ECU or storage (S104).
  • the alternative program is acquired from the outside of the vehicle system through any ECU in the vehicle system, storage (HDD or the like), or the communication device 3 or GW.
  • it is held in advance in an ECU that requests function substitution, such as in ECU_A.
  • the ECU_A that has acquired the substitute program (S105) transmits the substitute program to the ECU_B that performs function substitution at the time of failure (S106).
  • the ECU_B that has received the substitute program arranges the substitute program as in the example of FIG. To do.
  • an arrangement completion notice is sent (S107). While managing the reconfiguration, the ECU_A continues to perform normal control (S108).
  • the abnormality detection unit 607 in the ECU_A detects the failure and notifies the ECU_B of the occurrence of the failure.
  • the ECU_B detects an abnormality due to the interruption of communication (S110). Recognizing the failure, the ECU_B starts executing the retained substitute program (S111). At that time, the control is taken over, and an alternative control is performed from ECU_B to ECU_C (S112). In this way, function substitution is performed.
  • the reconfiguration management unit 610 receives a notification from the automatic operation control unit 603 or the like as described above and notifies the ECU_B of the alternative A state change notification including information indicating that the program is unnecessary is performed (S114). In response to the state change notification, ECU_B discards the held alternative program (S115). Thereafter, the ECU_B performs normal control as necessary (S116).
  • an alternative processing program is arranged in advance in the ECU according to the vehicle control state, and when a failure occurs, the program is immediately switched to the alternative program to ensure safety and convenience.
  • ECU_B may execute the substitute program in the same sequence at the same time.
  • other ECUs may execute the substitute program in the same sequence at the same time.
  • the alternative program can be changed according to the vehicle control status. For example, in situations where high safety is required (high-speed driving, high-speed driving, high-density driving on ordinary roads, automatic driving without a map, or when the user is not awake), the altitude is high (the amount of data is large). Use an alternative program and place it in an ECU that can achieve a high degree of safety (ASIL, etc.). In situations where high safety is not required (low speed driving, parking, user monitoring, etc.), the reconfiguration manager will program in S105 so that a simple alternative program is placed in the ECU that can achieve the required safety level. Is obtained, and a necessary reconfiguration instruction is issued to the ECU. By doing so, it is possible to execute an appropriate alternative program in accordance with the control state.
  • ASIL high degree of safety
  • the reconfiguration information can be transmitted without greatly hindering the communication of the existing control information.
  • set a higher priority than other non-real-time communications for example, voice / message signals not used for control, low-priority air conditioners, meters, etc.
  • FIG. 9 shows a processing outline and a memory image in the ECU_B in the above example when the reconfiguration processing is performed.
  • (A) shows the state of the ROM and RAM at the normal time.
  • a control program is stored in the ROM, and the control program is executed by the CPU.
  • the RAM shows an example in which MAIN data that is normally used and SUB data that is not used in a specific control state are stored.
  • FIG. 9B shows a memory image in S107.
  • An alternative program is arranged in a sub data area that is not used in the current control state.
  • the alternative program is a relocatable module, and preferably has a format that does not access outside its own area and the reserved and reserved RAM area. As a result, unauthorized access to data originally used by the ECU_B can be prevented.
  • FIG. 9C shows the switching of the control in S111, and switching is performed so that the alternative program is executed from a part of the control program in the ROM. This makes it possible to execute the alternative program.
  • FIG. 9D shows a memory image in S115, where the control state is changed and the area secured by the internal flag or the like is released to the unused area for the area where the alternative program is arranged. Is shown.
  • FIG. 9E shows an example in which the RAM data (Sub data) originally used by the ECU_B is stored again in S116.
  • the vehicle control state indicates a control state of the vehicle system. For example, ON / OFF of automatic driving state (Driver operates and system assists or system does not control when OFF), driving on general road or highway, ON / OFF during automatic parking, driving It represents the speed (low speed, medium speed, high speed), driver status (can be operated or difficult), conditions such as weather conditions that are difficult to drive automatically (strong rain, fog, backlight, roads not on the map, etc.).
  • ON / OFF of automatic driving state Driver operates and system assists or system does not control when OFF
  • driving on general road or highway ON / OFF during automatic parking
  • driving It represents the speed (low speed, medium speed, high speed), driver status (can be operated or difficult), conditions such as weather conditions that are difficult to drive automatically (strong rain, fog, backlight, roads not on the map, etc.).
  • the ECUs that require an alternative function or the ECUs that can perform a function change are changed.
  • resources such as CPU, ROM, and RAM necessary for automatic parking to realize its function are temporarily unnecessary, and an alternative program is arranged in that area.
  • the general road is arranged in the resources of the integrated recognition unit and the automatic driving control unit that are not used during automatic driving.
  • the vehicle control system 2 outputs the current vehicle state to the user via the output device 7 or to the outside of the vehicle via the notification device 9 or the communication device 3. For example, when an abnormality occurs in any part of the vehicle system 1, a warning or the like is given to the user via the output device 7 or a warning by sound. Alternatively, a warning state output by a lamp, a warning sound by a speaker, information on abnormality, etc. are output to the outside of the vehicle via the notification device 9 or the communication device 3.
  • the abnormality detection means When an abnormality is detected by the abnormality detection means, the user is notified that an abnormality has occurred with a warning or sound, and further outputs the details of the abnormality (the part where the abnormality occurred, the communication path). For example, the display of the device 7 or a warning light is displayed. As a result, the user can recognize the abnormality that has occurred and take over the operation.
  • the occurrence of the abnormality, the range where the abnormality has occurred, the direction of the track, and the like are notified via the notification device 9 or the communication device 3.
  • FIG. 1000 indicates the entire display screen, and 1001 indicates a message example.
  • Unusable part (same as left), function display that becomes unusable from the failure and unusable part.
  • the unusable part indicates not only the part that has directly failed, but also a part that cannot be used because, for example, communication via the failed part becomes impossible.
  • the user can determine the current state of the vehicle control system 2 and perform operations such as operation according to the failure, planning without using unusable functions, repairs, etc., thereby improving the convenience and safety of the system. It becomes possible to improve.
  • the user input unit 604 detects a user's driving operation start operation (for example, stepping on a pedal, operating a steer, pressing an automatic driving end button, etc.) via the input device 8 and notifies the switching unit 608 of the operation.
  • the switching unit 608 receives the notification of the user's driving operation start operation, stops the control based on the automatic driving control information and the relative information, and switches to the user's driving operation. In this way, switching from the automatic driving control and the control based on the relative information to the driving operation of the user is performed.
  • FIG. 11 shows a control flow according to the arrangement state of the alternative program
  • FIG. 12 shows an operation sequence diagram at that time.
  • the placement of the alternative program in the ECU_B has not been completed, and the placement completion notification in S107 has not been notified yet.
  • the control flow at the time of failure of the reconfiguration management unit 610 first confirms whether the arrangement completion notification has been received in the current vehicle control state as to whether or not the arrangement of the alternative program has been completed. If the arrangement has been completed (Yes in S1103), the reconfiguration execution unit 611 is instructed to execute the alternative program for which the arrangement has been completed (S1103). If the arrangement has not been completed (no in S1103), the reconfiguration execution unit 611 or the ECU capable of executing the fixed alternative program without the reconfiguration execution unit so as to execute the fixed alternative program is executed. Give instructions.
  • ECU_A instructs ECU_C to execute a fixed alternative program after detecting the occurrence of the failure (S1201).
  • the alternative program possessed is executed (S1202).
  • the execution of the fixed alternative program may be executed by an ECU_D other than the ECU_C.
  • the ECU_C does not need to execute unnecessary programs and can safely execute the control program.
  • the ECU_C executes the alternative program, the alternative program can be safely executed even when a network failure occurs.
  • FIG. 13 shows a configuration example of the vehicle control system 2 in the present embodiment.
  • a relative information recognition unit 612 that generates relative information described later, relative information that generates motion control information from relative information and information output from the recognition device 6.
  • An information control unit 613 and an automatic driving control information holding unit 614 that holds automatic driving control information and outputs the information as necessary are added.
  • Relative information is information that can be acquired from the recognition device 6 among the outside world recognition information, and is a relative position and relative speed between the surrounding object and the host vehicle, a relative acceleration, and a value that can be calculated from these values. Any combination of information.
  • the motion control information indicates, for example, target values of motion control parameters such as acceleration and yaw rate, control command values for the respective driving devices 5, and continuous values in time series thereof.
  • An output management unit 605 and a notification management unit 606 receive the output of the relative information control unit 613 and give an output instruction and a notification instruction.
  • An abnormality detection unit 607 detects an abnormality based on information from the relative information recognition unit 612. Based on the abnormality detection result of the abnormality detection unit 607, the switching unit 608 inputs the output to the motion control unit 609 from the automatic operation control unit 603 or the user input unit 604, the relative information control unit 608, and the automatic operation control information holding unit. The input from 614 is switched.
  • FIG. 14 shows an example of function arrangement on the hardware in this embodiment.
  • the arrangement of the functions is not limited to this, and each function may be arranged in an ECU different from the description.
  • each function may be arranged in an ECU different from the description.
  • the risk of common cause failure due to H / W failure can be avoided. It is possible to protect each function and achieve high reliability.
  • the automatic operation control unit 603 creates automatic operation control information based on the result of the peripheral recognition output from the integrated recognition unit 602.
  • An example of automatic operation control information is a track. Tracks are safety constraints that allow the vehicle system to travel safely (eg, less likely to collide with other obstacles), motion constraints that the vehicle system can achieve, such as acceleration / deceleration, yaw rate, etc. Generate to satisfy.
  • the track is represented, for example, by a set of coordinates of the vehicle position at regular time intervals.
  • a set of motion control values target acceleration / yaw rate
  • a vector value direction / speed of the host vehicle at a certain time interval
  • a time interval for traveling a certain distance etc.
  • a trajectory is created based on the direction in which the vehicle moves, motion constraints, and safety constraints.
  • the automatic operation control unit 603 moves the motion control unit 612 via the switching unit 608.
  • the information is transmitted, and the motion control unit 612 controls the driving device 5 based on the trajectory information to control the vehicle system.
  • the motion control unit 609 controls the drive device 5 so as to realize the automatic driving control information or the motion control information output from the switching unit 608.
  • the control based on the automatic driving control information indicates the system state (current speed, acceleration, yaw rate, etc.) of the vehicle system 1 acquired from the recognition device 6 so as to be able to follow the trajectory. Reflecting, the target speed and yaw rate of the vehicle system 1 are calculated. In order to realize these target speed and yaw rate, the necessary drive device 5 is controlled. As a result, vehicle control capable of following the target track is realized.
  • the engine torque output is increased to achieve the target speed
  • the brake is controlled to perform the deceleration
  • the steering is performed to realize the target yaw rate. Steering or braking / acceleration control for each wheel so that the wheel speed is uneven.
  • the motion control information is a control value of the drive device 5
  • the drive device 5 is controlled using the control value. In this way, target motion control is realized.
  • the automatic driving control information holding unit 614 includes automatic driving control information (for example, automatic driving control information up to a predetermined time calculated by the automatic driving control unit 603, lanes, which can ensure the minimum safety when an abnormality occurs). Travel along the lane, slow down by driving along the lane, evacuate to the road shoulder and stop, etc. The following hold control information is held in advance, and the hold control that was held when an abnormality occurred It is for switching to information.
  • automatic driving control information for example, automatic driving control information up to a predetermined time calculated by the automatic driving control unit 603, lanes, which can ensure the minimum safety when an abnormality occurs. Travel along the lane, slow down by driving along the lane, evacuate to the road shoulder and stop, etc.
  • the following hold control information is held in advance, and the hold control that was held when an abnormality occurred It is for switching to information.
  • the automatic driving control unit 603 transmits the calculated holding control information to the automatic driving control information holding unit 614.
  • the abnormality detection unit 607 detects whether there is an abnormality in the holding control information.
  • the switching unit 608 switches control information from the automatic operation control unit 603, the relative information control unit 613, and the automatic operation control information holding unit 614 and outputs the control information to the motion control unit 609.
  • the relative information control unit 613 creates motion control information based on the relative information output from the relative information recognition unit 612 and the state of the host vehicle acquired from the recognition device 6.
  • deceleration control is performed on the host vehicle.
  • the relative information control unit 613 determines the relative information and the state of the host vehicle acquired from the recognition device 6, and outputs motion control information for performing deceleration to the switching unit 608.
  • motion control information for controlling acceleration of the host vehicle is output in the same manner.
  • acceleration / deceleration control is performed so that the relative position with respect to the preceding vehicle does not exceed a certain amount or less than a certain amount.
  • control is performed so that the relative position exceeds a certain amount and does not fall below a certain amount.
  • the front-rear direction is recognized from the relative position, and steering is performed in a direction in which no object exists, for example, control for avoiding a collision in the front-rear direction is performed.
  • the target yaw rate for that purpose is also included in the motion control information, and the relative information control unit 613 outputs to the switching unit 608.
  • FIG. 15 shows a system control flow of the reconfiguration management unit at the time of failure when the control based on the holding control information or the relative information (hereinafter, safety maintenance control) is performed.
  • the reconfiguration management unit 610 confirms that the arrangement completion notification in the current vehicle control state has been received as to whether the arrangement of the alternative program is completed. If the arrangement has been completed (Yes in S1501), the reconfiguration execution unit 611 is instructed to execute the alternative program for which the arrangement has been completed (S1505). If the arrangement has not been completed (no in S1501), the safety maintenance control is performed. As a result, after processing for a certain period of time, it is checked again whether the arrangement of the alternative program is completed (S1503). Thereafter, if the arrangement has been completed (Yes in S1501), the reconfiguration execution unit 611 is instructed to execute the alternative program that has been arranged (S1505).
  • the reconfiguration execution unit 611 is instructed to execute a fixed alternative program. In this way, even if the placement of the alternative program is not completed, the safety is ensured by maintaining the safety function, and then the alternative program is executed when the placement is completed, and the fixed program is executed when the placement is not completed. . In this way, the chances that the alternative program is executed are increased and the safety is improved.
  • the transmission and placement of the alternative program are being executed.
  • the priority of communication of the alternative program is increased, and the placement is made. It may be faster.
  • the communication band may be used. As a result, the placement can be completed earlier while the safety maintenance control is being executed, and the possibility of executing with the placed alternative program can be increased.
  • the placement when the placement is completed while the safety maintenance control is being executed in S1502, it may be switched to the execution of the substitute program placed when the placement completion notification is received. As a result, the execution time of the safety maintenance control can be further shortened.
  • the reconfiguration management unit 610 determines that safety maintenance control can be more secure than alternative programs that can be executed at the present time, the reconfiguration management unit 610 has priority over the execution of the alternative programs in which safety maintenance control is arranged. May be. In that case, S1501 becomes unnecessary. This also makes it possible to perform control that further increases safety.
  • the start of the alternative program placement may be performed while performing safety maintenance control after a failure occurs.
  • An example of a sequence diagram is shown in FIG.
  • ECU_A instructs execution of the function maintenance control (S1601), and the replacement program is arranged (S104 to S107) during that time.
  • the substitute program is executed at the timing when the safety maintenance control is completed or when the substitute program is arranged (S1602). In this way, not only the vehicle control state but also the substitute program corresponding to the failure state Arrangement is possible, and it is not necessary to arrange an alternative program in a situation where no failure occurs, and the load of the arrangement process and the communication process can be reduced.
  • an alternative program for reconfiguration is arranged in advance when the vehicle control information is switched, and the reconfiguration is completed by switching to the control of the alternative program when a failure occurs. It is possible to shorten the time until the change and the contents of the alternative program can be made variable. Thereby, the convenience, safety, and availability of the system can be improved.
  • the minimum safety can be ensured by executing the fixed alternative program when the alternative program has not been placed.
  • user input unit 605 ... output management unit, 606 ... notification management unit, 607: Abnormality detection unit, 608 ... Switching unit, 609 ... Motion control unit, 610 ... Reconfiguration management unit, 611 ... Reconfiguration execution unit, 612 ... Relative information recognition unit, 613 Relative information control unit, 614 ... automatic driving control information holding unit, 801 ... control state monitoring unit, 802 ... control state determination unit, 803 ... information notification unit, 804 ... substitute program acquisition unit, 805 ... substitute program transmission unit, 806 ... Abnormal control determination unit, 810 ... substitution program receiving unit, 811 ... substitution program arrangement unit, 812 ... arrangement completion notification unit, 813 ... reconfiguration instruction reception unit, 814 ... substitution program execution unit, 1000 ... user notification screen

Landscapes

  • Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Quality & Reliability (AREA)
  • General Engineering & Computer Science (AREA)
  • Automation & Control Theory (AREA)
  • Mechanical Engineering (AREA)
  • Human Computer Interaction (AREA)
  • Transportation (AREA)
  • Control Of Driving Devices And Active Controlling Of Vehicle (AREA)
  • Small-Scale Networks (AREA)

Abstract

本発明は、車両制御システムの機能再構成を高速に実現可能とするシステムを提供する。 本発明は、少なくとも一つの処理装置と接続される処理装置であって、前記一つの処理装置が該一つの処理装置に搭載される制御プログラムに基づいて制御動作を実行する期間中に、前記制御プログラムを代替する代替プログラムを取得する。或いは、本発明は、複数の処理装置を備える車載制御システムであって、前記複数の処理装置のうちの一つの処理装置が該一つの処理装置に搭載される制御プログラムに基づいて制御動作を実行する期間に、前記一つの処理装置のプログラムを代替する代替プログラムを他の処理装置が取得する。

Description

処理装置および車両制御システム
　本発明は、処理装置および車両制御システムに関する。
　本技術分野の背景技術として、特開２０１０－２８５００１号公報（特許文献１）がある。この公報には、「特定のＥＣＵに依存することなくＥＣＵの故障に対応可能な電子制御システム及び機能代行方法を提供すること。」ことを目的とし、解決手段として、「第１の電子制御ユニット１と１以上の第２の電子制御ユニットＡ、Ｂがネットワーク２０を介して接続された電子制御システム１００において、第１の電子制御ユニットは、自己機能の故障を検出する故障検出手段３６と、故障した故障機能の代行を第２の電子制御ユニットに要求する代行要求手段３５と、を有し、第２の電子制御ユニットは、故障機能の代替が可能か否かを判定する判定手段４２と、代行が可能と判定した場合、前記故障機能を代行する代行手段４１、４３と、を有する、ことを特徴とする。」と記載されている。
　また別の背景技術として、特開２０１４－４９０１３号公報（特許文献２）がある。この公報には、「運複数のプロセッサを備えた自動車用電子制御システムにおいて、あるプロセッサに異常が発生しても、そこに割り付けられた機能を保障する。」ことを課題とし、解決手段として、「プロセッサＡ及びＢを備えた電子制御システムにおいて、プロセッサＡが独占使用するメモリＡのＲＯＭにプログラムＡ及びその機能の一部を実現するＲＡＭプログラムＡを格納する一方、プロセッサＢが独占使用するメモリＢのＲＯＭにプログラムＢ及びその機能の一部を実現するＲＡＭプログラムＢを格納する。そして、電子制御システムの起動時に、プロセッサＡのＲＡＭプログラムＡをプロセッサＢのＲＡＭに転送して展開すると共に、プロセッサＢのＲＡＭプログラムＢをプロセッサＡのＲＡＭに転送して展開する。その後、プロセッサＡ及びＢの一方に異常が発生すると、他のプロセッサがＲＡＭプログラムを実行し、異常が発生したプロセッサに割り付けられていた機能を代行する。」と記載されている。
特開２０１０－２８５００１号公報 特開２０１４－４９０１３号公報
　上記背景技術では故障を想定した機能の再構成について記載されており、代替プログラム（機能の代替、または縮退機能の実行を行うプログラム）を故障していないＥＣＵに配置し、機能を代替させる例について記載されている。
　しかし、近年検討されている自動運転システムのように、機能の連続的な動作が要求されるシステムにおいては、特許文献１に記載されている故障発生後の書き換えや、特許文献２に記載されている起動前の診断では、走行状態での機能の代替について即座に実行困難である。そのため、自動運転機能の突然の停止による安全性の低下を防ぐという課題がある。
　また別の観点では、自動運転システムなど機能が多様化しており、それに伴い故障時の安全制御の方式も多様化している。故障時の状況に応じた最適な安全制御の実現も課題となる。
　本発明は、車両制御システムの機能再構成を高速に実現可能とするシステムを提供する。
　本発明は、少なくとも一つの処理装置と接続される処理装置であって、前記一つの処理装置が該一つの処理装置に搭載される制御プログラムに基づいて制御動作を実行する期間中に、前記制御プログラムを代替する代替プログラムを取得する。
　本発明によれば、車両制御システムの機能再構成を高速に実現可能となる。
本発明の第１の実施例における車両制御システムのシーケンス図である。 システムの例である。 車両制御システム構成の例である。 コントローラの構成例である。 コントローラのソフトウェアモジュール構成の例である。 車両制御システムの構成例である。 車両制御システム機能の配置例である。 再構成管理部と再構成実行部の機能例である。 再構成実行時のメモリマップの例である。 再構成時の画面表示の例である。 故障発生時におけるシステム制御フローの例である。 故障時に配置完了していない場合の車両制御システムのシーケンス図である。 本発明の第２の実施例にかかる車両制御システム構成の例である。 本発明の第２の実施例にかかる車両制御システム機能の配置例である。 本発明の第２の実施例にかかる故障発生時のシステム制御フローの例である。 本発明の第２の実施例にかかる車両制御システムのシーケンス図である。
　以下、本発明に好適な実施形態の例（実施例）を説明する。本実施例は、主には車両システムにおける車両制御システム、および車両制御装置について説明しており、車両システムにおける実施に好適であるが、車両システム以外への適用を妨げるものではない。
＜車両制御システムの構成＞
　図２は本実施例の車両制御システムおよび車両制御装置を有する車両システムの概要である。１は自動車など内部に車両制御システムを有する車両システムを示している。２は例えば車載ネットワーク（ＣＡＮ：Ｃｏｎｔｒｏｌｌｅｒ　Ａｒｅａ　Ｎｅｔｗｏｒｋ、ＣＡＮＦＤ：ＣＡＮ　ｗｉｔｈ　Ｆｌｅｘｉｂｌｅ　Ｄａｔａ－ｒａｔｅ、Ｅｔｈｅｒｎｅｔ（登録商標）、等）とコントローラ（ＥＣＵ：Ｅｌｅｃｔｒｏｎｉｃ　Ｃｏｎｔｒｏｌ　Ｕｎｉｔ等）により構成される車両制御システムを示している。３は、車両システム１の外部と無線通信（例えば携帯電話の通信、無線ＬＡＮ、ＷＡＮ、Ｃ２Ｘ（Ｃａｒ　ｔｏ　Ｘ：車両対車両または車両対インフラ通信）等のプロトコルを使用した通信、またはＧＰＳ：Ｇｌｏｂａｌ　Ｐｏｓｉｔｉｏｎｉｎｇ　Ｓｙｓｔｅｍを用いた通信）を行い、外界（インフラ、他車、地図）の情報または自車に関する情報を取得・送信などの無線通信を実施、または診断端子（ＯＢＤ）やＥｔｈｅｒｎｅｔ端子、外部記録媒体（例えばＵＳＢメモリ、ＳＤカード、等）端子などを有し、車両制御システム２と通信を実施する通信装置を示している。４は、例えば２と異なる、または同一のプロトコルを用いたネットワークにより構成される車両制御システムを示している。５は、車両制御システム２の制御に従い、車両運動を制御する機械および電気装置（例えばエンジン、トランスミッション、ホイール、ブレーキ、操舵装置等）の駆動を行うアクチュエータ等の駆動装置を示している。６は、外界から入力される情報を取得し、後述する外界認識情報を生成するための情報を出力する、カメラ、レーダ、ＬＩＤＡＲ、超音波センサなどの外界センサ、および、車両システム１の状態（運動状態、位置情報、加速度、車輪速度等）を認識する力学系センサにより構成される認識装置を示している。７は、ネットワークシステムに有線または無線で接続され、ネットワークシステムから送出されるデータを受信し、メッセージ情報（例えば映像、音）など必要な情報を表示または出力する、液晶ディスプレイ、警告灯、スピーカなどの出力装置を示している。８は、ユーザが車両制御システム２に対して、操作の意図や指示を入力する入力信号を生成するための、例えばステアリング、ペダル、ボタン、レバー、タッチパネル、等の入力装置を示している。９は、車両システム１が外界に対して、車両の状態等を通知するための、ランプ、ＬＥＤ、スピーカ等の通知装置、を示している。
　車両制御システム２は、その他の車両制御システム４、無線通信部３、駆動装置５、認識装置６、出力装置７、入力装置８、通知装置９などと接続され、それぞれ情報の送受信を行う。
　図３は、車両制御システム２のＨ／Ｗ（Ｈａｒｄｗａｒｅ）構成例を示している。３０１は車載ネットワーク上のネットワーク装置を接続するネットワークリンクであり、例えばＣＡＮバスなどのネットワークリンク、３０２はネットワークリンク３０１および駆動装置５や認識装置６や３０１以外のネットワークリンク（専用線含む）に接続され、駆動装置５や認識装置６の制御および情報取得、ネットワークとのデータ送受信を行うＥＣＵ（Ｅｌｅｃｔｒｏｎｉｃ　Ｃｏｎｔｒｏｌ　Ｕｎｉｔ：電子制御ユニット）、３０３は複数のネットワークリンク３０１を接続し、それぞれのネットワークリンクとデータの送受信を行うゲートウェイ（以下ＧＷ）、を示している。
　ネットワークトポロジの例は、図３に示す２つのバスに複数のＥＣＵが接続されているバス型の例以外にも、複数のＥＣＵが直接ＧＷに接続されるスター型や、ＥＣＵが一連のリンクにリング状に接続されているリンク型、それぞれの型が混在し複数のネットワークにより構成される混在型、等がある。ＧＷ３０３とＥＣＵ３０２については、それぞれＧＷ機能を有するＥＣＵ、またはＥＣＵの機能を有するＧＷと、がある。
　ＥＣＵ３０２はネットワークから受信したデータをもとに、駆動装置５への制御信号の出力、認識装置６からの情報の取得、ネットワークへの制御信号および情報の出力、内部状態の変更、などの制御処理を行う。　
　図４は、本発明にかかるネットワーク装置であるＥＣＵ３０２またはＧＷ３０３の内部構成の一例である。４０１はキャッシュやレジスタなどの記憶素子を持ち、制御を実行するＣＰＵなどのプロセッサ、４０２はネットワークリンク３０１またはネットワークや専用線で接続された駆動装置５または／および認識装置６に対してデータの送受信を行うＩ／Ｏ（Ｉｎｐｕｔ／Ｏｕｔｐｕｔ）、４０３は図示しないクロックなどを使用し、時間および時刻の管理を行うタイマ、４０４はプログラムおよび不揮発性のデータを保存するＲＯＭ（Ｒｅａｄ　Ｏｎｌｙ　Ｍｅｍｏｒｙ）、４０５はプログラムおよび揮発性のデータを保存するＲＡＭ（Ｒａｎｄｏｍ　Ａｃｃｅｓｓ　Ｍｅｍｏｒｙ）、４０６はＥＣＵ内部での通信に用いられる内部バス、を示している。
　次にプロセッサ４０１で動作するソフトウェアモジュールの構成について図５に示す。５０２は、通信Ｉ／Ｆ４０２の動作および状態を管理し、内部バス４０６を介し通信Ｉ／Ｆ４０２に指示を行う通信管理部、５０３は、タイマ４０３を管理し、時間に関する情報取得や制御を行う時間管理部、５０１は通信Ｉ／Ｆ４０２から取得したデータの解析や、ソフトウェアモジュール全体の制御を行う制御部、５０４は車両制御に必要な情報を保持するデータテーブル、５０５は一時的にデータを保持するバッファ、を表している。
　これら図５の構成についてはプロセッサ４０１上の動作概念を示したものであり、動作時に必要な情報はＲＯＭ４０４およびＲＡＭ４０５から適宜取得、またはＲＯＭ４０４およびＲＡＭ４０５に適宜書き込み、を行い動作する。
　後述する車両制御システムの各機能は、制御部５０１にて実行される。
　＜車両制御システムの機能構成例＞
　車両制御システムの機能構成例について図６に示す。６０１は本発明にかかる車両制御システム全体を示している。６０２は複数の認識装置６および通信装置３から出力される外界認識情報を統合した外界認識マップを作成する統合認識部を示している。６０３は統合認識部６０２により生成された前記外界認識マップおよびユーザ入力部６０４から入力されたユーザ入力により、自動運転制御情報（軌道等）の生成および出力を示している。出力管理部６０５への出力指示、および通知管理部６０６への通知指示を行う自動運転制御部を示している。６０４は入力装置８からの入力に従い、ユーザの指示情報を生成するユーザ入力部を示している。６０５は自動運転制御部６０３および異常検出部６０７の出力に応じ出力装置７への出力指示を行う出力管理部を示している。６０６は自動運転制御部６０３および異常検出部６０７の出力に応じ通知装置９への通知指示を行う通知管理部を示している。６０７は自動運転制御部６０３からの自動運転制御情報等の通知または図示していない各部からの通知により異常を検出する異常検出部を示している。６０８は、異常検出部６０７の異常検出結果等により、運動制御部６０９に対する出力を自動運転制御部６０３からの入力またはユーザ入力部６０４からの入力に切替える切替部を示している。６０９は、切替部６０８からの軌道情報または運動制御情報、認識装置６から取得する車両システム１の状態、および駆動装置５からの応答、に従い複数の駆動装置５に対して制御を行う運動制御部を示している。６１０は、自動運転制御部６０３からの情報および異常検出部６０７からの通知を受け、代替プログラムの取得、代替プログラムおよび指示を各部に出力、ユーザまたは外部への出力を出力管理部６０５と通知管理部６０６に出力する再構成管理部を示している。６１１は、前記再構成管理部６１０の指示または代替プログラムを受信して代替プログラムの配置や実行、配置完了の通知を行う再構成実行部を示している。
　運動制御情報とは、例えば加速度やヨーレート等の運動制御パラメータの目標値や、各駆動装置５への制御指令値、およびそれらの時系列での連続値を示している。
　車両制御システムには、通信装置３、駆動装置５、認識装置６、出力装置７、入力装置８、通知装置９の一部またはすべてが含まれる場合もある。また車両制御装置は、前記車両制御システムにおける一部またはすべての機能を有する装置を指す。
　車両制御システム６０１は複数の機能から構成されており、図３に示すＨ／Ｗへの機能配置は複数のパターンが存在する。配置の一例について図７に示す。機能の配置はこれに限らず、それぞれの機能は記載と別のＥＣＵに配置されていても良い。
　＜再構成管理部の構成＞
　再構成管理部６１０および再構成実行部６１１の詳細な構成について図８に示す。再構成管理部６１０は、下記の各部により構成されている。８０１は自動運転制御部６０３等から現在の車両制御状態を受信する制御状態監視部、８０２は現在の車両制御状態を判定し、いずれのＥＣＵにどの代替プログラムを配置するかという再構成の方針を決定する制御状態判定部、８０３は再構成に関する情報を出力管理部６０５または通知管理部６０６に通知する情報通知部、８０４は、代替プログラムを再構成管理部が配置されたＥＣＵ、またはネットワークリンク３０１や通信装置３等を介し異なる場所の記憶領域（クラウド、ＲＯＭ、ＨＤＤ、ＲＡＭ等）から取得する代替プログラム取得部、８０５は、代替プログラムを送信する代替プログラム送信部、８０６は、異常時の制御を後述する異常時制御決定方法に従い決定する異常時制御決定部、を表している。
　再構成実行部６１１は、下記の各部により構成されている。８１０は、再構成管理部６１０等により送信される代替プログラムを受信する代替プログラム受信部を示している。８１１は、前記受信した代替プログラムを記憶領域（ＲＯＭ、ＲＡＭ等）に配置する代替プログラム配置部を示している。８１２は、代替プログラムの記憶領域への配置が完了したことを再構成管理部６１０等に通知する配置完了通知部を示している。８１３は、再構成管理部からの代替プログラム受信指示または代替プログラムの実行指示を受ける再構成指示受信部を示している。８１４は、記憶領域に配置した代替プログラムを実行する代替プログラム実行部を示している。
　これら再構成管理部６１０と再構成実行部６１１の内部の各部はそれぞれに通信を行い、必要な情報や指示をやり取りする。また再構成管理部６１０と再構成実行部６１１の機能分担についてはこの例に因らず、例えば代替プログラムの取得は再構成管理部６１０でなく再構成実行部６１１が直接実行しても良い。その場合には再構成管理部６１０による代替プログラムの送受信処理が不要となり、処理負荷が低減される。
　また再構成管理部６１０と再構成実行部６１１については、システムの中で複数存在することが可能である。例えばあるＥＣＵ＿Ａの機能代替を、ＥＣＵ＿ＢだけでなくＥＣＵ＿Ｃ、ＥＣＵ＿Ｄも実行するように再構成実行部６１１をそれぞれに複数配置することも可能であり、同時にＥＣＵ＿Ｂの機能代替をＥＣＵ＿Ｃが行うことも可能である。このようにすることにより、一つのＥＣＵの機能代替を複数のＥＣＵが実施し、また複数のＥＣＵの機能代替を同時に行うことが可能となる。
　またそれら管理を、ＥＣＵ＿Ｅが１か所で集中的に行うことも、ＥＣＵ＿ＥとＥＣＵ＿Ｆが分散して管理することも可能である。これにより、再構成管理の一部機能が故障してもその他のＥＣＵが補うことができ、より安全性を高めることが可能である。
　＜異常検出＞
　異常の検出方法について説明する。異常とは、ハードウェア故障やソフトウェアの不具合、想定外の入力等を原因として発生する通常時想定している状態と異なる状態を示している。車両制御システム２の各部は、ネットワークまたは専用線等の通信経路を介して通信を行っており、通信の異常については、通信が行えない（通信処理がエラー応答、信号線の電位が異常）、通信の信号値が異常、等が発生する。これら通信の異常について、電気回路での異常検出（電位検出等）、定期的な生存確認（ハートビート）、ＣＲＣ等の誤り検出符号のエラー検出、することにより、通信の異常が検出可能である。
　また演算装置の故障については、同じ演算を行った結果の検算（演算結果の比較）により異常検出可能であり、メモリの故障については前記ＲＡＭやＲＯＭにアクセスした場合の誤り検出等により検出可能である。
　またソフトウェアの不具合については、前記同じ演算を行った結果の比較以外にも、出力結果の範囲異常により検出することも可能である。
　これら異常を異常検出部６０７は自ら検出、または各部からの異常を検出した通知を受信することにより異常を検出する。例えば自動運転制御部６０３は、認識装置６、通信装置３、統合認識部６０２、およびそれらの間の通信のいずれかの部分で異常が発生していることを自動運転制御情報に情報として付与して送信し、異常検出部６０７は前記情報を受信し異常発生を検出する。異常を検出した結果により後述する代替プログラムの実行などの異常時制御を実施する。
　また異常検出部６０７は、出力管理部６０５または／および通知管理部６０６に対して異常を検知したことを通知する。これにより、出力管理部６０５または／および通知管理部６０６は後述する車両状態のユーザへの出力または／および車外への通知を実施する。
　＜再構成処理シーケンス＞
　本実施例にかかる再構成処理の処理シーケンスについて図１を用いて説明する。ここではＥＣＵ＿Ａが再構成管理部６１０を有し再構成指示を行い、かつ故障が発生する制御（例：自動運転制御部）を有する例を表している。ＥＣＵ＿Ｂは再構成実行部６１１を有し、代替制御を実施するＥＣＵ、ＥＣＵ＿Ｃが通常時にＥＣＵ＿Ａから制御を受けている例を示している。
　通常時にＥＣＵ＿Ａは、制御信号をＥＣＵ＿Ｃに対して出力する（Ｓ１０１）。またＥＣＵ＿Ｂも通常時にＥＣＵ＿Ｃに制御信号を出力しているとする（Ｓ１０２）。その後走行を続けた結果、後述する車両制御状態が変更になった場合、ここではＥＣＵ＿Ａの自動運転制御部６０３がそれを判断し、再構成管理部６１０に車両制御状態の変更を通知する（Ｓ１０３）。前期通知を受けた再構成管理部６１０は、代替プログラムを自ら取得する。またはいずれかのＥＣＵまたストレージに出力するように指示を行う（Ｓ１０４）。この場合の代替プログラムの取得先は、車両システム内部のいずれかのＥＣＵ、もしくはストレージ（ＨＤＤ等）、または通信装置３やＧＷを解して車両システム外部から取得する。もしくはＥＣＵ＿Ａ内など、機能代行を依頼するＥＣＵにあらかじめ保持しておく。代替プログラムを取得した（Ｓ１０５）ＥＣＵ＿Ａは、故障時に機能代行を行うＥＣＵ＿Ｂに前記代替プログラムを送信する（Ｓ１０６）前記代替プログラムを受信したＥＣＵ＿Ｂは、後述する図９の例の様に代替プログラムを配置する。またすべてのプログラムを受信および配置が完了した時点で配置完了通知を行う（Ｓ１０７）。再構成の管理を行いながら、ＥＣＵ＿Ａは通常時の制御を継続して実施する（Ｓ１０８）。
　その後故障が発生した場合には（Ｓ１０９）、例えばＥＣＵ＿Ａ内の異常検出部６０７が検出し、ＥＣＵ＿Ｂへ故障発生の通知を行う。またはＥＣＵ＿Ｂは通信が途絶したことにより異常を検出する（Ｓ１１０）。前記故障を認識したＥＣＵ＿Ｂは、保持していた代替プログラムの実行を開始する（Ｓ１１１）。その時点で制御を引き継ぎ、ＥＣＵ＿ＢからＥＣＵ＿Ｃに対して代替での制御を実施する（Ｓ１１２）。このようにして機能の代替を実施する。
　一方、故障が発生する前に車両制御状態が変更になった場合には（Ｓ１１３）、前記と同様に再構成管理部６１０が自動運転制御部６０３などから通知を受け、ＥＣＵ＿Ｂに対して前記代替プログラムが不要である情報を含む状態変更通知を行う（Ｓ１１４）。前記状態変更通知を受け、ＥＣＵ＿Ｂは保持していた代替プログラムを破棄する（Ｓ１１５）。その後必要に応じてＥＣＵ＿Ｂは通常時の制御を実施する（Ｓ１１６）。
　このようにして車両制御状態に応じて代替処理用のプログラムをあらかじめＥＣＵに配置し、故障が発生した場合には即座に代替プログラムに切り替え、安全性と利便性を確保する。
　ここではＥＣＵ＿Ｂが通常時にも制御を行っている例について示したが、通常時は制御を行わず、故障発生時のみ制御を行うＥＣＵであっても良い。その場合にはＳ１１４での状態変更通知を受けてプログラムを破棄する必要が無くなり、再度のプログラム配置が不要となる。
　また、機能代替するＥＣＵをここではＥＣＵ＿Ｂのみとしている例を示したが、他のＥＣＵにも同時に同様のシーケンスにより代替プログラムを実行させてもよい。これにより故障発生時のバックアップを二重以上で実施可能であり信頼度を上げる他、ネットワークが断線した場合に別経路で制御を継続させることも可能となる。また複数のＥＣＵでの代替プログラムでそれぞれ独立した制御を行うことにより、負荷を低減することも可能となる。
　また代替プログラムは、車両制御状態に合わせて変更可能である。例えば高い安全性が要求される状況（高速走行、高速道走行、密度の高い一般道走行、地図が無い状態での自動走行、ユーザが非覚醒状態）ではより高度（データ量が多い等）な代替プログラムを使用しかつ高い安全度（ＡＳＩＬ等）を実現可能なＥＣＵに配置する。高い安全性が要求されない状況（低速走行、駐車場内、ユーザが監視中等）では、簡易な代替プログラムを必要な安全度を実現可能なＥＣＵに配置するように、再構成管理部がＳ１０５にてプログラムを取得して必要なＥＣＵへの再構成指示を行う。このようにすることにより制御状態に合わせて適切な代替プログラムを実行することが可能となる。
　また代替プログラムの送信については、制御情報の通信と同時に発生するため、通信の優先度を下げることが望ましい。これにより既存の制御情報の通信を大きく妨げることなく再構成情報の送信が可能となる。また優先度については下げるだけでなく、それ以外のリアルタイム性を有しない通信（例えば制御に用いない音声・メッセージ用信号、優先度の低いエアコン、メータ等信号）よりは高い優先度を設定することが望ましい。これにより、再構成を比較的早く完了させることが可能になり、結果として安全性を高めることが可能となる。
　＜再構成時のＥＣＵ内処理＞
　図９に再構成処理を行っている際の、上記例におけるＥＣＵ_Ｂ内での処理概要およびメモリイメージを示す。（ａ）は通常時のＲＯＭおよびＲＡＭの状態を示している。ＲＯＭには制御プログラムが格納されており、ＣＰＵにより前記制御プログラムが実行される。ＲＡＭには通常時使用するＭＡＩＮデータ、および特定制御状態では使用しないＳＵＢデータが格納されている例を示している。
　図９（ｂ）はＳ１０７でのメモリイメージを示している。現在の制御状態では使用していないＳｕｂデータの領域に対し、代替プログラムを配置する。ここで代替プログラムはリロケータブルモジュールであり、自己の領域および予約され確保されたＲＡＭの領域外にアクセスしない形式であることが望ましい。これによりＥＣＵ＿Ｂが本来使用するデータへの不正なアクセスを防ぐことが可能となる。
　図９（ｃ）はＳ１１１での制御の切り替えについて示しており、ＲＯＭ内の制御プログラムの一部から、代替プログラムを実行するように切り替えを行う。これにより代替プログラムの実行が可能となる。
　図９（ｄ）はＳ１１５でのメモリイメージを示しており、制御状態が変わり、代替プログラムを配置していた領域について、内部フラグ等で確保していた領域を解放し、未使用状態とすることを示している。
　図９（ｅ）はＳ１１６において、本来ＥＣＵ＿Ｂが使用していたＲＡＭのデータ（Ｓｕｂデータ）を再び格納している例を示している。
　このように制御状態に応じて未使用の領域に予め代替プログラムを格納しておくことにより、故障発生時の早期な切り替えが可能となる。
　ここでは制御状態により変更となるＲＡＭ領域への代替プログラムの格納例を示しているが、本来使用していないＲＡＭの領域やＲＯＭの領域を使用しても良い。そのようにすることにより、Ｓ１１５でのプログラム破棄および同様の制御状態でのＳ１０７でのプログラム配置が不要となり、制御状態が変更となっても再度の代替プログラム送信が不要となる。
　＜車両制御状態＞
　車両制御状態とは、車両システムの制御の状態を示す。例として、自動運転状態のＯＮ／ＯＦＦ（ＯＦＦではドライバが操作し、システムがアシストを行う、もしくはシステムは制御を行わない）、一般道または高速道を走行、自動駐車中のＯＮ／ＯＦＦ、走行速度（低速、中速、高速）、ドライバの状態（運転操作可能または困難）、天候など自動運転が困難な状況（強雨、霧、逆光、地図に無い道等）、等を表す。
　これら車両制御状態に応じて、代替機能が必要なＥＣＵ、または機能代替が可能なＥＣＵが変更となる。例えば自動駐車を行っていない場合には、自動駐車がその機能を実現するために必要となるＣＰＵ、ＲＯＭ、ＲＡＭ等のリソースが一時的に不要となり、その領域に代替プログラムを配置しておく。また別の例では一般道を自動運転中では使用しない統合認識部や自動運転制御部のリソースに配置をしておく。
　車両制御状態および／または要求安全レベルに応じて前記代替プログラムや配置ＥＣＵを変更することにより、車両制御状態に合わせた最適な代替制御を実行することが可能となる。
　＜車両状態のユーザへの出力・車外への通知＞
　車両制御システム２は、現在の車両の状態について、出力装置７を介してユーザに、または車両の外部に対して通知装置９または通信装置３を介して出力する。例えば車両システム１のいずれかの部分に異常が発生した場合に、出力装置７を介してユーザに対して警告等の点灯、もしくは音による警告を実施する。または通知装置９または通信装置３を介して車両外部に、ランプによる警告状態の出力や、スピーカによる警告音、異常に関する情報等の出力等を実施する。
　上記異常検出手段により異常が検出された場合には、ユーザに対して異常が発生したことを、警告等や音で通知し、さらに異常の内容（異常が発生した各部、通信経路）についても出力装置７が有するディスプレイや警告灯で表示するなどを行う。これにより発生した異常をユーザが認識し、操作の引き継ぎを行うことが可能となる。
　また車外への通知についても同様に、異常が発生したことと、異常が発生した範囲、または軌道の方向等を通知装置９または通信装置３を介して通知する。このようにすることにより、後続車などが、異常が発生した車両システム２の行動を予測可能となり、衝突などを回避することが可能となる。
　出力装置７への表示例について図１０に示す。ここでは１０００が表示画面全体、１００１がメッセージ例を示している。メッセージの内容については、再構成管理部６１０または異常検出部６０７から受信した、現在実行している代替プログラムの概要の名称、故障箇所（ＥＣＵ、またはその中のマイコン、ＲＡＭ、ＲＯＭ、異常箇所）、使用不能箇所（同左）、前記故障および使用不能箇所から使用不能となる機能表示する。使用不能箇所とは、前記直接故障した箇所だけでは無く、例えば故障個所を経由した通信が不可能になるなどで使用できなくなる箇所を示している。これにより、ユーザは現在の車両制御システム２の状態を判断し、故障に応じた操作や、使用不能である機能を使わない計画、修理等の対応が可能となり、システムの利便性・安全性を向上させることが可能となる。
　＜ユーザ引き継ぎ制御＞
　自動運転制御情報に基づく制御、または相対情報に基づく制御から、ユーザによる制御について切り替える例を説明する。ユーザ入力部６０４は入力装置８を介したユーザの運転操作開始動作（例えばペダルを踏む、ステアを操作する、自動運転終了のボタンを押す、等）を検出し、切替部６０８に通知する。切替部６０８は、ユーザの運転操作開始動作の通知を受け、自動運転制御情報および相対情報に基づく制御を中止し、ユーザの運転操作に切り替える。このようにして、自動運転制御および相対情報に基づく制御からユーザの運転操作に切り替えを実施する。
　＜異常時制御決定方法＞
　 図１１に代替プログラムの配置状態に応じた制御フローを、その際の動作シーケンス図を図１２に示す。ここではＥＣＵ＿Ｂへの代替プログラムの配置が完了しておらず、Ｓ１０７での配置完了通知が未だ通知されていないものとする。
　再構成管理部６１０の故障発生時の制御フローは、まず代替プログラムの配置が完了しているかについて、現在の車両制御状態における前記配置完了通知の受信済みを確認する。配置完了済みである場合には（Ｓ１１０３のｙｅｓ）、配置完了している代替プログラムを実行するように再構成実行部６１１に指示を行う（Ｓ１１０３）。配置が完了していない場合には（Ｓ１１０３のｎｏ）、固定の代替プログラムを実行するように、再構成実行部６１１、または再構成実行部を有せず固定の代替プログラムを実行可能なＥＣＵに指示を行う。
　シーケンスの例についても図１２を用いて説明する。配置が完了していない状態で故障が発生した場合（Ｓ１２００）、ＥＣＵ＿Ａは故障発生を検出後、ＥＣＵ＿Ｃに固定での代替プログラムの実行を指示し（Ｓ１２０１）、前記指示を受けたＥＣＵ＿Ｃは、予め保有している代替プログラムを実行する（Ｓ１２０２）。
　このようにすることにより、代替プログラムの配置が未完了である場合でも、固定での異なる代替プログラムを実行することにより、最低限の安全性を確保することが可能となる。　固定での代替プログラムの実行については、ＥＣＵ＿Ｃ以外のＥＣＵ＿Ｄが実行しても良い。ＥＣＵ＿Ｄが実行することにより、ＥＣＵ＿Ｃは不要なプログラムの実行が不要となり、安全に制御プログラムを実行することが可能となる。またＥＣＵ＿Ｃが代替プログラムを実行することにより、ネットワーク等の障害が発生した場合でも安全に代替プログラムを実行可能となる。
　本実施例における車両制御システム２の構成例を図１３に示す。本実施例においては、認識装置６から出力される情報を基に、後述する相対情報を作成する相対情報認識部６１２、相対情報および認識装置６から出力される情報から運動制御情報を作成する相対情報制御部６１３、自動運転制御情報を保持しておき、必要に応じて出力を行う自動運転制御情報保持部６１４を追加している。
　相対情報とは、前記外界認識情報のうち、特に認識装置６から取得可能な情報であり、周辺オブジェクトと自車両との相対位置および相対速度、相対加速度、およびそれら値から演算可能な値、のいずれかの情報の組み合わせである。
　また、運動制御情報とは、例えば加速度やヨーレート等の運動制御パラメータの目標値や、各駆動装置５への制御指令値、およびそれらの時系列での連続値を示している。
　出力管理部６０５および通知管理部６０６は前記相対情報制御部６１３の出力を受け、出力指示および通知指示を行い、異常検出部６０７は相対情報認識部６１２からの情報を基に異常検出を行い、切替部６０８は、異常検出部６０７の異常検出結果を基に、運動制御部６０９に対する出力を自動運転制御部６０３からの入力またはユーザ入力部６０４、相対情報制御部６０８、自動運転制御情報保持部６１４からの入力を切替える構成としている。
　本実施例におけるＨ／Ｗへの機能配置例を図１４に示す。機能の配置はこれに限らず、それぞれの機能は記載と別のＥＣＵに配置されていても良い。例えば統合認識部６０２、自動運転制御部６０３と、相対情報認識部６１２、相対情報制御部６１３を別のＥＣＵ、またはマイコンに機能を配置することにより、Ｈ／Ｗ故障による共通原因故障のリスクからそれぞれの機能を守り、高信頼化を実現することが可能となる。
　自動運転制御部６０３は、統合認識部６０２から出力された周辺認識の結果を基に、自動運転制御情報を作成する。自動運転制御情報の例としては軌道がある。軌道は、車両システムが安全に走行可能（例：他の障害物に衝突する可能性が低い）である安全性制約、車両システムが実現可能な加速度・減速度、ヨーレート、などの運動制約、を満たすように生成する。
　軌道とは、例えば一定時間間隔ごとの自車位置の座標の集合により表わされる。また別の例では、一定時間間隔ごとの運動制御値（目標加速度・ヨーレート）の集合、一定時間間隔ごとの自車両のベクトル値（方向・速度）、一定距離を進むための時間間隔、等で表すことが可能である。
　このように、車両が移動する方向、運動制約、安全性制約を基に軌道を作成し、生成された軌道を基に、自動運転制御部６０３は運動制御部６１２に切替部６０８を介して軌道情報を送信し、運動制御部６１２は前記軌道情報を基に駆動装置５を制御し、車両システムを制御する。
　＜自動運転制御情報に基づく制御＞
　運動制御部６０９は、切替部６０８が出力した自動運転制御情報または運動制御情報を実現するように駆動装置５の制御を行う。
　自動運転制御情報による制御は、例えば自動運転制御情報が軌道である場合、前記軌道に追従可能なように、認識装置６から取得した車両システム１のシステム状態（現在速度、加速度、ヨーレート等）を反映し、車両システム１の目標速度およびヨーレート等を算出する。これら目標速度およびヨーレートを実現するため、それぞれ必要な駆動装置５の制御を行う。これにより目標である軌道に追従可能な車両制御を実現する。
　また、運動制御情報による制御を実現するためには、目標の速度を実現するために、エンジントルクの出力を増加させる、減速を行うためにブレーキを制御する、目標ヨーレートを実現するためにステアを転舵させる、または車輪速が不均等になるように車輪個別に制動・加速の制御を行う。また運動制御情報が駆動装置５の制御値である場合には、前記制御値を用いて駆動装置５の制御を行う。このようにして目標の運動制御を実現する。
　＜自動運転制御情報の保持＞
　自動運転制御情報保持部６１４は、異常が発生した場合に最低限安全を確保可能な自動運転制御情報（例えば、自動運転制御部６０３により計算された一定時間先までの自動運転制御情報、車線に沿って走行、車線に沿って走行して緩やかな減速、路肩へ退避して停止、等。以下保持制御情報）を予め演算された結果を保持しておき、異常発生時に保持していた保持制御情報に切り替えるためのものである。
　自動運転制御部６０３は演算した保持制御情報を自動運転制御情報保持部６１４に送信する。前記送信の際に、異常検出部６０７は保持制御情報についても異常の有無を検出する。
　切替部６０８は、自動運転制御部６０３、相対情報制御部６１３、自動運転制御情報保持部６１４からの制御情報を切り替えて運動制御部６０９に出力する。
　このようにすることにより、自動運転制御情報で異常が発生した場合にも、一定時間は保持していた安全を維持可能かつ異常が検出されていない保持制御情報で制御を行うことが可能となり、なおかつその後相対情報で異常が検出された場合に、安全に相対情報による制御に切り替えることが可能となる。
　＜相対情報に基づく制御＞
　相対情報に基づく制御例について説明する。相対情報制御部６１３は、相対情報認識部６１２が出力する相対情報および認識装置６から取得する自車の状態に基づいて運動制御情報を作成する。
　前方にオブジェクト（車両）が存在している場合の例について説明する。前方に車両が存在し、相対情報における相対位置（距離）が一定値を下回った場合には自車両に対して減速の制御を行う。そのために、相対情報制御部６１３は前記相対情報および認識装置６から取得する自車の状態を判定し、減速を行うための運動制御情報を切替部６０８に対して出力する。また逆に相対位置が一定値を上回る場合には、同様にして自車両に対して加速の制御を行うための運動制御情報を出力する。このようにして前方車両に対して相対位置が一定量を上回るまたは一定量を下回ることの無いように、加速・減速の制御を行う。後方にオブジェクトが存在している場合にも同様に、相対位置が一定量を上回る、一定量を下回ることの無いように制御を行う。これら判定および加減速の制御により、相対情報に基づいた制御が可能となる。
　また、前後方向のみでなく、左右方向についても、相対位置から認識し、オブジェクトが存在していない方向に操舵を行い、例えば前後方向への衝突を回避する制御を行う。そのための目標ヨーレートについても上記運動制御情報に含み、相対情報制御部６１３が切替部６０８に対して出力を行う。
　＜安全維持制御状態における再構成処理＞
　これら保持制御情報または相対情報に基づく制御（以下安全維持制御）を実施する場合の故障時の再構成管理部のシステム制御フローについて図１５に示す。
　まず故障発生を検出後、再構成管理部６１０は、代替プログラムの配置が完了しているかについて、現在の車両制御状態における前記配置完了通知を受信済みを確認する。配置完了済みである場合には（Ｓ１５０１のｙｅｓ）、配置完了している代替プログラムを実行するように再構成実行部６１１に指示を行う（Ｓ１５０５）。配置が完了していない場合には（Ｓ１５０１のｎｏ）、前記安全維持制御を実施する。これにより一定時間の処理を行った後、再度代替プログラムの配置が完了しているかを確認する（Ｓ１５０３）。その後配置完了済みである場合には（Ｓ１５０１のｙｅｓ）、配置完了している代替プログラムを実行するように再構成実行部６１１に指示を行う（Ｓ１５０５）。配置が完了していない場合には（Ｓ１５０１のｎｏ）固定の代替プログラムを実行するように、再構成実行部６１１に指示を行う。このようにして代替プログラムの配置が完了していない場合でも、安全機能維持により安全性を確保し、その後配置が完了した場合には代替プログラムを実行し、完了しない場合には固定プログラムを実行する。このようにして代替プログラムが実行される機会を増加させ、安全性を向上する。
　ここでＳ１５０２で安全維持制御を実行している間も、代替プログラムの送信および配置を実行しているが、その間に配置を高速に終了させるため、代替プログラムの通信の優先度を上げ、配置を高速化しても良い。また通信の帯域についても、故障発生により使用していない通信帯域があるため、その帯域を使用するようにしてもよい。これらにより安全維持制御を実行している間に配置がより早く完了するようになり、配置した代替プログラムでの実行する可能性を高めることが可能となる。
　また、Ｓ１５０２で安全維持制御を実行中に配置が完了した場合には、配置完了通知を受けた時点で配置した代替プログラムの実行に切り替えても良い。これにより安全維持制御の実行時間をより短くすることが可能になる。
　また、再構成管理部６１０が、現在実行可能な代替プログラムより、安全維持制御の方がより安全性を高められると判定した場合には、安全維持制御を配置した代替プログラムの実行よりも優先しても良い。その場合にはＳ１５０１が不要となる。またこれにより、より安全性を高める制御が可能になる。
　また、代替プログラムの配置の開始は、故障が発生した後で安全維持制御を実施しながら実行を行っても良い。シーケンス図の例について図１６に示す。ここでは故障発生後（Ｓ１０９）、ＥＣＵ＿Ａが機能維持制御を実施指示し（Ｓ１６０１）、その間に代替プログラムの配置（Ｓ１０４からＳ１０７）を行う。その後、安全維持制御が終了したタイミングまたは代替プログラムが配置完了したタイミングで、代替プログラムの実行を行う（Ｓ１６０２）このようにすることにより、車両制御状態だけでなく、故障状態に応じた代替プログラムの配置が可能となり、さらに故障が発生していない状況での代替プログラムの配置が不要となり、前記配置処理および通信処理の負荷を低減することが可能となる。
　以上説明した実施例によれば、車両制御情報が切り替わった時点で再構成のための代替プログラムを予め配置し、故障が発生した場合に前記代替プログラムの制御に切り替えることにより、再構成が完了するまでの時間を短縮し、かつ代替プログラムの内容を可変とすることが可能となる。これにより、システムの利便性や安全性、可用性を向上させることが可能となる。
　特に代替プログラムの内容および配置先（ＥＣＵ）を車両制御状態により変更可能とすることにより、車両制御状態に合わせた安全制御の実現や、車両制御システムのリソースの最適な使用も可能となる。
　また代替プログラムの配置が完了していない場合に固定での代替プログラムを実行することにより、最低限の安全確保が可能となる。
　また別の実施例では、自動運転制御状態において故障が発生した場合に、安全維持制御を行いその間に代替プログラムの配置を行うことにより、より安全性や利便性を向上させることが可能となる。
　特に故障発生後に、例えば安全維持制御を行いながら、代替プログラムの送信の優先度を上げることにより、より安全に制御状態に合わせた代替プログラムの実行を行うことが可能となる。
　さらに故障発生後に、安全維持制御を実行して代替プログラムの配置を行うことにより、故障状態に応じた代替プログラムの配置が可能となり、安全性や利便性のさらなる向上や、さらに故障が発生していない状況での代替プログラムの配置が不要となり、前記配置処理および通信処理の負荷を低減することが可能となる。
１…車両システム、２…車両制御システム、３…通信装置、４…車両制御システム、５…駆動装置、６…認識装置、７…出力装置、８…入力装置、９…通知装置、３０１…ネットワークリンク、３０２…ＥＣＵ、３０３…ＧＷ、４０１…プロセッサ、４０２…Ｉ／Ｏ、４０３…タイマ、４０４…ＲＯＭ、４０５…ＲＡＭ、４０６…内部バス、５０１…制御部、５０２…通信管理部、５０３…時間管理部、５０４…データテーブル、５０５…バッファ、６０１…車両制御システム、６０２…統合認識部、６０３…自動運転制御部、６０４…ユーザ入力部、６０５…出力管理部、６０６…通知管理部、６０７…異常検出部、６０８…切替部、６０９…運動制御部、６１０…再構成管理部、６１１…再構成実行部、６１２…相対情報認識部、６１３…相対情報制御部、６１４…自動運転制御情報保持部、８０１…制御状態監視部、８０２…制御状態判定部、８０３…情報通知部、８０４…代替プログラム取得部、８０５…代替プログラム送信部、８０６…異常時制御決定部、８１０…代替プログラム受信部、８１１…代替プログラム配置部、８１２…配置完了通知部、８１３…再構成指示受信部、８１４…代替プログラム実行部、１０００…ユーザ通知画面

Claims (8)

  1. 　少なくとも一つの処理装置と接続される処理装置であって、
    　前記一つの処理装置が該一つの処理装置に搭載される制御プログラムに基づいて制御動作を実行する期間中に、前記制御プログラムを代替する代替プログラムを取得する処理装置。
  2. 　前記代替プログラムは、前記各処理装置によって構成される車両制御システムの状態に応じて決定される請求項１に記載の処理装置。
  3. 　前記代替プログラムの送信は、制御指令より低い優先度で実行される請求項１に記載の処理装置。
  4. 　請求項１に記載の処理装置において、前記処理装置は、代替プログラムの実行を指示された場合に、前記代替プログラムの配置が完了している場合には前記配置された代替プログラムを実行し、配置が完了していない場合には前記配置を行っている代替プログラムとは異なる代替プログラムを実行することを特徴とする処理装置。
  5. 　請求項１に記載の処理装置において、前記処理装置は、安全維持制御を行った後に代替プログラムの取得を行うことを特徴とする処理装置。
  6. 　複数の処理装置と接続される処理装置であって、前記複数の処理装置のうちの一つの処理装置が該一つの処理装置に搭載される制御プログラムに基づいて制御動作を実行する期間に、前記一つの処理装置のプログラムを代替する代替プログラムを他の処理装置に送信する処理装置。
  7. 　請求項６に記載の処理装置において、故障発生後の代替プログラムの送信について、通常時よりも高い優先度を割り当てることを特徴とする処理装置。
  8. 　複数の処理装置を備え、前記複数の処理装置のうちの一つの処理装置が該一つの処理装置に搭載される制御プログラムに基づいて制御動作を実行する期間に、前記一つの処理装置のプログラムを代替する代替プログラムを他の処理装置が取得する車載制御システム。
PCT/JP2016/081194 2015-11-16 2016-10-21 処理装置および車両制御システム WO2017086087A1 (ja)

Priority Applications (3)

Application Number Priority Date Filing Date Title
US15/761,962 US10946867B2 (en) 2015-11-16 2016-10-21 Processing device and vehicle control system
CN201680053689.1A CN108351822A (zh) 2015-11-16 2016-10-21 处理装置及车辆控制系统
EP16866089.2A EP3379417B1 (en) 2015-11-16 2016-10-21 Processing device and vehicle control system

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2015-223583 2015-11-16
JP2015223583A JP6698320B2 (ja) 2015-11-16 2015-11-16 処理装置および車両制御システム

Publications (1)

Publication Number Publication Date
WO2017086087A1 true WO2017086087A1 (ja) 2017-05-26

Family

ID=58718827

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2016/081194 WO2017086087A1 (ja) 2015-11-16 2016-10-21 処理装置および車両制御システム

Country Status (5)

Country Link
US (1) US10946867B2 (ja)
EP (1) EP3379417B1 (ja)
JP (1) JP6698320B2 (ja)
CN (1) CN108351822A (ja)
WO (1) WO2017086087A1 (ja)

Families Citing this family (22)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN110709303B (zh) * 2017-06-08 2022-11-29 三菱电机株式会社 车辆控制装置
EP3614216B1 (en) * 2017-06-15 2022-11-23 Hitachi, Ltd. Controller
EP3590037A4 (en) 2017-07-25 2020-07-08 Aurora Labs Ltd CONSTRUCTION OF DELTA SOFTWARE UPDATES FOR VEHICLE ECU SOFTWARE AND TOOL CHAIN DETECTION
JP6808595B2 (ja) 2017-09-01 2021-01-06 クラリオン株式会社 車載装置、インシデント監視方法
KR102001914B1 (ko) * 2017-09-07 2019-07-19 엘지전자 주식회사 차량 av시스템의 오류 검출 ic
US11003153B2 (en) * 2017-11-17 2021-05-11 Intel Corporation Safety operation configuration for computer assisted vehicle
JP6604661B2 (ja) * 2017-11-21 2019-11-13 三菱電機株式会社 車両制御装置
DE102018002156A1 (de) * 2018-03-16 2019-09-19 Trw Automotive Gmbh Ein verbessertes Steuerungssystem und ein verbessertes Steuerungsverfahren für das autonome Steuern eines Kraftfahrzeugs
EP4094996A1 (en) 2018-06-29 2022-11-30 Aptiv Technologies Limited A method comprising distributing through a power interface of a power and data center power and data for automotive applications
JP7193289B2 (ja) * 2018-09-28 2022-12-20 日立Astemo株式会社 車載電子制御システム
JP6899978B2 (ja) * 2019-01-17 2021-07-07 三菱電機株式会社 代替制御装置、代替制御方法、代替制御プログラム及びフェールオペレーショナルシステム
CN109887125B (zh) * 2019-02-02 2021-12-14 北京主线科技有限公司 故障检测方法及装置
JP7243392B2 (ja) 2019-03-29 2023-03-22 マツダ株式会社 車両走行制御装置
JP7449650B2 (ja) * 2019-05-23 2024-03-14 株式会社デンソー 車両用装置
JP7247770B2 (ja) * 2019-06-11 2023-03-29 株式会社デンソー 車両用制御システム
JP7363118B2 (ja) * 2019-06-14 2023-10-18 マツダ株式会社 外部環境認識装置
JP6779354B1 (ja) * 2019-10-30 2020-11-04 三菱電機株式会社 制御通信システム
JP7053695B2 (ja) * 2020-02-14 2022-04-12 本田技研工業株式会社 車両制御装置および車両
JP6991294B1 (ja) * 2020-10-09 2022-01-12 三菱電機株式会社 制御装置
JP7405067B2 (ja) * 2020-12-11 2023-12-26 トヨタ自動車株式会社 車両の制御装置、及び車両の制御方法
KR102592102B1 (ko) * 2021-08-17 2023-10-23 한국자동차연구원 자율주행 제어권 전환에 대한 준비도 판단 장치 및 그 방법
JP2023028829A (ja) * 2021-08-20 2023-03-03 株式会社日立製作所 制御装置、制御装置の制御方法

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2004038766A (ja) * 2002-07-05 2004-02-05 Denso Corp 車両用通信システム
JP2007034359A (ja) * 2005-07-22 2007-02-08 Hitachi Ltd 分散制御装置
JP2009070135A (ja) * 2007-09-13 2009-04-02 Toyota Infotechnology Center Co Ltd 分散処理システム
JP2009157768A (ja) * 2007-12-27 2009-07-16 Intec Netcore Inc サービス提供システム

Family Cites Families (10)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US5957985A (en) * 1996-12-16 1999-09-28 Microsoft Corporation Fault-resilient automobile control system
JP4399987B2 (ja) * 2001-01-25 2010-01-20 株式会社デンソー 車両統合制御におけるフェイルセーフシステム
US7146260B2 (en) * 2001-04-24 2006-12-05 Medius, Inc. Method and apparatus for dynamic configuration of multiprocessor system
EP1616746B1 (en) * 2004-07-15 2010-02-24 Hitachi, Ltd. Vehicle control system
WO2009144824A1 (ja) * 2008-05-30 2009-12-03 富士通株式会社 情報処理装置、転送回路及び情報処理装置のエラー制御方法
JP2010285001A (ja) 2009-06-09 2010-12-24 Toyota Motor Corp 電子制御システム、機能代行方法
JP5036780B2 (ja) * 2009-10-06 2012-09-26 トヨタ自動車株式会社 車両の制御装置
DE102012201185A1 (de) * 2012-01-27 2013-08-01 Siemens Aktiengesellschaft Verfahren zum Betreiben mindestens zweier Datenverarbeitungseinheiten mit hoher Verfügbarkeit, insbesondere in einem Fahrzeug, und Vorrichtung zum Betreiben einer Maschine
JP6129499B2 (ja) 2012-09-03 2017-05-17 日立オートモティブシステムズ株式会社 自動車用電子制御システム
JP2014182571A (ja) 2013-03-19 2014-09-29 Denso Corp 車載電子制御装置のプログラム書換システム及び車載中継装置

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2004038766A (ja) * 2002-07-05 2004-02-05 Denso Corp 車両用通信システム
JP2007034359A (ja) * 2005-07-22 2007-02-08 Hitachi Ltd 分散制御装置
JP2009070135A (ja) * 2007-09-13 2009-04-02 Toyota Infotechnology Center Co Ltd 分散処理システム
JP2009157768A (ja) * 2007-12-27 2009-07-16 Intec Netcore Inc サービス提供システム

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
See also references of EP3379417A4 *

Also Published As

Publication number Publication date
CN108351822A (zh) 2018-07-31
US20180281816A1 (en) 2018-10-04
EP3379417A1 (en) 2018-09-26
JP6698320B2 (ja) 2020-05-27
JP2017092835A (ja) 2017-05-25
EP3379417A4 (en) 2019-09-11
US10946867B2 (en) 2021-03-16
EP3379417B1 (en) 2020-10-21

Similar Documents

Publication Publication Date Title
WO2017086087A1 (ja) 処理装置および車両制御システム
CN108137055B (zh) 车辆控制装置、车辆控制系统
JP7430734B2 (ja) 車両内通信システム、車両内通信方法、およびデバイス
US10332322B2 (en) Systems and methods for vehicle-to-vehicle communication
JP6650242B2 (ja) 自動運転システム、自動運転制御方法、データｅｃｕおよび自動運転ｅｃｕ
US11151076B2 (en) Vehicle control system verification device, vehicle control system, and vehicle control system verification method
CN110481565A (zh) 自动驾驶车辆的控制方法和自动驾驶车辆的控制装置
CN112429012B (zh) 汽车电控系统、自动驾驶控制方法及汽车
CN109116777B (zh) 汽车电子系统体系架构
WO2022033045A1 (zh) 违章控制系统与方法、车辆及存储介质
KR101802858B1 (ko) 자동차용 통합데이터 처리 제어 시스템 및 방법
US20200235950A1 (en) Communication device, vehicle having the same and method for controlling the same
JP6875240B2 (ja) 移動体の制御システムおよび移動体の制御方法
US20230065148A1 (en) Method for transferring control over vehicle in automotive electronic system, and apparatus
JP4934627B2 (ja) 情報のフィルタリング方法および車載ゲートウェイ装置
JP2009126413A (ja) 車両用電装機器の制御装置
JP2014028547A (ja) 車載ネットワークシステム
JP2022065804A (ja) 自律走行制御システム
JP2023506869A (ja) インテリジェントコネクテッドビークル用の制御システム及び制御方法
JP2020154631A (ja) 遠隔制御装置及び自動運転システム
CN110481462B (zh) 车辆的主动安全系统及车辆
WO2020044891A1 (ja) 車両制御装置及び車両制御システム
US20230075731A1 (en) System for monitoring an event chain including components for carrying out at least one semiautomated driving function of a motor vehicle and method for operating the system
US20240134381A1 (en) System, control device, and control method
WO2022172498A1 (ja) 車載型コンピュータシステムおよび自動運転支援システム

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 16866089

Country of ref document: EP

Kind code of ref document: A1

WWE Wipo information: entry into national phase

Ref document number: 15761962

Country of ref document: US

NENP Non-entry into the national phase

Ref country code: DE