WO2018225225A1

WO2018225225A1 - 車両制御装置

Info

Publication number: WO2018225225A1
Application number: PCT/JP2017/021371
Authority: WO
Inventors: 大介川上
Original assignee: 三菱電機株式会社
Priority date: 2017-06-08
Filing date: 2017-06-08
Publication date: 2018-12-13
Also published as: JP6381835B1; CN110709303A; DE112017007616T5; JPWO2018225225A1; US20200290641A1; US11492009B2; CN110709303B

Abstract

車両制御装置（１０）は、車両の周辺環境に関する情報を取得する複数の周辺環境取得装置（２０）、車両が走行する経路を生成する認知判断ＥＣＵ（１１）、および生成される経路に基づいて車両の制御を行う統合制御ＥＣＵ（１２）のいずれかの異常を検知した場合、その異常を検知してからの経過時間に従って、複数の周辺環境取得装置（２０）、認知判断ＥＣＵ（１１）および統合制御ＥＣＵ（１２）のそれぞれが実行すべき動作が規定される特定制御を順次切り替えながら実行するように構成されている。

Description

車両制御装置

　本発明は、車両に搭載された電子機器を制御する車両制御装置に関する。

　車載システムでは、多種多様な電子機器が搭載されている。これらの機器を制御するためのＥＣＵ（Ｅｌｅｃｔｒｏｎｉｃ　Ｃｏｎｔｒｏｌ　Ｕｎｉｔ）と呼ばれる車両制御装置の搭載数は、近年の多機能化および複雑化に伴って増加している。特に、昨今の研究開発が加速している自動運転システムにおいては、高性能である複数のＣＰＵを搭載したシステムが一般的である。

　車両の自動運転においては、システムの一部に故障が発生した場合、フェールオペレーションを実現する必要がある。また、フェールオペレーションを実現することが困難である場合、故障対象以外の機能を用いて、最低限の機能によって、フェールセーフを実現する必要がある。フェールオペレーションおよびフェールセーフを実現するための従来技術の一例として、故障したＥＣＵの動作を他のＥＣＵが代替することによって、機能を維持する手法が提案されている（例えば、特許文献１参照）。

特開２００６－２９０１６８号公報

　特許文献１に記載の従来技術では、車両の走行状態および周辺環境によってフェールセーフ動作を決定するように構成されているが、フェールセーフ動作中の車両の走行状態および周辺環境の変化に対して、特別な配慮がされていない。

　本発明は、上記のような事情を鑑みてなされたものであり、車両に搭載された電子機器の異常発生時に時時刻刻と変化する状況に応じて、的確なフェールオペレーションを実現する車両制御装置を得ることを目的とする。

　本発明における車両制御装置は、車両の周辺環境に関する情報を取得する複数の周辺環境取得装置から得られる情報に基づいて車両が走行する経路を生成する認知判断ＥＣＵと、認知判断ＥＣＵによって生成される経路に基づいて車両の制御を行う統合制御ＥＣＵと、複数の周辺環境取得装置、認知判断ＥＣＵおよび統合制御ＥＣＵのいずれかの異常が発生した場合に複数の周辺環境取得装置、認知判断ＥＣＵおよび統合制御ＥＣＵのそれぞれが実行すべき動作が規定される特定制御の内容を決定する異常検知ＥＣＵと、を備え、異常検知ＥＣＵは、異常を検知した場合、異常を検知してからの経過時間に従って、特定制御を順次切り替えながら実行するものである。

　本発明によれば、自動運転システムのような複雑なシステムが適用される車両に搭載された電子機器の異常発生時において、状況の変化に応じて適切な動作が実行されるように構成されている。これにより、車両に搭載された電子機器の異常発生時に時時刻刻と変化する状況に応じて、的確なフェールオペレーションを実現する車両制御装置を得ることができる。

本発明の実施の形態１における車両制御装置を示す構成図である。本発明の実施の形態１における異常検知ＥＣＵが異常を検知してからの経過時間に伴って実行される処理を示すタイミングチャートである。本発明の実施の形態１における異常検知ＥＣＵが異常を検知した場合に実行される処理を示すフローチャートである。本発明の実施の形態１における異常検知ＥＣＵが異常を検知した場合に実行される特定制御（１）～（３）のそれぞれの処理例を示す表である。本発明の実施の形態１における異常検知ＥＣＵが異常を検知した場合に実行される処理の詳細を示すフローチャートである。図５の異常継続確認処理を示すフローチャートである。図５の異常継続判断処理を示すフローチャートである。本発明の実施の形態１における複数の周辺環境取得装置、認知判断ＥＣＵおよび統合制御ＥＣＵのそれぞれが実行する複数の動作の内容を定義した表である。本発明の実施の形態１における周辺環境取得装置の異常時に経過時間に従って実行される処理を示す表である。本発明の実施の形態１における認知判断ＥＣＵの異常時に経過時間に従って実行される処理を示す表である。本発明の実施の形態１における複数の周辺環境取得装置、認知判断ＥＣＵおよび統合制御ＥＣＵのそれぞれが実行する動作の内容を決定するための動作テーブルを示す表である。図１０ＡのＩＤの内訳を示す表である。図１０Ｂの異常種別のＩＤを示す表である。図１０Ｂの時間領域のＩＤを示す表である。図１０Ｂのモード／速度のＩＤを示す表である。図１０Ｂの周辺環境のＩＤを示す表である。本発明の実施の形態２における複数の周辺環境取得装置、認知判断ＥＣＵ、統合制御ＥＣＵおよび異常検知ＥＣＵのそれぞれが実行する複数の動作の内容を定義した表である。本発明の実施の形態２における異常検知ＥＣＵの異常時に経過時間に従って実行される処理を示す表である。本発明の実施の形態２における認知判断ＥＣＵの異常時に経過時間に従って実行される処理を示す表である。本発明の実施の形態２における複数の周辺環境取得装置、認知判断ＥＣＵ、統合制御ＥＣＵおよび異常検知ＥＣＵのそれぞれが実行する動作の内容を決定するための動作テーブルを示す表である。図１３ＡのＩＤの内訳を示す表である。図１３Ｂの異常種別のＩＤを示す表である。図１３Ｂの時間領域のＩＤを示す表である。図１３Ｂのモード／速度のＩＤを示す表である。図１３Ｂの周辺環境のＩＤを示す表である。本発明の実施の形態３における車両制御装置を示す構成図である。本発明の実施の形態３における表示装置が表示するメッセージの内容を示す表である。本発明の実施の形態４における車両制御装置を示す構成図である。本発明の実施の形態４における異常検知ＥＣＵが実行する初期診断を示すフローチャートである。

　以下、本発明による車両制御装置を、好適な実施の形態にしたがって図面を用いて説明する。なお、図面の説明においては、同一部分または相当部分には同一符号を付し、重複する説明を省略する。また、各実施の形態において、車両の走行状態は、車両が走行する道路の種別（高速道、一般道など）、車両の動作状況（車両の速度、車両が直進中、車両がカーブ走行中など）等を含み、車両の周辺環境は、路面状態、天候、道路の混雑度等を含む。

　実施の形態１．
　図１は、本発明の実施の形態１における車両制御装置１０を示す構成図である。図１において、車両制御装置１０は、車両に搭載されており、ネットワーク６０を介して、車両の周辺環境に関する情報を取得する複数の周辺環境取得装置２０、２１および２２と通信可能に接続される。また、車両制御装置１０は、ネットワーク６１を介して、パワートレイン系を制御するパワートレイン系ＥＣＵ３０と、ブレーキを制御するブレーキＥＣＵ４０と、ステアリングを制御するステアリングＥＣＵ５０と通信可能に接続される。

　車両制御装置１０は、例えば、演算処理を実行するマイクロコンピュータと、プログラムデータ、固定値データ等のデータを記憶するＲＯＭ（Ｒｅａｄ　Ｏｎｌｙ　Ｍｅｍｏｒｙ）と、格納されているデータを更新して順次書き換えられるＲＡＭ（Ｒａｎｄｏｍ　Ａｃｃｅｓｓ　Ｍｅｍｏｒｙ）とによって実現される。

　車両制御装置１０は、周辺環境取得装置２０～２２のそれぞれから得られる情報を基に、車両の運転を制御するための制御量を演算する。車両制御装置１０は、演算した制御量をパワートレイン系ＥＣＵ３０、ブレーキＥＣＵ４０およびステアリングＥＣＵ５０のそれぞれに送信することで、車両の自動運転を実現する。

　なお、図１では、３つの周辺環境取得装置２０～２２を図示しているが、周辺環境取得装置の数は３つに限定されない。周辺環境取得装置２０～２２としては、例えば、カメラ、ミリ波レーダ、ソナー等の各種センサ、高精度地図、ＧＰＳ、車車間通信モジュール、路車間通信モジュール等が考えられる。

　車両制御装置１０は、認知判断ＥＣＵ１１、統合制御ＥＣＵ１２および異常検知ＥＣＵ１３を備える。

　認知判断ＥＣＵ１１は、周辺環境取得装置２０～２２から得られる情報に基づいて、車両が進行する経路（すなわち、車両の進行する方向の経路）を生成する。

　認知判断ＥＣＵ１１は、複数の動作を実行する。認知判断ＥＣＵ１１が実行する複数の動作として、例えば、周辺環境取得装置２０～２２の一部を用いずに経路を演算する動作、周辺の空きスペースを検知し、その空きスペースへ車両を誘導する経路を演算する動作等が実装されている。

　統合制御ＥＣＵ１２は、認知判断ＥＣＵ１１によって生成される経路に基づいて車両の制御を行う。具体的には、統合制御ＥＣＵ１２は、認知判断ＥＣＵ１１によって生成された経路を基に制御量を演算し、パワートレイン系ＥＣＵ３０、ブレーキＥＣＵ４０およびステアリングＥＣＵ５０のそれぞれにその制御量を送信する。

　統合制御ＥＣＵ１２は、複数の動作を実行する。統合制御ＥＣＵ１２が実行する複数の動作として、例えば、演算量を簡略化して車両を緊急停止できるような制御を行う動作等が実装されている。

　異常検知ＥＣＵ１３は、周辺環境取得装置２０～２２と、認知判断ＥＣＵ１１と、統合制御ＥＣＵ１２と、パワートレイン系ＥＣＵ３０と、ブレーキＥＣＵ４０と、ステアリングＥＣＵ５０のそれぞれの動作情報を集約することで、これらの装置において、異常が発生しているか否かを判断する。異常検知ＥＣＵ１３は、異常を検知した場合、集約された情報を基に、これらの装置において、一部機能を停止したり、出力を制限したりするような縮退運転を実行することで、現状で可能な車両の最適動作を実現する。

　異常検知ＥＣＵ１３は、縮退運転を実行するにあたって、必要に応じて、認知判断ＥＣＵ１１および統合制御ＥＣＵ１２に動作命令を送信する。また、異常検知ＥＣＵ１３は、異常を検知してからの時間の経過に伴って、周辺環境等が変化した場合、認知判断ＥＣＵ１１および統合制御ＥＣＵ１２に、経過時間に応じた動作命令を送信することで、常に車両の最適動作を実現する。

　なお、説明の便宜上、図１では、認知判断ＥＣＵ１１、統合制御ＥＣＵ１２および異常検知ＥＣＵ１３を分けて図示しているが、これらのＥＣＵは、分散させて設けてもよいし、１つに統合させて設けてもよい。

　次に、異常検知ＥＣＵ１３が異常を検知した場合に実行される特定制御について、図２を参照しながら説明する。図２は、本発明の実施の形態１における異常検知ＥＣＵ１３が異常を検知してからの経過時間に伴って実行される処理を示すタイミングチャートである。

　自動運転走行中に異常が発生し、異常検知ＥＣＵ１３がその異常を検知した時刻を０とすると、異常が発生してから危険事象（例えば、車両がガードレールにぶつかる等、車両又は乗員に損害が発生するような事象）に至ると推測される時点までの時間ｔ３は、ＦＴＴＩ（ｆａｕｌｔ　ｔｏｌｅｒａｎｔ　ｔｉｍｅ　ｉｎｔｅｒｖａｌ）と呼ばれる。

　異常検知ＥＣＵ１３は、異常を検知してからｔ３に至るまでの間に、車両を安全な状態にする必要がある。

　ここで、車両の安全状態として、車両が停止している状態を示す安全状態Ｓ１と、車両が自動運転から手動運転に切り替わる状態を示す安全状態Ｓ２と、異常が解消され、車両が自動運転に復帰する状態を示す安全状態Ｓ３が考えられる。

　また、異常が発生してからｔ３に至るまでの間には、異常が発生してから、車両の挙動に変化が現れる（それまでの走行状態を維持できなくなる）までの時間ｔ１（第１の時間）と、異常が発生してから、危険事象に至る前に車両の停止を開始するまでの時間ｔ２（第２の時間）とが存在すると考えられる。時間ｔ２は、時間ｔ１よりも長い。

　なお、時刻０～ｔ１までの間を時間領域Ｔ１、ｔ１～ｔ２までの間を時間領域Ｔ２、ｔ２～ｔ３までの間を時間領域Ｔ３とする。

　図２に示すように、異常検知ＥＣＵ１３は、車両が自動運転で走行中に異常を検知した場合、特定制御（１）として、自動運転を継続しつつ、その異常箇所を正常状態に復帰させるための復帰動作を試みる。Ｔ１期間中において、異常個所の復帰が成功すれば、車両の状態が安全状態Ｓ３に移行し、車両制御装置１０は、自動運転を継続する。

　異常を検知してからの経過時間がｔ１に到達すれば、車両の挙動が変化する。そこで、異常検知ＥＣＵ１３は、経過時間がｔ１に到達した場合、特定制御（１）から特定制御（２）に切り替える。これにより、Ｔ２期間では、特定制御（２）に移行する。Ｔ２期間中においても、異常検知ＥＣＵ１３は、復帰動作を試みる。Ｔ２期間中において、異常個所の復帰が成功すれば、車両の状態が安全状態Ｓ３に移行する。また、車両の運転者が自動運転を止め、手動運転に切り替えた場合、車両の状態が安全状態Ｓ２に移行する。

　このように、特定制御を切り替える時間ｔ１を、異常が発生してから、車両の挙動に変化が現れるまでの時間としているので、必要以上に機能を低下させないようにすることができる。

　Ｔ２期間中において、異常個所の復帰が成功せず、さらに、自動運転から手動運転への切り替えも行われないまま、経過時間がｔ２に到達した場合、異常検知ＥＣＵ１３は、特定制御（２）から特定制御（３）に切り替えることで、車両を安全に停止させる。この場合、Ｔ３期間中、すなわち、経過時間がｔ３に到達するまでに、車両が停止し、車両の状態が安全状態Ｓ１に移行する。

　このように、特定制御を切り替える時間ｔ２を、異常が発生してから、危険事象に至る前に車両の停止を開始するまでの時間としているので、最悪の場合、車両を停止させて車両の安全状態を維持することができる。

　以上のとおり、異常検知ＥＣＵ１３は、異常が発生してから車両の状態が安全状態に移行するまでの間に、車両が実行する動作を適宜変更するように構成されている。

　すなわち、異常検知ＥＣＵ１３は、異常を検知すれば特定制御（１）（第１の特定制御）を実行する。また、異常検知ＥＣＵ１３は、経過時間が時間ｔ１に到達すれば特定制御（２）（第２の特定制御）に切り替える。さらに、異常検知ＥＣＵ１３は、経過時間が時間ｔ２に到達すれば特定制御（３）（第３の特定制御）に切り替える。

　なお、図２で示されている時間ｔ１、ｔ２およびｔ３は、周辺環境によって変化する。例えば、高速道路で車両が自動運転中であれば、ｔ３は、現在地から次のインターチェンジまたはサービスエリアに到達するまでの時間等が考えられ、一般道で車両が自動運転中であれば、ｔ３は、現在地から次の交差点に到達するまでの時間等が考えられる。

　また、異常個所が統合制御ＥＣＵ１２であれば、すぐに車両挙動の変化が現れるので、ｔ１は短くなりやすい。一方、異常個所が周辺環境取得装置２０～２２のいずれかであれば、ｔ１は、異常を検知してから、認知判断ＥＣＵ１１による経路生成および統合制御ＥＣＵ１２による制御量演算が完了するまでの時間となるので、前者よりも長くなる可能性がある。

　このように、異常検知ＥＣＵ１３は、異常を検知した場合、検知した異常の異常種別と、異常検知時における車両の走行状態と、異常検知時における車両の周辺環境との少なくとも１つに基づいて、特定制御を切り替える時間ｔ１およびｔ２を決定する。したがって、車両挙動変化までの時間ｔ１、危険状態に至る前までの時間ｔ２を判断でき、特定制御が切り替わる時間までの縮退運転を柔軟に調整することができる。

　ｔ１は、異常種別、周辺環境取得装置２０～２２、認知判断ＥＣＵ１１および統合制御ＥＣＵ１２のそれぞれの制御周期、生成された経路情報の有効時間等から算出される。

　例えば、統合制御ＥＣＵ１２に異常が発生した場合、ｔ１は、統合制御ＥＣＵ１２の制御周期となる。また、認知判断ＥＣＵ１１に異常が発生した場合、ｔ１は、その異常発生直前に生成された経路情報の有効時間（例えば、５秒分の経路情報が生成されていれば、有効時間が５秒となる）と、統合制御ＥＣＵ１２の制御周期とを加算した値となる。

　周辺環境取得装置２０～２２に異常が発生した場合、どの種類の周辺環境取得装置に異常が発生したかによってｔ１は変わる。正常な周辺環境取得装置を用いて車両走行が維持できる場合、ｔ１はｔ２と同じ値となる。一方、正常な周辺環境取得装置を用いても車両走行が維持できない場合、上記の経路情報の有効時間と、統合制御ＥＣＵ１２の制御周期とを加算した値となる。

　ｔ３は、正常に動作している周辺環境取得装置からの情報（例えば、カメラの画像、路車間通信等）と、パワートレイン系ＥＣＵ３０からの自車速度情報とを基に、危険事象に至る前までの時間（例えば、現在地から次のインターチェンジに到達するまでの時間）が計算されて決定される。

　ｔ２は、時間領域Ｔ２期間での走行条件から計算される車両が停止するまでの時間を、ｔ３から引いた時間として算出される。すなわち、車両が停止するのに必要な時間をｔ３から引いた時間としてｔ２が算出される。

　なお、説明の便宜上、図２では、車両の安全状態として、３つの安全状態Ｓ１～Ｓ３を定義しているが、定義される安全状態の数は３つに限定されず、他の安全状態を定義してもよい。また、図２では、時間領域として、３つの時間領域Ｔ１～Ｔ３を定義しているが、定義される時間領域の数は３つに限定されない。さらに、図２では、特定制御として、３つの特定制御（１）～（３）を定義しているが、定義される特定制御の数は３つに限定されない。

　このように、異常検知ＥＣＵ１３は、周辺環境取得装置２０～２２、認知判断ＥＣＵ１１および統合制御ＥＣＵ１２のいずれかの異常が発生した場合に周辺環境取得装置２０～２２、認知判断ＥＣＵ１１および統合制御ＥＣＵ１２のそれぞれが実行すべき動作が規定される特定制御の内容を決定する。また、異常検知ＥＣＵ１３は、異常を検知した場合、異常を検知してからの経過時間に従って、特定制御を順次切り替えながら実行する。

　次に、異常検知ＥＣＵ１３が異常を検知した場合に実行される特定制御について、図３を参照しながらさらに説明する。図３は、本発明の実施の形態１における異常検知ＥＣＵ１３が異常を検知した場合に実行される処理を示すフローチャートである。

　図３に示すように、異常検知ＥＣＵ１３は、異常を検知すると（ステップＳ１１）、特定制御を切り替える時間を判断する切り替え時間判断処理として、時間ｔ１、ｔ２およびｔ３の値を決定する（ステップＳ１２）。

　ステップＳ１２が実行されれば、特定制御（１）に移行する（ステップＳ１３）。特定制御（１）としては、上述したとおり、自動運転を継続しつつ、異常箇所の復帰動作が行われる。Ｔ１期間中において、異常個所の復帰が成功すれば、車両の状態が安全状態Ｓ３に移行し、車両が自動運転に復帰する（ステップＳ２３）。

　このように、異常検知ＥＣＵ１３は、異常個所を正常状態に復帰させるための動作（復帰動作）が実行されるように特定制御（１）の内容を決定する。したがって、縮退運転を維持しつつ、自動運転の復帰を行うことができるので、必要以上に機能を低下させないようにすることができる。

　また、異常検知ＥＣＵ１３は、異常個所が正常状態に復帰している場合、特定制御（１）を停止する。したがって、例えば、異常個所がセンサである場合、そのセンサの故障だけでなく、そのセンサの性能限界にも対応することができ、センサの性能限界から回復した場合、自動運転に復帰することができる。

　異常箇所の復帰動作が行われても、その異常が継続したままであり（ステップＳ１４）、異常を検知してからの経過時間がｔ１に到達すれば（ステップＳ１５）、車両の挙動が変化するので、特定制御（２）に移行する（ステップＳ１６）。Ｔ２期間中において、異常個所の復帰が成功すれば、車両の状態が安全状態Ｓ３に移行し、車両が自動運転に復帰する（ステップＳ２３）。

　このように、異常検知ＥＣＵ１３は、異常個所が正常状態に復帰している場合、特定制御（２）を停止する。

　異常箇所の復帰動作が行われても、その異常が継続したままであり（ステップＳ１７）、運転者が運転をオーバーライドしたことを車両制御装置１０が検知すれば（ステップＳ１８）、車両の状態が安全状態Ｓ２に移行する（ステップＳ２２）。

　このように、異常検知ＥＣＵ１３は、運転者のオーバーライドを検知した場合、特定制御（２）を停止する。したがって、運転者のオーバーライドによって車両の安全状態を保つことができる。

　異常が継続したままであり（ステップＳ１７）、オーバーライドが検知されることなく（ステップＳ１８）、経過時間がｔ２に到達すれば（ステップＳ１９）、特定制御（３）に移行する（ステップＳ２０）。この場合、車両を停止させる動作が実行され、車両の状態が安全状態Ｓ１に移行する（ステップＳ２１）。

　このように、異常検知ＥＣＵ１３は、経過時間が時間ｔ２に到達した場合であっても異常個所が正常状態に復帰していなければ、車両の停止を開始する動作が実行されるように特定制御（３）の内容を決定する。したがって、最悪の場合、車両を停止させて車両の安全状態を維持することができる。

　次に、特定制御（１）～（３）の内容の一例について、図４を参照しながら説明する。図４は、本発明の実施の形態１における異常検知ＥＣＵ１３が異常を検知した場合に実行される特定制御（１）～（３）のそれぞれの処理例を示す表である。なお、図４では、周辺環境取得装置２０がカメラであると想定し、周辺環境取得装置２０、認知判断ＥＣＵ１１および統合制御ＥＣＵ１２のそれぞれに異常が発生した場合に実行される処理の内容を示している。

　異常個所が周辺環境取得装置２０である場合、特定制御（１）として、異常検知ＥＣＵ１３からの動作命令に従って、周辺環境取得装置２０の再起動が実行され、認知判断ＥＣＵ１１は、周辺環境取得装置２０の取得結果を用いずに実行可能な縮退運転を実行する。特定制御（２）としては、特定制御（１）と同様の処理が実行される。特定制御（３）としては、異常検知ＥＣＵ１３からの動作命令に従って、周辺環境取得装置２０が停止し、認知判断ＥＣＵ１１および統合制御ＥＣＵ１２は、車両停止に向けた縮退運転を実行する。

　異常個所が認知判断ＥＣＵ１１である場合、特定制御（１）として、異常検知ＥＣＵ１３からの動作命令に従って、認知判断ＥＣＵ１１は再起動を実行し、統合制御ＥＣＵ１２は、認知判断ＥＣＵ１１によって生成される新規の経路情報を用いずに制御を行う。特定制御（２）としては、異常検知ＥＣＵ１３からの動作命令に従って、認知判断ＥＣＵ１１が停止し、統合制御ＥＣＵ１２は、可能な限りの維持動作を行う。特定制御（３）としては、異常検知ＥＣＵ１３からの動作命令に従って、統合制御ＥＣＵ１２は、車両停止を行う。

　異常個所が統合制御ＥＣＵ１２である場合、特定制御（１）および（２）としては何も行われずに、即時に特定制御（３）に移行し、異常検知ＥＣＵ１３からの動作命令に従って、車両停止が行われる。

　このように、異常を検知してからの経過時間と、異常個所に従って、適切な特定制御が実行されることで、システムの機能を必要以上に低下させることなく、維持動作または復帰動作が可能となる。なお、図４に示す処理内容は、一例であり、実行される処理内容を変えてもよい。

　次に、異常が発生した場合における異常検知ＥＣＵ１３の動作の詳細について、図５を参照しながら説明する。図５は、本発明の実施の形態１における異常検知ＥＣＵ１３が異常を検知した場合に実行される処理の詳細を示すフローチャートである。

　上述したとおり、異常検知ＥＣＵ１３は、周辺環境取得装置２０～２２と、認知判断ＥＣＵ１１と、統合制御ＥＣＵ１２と、パワートレイン系ＥＣＵ３０と、ブレーキＥＣＵ４０と、ステアリングＥＣＵ５０のそれぞれの動作情報を集約することで、これらの装置において、異常が発生しているか否かを判断する。

　すなわち、異常検知ＥＣＵ１３は、上記の動作情報を取得する（ステップＳ１０１）。続いて、異常検知ＥＣＵ１３は、異常検知中であるか否かを判断する（ステップＳ１０２）。異常検知ＥＣＵ１３は、異常検知中であれば、後述する異常継続確認処理（ステップＳ２００）を実行する。

　異常検知ＥＣＵ１３は、異常検知中でなければ、異常の有無を確認する（ステップＳ１１０）。異常検知ＥＣＵ１３は、異常を検知しなければ、処理を終了し、異常を検知すれば、切り替え時間判断処理として、時間ｔ１、ｔ２およびｔ３の値を決定する（ステップＳ１１１）。

　異常検知ＥＣＵ１３は、ステップＳ１１１の処理を実行した後、特定制御を開始し（ステップＳ１１２）、異常を検知してからの経過時間を計測するために時間計測を開始する（ステップＳ１１３）。

　次に、ステップＳ２００での異常継続確認処理について、図６を参照しながら説明する。図６は、図５の異常継続確認処理を示すフローチャートである。

　異常検知ＥＣＵ１３は、車両が停止しているか否かを確認する（ステップＳ２０１）。異常検知ＥＣＵ１３は、車両が停止していれば、車両の状態が安全状態Ｓ１に移行したと判断する（ステップＳ２０２）。さらに、異常検知ＥＣＵ１３は、特定制御を停止し（ステップＳ２０３）、時間計測を停止する（ステップＳ２０４）。

　異常検知ＥＣＵ１３は、車両が停止していなければ、自動運転から手動運転に移行したか否かを確認する（ステップＳ２１０）。異常検知ＥＣＵ１３は、手動運転に移行していれば、車両の状態が安全状態Ｓ２に移行したと判断する（ステップＳ２１１）。さらに、異常検知ＥＣＵ１３は、特定制御を停止し（ステップＳ２１２）、時間計測を停止する（ステップＳ２１３）。

　異常検知ＥＣＵ１３は、手動運転に移行していなければ、異常が継続しているか否かを確認する（ステップＳ２２０）。異常検知ＥＣＵ１３は、異常が継続していれば、後述する異常継続判断処理（ステップＳ３００）を実行する。

　異常検知ＥＣＵ１３は、異常が継続していなければ、車両の状態が安全状態Ｓ３に移行したと判断する（ステップＳ２３０）。さらに、異常検知ＥＣＵ１３は、特定制御を停止し（ステップＳ２３１）、通常動作、すなわち自動運転に復帰させる動作を開始し（ステップＳ２３２）、時間計測を停止する（ステップＳ２３３）。

　次に、ステップＳ３００での異常継続判断処理について、図７を参照しながら説明する。図７は、図５の異常継続判断処理を示すフローチャートである。

　異常検知ＥＣＵ１３は、環境に変化が生じているか否かを確認する（ステップＳ３０１）。異常検知ＥＣＵ１３は、環境に変化があれば、切り替え時間判断処理として、時間ｔ１、ｔ２およびｔ３の値を再度決定する（ステップＳ３０２）。さらに、異常検知ＥＣＵ１３は、特定制御を変更して変更後の特定制御を開始し（ステップＳ３０３）、時間計測を再開する（ステップＳ３０４）。なお、変化した環境に合わせて、時間計測再開時の時間（初期値）は変えてもよい。例えば、経過時間がすでに時間領域Ｔ２内に入っている場合、時間をｔ１～ｔ２の間とする。

　異常検知ＥＣＵ１３は、環境に変化がなければ、経過時間が入っている時間領域が変化したか否かを確認する（ステップＳ３１０）。異常検知ＥＣＵ１３は、時間領域が変化していれば、次の特定制御に移行し（ステップＳ３１１）、時間領域に変化がなければ、そのまま処理を終える。

　以上の図５～図７に示すフローチャートの処理が実行されることで、異常を検知してからの経過時間に従った縮退運転が実現される。

　次に、特定制御に従って、周辺環境取得装置２０～２２、認知判断ＥＣＵ１１および統合制御ＥＣＵ１２のそれぞれが実行する複数の動作について、図８を参照しながら説明する。図８は、本発明の実施の形態１における複数の周辺環境取得装置２０～２２、認知判断ＥＣＵ１１および統合制御ＥＣＵ１２のそれぞれが実行する複数の動作の内容を定義した表である。

　なお、図８では、周辺環境取得装置２０～２２がそれぞれ、カメラ、ミリ波レーダ、路車間通信モジュールであると想定している。また、図８に示す動作の内容は、一例であり、図８に示す動作に限定せず、他の動作を定義してもよい。

　図８に示すように、周辺環境取得装置２０（カメラ）が実行する再起動１、２として、それぞれ、電源再投入、リセット動作が定義される。また、周辺環境取得装置２０が実行する縮退運転１として、画像の取得周期を低速化する動作が定義される。

　周辺環境取得装置２１（ミリ波レーダ）が実行する再起動１、２として、それぞれ、電源再投入、リセット動作が定義される。周辺環境取得装置２１が実行する縮退運転１として、画像の取得周期を低速化する動作が定義される。

　周辺環境取得装置２２（路車間通信モジュール）が実行する再起動１～３として、それぞれ、電源再投入、リセット動作、通信初期化が定義される。周辺環境取得装置２２が実行する縮退運転１として、通信周期を低速化する動作が定義される。

　認知判断ＥＣＵ１１が実行する再起動１～３として、それぞれ、電源再投入、リセット動作、メモリ初期化が定義される。認知判断ＥＣＵ１１が実行する縮退運転１～６として、それぞれ、制御周期を低速化する動作、周辺環境取得装置２０（カメラ）を用いずに経路生成を行う動作、周辺環境取得装置２１（ミリ波レーダ）を用いずに経路生成を行う動作、周辺環境取得装置２２（路車間通信モジュール）を用いずに経路生成を行う動作、路肩に停止する経路を生成する動作、その場で停止する経路を生成する動作が定義される。

　統合制御ＥＣＵ１２が実行する再起動１～３として、それぞれ、電源再投入、リセット動作、メモリ初期化が定義される。統合制御ＥＣＵ１２が実行する縮退運転１～４として、それぞれ、制御周期を低速化する動作、低レベル動作（レーンキープのみを行う動作）、停止に向けて速度を低下する動作、停止動作が定義される。

　次に、周辺環境取得装置２０および認知判断ＥＣＵ１１のそれぞれの異常時に実行される特定制御処理の一例について、図９Ａおよび図９Ｂを参照しながら説明する。図９Ａは、本発明の実施の形態１における周辺環境取得装置２０の異常時に経過時間に従って実行される処理を示す表である。図９Ｂは、本発明の実施の形態１における認知判断ＥＣＵ１１の異常時に経過時間に従って実行される処理を示す表である。

　図９Ａでは、周辺環境取得装置２０（カメラ）に異常が発生した場合において、周辺環境取得装置２０～２２、認知判断ＥＣＵ１１および統合制御ＥＣＵ１２のそれぞれが実行すべき動作が定義されている。

　図９Ａに示すように、周辺環境取得装置２０（カメラ）に異常が発生した場合、経過時間が時間領域Ｔ１に入っているときには、周辺環境取得装置２０は、再起動１を実行する。認知判断ＥＣＵ１１は、縮退運転２を実行し、周辺環境取得装置２１，２２および統合制御ＥＣＵ１２は、通常動作を継続する。

　経過時間が時間領域Ｔ２に入っているときにも、周辺環境取得装置２０～２２、認知判断ＥＣＵ１１および統合制御ＥＣＵ１２は、上記と同じ動作を行う。経過時間が時間領域Ｔ３に入っているときには、周辺環境取得装置２０は停止し、さらに、車両を停止させるために、認知判断ＥＣＵ１１は、縮退運転５を実行し、統合制御ＥＣＵ１２は、縮退運転４を実行する。

　図９Ｂでは、認知判断ＥＣＵ１１に異常が発生した場合において、周辺環境取得装置２０～２２、認知判断ＥＣＵ１１および統合制御ＥＣＵ１２のそれぞれが実行すべき動作が定義されている。

　図９Ｂに示すように、認知判断ＥＣＵ１１に異常が発生した場合、経過時間が時間領域Ｔ１に入っているときには、認知判断ＥＣＵ１１は、再起動１を実行する。統合制御ＥＣＵ１２は、縮退運転２を実行し、周辺環境取得装置２０～２２は、通常動作を継続する。

　経過時間が時間領域Ｔ２に入っているときには、認知判断ＥＣＵ１１は停止し、統合制御ＥＣＵ１２は、縮退運転３を実行し、周辺環境取得装置２０～２２は、通常動作を継続する。経過時間が時間領域Ｔ３に入っているときには、統合制御ＥＣＵ１２は、縮退運転４を実行し、周辺環境取得装置２０～２２は、通常動作を継続する。

　なお、図８、図９Ａおよび図９Ｂでは、パワートレイン系ＥＣＵ３０、ブレーキＥＣＵ４０およびステアリングＥＣＵ５０について記載していないが、これらのＥＣＵのそれぞれに対しても縮退運転を定義してもよい。

　次に、異常発生時において、周辺環境取得装置２０～２２、認知判断ＥＣＵ１１および統合制御ＥＣＵ１２のそれぞれが実行する動作の内容を、異常検知ＥＣＵ１３が決定するための動作テーブルの一例について、図１０Ａ～図１０Ｆを参照しながら説明する。

　図１０Ａは、本発明の実施の形態１における複数の周辺環境取得装置２０～２２、認知判断ＥＣＵ１１および統合制御ＥＣＵ１２のそれぞれが実行する動作の内容を決定するための動作テーブルを示す表である。図１０Ｂは、図１０ＡのＩＤの内訳を示す表である。図１０Ｃは、図１０Ｂの異常種別のＩＤを示す表である。図１０Ｄは、図１０Ｂの時間領域のＩＤを示す表である。図１０Ｅは、図１０Ｂのモード／速度のＩＤを示す表である。図１０Ｆは、図１０Ｂの周辺環境のＩＤを示す表である。

　図１０Ａに示すように、後述するＩＤごとに、周辺環境取得装置２０～２２、認知判断ＥＣＵ１１および統合制御ＥＣＵ１２のそれぞれが実行する動作が定義されている。

　図１０Ｂに示すように、図１０ＡのＩＤは、「異常種別」の情報を示す４ビットと、「時間領域」の情報を示す２ビットと、「モード／速度」の情報を示す３ビットと、「周辺環境」を示す７ビットによって構成される。なお、図１０Ｂに示すＩＤの内訳は一例であり、他の要素が入ってもよい。また、ＩＤは、図１０Ｂに示す１６ビットに固定しなくてもよい。

　図１０Ｃに示すように、異常種別のＩＤは、異常個所、すなわち、周辺環境取得装置２０～２２、認知判断ＥＣＵ１１および統合制御ＥＣＵ１２のどれが異常になったかという情報と、異常個所の復帰動作が可能であるか否かという情報に基づいて決定される。なお、図１０Ｃでは、パワートレイン系ＥＣＵ３０、ブレーキＥＣＵ４０およびステアリングＥＣＵ５０について記載していないが、これらのＥＣＵを追加してもよい。

　図１０Ｄに示すように、時間領域のＩＤは、経過時間がＴ１、Ｔ２およびＴ３のどの時間領域に入っているかによって決定される。図１０Ｅに示すように、モード／速度のＩＤは、車両が一般道または高速道をどの程度の速度で走行しているかによって決定される。図１０Ｆに示すように、周辺環境のＩＤは、車両の周辺環境によって決定される。

　図１０Ｅに示すモード／速度のうちのモードは、例えば、周辺環境取得装置として高精度地図を備え、高精度地図情報から自車が一般道および高速道のどちらを走行しているか判定することで得られる。図１０Ｅに示すモード／速度のうちの速度（すなわち、車速）は、自車の制御情報のフィードバックから得られる。

　図１０Ｆに示す周辺環境は、周辺環境取得装置２０～２２から取得する、または自車の制御情報のフィードバックから取得することができる。例えば、渋滞が発生していれば、前車との車間距離を維持するような縮退動作が実行される。雨および夜間であれば、障害物の認識能力が低下している可能性を考慮し、速度を抑えた縮退動作が実行される。低μ路であれば、車両の制御が難しい状況となっているため、急なハンドル操作を行わないような縮退動作が実行される。白線が検知されていなければ、高精度地図の情報に基づく縮退動作が実行される。障害物を検知していれば、障害物を回避可能な制御を縮退動作として実行される。

　以上のようなＩＤによって、初めて異常が検知された場合に図５のステップＳ１１２で実行される特定制御の内容と、異常発生中に環境が変化した場合に図７のステップＳ３０３で実行される特定制御の内容と、異常発生中に時間領域が変化した場合に図７のステップＳ３１１で実行される特定制御の内容とがそれぞれ決定される。

　異常検知ＥＣＵ１３は、異常を検知した場合には、このような動作テーブルを用いて、周辺環境取得装置２０～２２、認知判断ＥＣＵ１１および統合制御ＥＣＵ１２のそれぞれが実行する動作を決定するように構成されている。したがって、これらの装置で実行すべき動作の内容が多岐にわたっても、この動作テーブルによって、それぞれで実行すべき動作が一意に判断可能となる。

　さらに、図６のステップＳ２３０～ステップＳ２３３によって、故障による異常だけでなく、センサの性能限界による一時的な不具合の異常に対しても、縮退運転から通常動作に復帰させるという動作も実現できる。

　このように、異常検知ＥＣＵ１３は、異常を検知した場合、検知した異常の異常種別と、異常検知時における車両の走行状態と、異常検知時における周辺環境との少なくとも１つに基づいて、特定制御の内容を決定する。したがって、車両の走行状態、車両の周辺環境等を考慮して、システムとして最適な縮退運転を実現することができる。

　具体的には、異常検知ＥＣＵ１３は、異常種別と、走行状態としての車両のモード／速度と、周辺環境との少なくとも１つと、特定制御の内容とが対応付けられた動作テーブルを用いて、特定制御の内容を決定する。したがって、取りうる縮退運転が多岐にわたっても、テーブルを用いることによって、周辺環境取得装置２０～２２、認知判断ＥＣＵ１１および統合制御ＥＣＵ１２のそれぞれがどのような動作をすべきかが判断可能となる。

　以上、本実施の形態１における車両制御装置によれば、異常を検知した場合、異常を検知してからの経過時間に従って、複数の周辺環境取得装置、認知判断ＥＣＵおよび統合制御ＥＣＵのそれぞれが実行すべき動作が規定される特定制御を順次切り替えながら実行するように構成されている。

　これにより、車両に搭載された電子機器の異常発生時に、状況の変化に応じて、各種電子機器に適切な動作を実行させることができ、その結果、システムの機能を必要以上に低下させることなく、車両の維持動作を実現することができる。また、車両走行中の異常発生時の縮退運転と縮退運転中の環境変化へ対応し、フェールオペレーション動作を実現することができる。さらに、一部機能の異常発生時にフェールオペレーションを実現するため、異常発生からの経過時間、車両状態、周辺の環境を考慮し、システムとして最適な縮退運転を決定することができる。

　実施の形態２．
　本発明の実施の形態２では、先の実施の形態１の構成に対して、周辺環境取得装置２０～２２、認知判断ＥＣＵ１１および統合制御ＥＣＵ１２の異常だけでなく、異常検知ＥＣＵ１３の異常にも対応可能に構成された車両制御装置１０について説明する。なお、本実施の形態２では、先の実施の形態１と同様である点の説明を省略し、先の実施の形態１と異なる点を中心に説明する。

　図１１は、本発明の実施の形態２における複数の周辺環境取得装置２０～２２、認知判断ＥＣＵ１１、統合制御ＥＣＵ１２および異常検知ＥＣＵ１３のそれぞれが実行する複数の動作の内容を定義した表である。

　ここで、実施の形態２における車両制御装置１０の構成は図１と同様である一方、図１１に示すように、異常発生時に実行される複数の動作の内容が図８と一部異なる点がある。すなわち、図８との違いとして、図１１では、異常検知時に異常検知ＥＣＵ１３が実行する動作が定義され、さらに、認知判断ＥＣＵ１１、統合制御ＥＣＵ１２および異常検知ＥＣＵ１３が実行する動作として、再起動および縮退運転の他に代替動作が定義されている。

　図１１に示すように、認知判断ＥＣＵ１１および統合制御ＥＣＵ１２のそれぞれが実行する動作として、図８に示す動作に加え、異常検知ＥＣＵ１３の異常が発生した場合に異常検知ＥＣＵ１３の機能を代替する代替動作１が定義されている。

　異常検知ＥＣＵ１３が実行する動作として、再起動１～３と、認知判断ＥＣＵ１１の異常が発生した場合に認知判断ＥＣＵ１１の機能を代替する代替動作１と、統合制御ＥＣＵ１２の異常が発生した場合に統合制御ＥＣＵ１２の機能を代替する代替動作２とが定義されている。

　次に、異常検知ＥＣＵ１３および認知判断ＥＣＵ１１のそれぞれの異常時に実行される処理の一例について、図１２Ａおよび図１２Ｂを参照しながら説明する。図１２Ａは、本発明の実施の形態２における異常検知ＥＣＵ１３の異常時に経過時間に従って実行される処理を示す表である。図１２Ｂは、本発明の実施の形態２における認知判断ＥＣＵ１１の異常時に経過時間に従って実行される処理を示す表である。

　図１２Ａに示すように、異常検知ＥＣＵ１３に異常が発生した場合、統合制御ＥＣＵ１２は、異常検知ＥＣＵ１３の異常を検知し、異常検知ＥＣＵ１３の動作を代替する。つまり、異常検知ＥＣＵ１３の異常発生時には、統合制御ＥＣＵ１２が異常検知ＥＣＵ１３の機能を代替する。経過時間が時間領域Ｔ１に入っているときには、異常検知ＥＣＵ１３は、再起動１を実行する。周辺環境取得装置２０～２２および認知判断ＥＣＵ１１は、通常動作を継続する。統合制御ＥＣＵ１２は、通常動作の継続に加え、さらに、代替動作１を実行することによって、異常検知ＥＣＵ１３の動作を代替する。

　経過時間が時間領域Ｔ２に入っているときには、異常検知ＥＣＵ１３は、再起動２を実行する。周辺環境取得装置２０～２２および認知判断ＥＣＵ１１は、通常動作を継続する。また、統合制御ＥＣＵ１２は、通常動作の継続に加え、さらに、代替動作１を実行することによって、異常検知ＥＣＵ１３の動作を代替する。

　経過時間が時間領域Ｔ３に入っているときには、異常検知ＥＣＵ１３は停止する。車両を停止させるために、認知判断ＥＣＵ１１は、縮退運転５を実行し、統合制御ＥＣＵ１２は、縮退運転４を実行する。

　図１２Ｂに示すように、認知判断ＥＣＵ１１に復帰不可能な異常が発生した場合、経過時間が時間領域Ｔ１に入っているときには、認知判断ＥＣＵ１１は停止し、統合制御ＥＣＵ１２は、縮退運転２を実行し、異常検知ＥＣＵ１３は、通常動作の継続に加え、さらに、代替動作１を実行することによって認知判断ＥＣＵ１１の動作を代替する。経過時間が時間領域Ｔ２に入っているときには、同様の動作が実行される。経過時間が時間領域Ｔ３に入っているときには、統合制御ＥＣＵ１２は、縮退運転４を実行する。

　このように、認知判断ＥＣＵ１１、統合制御ＥＣＵ１２および異常検知ＥＣＵ１３のそれぞれが実行する動作として新たに代替動作を定義しているので、これらのＥＣＵのうちのどれかが故障した場合であっても、正常なＥＣＵが故障したＥＣＵの機能を代替し、その結果、機能の維持を実現することができる。

　次に、異常発生時において、周辺環境取得装置２０～２２、認知判断ＥＣＵ１１、統合制御ＥＣＵ１２および異常検知ＥＣＵ１３のそれぞれが実行する動作の内容を決定するための動作テーブルについて、図１３Ａ～図１３Ｆを参照しながら説明する。

　図１３Ａは、本発明の実施の形態２における複数の周辺環境取得装置２０～２２、認知判断ＥＣＵ１１、統合制御ＥＣＵ１２および異常検知ＥＣＵ１３のそれぞれが実行する動作の内容を決定するための動作テーブルを示す表である。図１３Ｂは、図１３ＡのＩＤの内訳を示す表である。図１３Ｃは、図１３Ｂの異常種別のＩＤを示す表である。図１３Ｄは、図１３Ｂの時間領域のＩＤを示す表である。図１３Ｅは、図１３Ｂのモード／速度のＩＤを示す表である。図１３Ｆは、図１３Ｂの周辺環境のＩＤを示す表である。

　図１３Ａに示すように、ＩＤごとに、周辺環境取得装置２０～２２、認知判断ＥＣＵ１１、統合制御ＥＣＵ１２および異常検知ＥＣＵ１３のそれぞれが実行する動作が定義されている。図１３Ｂ、１３Ｄ、１３Ｅ、１３Ｆについては、それぞれ、図１０Ｂ、１０Ｄ、１０Ｅ、１０Ｆと同じ内容が定義されている。図１３Ｃについては、図１０Ｃの異常種別に対して、異常検知ＥＣＵ１３が追加されている。

　異常検知ＥＣＵ１３の動作については、先の実施の形態１での説明と同様、図５～図７のフローチャートの処理によって縮退運転を実現する。

　このように、異常検知ＥＣＵ１３は、異常個所が認知判断ＥＣＵ１１または統合制御ＥＣＵである場合、その異常個所の動作を代替するように構成されている。したがって、認知判断ＥＣＵ１１または統合制御ＥＣＵ１２が完全に故障した場合であっても縮退運転を実現することができる。

　また、認知判断ＥＣＵ１１または統合制御ＥＣＵ１２は、異常検知ＥＣＵ１３に異常が発生した場合に、異常検知ＥＣＵの動作を代替するように構成されている。したがって、異常検知ＥＣＵ１３が完全に故障した場合であっても縮退運転を実現することができる。

　以上、本実施の形態２における車両制御装置によれば、先の実施の形態１の構成に対して、異常が発生した内部の電子機器の動作を正常な電子機器が代替するように構成されている。これにより、車両制御装置を構成する電子機器の１つに復帰不可能な異常（すなわち、故障）が発生した場合であっても、縮退運転を実現することができる。

　実施の形態３．
　本発明の実施の形態３では、先の実施の形態１、２の各構成に対して、表示装置７０を介して運転者に対して各種情報を通知するように構成された車両制御装置１０について説明する。なお、本実施の形態３では、先の実施の形態１、２と同様である点の説明を省略し、先の実施の形態１、２と異なる点を中心に説明する。

　図１４は、本発明の実施の形態３における車両制御装置１０を示す構成図である。図１４において、車両制御装置１０、周辺環境取得装置２０～２２、パワートレイン系ＥＣＵ３０、ブレーキＥＣＵ４０、ステアリングＥＣＵ５０およびネットワーク６０，６１の構成は、図１と同様である。図１４では、図１の構成に対して、異常検知ＥＣＵ１３と接続される表示装置７０がインターフェースとしてさらに追加される。なお、異常検知ＥＣＵ１３は、図示するような接続によって表示装置７０と接続されるのではなく、ネットワーク６０，６１を介して表示装置７０と接続されていてもよい。

　次に、異常検知ＥＣＵ１３が表示装置７０に表示させるメッセージの一例について、図１５を参照しながら説明する。図１５は、本発明の実施の形態３における表示装置７０が表示するメッセージの内容を示す表である。

　先の図９Ａに示した例のように、周辺環境取得装置２０（カメラ）に異常が発生した場合、経過時間が時間領域Ｔ１に入っているときには、カメラに異常が発生したことを示す通知（「状態通知」）が行われる。また、カメラの再起動を実施していることを示す通知（「動作通知」）と、縮退運転に移行する予告の通知（「動作予告通知」）と、運転者に次の行動として、手動運転への切り替えを要求する予告の通知（「行動予告通知」）が行われる。

　経過時間が時間領域Ｔ２に入っているときには、手動運転への切り替えを要求する通知（「行動通知」）が行われ、その切り替えが行われない場合、車両の次の動作として停止する旨の通知（「動作予告通知」）が行われる。

　経過時間が時間領域Ｔ３に入っているときには、異常の状態を示す通知（「状態通知」）と、車両が停止動作中であることを示す通知（「動作通知」）と、手動運転への切り替えを要求する通知（「行動通知」）とが行われる。

　このように、異常検知ＥＣＵ１３は、実行中の特定制御の内容を通知する動作通知を行う。また、異常検知ＥＣＵ１３は、行動通知として、実行中の特定制御の内容に基づいて運転者が行うべき行動を提示する行動通知を行う。

　異常検知ＥＣＵ１３は、異常が継続する場合、実行中の特定制御から次の特定制御に切り替えられることを車両の運転者に通知する動作予告通知を行う。また、異常検知ＥＣＵ１３は、異常が継続する場合、実行中の特定制御から次の特定制御に切り替えられる前に運転者が行うべき行動を提示する行動予告通知を行う。

　なお、表示装置７０が表示する情報については、図１５に示す内容に限らず、必要な他の情報を表示するようにしてもよい。

　このように、異常検知ＥＣＵ１３は、表示装置７０を介して運転者にシステムの状態を通知するとともに、適切な動作を促す通知を表示する。したがって、異常が発生した場合であっても、車両を適切な状態に保つことができる。すなわち、運転者のオーバーライドを促すことで車両の動作を維持することができ、さらに、運転者にディーラー等での修理が必要であることを通知することができる。

　以上、本実施の形態３における車両制御装置によれば、先の実施の形態１、２の各構成に対して、異常を検知した場合、各種情報を運転者に通知するように構成されている。これにより、異常が発生した場合であっても、車両を適切な状態に保つことができる。

　実施の形態４．
　本発明の実施の形態４では、先の実施の形態１～３の各構成に対して、異常履歴情報を格納するフラッシュＲＯＭ８０をさらに備えた車両制御装置１０について説明する。なお、本実施の形態４では、先の実施の形態１～３と同様である点の説明を省略し、先の実施の形態１～３と異なる点を中心に説明する。

　図１６は、本発明の実施の形態４における車両制御装置１０を示す構成図である。図１６において、認知判断ＥＣＵ１１、統合制御ＥＣＵ１２、異常検知ＥＣＵ１３、周辺環境取得装置２０～２２、パワートレイン系ＥＣＵ３０、ブレーキＥＣＵ４０、ステアリングＥＣＵ５０、ネットワーク６０，６１および表示装置７０の構成は図１４と同様である。

　図１６に示す車両制御装置１０は、図１４の構成に対して、異常検知ＥＣＵ１３と接続されるフラッシュＲＯＭ８０（不揮発性メモリ）をさらに備えて構成されている。異常検知ＥＣＵ１３は、システムに異常が発生した場合、異常に関する情報、すなわちどのような異常が発生したかを示す情報を異常履歴情報としてフラッシュＲＯＭ８０に格納する。さらに、異常検知ＥＣＵ１３は、後述する初期診断をさらに行う。

　次に、異常検知ＥＣＵ１３によって行われる初期診断について、図１７を参照しながら説明する。図１７は、本発明の実施の形態４における異常検知ＥＣＵ１３が実行する初期診断を示すフローチャートである。

　異常検知ＥＣＵ１３は、初期診断時において、フラッシュＲＯＭ８０から異常履歴情報を取得し（ステップＳ４０１）、車両が自動運転可能であるか否かを判断する（ステップＳ４０２）。自動運転不可であれば、異常検知ＥＣＵ１３は、運転者に対して、自動運転不可であることを通知する。

　このように、異常検知ＥＣＵ１３は、フラッシュＲＯＭ８０に格納された異常履歴情報に基づいて、車両が自動運転不可であると判断すれば、運転者に対して、車両が自動運転不可であることを通知する。

　すなわち、異常が発生した場合に異常履歴情報を記録するようにしておくことにより、発生した異常が故障によるものであって復帰不可能な異常である場合において、異常検知ＥＣＵ１３の次回の動作時に自動運転不可であることを運転者に通知することができる。

　また、発生した異常が異常個所の性能限界等の一時的な不良であった場合であっても、運転者に情報通知を行うことで、注意を促すことができる。さらに、フラッシュＲＯＭ８０に格納されている異常履歴情報は、車両を修理する修理者への提供情報としても活用することができる。

　以上、本実施の形態４における車両制御装置によれば、先の実施の形態１～３の各構成に対して、不揮発性メモリに格納された異常履歴情報に基づいて、車両が自動運転不可であると判断すれば、運転者に対して車両が自動運転不可であることを通知するように構成されている。これにより、故障の場合、次回起動時に自動運転動作不可であることを運転者に通知することができる。

　１０　車両制御装置、１１　認知判断ＥＣＵ、１２　統合制御ＥＣＵ、１３　異常検知ＥＣＵ、２０～２２　周辺環境取得装置、３０　パワートレイン系ＥＣＵ、４０　ブレーキＥＣＵ、５０　ステアリングＥＣＵ、６０，６１　ネットワーク、７０　表示装置、８０　フラッシュＲＯＭ。

Claims

　車両の周辺環境に関する情報を取得する複数の周辺環境取得装置から得られる前記情報に基づいて前記車両が走行する経路を生成する認知判断ＥＣＵと、
　前記認知判断ＥＣＵによって生成される前記経路に基づいて前記車両の制御を行う統合制御ＥＣＵと、
　前記複数の周辺環境取得装置、前記認知判断ＥＣＵおよび前記統合制御ＥＣＵのいずれかの異常が発生した場合に前記複数の周辺環境取得装置、前記認知判断ＥＣＵおよび前記統合制御ＥＣＵのそれぞれが実行すべき動作が規定される特定制御の内容を決定する異常検知ＥＣＵと、
　を備え、
　前記異常検知ＥＣＵは、
　　前記異常を検知した場合、前記異常を検知してからの経過時間に従って、前記特定制御を順次切り替えながら実行する
　車両制御装置。
　前記異常検知ＥＣＵは、
　　前記異常を検知した場合、検知した前記異常の異常種別と、前記異常検知時における前記車両の走行状態と、前記異常検知時の前記周辺環境との少なくとも１つに基づいて、前記特定制御を切り替える時間を決定する
　請求項１に記載の車両制御装置。
　前記異常検知ＥＣＵは、
　　前記異常を検知すれば第１の特定制御を実行し、前記経過時間が第１の時間に到達すれば第２の特定制御に切り替え、前記経過時間が前記第１の時間よりも長い第２の時間に到達すれば第３の特定制御に切り替え、
　前記異常検知ＥＣＵは、
　　前記異常が発生した異常個所を正常状態に復帰させるための動作が実行されるように前記第１の特定制御の内容を決定する
　請求項１または２に記載の車両制御装置。
　前記第１の時間は、前記異常が発生してから、前記車両の挙動に変化が現れるまでの時間である
　請求項３に記載の車両制御装置。
　前記第２の時間は、前記異常が発生してから、前記車両で危険事象に至る前に前記車両の停止を開始するまでの時間である
　請求項３または４に記載の車両制御装置。
　前記異常検知ＥＣＵは、
　　前記経過時間が前記第２の時間に到達した場合であっても前記異常個所が前記正常状態に復帰していなければ、前記車両の停止を開始する動作が実行されるように前記第３の特定制御の内容を決定する
　請求項３から５のいずれか１項に記載の車両制御装置。
　前記異常検知ＥＣＵは、
　　前記異常を検知した場合、検知した前記異常の異常種別と、前記異常検知時における前記車両の走行状態と、前記異常検知時の前記周辺環境との少なくとも１つに基づいて、前記特定制御の内容を決定する
　請求項１から６のいずれか１項に記載の車両制御装置。
　前記異常検知ＥＣＵは、
　　前記異常種別と、前記走行状態としての前記車両のモード／速度と、前記周辺環境との少なくとも１つと、前記特定制御の内容とが対応付けられた動作テーブルを用いて、前記特定制御の内容を決定する
　請求項７に記載の車両制御装置。
　前記異常検知ＥＣＵは、
　　前記異常が発生した異常個所が正常状態に復帰している場合、前記特定制御を停止する
　請求項１から８のいずれか１項に記載の車両制御装置。
　前記異常検知ＥＣＵは、
　　前記車両の運転者のオーバーライドを検知した場合、前記特定制御を停止する
　請求項１から９のいずれか１項に記載の車両制御装置。
　前記異常検知ＥＣＵは、
　　前記異常が発生した異常個所が前記認知判断ＥＣＵまたは前記統合制御ＥＣＵである場合、前記異常個所の動作を代替するように構成されている
　請求項１から１０のいずれか１項に記載の車両制御装置。
　前記認知判断ＥＣＵまたは前記統合制御ＥＣＵは、
　　前記異常検知ＥＣＵに異常が発生した場合に、前記異常検知ＥＣＵの動作を代替するように構成されている
　請求項１から１１のいずれか１項に記載の車両制御装置。
　前記異常検知ＥＣＵは、実行中の前記特定制御の内容を前記車両の運転者に通知する
　請求項１から１２のいずれか１項に記載の車両制御装置。
　前記異常検知ＥＣＵは、実行中の前記特定制御の内容に基づいて、前記車両の運転者が行うべき行動を提示する
　請求項１から１３のいずれか１項に記載の車両制御装置。
　前記異常検知ＥＣＵは、前記異常が継続する場合、実行中の前記特定制御から次の特定制御に切り替えられることを前記車両の運転者に通知する
　請求項１から１４のいずれか１項に記載の車両制御装置。
　前記異常検知ＥＣＵは、前記異常が継続する場合、実行中の前記特定制御から次の特定制御に切り替えられる前に前記車両の運転者が行うべき行動を提示する
　請求項１から１５のいずれか１項に記載の車両制御装置。
　前記異常が発生した場合に前記異常が発生したことを示す情報を異常履歴情報として格納する不揮発性メモリをさらに備え、
　前記異常検知ＥＣＵは、前記不揮発性メモリに格納された前記異常履歴情報に基づいて、前記車両が自動運転不可であると判断すれば、前記車両の運転者に対して、前記車両が自動運転不可であることを通知する
　請求項１から１６のいずれか１項に記載の車両制御装置。