WO2019176603A1 - 異常診断システム及び異常診断方法 - Google Patents

異常診断システム及び異常診断方法 Download PDF

Info

Publication number
WO2019176603A1
WO2019176603A1 PCT/JP2019/008271 JP2019008271W WO2019176603A1 WO 2019176603 A1 WO2019176603 A1 WO 2019176603A1 JP 2019008271 W JP2019008271 W JP 2019008271W WO 2019176603 A1 WO2019176603 A1 WO 2019176603A1
Authority
WO
WIPO (PCT)
Prior art keywords
risk
risk map
ecu
program
vehicle
Prior art date
Application number
PCT/JP2019/008271
Other languages
English (en)
French (fr)
Inventor
一 芹沢
朋仁 蛯名
成沢　文雄
Original Assignee
日立オートモティブシステムズ株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 日立オートモティブシステムズ株式会社 filed Critical 日立オートモティブシステムズ株式会社
Priority to JP2020506405A priority Critical patent/JP6922072B2/ja
Priority to EP19766957.5A priority patent/EP3766753B1/en
Priority to US16/961,288 priority patent/US20210070321A1/en
Publication of WO2019176603A1 publication Critical patent/WO2019176603A1/ja

Links

Images

Classifications

    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60W—CONJOINT CONTROL OF VEHICLE SUB-UNITS OF DIFFERENT TYPE OR DIFFERENT FUNCTION; CONTROL SYSTEMS SPECIALLY ADAPTED FOR HYBRID VEHICLES; ROAD VEHICLE DRIVE CONTROL SYSTEMS FOR PURPOSES NOT RELATED TO THE CONTROL OF A PARTICULAR SUB-UNIT
    • B60W60/00—Drive control systems specially adapted for autonomous road vehicles
    • B60W60/001—Planning or execution of driving tasks
    • B60W60/0015—Planning or execution of driving tasks specially adapted for safety
    • B60W60/0016—Planning or execution of driving tasks specially adapted for safety of the vehicle or its occupants
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60W—CONJOINT CONTROL OF VEHICLE SUB-UNITS OF DIFFERENT TYPE OR DIFFERENT FUNCTION; CONTROL SYSTEMS SPECIALLY ADAPTED FOR HYBRID VEHICLES; ROAD VEHICLE DRIVE CONTROL SYSTEMS FOR PURPOSES NOT RELATED TO THE CONTROL OF A PARTICULAR SUB-UNIT
    • B60W50/00—Details of control systems for road vehicle drive control not related to the control of a particular sub-unit, e.g. process diagnostic or vehicle driver interfaces
    • B60W50/04—Monitoring the functioning of the control system
    • B60W50/045—Monitoring control system parameters
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60W—CONJOINT CONTROL OF VEHICLE SUB-UNITS OF DIFFERENT TYPE OR DIFFERENT FUNCTION; CONTROL SYSTEMS SPECIALLY ADAPTED FOR HYBRID VEHICLES; ROAD VEHICLE DRIVE CONTROL SYSTEMS FOR PURPOSES NOT RELATED TO THE CONTROL OF A PARTICULAR SUB-UNIT
    • B60W40/00—Estimation or calculation of non-directly measurable driving parameters for road vehicle drive control systems not related to the control of a particular sub unit, e.g. by using mathematical models
    • B60W40/02—Estimation or calculation of non-directly measurable driving parameters for road vehicle drive control systems not related to the control of a particular sub unit, e.g. by using mathematical models related to ambient conditions
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60W—CONJOINT CONTROL OF VEHICLE SUB-UNITS OF DIFFERENT TYPE OR DIFFERENT FUNCTION; CONTROL SYSTEMS SPECIALLY ADAPTED FOR HYBRID VEHICLES; ROAD VEHICLE DRIVE CONTROL SYSTEMS FOR PURPOSES NOT RELATED TO THE CONTROL OF A PARTICULAR SUB-UNIT
    • B60W50/00—Details of control systems for road vehicle drive control not related to the control of a particular sub-unit, e.g. process diagnostic or vehicle driver interfaces
    • B60W50/0098—Details of control systems ensuring comfort, safety or stability not otherwise provided for
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60W—CONJOINT CONTROL OF VEHICLE SUB-UNITS OF DIFFERENT TYPE OR DIFFERENT FUNCTION; CONTROL SYSTEMS SPECIALLY ADAPTED FOR HYBRID VEHICLES; ROAD VEHICLE DRIVE CONTROL SYSTEMS FOR PURPOSES NOT RELATED TO THE CONTROL OF A PARTICULAR SUB-UNIT
    • B60W50/00—Details of control systems for road vehicle drive control not related to the control of a particular sub-unit, e.g. process diagnostic or vehicle driver interfaces
    • B60W50/02—Ensuring safety in case of control system failures, e.g. by diagnosing, circumventing or fixing failures
    • B60W50/0205—Diagnosing or detecting failures; Failure detection models
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60W—CONJOINT CONTROL OF VEHICLE SUB-UNITS OF DIFFERENT TYPE OR DIFFERENT FUNCTION; CONTROL SYSTEMS SPECIALLY ADAPTED FOR HYBRID VEHICLES; ROAD VEHICLE DRIVE CONTROL SYSTEMS FOR PURPOSES NOT RELATED TO THE CONTROL OF A PARTICULAR SUB-UNIT
    • B60W50/00—Details of control systems for road vehicle drive control not related to the control of a particular sub-unit, e.g. process diagnostic or vehicle driver interfaces
    • B60W50/04—Monitoring the functioning of the control system
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60W—CONJOINT CONTROL OF VEHICLE SUB-UNITS OF DIFFERENT TYPE OR DIFFERENT FUNCTION; CONTROL SYSTEMS SPECIALLY ADAPTED FOR HYBRID VEHICLES; ROAD VEHICLE DRIVE CONTROL SYSTEMS FOR PURPOSES NOT RELATED TO THE CONTROL OF A PARTICULAR SUB-UNIT
    • B60W60/00—Drive control systems specially adapted for autonomous road vehicles
    • B60W60/001—Planning or execution of driving tasks
    • B60W60/0015—Planning or execution of driving tasks specially adapted for safety
    • G—PHYSICS
    • G07—CHECKING-DEVICES
    • G07C—TIME OR ATTENDANCE REGISTERS; REGISTERING OR INDICATING THE WORKING OF MACHINES; GENERATING RANDOM NUMBERS; VOTING OR LOTTERY APPARATUS; ARRANGEMENTS, SYSTEMS OR APPARATUS FOR CHECKING NOT PROVIDED FOR ELSEWHERE
    • G07C5/00—Registering or indicating the working of vehicles
    • G07C5/08—Registering or indicating performance data other than driving, working, idle, or waiting time, with or without registering driving, working, idle or waiting time
    • G07C5/0808—Diagnosing performance data
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60W—CONJOINT CONTROL OF VEHICLE SUB-UNITS OF DIFFERENT TYPE OR DIFFERENT FUNCTION; CONTROL SYSTEMS SPECIALLY ADAPTED FOR HYBRID VEHICLES; ROAD VEHICLE DRIVE CONTROL SYSTEMS FOR PURPOSES NOT RELATED TO THE CONTROL OF A PARTICULAR SUB-UNIT
    • B60W50/00—Details of control systems for road vehicle drive control not related to the control of a particular sub-unit, e.g. process diagnostic or vehicle driver interfaces
    • B60W50/02—Ensuring safety in case of control system failures, e.g. by diagnosing, circumventing or fixing failures
    • B60W50/0205—Diagnosing or detecting failures; Failure detection models
    • B60W2050/0215—Sensor drifts or sensor failures

Definitions

  • the present invention relates to an abnormality diagnosis system for diagnosing an abnormality related to control of automatic driving of a vehicle.
  • an automatic driving ECU electronic control unit
  • a diagnostic method for diagnosing abnormality in the automatic driving ECU for example, there is a method described in Patent Document 1.
  • the main ECU and the sub ECU are provided with a calculation unit and a failure detection unit, and the failure detection unit monitors the result of the operation amount calculated by the calculation unit.
  • the failure detection unit monitors the amount of change in the operation amount of the calculation result, and determines that the ECU has failed when the amount of change exceeds a predetermined range. Further, a failure is determined when the operation amount calculation result between the main ECU and the sub ECU does not match.
  • the risk map is, for example, a map in which each point where the own vehicle can travel and a risk level obtained by quantifying the risk when the own vehicle is present at the point are associated with each other on a plane.
  • the control of automatic driving is increasing in complexity, and it may not be determined that the control of the ECU for automatic driving is abnormal only by a simple change in the operation amount. For example, when it is assumed that another vehicle parked on the shoulder of the vehicle while traveling on the shoulder side of the two lanes on one side is assumed, it can be avoided by just protruding slightly to the center line side. As a trajectory that the vehicle can pass, a trajectory that changes to a lane on the center line side or a trajectory that protrudes and avoids without changing the lane can be considered. Even when the lane is changed to the lane on the center line side, there are a plurality of timings for changing the lane, and a plurality of tracks can be considered. In this case, even if the operation amount changes, it is not abnormal.
  • the abnormality in control of the ECU for automatic driving includes an abnormality caused by the ECU itself, an abnormality caused by processing of the ECU, an abnormality caused by data input to the ECU, and the like.
  • the present invention has been made in view of the above circumstances, and an object thereof is to provide a technique capable of easily and appropriately diagnosing an abnormality related to control of automatic driving of a vehicle.
  • an abnormality diagnosis system generates a risk information on a risk of moving a vehicle for use in automatic driving control of the vehicle based on sensor information about an object around the vehicle.
  • An abnormality diagnosis system including an information generation unit, including a plurality of risk information detection units, and based on a plurality of risk information generated by a plurality of risk information generation units, whether an abnormality has occurred in the generated risk information
  • a diagnostic unit for diagnosing whether or not is provided.
  • FIG. 1 is an overall configuration diagram of a vehicle control system according to the first embodiment.
  • FIG. 2 is a functional configuration diagram of the vehicle control system according to the first embodiment.
  • FIG. 3 is a flowchart of the diagnostic process according to the first embodiment.
  • FIG. 4 is a diagram illustrating a situation in the traveling direction of the host vehicle according to the first embodiment.
  • FIG. 5 is a diagram for explaining a risk map and risk oversight according to the first embodiment.
  • FIG. 6 is a flowchart of a diagnostic process according to a modification of the first embodiment.
  • FIG. 7 is an overall configuration diagram of the vehicle control system according to the second embodiment.
  • FIG. 8 is a flowchart of risk map extraction processing according to the second embodiment.
  • FIG. 9 is a flowchart of a diagnostic process according to the second embodiment.
  • FIG. 10 is an overall configuration diagram of a vehicle control system according to the third embodiment.
  • FIG. 11 is a flowchart of the risk map extraction process according to the third embodiment.
  • FIG. 12 is a flowchart of a diagnostic process according to the third embodiment.
  • FIG. 13 is an overall configuration diagram of a vehicle control system according to a fourth embodiment.
  • FIG. 14 is a functional configuration diagram of the vehicle control system according to the fourth embodiment.
  • FIG. 15 is a diagram for explaining a missed risk list and a method for determining an abnormal ECU according to the fourth embodiment.
  • FIG. 16 is a flowchart of a diagnostic process according to the fourth embodiment.
  • FIG. 17 is a functional configuration diagram of the vehicle control system according to the fifth embodiment.
  • FIG. 18 is a first system configuration diagram in the vehicle control system according to the fifth embodiment.
  • FIG. 19 is a second system configuration diagram in the vehicle control system according to the fifth embodiment.
  • FIG. 20 is an overall configuration diagram of the vehicle control system according to the sixth embodiment.
  • FIG. 21 is a functional configuration diagram of the vehicle control system according to the sixth embodiment.
  • FIG. 22 is an overall configuration diagram of the vehicle control system according to the seventh embodiment.
  • FIG. 23 is a functional configuration diagram of the vehicle control system according to the seventh embodiment.
  • FIG. 24 is a flowchart of a diagnostic process according to the seventh embodiment.
  • the process may be described with “program” as the operation subject, but the program is executed by a processor (for example, a CPU (Central Processing Unit)) so that a predetermined process is appropriately performed.
  • the processing subject may be a processor.
  • the process described with the program as an operation subject may be performed by an apparatus including a processor. Further, a dedicated hardware circuit that performs part or all of the processing performed by the processor may be included.
  • the computer program may be installed on the device from a program source.
  • the program source may be, for example, a program distribution server or a non-transitory recording medium that can be read by a computer.
  • FIG. 1 is an overall configuration diagram of a vehicle control system according to the first embodiment.
  • a vehicle control system 1000 as an example of an abnormality diagnosis system is a system mounted on a vehicle such as an automobile, and includes various sensors 12, various actuators 13, a plurality of ECUs (electronic control units) 1A and 1B, and a reset. And an arbitration circuit 15.
  • the ECU 1A and the ECU 1B are communicably connected via the in-vehicle network 14.
  • the in-vehicle network 14 may be any communication network such as Ethernet (registered trademark) or CAN-FD (CAN with Flexible Data-Rate).
  • Each ECU (1A, 1B) is connected with various sensors 12, various actuators 13, and a reset arbitration circuit 15.
  • the various sensors 12 include one or more sensors for capturing information on the surrounding environment of the vehicle such as a radar, a camera, and a GPS sensor.
  • the various sensors 12 may include a sensor for taking in map information and a sensor for taking in information on the vehicle such as the vehicle speed and the steering angle.
  • Various sensors 12 output the detected sensor information to the ECU (1A, 1B).
  • the various sensors 12 may output sensor information from a common sensor to the ECU 1A and the ECU 1B for all sensor information. For all sensor information, the sensors 1A and 1B may be different from sensors of different individuals having the same function.
  • Sensor information may be output to each of the ECUs 1B, and only a part of the sensor information of the sensor information may be output from different sensors having the same function to each of the ECUs 1A and 1B. The remaining sensor information may be output from the common sensor to the ECU 1A and the ECU 1B.
  • the various actuators 13 include one or more actuators for operating an accelerator, a brake, a steering, and the like for operating the vehicle.
  • Various actuators 13 control traveling of the vehicle based on control information input from the ECU 1A or the ECU 1B.
  • the ECU 1A (1B) includes a CPU 10A (10B) and a memory 11A (11B).
  • the CPU 10A (10B) executes various processes in accordance with programs stored in the memory 11A (11B).
  • the memory 11A (11B) is, for example, a RAM (RANDOM ACCESS MEMORY), and stores programs executed by the CPU 10A (10B) and necessary information.
  • the memory 11A includes an object recognition / motion prediction program 111A (111B), a risk map creation program 112A (112B), a diagnosis (risk map comparison) program 113A (113B), a track generation / vehicle control program 114A (114B), The other system reset program 115A (115B) and the risk map 116A (116B) are stored. The function of each program will be described later.
  • the program may be described as an operating entity for convenience, but the actual executing entity is the CPU (10A, 10B) that executes the program.
  • each structure of ECU1A and ECU1B may be the same structure, or the same structure.
  • the risk map (116A, 116B) is an example of risk information, and each point where the host vehicle (referred to as the host vehicle) can travel (for example, each point in front of the host vehicle when moving forward) and the host vehicle at that point. It is the map which represented on the plane corresponding with the value (risk level) which digitized the risk at the time of having existed.
  • the reset arbitration circuit 15 receives a reset request (reset signal) from each ECU (1A, 1B) and performs a process of resetting the other ECU (other system).
  • the reset arbitration circuit 15 receives a reset request from the other (ie, ECU 1B) after receiving a reset request from one (eg, ECU 1A) and before resetting the other (eg, ECU 1B). In this case, it is determined which ECU is to be reset according to a predetermined priority order, and the determined ECU is reset.
  • FIG. 2 is a functional configuration diagram of the vehicle control system according to the first embodiment.
  • FIG. 2 describes the functional configuration in the Data Flow Diagram format.
  • the object recognition / motion prediction program (111A, 111B) (actually, a functional unit configured by the CPU (10A, 10B) that executes the object recognition / motion prediction program) receives sensor inputs (sensor information). ) Is recognized, an external object such as a preceding vehicle is recognized, and the movement of the object is predicted and output as object information.
  • the risk map creation program (112A, 112B) (actually, a functional unit configured by the CPU (10A, 10B) executing the risk map creation program: an example of the risk information generation unit) is an object recognition / motion prediction program ( 111A, 111B) is used as an input to create a risk map (116A, 116B), and the risk map is sent to a diagnosis (risk map comparison) program (113A, 113B) of the ECU (own ECU) to which it belongs. And a risk map to the diagnosis (risk map comparison) program (113B, 113A) of the other ECU.
  • the function unit configured by the CPU 10A that executes the risk map creation program 112A is the first risk information generation unit
  • the function unit configured by the CPU 10B that executes the risk map creation program 112B generates the second risk information. Part.
  • Diagnosis (risk map comparison) program (113A, 113B) (actually, a functional unit composed of CPUs (10A, 10B) executing a diagnosis (risk map comparison) program: an example of a diagnosis unit) is sent to another ECU.
  • a risk map transmission request for requesting transmission of a risk map created by another ECU is transmitted via the in-vehicle network 14.
  • the diagnosis (risk map comparison) program (113A, 113B) receives a risk map transmission request from another ECU via the in-vehicle network 14, the risk map transmission request source of the own ECU (10A) is obtained. To the other ECU (10B).
  • the diagnosis (risk map comparison) program (113A, 113B) includes a risk map output from the risk map creation program (112A, 112B) of the own ECU and a diagnosis (risk map comparison) program (113B, 113A) of the other ECU. ) Is compared with the risk map obtained from), diagnoses whether there is an abnormality in the risk map (for example, whether there is no risk overlooked), and if there is an abnormality (in this case, there is a risk overlooked) ) Includes a reset requirement indicating that a handling process for an abnormality of the other ECU (other system) (abnormality handling process: for example, a process of resetting the ECU of the other system) is required, and the other system reset program (115A, 115B). ).
  • the trajectory generation / vehicle control program (114A, 114B) (actually, a functional unit constituted by the CPU (10A, 10B) executing the trajectory generation / vehicle control program) is executed by the risk map creation program (112A, 112B) generates a track of the own vehicle from the risk map output, and generates and outputs control information for controlling the various actuators 13 so that the vehicle travels on the generated track.
  • Other system reset program (115A, 115B) (actually, a functional unit composed of CPUs (10A, 10B) executing the other system reset program: an example of an abnormality handling processing unit) is a diagnostic (risk map comparison) program.
  • a reset signal for resetting the other ECU is output to the reset arbitration circuit 15.
  • Object recognition / motion prediction program (111A, 111B), risk map creation program (112A, 112B), diagnosis (risk map comparison) program (113A, 113B), track generation / vehicle control program (114A, 114B), and
  • Each program of the other system reset program (115A, 115B) may be a program having the same code in the ECU 11A and the ECU 11B, and at least one of the programs has the same function but is different in configuration. Also good. For example, as a program having the same function but different configuration, for example, if the program is configured by performing learning, a program learned by using different data may be used. It is good also as a program created by. As described above, by using a program having the same function but different configuration between ECUs, a problem in one program can be covered by the other program, and the reliability as a whole is improved. Can do.
  • FIG. 3 is a flowchart of the diagnostic process according to the first embodiment.
  • the diagnosis process is executed by the CPU (10A, 10B) executing the diagnosis (risk map comparison) program (113A, 113B).
  • the diagnosis process is executed, for example, with a period of time (relatively short time) when the response does not become a problem even if an abnormality occurs.
  • the processing of the ECU 1A diagnosis (risk map comparison) program 113A will be mainly described, but the processing of the ECU 1B diagnosis (risk map comparison) program 113B is also the same.
  • the diagnosis (risk map comparison) program 113A transmits / receives a risk map to / from another ECU (ECU 1B) (step S101).
  • the diagnosis (risk map comparison) program 113A transmits a risk map transmission request to the ECU 1B via the in-vehicle network 14.
  • the diagnosis (risk map comparison) program 113B of the ECU 1B transmits the risk map created by the ECU 1B to the diagnosis (risk map comparison) program 113A via the in-vehicle network 14.
  • the diagnosis (risk map comparison) program 113A acquires the risk map created by the other ECU (ECU 1B) as a comparison risk map.
  • a risk map transmission program that transmits a risk map according to a risk map transmission request may be provided separately from the diagnosis (risk map comparison) program 113B.
  • the diagnosis (risk map comparison) program 113A and the diagnosis (risk map comparison) program 113B do not need to wait for each other in step S101.
  • the diagnosis (risk map comparison) program 113A compares the risk map generated by the ECU 1A with the acquired risk map generated by the ECU 1B, and whether or not there is an oversight of the risk in the risk map generated by the ECU 1B. Is detected (step S102).
  • missed risk means that one risk map exists as a risk (or has a high risk), but other risk maps do not have a risk (or a low risk). It means that it is said.
  • step S103 when it is detected that there is an oversight of the risk (step S103: Y), the diagnosis (risk map comparison) program 113A resets another ECU (in this case, ECU 1B) that is the comparison target as the reset target.
  • a key is generated (step S105), the other system reset program 115A is started, the reset is passed (step S106), and the process is terminated.
  • the activated other system reset program 115 ⁇ / b> A transmits a reset signal for resetting the other ECU to the reset arbitration circuit 15 based on the reset requirement.
  • the reset arbitration circuit 15 that has received the reset signal executes a process of resetting the ECU based on the received reset signal.
  • step S103 N
  • diagnosis (risk map comparison) program 113A ends the process.
  • FIG. 4 is a diagram showing a situation in the traveling direction of the host vehicle according to the first embodiment.
  • the host vehicle 401 is about to enter a right curve separated by a shoulder 402 and a center line 403, and a preceding vehicle 404 is traveling in front of the host vehicle 401. .
  • FIG. 5 is a diagram for explaining the risk map and risk oversight according to the first embodiment.
  • risk map 116A shows an example of a risk map generated by ECU 1A in the situation shown in FIG. 4
  • risk map 116B shows an example of a risk map generated by ECU 1B in the situation shown in FIG.
  • each square corresponds to the respective position in FIG. 4, and the risk level when the own vehicle 401 enters the position is set in the square.
  • the In the present embodiment, the risk level is a value from 0 (minimum) to 9 (maximum). In FIG. 5, the risk level of 0 is omitted and omitted.
  • the position outside the road shoulder 402 (upper left in the drawing) is set to the risk level 9 because it cannot travel, and the risk level 8 to 9 is set outside the center line 403 (lower right in the drawing). Is set. Further, since there is a risk of contacting the own vehicle 401 when the preceding vehicle 404 decelerates, the position of the preceding vehicle 404 and its surrounding positions are set to risk levels 3-6. The risk level for each position is set by the risk map creation program 112A.
  • the risk map 116B the position of the preceding vehicle 404 and its surrounding positions are at the risk level 0 (the square portion on the dotted line).
  • the risk maps 116A and 116B are normal, they should be the same or substantially the same, but if any abnormality occurs, they become different states.
  • the diagnosis (risk map comparison) program 113A misses the risk of the squares on the dotted line by comparing the risk maps. Is determined. That is, the CPU 10A executing the diagnosis (risk map comparison) program 113A diagnoses that an abnormality has occurred in the risk map 116B generated by the ECU 1B.
  • any of the elements involved in the generation of the risk map 116B (for example, a sensor that inputs sensor information to the ECU 1B, the object recognition / motion prediction program 111B, the risk map generation program 112B, or the ECU 1B itself) ) Has occurred, and there is a possibility that appropriate automatic control will not be performed if this condition remains unchanged.
  • the determination of whether or not the risk is missed is, for example, determining that the risk is missed when the risk level of one of the squares indicating the same position is 0 and the other risk level is not 0. Also good.
  • step S102 when a missed risk is detected in step S102 and there is a missed risk in the risk map created by another ECU, reset to the other ECU that missed the risk in steps S105 and S106. Can be applied.
  • a risk map that misses a risk can be detected appropriately, vehicle control based on this risk map can be appropriately prevented, and safety in driving control can be improved.
  • the value of the square of one risk map corresponding to the same position is 0, and the square of the other risk map
  • the following diagnostic process may be executed.
  • FIG. 6 is a flowchart of a diagnostic process according to a modification of the first embodiment.
  • the same parts as those in the diagnosis process of FIG. 3 are denoted by the same reference numerals, and redundant description is omitted.
  • step S103 includes step S109 after N, and includes step S107 and step S108 between Y in step S103 and step S105.
  • step S103 When it is determined in step S103 that there is an oversight (step S103: Y), the diagnosis (risk map comparison) program 113A counts up the number of times (the number of determinations) determined to be overlooked from a predetermined time point (add 1). (Step S107), it is determined whether or not the number of determinations is equal to or greater than a certain number (Step S108). As a result, when the number of determinations is not equal to or greater than the predetermined number (step S108: N), the diagnosis (risk map comparison) program 113A performs processing without executing subsequent processing (steps S105 and S106) for resetting other ECUs. Exit.
  • step S108: Y when the number of determinations is equal to or greater than a certain number (step S108: Y), the diagnosis (risk map comparison) program 113A executes subsequent processing (steps S105 and S106) for resetting the other ECUs. If it is not determined that there is an oversight (step S103: N), it means that there is no abnormality, so the diagnosis (risk map comparison) program 113A clears the number of determinations to 0 (step S109). The process is terminated.
  • the object recognition / motion prediction program (111A, 111B) is executed as one program, and is executed in the ECU (1A, 1B) that executes the risk map creation program (112A, 112B).
  • the present invention is not limited to this.
  • the object recognition / motion prediction program (111A, 111B) may be divided into a plurality of programs, and may be executed by another ECU or a plurality of ECUs. Also good.
  • the track generation / vehicle control program (114A, 114B) may be divided into a plurality of programs, or may be executed by another ECU or a plurality of ECUs.
  • FIG. 7 is an overall configuration diagram of the vehicle control system according to the second embodiment.
  • the memory (11A, 11B) further includes a transmission risk map (117A, 117B: an example of a partial risk map), compared to the vehicle control system 1000 according to the first embodiment.
  • a transmission risk map (117A, 117B: an example of a partial risk map)
  • This is a vehicle control system in which a risk map comparison condition (static) (118A, 118B) and a risk map extraction program (119A, 119B) are stored.
  • the function unit configured by the CPU (10A, 10B) executing the risk map extraction program (119A, 119B) is an example of the extraction unit.
  • the transmission risk map (117A, 117B) is a risk map transmitted in accordance with a risk map transmission request from another ECU, and some information extracted from the risk map (116A, 116B) (partial coordinates of the risk map) , A set of coordinates and risk levels corresponding to the coordinates).
  • Risk map comparison condition (static) (118A, 118B) is a condition for extracting the transmission risk map (117A, 117B) from the risk map (116A, 116B).
  • the risk map comparison condition (static) (117A, 117B) is, for example, that the risk level is equal to or higher than a certain threshold (high risk condition), and that the distance from the position of the own vehicle is equal to or less than a certain (close order condition) ), The risk level is high with respect to the front, rear, left, and right positions (neighboring comparison conditions).
  • each risk level of a position corresponding to a high risk condition and a position corresponding to a close order condition is weighted and added for each position.
  • the result may be a position belonging to the top N (N is an arbitrary integer).
  • FIG. 8 is a flowchart of risk map extraction processing according to the second embodiment.
  • the risk map extraction process is executed by the CPU (10A, 10B) executing the risk map extraction program (119A, 119B).
  • the risk map extraction process is executed, for example, before executing the diagnosis process.
  • the process of the risk map extraction program 119A of the ECU 1A will be described, but the process of the risk map extraction program 119B of the ECU 1B is the same.
  • the risk map extraction program 119A refers to the risk map (116A, 116B), extracts information that matches the risk map comparison condition (117A, 117B) (step S201), and uses the extracted information as a transmission risk map (118A, 118B) (step S202).
  • FIG. 9 is a flowchart of the diagnosis process according to the second embodiment.
  • parts similar to those in the diagnostic process according to the first embodiment are denoted by the same reference numerals, and redundant description is omitted.
  • the diagnosis (risk map comparison) program 113A transmits and receives the transmission risk map 117B of the other ECU (ECU 1B) as a comparison target risk map (step S301).
  • the diagnosis (risk map comparison) program 113A transmits a risk map transmission request to the ECU 1B via the in-vehicle network 14.
  • the diagnosis (risk map comparison) program 113B of the ECU 1B transmits the transmission risk map 117B created by the ECU 1B to the diagnosis (risk map comparison) program 113A via the in-vehicle network 14.
  • the functional unit configured by the CPU (10A, 10B) executing the diagnosis (risk map comparison) program (113A, 113B) is an example of the transmission unit.
  • the diagnosis (risk map comparison) program 113A compares the transmission risk map 117A generated by the ECU 1A with the transmission risk map 117B generated by the acquired ECU 1B, and the transmission risk map created by the ECU 1B. It is detected whether or not there is a risk oversight (step S302).
  • the subsequent processing is the same as the diagnostic processing according to the first embodiment.
  • the transmission risk map 117B having a data amount smaller than that of the risk map 116B is transmitted via the in-vehicle network 14, so that the communication time can be shortened and the load on the in-vehicle network 14 is reduced. Can do. Further, in the risk map comparison process in step S302, the number of positions to be compared is small, so that the processing time can be shortened and the processing load on the ECU can be reduced.
  • FIG. 10 is an overall configuration diagram of the vehicle control system according to the third embodiment.
  • the vehicle control system 1002 according to the third embodiment is different from the vehicle control system 1001 according to the second embodiment in that a risk map comparison condition (static) is used instead of the risk map comparison condition (static) (118A, 118B).
  • a risk map comparison condition static
  • (Dynamic) 140A, 140B)
  • the transmission risk map 117A, 117B
  • a transmission risk map with history
  • a risk map extraction program 119A, 119B
  • Risk map comparison condition (static / dynamic) (140A, 140B) is a condition for extracting the transmission risk map (with history) (141A, 142B) from the risk map (116A, 116B).
  • the risk map comparison condition (static / dynamic) (140A, 140B) includes the same condition as the risk map comparison condition (static) (118A, 118B) as a static condition, and further includes a risk map comparison condition (dynamic). Included).
  • the risk map comparison condition (dynamic) is a condition that is applied based on the history of the results detected in the risk map comparison condition (static), and the approach speed (the movement speed of the corresponding risk) is a certain level or higher. There is a novelty of appearance (not detected in the latest extraction of a certain number of times or less).
  • FIG. 11 is a flowchart of risk map extraction processing according to the third embodiment.
  • the risk map extraction process is executed by the CPU (10A, 10B) executing the risk map extraction program (142A, 142B).
  • the risk map extraction process is executed, for example, before executing the diagnosis process.
  • the risk map extraction program 142A refers to the risk map (116A, 116B), extracts information of each corresponding coordinate according to the static condition of the risk map comparison condition (dynamic / static) (140A, 140B), Thereafter, for the history of each coordinate information extracted by the static condition, the information of each corresponding coordinate is extracted according to the dynamic condition (step S211), the history of the information extracted by the dynamic condition, The information extracted by the dynamic condition is output to the transmission risk map (with history) (141A, 141B) (step S212).
  • This risk map extraction process can create a transmission risk map that is focused on coordinates considered to be more important, and can further reduce the amount of data in the transmission risk map.
  • FIG. 12 is a flowchart of the diagnostic process according to the third embodiment.
  • parts similar to those in the diagnosis process according to the first embodiment are denoted by the same reference numerals, and redundant description is omitted.
  • the diagnosis (risk map comparison) program 113A transmits and receives the transmission risk map detected by the dynamic condition in the transmission risk map (with history) 141B of the other ECU (ECU 1B) as a risk map to be compared (step) S351).
  • the diagnosis (risk map comparison) program 113A transmits a risk map transmission request to the ECU 1B via the in-vehicle network 14.
  • the diagnosis (risk map comparison) program 113B of the ECU 1B diagnoses the transmission risk map detected by the dynamic condition of the transmission risk map (with history) 141B created by the ECU 1B via the in-vehicle network 14. (Risk map comparison) This is transmitted to the program 113A.
  • the diagnosis (risk map comparison) program 113A includes the transmission risk map detected by the dynamic condition in the transmission risk map (with history) 141A generated by the ECU 1A and the transmission generated by the acquired ECU 1B. Compare with the transmission risk map detected by the dynamic condition in the credit risk map (with history) 141B, and overlook the risk in the transmission risk map of the transmission risk map (with history) 141B created by the ECU 1B It is determined whether or not there is (step S352). The subsequent processing is the same as the diagnostic processing according to the first embodiment.
  • the transmission risk map detected by the dynamic condition in the transmission risk map (with history) 141B having a smaller data amount than the transmission risk map 117B is transmitted via the in-vehicle network 14. Therefore, the communication time can be shortened and the load on the in-vehicle network 14 can be reduced.
  • the risk map comparison process in step S352 since there are fewer positions to compare, the processing time can be shortened and the processing load can be reduced.
  • FIG. 13 is an overall configuration diagram of the vehicle control system according to the fourth embodiment.
  • the vehicle control system 1003 according to the fourth embodiment is further provided with an ECU 1C with respect to the vehicle control system 1000 according to the first embodiment, and memory (11A, 11B) of each ECU (1A, 1B, 1C). , 11C) further stores the missed risk list (143A, 143B, 143C), and changes the processing of the diagnosis (risk map comparison) program (113A, 113B, 113C).
  • the ECU 1C has the same configuration as the ECU 1A. The following description will focus on differences from the vehicle control system 1000 according to the first embodiment.
  • FIG. 14 is a functional configuration diagram of the vehicle control system according to the fourth embodiment.
  • the functional configuration of the vehicle control system 1003 according to the fourth embodiment is a functional configuration further including the configuration of the ECU 1C having the same configuration as the ECU 1A with respect to the functional configuration of the vehicle control system 1000 according to the first embodiment.
  • risk map 116A created by risk map creation program 112A of ECU 1A is transmitted to diagnosis (risk map comparison) program 113B of ECU 1B and created by risk map creation program 112B of ECU 1B.
  • the risk map 116B is transmitted to the diagnosis (risk map comparison) program 113C of the ECU 1C
  • the risk map 116C created by the risk map creation program 112C of the ECU 1C is transmitted to the diagnosis (risk map comparison) program 113A of the ECU 1A.
  • FIG. 15 is a diagram for explaining a missed risk list and a method for determining an abnormal ECU according to the fourth embodiment.
  • the missed risk lists 143A, 143B, and 143C each correspond to one row shown in FIG. 15, and information on the diagnosed ECU, information indicating the comparison source risk map, information indicating the comparison target risk map, and missed information Information on the determination result.
  • the diagnosis (risk map comparison) program 113A of the ECU 1A compares the ECU 1A and the risk map of the ECU 1C to determine whether or not there is an oversight. Further, the diagnosis (risk map comparison) program 113A of the ECU 1A acquires a missed risk list that is a determination result of the missed risk from the other ECUs 1B and 1C. Next, the ECU 1A diagnosis (risk map comparison) program 113A determines an abnormal ECU (an ECU to be reset) based on its own determination result and the missed risk list from the other ECUs 1B and 1C.
  • the ECU 1A determines that the comparison target ECU (ECU 1C) is overlooked, and the other ECUs 1B and 1C determine that the comparison target ECU does not miss.
  • the diagnosis (risk map comparison) program 113A determines that only the ECU 1A has missed based on its own determination result and the missed risk list from the other ECUs 1B and 1C, and the ECU 1A as a minority is abnormal.
  • the ECU 1B diagnosis (risk map comparison) program 113B determines that only the ECU 1A has missed based on its own determination result and the missed risk list from the other ECUs 1A and 1C.
  • the ECU 1A as a minority can be determined to be abnormal, and the diagnosis (risk map) of the ECU 1C can be determined.
  • the comparison) program 113C determines that only the ECU 1A has missed based on its own judgment result and the missed risk list from the other ECUs 1A and 1B, and can determine that the minority ECU 1A is abnormal. . If the number of ECUs is four or more, a missed risk list of other ECUs is obtained, and a certain number of ECUs reporting that there is a miss based on their own determination results and the missed risk list of other ECUs. In the following cases, these ECUs reported as overlooked may be reset.
  • FIG. 16 is a flowchart of diagnostic processing according to the fourth embodiment.
  • the same parts as those in the diagnostic process according to the first embodiment are denoted by the same reference numerals, and redundant description is omitted.
  • FIG. 16 illustrates the processing of the ECU 1A, but similar processing is also executed in the ECU 1B and ECU 1C.
  • the diagnosis (risk map comparison) program 113A acquires the risk list of the other ECU (ECU 1B) (step S312).
  • the diagnosis (risk map comparison) program 113A transmits a missed risk list transmission request to the other ECUs (ECU 1B, ECU 1C) via the in-vehicle network 14.
  • the diagnosis (risk map comparison) program (113B, 113C) of another ECU transmits the missed risk list created by the ECU (1B, 1C) via the in-vehicle network 14.
  • the diagnosis (risk map comparison) program 113A compares the risk map 116A generated by the ECU 1A with the acquired risk map 116C and the risk map 116C created by the ECU 1C misses the risk. It is detected whether or not there is, and by referring to the contents of the detection result and the acquired missed risk list, an ECU having a missed risk is detected (step S313).
  • step S103 If it is determined in step S103 that there is an oversight of risk (S103: Y), the diagnosis (risk map comparison) program 113A has detected that the ECU is overdetected (determination that the risk is overlooked is a minority). If it is determined whether or not the own ECU is overdetected (step S315: Y), the process is terminated without setting the other ECU as a reset target, while the own ECU is not overdetected. In (Step S315: N), the process proceeds to Step S105, and resetting of other ECUs that missed the risk is advanced.
  • step S103 determines whether or not there is an ECU (step S314). If it is determined that there is another ECU for overdetection (step S314: Y), the diagnosis (risk map comparison) program 113A selects the other ECU for overdetection. The reset necessity set as the reset target is generated (step S316), and the process proceeds to step S106. On the other hand, if it is determined that there is no other ECU with overdetection (step S314: N), the other ECU is not set as the reset target. The process ends.
  • the ECU having the risk map creation program that has detected over-detection among a plurality of ECUs is the reset target.
  • FIG. 17 is an overall configuration diagram of a vehicle control system according to the fifth embodiment.
  • the vehicle control system 1004 is a vehicle control system in which the functions executed by the two ECUs 1A and 1B in the vehicle control system 1000 according to the first embodiment are realized by one ECU 1A. That is, the memory 11A of the ECU 1A includes object recognition / motion prediction programs 111A and 111B, risk map creation programs 112A and 112B, diagnosis (risk map comparison) programs 113A and 113B, track generation / vehicle control programs 114A and 114B, and other systems. The reset programs 115A and 115B and the risk maps 116A and 116B are stored.
  • the other system reset programs 115A and 115B of this embodiment reset each program of the other system to the reset arbitration circuit 15 when receiving the reset necessity output from the diagnosis (risk map comparison) program (113A and 113B). A reset signal is output.
  • the reset arbitration circuit 15 performs control to reset (restart) each other program in accordance with the reset signal.
  • FIG. 18 is a first system configuration diagram in the vehicle control system according to the fifth embodiment.
  • FIG. 19 is a second system configuration diagram in the vehicle control system according to the fifth embodiment.
  • the vehicle control system 1004 has an OS 120A operating on the CPU 10A.
  • the first control system in which the applications of the vehicle control program 114A and the other system reset program 115A operate is configured, the object recognition / motion prediction program 111B, the risk map creation program 112B, the diagnosis (risk map comparison) program 113B, the track It can be set as the system configuration which constitutes the 2nd control system in which the application of generation / vehicle control program 114B and other system reset program 115B operates.
  • the hypervisor 121A that enables the virtual computer to operate is operated on the CPU 10A
  • the virtual CPUs 122A and 122B are constructed on the hypervisor 121A
  • the OS 123A is operated on the virtual CPU 122A.
  • the applications of the object recognition / motion prediction program 111A, the risk map creation program 112A, the diagnosis (risk map comparison) program 113A, the trajectory generation / vehicle control program 114A, and the other system reset program 115A run on the OS 123A.
  • the OS 123B is operated on the virtual CPU 122B together with the configuration of the first control system, and the object recognition / motion prediction program 111B and the risk map creation program 112B are executed on the OS 123B.
  • Diagnosis (risk maps Comparative) program 113B, by trajectory generator, the vehicle control program 114B, and the other system reset program 115B application operates, may be a system configuration which constitutes the second control system.
  • the vehicle control system 1004 it is possible to appropriately detect that an abnormality (for example, an oversight of a risk) has occurred in one of a plurality of systems that operate on one ECU. Can be reset.
  • an abnormality for example, an oversight of a risk
  • FIG. 20 is an overall configuration diagram of the vehicle control system according to the sixth embodiment.
  • the vehicle control system 1005 has a memory (11A, 11B: an example of a pseudo sensor information storage unit) and a pseudo sensor input (143A, 143B :) compared to the vehicle control system 1000 according to the first embodiment. (Pseudo sensor information) is stored, and a program such as an object recognition / motion prediction program (111A, 111B) executes processing using this pseudo sensor input.
  • the diagnosis process using the pseudo sensor input is executed, for example, when the vehicle is started or when the vehicle is stopped.
  • the pseudo sensor inputs (143A, 143B) are pseudo sensor inputs (sensor information) that are assumed to be input from various sensors 12 when the vehicle is in a certain situation.
  • FIG. 21 is a functional configuration diagram of the vehicle control system according to the sixth embodiment.
  • FIG. 21 describes the functional configuration in the Data Flow Diagram format.
  • the object recognition / motion prediction program (111A, 111B) (actually, a functional unit configured by the CPU (10A, 10B) executing the object recognition / motion prediction program) executes a diagnosis process using a pseudo sensor input.
  • the pseudo sensor input of the memory (11A, 11B) is received, an external object such as a preceding vehicle in the situation indicated by the pseudo sensor is recognized, and the movement of the object is predicted and output as object information. .
  • the risk map creation program (112A, 112B) (actually, a functional unit configured by the CPU (10A, 10B) executing the risk map creation program) is output by the object recognition / motion prediction program (111A, 111B).
  • the object information is used as an input to create a risk map (116A, 116B) and output the risk map to the diagnosis (risk map comparison) program (113A, 113B) of the ECU to which the user belongs (113A, 113B).
  • the risk map is output to the ECU diagnosis (risk map comparison) program (113B, 113A).
  • Diagnosis (risk map comparison) program (113A, 113B) (actually, a functional unit composed of CPUs (10A, 10B) executing the diagnosis (risk map comparison) program) is connected to the in-vehicle network 14 with respect to other ECUs.
  • a risk map transmission request for requesting transmission of a risk map created by another ECU is transmitted via
  • the diagnosis (risk map comparison) program (113A, 113B) receives a risk map transmission request from another ECU via the in-vehicle network 14, the risk map transmission request source of the own ECU (10A) is obtained. To the other ECU (10B).
  • the diagnosis (risk map comparison) program (113A, 113B) is based on the risk map based on the pseudo sensor input output from the diagnosis (risk map comparison) program of the own ECU and the diagnosis (risk map comparison) program of the other ECU. It compares with the risk map based on the acquired pseudo sensor input, detects whether or not there is a missed risk, and if there is a missed risk, it indicates that it is necessary to reset the other ECU (other system) The reset request is output to the other system reset program (115A, 115B).
  • the vehicle control system 1005 can appropriately detect an abnormality in the risk map when the vehicle is started or when the vehicle is stopped. In addition, since the risk map is created based on the pseudo sensor input, it is not affected by the abnormality in the various sensors 12.
  • FIG. 22 is an overall configuration diagram of the vehicle control system according to the seventh embodiment.
  • the memory (11A, 11B) further stores a comparison risk map (144A, 144B) with respect to the vehicle control system 1005 according to the sixth embodiment.
  • the (risk map comparison) program (113A, 113B) is a vehicle control system that performs diagnosis using a comparative risk map.
  • the comparison risk map (144A, 144B) is a risk map to be created when there is a pseudo sensor input.
  • FIG. 23 is a functional configuration diagram of the vehicle control system according to the seventh embodiment.
  • FIG. 23 describes the functional configuration in the Data Flow Diagram format.
  • the risk map creation program (112A, 112B) (actually, a functional unit configured by the CPU (10A, 10B) executing the risk map creation program) is output by the object recognition / motion prediction program (111A, 111B).
  • the object information is input to create a risk map (116A, 116B) and output the risk map to the diagnosis (risk map comparison) program (113B, 113A) of the other ECU.
  • Diagnosis (risk map comparison) program (113A, 113B) (actually, a functional unit composed of CPUs (10A, 10B) executing the diagnosis (risk map comparison) program) is connected to the in-vehicle network 14 with respect to another ECU.
  • a risk map transmission request for requesting transmission of a risk map created by another ECU is transmitted via
  • the diagnosis (risk map comparison) program (113A, 113B) receives a risk map transmission request from another ECU via the in-vehicle network 14, the risk map transmission request source of the own ECU (10A) is obtained. To the other ECU (10B).
  • the diagnosis (risk map comparison) program (113A, 113B) includes a comparison risk map (144A, 144B) in the memory (11A, 11B) and a diagnosis (risk map comparison) program (113B, 113A) of the other ECU.
  • a comparison risk map 144A, 144B
  • a diagnosis (risk map comparison) program 113B, 113A
  • the necessary reset is output to the other system reset program (115A, 115B).
  • FIG. 24 is a flowchart of the diagnostic process according to the seventh embodiment.
  • the same parts as those in the diagnosis process according to the first embodiment are denoted by the same reference numerals, and redundant description is omitted.
  • the diagnosis (risk map comparison) program 113A compares the comparison risk map 144A in the memory 11A with the acquired risk map 116B generated by the ECU 1B, and whether or not there is a risk overlook in the risk map created by the ECU 1B. Is detected (step S321).
  • the subsequent processing is the same as the diagnostic processing according to the first embodiment.
  • an accurate comparison risk map corresponding to a pre-stored pseudo sensor input is compared with a risk map acquired from another ECU, so that an abnormality in the risk map is detected.
  • the reliability of can be increased.
  • any one of the above embodiments may be combined.
  • the created risk map is transmitted to another ECU.
  • You may make it transmit a risk map.
  • the ECU is reset as the abnormality handling process.
  • the present invention is not limited to this, and the operation of the ECU may be stopped, for example.
  • part or all of the processing performed by the CPU may be performed by a dedicated hardware circuit.
  • the program in the above embodiment may be installed from a program source.
  • the program source may be a program distribution server or a storage medium (for example, a portable storage medium).

Landscapes

  • Engineering & Computer Science (AREA)
  • Automation & Control Theory (AREA)
  • Transportation (AREA)
  • Mechanical Engineering (AREA)
  • Human Computer Interaction (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Mathematical Physics (AREA)
  • Traffic Control Systems (AREA)
  • Control Of Driving Devices And Active Controlling Of Vehicle (AREA)

Abstract

車両の自動運転の制御に関わる異常を容易且つ適切に診断できるようにする。車両制御システム（１０００）において、車両の周囲の物体に関するセンサ情報に基づいて、車両の自動運転制御に用いるための車両の移動時のリスクに関するリスク情報を生成する複数のリスク情報生成部（リスクマップ作成プログラム１１２Ａ，１１２Ｂを実行するＣＰＵ１０Ａ，１０Ｂ）を備え、複数のリスク情報生成部により生成された複数のリスク情報に基づいて、生成されたリスク情報に異常が発生しているか否かを診断する診断部（診断（リスクマップ比較）プログラム１１３Ａ，１１３Ｂを実行するＣＰＵ１０Ａ，１０Ｂ）を備えるように構成する。

Description

異常診断システム及び異常診断方法
　本発明は、車両の自動運転の制御に関わる異常を診断する異常診断システム等に関する。
　近年、車両の自動運転を行うために自動運転用ＥＣＵ（電子制御装置）が開発されている。自動運転用ＥＣＵの異常を診断する診断方法としては、例えば、特許文献１に記載された方法がある。特許文献１に記載された方法では、メインＥＣＵと、サブＥＣＵとに演算部と故障検出部とを備え、演算部が算出した操作量の結果を故障検出部が監視する。そして、演算結果の操作量の変化量を故障検出部が監視し、変化量があらかじめ定めた範囲を超えた時に、ＥＣＵの故障と判断している。また、メインＥＣＵと、サブＥＣＵとの操作量の演算結果が不一致となったときに故障と判断している。
　一方、自動運転用ＥＣＵに関する技術としては、操舵角などの演算を行う前に、自車が通行すべき軌道を決定するためにリスクマップを生成する方法が知られている。リスクマップは、例えば、自車が進みうる各地点と、自車がその地点に存在した際のリスクを数値化したリスクレベルとを対応づけて平面上に表したマップのことをいう。
特開２０１７－１９６９６５号公報
　自動運転の制御は複雑度を増しており、単純な操作量の変化だけでは自動運転用ＥＣＵの制御の異常と判断がつかない場合がある。例えば、自車が片側二車線の路肩側を走行中に、路肩に駐停車した別の車両をよける際を想定すると、中央線側に多少はみ出すだけで回避できると考えられる。車両が通り得る軌道としては、中央線側の車線に車線変更する軌道や、車線変更しないではみ出して回避する軌道が考えられる。また、中央線側の車線に車線変更するとした場合にあっても、車線変更を行うタイミングが複数あり、複数の軌道が考えられる。この場合においては、操作量が変化したとしても、異常ではない。
　このように、自動運転用ＥＣＵの制御が異常であるか否かを判定することは困難である。ここで、自動運転用ＥＣＵの制御の異常は、ＥＣＵ自体に起因する異常、ＥＣＵの処理に起因する異常、ＥＣＵに入力されるデータに起因する異常等を含む。
　本発明は、上記事情に鑑みなされたものであり、その目的は、車両の自動運転の制御に関わる異常を容易且つ適切に診断することのできる技術を提供することにある。
　上記目的を達成するため、一観点に係る異常診断システムは、車両の周囲の物体に関するセンサ情報に基づいて、車両の自動運転制御に用いるための車両の移動時のリスクに関するリスク情報を生成するリスク情報生成部を備える異常診断システムであって、リスク情報検出部を複数備え、複数のリスク情報生成部により生成された複数のリスク情報に基づいて、生成されたリスク情報に異常が発生しているか否かを診断する診断部を備える。
　本発明によれば、車両の自動運転の制御に関わる異常を容易且つ適切に診断することのできる技術を提供することにある。
図１は、第１実施形態に係る車両制御システムの全体構成図である。 図２は、第１実施形態に係る車両制御システムにおける機能構成図である。 図３は、第１実施形態に係る診断処理のフローチャートである。 図４は、第１実施形態に係る自車の進行方向の状況を示す図である。 図５は、第１実施形態に係るリスクマップ及びリスクの見逃しを説明する図である。 図６は、第１実施形態の変形例に係る診断処理のフローチャートである。 図７は、第２実施形態に係る車両制御システムの全体構成図である。 図８は、第２実施形態に係るリスクマップ抽出処理のフローチャートである。 図９は、第２実施形態に係る診断処理のフローチャートである。 図１０は、第３実施形態に係る車両制御システムの全体構成図である。 図１１は、第３実施形態に係るリスクマップ抽出処理のフローチャートである。 図１２は、第３実施形態に係る診断処理のフローチャートである。 図１３、第４実施形態に係る車両制御システムの全体構成図である。 図１４は、第４実施形態に係る車両制御システムにおける機能構成図である。 図１５は、第４実施形態に係る見逃しリスクリスト及び異常のあるＥＣＵの決定方法を説明する図である。 図１６は、第４実施形態に係る診断処理のフローチャートである。 図１７は、第５実施形態に係る車両制御システムにおける機能構成図である。 図１８は、第５実施形態に係る車両制御システムにおける第１のシステム構成図である。 図１９は、第５実施形態に係る車両制御システムにおける第２のシステム構成図である。 図２０、第６実施形態に係る車両制御システムの全体構成図である。 図２１は、第６実施形態に係る車両制御システムにおける機能構成図である。 図２２、第７実施形態に係る車両制御システムの全体構成図である。 図２３は、第７実施形態に係る車両制御システムにおける機能構成図である。 図２４は、第７実施形態に係る診断処理のフローチャートである。
　いくつかの実施形態について、図面を参照して説明する。なお、以下に説明する実施形態は特許請求の範囲に係る発明を限定するものではなく、また実施形態の中で説明されている諸要素及びその組み合わせの全てが発明の解決手段に必須であるとは限らない。
　また、以下の説明では、「プログラム」を動作主体として処理を説明する場合があるが、プログラムは、プロセッサ（例えばＣＰＵ（Central　Processing　Unit））によって実行されることで、定められた処理を、適宜に記憶資源（例えばメモリ）及び／又は通信インターフェース装置（例えばポート）を用いながら行うため、処理の主体がプロセッサとされても良い。プログラムを動作主体として説明された処理は、プロセッサを含む装置が行う処理としてもよい。また、プロセッサが行う処理の一部又は全部を行う専用のハードウェア回路を含んでもよい。コンピュータプログラムは、プログラムソースから装置にインストールされてもよい。プログラムソースは、例えば、プログラム配布サーバ、又は、計算機が読み取り可能な非一時的記録メディアであってもよい。
　まず、第１実施形態について説明する。
　図１は、第１実施形態に係る車両制御システムの全体構成図である。
　異常診断システムの一例としての車両制御システム１０００は、自動車等の車両に搭載されるシステムであって、各種センサ１２と、各種アクチュエータ１３と、複数のＥＣＵ（電子制御装置）１Ａ，１Ｂと、リセット調停回路１５とを備える。ＥＣＵ１Ａと、ＥＣＵ１Ｂとは、車載ネットワーク１４を介して通信可能に接続されている。車載ネットワーク１４は、Ｅｔｈｅｒｎｅｔ（登録商標）、ＣＡＮ－ＦＤ（ＣＡＮ　ｗｉｔｈ　Ｆｌｅｘｉｂｌｅ　Ｄａｔａ－Ｒａｔｅ）等の任意の通信ネットワークでよい。
　各ＥＣＵ（１Ａ，１Ｂ）には、各種センサ１２と、各種アクチュエータ１３と、リセット調停回路１５とが接続されている。
　各種センサ１２は、レーダー、カメラ、ＧＰＳセンサなどの車両の周辺環境の情報を取り込むための１以上のセンサを含む。また、各種センサ１２は、地図情報を取り込むためのセンサ、車速や操舵角など自車両の情報を取り込むためのセンサを含んでもよい。各種センサ１２は、検出したセンサ情報をＥＣＵ（１Ａ，１Ｂ）に出力する。各種センサ１２においては、全てのセンサ情報について、共通のセンサからＥＣＵ１ＡとＥＣＵ１Ｂとにセンサ情報を出力するようにしてもよく、全てのセンサ情報について、同一の機能を有する異なる個体のセンサからＥＣＵ１ＡとＥＣＵ１Ｂとのそれぞれにセンサ情報を出力するようにしてもよく、また、センサ情報のうちの一部のセンサ情報のみについて、同一の機能を有する異なる個体のセンサからＥＣＵ１ＡとＥＣＵ１Ｂとのそれぞれにセンサ情報を出力し、残りのセンサ情報については共通のセンサからＥＣＵ１ＡとＥＣＵ１Ｂとにセンサ情報を出力するようにしてもよい。
　各種アクチュエータ１３は、車両の走行を操作するためのアクセル、ブレーキ、ステアリング等を操作するための１以上のアクチュエータを含む。各種アクチュエータ１３は、ＥＣＵ１Ａ又はＥＣＵ１Ｂから入力される制御情報に基づいて、車両の走行を制御する。
　ＥＣＵ１Ａ（１Ｂ）は、ＣＰＵ１０Ａ（１０Ｂ）と、メモリ１１Ａ（１１Ｂ）とを含む。ＣＰＵ１０Ａ（１０Ｂ）は、メモリ１１Ａ（１１Ｂ）に格納されているプログラムに従って各種処理を実行する。メモリ１１Ａ（１１Ｂ）は、例えば、ＲＡＭ（ＲＡＮＤＯＭ　ＡＣＣＥＳＳ　ＭＥＭＯＲＹ）であり、ＣＰＵ１０Ａ（１０Ｂ）で実行されるプログラムや、必要な情報を記憶する。
　メモリ１１Ａ（１１Ｂ）は、物体認識・動き予測プログラム１１１Ａ（１１１Ｂ）、リスクマップ作成プログラム１１２Ａ（１１２Ｂ）、診断（リスクマップ比較）プログラム１１３Ａ（１１３Ｂ）、軌道生成・車両制御プログラム１１４Ａ（１１４Ｂ）、及び他系リセットプログラム１１５Ａ（１１５Ｂ）、リスクマップ１１６Ａ（１１６Ｂ）を記憶する。各プログラムの機能については、後述する。
　なお、以降の説明では、便宜的にプログラムを動作主体として説明することもあるが、実際の実行主体は、プログラムを実行するＣＰＵ（１０Ａ，１０Ｂ）である。
　なお、ＥＣＵ１Ａと、ＥＣＵ１Ｂとの各構成は、同一の構成であっても、同様な構成であってもよい。
　リスクマップ（１１６Ａ，１１６Ｂ）は、リスク情報の一例であり、自車両（自車という）が進みうる各地点（例えば、前進時における自車の前方の各地点）と、自車がその地点に存在したとした際におけるリスクを数値化した値（リスクレベル）とを対応付けて平面上に表したマップである。
　リセット調停回路１５は、各ＥＣＵ（１Ａ，１Ｂ）からリセット要求（リセット信号）を受け付け、他方のＥＣＵ（他系）にリセットをかける処理を行う。リセット調停回路１５は、一方（例えば、ＥＣＵ１Ａ）からのリセット要求を受け付けてから、他方（例えば、ＥＣＵ１Ｂ）に対してリセットをかけるまでの間に、他方（すなわち、ＥＣＵ１Ｂ）からリセット要求を受け取った場合には、所定の優先順位に従って、どちらかのＥＣＵにリセットをかけるか決定し、決定したＥＣＵに対してリセットをかける。
　次に、車両制御システム１０００における機能構成図を説明する。
　図２は、第１実施形態に係る車両制御システムにおける機能構成図である。図２は、機能構成をＤａｔａ　Ｆｌｏｗ　Ｄｉａｇｒａｍ形式で記載している。
　物体認識・動き予測プログラム（１１１Ａ，１１１Ｂ）（実際には、物体認識・動き予測プログラムを実行するＣＰＵ（１０Ａ，１０Ｂ）により構成される機能部）は、各種センサ１２からのセンサ入力（センサ情報）を受け付け、先行車などの外界の対象物を認識し、その対象物の動きを予測して物体情報として出力する。
　リスクマップ作成プログラム（１１２Ａ，１１２Ｂ）（実際には、リスクマップ作成プログラムを実行するＣＰＵ（１０Ａ，１０Ｂ）により構成される機能部：リスク情報生成部の一例）は、物体認識・動き予測プログラム（１１１Ａ，１１１Ｂ）により出力された物体情報を入力として、リスクマップ（１１６Ａ，１１６Ｂ）を作成し、自身が所属するＥＣＵ（自ＥＣＵ）の診断（リスクマップ比較）プログラム（１１３Ａ，１１３Ｂ）にリスクマップを出力するとともに、他方のＥＣＵの診断（リスクマップ比較）プログラム（１１３Ｂ，１１３Ａ）にリスクマップを出力する。例えば、リスクマップ作成プログラム１１２Ａを実行するＣＰＵ１０Ａにより構成される機能部が第１のリスク情報生成部であり、リスクマップ作成プログラム１１２Ｂを実行するＣＰＵ１０Ｂにより構成される機能部が第２のリスク情報生成部である。
　診断（リスクマップ比較）プログラム（１１３Ａ，１１３Ｂ）（実際には、診断（リスクマップ比較）プログラムを実行するＣＰＵ（１０Ａ，１０Ｂ）により構成される機能部：診断部の一例）は、他ＥＣＵに対して車載ネットワーク１４を介して他ＥＣＵで作成されたリスクマップの送信を要求するリスクマップ送信要求を送信する。また、診断（リスクマップ比較）プログラム（１１３Ａ，１１３Ｂ）は、他ＥＣＵから車載ネットワーク１４を介してリスクマップ送信要求を受信した場合には、自ＥＣＵ（１０Ａ）のリスクマップをリスクマップ送信要求元の他ＥＣＵ（１０Ｂ）に送信する。また、診断（リスクマップ比較）プログラム（１１３Ａ，１１３Ｂ）は、自ＥＣＵのリスクマップ作成プログラム（１１２Ａ，１１２Ｂ）が出力したリスクマップと、他方のＥＣＵの診断（リスクマップ比較）プログラム（１１３Ｂ，１１３Ａ）から取得したリスクマップとを比較し、リスクマップに異常があるか否か（例えば、リスクの見逃しがないか否か）を診断し、異常がある場合（ここでは、リスクの見逃しがある場合）には、他ＥＣＵ（他系）の異常に対する対処処理（異常対処処理：例えば、他系のＥＣＵをリセットする処理）が必要があることを示すリセット要を、他系リセットプログラム（１１５Ａ，１１５Ｂ）に出力する。
　軌道生成・車両制御プログラム（１１４Ａ，１１４Ｂ）（実際には、軌道生成・車両制御プログラムを実行するＣＰＵ（１０Ａ，１０Ｂ）により構成される機能部）は、自ＥＣＵのリスクマップ作成プログラム（１１２Ａ、１１２Ｂ）により出力されたリスクマップから自車の軌道を生成し、生成した軌道上を自車が走行するように各種アクチュエータ１３を制御するための制御情報を生成して、出力する。
　他系リセットプログラム（１１５Ａ，１１５Ｂ）（実際には、他系リセットプログラムを実行するＣＰＵ（１０Ａ，１０Ｂ）により構成される機能部：異常対処処理部の一例）は、診断（リスクマップ比較）プログラム（１１３Ａ、１１３Ｂ）から出力されたリセット要を受け取った場合には、リセット調停回路１５に他ＥＣＵをリセットするためのリセット信号を出力する。
　なお、物体認識・動き予測プログラム（１１１Ａ，１１１Ｂ）、リスクマップ作成プログラム（１１２Ａ，１１２Ｂ）、診断（リスクマップ比較）プログラム（１１３Ａ，１１３Ｂ）、軌道生成・車両制御プログラム（１１４Ａ，１１４Ｂ）、及び他系リセットプログラム（１１５Ａ,１１５Ｂ）の各プログラムについては、ＥＣＵ１１ＡとＥＣＵ１１Ｂとですべて同一のコードのプログラムとしてもよく、また、少なくともいずれか１つを機能は同じであるが、構成が異なるプログラムとしてもよい。例えば、機能が同じで構成が異なるプログラムとしては、例えば、プログラムが学習を行うことにより構成されるプログラムであれば、異なるデータを用いて学習させたプログラムとしてもよく、また、それぞれについて別のベンダにより作成されたプログラムとしてもよい。このように、ＥＣＵ間で、機能が同じであるが構成が異なるプログラムを用いることにより、一方のプログラムでの不具合を、他方のプログラムでカバーすることができ、全体としての信頼性を向上することができる。
　次に、診断処理について説明する。
　図３は、第１実施形態に係る診断処理のフローチャートである。
　診断処理は、診断（リスクマップ比較）プログラム（１１３Ａ，１１３Ｂ）をＣＰＵ（１０Ａ，１０Ｂ）が実行することにより実行される。診断処理は、例えば、異常が発生してもその対応が問題とならない時間（比較的短い時間）を周期として実行される。以下においては、ＥＣＵ１Ａの診断（リスクマップ比較）プログラム１１３Ａの処理を中心に説明するが、ＥＣＵ１Ｂの診断（リスクマップ比較）プログラム１１３Ｂの処理も同様である。
　診断（リスクマップ比較）プログラム１１３Ａは、他ＥＣＵ（ＥＣＵ１Ｂ）との間で、リスクマップを送受信する（ステップＳ１０１）。本実施形態では、診断（リスクマップ比較）プログラム１１３Ａは、ＥＣＵ１Ｂに対して車載ネットワーク１４を介してリスクマップ送信要求を送信する。この結果、ＥＣＵ１Ｂの診断（リスクマップ比較）プログラム１１３Ｂは、車載ネットワーク１４を介して、ＥＣＵ１Ｂで作成されたリスクマップを診断（リスクマップ比較）プログラム１１３Ａに送信する。これにより、診断（リスクマップ比較）プログラム１１３Ａは、他ＥＣＵ（ＥＣＵ１Ｂ）が作成したリスクマップを比較用リスクマップとして取得することとなる。なお、本実施形態の変形例として、診断（リスクマップ比較）プログラム１１３Ｂとは別に、リスクマップ送信要求に従ってリスクマップを送信する、リスクマップ送信プログラムを設ける構成でも良い。この構成では、診断（リスクマップ比較）プログラム１１３Ａと診断（リスクマップ比較）プログラム１１３Ｂとが、ステップＳ１０１において互いに待ち合わせを行う必要がなくなる。
　次いで、診断（リスクマップ比較）プログラム１１３Ａは、ＥＣＵ１Ａで生成されたリスクマップと、取得したＥＣＵ１Ｂで生成されたリスクマップとを比較し、ＥＣＵ１Ｂで作成されたリスクマップにリスクの見逃しがあるか否かを検出する（ステップＳ１０２）。ここで、リスクの見逃しとは、一のリスクマップにはリスクとして存在している（又はリスクが高い）とされているが、他のリスクマップにはリスクが存在しない（又は、リスクが低い）とされていることをいう。
　この結果、リスクの見逃しがあると検出した場合（ステップＳ１０３：Ｙ）には、診断（リスクマップ比較）プログラム１１３Ａは、比較対象である他ＥＣＵ（ここでは、ＥＣＵ１Ｂ）をリセット対象に設定したリセット要を生成し（ステップＳ１０５）、他系リセットプログラム１１５Ａを起動してリセット要を渡し（ステップＳ１０６）、処理を終了する。ここで、起動された他系リセットプログラム１１５Ａは、リセット要に基づいて、他ＥＣＵをリセット対象としたリセット信号をリセット調停回路１５に送信する。この結果、リセット信号を受け取ったリセット調停回路１５は、受信したリセット信号に基づいて、ＥＣＵをリセットする処理を実行する。
　一方、リスクの見逃しがないと判定した場合（ステップＳ１０３：Ｎ）には、診断（リスクマップ比較）プログラム１１３Ａは、処理を終了する。
　次に、診断処理におけるステップＳ１０２のリスクマップの比較について説明する。
　図４は、第１実施形態に係る自車の進行方向の状況を示す図である。
　ここで、自車４０１は、図４に示すように、路肩４０２と中央線４０３とで区切られた右カーブに進入しようとしており、自車４０１の前には、先行車４０４が走行している。
　次に、自車が図４に示す状況にある場合を例にリスクマップ及びリスクマップの比較について説明する。
　図５は、第１実施形態に係るリスクマップ及びリスクの見逃しを説明する図である。図５において、リスクマップ１１６Ａは、図４に示す状況においてＥＣＵ１Ａにより生成されたリスクマップの一例を示し、リスクマップ１１６Ｂは、図４に示す状況においてＥＣＵ１Ｂにより生成されたリスクマップの一例を示す。
　図５に示すリスクマップ１１６Ａ、１１６Ｂにおいては、各マス目が図４のそれぞれの位置に対応し、そのマス目には、その位置に自車４０１が進入したとした場合のリスクレベルが設定される。本実施形態では、リスクレベルは、０（最小）～９（最大）の値となっている。なお、図５においては、リスクレベルが０については、記載を省略して空欄としている。
　リスクマップ１１６Ａにおいては、路肩４０２の外（図面左上側）の位置は、走行不可のためリスクレベル９と設定され、中央線４０３から外（図面右下側）の位置にはリスクレベル８～９と設定されている。また、先行車４０４が減速した場合に自車４０１に接触するリスクがあるため、先行車４０４の位置およびその周辺の位置は、リスクレベル３～６に設定されている。なお、各位置のリスクレベルの設定は、リスクマップ作成プログラム１１２Ａによって行われている。
　一方、リスクマップ１１６Ｂにおいては、先行車４０４の位置およびその周辺の位置がリスクレベル０となっている（点線にかかるマス目の部分）。ここで、リスクマップ１１６Ａと１１６Ｂとは、正常であれば、同一又はほぼ同一となっているはずであるが、何らかの異常が発生した場合には、異なった状態となる。
　図５に示すリスクマップ１１６Ａとリスクマップ１１６Ｂとがある場合には、診断（リスクマップ比較）プログラム１１３Ａは、リスクマップの比較によって、リスクマップ１１６Ｂは、点線にかかるマス目のリスクを見逃していると判定する。すなわち、診断（リスクマップ比較）プログラム１１３Ａを実行するＣＰＵ１０Ａは、ＥＣＵ１Ｂで生成されたリスクマップ１１６Ｂに異常が発生していると診断する。なお、この場合においては、リスクマップ１１６Ｂの生成に関与した各要素の何れか（例えば、ＥＣＵ１Ｂにセンサ情報を入力したセンサや、物体認識・動き予測プログラム１１１Ｂ、リスクマップ生成プログラム１１２Ｂ、又はＥＣＵ１Ｂ自体）の異常が発生していることがわかり、このままでは、適切な自動制御が行われない可能性がある。なお、リスクを見逃しているか否かの判定は、例えば、同じ位置を示すマス目の一方のリスクレベルが０であり、他方のリスクレベルが０ではない場合にリスクを見逃していると判定してもよい。
　上記した診断処理によると、ステップＳ１０２でリスクの見逃しが検出されて、他ＥＣＵが作成したリスクマップにリスクの見逃しがあった場合には、ステップＳ１０５、及びＳ１０６でリスクを見逃した他ＥＣＵにリセットをかけることができる。これにより、リスクを見逃したリスクマップを適切に検出でき、このリスクマップに基づいた車両制御が行われることを適切に防止することができ、運転制御における安全性を高めることができる。
　上記第１実施形態において、以下のような変形例が考えられる。
　例えば、上記実施形態においては、ステップＳ１０２において、２枚のリスクマップを比較する際に、同一の位置に対応する一方のリスクマップのマス目の値が０であって、他のリスクマップのマス目の値が０と異なるかを比較することにより、リスクの見逃しがあったか否かを判定するようにしていたが、例えば、あらかじめ定めた閾値よりもリスクレベルが高い領域をリスクありとし、その閾値と同一又は異なる値の閾値よりもリスクレベルが低い領域をリスクなしとし、一方のリスクマップにおいてリスクありとなっている位置が、他方のリスクマップにおいてリスクなしとなっている場合に、リスクの見落としがあったと判定してもよい。このような判定を行うようにすると、ノイズによるリスクレベルの誤検出に起因して他方に見逃しありとしてしまう判定誤りを回避することができる。
　また、上記した図３に示す診断処理に代えて、以下に示す診断処理を実行するようにしてもよい。
　図６は、第１実施形態の変形例に係る診断処理のフローチャートである。なお、図６においては、図３の診断処理と同様な部分については、同一の符号を付し、重複する説明を省略する。
　図６に示す変形例に係る診断処理においては、ステップＳ１０３がＮの次にステップＳ１０９を含み、ステップＳ１０３のＹと、ステップＳ１０５との間に、ステップＳ１０７及びステップＳ１０８を含む。
　ステップＳ１０３で見逃しありと判定された場合（ステップＳ１０３：Ｙ）には、診断（リスクマップ比較）プログラム１１３Ａは、所定の時点から見逃しありと判定された回数（判定回数）をカウントアップ（１加算）し（ステップＳ１０７）、判定回数が一定回数以上であるか否かを判定する（ステップＳ１０８）。この結果、判定回数が一定回数以上でない場合（ステップＳ１０８：Ｎ）には、診断（リスクマップ比較）プログラム１１３Ａは、他ＥＣＵをリセットする後続の処理（ステップＳ１０５，Ｓ１０６）を実行せずに処理を終了する。
　一方、判定回数が一定回数以上である場合（ステップＳ１０８：Ｙ）には、診断（リスクマップ比較）プログラム１１３Ａは、他ＥＣＵをリセットする後続の処理（ステップＳ１０５，Ｓ１０６）を実行する。なお、見逃しありと判定されなかった場合（ステップＳ１０３：Ｎ）には、異常がなかったことを意味するので、診断（リスクマップ比較）プログラム１１３Ａは、判定回数を０にクリアし（ステップＳ１０９）、処理を終了する。
　この処理を実行することにより、ＥＣＵ間のリスクを検出するタイミングの軽微なずれに起因するリスクの見逃しに対する誤判定を回避することができる。
　なお、本実施形態においては、物体認識・動き予測プログラム（１１１Ａ、１１１Ｂ）をそれぞれ１つのプログラムとして、リスクマップ作成プログラム（１１２Ａ、１１２Ｂ）を実行するＥＣＵ（１Ａ、１Ｂ）内で実行するとしているが、本発明はこれに限られず、例えば、物体認識・動き予測プログラム（１１１Ａ、１１１Ｂ）を複数のプログラムに分割してもよく、また、別のＥＣＵや、複数のＥＣＵで実行するようにしてもよい。また、軌道生成・車両制御プログラム（１１４Ａ、１１４Ｂ）についても同様に、複数のプログラムに分割してもよく、また、別のＥＣＵや、複数のＥＣＵで実行するようにしてもよい。
　次に、第２実施形態について説明する。
　図７は、第２実施形態に係る車両制御システムの全体構成図である。
　第２実施形態に係る車両制御システム１００１は、第１実施形態に係る車両制御システム１０００に対して、メモリ（１１Ａ，１１Ｂ）がさらに送信用リスクマップ（１１７Ａ、１１７Ｂ：部分リスクマップの一例）、リスクマップ比較条件（静的）（１１８Ａ、１１８Ｂ）、及びリスクマップ抽出プログラム（１１９Ａ、１１９Ｂ）を格納するようにした車両制御システムである。ここで、リスクマップ抽出プログラム（１１９Ａ、１１９Ｂ）をＣＰＵ（１０Ａ，１０Ｂ）が実行することにより構成される機能部が、抽出部の一例である。
　送信用リスクマップ（１１７Ａ、１１７Ｂ）は、他ＥＣＵからのリスクマップ送信要求に従って送信するリスクマップであり、リスクマップ（１１６Ａ、１１６Ｂ）から抽出された一部の情報（リスクマップの一部の座標に対する、座標と、その座標に対応するリスクレベルとの組の集合）である。
　リスクマップ比較条件（静的）（１１８Ａ、１１８Ｂ）は、リスクマップ（１１６Ａ、１１６Ｂ）から送信用リスクマップ（１１７Ａ、１１７Ｂ）を抽出する条件である。リスクマップ比較条件（静的）（１１７Ａ、１１７Ｂ）は、例えば、リスクレベルが一定の閾値以上であること（高リスク条件）、自車の位置からの距離が一定以下であること（近い順条件）、前後左右の位置に対してリスクレベルが高いこと（近傍比較条件）のいずれか１つ以上としてもよい。また、送信用リスクマップとして抽出される位置として、高リスク条件に該当する位置と、近い順条件に該当する位置とのそれぞれのリスクレベルにそれぞれ重みをかけて各位置毎に加算し、加算した結果が上位Ｎ個（Ｎは、任意の整数）に属する位置としてもよい。
　図８は、第２実施形態に係るリスクマップ抽出処理のフローチャートである。
　リスクマップ抽出処理は、リスクマップ抽出プログラム（１１９Ａ、１１９Ｂ）をＣＰＵ（１０Ａ，１０Ｂ）が実行することにより実行される。リスクマップ抽出処理は、例えば、診断処理を実行する前に実行される。以下においては、ＥＣＵ１Ａのリスクマップ抽出プログラム１１９Ａの処理について説明するが、ＥＣＵ１Ｂのリスクマップ抽出プログラム１１９Ｂの処理も同様である。
　リスクマップ抽出プログラム１１９Ａは、リスクマップ（１１６Ａ、１１６Ｂ）を参照し、リスクマップ比較条件（１１７Ａ、１１７Ｂ）に合致する情報を抽出し（ステップＳ２０１）、抽出した情報を送信用リスクマップ（１１８Ａ、１１８Ｂ）に出力する（ステップＳ２０２）。
　次に、診断処理について説明する。
　図９は、第２実施形態に係る診断処理のフローチャートである。なお、図９においては、第１実施形態に係る診断処理と同様な部分については、同一の符号を付し、重複する説明を省略する。
　診断（リスクマップ比較）プログラム１１３Ａは、他ＥＣＵ（ＥＣＵ１Ｂ）の送信用リスクマップ１１７Ｂを比較対象のリスクマップとして送受信する（ステップＳ３０１）。本実施形態では、診断（リスクマップ比較）プログラム１１３Ａは、ＥＣＵ１Ｂに対して車載ネットワーク１４を介してリスクマップ送信要求を送信する。この結果、ＥＣＵ１Ｂの診断（リスクマップ比較）プログラム１１３Ｂは、車載ネットワーク１４を介して、ＥＣＵ１Ｂで作成された送信用リスクマップ１１７Ｂを診断（リスクマップ比較）プログラム１１３Ａに送信することとなる。ここで、診断（リスクマップ比較）プログラム（１１３Ａ，１１３Ｂ）をＣＰＵ（１０Ａ，１０Ｂ）が実行することにより構成される機能部が、送信部の一例である。
　次いで、診断（リスクマップ比較）プログラム１１３Ａは、ＥＣＵ１Ａで生成された送信用リスクマップ１１７Ａと、取得したＥＣＵ１Ｂで生成された送信用リスクマップ１１７Ｂとを比較し、ＥＣＵ１Ｂで作成された送信用リスクマップにリスクの見逃しがあるか否かを検出する（ステップＳ３０２）。以降の処理は、第１実施形態に係る診断処理と同様である。
　上記診断処理によると、リスクマップ１１６Ｂよりもデータ量が少ない送信用リスクマップ１１７Ｂを車載ネットワーク１４を介して送信するので、通信時間を短縮することができるとともに、車載ネットワーク１４に対する負荷を軽減することができる。また、ステップＳ３０２のリスクマップの比較処理においては、比較する位置が少なくて済むので、処理時間を短縮でき、ＥＣＵにおける処理負荷を軽減できる。
　次に、第３実施形態について説明する。
　図１０は、第３実施形態に係る車両制御システムの全体構成図である。
　第３実施形態に係る車両制御システム１００２は、第２実施形態に係る車両制御システム１００１に対して、リスクマップ比較条件（静的）（１１８Ａ，１１８Ｂ）に代えて、リスクマップ比較条件（静的・動的）（１４０Ａ，１４０Ｂ）を備え、送信用リスクマップ（１１７Ａ，１１７Ｂ）に代えて、送信用リスクマップ（履歴付き）（１４１Ａ，１４１Ｂ）を備え、リスクマップ抽出プログラム（１１９Ａ，１１９Ｂ）に代えてリスクマップ抽出プログラム（１４２Ａ，１４２Ｂ）を備えるようにした車両制御システムである。
　リスクマップ比較条件（静的・動的）（１４０Ａ，１４０Ｂ）は、リスクマップ（１１６Ａ，１１６Ｂ）から送信用リスクマップ（履歴付き）（１４１Ａ，１４２Ｂ）を抽出する条件である。リスクマップ比較条件（静的・動的）（１４０Ａ，１４０Ｂ）は、静的な条件として、リスクマップ比較条件（静的）（１１８Ａ，１１８Ｂ）と同じ条件を含み、更にリスクマップ比較条件（動的）を含む。
　リスクマップ比較条件（動的）は、リスクマップ比較条件（静的）で検出された結果の履歴に基づいて適用する条件であり、接近速度（対応するリスクの移動速度）が一定以上であること、出現の新しさがあること（直近の一定回数以下の抽出では検出されていないこと）等がある。
　図１１は、第３実施形態に係るリスクマップ抽出処理のフローチャートである。
　リスクマップ抽出処理は、リスクマップ抽出プログラム（１４２Ａ，１４２Ｂ）をＣＰＵ（１０Ａ，１０Ｂ）が実行することにより実行される。リスクマップ抽出処理は、例えば、診断処理を実行する前に実行される。
　リスクマップ抽出プログラム１４２Ａは、リスクマップ（１１６Ａ，１１６Ｂ）を参照し、リスクマップ比較条件（動的・静的）（１４０Ａ，１４０Ｂ）の静的条件に従って、該当する各座標の情報を抽出し、その後、静的条件により抽出された各座標の情報の履歴に対して、動的条件に従って、該当する各座標の情報を抽出し（ステップＳ２１１）、動的条件により抽出された情報の履歴と、動的条件により抽出された情報を送信用リスクマップ（履歴付）（１４１Ａ，１４１Ｂ）に出力する（ステップＳ２１２）。
　このリスクマップ抽出処理によると、より重要度の高いと考えられる座標に絞った送信用リスクマップを作成でき、送信用リスクマップのデータ量をより低減することができる。
　次に、診断処理について説明する。
　図１２は、第３実施形態に係る診断処理のフローチャートである。なお、図１２においては、第１実施形態に係る診断処理と同様な部分については、同一の符号を付し、重複する説明を省略する。
　診断（リスクマップ比較）プログラム１１３Ａは、他ＥＣＵ（ＥＣＵ１Ｂ）の送信用リスクマップ（履歴付）１４１Ｂのうちの動的条件により検出された送信用リスクマップを比較対象のリスクマップとして送受信する（ステップＳ３５１）。本実施形態では、診断（リスクマップ比較）プログラム１１３Ａは、ＥＣＵ１Ｂに対して車載ネットワーク１４を介してリスクマップ送信要求を送信する。この結果、ＥＣＵ１Ｂの診断（リスクマップ比較）プログラム１１３Ｂは、車載ネットワーク１４を介して、ＥＣＵ１Ｂで作成された送信用リスクマップ（履歴付）１４１Ｂの動的条件により検出された送信用リスクマップを診断（リスクマップ比較）プログラム１１３Ａに送信することとなる。
　次いで、診断（リスクマップ比較）プログラム１１３Ａは、ＥＣＵ１Ａで生成された送信用リスクマップ（履歴付）１４１Ａのうちの動的条件により検出された送信用リスクマップと、取得したＥＣＵ１Ｂで生成された送信用リスクマップ（履歴付）１４１Ｂのうちの動的条件により検出された送信用リスクマップとを比較し、ＥＣＵ１Ｂで作成された送信用リスクマップ（履歴付）１４１Ｂの送信用リスクマップにリスクの見逃しがあるか否かを判定する（ステップＳ３５２）。以降の処理は、第１実施形態に係る診断処理と同様である。
　上記診断処理によると、送信用リスクマップ１１７Ｂよりもデータ量が少ない送信用リスクマップ（履歴付）１４１Ｂのうちの動的条件により検出された送信用リスクマップを、車載ネットワーク１４を介して送信するので、通信時間を短縮することができるとともに、車載ネットワーク１４に対する負荷を軽減することができる。また、ステップＳ３５２のリスクマップの比較処理においては、比較する位置が少なくて済むので、処理時間を短縮でき、処理負荷を軽減できる。
　次に、第４実施形態について説明する。
　図１３は、第４実施形態に係る車両制御システムの全体構成図である。
　第４実施形態に係る車両制御システム１００３は、第１実施形態に係る車両制御システム１０００に対して、更にＥＣＵ１Ｃを備えるようにするとともに、各ＥＣＵ（１Ａ，１Ｂ，１Ｃ）のメモリ（１１Ａ，１１Ｂ，１１Ｃ）に、見逃しリスクリスト（１４３Ａ，１４３Ｂ，１４３Ｃ）をさらに格納させるようにし、診断（リスクマップ比較）プログラム（１１３Ａ，１１３Ｂ，１１３Ｃ）の処理を変更した車両制御システムである。
　ＥＣＵ１Ｃは、ＥＣＵ１Ａと同様な構成となっている。なお、以下は、第１実施形態に係る車両制御システム１０００と異なる点を中心に説明する。
　図１４は、第４実施形態に係る車両制御システムにおける機能構成図である。
　第４実施形態に係る車両制御システム１００３の機能構成は、第１実施形態に係る車両制御システム１０００の機能構成に対して、ＥＣＵ１Ａと同様な構成のＥＣＵ１Ｃの構成をさらに備えた機能構成となっている。なお、車両制御システム１００３においては、ＥＣＵ１Ａのリスクマップ作成プログラム１１２Ａで作成されたリスクマップ１１６Ａは、ＥＣＵ１Ｂの診断（リスクマップ比較）プログラム１１３Ｂに送信され、ＥＣＵ１Ｂのリスクマップ作成プログラム１１２Ｂで作成されたリスクマップ１１６Ｂは、ＥＣＵ１Ｃの診断（リスクマップ比較）プログラム１１３Ｃに送信され、ＥＣＵ１Ｃのリスクマップ作成プログラム１１２Ｃで作成されたリスクマップ１１６Ｃは、ＥＣＵ１Ａの診断（リスクマップ比較）プログラム１１３Ａに送信される。
　次に、見逃しリスクリストと、異常のあるＥＣＵの決定方法を説明する。
　図１５は、第４実施形態に係る見逃しリスクリスト及び異常のあるＥＣＵの決定方法を説明する図である。
　見逃しリスクリスト１４３Ａ，１４３Ｂ，１４３Ｃは、それぞれ図１５に示す１つの行に対応し、診断したＥＣＵの情報と、比較元のリスクマップを示す情報と、比較対象のリスクマップを示す情報と、見逃しの判定結果との情報を含む。
　ここで、ＥＣＵ１Ａの診断（リスクマップ比較）プログラム１１３Ａは、ＥＣＵ１Ａと、ＥＣＵ１Ｃのリスクマップとを比較して見逃しがあるか否かを判定する。また、ＥＣＵ１Ａの診断（リスクマップ比較）プログラム１１３Ａは、他のＥＣＵ１Ｂ，ＥＣＵ１Ｃから見逃しリスクの判定結果である見逃しリスクリストを取得する。次いで、ＥＣＵ１Ａの診断（リスクマップ比較）プログラム１１３Ａは、自身の判定結果と、他のＥＣＵ１Ｂ，ＥＣＵ１Ｃからの見逃しリスクリストとに基づいて、異常のあるＥＣＵ（リセット対象のＥＣＵ）を決定する。
　例えば、図１５に示すように、ＥＣＵ１Ａのみが比較対象のＥＣＵ（ＥＣＵ１Ｃ）に見逃しがあると判定し、他のＥＣＵ１Ｂ，ＥＣＵ１Ｃが、比較対象のＥＣＵに見逃しがないと判定した場合には、ＥＣＵ１Ａの診断（リスクマップ比較）プログラム１１３Ａは、自身の判定結果と、他のＥＣＵ１Ｂ，ＥＣＵ１Ｃからの見逃しリスクリストとに基づいて、ＥＣＵ１Ａのみが見逃しありと判定しており、少数派となるＥＣＵ１Ａが異常であると判別でき、ＥＣＵ１Ｂの診断（リスクマップ比較）プログラム１１３Ｂは、自身の判定結果と、他のＥＣＵ１Ａ，ＥＣＵ１Ｃからの見逃しリスクリストと、に基づいて、ＥＣＵ１Ａのみが見逃しありと判定しており、少数派となるＥＣＵ１Ａが異常であると判別でき、ＥＣＵ１Ｃの診断（リスクマップ比較）プログラム１１３Ｃは、自身の判定結果と、他のＥＣＵ１Ａ，ＥＣＵ１Ｂからの見逃しリスクリストとに基づいて、ＥＣＵ１Ａのみが見逃しありと判定しており、少数派となるＥＣＵ１Ａが異常であると判別できる。なお、ＥＣＵの数が４つ以上の場合には、他ＥＣＵの見逃しリスクリストを取得し、自分の判定結果と、他ＥＣＵの見逃しリスクリストとに基づいて、見逃しありと報告したＥＣＵが一定数以下の場合に、見逃しありと報告したこれらのＥＣＵをリセット対象としてもよい。
　次に、診断処理について説明する。
　図１６は、第４実施形態に係る診断処理のフローチャートである。なお、図１６においては、第１実施形態に係る診断処理と同様な部分については、同一の符号を付し、重複する説明を省略する。また、図１６は、ＥＣＵ１Ａの処理について説明するが、ＥＣＵ１Ｂ，ＥＣＵ１Ｃにおいても同様な処理が実行される。
　診断（リスクマップ比較）プログラム１１３Ａは、他ＥＣＵ（ＥＣＵ１Ｂ）のリスクリストを取得する（ステップＳ３１２）。本実施形態では、診断（リスクマップ比較）プログラム１１３Ａは、他ＥＣＵ（ＥＣＵ１Ｂ，ＥＣＵ１Ｃ）に対して車載ネットワーク１４を介して見逃しリスクリスト送信要求を送信する。この結果、他ＥＣＵの診断（リスクマップ比較）プログラム（１１３Ｂ，１１３Ｃ）は、車載ネットワーク１４を介して、ＥＣＵ（１Ｂ，１Ｃ）で作成された見逃しリスクリストを送信することとなる。
　次いで、診断（リスクマップ比較）プログラム１１３Ａは、ＥＣＵ１Ａで生成されたリスクマップ１１６Ａと、取得したＥＣＵ１Ｃで生成されたリスクマップ１１６Ｃとを比較し、ＥＣＵ１Ｃで作成されたリスクマップ１１６Ｃにリスクの見逃しがあるか否かを検出し、この検出結果と、取得した見逃しリスクリストとの内容を参照し、リスクの見逃しがあるＥＣＵを検出する（ステップＳ３１３）。
　ステップＳ１０３でリスクの見逃しありと判定された場合（Ｓ１０３：Ｙ）には、診断（リスクマップ比較）プログラム１１３Ａは、自ＥＣＵが過検出（リスクの見逃しありとの判定が少数派）であるか否か判定し（ステップＳ３１５）、自ＥＣＵが過検出であると判定した場合（ステップＳ３１５：Ｙ）には、他ＥＣＵをリセット対象とせずに処理を終了する一方、自ＥＣＵが過検出でない場合（ステップＳ３１５：Ｎ）には、処理をステップＳ１０５に進めて、リスクの見逃しをした他ＥＣＵのリセットを進める。
　一方、ステップＳ１０３でリスクの見逃しありではないと判定された場合（Ｓ１０３：Ｎ）には、診断（リスクマップ比較）プログラム１１３Ａは、過検出（リスクの見逃しありとの判定が少数派）の他ＥＣＵがあるか否かを判定し（ステップＳ３１４）、過検出の他ＥＣＵがあると判定した場合（ステップＳ３１４：Ｙ）には、診断（リスクマップ比較）プログラム１１３Ａは、過検出の他ＥＣＵをリセット対象に設定したリセット要を生成し（ステップＳ３１６）、処理をステップＳ１０６に進める一方、過検出の他ＥＣＵがないと判定した場合（ステップＳ３１４：Ｎ）には、他ＥＣＵをリセット対象とせずに処理を終了する。
　この診断処理によると、複数のＥＣＵの内の過検出を行ったリスクマップ作成プログラムを有するＥＣＵがリセット対象となる。
　次に、第５実施形態について説明する。
　図１７は、第５実施形態に係る車両制御システムの全体構成図である。
　第５実施形態に係る車両制御システム１００４は、第１実施形態に係る車両制御システム１０００における２つのＥＣＵ１Ａ、１Ｂで実行されていた機能を一つのＥＣＵ１Ａで実現するようにした車両制御システムである。すなわち、ＥＣＵ１Ａのメモリ１１Ａは、物体認識・動き予測プログラム１１１Ａ，１１１Ｂ、リスクマップ作成プログラム１１２Ａ，１１２Ｂ、診断（リスクマップ比較）プログラム１１３Ａ，１１３Ｂ、軌道生成・車両制御プログラム１１４Ａ，１１４Ｂ、及び他系リセットプログラム１１５Ａ，１１５Ｂ、リスクマップ１１６Ａ，１１６Ｂを記憶する。本実施形態の他系リセットプログラム１１５Ａ，１１５Ｂは、診断（リスクマップ比較）プログラム（１１３Ａ、１１３Ｂ）から出力されたリセット要を受け取った場合には、リセット調停回路１５に他系の各プログラムをリセットするためのリセット信号を出力する。また、リセット調停回路１５は、リセット信号に従って、他系の各プログラムをリセット（再起動）させる制御を行う。
　次に、車両制御システム１００４におけるシステム構成図について説明する。
　図１８は、第５実施形態に係る車両制御システムにおける第１のシステム構成図である。図１９は、第５実施形態に係る車両制御システムにおける第２のシステム構成図である。
　車両制御システム１００４は、図１８に示すようにＣＰＵ１０Ａ上でＯＳ１２０Ａが動作し、ＯＳ１２０Ａ上において、物体認識・動き予測プログラム１１１Ａ、リスクマップ作成プログラム１１２Ａ、診断（リスクマップ比較）プログラム１１３Ａ、軌道生成・車両制御プログラム１１４Ａ、及び他系リセットプログラム１１５Ａのアプリケーションが動作する第１の制御系を構成するとともに、物体認識・動き予測プログラム１１１Ｂ、リスクマップ作成プログラム１１２Ｂ、診断（リスクマップ比較）プログラム１１３Ｂ、軌道生成・車両制御プログラム１１４Ｂ、及び他系リセットプログラム１１５Ｂのアプリケーションが動作する第２の制御系を構成するシステム構成とすることができる。
　また、車両制御システム１００４は、図１９に示すようにＣＰＵ１０Ａ上で、仮想計算機を実現可能にするハイパバイザ１２１Ａが動作して、ハイパバイザ１２１Ａ上に仮想ＣＰＵ１２２Ａ、１２２Ｂを構築し、仮想ＣＰＵ１２２Ａ上で、ＯＳ１２３Ａを動作させ、ＯＳ１２３Ａ上において、物体認識・動き予測プログラム１１１Ａ、リスクマップ作成プログラム１１２Ａ、診断（リスクマップ比較）プログラム１１３Ａ、軌道生成・車両制御プログラム１１４Ａ、及び他系リセットプログラム１１５Ａのアプリケーションが動作することにより、第１の制御系を構成とともに、仮想ＣＰＵ１２２Ｂ上で、ＯＳ１２３Ｂを動作させ、ＯＳ１２３Ｂ上において、物体認識・動き予測プログラム１１１Ｂ、リスクマップ作成プログラム１１２Ｂ、診断（リスクマップ比較）プログラム１１３Ｂ、軌道生成・車両制御プログラム１１４Ｂ、及び他系リセットプログラム１１５Ｂのアプリケーションが動作することにより、第２の制御系を構成するシステム構成とすることもできる。
　本実施形態にかかる車両制御システム１００４によると、一つのＥＣＵ上で動作する複数の系の一方に異常（例えば、リスクの見落とし）が発生したことを適切に検出ができ、その系に対して適切にリセットを行うことができる。
　次に、第６実施形態について説明する。
　図２０は、第６実施形態に係る車両制御システムの全体構成図である。
　第６実施形態に係る車両制御システム１００５は、第１実施形態に係る車両制御システム１０００に対して、メモリ（１１Ａ，１１Ｂ：疑似センサ情報記憶部の一例）がさらに疑似センサ入力（１４３Ａ，１４３Ｂ：疑似センサ情報）を格納するようにし、この疑似センサ入力を用いて、物体認識・動き予測プログラム（１１１Ａ，１１１Ｂ）等のプログラムが処理を実行するようにした車両制御システムである。なお、本実施形態では、疑似センサ入力を用いた診断処理は、例えば、車両の始動時や、車両の停車時に実行される。
　疑似センサ入力（１４３Ａ、１４３Ｂ）は、車両が或る状況にある際に各種センサ１２から入力されると想定される疑似的なセンサ入力（センサ情報）である。
　図２１は、第６実施形態に係る車両制御システムにおける機能構成図である。図２１は、機能構成をＤａｔａ　Ｆｌｏｗ　Ｄｉａｇｒａｍ形式で記載している。
　物体認識・動き予測プログラム（１１１Ａ，１１１Ｂ）（実際には、物体認識・動き予測プログラムを実行するＣＰＵ（１０Ａ，１０Ｂ）により構成される機能部）は、疑似センサ入力を用いた診断処理を実行する時においては、メモリ（１１Ａ，１１Ｂ）の疑似センサ入力を受け付け、疑似センサが示す状況における先行車などの外界の対象物を認識し、その対象物の動きを予測して物体情報として出力する。
　リスクマップ作成プログラム（１１２Ａ、１１２Ｂ）（実際には、リスクマップ作成プログラムを実行するＣＰＵ（１０Ａ，１０Ｂ）により構成される機能部）は、物体認識・動き予測プログラム（１１１Ａ，１１１Ｂ）により出力された物体情報を入力として、リスクマップ（１１６Ａ，１１６Ｂ）を作成し、自身が所属するＥＣＵ（自ＥＣＵ）の診断（リスクマップ比較）プログラム（１１３Ａ、１１３Ｂ）にリスクマップを出力するとともに、他方のＥＣＵの診断（リスクマップ比較）プログラム（１１３Ｂ，１１３Ａ）にリスクマップを出力する。
　診断（リスクマップ比較）プログラム（１１３Ａ，１１３Ｂ）（実際には、診断（リスクマップ比較）プログラムを実行するＣＰＵ（１０Ａ，１０Ｂ）により構成される機能部）は、他ＥＣＵに対して車載ネットワーク１４を介して他ＥＣＵで作成されたリスクマップの送信を要求するリスクマップ送信要求を送信する。また、診断（リスクマップ比較）プログラム（１１３Ａ，１１３Ｂ）は、他ＥＣＵから車載ネットワーク１４を介してリスクマップ送信要求を受信した場合には、自ＥＣＵ（１０Ａ）のリスクマップをリスクマップ送信要求元の他ＥＣＵ（１０Ｂ）に送信する。また、診断（リスクマップ比較）プログラム（１１３Ａ，１１３Ｂ）は、自ＥＣＵの診断（リスクマップ比較）プログラムが出力した疑似センサ入力に基づくリスクマップと、他方のＥＣＵの診断（リスクマップ比較）プログラムから取得した疑似センサ入力に基づくリスクマップとを比較し、リスクの見逃しがないか否かを検出し、リスクの見逃しがある場合には、他ＥＣＵ（他系）をリセットする必要があることを示すリセット要を、他系リセットプログラム（１１５Ａ,１１５Ｂ）に出力する。
　本実施形態に係る車両制御システム１００５によると、車両の始動時や、車両の停車時等に適切にリスクマップの異常を検出することができる。また、疑似センサ入力に基づいてリスクマップを作成するので、各種センサ１２における異常の影響を受けることがない。
　次に、第７実施形態について説明する。
　図２２は、第７実施形態に係る車両制御システムの全体構成図である。
　第７実施形態に係る車両制御システム１００６は、第６実施形態に係る車両制御システム１００５に対して、メモリ（１１Ａ，１１Ｂ）がさらに比較用リスクマップ（１４４Ａ、１４４Ｂ）を格納するようにし、診断（リスクマップ比較）プログラム（１１３Ａ，１１３Ｂ）は、比較用リスクマップを用いて診断を行うようにした車両制御システムである。
　比較用リスクマップ（１４４Ａ、１４４Ｂ）は、疑似センサ入力があった場合に作成されるべきリスクマップである。
　図２３は、第７実施形態に係る車両制御システムにおける機能構成図である。図２３は、機能構成をＤａｔａ　Ｆｌｏｗ　Ｄｉａｇｒａｍ形式で記載している。
　リスクマップ作成プログラム（１１２Ａ，１１２Ｂ）（実際には、リスクマップ作成プログラムを実行するＣＰＵ（１０Ａ，１０Ｂ）により構成される機能部）は、物体認識・動き予測プログラム（１１１Ａ，１１１Ｂ）により出力された物体情報を入力として、リスクマップ（１１６Ａ，１１６Ｂ）を作成し、他方のＥＣＵの診断（リスクマップ比較）プログラム（１１３Ｂ，１１３Ａ）にリスクマップを出力する。
　診断（リスクマップ比較）プログラム（１１３Ａ，１１３Ｂ）（実際には、診断（リスクマップ比較）プログラムを実行するＣＰＵ（１０Ａ，１０Ｂ）により構成される機能部）は、他ＥＣＵに対して車載ネットワーク１４を介して他ＥＣＵで作成されたリスクマップの送信を要求するリスクマップ送信要求を送信する。また、診断（リスクマップ比較）プログラム（１１３Ａ，１１３Ｂ）は、他ＥＣＵから車載ネットワーク１４を介してリスクマップ送信要求を受信した場合には、自ＥＣＵ（１０Ａ）のリスクマップをリスクマップ送信要求元の他ＥＣＵ（１０Ｂ）に送信する。また、診断（リスクマップ比較）プログラム（１１３Ａ，１１３Ｂ）は、メモリ（１１Ａ，１１Ｂ）の比較用リスクマップ（１４４Ａ，１４４Ｂ）と、他方のＥＣＵの診断（リスクマップ比較）プログラム（１１３Ｂ、１１３Ａ）から取得した疑似センサ入力に基づくリスクマップとを比較し、リスクの見逃しがないか否かを検出し、リスクの見逃しがある場合には、他ＥＣＵ（他系）をリセットする必要があることを示すリセット要を、他系リセットプログラム（１１５Ａ,１１５Ｂ）に出力する。
　次に、診断処理について説明する。
　図２４は、第７実施形態に係る診断処理のフローチャートである。なお、図２４においては、第１実施形態に係る診断処理と同様な部分については、同一の符号を付し、重複する説明を省略する。
　診断（リスクマップ比較）プログラム１１３Ａは、メモリ１１Ａの比較用リスクマップ１４４Ａと、取得したＥＣＵ１Ｂで生成されたリスクマップ１１６Ｂとを比較し、ＥＣＵ１Ｂで作成されたリスクマップにリスクの見逃しがあるか否かを検出する（ステップＳ３２１）。以降の処理は、第１実施形態に係る診断処理と同様である。
　上記診断処理によると、予め記憶されている疑似センサ入力に対応する正確な比較用リスクマップと、他のＥＣＵから取得されたリスクマップとを比較するようにしているので、リスクマップの異常の検出の信頼性を高くすることができる。
　なお、本発明は、上述の実施形態に限定されるものではなく、本発明の趣旨を逸脱しない範囲で、適宜変形して実施することが可能である。
　例えば、上記いずれか複数の実施形態を組み合わせるようにしてもよい。例えば、第６実施形態又は第７実施形態においては、作成したリスクマップを他のＥＣＵに送信するようにしていたが、例えば、第２実施形態又は第３実施形態で示したように、送信用リスクマップを送信するようにしてもよい。
　また、上記実施形態では、異常対処処理として、ＥＣＵをリセットする処理としていたが、本発明はこれに限られず、例えば、ＥＣＵの動作を停止させるようにしてもよい。
　また、上記実施形態において、ＣＰＵが行っていた処理の一部又は全部を、専用のハードウェア回路で行うようにしてもよい。また、上記実施形態におけるプログラムは、プログラムソースからインストールされてよい。プログラムソースは、プログラム配布サーバ又は記憶メディア（例えば可搬型の記憶メディア）であってもよい。
　１０００，１００１，１００２，１００３，１００４，１００５，１００６…車両制御システム、１Ａ，１Ｂ，１Ｃ…ＥＣＵ、１０Ａ，１０Ｂ，１０Ｃ…ＣＰＵ、１１Ａ，１１Ｂ，１１Ｃ…メモリ、１１２Ａ，１１２Ｂ，１１２Ｃ…リスクマップ作成プログラム、１１３Ａ，１１３Ｂ，１１３Ｃ…診断（リスクマップ比較）プログラム、１１５Ａ，１１５Ｂ，１１５Ｃ…他系リセットプログラム、１１９Ａ，１１９Ｂ…リスクマップ抽出プログラム
 

Claims (10)

  1. 　車両の周囲の物体に関するセンサ情報に基づいて、前記車両の自動運転制御に用いるための前記車両の移動時のリスクに関するリスク情報を生成するリスク情報生成部を備える異常診断システムであって、
    　前記リスク情報検出部を複数備え、
    　複数の前記リスク情報生成部により生成された複数のリスク情報に基づいて、生成されたリスク情報に異常が発生しているか否かを診断する診断部を備える
    異常診断システム。
  2. 　前記リスク情報生成部は、前記リスク情報として、前記車両の周囲における複数の位置と、各位置におけるリスクレベルとの対応関係を含むリスクマップを生成する
    請求項１に記載の異常診断システム。
  3. 　複数の前記リスク情報生成部のそれぞれに対応して設けられた前記診断部を複数備え、
    　複数の前記リスク情報生成部のそれぞれに対応して設けられ、対応する前記リスク情報生成部により生成されたリスクマップの一部である部分リスクマップを抽出する複数の抽出部と、
    　複数の前記抽出部のそれぞれに対応して設けられ、対応する抽出部により抽出された前記部分リスクマップを、他のリスク情報生成部に対応する前記診断部に送信する複数の送信部と、をさらに有し、
    　それぞれの前記診断部は、前記送信部から送信された前記部分リスクマップと、対応する前記リスク情報生成部により生成された前記リスクマップに対応する部分リスクマップとを比較することにより、リスクマップの異常を診断する
    請求項２に記載の異常診断システム。
  4. 　前記抽出部は、前記リスクマップから所定の条件を満たす一部の位置を特定し、前記特定した位置と、その位置におけるリスクレベルとを含む部分リスクマップを抽出する
    請求項３に記載の異常診断システム。
  5. 　複数の前記リスク情報生成部のうちの第１のリスク情報生成部と、第２のリスク情報生成部とは、個体の異なる同種のセンサによって検出された情報が含まれるセンサ情報に基づいて、前記リスク情報を生成する
    請求項１から請求項４のいずれか一項に記載の異常診断システム。
  6. 　前記診断部は、含まれるリスクが少ないリスク情報について、異常が発生していると診断する
    請求項１から請求項５のいずれか一項に記載の異常診断システム。
  7. 　前記診断部により異常が発生していると診断された前記リスク情報を生成した前記リスク情報検出部に対して、異常に対処する所定の処理を実行する異常対処処理部をさらに有する
    請求項１から請求項６のいずれか一項に記載の異常診断システム。
  8. 　前記異常診断システムは、
    　複数の電子制御装置を備え、
    　複数の前記リスク情報検出部は、異なる前記電子制御装置に備えられている
    請求項１から請求項７のいずれか一項に記載の異常診断システム。
  9. 　前記センサ情報として、前記車両の周囲の物体が所定の状態にある場合においてセンサから出力されると想定されるセンサ情報である疑似センサ情報を記憶する疑似センサ情報記憶部をさらに備え、
    　それぞれの前記リスク情報生成部は、前記疑似センサ情報に基づいて、前記リスク情報を生成し、
    　前記診断部は、前記疑似センサ情報に基づいて生成された前記リスク情報に基づいて、前記リスク情報の異常を診断する
    請求項１から請求項８のいずれか一項に記載の異常診断システム。
  10. 　車両の周囲の物体に関するセンサ情報に基づいて、前記車両の自動運転制御に用いるための前記車両の移動時のリスクに関するリスク情報を生成する異常診断システムによる異常診断方法であって、
    　前記センサ情報に基づいて、複数のリスク情報を生成し、
    　生成された複数のリスク情報に基づいて、生成されたリスク情報に異常が発生しているか否かを診断する
    異常診断方法。
PCT/JP2019/008271 2018-03-13 2019-03-04 異常診断システム及び異常診断方法 WO2019176603A1 (ja)

Priority Applications (3)

Application Number Priority Date Filing Date Title
JP2020506405A JP6922072B2 (ja) 2018-03-13 2019-03-04 異常診断システム及び異常診断方法
EP19766957.5A EP3766753B1 (en) 2018-03-13 2019-03-04 Abnormality diagnosis system and abnormality diagnosis method
US16/961,288 US20210070321A1 (en) 2018-03-13 2019-03-04 Abnormality diagnosis system and abnormality diagnosis method

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2018-045736 2018-03-13
JP2018045736 2018-03-13

Publications (1)

Publication Number Publication Date
WO2019176603A1 true WO2019176603A1 (ja) 2019-09-19

Family

ID=67906991

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2019/008271 WO2019176603A1 (ja) 2018-03-13 2019-03-04 異常診断システム及び異常診断方法

Country Status (4)

Country Link
US (1) US20210070321A1 (ja)
EP (1) EP3766753B1 (ja)
JP (1) JP6922072B2 (ja)
WO (1) WO2019176603A1 (ja)

Families Citing this family (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US11538287B2 (en) * 2019-09-20 2022-12-27 Sonatus, Inc. System, method, and apparatus for managing vehicle data collection
JP2022548324A (ja) * 2019-09-20 2022-11-17 ソナタス インコーポレイテッド 車両外通信制御のためのシステム、方法、及び装置
US20230158975A1 (en) * 2020-03-06 2023-05-25 Sonatus, Inc. System, method, and apparatus for managing vehicle automation
US11772583B2 (en) 2020-03-06 2023-10-03 Sonatus, Inc. System, method, and apparatus for managing vehicle automation
KR20220027404A (ko) * 2020-08-27 2022-03-08 주식회사 만도모빌리티솔루션즈 Mcu 고장 검출 장치 및 방법

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2008225786A (ja) * 2007-03-12 2008-09-25 Toyota Motor Corp 道路状況検出システム
JP2016038689A (ja) * 2014-08-07 2016-03-22 日立オートモティブシステムズ株式会社 行動計画装置
JP2017196965A (ja) 2016-04-26 2017-11-02 三菱電機株式会社 自動運転制御装置および自動運転制御方法
JP2017224237A (ja) * 2016-06-17 2017-12-21 日立オートモティブシステムズ株式会社 周辺環境認識装置

Family Cites Families (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP3577765B2 (ja) * 1995-02-15 2004-10-13 日産自動車株式会社 車両盗難防止装置の検査装置
JP4887980B2 (ja) * 2005-11-09 2012-02-29 日産自動車株式会社 車両用運転操作補助装置および車両用運転操作補助装置を備えた車両
DE102011108292A1 (de) * 2011-07-21 2012-04-05 Daimler Ag Verfahren zum Betrieb einer Fahrerassistenzvorrichtung
DE102012201653A1 (de) * 2012-02-03 2013-08-08 Bayerische Motoren Werke Aktiengesellschaft Schaltungsanordnung in einem elektronischen Steuergerät eines Kraftfahrzeuges zur Erkennung von Fehlern
DE102015201569A1 (de) * 2015-01-29 2016-08-04 Continental Teves Ag & Co. Ohg Fahrzeugsteuervorrichtung und verfahren
JP6803657B2 (ja) * 2015-08-31 2020-12-23 日立オートモティブシステムズ株式会社 車両制御装置および車両制御システム
DE102016210984A1 (de) * 2016-06-20 2017-12-21 Robert Bosch Gmbh Verfahren zum Betreiben eines Steuergeräts
DE102017010716A1 (de) * 2017-11-10 2019-05-16 Knorr-Bremse Systeme für Nutzfahrzeuge GmbH System zum wenigstens teilautonomen Betrieb eines Kraftfahrzeugs mit doppelter Redundanz

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2008225786A (ja) * 2007-03-12 2008-09-25 Toyota Motor Corp 道路状況検出システム
JP2016038689A (ja) * 2014-08-07 2016-03-22 日立オートモティブシステムズ株式会社 行動計画装置
JP2017196965A (ja) 2016-04-26 2017-11-02 三菱電機株式会社 自動運転制御装置および自動運転制御方法
JP2017224237A (ja) * 2016-06-17 2017-12-21 日立オートモティブシステムズ株式会社 周辺環境認識装置

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
See also references of EP3766753A4

Also Published As

Publication number Publication date
EP3766753A1 (en) 2021-01-20
EP3766753B1 (en) 2023-07-12
US20210070321A1 (en) 2021-03-11
JPWO2019176603A1 (ja) 2020-12-17
JP6922072B2 (ja) 2021-08-18
EP3766753A4 (en) 2021-12-08

Similar Documents

Publication Publication Date Title
WO2019176603A1 (ja) 異常診断システム及び異常診断方法
US11691638B2 (en) Determination of reliability of vehicle control commands using a voting mechanism
JP2022534739A (ja) 画像誤分類のためのセーフティモニタ
US11003537B2 (en) Determining validity of data read from memory by a controller
US20210146939A1 (en) Device and method for controlling a vehicle module
Stocco et al. Confidence‐driven weighted retraining for predicting safety‐critical failures in autonomous driving systems
US20170361852A1 (en) Method for operating a control unit
JPWO2019131002A1 (ja) 車両制御装置および電子制御システム
KR102529916B1 (ko) 가상머신 기반 차량 제어 검증 시스템 및 방법
WO2015083251A1 (ja) 監視装置、制御システム及び監視プログラム
CN112585550A (zh) 基于神经网络的驾驶功能监控
CN112506690A (zh) 控制处理器的方法及装置
CN105868060B (zh) 用于运行驾驶员辅助系统的数据处理单元的方法和数据处理单元
JPWO2019131003A1 (ja) 車両制御装置および電子制御システム
Buerkle et al. Fault-tolerant perception for automated driving a lightweight monitoring approach
US20230283622A1 (en) Anomaly detection method, anomaly detection device, and recording medium
KR20090000008A (ko) 차량진단시 진단단말기간의 충돌방지 시스템 및 그 방법
EP4109816B1 (en) Context-based response to attacks against autonomous systems
US20210320933A1 (en) Post-gateway bus-off attack mitigation
JP2012230604A (ja) データ処理装置
WO2024084690A1 (ja) 情報処理装置及び情報処理方法
US20240140448A1 (en) Electronic Control Device, On-Vehicle Control System, and Redundant Function Control Method
US20230401140A1 (en) Method for carrying out data processing
Itsuji et al. An Intelligent Diagnostic Technique for Reliable Operation of Edge AI
US11577753B2 (en) Safety architecture for control of autonomous vehicle

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 19766957

Country of ref document: EP

Kind code of ref document: A1

ENP Entry into the national phase

Ref document number: 2020506405

Country of ref document: JP

Kind code of ref document: A

NENP Non-entry into the national phase

Ref country code: DE

ENP Entry into the national phase

Ref document number: 2019766957

Country of ref document: EP

Effective date: 20201013