WO2019208442A1 - 車両制御装置 - Google Patents

車両制御装置 Download PDF

Info

Publication number
WO2019208442A1
WO2019208442A1 PCT/JP2019/016846 JP2019016846W WO2019208442A1 WO 2019208442 A1 WO2019208442 A1 WO 2019208442A1 JP 2019016846 W JP2019016846 W JP 2019016846W WO 2019208442 A1 WO2019208442 A1 WO 2019208442A1
Authority
WO
WIPO (PCT)
Prior art keywords
bus
main
sub
unit
ecu
Prior art date
Application number
PCT/JP2019/016846
Other languages
English (en)
French (fr)
Inventor
高輔 長谷川
Original Assignee
株式会社デンソー
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 株式会社デンソー filed Critical 株式会社デンソー
Priority to EP19792065.5A priority Critical patent/EP3786021A4/en
Priority to CN201980027667.1A priority patent/CN112004730B/zh
Publication of WO2019208442A1 publication Critical patent/WO2019208442A1/ja
Priority to US17/076,028 priority patent/US20210031792A1/en

Links

Images

Classifications

    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60W—CONJOINT CONTROL OF VEHICLE SUB-UNITS OF DIFFERENT TYPE OR DIFFERENT FUNCTION; CONTROL SYSTEMS SPECIALLY ADAPTED FOR HYBRID VEHICLES; ROAD VEHICLE DRIVE CONTROL SYSTEMS FOR PURPOSES NOT RELATED TO THE CONTROL OF A PARTICULAR SUB-UNIT
    • B60W50/00—Details of control systems for road vehicle drive control not related to the control of a particular sub-unit, e.g. process diagnostic or vehicle driver interfaces
    • B60W50/02—Ensuring safety in case of control system failures, e.g. by diagnosing, circumventing or fixing failures
    • B60W50/0205—Diagnosing or detecting failures; Failure detection models
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60R—VEHICLES, VEHICLE FITTINGS, OR VEHICLE PARTS, NOT OTHERWISE PROVIDED FOR
    • B60R16/00—Electric or fluid circuits specially adapted for vehicles and not otherwise provided for; Arrangement of elements of electric or fluid circuits specially adapted for vehicles and not otherwise provided for
    • B60R16/02—Electric or fluid circuits specially adapted for vehicles and not otherwise provided for; Arrangement of elements of electric or fluid circuits specially adapted for vehicles and not otherwise provided for electric constitutive elements
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60R—VEHICLES, VEHICLE FITTINGS, OR VEHICLE PARTS, NOT OTHERWISE PROVIDED FOR
    • B60R16/00—Electric or fluid circuits specially adapted for vehicles and not otherwise provided for; Arrangement of elements of electric or fluid circuits specially adapted for vehicles and not otherwise provided for
    • B60R16/02—Electric or fluid circuits specially adapted for vehicles and not otherwise provided for; Arrangement of elements of electric or fluid circuits specially adapted for vehicles and not otherwise provided for electric constitutive elements
    • B60R16/023—Electric or fluid circuits specially adapted for vehicles and not otherwise provided for; Arrangement of elements of electric or fluid circuits specially adapted for vehicles and not otherwise provided for electric constitutive elements for transmission of signals between vehicle parts or subsystems
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60R—VEHICLES, VEHICLE FITTINGS, OR VEHICLE PARTS, NOT OTHERWISE PROVIDED FOR
    • B60R16/00—Electric or fluid circuits specially adapted for vehicles and not otherwise provided for; Arrangement of elements of electric or fluid circuits specially adapted for vehicles and not otherwise provided for
    • B60R16/02—Electric or fluid circuits specially adapted for vehicles and not otherwise provided for; Arrangement of elements of electric or fluid circuits specially adapted for vehicles and not otherwise provided for electric constitutive elements
    • B60R16/023—Electric or fluid circuits specially adapted for vehicles and not otherwise provided for; Arrangement of elements of electric or fluid circuits specially adapted for vehicles and not otherwise provided for electric constitutive elements for transmission of signals between vehicle parts or subsystems
    • B60R16/0231—Circuits relating to the driving or the functioning of the vehicle
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60W—CONJOINT CONTROL OF VEHICLE SUB-UNITS OF DIFFERENT TYPE OR DIFFERENT FUNCTION; CONTROL SYSTEMS SPECIALLY ADAPTED FOR HYBRID VEHICLES; ROAD VEHICLE DRIVE CONTROL SYSTEMS FOR PURPOSES NOT RELATED TO THE CONTROL OF A PARTICULAR SUB-UNIT
    • B60W50/00—Details of control systems for road vehicle drive control not related to the control of a particular sub-unit, e.g. process diagnostic or vehicle driver interfaces
    • B60W50/02—Ensuring safety in case of control system failures, e.g. by diagnosing, circumventing or fixing failures
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60W—CONJOINT CONTROL OF VEHICLE SUB-UNITS OF DIFFERENT TYPE OR DIFFERENT FUNCTION; CONTROL SYSTEMS SPECIALLY ADAPTED FOR HYBRID VEHICLES; ROAD VEHICLE DRIVE CONTROL SYSTEMS FOR PURPOSES NOT RELATED TO THE CONTROL OF A PARTICULAR SUB-UNIT
    • B60W50/00—Details of control systems for road vehicle drive control not related to the control of a particular sub-unit, e.g. process diagnostic or vehicle driver interfaces
    • B60W50/02—Ensuring safety in case of control system failures, e.g. by diagnosing, circumventing or fixing failures
    • B60W50/023—Avoiding failures by using redundant parts
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60W—CONJOINT CONTROL OF VEHICLE SUB-UNITS OF DIFFERENT TYPE OR DIFFERENT FUNCTION; CONTROL SYSTEMS SPECIALLY ADAPTED FOR HYBRID VEHICLES; ROAD VEHICLE DRIVE CONTROL SYSTEMS FOR PURPOSES NOT RELATED TO THE CONTROL OF A PARTICULAR SUB-UNIT
    • B60W50/00—Details of control systems for road vehicle drive control not related to the control of a particular sub-unit, e.g. process diagnostic or vehicle driver interfaces
    • B60W50/02—Ensuring safety in case of control system failures, e.g. by diagnosing, circumventing or fixing failures
    • B60W50/029—Adapting to failures or work around with other constraints, e.g. circumvention by avoiding use of failed parts
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60W—CONJOINT CONTROL OF VEHICLE SUB-UNITS OF DIFFERENT TYPE OR DIFFERENT FUNCTION; CONTROL SYSTEMS SPECIALLY ADAPTED FOR HYBRID VEHICLES; ROAD VEHICLE DRIVE CONTROL SYSTEMS FOR PURPOSES NOT RELATED TO THE CONTROL OF A PARTICULAR SUB-UNIT
    • B60W50/00—Details of control systems for road vehicle drive control not related to the control of a particular sub-unit, e.g. process diagnostic or vehicle driver interfaces
    • B60W50/04—Monitoring the functioning of the control system
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60W—CONJOINT CONTROL OF VEHICLE SUB-UNITS OF DIFFERENT TYPE OR DIFFERENT FUNCTION; CONTROL SYSTEMS SPECIALLY ADAPTED FOR HYBRID VEHICLES; ROAD VEHICLE DRIVE CONTROL SYSTEMS FOR PURPOSES NOT RELATED TO THE CONTROL OF A PARTICULAR SUB-UNIT
    • B60W60/00—Drive control systems specially adapted for autonomous road vehicles
    • B60W60/001—Planning or execution of driving tasks
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/0703—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation
    • G06F11/0706—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation the processing taking place on a specific hardware platform or in a specific software environment
    • G06F11/0736—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation the processing taking place on a specific hardware platform or in a specific software environment in functional embedded systems, i.e. in a data processing system designed as a combination of hardware and software dedicated to performing a certain function
    • G06F11/0739—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation the processing taking place on a specific hardware platform or in a specific software environment in functional embedded systems, i.e. in a data processing system designed as a combination of hardware and software dedicated to performing a certain function in a data processing system embedded in automotive or aircraft systems
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/0703—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation
    • G06F11/0751—Error or fault detection not based on redundancy
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/16—Error detection or correction of the data by redundancy in hardware
    • G06F11/20—Error detection or correction of the data by redundancy in hardware using active fault-masking, e.g. by switching out faulty elements or by switching in spare elements
    • G06F11/202—Error detection or correction of the data by redundancy in hardware using active fault-masking, e.g. by switching out faulty elements or by switching in spare elements where processing functionality is redundant
    • G06F11/2023—Failover techniques
    • G06F11/2028—Failover techniques eliminating a faulty processor or activating a spare
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/16—Error detection or correction of the data by redundancy in hardware
    • G06F11/20—Error detection or correction of the data by redundancy in hardware using active fault-masking, e.g. by switching out faulty elements or by switching in spare elements
    • G06F11/202—Error detection or correction of the data by redundancy in hardware using active fault-masking, e.g. by switching out faulty elements or by switching in spare elements where processing functionality is redundant
    • G06F11/2038—Error detection or correction of the data by redundancy in hardware using active fault-masking, e.g. by switching out faulty elements or by switching in spare elements where processing functionality is redundant with a single idle spare processing component
    • G—PHYSICS
    • G07—CHECKING-DEVICES
    • G07C—TIME OR ATTENDANCE REGISTERS; REGISTERING OR INDICATING THE WORKING OF MACHINES; GENERATING RANDOM NUMBERS; VOTING OR LOTTERY APPARATUS; ARRANGEMENTS, SYSTEMS OR APPARATUS FOR CHECKING NOT PROVIDED FOR ELSEWHERE
    • G07C5/00—Registering or indicating the working of vehicles
    • G07C5/08—Registering or indicating performance data other than driving, working, idle, or waiting time, with or without registering driving, working, idle or waiting time
    • G07C5/0808—Diagnosing performance data
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60W—CONJOINT CONTROL OF VEHICLE SUB-UNITS OF DIFFERENT TYPE OR DIFFERENT FUNCTION; CONTROL SYSTEMS SPECIALLY ADAPTED FOR HYBRID VEHICLES; ROAD VEHICLE DRIVE CONTROL SYSTEMS FOR PURPOSES NOT RELATED TO THE CONTROL OF A PARTICULAR SUB-UNIT
    • B60W50/00—Details of control systems for road vehicle drive control not related to the control of a particular sub-unit, e.g. process diagnostic or vehicle driver interfaces
    • B60W2050/0001—Details of the control system
    • B60W2050/0002—Automatic control, details of type of controller or control system architecture

Definitions

  • This disclosure relates to a technique for improving the reliability of automatic driving control.
  • Patent Document 1 discloses an electronic control device (hereinafter referred to as a main ECU) having a function of calculating an operation amount related to automatic driving control, and a plurality of electronic control devices (hereinafter referred to as ACT systems) having a function of executing control according to the operation amount.
  • a technique for making the main ECU redundant is described. Specifically, a sub ECU having a function similar to that of the main ECU is provided, and both the main ECU and the sub ECU detect a failure and the like in addition to the operation amount calculation and share the failure detection result with a common network. To send through.
  • the ACT ECU selects either the operation amount generated by the main ECU or the operation amount generated by the sub ECU according to the failure detection result received from each of the main ECU and the sub ECU via the network. Perform control for automatic operation. As a result, even if a failure occurs in one of the main ECU and the sub ECU, the automatic operation control can be continued using the operation amount calculated by the other ECU.
  • the design of the sub ECU requires a high safety standard equivalent to that of the main ECU.
  • the safety standard is high, the ECU is required to have a high bus failure detection rate and a low failure rate, and to create many documents in the design.
  • the ACT ECU can continue the automatic driving control by acquiring the operation amount from the sub ECU.
  • the network breaks down the ACT ECU cannot acquire the operation amount from either the main ECU or the sub ECU, and therefore cannot continue the automatic driving control.
  • One aspect of the present disclosure is to provide a technique for improving the reliability of control while reducing the design load of a redundant system in automatic operation control.
  • the vehicle control device includes a main processing unit, a sub processing unit, a main bus, a sub bus, and a plurality of control execution units.
  • the main processing unit repeatedly generates a main operation amount that is control data used for controlling automatic driving.
  • the sub processing unit repeatedly generates a sub operation amount that is control data used for control of automatic driving.
  • the main bus is connected to the main processing unit.
  • the sub bus is connected to the sub processing unit.
  • the plurality of control execution units are connected to both the main bus and the sub bus.
  • the control execution unit includes an execution unit and a selection unit.
  • the execution unit executes vehicle control according to the selected operation amount, using either the main operation amount or the sub operation amount as the selected operation amount.
  • the selection unit sets the main operation amount to the selected operation amount in the initial state, and changes the selected operation amount from the main operation amount to the sub operation amount when communication performed via the main bus satisfies a preset switching condition. Switch.
  • the sub bus connected to the sub processing unit is provided separately from the main bus connected to the main processing unit, the operation of the sub processing unit affects the operation of the main processing unit.
  • the sub processing unit can be designed by applying a lower safety standard than the main processing unit, the design of the sub processing unit and the portion related to the sub bus can be simplified.
  • automatic operation control can be continued using the sub-bus, so that control reliability can be improved.
  • FIG. 1 An automatic driving system 1 shown in FIG. 1 is mounted on a vehicle and realizes automatic driving in which traveling control is automatically performed according to a set route.
  • a vehicle equipped with the automatic driving system 1 is referred to as a host vehicle.
  • the automatic driving system 1 includes an information acquisition unit 2, a control instruction unit 3, a control target unit 5, a sensor bus 7, a main bus 8, and a sub bus 9.
  • the information acquisition unit 2 acquires various information necessary for automatic driving and supplies the information to the control instruction unit 3.
  • the information acquisition unit 2 includes a vehicle information unit 21, a surrounding information unit 22, and a road information unit 23.
  • the vehicle information unit 21 collects information from various sensors provided in the host vehicle, and generates vehicle information representing the behavior of the host vehicle.
  • the vehicle information may include the position, speed, acceleration, yaw rate, rudder angle, and the like of the host vehicle.
  • the surrounding information unit 22 is drawn on information and road surfaces related to various objects including other vehicles existing in the surrounding area of the own vehicle based on images from cameras installed in front, rear, left and right of the own vehicle and detection results from the radar sensor. Generate information about lane markings and signs.
  • the radar sensor for example, a millimeter wave radar, a laser radar, an ultrasonic radar, or the like can be used.
  • the road information unit 23 is traveling based on at least one of information acquired using a system using road-to-vehicle communication such as VICS and information in a map database in which a high-precision map for automatic driving is stored.
  • Various road information including the regulation information on the road of the road is acquired.
  • VICS is an abbreviation for Vehicle Information and Communication System, and is a registered trademark.
  • the road information unit 23 may use information recognized from detection results such as lane markings and signs drawn on the road surface by the peripheral information unit 22.
  • the control instruction unit 3 includes a main ECU 30 and a sub ECU 40. Both the main ECU 30 and the sub ECU 40 are connected to the sensor bus 7 together with the units 21 to 23 constituting the information acquisition unit 2.
  • the main ECU 30 is connected to the main bus 8, and the sub ECU 40 is connected to the sub bus 9.
  • the main ECU 30 and the sub ECU 40 both generate operation amounts of various actuators mounted on the vehicle based on information acquired from the information acquisition unit 2 and route information for automatic driving generated separately. .
  • the operation amount generated by the main ECU 30 is referred to as a main operation amount.
  • the operation amount generated by the sub ECU 40 is referred to as a sub operation amount.
  • the control target unit 5 includes a plurality of ACT ECUs 50 and one or more HMI ECUs 60.
  • ACT is an abbreviation for actuator
  • HMI is an abbreviation for human machine interface.
  • Both ACT ECU 50 and HMI ECU 60 are connected to both main bus 8 and sub bus 9.
  • the ACT ECU 50 drives the actuator assigned to the ECU according to the operation amount of the actuator, which is control data acquired from the control instruction unit 3 via the main bus 8 or the subbus 9.
  • the ACT ECU 50 includes various types such as a drive system ECU 50a, a brake system ECU 50b, and a steering system ECU 50c.
  • the drive system ECU 50a controls at least an actuator related to the operation of the engine.
  • the braking system ECU 50b controls at least an actuator related to the operation of the brake.
  • the steering system ECU 50c controls at least an actuator related to the operation of the steering.
  • the ACT ECU 50 has the same configuration except that the actuator to be driven is different and performs control according to the drive target.
  • the HMI system ECU 60 monitors the communication state of the main bus 8 and the sub bus 9 and performs notification according to the monitoring result to the driver of the host vehicle.
  • the main ECU 30 corresponds to a main processing unit
  • the sub ECU 40 corresponds to a sub processing unit
  • the ACT ECU 50 corresponds to a control execution unit
  • the HMI ECU 60 corresponds to a notification execution unit.
  • main bus 8 a main operation amount, a switching instruction, and a main bus failure notification are transmitted and received.
  • the main operation amount is transmitted from the main ECU 30 to the ACT ECU 50.
  • operation amounts necessary for the automatic operation control used in each of the ACT ECUs 50 are listed and shown.
  • the switching instruction is transmitted from the main ECU 30 to the ACT ECU 50 and the HMI ECU 60.
  • the switching instruction is information indicating whether or not the operation amount used in the ACT ECU 50 needs to be switched from the main operation amount to the sub operation amount. Specifically, “switching required” or “switching unnecessary” is required. Is displayed.
  • the main bus failure notification is transmitted from the ACT ECU 50 to the main ECU 30.
  • the main bus failure notification is information indicating whether or not the ACT ECU 50 determines whether or not the communication state of the main bus 8 is abnormal, that is, whether or not a failure of the main bus 8 has been detected. , “With failure” or “no failure” is indicated.
  • a sub operation amount, a sub system state, and a sub bus failure notification are transmitted and received.
  • the sub operation amount is transmitted from the sub ECU 40 to the ACT ECU 50.
  • sub operation amounts necessary for automatic driving used in each of the ACT ECUs 50 are listed and shown.
  • the sub system state is transmitted from the sub ECU 40 to the ACT ECU 50 and the HMI ECU 60.
  • the sub system state is information indicating the result of determining whether or not the own operation state and the communication state of the sub-bus 9 are abnormal in the sub ECU 40, and specifically, “abnormal” or “no abnormality” Is displayed.
  • the sub bus failure notification is transmitted from the ACT ECU 50 to the sub ECU 40.
  • the sub-bus failure notification is information indicating whether or not the ACT ECU 50 has determined whether or not the communication state of the sub-bus 9 is abnormal, that is, whether or not a failure of the sub-bus 9 has been detected. “Fault” or “No failure” is indicated.
  • the main ECU 30 includes a sensor bus IF unit 31, a main bus IF unit 32, and a main calculation unit 33.
  • the sub ECU 40 includes a sensor bus IF unit 41, a sub bus IF unit 42, and a sub calculation unit 43.
  • the ACT ECU 50 includes a main bus IF unit 51, a sub bus IF unit 52, and an ACT calculation unit 53.
  • the HMI system ECU 60 includes a main bus IF unit 61, a sub bus IF unit 62, and an HMI calculation unit 63.
  • the sensor bus IF units 31 and 41 are communication circuits that perform communication via the sensor bus 7.
  • the main bus IF units 32, 51 and 61 are communication circuits that perform communication via the main bus 8.
  • the sub bus IF units 42, 52, and 62 are communication circuits that perform communication via the sub bus 9.
  • Each of the main calculation unit 33, the sub calculation unit 43, the ACT calculation unit 53, and the HMI calculation unit 63 includes a microcomputer having a CPU and a semiconductor memory (hereinafter referred to as a memory) such as a RAM or a ROM. .
  • a memory such as a RAM or a ROM.
  • Each function realized by each of the arithmetic units 33, 43, 53, 63 is realized by the CPU executing a program stored in a non-transitional physical recording medium.
  • the memory corresponds to a non-transitional tangible recording medium that stores a program. Also, by executing this program, a method corresponding to the program is executed.
  • Each calculation unit 33, 43, 53, 63 may include one microcomputer or a plurality of microcomputers.
  • the method of realizing each function executed by each of the arithmetic units 33, 43, 53, and 63 is not limited to software, and some or all of the functions may be realized using one or a plurality of hardware. Good.
  • the electronic circuit may be realized by a digital circuit, an analog circuit, or a combination thereof.
  • the main calculation unit 33 includes an operation amount generation unit 331, an operation determination unit 332, a bus determination unit 333, and an instruction notification unit 334 as functional blocks.
  • the operation determination unit 332 and the bus determination unit 333 correspond to the main determination unit.
  • the operation amount generation unit 331 repeatedly generates a main operation amount based on information acquired from the information acquisition unit 2 via the sensor bus IF unit 31.
  • the operation determination unit 332 determines whether there is an abnormality in the operation of the main calculation unit 33. Specifically, for the CPU, for example, the presence or absence of an abnormality may be determined by checking the result of causing the CPU to perform the same calculation, such as a dual lock step. For the memory, for example, the presence or absence of an abnormality may be determined by error detection performed when accessing the memory.
  • the bus determination unit 333 determines an abnormality in the communication state via the main bus 8.
  • the instruction notification unit 334 transmits the main operation amount generated by the operation amount generation unit 331 via the main bus 8 and transmits a switching instruction according to the determination results of the operation determination unit 332 and the bus determination unit 333. To do.
  • FIG. 3 and FIG. 3 show the bus determination process executed by the main arithmetic unit 33 to realize the function as the bus determination unit 333 and the notification process executed to realize the function as the instruction notification unit 334. This will be described with reference to the flowchart of FIG.
  • the bus determination process is executed every time a main bus failure notification is received via the main bus 8.
  • the received bus failure notification is simply referred to as reception notification.
  • the main calculation unit 33 first determines in S110 whether or not the main bus 8 has already been determined to be abnormal. If it is already determined that there is an abnormality, the main calculation unit 33 proceeds to S160. If it is not yet determined that there is an abnormality, the main calculation unit 33 proceeds to S120.
  • the main calculation unit 33 determines whether or not the elapsed time from the previous reception of the reception notification is within a preset specified time.
  • the specified time is a fixed time, and may be set to about twice the average reception interval when the reception notification is normal.
  • the main calculation unit 33 shifts the process to S160, and when determining that the elapsed time is within the specified time, shifts the process to S130.
  • the main calculation unit 33 determines whether or not there is an abnormality in the order information given to the reception notification. Specifically, by comparing with the order information given to the previous reception notification, it is determined that there is an abnormality when a change of order, lack of information, repeated reception of the same information, or the like is detected. The determination in this step is performed individually for each transmission source of the reception notification.
  • the main calculation unit 33 proceeds to S160 and determines that there is no abnormality in the order information. If so, the process proceeds to S140.
  • the main calculation unit 33 determines whether there is a code error in the reception notification. Specifically, the presence or absence of a code error is determined using the error detection information given to the reception notification. If the main calculation unit 33 determines that there is a code error in the reception notification, the process proceeds to S160. If the main calculation unit 33 determines that there is no code error in the reception notification, the main calculation unit 33 proceeds to S150.
  • the main calculation unit 33 determines that there is no abnormality in the communication state of the main bus 8, and ends the process.
  • the main calculation unit 33 determines that there is an abnormality in the communication state of the main bus 8, and ends the process.
  • the determination result as to whether there is an abnormality in the communication state of the main bus 8 is stored in, for example, a memory included in the main arithmetic unit 33.
  • the notification process is repeatedly executed at predetermined intervals.
  • the fixed period may be set to coincide with the transmission period of the main operation amount.
  • the main calculation unit 33 first determines in S210 whether the determination result in the operation determination unit 332 is abnormal. If the determination result is abnormal, the main calculation unit 33 proceeds to S260, and if the determination result is not abnormal, the main calculation unit 33 proceeds to S220.
  • step S220 the main calculation unit 33 determines whether the determination result in the bus determination unit 333 is abnormal. If the determination result is abnormal, the main calculation unit 33 proceeds to S260, and if the determination result is not abnormal, the main calculation unit 33 proceeds to S230.
  • the main calculation unit 33 determines whether or not a bus failure notification (hereinafter referred to as failure notification) indicated as “failed” is received via the main bus 8. If the main calculation unit 33 has received a notification with failure, the main calculation unit 33 shifts the processing to S260. If the main calculation unit 33 has not received notification with failure, the main calculation unit 33 shifts the processing to S240.
  • failure notification a bus failure notification
  • the main calculation unit 33 transmits the main operation amount, which is the operation amount generated by the operation amount generation unit 331, via the main bus 8.
  • the main calculation unit 33 transmits a switching instruction indicated as “no switching required” via the main bus 8, and ends the processing.
  • the main calculation unit 33 transmits a switching instruction notification indicated as “switching required” via the main bus 8, and ends the processing.
  • the sub calculation unit 43 includes an operation amount generation unit 431, an operation determination unit 432, a bus determination unit 433, and a state notification unit 434 as functional blocks.
  • the operation determination unit 432 and the bus determination unit 433 correspond to the sub determination unit.
  • the operation amount generation unit 431 repeatedly generates sub operation amounts based on information acquired from the information acquisition unit 2 via the sensor bus IF unit 41.
  • the sub operation amount may be generated using a method similar to the main operation amount, or may be generated using a method different from the main operation amount.
  • the sub operation amount may be generated by using a simple method with a smaller amount of calculation or by reducing the effective number of significant digits.
  • the operation determination unit 432 determines whether there is an abnormality in the operation of the sub calculation unit 43. Specifically, the same method as the operation determination unit 332 of the main calculation unit 33 may be used.
  • the bus determination unit 433 determines a communication state abnormality via the sub-bus 9.
  • a method similar to that of the bus determination unit 333 of the main calculation unit 33 may be used. That is, the contents of the bus determination process executed by the sub calculation unit 43 to realize the function as the bus determination unit 433 are the same as the bus determination process executed by the main calculation unit 33.
  • the main operation unit 33 is replaced with the sub operation unit 43
  • the main bus 8 is replaced with the sub bus 9
  • the main bus failure notification is replaced with the sub bus failure notification.
  • the state notification unit 434 transmits the sub operation amount generated by the operation amount generation unit 431 and transmits the sub state according to the determination result of the operation determination unit 432 and the determination result of the bus determination unit 433.
  • the notification process is repeatedly executed at predetermined intervals.
  • the fixed period may be set to coincide with the transmission period of the sub-operation amount.
  • the sub operation unit 43 determines whether or not the determination result in the operation determination unit 432 is abnormal in S310. In S320, it is determined whether or not the determination result in the bus determination unit 433 is abnormal. In S330, it is determined whether a sub-bus failure notification (hereinafter referred to as failure notification) indicated as “failed” is received via the sub-bus 9.
  • failure notification a sub-bus failure notification
  • the sub operation unit 43 proceeds to S360. Otherwise, the process proceeds to S340. To migrate.
  • the sub operation unit 43 transmits the sub operation amount, which is the operation amount generated by the operation amount generation unit 431, via the sub bus 9.
  • the sub operation unit 43 transmits the sub state indicated as “no abnormality” via the sub bus 9, and ends the process.
  • step S360 the sub operation unit 43 transmits the sub state indicated as “abnormal” via the sub bus 9, and ends the process.
  • the ACT calculation unit 53 includes a main bus determination unit 531, a sub bus determination unit 532, a selection unit 533, and an execution unit 534 as functional blocks.
  • the main bus determination unit 531 is configured similarly to the bus determination unit 333 of the main ECU 30, and the sub bus determination unit 532 is configured similarly to the bus determination unit 433 of the sub ECU 40.
  • the selection unit 533 transmits a bus failure notification according to the determination result of the main bus determination unit 531 and the subbus determination unit 532, and selects either the main operation amount or the sub operation amount as the selection operation amount, and executes it. Part 534. In the initial state at the time of shipment or after repair, the main operation amount is selected as the selection operation amount.
  • the execution unit 534 executes control of the actuator and the like according to the selection operation amount supplied from the selection unit 533.
  • the selection process is repeatedly executed at predetermined intervals.
  • the ACT calculation unit 53 determines whether or not the determination result in the main bus determination unit 531 is abnormal in S410. If the determination result is abnormal, the ACT calculation unit 53 proceeds to S480. If the determination result is not abnormal, the ACT calculation unit 53 proceeds to S420.
  • step S420 the ACT calculation unit 53 transmits a main bus failure notification indicating “no failure” via the main bus 8.
  • the ACT calculation unit 53 determines whether the determination result in the sub-bus determination unit 532 is abnormal. If the determination result is abnormal, the ACT calculation unit 53 proceeds to S440. If the determination result is not abnormal, the ACT calculation unit 53 proceeds to S450.
  • the ACT calculation unit 53 transmits a sub-bus failure notification indicated as “failed” via the sub-bus 9, and advances the process to S460.
  • step S450 the ACT calculation unit 53 transmits a sub-bus failure notification indicating “no failure” via the sub-bus 9, and advances the process to step S460.
  • the ACT calculation unit 53 determines whether or not a switching instruction (hereinafter referred to as a switching instruction) indicated as “switching required” is received via the main bus 8. The ACT calculation unit 53 proceeds to S500 when the switch-required instruction is received, and proceeds to S470 when the switch-required instruction is not received.
  • a switching instruction hereinafter referred to as a switching instruction
  • the ACT calculation unit 53 selects the main operation amount as the operation amount to be supplied to the execution unit 534, and ends the process.
  • the ACT calculation unit 53 transmits the main bus failure notification indicated as “failed” via the main bus 8.
  • the ACT calculation unit 53 transmits a sub-bus failure notification indicating “no failure” via the sub-bus 9, and advances the process to S500.
  • the ACT calculation unit 53 selects the sub operation amount as the operation amount to be supplied to the execution unit 534, and ends the process.
  • a condition that is positively determined in each determination in S110 to S140 and S470 related to S410 corresponds to a switching condition.
  • S420, S420, and S480 correspond to the main failure notification unit, and S430 to S450 and S490 correspond to the sub failure notification unit.
  • the HMI calculation unit 63 includes a main bus determination unit 631, a subbus determination unit 632, and a notification unit 633 as functional blocks.
  • the main bus determination unit 631 is configured similarly to the bus determination unit 333 of the main ECU 30, and the sub bus determination unit 632 is configured similarly to the bus determination unit 433 of the sub ECU 40.
  • reporting part 633 performs alerting
  • the notification process is repeatedly executed at predetermined intervals.
  • the HMI calculation unit 63 determines whether or not the determination result in the main bus determination unit 631 is abnormal in S610. If the determination result is abnormal, the HMI calculation unit 63 proceeds to S650. If the determination result is not abnormal, the HMI calculation unit 63 proceeds to S620.
  • the HMI calculation unit 63 determines whether the determination result in the sub-bus determination unit 632 is abnormal. If the determination result is abnormal, the HMI calculation unit 63 proceeds to S650. If the determination result is not abnormal, the HMI calculation unit 63 proceeds to S630.
  • the HMI calculation unit 63 determines whether or not a switching instruction (that is, a switching required instruction) indicated as “switching required” has been received via the main bus 8. The HMI calculation unit 63 proceeds to S650 when the switch-required instruction is received, and proceeds to S640 when the switch-required instruction is not received.
  • a switching instruction that is, a switching required instruction
  • the HMI calculation unit 63 determines whether a main bus failure notification or a sub-bus failure notification (hereinafter referred to as failure notification) indicated as “failed” is received via the main bus 8 or the sub-bus 9. To do. If any notification with failure is received, the HMI calculation unit 63 shifts the processing to S650, and ends the processing when any notification with failure is not received.
  • failure notification a main bus failure notification or a sub-bus failure notification (hereinafter referred to as failure notification) indicated as “failed” is received via the main bus 8 or the sub-bus 9. To do. If any notification with failure is received, the HMI calculation unit 63 shifts the processing to S650, and ends the processing when any notification with failure is not received.
  • the HMI calculation unit 63 performs notification to the driver according to the detected abnormality form, and ends the process.
  • a notification indicating that an abnormality has occurred and an abnormal part may be performed.
  • a notification that prompts the driver to switch from automatic driving to manual driving may be performed.
  • the main ECU 30 repeatedly transmits the main operation amount and the switching instruction via the main bus 8
  • the sub ECU 40 repeatedly transmits the sub operation amount and the sub state via the sub bus 9.
  • the ACT ECU 50 transmits a main bus failure notification via the main bus 8 every time the main operation amount is received, and transmits a sub bus failure notification via the sub bus 9 every time the sub operation amount is received. .
  • the description of the switching instruction indicated as “no switching required”, the main bus failure notification and the sub-bus failure notification indicated as “no failure” are omitted.
  • the switching instruction indicated as “switching required” is briefly described as a switching instruction, and the main bus failure notification and sub-bus failure notification indicated as “failed” are simply referred to as main bus failure notification and sub-bus. It is described as failure notification.
  • FIG. 8 shows an operation when the main ECU 30 detects an abnormality in the operation of the main calculation unit 33.
  • the ACT ECU 50 executes control according to the main operation amount acquired via the main bus 8.
  • the main ECU 30 transmits a switching instruction via the main bus 8.
  • ACT ECU 50 that has received the switching instruction performs sub-operation amount selection for switching the selected operation amount from the main operation amount to the sub-operation amount. Thereafter, all the ACT ECUs 50 perform control according to the sub operation amount acquired through the sub bus 9. Further, the HMI ECU 50 that has received the switching instruction executes a notification to the driver.
  • FIG. 9 shows a case where communication via the main bus 8 is disabled due to a failure of the main bus 8, or a case where the main ECU 8 is normal but the main ECU 30 becomes unable to transmit / receive via the main bus 8. Shows the operation.
  • All of the ACT ECU 50 and the HMI ECU 60 determine that the communication state of the main bus 8 is abnormal when reception via the main bus 8 stops for a predetermined time or more. That is, the failure of the main bus 8 is detected in all the ACT ECUs 50 and the HMI ECUs 60. At this time, the HMI ECU 60 performs notification to the driver. All the ACT-related ECUs 50 perform the control according to the sub operation amount acquired via the sub bus 9 by selecting the sub operation amount. All the ACT ECUs 50 transmit a main bus failure notification via the main bus 8. However, in this case, the main ECU 30 cannot receive these notifications normally.
  • the main ECU 30 determines that the communication state of the main bus 8 is abnormal when reception via the main bus 8 is interrupted for a predetermined time or more. That is, even in the main ECU 30, a failure of the main bus 8 is detected, and the main ECU 30 transmits a switching instruction via the main bus 8. However, in this case, all the ACT ECUs 50 and the HMI ECUs 60 cannot normally receive the switching instruction.
  • FIG. 10 shows the operation when the main bus 8 is normal but the main ECU 30 becomes unable to receive via the main bus 8.
  • the main ECU 30 determines that the communication state of the main bus 8 is abnormal when reception via the main bus 8 is interrupted for a predetermined time or longer, and transmits a switching instruction via the main bus 8.
  • All the ACT ECU 50 and the HMI ECU 60 receive the switching instruction, and execute the sub operation amount selection and the notification to the driver. Thereafter, all ACT ECUs 50 execute control according to the sub operation amount acquired through the sub bus 9.
  • FIG. 11 shows the operation when the main bus 8 is normal but the main ECU 30 is unable to transmit via the main bus 8.
  • All ACT ECUs 50 and HMI ECUs 60 determine that the communication state of the main bus 8 is abnormal when reception via the main bus 8 is interrupted for a predetermined time or more, and select the sub-operation amount and Announcement is executed. Thereafter, all ACT ECUs 50 execute control according to the sub operation amount acquired through the sub bus 9. All the ACT ECUs 50 transmit a main bus failure notification via the main bus 8.
  • the main ECU 30 receives the main bus failure notification, determines that the communication state of the main bus 8 is abnormal, and transmits a switching instruction via the main bus 8. However, in this case, all ACT EUC 50 and HMI ECU 60 cannot normally receive the switching instruction.
  • FIG. 12 shows the operation when the main bus 8 is normal, but the drive system ECU 50a, which is one of the ACT ECUs 50, becomes unable to receive via the main bus 8.
  • the drive system ECU 50a determines that the communication state of the main bus 8 is abnormal when reception via the main bus 8 is interrupted for a predetermined time or more, performs sub-operation amount selection, and performs main operation via the main bus 8. Send a bus failure notification.
  • the main ECU 30 When receiving the main bus failure notification, the main ECU 30 determines that there is an abnormality in the communication state of the main bus 8 and transmits a switching instruction via the main bus 8.
  • the ACT ECU 50 and the HMI ECU 60 other than the drive system ECU 50a execute the sub-operation amount selection and the notification to the driver by receiving the switching instruction. Thereafter, all ACT ECUs 50 execute control according to the sub operation amount acquired through the sub bus 9.
  • FIG. 13 shows the operation when the main bus 8 is normal but the drive system ECU 50a, which is one of the ACT ECUs 50, becomes unable to transmit and receive via the main bus 8.
  • the drive system ECU 50a determines that the communication state of the main bus 8 is abnormal when reception via the main bus 8 is interrupted for a predetermined time or more, performs sub-operation amount selection, and performs main operation via the main bus 8. Send a bus failure notification. However, in this case, the main ECU 30 cannot normally receive the main bus failure notification.
  • the main ECU 30 determines that the communication state of the main bus 8 is abnormal when reception from the drive train ECU 50a is interrupted for a predetermined time or more, and transmits a switching instruction via the main bus 8.
  • the ACT ECU 50 and the HMI ECU 60 other than the drive system ECU 50a receive the switching instruction to execute sub-operation amount selection and notification to the driver. Thereafter, all ACT ECUs 50 execute control according to the sub operation amount acquired through the sub bus 9.
  • FIG. 14 shows the operation when the main bus 8 is normal but the drive system ECU 50a, which is one of the ACT ECUs 50, cannot transmit via the main bus 8.
  • the drive system ECU 50a transmits a main bus failure notification indicating “no failure” in the same manner as the other ACT ECUs 50. However, in this case, the main ECU 30 cannot normally receive the notification from the drive train ECU 50a.
  • the main ECU 30 determines that the communication state of the main bus 8 is abnormal when reception from the drive train ECU 50a is interrupted for a predetermined time or more, and transmits a switching instruction via the main bus 8.
  • All the ACT ECUs 50 and the HMI ECUs 60 including the drive system ECU 50a execute the sub operation amount selection and the notification to the driver by receiving the switching instruction. Thereafter, all ACT ECUs 50 execute control according to the sub operation amount acquired through the sub bus 9.
  • FIG. 15 shows an operation when an abnormal operation of the sub operation unit 43 is detected by the sub ECU 40 during execution of the control according to the main operation amount.
  • All ACT ECUs 50 execute control according to the main operation amount acquired via the main bus 8. At this time, if an abnormality is detected in the sub ECU 40, the sub ECU 40 transmits a sub state via the sub bus 9.
  • the HMI ECU 60 that has received the sub-state performs notification to the driver.
  • FIG. 16 shows an operation when an abnormality is detected in the communication state via the sub-bus 9 in the drive system ECU 50a, which is one of the ACT ECUs 50, when the control according to the main operation amount is executed.
  • All ACT ECUs 50 execute control according to the main operation amount acquired via the main bus 8.
  • the drive system ECU 50a transmits a sub bus failure notification via the sub bus 9 when reception via the sub bus 9 is interrupted for a predetermined time or more for any reason.
  • the sub ECU 40 When the sub ECU 40 receives the sub bus failure notification, the sub ECU 40 transmits the sub state via the sub bus 9.
  • the HMI ECU 60 that has received the sub-state performs notification to the driver.
  • a sub-bus 9 connected to the sub-ECU 40 is provided separately from the main bus 8 connected to the main ECU 30, and information relating to switching from the main operation amount to the sub-operation amount is provided. Transmission / reception is performed via the main bus 8. For this reason, the operation of the sub ECU 40 and the communication state of the sub bus 9 do not affect the operation of the main ECU 30 and the communication state of the main bus 8.
  • the sub-ECU 40 and the sub-bus 9 (hereinafter referred to as sub-system) can apply a lower safety standard in design than the main ECU 30 and the main bus 8 (hereinafter referred to as main system).
  • main system main system
  • the design of the parts related to the sub system can be simplified.
  • the automatic operation control can be continued using the sub system not only when the main ECU 30 fails but also when the main bus 8 fails, the reliability of the control can be improved.
  • the ACT ECU 50 may perform an unintentional switching from the normal main operation amount to the abnormal sub operation amount, and may exhibit an abnormal vehicle behavior. Therefore, a high safety standard is required for the detection of a failure of the sub-bus 9 in the ACT ECU 50.
  • the main bus 8 since the main bus 8 transmits and receives information related to switching from the main operation amount to the sub operation amount, a communication abnormality or failure in the sub bus 9 uses the main system. It does not affect normal control.
  • the operation determination unit 332, the bus determination unit 333, and the main bus IF unit 32 of the main ECU 30, and the main bus determination unit 531 and the main bus IF unit 51 of the ACT ECU 50 are high safety standards. A certain “ASIL D” is required. Further, the operation determination unit 432, the bus determination unit 433, and the sub-bus IF unit 42 of the sub ECU 40 and the sub-bus determination unit 532 and the sub-bus IF unit 52 of the ACT ECU 50 are allowed to have a low safety standard “ASIL B”. .
  • the main bus failure notification, the sub bus failure notification, and the switching instruction are repeatedly transmitted regardless of whether there is an abnormality and whether or not the operation amount switching is necessary.
  • the disclosure is not limited to this.
  • these notifications may be transmitted only when there is an abnormality or when the operation amount needs to be switched.
  • the ACT ECU 50 is configured to switch from the main operation amount to the sub operation amount in accordance with the switching instruction transmitted from the main ECU 30, but the present disclosure is limited to this. Is not to be done.
  • the ACT ECU 50 may be configured to perform switching according to a main bus failure notification transmitted by another ACT ECU 50.
  • the main calculation unit 33 and the sub calculation unit 43 are realized by separate microcomputers, but these may be realized by a single microcomputer.
  • a plurality of functions of one constituent element in the above embodiment may be realized by a plurality of constituent elements, or a single function of one constituent element may be realized by a plurality of constituent elements. . Further, a plurality of functions possessed by a plurality of constituent elements may be realized by one constituent element, or one function realized by a plurality of constituent elements may be realized by one constituent element. Moreover, you may abbreviate
  • (E) In addition to the above-described vehicle control device (that is, the control instruction unit 3, the control target unit 5, the main bus 8, and the subbus 9), a system including the vehicle control device as a constituent element, and a main configuring the vehicle control device A program for causing a computer to function as one of a processing unit (ie, main ECU 30), a sub-processing unit (ie, sub-ECU 40), and a control execution unit (ie, ACT ECU 50 and HMI ECU 60), and recording this program
  • a processing unit ie, main ECU 30
  • a sub-processing unit ie, sub-ECU 40
  • a control execution unit ie, ACT ECU 50 and HMI ECU 60
  • the present disclosure can be realized in various forms such as a non-transitional actual recording medium such as a semiconductor memory.

Abstract

複数の制御実行部（５０）は、メインバスおよびサブバスのいずれにも接続され、実行部（５３４）と、選択部（５３３）と、を備える。実行部は、メインバス（８）に接続されたメイン処理部（３０）からのメイン操作量およびサブバス（９）に接続されたサブ処理部（４０）からのサブ操作量のいずれかを選択操作量として、選択操作量に従って車両制御を実行する。選択部は、初期状態ではメイン操作量を選択操作量に設定し、メインバスを介して行われる通信が予め設定された切替条件を満たす場合に、選択操作量をメイン操作量からサブ操作量に切り替える。

Description

車両制御装置 関連出願の相互参照
　本国際出願は、２０１８年４月２５日に日本国特許庁に出願された日本国特許出願第２０１８－０８４２５７号に基づく優先権を主張するものであり、日本国特許出願第２０１８－０８４２５７号の全内容を本国際出願に参照により援用する。
　本開示は、自動運転制御の信頼性を向上させる技術に関する。
　下記特許文献１には、自動運転制御に関する操作量を演算する機能を有する電子制御装置（以下、メインＥＣＵ）と、操作量に従って制御を実行する機能を有する複数の電子制御装置（以下、ＡＣＴ系ＥＣＵ）とが接続された車載ネットワークにおいて、メインＥＣＵを冗長化する技術が記載されている。具体的には、メインＥＣＵと同様の機能を有するサブＥＣＵを設け、メインＥＣＵおよびサブＥＣＵのいずれもが、操作量の演算の他に、故障等の検出を行って故障検出結果を共通のネットワークを介して送信する。ＡＣＴ系ＥＣＵは、ネットワークを介してメインＥＣＵおよびサブＥＣＵのそれぞれから受信する故障検出結果に従って、メインＥＣＵにて生成された操作量およびサブＥＣＵにて生成された操作量のいずれかを選択して自動運転のための制御を実行する。これにより、メインＥＣＵおよびサブＥＣＵのいずれか一方のＥＣＵに故障が発生しても、他方のＥＣＵにて演算された操作量を用いて自動運転制御の継続が可能となる。
特開２０１７－１９６９６５号公報
　しかしながら、開示者の詳細な検討の結果、特許文献１に記載の従来技術では、以下の課題が見出された。
　即ち、従来技術では、メインＥＣＵとサブＥＣＵとは、同一のネットワークに接続されているため、サブＥＣＵがネットワークを占有して使えなくしてしまう故障等が想定される。つまり、サブＥＣＵの動作がメインＥＣＵの動作に影響を与える可能性があるため、サブＥＣＵの設計には、メインＥＣＵと同等の高い安全基準が求められる。なお、安全基準が高い場合、ＥＣＵに、高いバスの故障検出率と低い故障率とが要求される他、設計において多くのドキュメントを作成することが要求される。また、従来技術では、メインＥＣＵが故障した場合、ＡＣＴ系ＥＣＵは、サブＥＣＵから操作量を取得することで自動運転制御を継続することができる。しかし、ネットワークが故障した場合、ＡＣＴ系ＥＣＵは、メインＥＣＵおよびサブＥＣＵのいずれからも操作量を取得できないため、自動運転制御を継続することができなかった。
　本開示の１つの局面は、自動運転制御における冗長系の設計負荷を軽減しつつ、制御の信頼性を向上させる技術を提供することにある。
　本開示の一態様による車両制御装置は、メイン処理部と、サブ処理部と、メインバスと、サブバスと、複数の制御実行部と、を備える。
　メイン処理部は、自動運転の制御に使用する制御データであるメイン操作量を繰り返し生成する。サブ処理部は、自動運転の制御に使用する制御データであるサブ操作量を繰り返し生成する。メインバスは、メイン処理部に接続される。サブバスは、サブ処理部に接続される。複数の制御実行部は、メインバスおよびサブバスのいずれにも接続される。
　制御実行部は、実行部と、選択部と、を備える。実行部は、メイン操作量およびサブ操作量のいずれかを選択操作量として、選択操作量に従って車両制御を実行する。選択部は、初期状態ではメイン操作量を選択操作量に設定し、メインバスを介して行われる通信が予め設定された切替条件を満たす場合に、選択操作量をメイン操作量からサブ操作量に切り替える。
　このような構成によれば、メイン処理部に接続されるメインバスとは別に、サブ処理部に接続されるサブバスが設けられているため、サブ処理部の動作がメイン処理部の動作に影響を与えることがない。このため、サブ処理部は、メイン処理部と比較して、低い安全基準を適用して設計できるため、サブ処理部やサブバスに関わる部分の設計を簡略化できる。また、メインバスが故障してもサブバスを用いて自動運転制御を継続できるため、制御の信頼性を向上させることができる。
自動運転システムの構成を示すブロック図である。 メインバスおよびサブバスを介して送受信される情報に関する説明図である。 メインＥＣＵおよびサブＥＣＵにおけるバス判断処理のフローチャートである。 メインＥＣＵにおける通知処理のフローチャートである。 サブＥＣＵにおける通知処理のフローチャートである。 ＡＣＴ系ＥＣＵにおける選択処理のフローチャートである。 ＨＭＩ系ＥＣＵにおける報知処理のフローチャートである。 メインＥＣＵにて異常が検出された場合の動作を示す説明図である。 メインバスが故障した場合、およびメインＥＣＵがメインバスを介して送受信不能である場合の動作を示す説明図である。 メインＥＣＵがメインバスを介して受信不能である場合の動作を示す説明図である。 メインＥＣＵがメインバスを介して送信不能である場合の動作を示す説明図である。 ＡＣＴ系ＥＣＵの一つがメインバスを介して受信不能である場合の動作を示す説明図である。 ＡＣＴ系ＥＣＵの一つがメインバスを介して送受信不能である場合の動作を示す説明図である。 ＡＣＴ系ＥＣＵの一つがメインバスを介して送信不能である場合の動作を示す説明図である。 サブＥＣＵにて異常が検出された場合の動作を示す説明図である。 ＡＣＴ系ＥＣＵにてサブバスの異常が検出された場合の動作を示す説明図である。
　以下、図面を参照しながら、本開示の実施形態を説明する。
　［１．構成］
　［１－１．概要］
　図１に示す自動運転システム１は、車両に搭載され、設定経路に従って自動で走行制御を行う自動運転を実現する。以下では、自動運転システム１を搭載した車両を自車両といる。
　自動運転システム１は、情報取得部２と、制御指示部３と、制御対象部５と、センサバス７と、メインバス８と、サブバス９と、を備える。
　情報取得部２は、自動運転に必要な様々な情報を取得して制御指示部３に供給する。情報取得部２は、車両情報部２１と、周辺情報部２２と、道路情報部２３と、を備える。
　車両情報部２１は、自車両に設けられた各種センサから情報を収集して、自車両の挙動を表す車両情報を生成する。車両情報には、自車両の位置、速度、加速度、ヨーレート、および舵角等が含まれてもよい。
　周辺情報部２２は、自車両の前後左右に設置されたカメラからの画像およびレーダセンサからの検出結果に基づき、自車両の周辺領域に存在する他車両を含む各種物体に関する情報や路面に描かれた区画線や標識等に関する情報を生成する。なお、レーダセンサとしては、例えば、ミリ波レーダやレーザレーダ、超音波レーダ等を用いることができる。
　道路情報部２３は、ＶＩＣＳ等の路車間通信を利用したシステム等を用いて取得される情報、および自動運転用の高精度地図が記憶された地図データベースの情報のうち少なくとも一方に基づき、走行中の道路に関する規制情報を含んだ各種道路情報を取得する。なお、ＶＩＣＳとは、Vehicle Information and Communication Systemの略称であり、登録商標である。また、道路情報部２３は、周辺情報部２２による路面に描かれた区画線や標識等の検出結果から認識される情報を用いてもよい。
　制御指示部３は、メインＥＣＵ３０と、サブＥＣＵ４０とを備える。メインＥＣＵ３０およびサブＥＣＵ４０は、いずれも、情報取得部２を構成する各部２１～２３と共にセンサバス７に接続される。また、メインＥＣＵ３０は、メインバス８に接続され、サブＥＣＵ４０は、サブバス９に接続される。メインＥＣＵ３０およびサブＥＣＵ４０は、いずれも情報取得部２から取得される情報と、別途生成される自動運転のための経路情報とに基づいて、車両に搭載された様々なアクチュエータの操作量を生成する。以下では、メインＥＣＵ３０が生成する操作量をメイン操作量という。また、サブＥＣＵ４０が生成する操作量をサブ操作量という。
　制御対象部５は、複数のＡＣＴ系ＥＣＵ５０と、一つ以上のＨＭＩ系ＥＣＵ６０とを備える。ＡＣＴは、アクチュエータの略であり、ＨＭＩは、ヒューマン・マシン・インタフェースの略である。ＡＣＴ系ＥＣＵ５０およびＨＭＩ系ＥＣＵ６０は、いずれも、メインバス８およびサブバス９の両方に接続される。
　ＡＣＴ系ＥＣＵ５０は、制御指示部３からメインバス８またはサブバス９を介して取得される制御データであるアクチュエータの操作量に従って、自ＥＣＵに割り当てられたアクチュエータを駆動する。ＡＣＴ系ＥＣＵ５０には、駆動系ＥＣＵ５０ａ、制動系ＥＣＵ５０ｂ、および操舵系ＥＣＵ５０ｃ等の種類が存在する。駆動系ＥＣＵ５０ａは、少なくともエンジンの作動に関わるアクチュエータを制御する。制動系ＥＣＵ５０ｂは、少なくともブレーキの作動に関わるアクチュエータを制御する。操舵系ＥＣＵ５０ｃは、少なくともステアリングの作動に関わるアクチュエータを制御する。ＡＣＴ系ＥＣＵ５０は、駆動対象となるアクチュエータが異なり駆動対象に応じた制御を行う以外は、いずれも同様に構成される。
　ＨＭＩ系ＥＣＵ６０は、メインバス８およびサブバス９の通信状態を監視し、自車両のドライバーに対して監視結果に応じた報知を実行する。
　なお、メインＥＣＵ３０がメイン処理部、サブＥＣＵ４０がサブ処理部、ＡＣＴ系ＥＣＵ５０が制御実行部、ＨＭＩ系ＥＣＵ６０が報知実行部に相当する。
　［１－２．メインバス／サブバス］
　メインバス８とサブバス９とを介して送受信される情報を、図２を用いて説明する。
　メインバス８では、メイン操作量と、切替指示と、メインバス故障通知とが送受信される。
　メイン操作量は、メインＥＣＵ３０からＡＣＴ系ＥＣＵ５０に向けて送信される。メイン操作量には、ＡＣＴ系ＥＣＵ５０のそれぞれにて使用される自動運転制御に必要な操作量が列挙して示される。
　切替指示は、メインＥＣＵ３０からＡＣＴ系ＥＣＵ５０と、ＨＭＩ系ＥＣＵ６０とに向けて送信される。切替指示は、ＡＣＴ系ＥＣＵ５０において使用する操作量を、メイン操作量からサブ操作量へ切り替えることが必要であるか否かを示す情報であり、具体的には、「切替必要」または「切替不要」が示される。
　メインバス故障通知は、ＡＣＴ系ＥＣＵ５０からメインＥＣＵ３０に向けて送信される。メインバス故障通知は、ＡＣＴ系ＥＣＵ５０においてメインバス８の通信状態に異常があるか否かを判断した結果、即ちメインバス８の故障を検出したか否かを表す情報であり、具体的には、「故障あり」または「故障なし」が示される。
　サブバス９では、サブ操作量と、サブ系状態と、サブバス故障通知とが送受信される。
　サブ操作量は、サブＥＣＵ４０からＡＣＴ系ＥＣＵ５０に向けて送信される。サブ操作量には、ＡＣＴ系ＥＣＵ５０のそれぞれにて使用される自動運転に必要なサブ操作量が列挙して示される。
　サブ系状態は、サブＥＣＵ４０から、ＡＣＴ系ＥＣＵ５０とＨＭＩ系ＥＣＵ６０とに向けて送信される。サブ系状態は、サブＥＣＵ４０にて、自身の動作状態およびサブバス９の通信状態に異常があるか否かを判断した結果を表す情報であり、具体的には、「異常あり」または「異常なし」が示される。
　サブバス故障通知は、ＡＣＴ系ＥＣＵ５０からサブＥＣＵ４０に向けて送信される。サブバス故障通知は、ＡＣＴ系ＥＣＵ５０においてサブバス９の通信状態に異常があるか否かを判断した結果、即ち、サブバス９の故障を検出したか否かを表す情報であり、具体的には、「故障あり」または「故障なし」が示される。
　なお、メインバス８およびサブバス９を介して送受信される上述した各情報には、送信される毎にインクリメントされる送信順情報、およびＣＲＣ等の誤り検出情報が付加される。
　［１－３．ＥＣＵ］
　図１に示すように、メインＥＣＵ３０は、センサバスＩＦ部３１と、メインバスＩＦ部３２と、メイン演算部３３とを備える。サブＥＣＵ４０は、センサバスＩＦ部４１と、サブバスＩＦ部４２と、サブ演算部４３とを備える。ＡＣＴ系ＥＣＵ５０は、メインバスＩＦ部５１と、サブバスＩＦ部５２と、ＡＣＴ演算部５３とを備える。ＨＭＩ系ＥＣＵ６０は、メインバスＩＦ部６１と、サブバスＩＦ部６２と、ＨＭＩ演算部６３とを備える。
　センサバスＩＦ部３１，４１は、センサバス７を介した通信を行う通信回路である。メインバスＩＦ部３２，５１，６１は、メインバス８を介した通信を行う通信回路である。サブバスＩＦ部４２，５２，６２は、サブバス９を介した通信を行う通信回路である。
　メイン演算部３３、サブ演算部４３、ＡＣＴ演算部５３、およびＨＭＩ演算部６３は、いずれも、ＣＰＵと、例えば、ＲＡＭまたはＲＯＭ等の半導体メモリ（以下、メモリ）と、を有するマイクロコンピュータを備える。各演算部３３，４３，５３，６３が実現する各機能は、ＣＰＵが非遷移的実体的記録媒体に格納されたプログラムを実行することにより実現される。この例では、メモリが、プログラムを格納した非遷移的実体的記録媒体に該当する。また、このプログラムが実行されることで、プログラムに対応する方法が実行される。なお、各演算部３３，４３，５３，６３は、それぞれが１つのマイクロコンピュータを備えてもよいし、複数のマイクロコンピュータを備えてもよい。
　各演算部３３，４３，５３，６３が実行する各機能を実現する手法はソフトウェアに限るものではなく、その一部または全部の機能は、一つあるいは複数のハードウェアを用いて実現されてもよい。例えば、上記機能がハードウェアである電子回路によって実現される場合、その電子回路は、デジタル回路、またはアナログ回路、あるいはこれらの組合せによって実現されてもよい。
　［２．処理］
　［２－１．メイン演算部］
　メイン演算部３３は、機能ブロックとして、操作量生成部３３１と、動作判断部３３２と、バス判断部３３３と、指示通知部３３４と、を備える。なお、動作判断部３３２およびバス判断部３３３がメイン判断部に相当する。
　操作量生成部３３１は、センサバスＩＦ部３１を介して情報取得部２から取得した情報に基づいてメイン操作量を繰り返し生成する。
　動作判断部３３２は、メイン演算部３３の動作に異常があるか否かを判断する。具体的には、ＣＰＵについては、例えば、デュアルロックステップ等、ＣＰＵに同じ演算を行わせた結果を検算することで異常の有無を判断してもよい。メモリについては、例えば、メモリへのアクセス時に行われる誤り検出によって、異常の有無を判断してもよい。
　バス判断部３３３は、メインバス８を介した通信状態の異常を判断する。
　指示通知部３３４は、操作量生成部３３１で生成されたメイン操作量を、メインバス８を介して送信すると共に、動作判断部３３２とバス判断部３３３とでの判断結果に従って、切替指示を送信する。
　ここで、メイン演算部３３が、バス判断部３３３としての機能を実現するために実行するバス判断処理、および指示通知部３３４としての機能を実現するために実行する通知処理について、図３および図４のフローチャートを用いて説明する。
　バス判断処理は、メインバス８を介してメインバス故障通知を受信する毎に実行される。以下、受信したバス故障通知を、単に受信通知という。
　図３に示すように、メイン演算部３３は、バス判断処理が開始されると、まず、Ｓ１１０では、メインバス８について既に異常ありと判断されているか否かを判断する。メイン演算部３３は、既に異常ありと判断されている場合は、Ｓ１６０に処理を移行し、未だ異常ありと判断されていない場合は、Ｓ１２０に処理を移行する。
　メイン演算部３３は、Ｓ１２０では、受信通知の前回の受信からの経過時間が、予め設定された規定時間内であるか否かを判断する。規定時間は、一定の時間であり、例えば、受信通知の正常時における平均的な受信間隔の２倍程度に設定されてもよい。メイン演算部３３は、経過時間が規定時間を超えていると判断した場合は、Ｓ１６０に処理を移行し、経過時間が規定時間内であると判断した場合は、Ｓ１３０に処理を移行する。
　メイン演算部３３は、Ｓ１３０では、受信通知に付与されている順序情報に異常があるか否かを判断する。具体的には、前回の受信通知に付与された順序情報と比較することで、順番の入れ替わり、情報の欠落、同一情報の反復受信等が検出された場合に異常があると判断する。なお、本ステップの判断は、受信通知の送信元毎に個別に実施する。メイン演算部３３は、制御対象部５に属するいずれかのＥＣＵからの受信通知について、順序情報に異常があると判断した場合は、Ｓ１６０に処理を移行し、順序情報に異常がないと判断した場合は、Ｓ１４０に処理を移行する。
　メイン演算部３３は、Ｓ１４０では、受信通知に符号誤りがあるか否かを判断する。具体的には、受信通知に付与されている誤り検出情報を用いて符号誤りの有無を判断する。メイン演算部３３は、受信通知に符号誤りがあると判断した場合は、Ｓ１６０に処理を移行し、受信通知に符号誤りはないと判断した場合は、Ｓ１５０に処理を移行する。
　メイン演算部３３は、Ｓ１５０では、メインバス８の通信状態に異常はないと判断して、処理を終了する。
　メイン演算部３３は、Ｓ１６０では、メインバス８の通信状態に異常があると判断して、処理を終了する。
　なお、メインバス８の通信状態に異常があるか否かの判断結果は、例えば、メイン演算部３３が有するメモリに記憶される。
　次に、通知処理は、予め設定された一定周期毎に繰り返し実行される。一定周期は、例えば、メイン操作量の送信周期と一致するように設定されてもよい。
　図４に示すように、メイン演算部３３は、通知処理が開始されると、まず、Ｓ２１０では、動作判断部３３２での判断結果が異常ありであるか否かを判断する。メイン演算部３３は、判断結果が異常ありであればＳ２６０に処理を移行し、判断結果が異常なしであればＳ２２０に処理を移行する。
　メイン演算部３３は、Ｓ２２０では、バス判断部３３３での判断結果が異常ありであるか否かを判断する。メイン演算部３３は、判断結果が異常ありであればＳ２６０に処理を移行し、判断結果が異常なしであればＳ２３０に処理を移行する。
　メイン演算部３３は、Ｓ２３０では、メインバス８を介して「故障あり」と示されたバス故障通知（以下、故障あり通知）を受信したか否かを判断する。メイン演算部３３は、故障あり通知を受信している場合は、Ｓ２６０に処理を移行し、故障あり通知を受信していない場合は、Ｓ２４０に処理を移行する。
　メイン演算部３３は、Ｓ２４０では、操作量生成部３３１で生成された操作量であるメイン操作量を、メインバス８を介して送信する。
　メイン演算部３３は、続くＳ２５０では、「切替不要」と示された切替指示を、メインバス８を介して送信して、処理を終了する。
　メイン演算部３３は、Ｓ２６０では、「切替必要」と示された切替指示通知を、メインバス８を介して送信して、処理を終了する。
　なお、Ｓ２１０～Ｓ２３０の判断にて肯定判断される条件が指示条件に相当する。
　［２－２．サブ演算部］
　サブ演算部４３は、図１に示すように、機能ブロックとして、操作量生成部４３１と、動作判断部４３２と、バス判断部４３３と、状態通知部４３４と、を備える。なお、動作判断部４３２とバス判断部４３３とがサブ判断部に相当する。
　操作量生成部４３１は、センサバスＩＦ部４１を介して情報取得部２から取得した情報に基づいてサブ操作量を繰り返し生成する。なお、サブ操作量はメイン操作量と同様の手法を用いて生成されてもよいし、メイン操作量とは異なる手法を用いて生成されてもよい。例えば、サブ操作量は、より演算量の少ない簡易な手法を用いたり、精度の有効桁数を落としたりして生成してもよい。
　動作判断部４３２は、サブ演算部４３の動作に異常があるか否かを判断する。具体的には、メイン演算部３３の動作判断部３３２と同様の手法を用いてもよい。
　バス判断部４３３は、サブバス９を介した通信状態の異常を判断する。具体的な判断の手法は、メイン演算部３３のバス判断部３３３と同様の手法を用いてもよい。つまり、サブ演算部４３が、バス判断部４３３としての機能を実現するために実行するバス判断処理の内容は、メイン演算部３３が実行するバス判断処理と同様である。但し、上述のＳ１１０～Ｓ２６０の説明において、メイン演算部３３はサブ演算部４３に、メインバス８はサブバス９に、メインバス故障通知はサブバス故障通知に読み替えるものとする。
　状態通知部４３４は、操作量生成部４３１で生成されたサブ操作量を送信すると共に、動作判断部４３２での判断結果とバス判断部４３３での判断結果とに従って、サブ状態を送信する。
　ここで、サブ演算部４３が、状態通知部４３４としての機能を実現するために実行する通知処理について、図５のフローチャートを用いて説明する。
　通知処理は、予め設定された一定周期毎に繰り返し実行される。一定周期は、例えば、サブ操作量の送信周期と一致するように設定されてもよい。
　サブ演算部４３は、通知処理が開始されると、Ｓ３１０では、動作判断部４３２での判断結果が異常ありであるか否かを判断する。Ｓ３２０では、バス判断部４３３での判断結果が異常ありであるか否かを判断する。Ｓ３３０では、サブバス９を介して「故障あり」と示されたサブバス故障通知（以下、故障あり通知）を受信したか否かを判断する。
　サブ演算部４３は、Ｓ３１０またはＳ３２０にて異常ありと判断した場合、あるいはＳ３３０にて故障あり通知を受信したと判断した場合は、Ｓ３６０に処理を移行し、それ以外の場合は、Ｓ３４０に処理を移行する。
　サブ演算部４３は、Ｓ３４０では、操作量生成部４３１で生成された操作量であるサブ操作量を、サブバス９を介して送信する。
　サブ演算部４３は、続くＳ３５０では、「異常なし」と示されたサブ状態を、サブバス９を介して送信して、処理を終了する。
　サブ演算部４３は、Ｓ３６０では、「異常あり」と示されたサブ状態を、サブバス９を介して送信して、処理を終了する。
　［２－３．ＡＣＴ演算部］
　ＡＣＴ演算部５３は、機能ブロックとして、メインバス判断部５３１と、サブバス判断部５３２と、選択部５３３と、実行部５３４と、を備える。
　メインバス判断部５３１は、メインＥＣＵ３０のバス判断部３３３と同様に構成され、サブバス判断部５３２は、サブＥＣＵ４０のバス判断部４３３と同様に構成される。
　選択部５３３は、メインバス判断部５３１とサブバス判断部５３２とでの判断結果等に従って、バス故障通知を送信すると共に、メイン操作量およびサブ操作量のいずれかを選択操作量として選択し、実行部５３４に供給する。なお、出荷時や修理後等の初期状態では、選択操作量として、メイン操作量が選択される。
　実行部５３４は、選択部５３３から供給される選択操作量に従って、アクチュエータ等の制御を実行する。
　ここで、ＡＣＴ演算部５３が、選択部５３３としての機能を実現するために実行する選択処理について、図６のフローチャートを用いて説明する。
　選択処理は、予め設定された一定周期毎に繰り返し実行される。
　ＡＣＴ演算部５３は、選択処理が開始されると、Ｓ４１０では、メインバス判断部５３１での判断結果が異常ありであるか否かを判断する。ＡＣＴ演算部５３は、判断結果が異常ありである場合、Ｓ４８０に処理を移行し、判断結果が異常なしである場合、Ｓ４２０に処理を移行する。
　ＡＣＴ演算部５３は、Ｓ４２０では、「故障なし」と示されたメインバス故障通知を、メインバス８を介して送信する。
　ＡＣＴ演算部５３は、続くＳ４３０では、サブバス判断部５３２での判断結果が異常ありであるか否かを判断する。ＡＣＴ演算部５３は、判断結果が異常ありである場合、Ｓ４４０に処理を移行し、判断結果が異常なしである場合、Ｓ４５０に処理を移行する。
　ＡＣＴ演算部５３は、Ｓ４４０では、「故障あり」と示されたサブバス故障通知を、サブバス９を介して送信し、Ｓ４６０に処理を進める。
　ＡＣＴ演算部５３は、Ｓ４５０では、「故障なし」と示されたサブバス故障通知を、サブバス９を介して送信し、Ｓ４６０に処理を進める。
　ＡＣＴ演算部５３は、Ｓ４６０では、メインバス８を介して「切替必要」と示された切替指示（以下、要切替指示）を受信したか否かを判断する。ＡＣＴ演算部５３は、要切替指示を受信している場合、Ｓ５００に処理を移行し、要切替指示を受信していない場合、Ｓ４７０に処理を移行する。
　ＡＣＴ演算部５３は、Ｓ４７０では、実行部５３４に供給する操作量として、メイン操作量を選択して、処理を終了する。
　ＡＣＴ演算部５３は、Ｓ４８０では、「故障あり」と示されたメインバス故障通知を、メインバス８を介して送信する。
　ＡＣＴ演算部５３は、続くＳ４９０では、「故障なし」と示されたサブバス故障通知を、サブバス９を介して送信して、Ｓ５００に処理を進める。
　ＡＣＴ演算部５３は、Ｓ５００では、実行部５３４に供給する操作量として、サブ操作量を選択して、処理を終了する。
　なお、Ｓ４１０に係るＳ１１０～Ｓ１４０およびＳ４７０での各判断にて肯定判断される条件が切替条件に相当する。また、Ｓ４２０、Ｓ４２０、Ｓ４８０がメイン故障通知部に相当し、Ｓ４３０～Ｓ４５０、Ｓ４９０がサブ故障通知部に相当する。
　［２－４．ＨＭＩ演算部］
　ＨＭＩ演算部６３は、機能ブロックとして、メインバス判断部６３１と、サブバス判断部６３２と、報知部６３３と、を備える。
　メインバス判断部６３１は、メインＥＣＵ３０のバス判断部３３３と同様に構成され、サブバス判断部６３２は、サブＥＣＵ４０のバス判断部４３３と同様に構成される。
　報知部６３３は、メインバス判断部６３１とサブバス判断部６３２とでの判断結果等に従って、自車両のドライバーに対する報知を実行する。
　ここで、ＨＭＩ演算部６３が、報知部６３３としての機能を実現するために実行する報知処理について、図７のフローチャートを用いて説明する。
　報知処理は、予め設定された一定周期毎に繰り返し実行される。
　ＨＭＩ演算部６３は、報知処理が開始されると、Ｓ６１０では、メインバス判断部６３１での判断結果が異常ありであるか否かを判断する。ＨＭＩ演算部６３は、判断結果が異常ありである場合、Ｓ６５０に処理を移行し、判断結果が異常なしである場合、Ｓ６２０に処理を移行する。
　ＨＭＩ演算部６３は、Ｓ６２０では、サブバス判断部６３２での判断結果が異常ありであるか否かを判断する。ＨＭＩ演算部６３は、判断結果が異常ありである場合、Ｓ６５０に処理を移行し、判断結果が異常なしである場合、Ｓ６３０に処理を移行する。
　ＨＭＩ演算部６３は、Ｓ６３０では、メインバス８を介して、「切替必要」と示された切替指示（即ち、要切替指示）を受信したか否かを判断する。ＨＭＩ演算部６３は、要切替指示を受信している場合、Ｓ６５０に処理を移行し、要切替指示を受信していない場合、Ｓ６４０に処理を移行する。
　ＨＭＩ演算部６３は、Ｓ６４０では、メインバス８またはサブバス９を介して、「故障あり」と示されたメインバス故障通知またはサブバス故障通知（以下、故障あり通知）を受信したか否かを判断する。ＨＭＩ演算部６３は、いずれかの故障あり通知を受信している場合、Ｓ６５０に処理を移行し、いずれの故障あり通知も受信していない場合、処理を終了する。
　ＨＭＩ演算部６３は、Ｓ６５０では、検出された異常の形態に応じて、ドライバーに対する報知を実行して、処理を終了する。
　ドライバーに対する報知として、具体的には、例えば、異常が生じたことを異常箇所と共に示す報知を行ってもよい。また、自動運転から手動運転への切替をドライバーに促す報知を行ってもよい。
　［３．動作例］
　自動運転システム１の代表的な動作例を、図８～図１６を用いて説明する。
　基本的に、メインＥＣＵ３０は、メインバス８を介して、メイン操作量と切替指示とを繰り返し送信し、サブＥＣＵ４０は、サブバス９を介して、サブ操作量とサブ状態とを繰り返し送信する。また、ＡＣＴ系ＥＣＵ５０は、メイン操作量を受信する毎に、メインバス８を介してメインバス故障通知を送信し、サブ操作量を受信する毎に、サブバス９を介してサブバス故障通知を送信する。
　図８～図１６では、「切替不要」と示された切替指示、「故障なし」と示されたメインバス故障通知およびサブバス故障通知については、いずれも記載を省略する。以下の説明では、「切替必要」と示された切替指示を、短に切替指示と記述し、「故障あり」と示されたメインバス故障通知およびサブバス故障通知を、単にメインバス故障通知およびサブバス故障通知と記述する。
　図８は、メインＥＣＵ３０にて、メイン演算部３３の動作に異常が検出された場合の動作を示す。
　メインＥＣＵ３０にて異常が検出される前は、ＡＣＴ系ＥＣＵ５０は、メインバス８を介して取得されるメイン操作量に従って制御を実行する。メインＥＣＵ３０にて異常が検出されると、メインＥＣＵ３０は、メインバス８を介して切替指示を送信する。
　切替指示を受信したＡＣＴ系ＥＣＵ５０は、選択操作量をメイン操作量からサブ操作量に切り替えるサブ操作量選択を行なう。以後、全てのＡＣＴ系ＥＣＵ５０は、サブバス９を介して取得されるサブ操作量に従って制御を実行する。また、切替指示を受信したＨＭＩ系ＥＣＵ５０は、ドライバーに対する報知を実行する。
　図９は、メインバス８の故障によりメインバス８を介した通信が不能になった場合、または、メインバス８は正常であるが、メインＥＣＵ３０がメインバス８を介して送受信不能になった場合の動作を示す。
　全てのＡＣＴ系ＥＣＵ５０およびＨＭＩ系ＥＣＵ６０はいずれも、メインバス８を介した受信が、規定時間以上途絶えた時点で、メインバス８の通信状態が異常であると判断する。つまり、全てのＡＣＴ系ＥＣＵ５０およびＨＭＩ系ＥＣＵ６０にて、メインバス８の故障が検出される。このとき、ＨＭＩ系ＥＣＵ６０は、ドライバーに対する報知を実行する。全てのＡＣＴ系ＥＣＵ５０は、サブ操作量選択を行うことで、以後、サブバス９を介して取得されるサブ操作量に従って制御を実行する。また、全てのＡＣＴ系ＥＣＵ５０は、それぞれ、メインバス８を介してメインバス故障通知を送信する。但し、この場合、メインＥＣＵ３０は、これらの通知を正常に受信できない。
　メインＥＣＵ３０は、メインバス８を介した受信が規定時間以上途絶えることで、メインバス８の通信状態が異常であると判断する。つまり、メインＥＣＵ３０でも、メインバス８の故障が検出され、メインＥＣＵ３０は、メインバス８を介して切替指示を送信する。但し、この場合、全てのＡＣＴ系ＥＣＵ５０およびＨＭＩ系ＥＣＵ６０は、切替指示を正常に受信できない。
　図１０は、メインバス８は正常であるが、メインＥＣＵ３０がメインバス８を介して受信不能になった場合の動作を示す。
　全てのＡＣＴ系ＥＣＵ５０は、メインバス８を介した受信を正常に行うことができるため、それぞれ、「故障なし」を示したメインバス故障通知を繰り返し送信する。但し、この場合、メインＥＣＵ３０は、これらの通知を正常に受信できない。
　メインＥＣＵ３０は、メインバス８を介した受信が規定時間以上途絶えることで、メインバス８の通信状態が異常であると判断し、メインバス８を介して切替指示を送信する。
　全てのＡＣＴ系ＥＣＵ５０およびＨＭＩ系ＥＣＵ６０は、切替指示を受信することで、サブ操作量選択およびドライバーへの報知を実行する。以後、全てのＡＣＴ系ＥＣＵ５０が、サブバス９を介して取得されるサブ操作量に従って制御を実行する。
　図１１は、メインバス８は正常であるが、メインＥＣＵ３０がメインバス８を介して送信不能になった場合の動作を示す。
　全てのＡＣＴ系ＥＣＵ５０およびＨＭＩ系ＥＣＵ６０は、メインバス８を介した受信が、規定時間以上途絶えた時点で、メインバス８の通信状態が異常であると判断し、サブ操作量選択およびドライバーへの報知を実行する。以後、全てのＡＣＴ系ＥＣＵ５０が、サブバス９を介して取得されるサブ操作量に従って制御を実行する。また、全てのＡＣＴ系ＥＣＵ５０は、それぞれ、メインバス８を介してメインバス故障通知を送信する。
　メインＥＣＵ３０は、メインバス故障通知を受信するとこで、メインバス８の通信状態が異常であると判断し、メインバス８を介して切替指示を送信する。但し、この場合、全てのＡＣＴ系ＥＵＣ５０およびＨＭＩ系ＥＣＵ６０は、切替指示を正常に受信できない。
　図１２は、メインバス８は正常であるが、ＡＣＴ系ＥＣＵ５０の一つである駆動系ＥＣＵ５０ａがメインバス８を介して受信不能になった場合の動作を示す。
　駆動系ＥＣＵ５０ａは、メインバス８を介した受信が規定時間以上途絶えることで、メインバス８の通信状態が異常であると判断し、サブ操作量選択を実行すると共に、メインバス８を介してメインバス故障通知を送信する。
　メインＥＣＵ３０は、メインバス故障通知を受信すると、メインバス８の通信状態に異常があると判断し、メインバス８を介して切替指示を送信する。
　駆動系ＥＣＵ５０ａ以外のＡＣＴ系ＥＣＵ５０およびＨＭＩ系ＥＣＵ６０は、切替指示を受信することで、サブ操作量選択およびドライバーへの報知を実行する。以後、全てのＡＣＴ系ＥＣＵ５０が、サブバス９を介して取得されるサブ操作量に従って制御を実行する。
　図１３は、メインバス８は正常であるが、ＡＣＴ系ＥＣＵ５０の一つである駆動系ＥＣＵ５０ａがメインバス８を介して送受信不能になった場合の動作を示す。
　駆動系ＥＣＵ５０ａは、メインバス８を介した受信が規定時間以上途絶えることで、メインバス８の通信状態が異常であると判断し、サブ操作量選択を実行すると共に、メインバス８を介してメインバス故障通知を送信する。但し、この場合は、メインＥＣＵ３０は、メインバス故障通知を正常に受信できない。
　メインＥＣＵ３０は、駆動系ＥＣＵ５０ａからの受信が規定時間以上途絶えることで、メインバス８の通信状態が異常であると判断し、メインバス８を介して切替指示を送信する。
　駆動系ＥＣＵ５０ａ以外のＡＣＴ系ＥＣＵ５０およびＨＭＩ系ＥＣＵ６０はいずれも、切替指示を受信することで、サブ操作量選択およびドライバーへの報知を実行する。以後、全てのＡＣＴ系ＥＣＵ５０が、サブバス９を介して取得されるサブ操作量に従って制御を実行する。
　図１４は、メインバス８は正常であるが、ＡＣＴ系ＥＣＵ５０の一つである駆動系ＥＣＵ５０ａがメインバス８を介して送信不能になった場合の動作を示す。
　駆動系ＥＣＵ５０ａは、他のＡＣＴ系ＥＣＵ５０と同様に、「故障なし」を示したメインバス故障通知を送信する。但し、この場合、メインＥＣＵ３０は、駆動系ＥＣＵ５０ａからの通知を正常に受信できない。
　メインＥＣＵ３０は、駆動系ＥＣＵ５０ａからの受信が規定時間以上途絶えることで、メインバス８の通信状態が異常であると判断し、メインバス８を介して切替指示を送信する。
　駆動系ＥＣＵ５０ａを含む全てのＡＣＴ系ＥＣＵ５０およびＨＭＩ系ＥＣＵ６０は、切替指示を受信することで、サブ操作量選択とドライバーへの報知とを実行する。以後、全てのＡＣＴ系ＥＣＵ５０が、サブバス９を介して取得されるサブ操作量に従って制御を実行する。
　図１５は、メイン操作量に従った制御の実行時に、サブＥＣＵ４０にてサブ演算部４３の動作異常が検出された場合の動作を示す。
　全てのＡＣＴ系ＥＣＵ５０は、メインバス８を介して取得されるメイン操作量に従って制御を実行する。このとき、サブＥＣＵ４０にて異常が検出されると、サブＥＣＵ４０は、サブバス９を介してサブ状態を送信する。サブ状態を受信したＨＭＩ系ＥＣＵ６０は、ドライバーに対する報知を実行する。
　なお、サブＥＣＵ４０にて、サブバス９を介した受信が規定時間以上途絶えた場合も、図１５に示したものと、同様の動作となる。
　図１６は、メイン操作量に従った制御の実行時に、ＡＣＴ系ＥＣＵ５０の一つである駆動系ＥＣＵ５０ａにて、サブバス９を介した通信状態に異常が検出された場合の動作を示す。
　全てのＡＣＴ系ＥＣＵ５０は、メインバス８を介して取得されるメイン操作量に従って制御を実行する。
　駆動系ＥＣＵ５０ａは、何等かの理由で、サブバス９を介した受信が規定時間以上途絶えると、サブバス９を介してサブバス故障通知を送信する。
　サブＥＣＵ４０は、サブバス故障通知を受信すると、サブバス９を介してサブ状態を送信する。サブ状態を受信したＨＭＩ系ＥＣＵ６０は、ドライバーに対する報知を実行する。
　［４．効果］
　以上詳述した第１実施形態によれば、以下の効果を奏する。
　（１）自動運転システム１では、メインＥＣＵ３０に接続されるメインバス８とは別に、サブＥＣＵ４０に接続されるサブバス９が設けられ、しかも、メイン操作量からサブ操作量への切り替えに関わる情報の送受信を、メインバス８を介して行う。このため、サブＥＣＵ４０の動作とサブバス９の通信状態とが、メインＥＣＵ３０の動作とメインバス８の通信状態とに影響を与えることがない。その結果、自動運転システム１によれば、サブＥＣＵ４０およびサブバス９（以下、サブ系）は、メインＥＣＵ３０およびメインバス８（以下、メイン系）と比較して、設計において低い安全基準を適用でき、サブ系に関わる部分の設計を簡略化できる。また、メインＥＣＵ３０の故障時はもちろん、メインバス８の故障時にも、サブ系を用いて自動運転制御を継続できるため、制御の信頼性を向上させることができる。
　（２）自動運転システム１では、メインバス８を介した通信状態の異常が、一部のＡＣＴ系ＥＣＵ５０で検出された場合に、「切替必要」が示された切替指示を送信することで、全てのＡＣＴ系ＥＣＵ５０にサブ操作量を選択させる。このため、メイン操作量とサブ操作量との間で整合がとれている保証がない場合であっても、全てのＡＣＴ系ＥＣＵ５０は、互いに整合のとれた制御を行うことができる。
　（３）自動運転システム１では、何等かの異常が検出されていない場合および操作量の選択を切り替える必要がない場合でも、その旨を示すメインバス故障通知、サブバス故障通知、および切替指示が、常時送信される。このため、メインバス８およびサブバス９の故障によって、これらの通知自体を送受信できない場合であっても、これらの通知の受信が途絶することから、通信状態の異常を検出できる。
　［５．安全基準について］
　サブ系（即ち、サブバス９およびサブＥＣＵ４０）を用いて送受信される情報は、通常時、メイン系（即ち、メインバス８およびメインＥＣＵ３０）に故障がないときには、使用されない。このため、サブ系に故障があったとしても即座に危険にはならず、ＩＳＯ２６２６２におけるレイテントフォールトの扱いとなる。従って、自動運転システム１の全体に、最も高い安全基準「ＡＳＩＬ　Ｄ」が要求されるとしても、サブＥＣＵ４０の故障検出の設計、および各ＥＣＵにおけるサブバス９の故障検出の設計については、いずれも、より低い安全基準「ＡＳＩＬ　Ｂ」での設計が許容される。
　但し、例えば、メインＥＣＵ３０から切替指示をメインバス８ではなくサブバス９で送信する構成を仮定した場合、サブＥＣＵ４０がサブバス９を占有する事態が生じたときに、切替指示を送信できなくなるおそれがある。このため、サブＥＣＵ４０においても高い安全基準が要求される。
　また、サブバス９にノイズがのった場合、誤った切替指示、かつ異常なサブ操作量が送信される可能性がある。この場合、ＡＣＴ系ＥＣＵ５０にて、正常なメイン操作量から異常なサブ操作量への意図しない切り替えが実行され、異常な車両挙動を示す可能性がある。従って、ＡＣＴ系ＥＣＵ５０におけるサブバス９の故障検出に対しても高い安全基準が要求される。
　更に、ＡＣＴ系ＥＣＵ５０からメインバス故障通知をサブバス９で送信する構成を仮定した場合、上述のサブバス９にノイズがのった場合と同様に、誤ったメインバス故障かつ異常なサブ操作量が送信される可能性がある。この場合、メインバス故障を受信したメインＥＣＵ３０から切替指示が送信されることで、全てのＡＣＴ系ＥＣＵ５０にて、正常なメイン操作量から異常なサブ操作量へ意図しない切り替えが実行され、異常な車両挙動を示す可能性がある。従って、ＡＣＴ系ＥＣＵ５０におけるサブバス９の故障検出に対しても高い安全基準が要求される。
　つまり、自動運転システム１では、メイン操作量からサブ操作量への切り替えに関わる情報の送受信を、メインバス８にて行っているため、サブバス９での通信異常または故障が、メイン系を用いた通常時の制御に影響を与えることがない。
　なお、自動運転システム１では、メインＥＣＵ３０の動作判断部３３２、バス判断部３３３およびメインバスＩＦ部３２と、ＡＣＴ系ＥＣＵ５０のメインバス判断部５３１およびメインバスＩＦ部５１とは、高い安全基準である「ＡＳＩＬ　Ｄ」が要求される。また、サブＥＣＵ４０の動作判断部４３２、バス判断部４３３およびサブバスＩＦ部４２と、ＡＣＴ系ＥＣＵ５０のサブバス判断部５３２およびサブバスＩＦ部５２とは、低い安全基準である「ＡＳＩＬ　Ｂ」が許容される。
　［６．他の実施形態］
　以上、本開示の実施形態について説明したが、本開示は上述の実施形態に限定されることなく、種々変形して実施することができる。
　（ａ）上記実施形態では、異常の有無および操作量切替の要不要に関わらず、メインバス故障通知と、サブバス故障通知と、切替指示とを、繰り返し送信するように構成されているが、本開示は、これに限定されるものではない。例えば、異常がある場合、または操作量の切替が必要であり場合にのみ、これらの通知を送信するように構成されてもよい。
　（ｂ）上記実施形態では、メインＥＣＵ３０から送信される切替指示に従って、ＡＣＴ系ＥＣＵ５０は、メイン操作量からサブ操作量への切替を行うように構成されているが、本開示は、これに限定されるものではない。例えば、ＡＣＴ系ＥＣＵ５０は、他のＡＣＴ系ＥＣＵ５０が送信したメインバス故障通知に従って切替を行うように構成されてもよい。
　（ｃ）上記実施形態では、メイン演算部３３とサブ演算部４３とが、別々のマイクロコンピュータによって実現されているが、これらは単一のマイクロコンピュータによって実現されてもよい。
　（ｄ）上記実施形態における１つの構成要素が有する複数の機能を、複数の構成要素によって実現したり、１つの構成要素が有する１つの機能を、複数の構成要素によって実現したりしてもよい。また、複数の構成要素が有する複数の機能を、１つの構成要素によって実現したり、複数の構成要素によって実現される１つの機能を、１つの構成要素によって実現したりしてもよい。また、上記実施形態の構成の一部を省略してもよい。また、上記実施形態の構成の少なくとも一部を、他の上記実施形態の構成に対して付加または置換してもよい。
　（ｅ）上述した車両制御装置（即ち、制御指示部３、制御対象部５、メインバス８およびサブバス９）の他、当該車両制御装置を構成要素とするシステム、当該車両制御装置を構成するメイン処理部（即ち、メインＥＣＵ３０）、サブ処理部（即ち、サブＥＣＵ４０）、および制御実行部（即ち、ＡＣＴ系ＥＣＵ５０およびＨＭＩ系ＥＣＵ６０）のいずれかとしてコンピュータを機能させるためのプログラム、このプログラムを記録した半導体メモリ等の非遷移的実態的記録媒体など、種々の形態で本開示を実現することもできる。

Claims (9)

  1. 　自動運転の制御に使用する制御データであるメイン操作量を繰り返し生成するように構成されたメイン処理部（３０）と、
    　自動運転の制御に使用する制御データであるサブ操作量を繰り返し生成するように構成されたサブ処理部（４０）と、
    　前記メイン処理部に接続されるメインバス（８）と、
    　前記サブ処理部に接続されるサブバス（９）と、
    　前記メインバスおよび前記サブバスのいずれにも接続される複数の制御実行部（５０）と、
    　を備え、
    　前記制御実行部は、
    　前記メイン操作量および前記サブ操作量のいずれかを選択操作量として、前記選択操作量に従って車両制御を実行するように構成された実行部（５３４）と、
    　初期状態では前記メイン操作量を前記選択操作量に設定し、前記メインバスを介して行われる通信が予め設定された切替条件を満たす場合に、前記選択操作量を前記メイン操作量から前記サブ操作量に切り替えるように構成された選択部（５３３：Ｓ４１０、Ｓ４６０、Ｓ４７０、Ｓ５００）と、
    　を備える車両制御装置。
  2. 　請求項１に記載の車両制御装置であって、
    　前記メイン処理部は、予め設定された指示条件を満たす場合に、前記メインバスを介して切替指示を送信するように構成された指示通知部（３３４）を備え、
    　前記制御実行部は、前記選択部で使用される前記切替条件の一つとして、前記メインバスを介して前記切替指示を受信することを含む
    　車両制御装置。
  3. 　請求項２に記載の車両制御装置であって、
    　前記メイン処理部は、当該メイン処理部の動作および前記メインバスを介した通信のうち少なくとも一方について異常があるか否かを繰り返し判断するように構成されたメイン判断部（３３２，３３３）を更に備えると共に、前記指示通知部で使用される前記指示条件の一つとして、前記メイン判断部での判断結果が異常ありであることを含む
    　車両制御装置。
  4. 　請求項２または請求項３に記載の車両制御装置であって、
    　前記制御実行部は、
    　前記メインバスを介した通信に異常があるか否かを判断するように構成されたメインバス判断部（５３１）と、
    　前記メインバス判断部での判断結果を表すバス故障通知を、前記メインバスを介して送信するように構成されたメイン故障通知部（５３３：Ｓ４１０、Ｓ４２０、Ｓ４８０）と、を更に備え、
    　前記メイン処理部は、前記指示通知部で使用される前記指示条件の一つとして、前記メインバスを介して受信する前記バス故障通知の受信が一定時間以上途絶えること、および前記バス故障通知の内容が異常ありであることのうち少なくとも一方を含む
    　車両制御装置。
  5. 　請求項４に記載の車両制御装置であって、
    　前記制御実行部は、前記選択部で使用される前記切替条件の一つとして、前記メインバス判断部により異常ありと判断されることを含む
    　車両制御装置。
  6. 　請求項４または請求項５に記載の車両制御装置であって、
    　前記メインバス判断部は、前記制御データの受信が一定時間以上途絶えた場合、または前記制御データの内容に誤りがある場合に、異常ありと判断する
    　車両制御装置。
  7. 　請求項１から請求項６までのいずれか１項に記載の車両制御装置であって、
    　前記サブ処理部は、
    　当該サブ処理部の動作および前記サブバスを介した通信のうち少なくとも一方について異常があるか否かを判断するように構成されたサブ判断部（４３２，４３３）と、
    　前記サブ判断部での判断結果を表すサブ状態を、前記サブバスを介して送信するように構成された状態通知部（４３４）と、
    　を備える、車両制御装置。
  8. 　請求項７に記載の車両制御装置であって、
    　前記制御実行部は、
    　前記サブバスを介した通信に異常があるか否かを判断するように構成されたサブバス判断部（５３２）と、
    　前記サブバス判断部での判断結果を表すバス故障通知を、前記サブバスを介して送信するように構成されたサブ故障通知部（５３２：Ｓ４３０～Ｓ４５０、Ｓ４９０）と、を更に備え、
    　前記サブ処理部の前記状態通知部は、前記サブバスを介して受信する前記バス故障通知により異常の有無を判断する
    　車両制御装置。
  9. 　請求項１から請求項８までのいずれか１項に記載の車両制御装置であって、
    　前記メインバスおよび前記サブバスに接続され、前記メインバスおよび前記サブバスを介した通信に異常があるか否かを判断し、前記メインバスおよび前記サブバスの少なくとも一方にて異常ありと判断された場合に、車両のドライバーに対する報知を行うように構成された報知実行部（６０）を更に備える
    　車両制御装置。
PCT/JP2019/016846 2018-04-25 2019-04-19 車両制御装置 WO2019208442A1 (ja)

Priority Applications (3)

Application Number Priority Date Filing Date Title
EP19792065.5A EP3786021A4 (en) 2018-04-25 2019-04-19 VEHICLE CONTROL DEVICE
CN201980027667.1A CN112004730B (zh) 2018-04-25 2019-04-19 车辆控制装置
US17/076,028 US20210031792A1 (en) 2018-04-25 2020-10-21 Vehicle control device

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2018084257A JP6981357B2 (ja) 2018-04-25 2018-04-25 車両制御装置
JP2018-084257 2018-04-25

Related Child Applications (1)

Application Number Title Priority Date Filing Date
US17/076,028 Continuation US20210031792A1 (en) 2018-04-25 2020-10-21 Vehicle control device

Publications (1)

Publication Number Publication Date
WO2019208442A1 true WO2019208442A1 (ja) 2019-10-31

Family

ID=68294295

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2019/016846 WO2019208442A1 (ja) 2018-04-25 2019-04-19 車両制御装置

Country Status (5)

Country Link
US (1) US20210031792A1 (ja)
EP (1) EP3786021A4 (ja)
JP (1) JP6981357B2 (ja)
CN (1) CN112004730B (ja)
WO (1) WO2019208442A1 (ja)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2022208856A1 (ja) * 2021-04-01 2022-10-06 日本電信電話株式会社 通信システム、切替装置、切替方法、及びプログラム

Families Citing this family (11)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20210122385A1 (en) * 2019-10-28 2021-04-29 Pony Ai Inc. Systems and methods for emergency bus protection in an autonomous vehicle
JP7276122B2 (ja) * 2019-12-26 2023-05-18 トヨタ自動車株式会社 運転制御システム
KR20210138201A (ko) * 2020-05-11 2021-11-19 현대자동차주식회사 자율 주행 제어 방법 및 장치
JP6987201B1 (ja) * 2020-10-22 2021-12-22 三菱電機株式会社 車両制御装置及び車両制御方法
KR20220059579A (ko) * 2020-11-03 2022-05-10 현대자동차주식회사 자율주행 차량의 통신 리던던시 시스템
KR102365256B1 (ko) * 2020-11-13 2022-02-22 주식회사 현대케피코 차량용 모터 제어 장치 및 그 제어방법
US20230406332A1 (en) 2020-11-16 2023-12-21 Mitsubishi Electric Corporation Vehicle control system
JP7435432B2 (ja) * 2020-12-15 2024-02-21 株式会社豊田自動織機 フォークリフト
JP7179047B2 (ja) 2020-12-28 2022-11-28 本田技研工業株式会社 車両制御装置、車両制御方法、およびプログラム
JP7213935B1 (ja) 2021-10-19 2023-01-27 三菱電機株式会社 自動運転制御装置、及び、自動運転制御方法
CN114734979B (zh) * 2022-05-10 2024-04-26 北京理工大学 一种智能网联混合动力车辆域控制系统及其控制方法

Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPH0597004A (ja) * 1991-10-04 1993-04-20 Nissan Motor Co Ltd 複数コントロールユニツトを備える制御システム
JP2010136286A (ja) * 2008-12-08 2010-06-17 Denso Corp 車載通信ネットワークシステム
JP2016055832A (ja) * 2014-09-12 2016-04-21 日立オートモティブシステムズ株式会社 駆動装置の制御装置
JP2017196965A (ja) 2016-04-26 2017-11-02 三菱電機株式会社 自動運転制御装置および自動運転制御方法
WO2017199967A1 (ja) * 2016-05-18 2017-11-23 ナブテスコオートモーティブ 株式会社 車両運転制御システム
JP2018084257A (ja) 2016-11-21 2018-05-31 カヤバ システム マシナリー株式会社 免震用ダンパ

Family Cites Families (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
DE10032179A1 (de) * 2000-07-01 2002-01-17 Daimler Chrysler Ag Steuerungssystem für ein Fahrzeug und Verfahren zur Steuerung eines Fahrzeugs
JP4399987B2 (ja) * 2001-01-25 2010-01-20 株式会社デンソー 車両統合制御におけるフェイルセーフシステム
JP4478037B2 (ja) * 2004-01-30 2010-06-09 日立オートモティブシステムズ株式会社 車両制御装置
EP2177413B1 (en) * 2004-07-15 2015-02-25 Hitachi, Ltd. Vehicle control system
US9604585B2 (en) * 2014-07-11 2017-03-28 Ford Global Technologies, Llc Failure management in a vehicle
JP2018024290A (ja) * 2016-08-08 2018-02-15 トヨタ自動車株式会社 車両走行制御装置

Patent Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPH0597004A (ja) * 1991-10-04 1993-04-20 Nissan Motor Co Ltd 複数コントロールユニツトを備える制御システム
JP2010136286A (ja) * 2008-12-08 2010-06-17 Denso Corp 車載通信ネットワークシステム
JP2016055832A (ja) * 2014-09-12 2016-04-21 日立オートモティブシステムズ株式会社 駆動装置の制御装置
JP2017196965A (ja) 2016-04-26 2017-11-02 三菱電機株式会社 自動運転制御装置および自動運転制御方法
WO2017199967A1 (ja) * 2016-05-18 2017-11-23 ナブテスコオートモーティブ 株式会社 車両運転制御システム
JP2018084257A (ja) 2016-11-21 2018-05-31 カヤバ システム マシナリー株式会社 免震用ダンパ

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2022208856A1 (ja) * 2021-04-01 2022-10-06 日本電信電話株式会社 通信システム、切替装置、切替方法、及びプログラム

Also Published As

Publication number Publication date
US20210031792A1 (en) 2021-02-04
CN112004730A (zh) 2020-11-27
CN112004730B (zh) 2023-08-22
JP2019189029A (ja) 2019-10-31
EP3786021A1 (en) 2021-03-03
EP3786021A4 (en) 2021-06-30
JP6981357B2 (ja) 2021-12-15

Similar Documents

Publication Publication Date Title
WO2019208442A1 (ja) 車両制御装置
US11360864B2 (en) Vehicle safety electronic control system
US11398944B2 (en) Vehicle fault handling method, apparatus, device and storage medium
JP6220232B2 (ja) 車両の制御装置
JP2010285001A (ja) 電子制御システム、機能代行方法
WO2017073415A1 (ja) 車両制御装置、車両制御システム
US20150307110A1 (en) Method for a Driver Assistance Application
JP5028198B2 (ja) ナビゲーション利用自動車制御装置および制御方法
JP2019128639A (ja) 電子制御装置
JPH11250029A (ja) 少なくとも２つのプロセッサからなるコンピュータ装置のモニタ方法および装置
CN109017628B (zh) 冗余通信系统的消息序列评估
JP2019151158A (ja) 車両制御装置
CN112740121A (zh) 用于车辆的控制架构
JP2015067234A (ja) 車両制御装置
JP2009213092A (ja) 異常箇所特定装置、その制御プログラム、および異常箇所特定システム
KR20190100482A (ko) 주행 모드 전환 장치 및 방법
WO2019244269A1 (ja) 自動運転支援システム及びその動作方法
JP6441380B2 (ja) 車載用変速機制御装置
JP2013129291A (ja) 車両用通信制御装置、車両用通信ネットワークの制御方法、車両用通信ネットワークの制御プログラム
JP2004291943A (ja) 車両用制御装置
KR100860486B1 (ko) 차량자세제어시스템에서 캔 메시지 타임아웃 에러 체크방법
JP2020093707A (ja) 電子制御装置
WO2021019715A1 (ja) 車両制御装置
KR20180128576A (ko) 다중 코어 제어 방법
WO2022172498A1 (ja) 車載型コンピュータシステムおよび自動運転支援システム

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 19792065

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

ENP Entry into the national phase

Ref document number: 2019792065

Country of ref document: EP

Effective date: 20201125