WO2020129523A1 - 電子制御装置および車載システム - Google Patents

電子制御装置および車載システム Download PDF

Info

Publication number
WO2020129523A1
WO2020129523A1 PCT/JP2019/045370 JP2019045370W WO2020129523A1 WO 2020129523 A1 WO2020129523 A1 WO 2020129523A1 JP 2019045370 W JP2019045370 W JP 2019045370W WO 2020129523 A1 WO2020129523 A1 WO 2020129523A1
Authority
WO
WIPO (PCT)
Prior art keywords
vehicle
failure
electronic control
operation mode
unit
Prior art date
Application number
PCT/JP2019/045370
Other languages
English (en)
French (fr)
Inventor
博史 篠田
坂本　英之
Original Assignee
日立オートモティブシステムズ株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 日立オートモティブシステムズ株式会社 filed Critical 日立オートモティブシステムズ株式会社
Priority to CN201980082587.6A priority Critical patent/CN113195330B/zh
Priority to US17/414,795 priority patent/US11787425B2/en
Publication of WO2020129523A1 publication Critical patent/WO2020129523A1/ja

Links

Images

Classifications

    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60W—CONJOINT CONTROL OF VEHICLE SUB-UNITS OF DIFFERENT TYPE OR DIFFERENT FUNCTION; CONTROL SYSTEMS SPECIALLY ADAPTED FOR HYBRID VEHICLES; ROAD VEHICLE DRIVE CONTROL SYSTEMS FOR PURPOSES NOT RELATED TO THE CONTROL OF A PARTICULAR SUB-UNIT
    • B60W50/00—Details of control systems for road vehicle drive control not related to the control of a particular sub-unit, e.g. process diagnostic or vehicle driver interfaces
    • B60W50/02—Ensuring safety in case of control system failures, e.g. by diagnosing, circumventing or fixing failures
    • B60W50/0205—Diagnosing or detecting failures; Failure detection models
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60W—CONJOINT CONTROL OF VEHICLE SUB-UNITS OF DIFFERENT TYPE OR DIFFERENT FUNCTION; CONTROL SYSTEMS SPECIALLY ADAPTED FOR HYBRID VEHICLES; ROAD VEHICLE DRIVE CONTROL SYSTEMS FOR PURPOSES NOT RELATED TO THE CONTROL OF A PARTICULAR SUB-UNIT
    • B60W50/00—Details of control systems for road vehicle drive control not related to the control of a particular sub-unit, e.g. process diagnostic or vehicle driver interfaces
    • B60W50/02—Ensuring safety in case of control system failures, e.g. by diagnosing, circumventing or fixing failures
    • B60W50/029—Adapting to failures or work around with other constraints, e.g. circumvention by avoiding use of failed parts
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60W—CONJOINT CONTROL OF VEHICLE SUB-UNITS OF DIFFERENT TYPE OR DIFFERENT FUNCTION; CONTROL SYSTEMS SPECIALLY ADAPTED FOR HYBRID VEHICLES; ROAD VEHICLE DRIVE CONTROL SYSTEMS FOR PURPOSES NOT RELATED TO THE CONTROL OF A PARTICULAR SUB-UNIT
    • B60W50/00—Details of control systems for road vehicle drive control not related to the control of a particular sub-unit, e.g. process diagnostic or vehicle driver interfaces
    • B60W50/02—Ensuring safety in case of control system failures, e.g. by diagnosing, circumventing or fixing failures
    • B60W50/035—Bringing the control units into a predefined state, e.g. giving priority to particular actuators
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60W—CONJOINT CONTROL OF VEHICLE SUB-UNITS OF DIFFERENT TYPE OR DIFFERENT FUNCTION; CONTROL SYSTEMS SPECIALLY ADAPTED FOR HYBRID VEHICLES; ROAD VEHICLE DRIVE CONTROL SYSTEMS FOR PURPOSES NOT RELATED TO THE CONTROL OF A PARTICULAR SUB-UNIT
    • B60W60/00—Drive control systems specially adapted for autonomous road vehicles
    • B60W60/001—Planning or execution of driving tasks
    • B60W60/0015—Planning or execution of driving tasks specially adapted for safety
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60W—CONJOINT CONTROL OF VEHICLE SUB-UNITS OF DIFFERENT TYPE OR DIFFERENT FUNCTION; CONTROL SYSTEMS SPECIALLY ADAPTED FOR HYBRID VEHICLES; ROAD VEHICLE DRIVE CONTROL SYSTEMS FOR PURPOSES NOT RELATED TO THE CONTROL OF A PARTICULAR SUB-UNIT
    • B60W60/00—Drive control systems specially adapted for autonomous road vehicles
    • B60W60/001—Planning or execution of driving tasks
    • B60W60/0015—Planning or execution of driving tasks specially adapted for safety
    • B60W60/0018—Planning or execution of driving tasks specially adapted for safety by employing degraded modes, e.g. reducing speed, in response to suboptimal conditions
    • B60W60/00186—Planning or execution of driving tasks specially adapted for safety by employing degraded modes, e.g. reducing speed, in response to suboptimal conditions related to the vehicle
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60W—CONJOINT CONTROL OF VEHICLE SUB-UNITS OF DIFFERENT TYPE OR DIFFERENT FUNCTION; CONTROL SYSTEMS SPECIALLY ADAPTED FOR HYBRID VEHICLES; ROAD VEHICLE DRIVE CONTROL SYSTEMS FOR PURPOSES NOT RELATED TO THE CONTROL OF A PARTICULAR SUB-UNIT
    • B60W50/00—Details of control systems for road vehicle drive control not related to the control of a particular sub-unit, e.g. process diagnostic or vehicle driver interfaces
    • B60W50/02—Ensuring safety in case of control system failures, e.g. by diagnosing, circumventing or fixing failures
    • B60W50/0205—Diagnosing or detecting failures; Failure detection models
    • B60W2050/021—Means for detecting failure or malfunction
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60W—CONJOINT CONTROL OF VEHICLE SUB-UNITS OF DIFFERENT TYPE OR DIFFERENT FUNCTION; CONTROL SYSTEMS SPECIALLY ADAPTED FOR HYBRID VEHICLES; ROAD VEHICLE DRIVE CONTROL SYSTEMS FOR PURPOSES NOT RELATED TO THE CONTROL OF A PARTICULAR SUB-UNIT
    • B60W50/00—Details of control systems for road vehicle drive control not related to the control of a particular sub-unit, e.g. process diagnostic or vehicle driver interfaces
    • B60W50/02—Ensuring safety in case of control system failures, e.g. by diagnosing, circumventing or fixing failures
    • B60W50/0205—Diagnosing or detecting failures; Failure detection models
    • B60W2050/0215—Sensor drifts or sensor failures
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60W—CONJOINT CONTROL OF VEHICLE SUB-UNITS OF DIFFERENT TYPE OR DIFFERENT FUNCTION; CONTROL SYSTEMS SPECIALLY ADAPTED FOR HYBRID VEHICLES; ROAD VEHICLE DRIVE CONTROL SYSTEMS FOR PURPOSES NOT RELATED TO THE CONTROL OF A PARTICULAR SUB-UNIT
    • B60W50/00—Details of control systems for road vehicle drive control not related to the control of a particular sub-unit, e.g. process diagnostic or vehicle driver interfaces
    • B60W50/02—Ensuring safety in case of control system failures, e.g. by diagnosing, circumventing or fixing failures
    • B60W50/029—Adapting to failures or work around with other constraints, e.g. circumvention by avoiding use of failed parts
    • B60W2050/0292—Fail-safe or redundant systems, e.g. limp-home or backup systems
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60W—CONJOINT CONTROL OF VEHICLE SUB-UNITS OF DIFFERENT TYPE OR DIFFERENT FUNCTION; CONTROL SYSTEMS SPECIALLY ADAPTED FOR HYBRID VEHICLES; ROAD VEHICLE DRIVE CONTROL SYSTEMS FOR PURPOSES NOT RELATED TO THE CONTROL OF A PARTICULAR SUB-UNIT
    • B60W50/00—Details of control systems for road vehicle drive control not related to the control of a particular sub-unit, e.g. process diagnostic or vehicle driver interfaces
    • B60W50/02—Ensuring safety in case of control system failures, e.g. by diagnosing, circumventing or fixing failures
    • B60W50/029—Adapting to failures or work around with other constraints, e.g. circumvention by avoiding use of failed parts
    • B60W2050/0297—Control Giving priority to different actuators or systems

Definitions

  • the present invention relates to an electronic control device and an in-vehicle system.
  • Autonomous driving system is a system that can solve various social issues such as reducing the number of accidents and eliminating traffic jams, and efforts to put it into practical use are increasing year by year.
  • an automatic driving ECU Electronic Control Unit
  • ECU Electronic Control Unit
  • Patent Document 1 describes a simple ECU configuration, low cost, high reliability, real-time property, and expandability by backing up errors in the entire system without increasing the redundancy of individual controllers more than necessary. There is disclosed a vehicle control device that secures the above.
  • an actuator controller that operates an actuator that controls a vehicle generates a control target value based on the sensor value of the sensor controller when an abnormality occurs in the control target value generated by the host controller.
  • a fail-operational vehicle control system that has a generation unit and controls an actuator by a control target value generated by the control target value generation unit.
  • the sensor value here refers to a request signal from the driver such as a steering angle, a brake pedal position, an accelerator pedal position.
  • the vehicle control system disclosed in Patent Document 1 has a system configuration that avoids the cost increase due to simple system multiplexing.
  • this vehicle control system is intended for vehicle control by sensing, and does not include a sensor that is necessary for the automatic driving system and that recognizes the environment around the vehicle. Therefore, even if the vehicle control system is applied to the automatic driving system, it is impossible to take appropriate measures such as moving the own vehicle to a safe place when a failure occurs in the device itself.
  • the present invention has been made in view of the above points, and an advanced automatic driving system that moves a vehicle to a safe evacuation area even if a failure occurs in the automatic driving ECU at low cost and high reliability. Aim to achieve.
  • An electronic control unit includes at least two microcomputers capable of receiving sensing data from a plurality of sensors, a failure detection unit for detecting a failure of the plurality of sensors or the microcomputer, and a failure detection.
  • a mode selection unit for selecting the normal operation mode and the degenerate operation mode, a failure location detected by the failure detection unit, or a sensor based on the surrounding situation of the own vehicle calculated from the sensing data.
  • a sensor selection unit for selecting.
  • one of the at least two microcomputers uses the sensing data received from the sensor selected by the sensor selection unit to generate a drive signal for operating the actuator, and transmits the drive signal to the actuator.
  • an advanced autonomous driving system that moves the vehicle to a safe evacuation location is realized at low cost and with high reliability. It becomes possible to do.
  • the number of elements when referring to the number of elements (including the number, numerical value, amount, range, etc.) of the elements, the case where it is specified explicitly, and the case where the number is explicitly limited to a particular number in principle, etc. However, the number is not limited to the specific number, and may be equal to or more than the specific number.
  • the constituent elements including element steps and the like
  • the shapes, positional relationships, etc. of constituent elements, etc. when referring to shapes, positional relationships, etc. of constituent elements, etc., the shapes thereof are substantially the same unless explicitly stated otherwise or in principle not apparently. And the like, etc. are included. This also applies to the above numerical values and ranges.
  • FIG. 1 is a block diagram showing an example of the configuration of an in-vehicle system according to Embodiment 1 of the present invention.
  • the in-vehicle system 101 includes an automatic driving ECU 1, an external sensor group 60, and an actuator group 80.
  • data for example, sensing data, control signal, drive signal
  • main information relates to failure detection by the fusion MCU 10 and the control MCUs 20 and 30 described later.
  • the data (for example, the detection result) is indicated by broken lines as the monitoring information.
  • the main information and the monitoring information are the same in FIGS. 4 to 6 in the embodiments described later.
  • the external world sensor group 60 includes a plurality of external world sensors (sensors) 61 (for example, 61a to 61d).
  • Each external world sensor 61 is a functional block that acquires the external environment of the vehicle as sensing data and transmits the acquired sensing data to the autonomous driving ECU 1.
  • the external world sensor 61 includes, for example, a camera, a radar, a laser radar, and the like.
  • the external sensor 61 may include all of them, or may include only a part of them.
  • Detectable range of the external sensor 61 is different for each sensor, and is, for example, front, rear, side of the vehicle, distant over 200 m, very close to 10 m or less, and the like.
  • the sensing data of the external sensor 61 includes position information of landmarks, other vehicles around the own vehicle, and obstacles such as pedestrians.
  • the actuator group 80 includes a plurality of actuators (81a to 83a, 81b to 83b, etc. in FIG. 1) that drive the vehicle.
  • the actuator is, for example, an engine, a brake, a power steering that controls the yaw rate, a mechanism that drives these, and the like.
  • the actuator group 80 in FIG. 1 is composed of, for example, two actuator groups.
  • the actuators 81a to 83a shown in the upper stage of FIG. 1 configure a first actuator group 80a, and the actuators 81b to 83b shown in the lower stage of FIG. 1 configure a second actuator group 80b.
  • the first actuator group 80a and the second actuator group 80b are a pair of actuator groups.
  • the actuators 81a and 81b are a pair of actuators having the same function.
  • the actuators 82a and 82b and the actuators 83a and 83b are a pair of actuators having the same function.
  • Each actuator of the first actuator group 80a is controlled by a control MCU (second logic circuit unit) 20 of the automatic driving ECU 1 described later, and each actuator of the second actuator group 80b is controlled by the control MCU ( It is controlled by a microcomputer, a second logic circuit unit) 30.
  • the actuators for each function are duplicated.
  • the automatic driving ECU 1 is a device that performs processing related to automatic driving of the own vehicle.
  • the automatic driving ECU 1 includes a fusion MCU (microcomputer, first logic circuit unit) 10, control MCUs 20, 30, and a memory 40.
  • the fusion MCU 10 and the control MCUs 20 and 30 include a CPU (Central Processing Unit), a RAM (Random Access Memory), and the like.
  • Each functional block included in the fusion MCU 10 and the control MCUs 20 and 30 may be realized only by hardware or software, or may be realized by combining hardware and software.
  • the configurations of the fusion MCU 10 and the control MCUs 20 and 30 will be described in detail later.
  • the fusion MCU 10 and the control MCUs 20 and 30 are each provided with a communication device (not shown), and data and the like are transmitted and received via the communication device.
  • the communication device may be provided in each microcomputer or may be provided outside the microcomputer.
  • the fusion MCU 10 is a unit that performs main calculations related to automatic driving. In the normal operation mode, the own vehicle is automatically driven based on the calculation result of the fusion MCU 10. The fusion MCU 10 performs a higher load calculation than the other control MCUs 20 and 30 described later. Therefore, the fusion MCU 10 is equipped with a high-performance CPU having excellent processing capability. As shown in FIG. 1, the fusion MCU 10 includes a failure detection unit (first failure detection unit) 11, a sensor fusion unit 12, an action prediction unit 13, and a trajectory planning unit 14.
  • the sensor fusion unit 12 acquires the sensing data of the plurality of external sensors 61 and extracts the surrounding condition (first surrounding condition) of the vehicle based on the acquired sensing data. Specifically, the sensor fusion unit 12 extracts the obstacles such as other vehicles and pedestrians and the positions of landmarks from the acquired sensing data. The sensor fusion unit 12 aligns the landmarks, obstacles, and own vehicle by comparing the positions of the landmarks and obstacles with the map information. At this time, the sensor fusion unit 12 may align each obstacle or the host vehicle by calculating the relative position with respect to the landmark.
  • the sensor fusion unit 12 plots the vehicle and obstacles on the map information based on the result of the alignment. As a result, the positions of the vehicle and the obstacle in the map information are fixed.
  • the behavior prediction unit 13 predicts the behavior of the obstacle based on the surrounding situation of the own vehicle (for example, the positional relationship of the own vehicle and the obstacle) and accompanies the behavior of the obstacle.
  • Build a dynamic map (first dynamic map) that includes risk information.
  • the dynamic map includes risk information for a predetermined time (for example, 10 seconds).
  • the constructed dynamic map is stored in the memory 40.
  • the behavior prediction unit 13 updates the dynamic map and stores the latest dynamic map in the memory 40.
  • the memory 40 may store a plurality of dynamic maps including the latest dynamic map.
  • the track planning unit 14 creates a driving plan (first driving plan) based on a dynamic map and a preset destination of the own vehicle.
  • the trajectory planning unit 14 transmits the generated operation plan to the control MCUs 20 and 30.
  • the destination of the host vehicle is set in a host device such as a car navigation device, and is transmitted from the host device to the autonomous driving ECU 1.
  • the failure detection unit 11 detects the state of each external sensor 61 (for example, 61a to 61d, etc.) included in the external sensor group 60, and diagnoses whether there is a failure. Further, the failure detection unit 11 detects the states of the control MCUs 20 and 30 and diagnoses whether there is a failure. The failure detection unit 11 may perform failure diagnosis using a watchdog timer, or may perform failure diagnosis by determining sensing data. When the failure detection unit 11 detects a failure in the external sensor 61 and the control MCUs 20 and 30, it sends a failure detection signal to the control MCU 30 as a detection result. At this time, together with the failure detection signal, information specifying the failure location may be transmitted to the control MCU 30.
  • the fusion MCU 10 may cause the control MCUs 20 and 30 to perform light load arithmetic processing among the arithmetic processing executed in each functional block. As a result, the load on the fusion MCU 10 is reduced.
  • control MCU 20 includes a failure detection unit (second failure detection unit) 21 and a vehicle control unit 22.
  • the failure detection unit 21 detects the states of the fusion MCU 10 and the control MCU (another second logic circuit unit) 30 and diagnoses whether there is a failure.
  • the failure detection unit 21 detects a failure in the fusion MCU 10, 30, it sends a failure detection signal to the control MCU 30. At this time, together with the failure detection signal, information specifying the failure location may be transmitted to the control MCU 30.
  • the vehicle control unit 22 drives each actuator (81a to 83a, etc.) included in the first actuator group 80a based on the driving plan transmitted from the fusion MCU 10. The operation of the vehicle control unit 22 will be described in detail later.
  • the control MCU 30 includes a failure detection unit (second failure detection unit) 31, a vehicle control unit 32, a mode selection unit 33, and a degeneration calculation unit 34.
  • the failure detection unit 31 detects the states of the fusion MCU 10 and the control MCU 20, and diagnoses whether there is a failure. In addition, the failure detection unit 31 detects the state of the memory 40 and diagnoses whether there is a failure.
  • the failure detection unit 31 detects a failure in the fusion MCU 10, the control MCU 20, or the external sensor 61, it sends a failure detection signal to the mode selection unit 33. At this time, together with the failure detection signal, information specifying the failure location may be transmitted to the control MCU 30.
  • each of the fusion MCU 10 and the control MCUs 20 and 30 is provided with a failure detection unit, and a plurality of failure detection units perform failure detection at each location.
  • the mode selection unit 33 is a functional block that switches the operation mode of the automatic driving ECU 1. For example, when receiving the failure detection signal, the mode selection unit 33 switches the operation mode of the automatic driving ECU 1 from the normal operation mode to the degenerate operation mode.
  • the mode selection unit 33 is connected to a plurality of external sensors included in the external sensor group 60. In the degenerate operation mode, the mode selection unit 33 selects only a part of the external world sensors from a plurality of external world sensors, acquires sensing data of the selected external world sensors, and transmits the sensing data to the degenerate operation unit 34. In other words, the mode selection unit 33 acquires sensing data while selecting the selected external sensor in time series.
  • the degeneration operation unit 34 is a functional block that performs an operation process related to a degeneration operation that moves the vehicle from the current position to a safe evacuation location (safe position) in the degeneration operation mode. The processing in the degenerate operation mode will be described later in detail.
  • the vehicle control unit 32 In the normal operation mode, the vehicle control unit 32 generates a drive signal for driving each actuator (81b to 83b, etc.) included in the second actuator group 80b based on the operation plan transmitted from the fusion MCU 10. The generated drive signal is transmitted to each actuator.
  • the vehicle control unit 32 In the degeneration operation mode, the vehicle control unit 32 generates a drive signal for driving each actuator (81b to 83b, etc.) based on the operation plan (second operation plan) transmitted from the degeneration operation unit 34. Then, the generated drive signal is transmitted to each actuator. ..
  • the operation of the vehicle control unit 22 will be described in detail later.
  • the memory 40 is a functional block that stores various information such as the latest dynamic map constructed by the fusion MCU 10 and the detection results of the failure detection units 11, 21, and 31. Further, the memory 40 stores various kinds of information such as programs, tables, files and setting information necessary for the operation of the automatic driving ECU 1. Note that the memory 40 may store a dynamic map (second dynamic map, which will be described later in detail) constructed by the degeneration operation unit 34.
  • a dynamic map second dynamic map, which will be described later in detail
  • the memory 40 includes a plurality of memories (first memory 41, second memory 42) as shown in FIG. 1, and the first memory 41 and the second memory 42 store the same information, respectively. In this way, the memory 40 is duplicated by the first memory 41 and the second memory 42.
  • the first memory 41 corresponds to, for example, the fusion MCU 10 and the control MCU 20, and the second memory 42 corresponds to the control MCU 30.
  • the first memory 41 stores the detection result of the failure detection units 11 and 21, and the second memory 42 stores the detection result of the failure detection unit 31.
  • various information such as programs, tables, and files may be stored in a hard disk different from the memory 40, a recording device such as SSD (Solid State Drive), or a recording medium such as an IC card, an SD card, or a DVD.
  • a recording device such as SSD (Solid State Drive)
  • a recording medium such as an IC card, an SD card, or a DVD.
  • the passenger of the own vehicle operates a host device such as a car navigation device to set the destination of the own vehicle. At that time, the passenger may set the stopover along with the destination.
  • the set destination and stopover are transmitted to the fusion MCU 10 of the automatic driving ECU 1.
  • Each external sensor 61 starts sensing around the own vehicle and transmits the sensing data to the fusion MCU 10.
  • the sensor fusion unit 12 extracts a surrounding situation of the own vehicle (for example, an obstacle such as another vehicle and a pedestrian or the position of a landmark) based on the received sensing data.
  • the sensor fusion unit 12 aligns the landmarks, obstacles, and own vehicle by comparing the positions of the landmarks and obstacles with the map information.
  • the behavior prediction unit 13 predicts the behavior of an obstacle based on the surrounding situation of the own vehicle and constructs a dynamic map including risk information.
  • the track planning unit 14 generates a driving plan of the own vehicle based on the dynamic map and the set destination, and transmits the generated driving plan to the control MCUs 20 and 30. Further, the trajectory planning unit 14 stores the generated operation plan in the memory 40.
  • the vehicle control units 22 and 32 of the control MCUs 20 and 30 generate an automatic driving profile (first automatic driving profile) based on the driving plan transmitted from the fusion MCU 10.
  • the automatic driving profile generated here includes a trajectory profile, a speed profile, and a steering angle profile. Note that the automatic driving profile may include other profiles.
  • the vehicle control units 22 and 32 generate a command value (first command value) for each actuator based on the generated automatic driving profile and transmit the generated command value to each corresponding actuator.
  • the vehicle control unit 22 generates a command value for each actuator included in the first actuator group 80a, and transmits the generated command value to the actuators 81a to 83a and the like of the first actuator group 80a. ..
  • the vehicle control unit 32 generates a command value for each actuator included in the second actuator group 80b, and transmits the generated command value to the actuators 81b to 83b of the second actuator group 80b.
  • Each actuator is driven based on the command value transmitted from the vehicle control units 22 and 32.
  • the fusion MCU 10 automatically performs the own vehicle by repeating these processes.
  • FIG. 2 is a diagram showing an example of the degeneration operation of the own vehicle.
  • FIG. 2 shows the movement of the host vehicle C after the failure occurs until the host vehicle C moves from the current position to the evacuation site.
  • the host vehicle C moves to the safe retreat place 202c on the road shoulder via the position 202b and stops.
  • the degenerate operation mode only each actuator of the second actuator group 80b connected to the control MCU 30 is driven, and these actuators move the host vehicle to a predetermined retreat place.
  • the failure detection unit 21 of the control MCU 20 detects the failure of the fusion MCU 10.
  • the failure detection unit 31 of the control MCU 30 detects a failure of the fusion MCU 10 or the control MCU 20 that does not include the mode selection unit and the degeneration operation unit
  • the failure detection unit 31 of the control MCU 30 detects a failure of the memory 40.
  • the mode selection unit 33 of the control MCU 30 switches the operation mode of the automatic driving ECU 1 from the normal operation mode to the degenerate operation mode.
  • the mode selection unit 33 upon receiving a failure detection signal from any of the fusion MCU 10 and the control MCUs 20 and 30, diagnoses that a failure has been detected and switches the operation mode to the degenerate operation mode.
  • the mode selection unit 33 may select the normal operation mode or the degenerate operation mode based on the majority of the detection results by the respective failure detection units. For example, a case of detecting a failure in the fusion MCU 10 will be described as an example. When the failure detection unit 21 detects a failure and the failure detection unit 21 does not detect a failure, the failure detection and the failure non-detection are the same number, and therefore the mode selection unit 33 determines that the fusion MCU 10 has not failed. Assumed and set to normal operation mode continuously.
  • the mode selection unit 33 considers the fusion MCU 10 to be a failure and determines the operation mode. To the degenerate operation mode.
  • the control MCU 30 When the operation mode switches to the degenerate operation mode, the control MCU 30 notifies the fusion MCU 10 and the control MCU 20 of the degeneration operation, and notifies the fusion MCU 10 and the control MCU 20 that the operation mode has switched to the degeneration operation mode.
  • the fusion MCU 10 stops the generation and transmission of the operation plan by the degeneration operation notification, and the control MCUs 20 and 30 stop the reception of the operation plan.
  • the control MCU 30 also generates a first control signal for instructing to stop the fusion MCU 10 (another microcomputer) in which a failure is detected, and transmits the first control signal to the fusion MCU 10.
  • the calculation processing related to automatic driving is handed over from the fusion MCU 10 to the control MCU 30.
  • the degeneration operation unit 34 accesses the memory 40 and reads the latest first dynamic map before the occurrence of the failure, that is, immediately before the diagnosis that the failure has occurred.
  • the degeneration calculation unit 34 sets the evacuation place of the own vehicle in the vicinity of the current position based on the latest first dynamic map read from the memory 40.
  • the evacuation area is a safe area such as a road shoulder as described above.
  • the mode selection unit 33 selects a part of the external world sensors from the multiple external world sensors of the external world sensor group 60. More specifically, the mode selection unit 33 acquires sensing data while switching the selected external sensor in time series. The degeneration calculation unit 34 extracts the surrounding situation (second surrounding situation) of the vehicle based on the sensing data of the external sensor selected by the mode selecting unit 33.
  • FIG. 3 is a diagram showing an example of an external sensor switching operation in the degenerate operation mode.
  • the horizontal axis of FIG. 3 is a time axis, and the external sensors selected at each time are shown in time series.
  • the mode selection unit 33 sequentially selects, for example, the external sensors (1) to (4) that sense the right front short distance, the front long distance, the left front short distance, and the front short distance. Further, the mode selection unit 33 repeatedly selects these external sensors (1) to (4).
  • the mode selection unit 33 stops the selection of the external sensor.
  • the selection order of the external sensors (1) to (4) is merely an example, and the selection order is not limited to this order.
  • the external sensor to be selected is not limited to these, but may be used to move the host vehicle to the evacuation site according to various conditions such as the traveling position, the position of obstacles around the host vehicle, and the evacuation site.
  • the required external sensors are selected.
  • the number of selected external sensors is not limited to four shown in FIG.
  • the mode selection unit 33 may simultaneously select a plurality of external sensors according to the processing capacity of the control MCU 30.
  • the degeneracy calculation unit 34 constructs a latest dynamic map and a dynamic map (second dynamic map) based on the second surrounding situation. The risk information included in the first dynamic map is carried over to this dynamic map.
  • the degeneration calculation unit 34 creates an operation plan for a degeneration operation (second operation plan) based on the second dynamic map and the evacuation location, and transmits the created operation plan to the vehicle control unit 32.
  • the vehicle control unit 32 generates an automatic driving profile (second automatic driving profile) for the degeneration operation based on the driving plan transmitted from the degeneration calculation unit 34.
  • the automatic driving profile generated here includes profiles such as a trajectory profile, a speed profile, and a steering angle profile.
  • the vehicle control unit 32 generates a command value (second command value) for the actuators included in the second actuator group 80b based on the generated automatic driving profile, and transmits the generated command value to each of the actuators 81b to 83b and the like. Send.
  • the control MCU 30 repeats these processes to automatically drive the host vehicle in the degenerate operation mode.
  • the actuators 81a to 81c of the first actuator group 80a are not controlled. Therefore, in the degenerate operation mode, only one actuator of the pair of actuators operates, so that the output of the actuator is halved as compared with the normal operation mode.
  • the degenerate operation mode described here is applied to any case where the fusion MCU 10, the control MCU 20, or the external sensor 61 fails. However, when the external sensor fails, the mode selection unit 33 excludes the failed external sensor from the selection targets, and selects only the non-failed external sensor as the selection targets.
  • fusion MCU 10, control MCU 20, 30, etc. the recovery processing of the failed device (fusion MCU 10, control MCU 20, 30, etc.).
  • the operation is stopped by the control signal.
  • the device whose operation has stopped restarts after removing the failure location based on the failure detection result. For example, when a portion of the fusion MCU 10 that realizes a specific function fails, the fusion MCU 10 is restarted except for that portion.
  • the control MCU 30 generates a control signal instructing the start and transmits the generated control signal to the fusion MCU 10.
  • the device that has failed may be restarted during automatic driving, or after the own vehicle stops at the evacuation site, depending on the importance of the failed part.
  • the control MCU 30 moves the host vehicle C from the current position 202a to the retreat position 202c by the degeneration operation. According to this configuration, even if a failure occurs in the autonomous driving ECU 1, the host vehicle can be moved to a safe evacuation place and stopped. Further, according to this configuration, the control MCUs 20 and 30 can be equipped with a CPU having a processing capacity lower than that of the fusion MCU 10. This makes it possible to realize a highly automated driving system at low cost and with high reliability.
  • the mode selection unit 33 acquires sensing data while switching the selected external sensor in time series. In this way, by switching the selected external sensor in a time-division manner, even if the processing capacity of the control MCU 30 is low, it is possible to comprehensively sense the surroundings of the host vehicle in the event of a failure, and to reach the evacuation site more safely. You can move your vehicle.
  • the mode selection unit 33 selects the normal operation mode or the degenerate operation mode based on the majority decision of the detection result by each failure detection unit. According to this configuration, it is possible to freely set the operation mode switching method according to the importance of the failure point in the automatic operation.
  • the mode selection unit 33 selects an appropriate external sensor according to the surrounding situation of the vehicle such as the traveling position and the position of the obstacle.
  • the memory 40 stores the latest first dynamic map immediately before the occurrence of the failure and the detection result of the failure. According to this configuration, even if the fusion MCU 10 cannot be accessed due to the occurrence of a failure, the degeneracy calculation unit 34 can obtain the latest first dynamic map before the occurrence of the failure. As a result, the arithmetic processing relating to the degeneration operation is surely executed, and it becomes possible to continue the automatic operation.
  • the memory 40 is duplicated by the first memory 41 and the second memory 42 that store the same information. According to this configuration, the degeneration calculation unit 34 can reliably acquire the latest first dynamic map even if a failure occurs in any of the memories.
  • the control MCU 30 when switching to the degenerate operation mode, notifies both the fusion MCU 10 and the control MCU 20 of the degenerate operation. According to this configuration, even if the fusion MCU 10 cannot stop the generation and transmission of the operation plan or the control MCU 20 cannot stop the reception of the operation plan, the operation of each actuator of the first actuator group 80a is surely stopped. Can be made. As a result, the behavior of the host vehicle in the degenerate operation mode can be stabilized.
  • the fusion MCU 10 and the control MCU 30 generate and transmit a control signal instructing the start/stop of another microcomputer in which a failure is detected. Further, the microcomputer in which the failure is detected restarts after excluding the failure part based on the detection result. With this configuration, the location where the failure has occurred can be separated from the automatic operation control, and the degeneration operation after the failure can be performed safely. In addition, it is possible to use a device including a faulty part within a range that does not hinder automatic driving.
  • FIG. 4 is a diagram showing an example of a power supply system of the vehicle-mounted system according to the second embodiment of the present invention.
  • the in-vehicle system 101 shown in FIG. 4 is connected to two power supply systems D1 and D2.
  • the power supply systems D1 and D2 are connected to different batteries (not shown) that are independent of each other.
  • the power supply system D1 includes a part of external sensors (for example, 61a to 61c) of the external sensor group 60, the fusion MCU 10, the control MCU 20, the first memory 41 of the memory 40, and the actuators (81a to 81a to 80a) of the first actuator group 80a. 83a, etc.).
  • the power supply system D2 includes a part of the external sensor (for example, 61d) of the external sensor group 60, the control MCU 30, the second memory 42 of the memory 40, and each actuator (81a to 83a) of the first actuator group 80a. Supply power to.
  • the failure detection units 11 and 21 detect failures in the power supply of the power supply system D2 connected to the control MCU 30, the communication device, and the second memory 42. Then, the detection results of these failures are stored in the first memory 41. Then, the fusion MCU 10 generates and transmits a control signal instructing to stop the power supply, the communication device, or the memory connected to another microcomputer (control MCU 30) in which the failure is detected. The device receiving the control signal stops its operation.
  • the failure detection unit 31 detects a failure of the power supply of the power supply system D1 connected to the fusion MCU 10 and the control MCU 20, the communication device, and the first memory 41. Then, the detection results of these failures are stored in the second memory 42. Then, the control MCU 30 generates and transmits a control signal instructing to stop the power supply, the communication device, or the memory connected to the other microcomputer (fusion MCU 10, control MCU 20) in which the failure is detected. The device receiving the control signal stops its operation.
  • the device that has stopped operating is restarted with the failure location excluded based on the failure detection result.
  • the device that has failed may be restarted during automatic driving, or after the own vehicle stops at the evacuation site, depending on the importance of the failed part.
  • the fusion MCU 10 and the control MCU 30 having the degeneration calculation unit 34 are connected to different power sources. As a result, even if one battery fails, the operation of the automatic driving ECU 1 can be continued.
  • the failure of the power supply can be detected by detecting the operating status of each microcomputer, or by monitoring the electrical status of the power supply itself (eg output current, output voltage, internal resistance).
  • the first memory 41 and the second memory 42 are also connected to different power sources, the first dynamic map can be surely stored even if one battery fails. In addition, even when a failure occurs, it is possible to continue automatic operation safely and at low cost.
  • the in-vehicle system 101 may be connected to three or more power supply systems.
  • the fusion MCU 10 and the control MCUs 20 and 30 may be connected to different power supply systems.
  • the fusion MCU 10, the control MCUs 20, 30, the first memory 41, and the second memory 42 may be connected to different power supply systems. This further improves safety in the event of a failure.
  • FIG. 5 is a block diagram showing an example of the configuration of an in-vehicle system according to the third embodiment of the present invention.
  • the control MCU 20 shown in FIG. 5 includes a failure detection unit 21, a vehicle control unit 22, a mode selection unit 23, and a degeneration operation unit 24.
  • the control MCU 20 is connected to each external sensor 61 of the external sensor group.
  • the mode selection unit 23 and the degeneracy calculation unit 24 have the same configurations as the mode selection unit 33 and the degeneracy calculation unit 34 of the control MCU 30, respectively.
  • the operations of the mode selection unit 23 and the degeneracy calculation unit 24 are the same as those of the mode selection unit 33 and the degeneracy calculation unit 34, respectively.
  • the failure detection unit 11 of the fusion MCU 10 and the failure detection unit 21 of the control MCU 20 also detect the failure of the control MCU 30.
  • the degenerate operation by the control MCU 20 is executed.
  • each actuator (81a to 83a, etc.) included in the first actuator group 80a is driven, and the host vehicle moves to the evacuation site.
  • the in-vehicle system 101 may be connected to a plurality of power supply systems as in the second embodiment already described.
  • the control MCUs 20 and 30 are preferably connected to different power supply systems. According to this, even if a failure occurs in the battery, the power is supplied to one of the control MCUs 20 and 30, so that the degeneration operation is surely executed.
  • FIG. 6 is a block diagram showing an example of the configuration of an in-vehicle system according to Embodiment 4 of the present invention.
  • the in-vehicle system 101 shown in FIG. 4 includes an actuator group 180 and a vehicle motion integrated control device (VMC: Vehicle Motion Controller) 190.
  • VMC Vehicle Motion Controller
  • the actuator group 180 has a plurality of actuators (eg 180a to 180z). Each of the actuators 180a to 180z is connected to the vehicle motion integrated control device 190.
  • the vehicle motion integrated control device 190 is a functional block that integrally controls the actuators (180a to 180z) based on the automatic driving profile transmitted from the control MCUs 20 and 30.
  • the vehicle motion integrated control device 190 has a first vehicle motion integrated control device 191 and a second vehicle motion integrated control device 192.
  • the first vehicle motion integrated control device 191 and the second vehicle motion integrated control device 192 have the same function.
  • the vehicle motion integrated control device 190 is duplicated by the first vehicle motion integrated control device 191 and the second vehicle motion integrated control device 192.
  • the vehicle motion integrated control device 190 may be composed of three or more units. That is, the vehicle motion integrated control device 190 may include a third vehicle motion integrated control device and the like.
  • the first vehicle motion integrated control device 191 and the second vehicle motion integrated control device 192 are preferably connected to different power supply systems.
  • the first vehicle motion integrated control device 191 is normally used, and when a failure occurs in the first vehicle motion integrated control device 191, the second vehicle motion integrated control device 192 is used. However, when the second vehicle motion integrated control device 192 is used and a failure occurs in the second vehicle motion integrated control device 192, the first vehicle motion integrated control device 191 may be used.
  • the failure detection unit 31 of the control MCU 30 detects a failure of the vehicle motion integrated control device 190 and each actuator 180a to 180z of the actuator group 180.
  • the vehicle control units 22 and 32 of the control MCUs 20 and 30 When the operation mode is the normal operation mode, the vehicle control units 22 and 32 of the control MCUs 20 and 30 generate the automatic driving profile (first automatic driving profile) based on the driving plan transmitted from the fusion MCU 10, and the generated automatic The driving profile is transmitted to the vehicle motion integrated control device 190.
  • the vehicle motion integrated control device 190 generates a command value (third command value) for each of the actuators 180a to 180z based on the transmitted automatic driving profile while considering the cooperation with each actuator.
  • the vehicle motion integrated control device 190 transmits the generated command value to the corresponding actuator 180a to 180z.
  • the operation mode is switched to the degenerate operation mode.
  • the vehicle control unit 32 of the control MCU 30 generates an automatic driving profile (second automatic driving profile) based on the driving plan (second driving plan) generated by the degeneration calculation unit 34,
  • the generated automatic driving profile is transmitted to the vehicle motion integrated control device 190.
  • the vehicle motion integrated control device 190 Based on the transmitted automatic driving profile, the vehicle motion integrated control device 190 generates a command value (fourth command value) for degenerate operation for each of the actuators 180a to 180z while considering the cooperation with each actuator.
  • the vehicle motion integrated control device 190 transmits the generated command value to the corresponding actuator 180a to 180z.
  • control MCUs 20 and 30 perform the processing up to the generation of the automatic driving profile, and the command value to each actuator is generated by the vehicle motion integrated control device 190.
  • the plurality of actuators are controlled in an integrated manner, seamless and comfortable automatic driving traveling is possible in all scenes from automatic parking that requires a low-speed large steering angle to high-speed traveling such as lane keeping. Is realized.
  • the mode selection unit 33 selects, from among the actuators 180a to 180z that have not failed, the actuator that is the minimum necessary for the vehicle to move to a safe retreat location, and the selected actuator is selected. Is transmitted to the vehicle motion integrated control device 190.
  • the vehicle motion integrated control device 190 generates each command value corresponding to the selected actuator based on the automatic driving profile.
  • the vehicle motion integrated control device 190 may be provided with a failure detection unit. In this case, the vehicle motion integrated control device 190 may share the failure detection information with the control MCU 30.
  • the integrated control of the remaining actuators by the vehicle motion integrated control device 190 makes it possible to move the host vehicle to a safe retreat place more smoothly. ..
  • control MCU 20 may be provided with the mode selection unit 23 and the degeneration operation unit 24.
  • the control MCU that performs calculations related to the degeneration operation is duplicated.
  • the control MCUs 20 and 30 are preferably connected to different power sources.
  • Each unit that constitutes the autonomous driving ECU may be configured by hardware such as an integrated circuit.
  • the automatic driving ECU may include a CPU, a RAM, and the like, and the CPU may execute a program loaded in the RAM to implement the fusion MCU 10, the control MCUs 20 and 30, the vehicle motion integrated control device 190, and the like.
  • control lines and information lines in each figure are mainly shown as those considered necessary for explanation, and not all control lines and information lines are shown. In practice, it may be considered that almost all the components are connected to each other.
  • the failure detection unit detects a failure of the power supply, the communication device, or the memory connected to the microcomputer, and the memory stores the detection result of the power supply, the communication device, or the memory.
  • an in-vehicle system in which a microcomputer generates and transmits a first control signal instructing start/stop of another microcomputer in which a failure is detected.
  • the microcomputer is an in-vehicle system that generates and transmits a second control signal instructing start/stop of a power supply, a communication device, or a memory connected to another microcomputer in which a failure is detected.
  • a microcomputer in which a failure is detected restarts after removing the failed part based on the detection result.
  • the electronic control device has a plurality of memories, each memory stores the detection result of the corresponding microcomputer, and the power supply of each memory is the same as that of the storing microcomputer.
  • SYMBOLS 1 Automatic driving ECU (electronic control unit), 10... Fusion MCU (microcomputer), 20, 30... Control MCU, 11, 21, 31... Failure detection part, 22, 32... Vehicle control part, 33... Mode selection part, 34... Degeneration calculation unit, 40... Memory, 41... First memory, 42... Second memory, 60... External sensor group, 61... External sensor (sensor), 80, 180... Actuator group, 81a-83a, 81b-83b , 180a to 180z... Actuator, 101... In-vehicle system, 190... Vehicle motion integrated control device, 191... First vehicle motion integrated control device, 192... Second vehicle motion integrated control device

Landscapes

  • Engineering & Computer Science (AREA)
  • Automation & Control Theory (AREA)
  • Human Computer Interaction (AREA)
  • Transportation (AREA)
  • Mechanical Engineering (AREA)
  • Control Of Driving Devices And Active Controlling Of Vehicle (AREA)

Abstract

自動運転ＥＣＵ１は、複数のセンサ６１からセンシングデータを受け取ることが可能な少なくとも二つのマイコン１０、３０と、複数のセンサ６１又はマイコン１０、３０の故障を検知する故障検知部１１、３１と、通常動作モードと縮退動作モードとを選択するモード選択部３３と、故障検知部３１により検知された故障箇所、又はセンシングデータから算出した自車両の周辺状況に基づいてセンサ６１を選択するセンサ選択部と、を備えている。少なくとも二つのマイコン１０、３０のいずれかは、縮退動作モードの場合に、センサ選択部により選択されたセンサ６１から受け取るセンシングデータを用いて、アクチュエータを動作させる駆動信号を生成する。

Description

電子制御装置および車載システム
　本発明は、電子制御装置および車載システムに関する。
　自動運転システムは、事故件数低減や渋滞解消等のさまざまな社会的課題を解決し得るシステムであり、世界的にその実用化に向けた取組みが年々活発化している。高レベルの自動運転システムには、自動運転を制御する上位の制御装置である自動運転ＥＣＵ（Ｅｌｅｃｔｒｏｎｉｃ　Ｃｏｎｔｒｏｌ　Ｕｎｉｔ：電子制御装置）に障害が発生した場合、ドライバに操作を引き渡すまで、あるいは自車両が安全な場所に移動して停止するまでの期間、動作を継続することが求められる。
　特許文献１には、個々のコントローラの冗長度を必要以上に上げることなく、システム全体でエラーをバックアップすることにより、簡潔なＥＣＵの構成で、低コストで、高い信頼性とリアルタイム性と拡張性とを確保した車両制御装置が開示されている。
　具体的には、車両を制御するアクチュエータを作動させるアクチュエータコントローラが、上位コントローラが生成する制御目標値に異常が生じたときに、センサコントローラのセンサ値に基づいて制御目標値を生成する制御目標値生成手段を有し、前記制御目標値生成手段によって生成した制御目標値によってアクチュエータを制御するという、フェールオペレーショナルな車両制御システムが開示されている。なお、ここでのセンサ値とは、操舵角、ブレーキペダル位置、アクセルペダル位置などのドライバからの要求信号を指している。
特開２０１６－１９６２９５号公報
　自動運転ＥＣＵに障害が発生したときに一定期間の動作を継続するためには、例えば、システムの多重化や動作監視を用いた冗長化等が考えられる。しかし、自動運転ＥＣＵには、演算負荷が高く高性能な計算機が用いられることから、冗長化によるコスト増大は免れない。
　一方、特許文献１に開示された車両制御システムは、単純なシステム多重化に伴うコスト増大を回避したシステム構成である。しかし、この車両制御システムは、センシングによる車両制御を目的としており、自動運転システムに必要な自車両周辺の環境を認識するセンサを含んでいない。したがって、車両制御システムが自動運転システムに適用されても、装置自体に障害が発生したときに、自車両を安全な場所まで移動させる等の適切な措置を取ることができない。
　本発明は、上記の点に鑑みてなされたものであり、自動運転ＥＣＵに障害が発生しても、自車両を安全な退避場所へ移動させる、高度な自動運転システムを低コストかつ高信頼に実現することを目的とする。
　本願において開示される発明のうち、代表的なものの概要を簡単に説明すれば、以下のとおりである。
　本発明の代表的な実施の形態による電子制御装置は、複数のセンサからセンシングデータを受け取ることが可能な少なくとも二つのマイコンと、複数のセンサ又はマイコンの故障を検知する故障検知部と、故障検知部による検知結果に応じて、通常動作モードと縮退動作モードとを選択するモード選択部と、故障検知部により検知された故障箇所、又はセンシングデータから算出した自車両の周辺状況に基づいてセンサを選択するセンサ選択部と、を備えている。少なくとも二つのマイコンのいずれかは、縮退動作モードの場合に、センサ選択部により選択されたセンサから受け取るセンシングデータを用いて、アクチュエータを動作させる駆動信号を生成し、駆動信号をアクチュエータに送信する。
　本願において開示される発明のうち、代表的なものによって得られる効果を簡単に説明すれば以下のとおりである。
　すなわち、本発明の代表的な実施の形態によれば、自動運転ＥＣＵに障害が発生しても、自車両を安全な退避場所へ移動させる、高度な自動運転システムを低コストかつ高信頼に実現することが可能となる。
本発明の実施の形態１に係る車載システムの構成の一例を示すブロック図である。 自車両の縮退動作の一例を示す図である。 縮退動作モード時における外界センサの切り換え動作の一例を示す図である。 本発明の実施の形態２に係る車載システムの電源系統の一例を示す図である。 本発明の実施の形態３に係る車載システムの構成の一例を示すブロック図である。 本発明の実施の形態４に係る車載システムの構成の一例を示すブロック図である。
　以下の実施の形態において、便宜上その必要があるときは、複数のセクションまたは実施の形態に分割して説明するが、特に明示した場合を除き、それらはお互いに無関係なものではなく、一方は他方の一部または全部の変形例、詳細、補足説明等の関係にある。
　また、以下の実施の形態において、要素の数等（個数、数値、量、範囲等を含む）に言及する場合、特に明示した場合および原理的に明らかに特定の数に限定される場合等を除き、その特定の数に限定されるものではなく、特定の数以上でも以下でもよい。さらに、以下の実施の形態において、その構成要素（要素ステップ等も含む）は、特に明示した場合および原理的に明らかに必須であると考えられる場合等を除き、必ずしも必須のものではないことは言うまでもない。同様に、以下の実施の形態において、構成要素等の形状、位置関係等に言及するときは、特に明示した場合および原理的に明らかにそうでないと考えられる場合等を除き、実質的にその形状等に近似または類似するもの等を含むものとする。このことは、上記数値および範囲についても同様である。
　以下、本発明の実施の形態を図面に基づいて詳細に説明する。なお、実施の形態を説明するための全ての図において、同一部には原則として同一の符号を付し、その繰り返しの説明は省略する。
　（実施の形態１）
　＜電子制御装置及び車載システムの構成＞
　本実施の形態に係る自動運転ＥＣＵ（電子制御装置）及び車載システムは、故障が発生した場合、動作モードを通常動作モードから縮退動作モードに切り換え、自車両を安全な退避場所まで移動させ、停止させる。
　図１は、本発明の実施の形態１に係る車載システムの構成の一例を示すブロック図である。車載システム１０１は、自動運転ＥＣＵ１、外界センサ群６０、アクチュエータ群８０を備えている。
　なお、図１では、各ブロック間で送受信されるデータ（例えば、センシングデータ、制御信号、駆動信号）がメイン情報として実線で示されており、後述するフュージョンＭＣＵ１０および制御ＭＣＵ２０、３０による故障検知に関するデータ（例えば、検知結果）が、監視情報として破線で示されている。これらのメイン情報及び監視情報については、後述の実施の形態における図４～６においても同様である。
　外界センサ群６０は、複数の外界センサ（センサ）６１（例えば６１ａ～６１ｄ等）を備えている。それぞれの外界センサ６１は、自車両の外界状況をセンシングデータとして取得し、取得したセンシングデータを自動運転ＥＣＵ１へ送信する機能ブロックである。外界センサ６１は、例えば、カメラ、レーダ、レーザレーダ等を備えている。外界センサ６１は、これらすべてを含んでもよいし、これらの一部のみを含んでもよい。
　外界センサ６１の検知可能範囲は、センサごとに異なり、例えば、自車両の前方、後方、側方、２００ｍを超える遠方、１０ｍ以下の極近傍等である。外界センサ６１のセンシングデータには、ランドマーク、自車両周辺の他車両、歩行者等の各障害物の位置情報等が含まれる。
　アクチュエータ群８０は、自車両を駆動する複数のアクチュエータ（図１では８１ａ～８３ａ、８１ｂ～８３ｂ等）を含む。アクチュエータは、例えば、エンジン、ブレーキ、ヨーレートを制御するパワーステアリング、これらを駆動させる機構等である。
　図１のアクチュエータ群８０は、例えば２つのアクチュエータ群からなる。図１の上段に示されるアクチュエータ８１ａ～８３ａ等は、第１のアクチュエータ群８０ａを構成し、図１の下段に示されるアクチュエータ８１ｂ～８３ｂ等は、第２のアクチュエータ群８０ｂを構成する。
　第１のアクチュエータ群８０ａ及び第２のアクチュエータ群８０ｂは、一対のアクチュエータ群となっている。例えば、アクチュエータ８１ａ、８１ｂは、同一の機能を有する一対のアクチュエータである。同様に、アクチュエータ８２ａ、８２ｂや、アクチュエータ８３ａ、８３ｂ等も、それぞれ同一の機能を有する一対のアクチュエータである。第１のアクチュエータ群８０ａの各アクチュエータは、後述する自動運転ＥＣＵ１の制御ＭＣＵ（第２の論理回路ユニット）２０により制御され、第２のアクチュエータ群８０ｂの各アクチュエータは、自動運転ＥＣＵ１の制御ＭＣＵ（マイコン、第２の論理回路ユニット）３０により制御される。このように、本実施の形態の車載システム１では、各機能のアクチュエータが二重化されている。
　＜＜自動運転ＥＣＵ１＞＞
　自動運転ＥＣＵ１は、自車両の自動運転に関わる処理を行う装置である。自動運転ＥＣＵ１は、図１に示すように、フュージョンＭＣＵ（マイコン、第１の論理回路ユニット）１０、制御ＭＣＵ２０、３０、メモリ４０を備えている。フュージョンＭＣＵ１０、制御ＭＣＵ２０、３０は、ＣＰＵ(Central Processing Unit)、ＲＡＭ(Random Access Memory)等を備えている。フュージョンＭＣＵ１０、制御ＭＣＵ２０、３０に含まれる各機能ブロックは、ハードウェア又はソフトウェアのみで実現されてもよいし、ハードウェア及びソフトウェアを組み合わせて実現されてもよい。フュージョンＭＣＵ１０、制御ＭＣＵ２０、３０の構成については、後で詳しく説明する。なお、フュージョンＭＣＵ１０、制御ＭＣＵ２０、３０には、図示しない通信器がそれぞれ設けられており、通信器を介してデータ等の送受信が行われる。通信器は、各マイコンの中に設けられてもよいし、マイコンの外に設けられてもよい。
　＜＜＜フュージョンＭＣＵ１０＞＞＞
　フュージョンＭＣＵ１０は、自動運転に関わる主要な演算を行うユニットである。通常動作モードでは、フュージョンＭＣＵ１０の演算結果に基づいて自車両の自動運転が行われる。フュージョンＭＣＵ１０は、後述する他の制御ＭＣＵ２０、３０よりも高負荷の演算を行う。このため、フュージョンＭＣＵ１０には、処理能力に優れた高性能のＣＰＵが搭載される。フュージョンＭＣＵ１０は、図１に示すように、故障検知部（第１の故障検知部）１１、センサフュージョン部１２、行動予測部１３、及び軌道計画部１４を備えている。
　センサフュージョン部１２は、複数の外界センサ６１のセンシングデータを取得し、取得したセンシングデータに基づいて自車両の周辺状況（第１の周辺状況）を抽出する。具体的に述べると、センサフュージョン部１２は、取得したセンシングデータから、他車両及び歩行者等の障害物や、ランドマークの位置を抽出する。センサフュージョン部１２は、ランドマークや障害物の位置と、地図情報とを照らし合わせることにより、ランドマーク、障害物、自車両の位置合わせを行う。このとき、センサフュージョン部１２は、ランドマークを基準とした相対位置を算出することにより、各障害物や自車両の位置合わせを行ってもよい。
　そして、センサフュージョン部１２は、位置合わせの結果に基づき、地図情報に自車両や障害物をプロットする。これにより、地図情報における自車両や障害物の位置が確定する。
　自車両や障害物の位置が確定すると、行動予測部１３は、自車両の周辺状況（例えば自車両や障害物の位置関係）に基づいて障害物の行動を予測し、障害物の行動に伴うリスク情報を含むダイナミック地図（第１のダイナミック地図）を構築する。ダイナミック地図には、所定時間（例えば１０秒）のリスク情報が含まれる。構築されたダイナミック地図は、メモリ４０に格納される。
　自動運転中、行動予測部１３は、ダイナミック地図を更新し、最新のダイナミック地図をメモリ４０に格納する。その際、メモリ４０は、最新のダイナミック地図を含めた複数のダイナミック地図を格納してもよい。
　軌道計画部１４は、ダイナミック地図及び予め設定された自車両の目的地に基づく運転計画（第１の運転計画）を作成する。軌道計画部１４は、生成した運転計画を制御ＭＣＵ２０、３０へ送信する。自車両の目的地は、例えば、カーナビゲーション装置等の上位装置において設定され、上位装置から自動運転ＥＣＵ１へ送信される。
　故障検知部１１は、外界センサ群６０に含まれるそれぞれの外界センサ６１(例えば６１ａ～６１ｄ等)の状態を検知し、故障の有無を診断する。また、故障検知部１１は、制御ＭＣＵ２０、３０の状態を検知し、故障の有無を診断する。故障検知部１１は、ウォッチドッグタイマを用いて故障診断を行ってもよいし、センシングデータの判定により故障診断を行ってもよい。故障検知部１１は、外界センサ６１、制御ＭＣＵ２０、３０の故障を検知すると、検知結果として故障検知信号を制御ＭＣＵ３０へ送信する。このとき、故障検知信号とともに、故障箇所を特定する情報が制御ＭＣＵ３０へ送信されてもよい。
　なお、フュージョンＭＣＵ１０は、各機能ブロックで実行される演算処理のうち、軽負荷の演算処理を制御ＭＣＵ２０、３０に行わせてもよい。これにより、フュージョンＭＣＵ１０の負荷が軽減される。
　＜＜＜制御ＭＣＵ２０＞＞＞
　制御ＭＣＵ２０、及び後述する制御ＭＣＵ３０は、アクチュエータ群８０に含まれる各アクチュエータを駆動する機能ブロックである。制御ＭＣＵ２０は、図１に示すように、故障検知部（第２の故障検知部）２１、車両制御部２２を備えている。
　故障検知部２１は、フュージョンＭＣＵ１０、制御ＭＣＵ（他の第２の論理回路ユニット）３０の状態を検知し、故障の有無を診断する。故障検知部２１は、フュージョンＭＣＵ１０、３０の故障を検知すると、故障検知信号を制御ＭＣＵ３０へ送信する。このとき、故障検知信号とともに、故障箇所を特定する情報が制御ＭＣＵ３０へ送信されてもよい。
　車両制御部２２は、通常動作モードのとき、フュージョンＭＣＵ１０から送信される運転計画に基づいて、第１のアクチュエータ群８０ａに含まれる各アクチュエータ（８１ａ～８３ａ等）を駆動する。車両制御部２２の動作については、後で詳しく説明する。
　＜＜＜制御ＭＣＵ３０＞＞＞
　制御ＭＣＵ３０は、図１に示すように、故障検知部（第２の故障検知部）３１、車両制御部３２、モード選択部３３、縮退演算部３４を備えている。故障検知部３１は、フュージョンＭＣＵ１０、制御ＭＣＵ２０の状態を検知し、故障の有無を診断する。また、故障検知部３１は、メモリ４０の状態を検知し、故障の有無を診断する。故障検知部３１は、フュージョンＭＣＵ１０、制御ＭＣＵ２０、外界センサ６１の故障を検知すると、故障検知信号をモード選択部３３へ送信する。このとき、故障検知信号とともに、故障箇所を特定する情報が制御ＭＣＵ３０へ送信されてもよい。本実施の形態では、フュージョンＭＣＵ１０、制御ＭＣＵ２０、３０のそれぞれに故障検知部が設けられており、各所において複数の故障検知部による故障検知が行われる。
　モード選択部３３は、自動運転ＥＣＵ１の動作モードを切り換える機能ブロックである。例えば、モード選択部３３は、故障検出信号を受信すると、自動運転ＥＣＵ１の動作モードを通常動作モードから縮退動作モードに切り換える。モード選択部３３は、外界センサ群６０に含まれる複数の外界センサと接続されている。縮退動作モードでは、モード選択部３３は、複数ある外界センサから一部の外界センサのみを選択し、選択した外界センサのセンシングデータを取得し、縮退演算部３４へ送信する。言い換えると、モード選択部３３は、選択する外界センサを時系列で選択しながらセンシングデータを取得する。
　縮退演算部３４は、縮退動作モードのとき、自車両を現在地から安全な退避場所（安全位置）まで移動させる縮退動作に関わる演算処理を行う機能ブロックである。なお、縮退動作モードにおける処理については、後で詳しく説明する。
　車両制御部３２は、通常動作モードのとき、フュージョンＭＣＵ１０から送信される運転計画に基づいて、第２のアクチュエータ群８０ｂに含まれる各アクチュエータ（８１ｂ～８３ｂ等）を駆動する駆動信号を生成し、生成した駆動信号を各アクチュエータへ送信する。一方、縮退動作モードのとき、車両制御部３２は、縮退演算部３４から送信される運転計画（第２の運転計画）に基づいて、各アクチュエータ（８１ｂ～８３ｂ等）を駆動する駆動信号を生成し、生成した駆動信号を各アクチュエータへ送信する。。車両制御部２２の動作については、後で詳しく説明する。
　＜＜＜メモリ４０＞＞＞
　メモリ４０は、フュージョンＭＣＵ１０で構築された最新のダイナミック地図や、故障検知部１１、２１、３１による検知結果等の各種情報を格納する機能ブロックである。また、メモリ４０は、自動運転ＥＣＵ１の動作に必要なプログラム、テーブル、ファイル、設定情報等の各種情報を格納する。なお、メモリ４０は、縮退演算部３４により構築されるダイナミック地図（第２のダイナミック地図、詳しくは後述する）を格納してもよい。
　メモリ４０は、図１に示すように複数のメモリ（第１メモリ４１、第２メモリ４２）を備え、第１メモリ４１、第２メモリ４２は、同一の情報をそれぞれ格納する。このように、メモリ４０は、第１メモリ４１、第２メモリ４２により二重化されている。第１メモリ４１は、例えば、フュージョンＭＣＵ１０、制御ＭＣＵ２０に対応しており、第２メモリ４２は、制御ＭＣＵ３０に対応している。例えば、第１メモリ４１は、故障検知部１１、２１による検知結果を格納し、第２メモリ４２は、故障検知部３１による検知結果を格納する。
　なお、プログラム、テーブル、ファイル等の各種情報は、メモリ４０とは異なるハードディスク、ＳＳＤ（Ｓｏｌｉｄ　Ｓｔａｔｅ　Ｄｒｉｖｅ）等の記録装置や、ＩＣカード、ＳＤカード、ＤＶＤ等の記録媒体に格納されてもよい。
　＜＜通常動作モード時の処理＞＞
　次に、通常動作モード時の処理について説明する。まず、自車両の搭乗者は、カーナビゲーション装置等の上位装置を操作し、自車両の目的地を設定する。その際、搭乗者は目的地と併せて経由地も設定してよい。設定された目的地や経由地は、自動運転ＥＣＵ１のフュージョンＭＣＵ１０に送信される。
　各外界センサ６１は、自車両周辺のセンシングを開始し、センシングデータをフュージョンＭＣＵ１０へ送信する。センサフュージョン部１２は、受信したセンシングデータに基づいて、自車両の周辺状況（例えば、他車両及び歩行者等の障害物や、ランドマークの位置）を抽出する。センサフュージョン部１２は、ランドマークや障害物の位置と、地図情報とを照らし合わせることにより、ランドマーク、障害物、自車両の位置合わせを行う。行動予測部１３は、自車両の周辺状況に基づいて障害物の行動を予測し、リスク情報を含むダイナミック地図を構築する。
　軌道計画部１４は、ダイナミック地図及び設定された目的地に基づいて自車両の運転計画を生成し、生成した運転計画を制御ＭＣＵ２０、３０へ送信する。また、軌道計画部１４は、生成した運転計画をメモリ４０に格納する。
　制御ＭＣＵ２０、３０の車両制御部２２、３２は、フュージョンＭＣＵ１０から送信された運転計画に基づき自動運転プロファイル（第１の自動運転プロファイル）を生成する。ここで生成される自動運転プロファイルには、軌道プロファイル、速度プロファイル、及び舵角プロファイルが含まれる。なお、自動運転プロファイルには、他のプロファイルが含まれてもよい。
　車両制御部２２、３２は、生成した自動運転プロファイルに基づきアクチュエータごとの指令値（第１の指令値）を生成し、生成した指令値を対応する各アクチュエータへ送信する。具体的に述べると、車両制御部２２は、第１のアクチュエータ群８０ａに含まれる各アクチュエータに対する指令値を生成し、生成した指令値を第１のアクチュエータ群８０ａのアクチュエータ８１ａ～８３ａ等へ送信する。これに対し、車両制御部３２は、第２のアクチュエータ群８０ｂに含まれる各アクチュエータに対する指令値を生成し、生成した指令値を第２のアクチュエータ群８０ｂのアクチュエータ８１ｂ～８３ｂ等へ送信する。各アクチュエータは、車両制御部２２、３２から送信される指令値に基づき駆動する。フュージョンＭＣＵ１０は、これらの処理を繰り返し行うことで自車両の自動運転を行う。
　＜＜縮退動作モード時の処理＞＞
　次に、縮退動作モードについて詳しく説明する。図２は、自車両の縮退動作の一例を示す図である。図２には、故障発生後、自車両Ｃが現在地から退避場所へ移動するまでの自車両の動きが示されている。現在地２０２ａにおいて故障が発生すると、自車両Ｃは、位置２０２ｂを経由して路肩の安全な退避場所２０２ｃへ移動し停車する。縮退動作モードでは、制御ＭＣＵ３０と接続された第２のアクチュエータ群８０ｂの各アクチュエータのみが駆動され、これらのアクチュエータにより、自車両は所定の退避場所まで移動する。
　フュージョンＭＣＵ１０の故障検知部１１が、外界センサ６１、又はモード選択部及び縮退演算部を備えていない制御ＭＣＵ２０の故障を検知した場合、制御ＭＣＵ２０の故障検知部２１が、フュージョンＭＣＵ１０の故障を検知した場合、制御ＭＣＵ３０の故障検知部３１が、フュージョンＭＣＵ１０、又はモード選択部及び縮退演算部を備えていない制御ＭＣＵ２０の故障を検知した場合、制御ＭＣＵ３０の故障検知部３１が、メモリ４０の故障を検知した場合、制御ＭＣＵ３０のモード選択部３３は、自動運転ＥＣＵ１の動作モードを通常動作モードから縮退動作モードへ切り換える。例えば、モード選択部３３は、フュージョンＭＣＵ１０、制御ＭＣＵ２０、３０のいずれかから故障検知信号を受信すると故障が検知されたと診断し、動作モードを縮退動作モードへ切り換える。
　なお、モード選択部３３は、それぞれの故障検知部による検知結果の多数決により、通常動作モードと前記縮退動作モードとを選択してもよい。例えば、フュージョンＭＣＵ１０に対する故障検知を行う場合を例に挙げて説明する。故障検知部２１により故障が検知され、故障検知部２１により故障が検知されていない場合、故障検知と故障非検知とが同数となるので、モード選択部３３は、フュージョンＭＣＵ１０は故障していないとみなし、引き続き通常動作モードに設定する。
　一方、故障検知部２１、３１の双方により故障が検知された場合、故障検知の数が故障非検知の数より大きくなるので、モード選択部３３は、フュージョンＭＣＵ１０は故障したものとみなし、動作モードを縮退動作モードに切り換える。
　動作モードが縮退動作モードに切り換わると、制御ＭＣＵ３０は、フュージョンＭＣＵ１０、制御ＭＣＵ２０へ縮退動作通知を行い、動作モードが縮退動作モードに切り換わったことをフュージョンＭＣＵ１０、制御ＭＣＵ２０へ通知する。フュージョンＭＣＵ１０は、縮退動作通知により、運転計画の生成及び送信を停止し、制御ＭＣＵ２０、３０は、運転計画の受信を停止する。また、制御ＭＣＵ３０は、故障が検知されたフュージョンＭＣＵ１０（他のマイコン）の停止を指示する第１の制御信号を生成し、フュージョンＭＣＵ１０へ送信する。
　そして、自動運転に関わる演算処理は、フュージョンＭＣＵ１０から制御ＭＣＵ３０へ引き継がれる。縮退演算部３４は、メモリ４０へアクセスし、故障発生前、すなわち故障が発生したと診断される直前の最新の第１のダイナミック地図を読み出す。縮退演算部３４は、メモリ４０から読み出した最新の第１のダイナミック地図に基づいて現在地付近に自車両の退避場所を設定する。退避場所は、すでに述べたように、路肩等の安全な場所である。
　また、縮退演算部３４の処理と並行して、モード選択部３３は、外界センサ群６０の複数の外界センサから一部の外界センサを選択する。詳しく説明すると、モード選択部３３は、選択する外界センサを時系列で切り換えながらセンシングデータを取得する。縮退演算部３４は、モード選択部３３により選択された外界センサのセンシングデータに基づいて自車両の周辺状況（第２の周辺状況）を抽出する。
　図３は、縮退動作モード時における外界センサの切り換え動作の一例を示す図である。図３の横軸は時間軸であり、各時刻において選択される外界センサが時系列で示されている。図２に沿って説明すると、故障発生時、自車両Ｃは左車線を走行している。そこで、モード選択部３３は、例えば、右前方の近距離、正面の遠距離、左前方の近距離、正面の近距離をセンシングする外界センサ（１）～（４）を順次選択する。また、モード選択部３３は、これらの外界センサ（１）～（４）を繰り返し選択する。自車両Ｃが退避場所Ｐ３まで移動すると、縮退動作は完了し、モード選択部３３は、外界センサの選択を停止する。
　なお、外界センサ（１）～（４）の選択順序は、あくまで一例であり、この順序に限定されるものではない。また、選択される外界センサは、これらに限定されるものではなく、走行位置、自車両周辺の障害物の位置、退避場所等の各条件に応じて、自車両を退避場所へ移動させるために必要な外界センサが選択される。また、選択される外界センサの個数は、図３に示す４個に限定されるものではない。また、制御ＭＣＵ３０の処理能力に応じて、モード選択部３３は、複数の外界センサを同時に選択してもよい。
　縮退演算部３４は、最新の第１のダイナミック地図及び第２の周辺状況に基づくダイナミック地図（第２のダイナミック地図）を構築する。このダイナミック地図には、第１のダイナミック地図に含まれるリスク情報が引き継がれる。縮退演算部３４は、第２のダイナミック地図及び退避場所に基づく縮退動作用の運転計画（第２の運転計画）を作成し、作成した運転計画を車両制御部３２へ送信する。
　車両制御部３２は、縮退演算部３４から送信される運転計画に基づき、縮退動作用の自動運転プロファイル（第２の自動運転プロファイル）を生成する。ここで生成される自動運転プロファイルには、軌道プロファイル、速度プロファイル、及び舵角プロファイル等のプロファイルが含まれる。車両制御部３２は、生成した自動運転プロファイルに基づき、第２のアクチュエータ群８０ｂに含まれるアクチュエータに対する指令値（第２の指令値）を生成し、生成した指令値を各アクチュエータ８１ｂ～８３ｂ等へ送信する。制御ＭＣＵ３０は、これらの処理を繰り返し行うことで縮退動作モード時における自車両の自動運転を行う。
　一方、縮退動作モードでは、第１のアクチュエータ群８０ａのアクチュエータ８１ａ～８１ｃ等に対する制御は行われない。このため、縮退動作モードでは、一対のアクチュエータのうち一方のアクチュエータしか動作しないため、通常動作モードと比較してアクチュエータの出力が半減することとなる。
　ここで述べた縮退動作モードは、フュージョンＭＣＵ１０、制御ＭＣＵ２０や外界センサ６１が故障した場合のいずれについても適用される。ただし、外界センサが故障した場合、モード選択部３３は、故障した外界センサを選択対象から除外し、故障していない外界センサのみを選択対象とする。
　＜＜故障したデバイスの復旧処理＞＞
　次に、故障したデバイス（フュージョンＭＣＵ１０、制御ＭＣＵ２０、３０等）の復旧処理について説明する。故障が検知されると、制御信号により動作が停止する。動作が停止したデバイスは、故障の検知結果に基づき、故障箇所を除外して再起動する。例えば、フュージョンＭＣＵ１０の特定の機能を実現する箇所が故障した場合、その部分を除外してフュージョンＭＣＵ１０は再起動される。再起動の際、例えば、制御ＭＣＵ３０は、起動を指示する制御信号を生成し、生成した制御信号をフュージョンＭＣＵ１０へ送信する。故障したデバイスの再起動は、故障箇所の重要性等に応じて、自動運転中に行われてもよいし、自車両が退避場所に停車してから行われてもよい。
　＜本実施の形態による主な効果＞
　本実施の形態によれば、動作モードが縮退動作モードに切り換わると、フュージョンＭＣＵ１０から制御ＭＣＵ３０へ自動運転に関わる演算処理が引き継がれる。制御ＭＣＵ３０は、縮退動作により、自車両Ｃを現在地２０２ａから退避場所２０２ｃへ移動させる。この構成によれば、自動運転ＥＣＵ１に故障が発生しても、自車両を安全な退避場所へ移動させ停止させることができる。また、この構成によれば、制御ＭＣＵ２０、３０には、フュージョンＭＣＵ１０より処理能力が低いＣＰＵを搭載することができる。これにより、高度な自動運転システムを低コストかつ高信頼に実現することが可能となる。
　また、本実施の形態によれば、縮退動作モード時、モード選択部３３は、選択する外界センサを時系列に切り換えながらセンシングデータを取得する。このように、選択する外界センサを時分割で切り換えることで、制御ＭＣＵ３０の処理能力が低くても、故障発生時において自車両周辺のセンシングを網羅的に行なうことができ、より安全に退避場所まで自車両を移動させることができる。
　また、本実施の形態によれば、モード選択部３３は、それぞれの故障検知部による検知結果の多数決により、通常動作モードと縮退動作モードとを選択する。この構成によれば、自動運転における故障箇所の重要性に応じて、動作モードの切り換え方法を自在に設定することが可能となる。
　また、本実施の形態によれば、縮退動作モード時、モード選択部３３は、走行位置や障害物の位置等、自車両の周辺状況に応じて適切な外界センサを選択する。この構成によれば、縮退動作時における自車両周辺のセンシングを効果的に行なうことができ、より安全に退避場所まで自車両を移動させることができる。
　また、本実施の形態によれば、メモリ４０は、故障発生直前の最新の第１のダイナミック地図や、故障の検知結果を格納する。この構成によれば、故障発生により、フュージョンＭＣＵ１０へのアクセスができなくなっても、縮退演算部３４は、故障発生前の最新の第１のダイナミック地図を取得することができる。これにより、縮退動作に関わる演算処理が確実に実行され、自動運転を継続して行うことが可能となる。
　また、本実施の形態によれば、メモリ４０は、同一の情報を格納する第１メモリ４１及び第２メモリ４２により二重化されている。この構成によれば、縮退演算部３４は、いずれかのメモリに故障が発生しても、最新の第１のダイナミック地図を確実に取得することができる。
　また、本実施の形態によれば、縮退動作モードに切り換わると、制御ＭＣＵ３０は、フュージョンＭＣＵ１０、制御ＭＣＵ２０の双方に対し縮退動作通知を行う。この構成によれば、フュージョンＭＣＵ１０が運転計画の生成、送信を停止できない場合、あるいは制御ＭＣＵ２０が運転計画の受信を停止できない場合にも、第１のアクチュエータ群８０ａの各アクチュエータの動作を確実に停止させることができる。これにより、縮退動作モード時における自車両の挙動を安定させることができる。
　また、本実施の形態によれば、フュージョンＭＣＵ１０、制御ＭＣＵ３０は、故障が検知された他のマイコンの起動／停止を指示する制御信号を生成し送信する。また、故障が検知されたマイコンは、検知結果に基づき、故障箇所を除外して再起動する。この構成によれば、故障が発生した箇所を自動運転制御から切り離すことができ、故障発生後の縮退動作を安全に行うことが可能となる。また、自動運転に支障を来さない範囲で、故障箇所を含むデバイスを使用することが可能となる。
　（実施の形態２）
　次に、実施の形態２について説明する。本実施の形態では、複数の電源系統を備えた自動運転ＥＣＵ及び車載システムについて説明する。図４は、本発明の実施の形態２に係る車載システムの電源系統の一例を示す図である。図４に示す車載システム１０１は、２つの電源系統Ｄ１、Ｄ２と接続されている。各電源系統Ｄ１、Ｄ２は、互いに異なる独立したバッテリ（図示は省略）と接続されている。
　電源系統Ｄ１は、外界センサ群６０の一部の外界センサ（例えば６１ａ～６１ｃ等）、フュージョンＭＣＵ１０、制御ＭＣＵ２０、メモリ４０の第１メモリ４１、及び第１のアクチュエータ群８０ａの各アクチュエータ（８１ａ～８３ａ等）へ電源を供給する。一方、電源系統Ｄ２は、外界センサ群６０の一部の外界センサ（例えば６１ｄ等）、制御ＭＣＵ３０、メモリ４０の第２メモリ４２、及び第１のアクチュエータ群８０ａの各アクチュエータ（８１ａ～８３ａ等）へ電源を供給する。
　故障検知部１１、２１は、制御ＭＣＵ３０に接続される電源系統Ｄ２の電源、通信器、第２メモリ４２の故障を検知する。そして、これらの故障の検知結果は第１メモリ４１に格納される。そして、フュージョンＭＣＵ１０は、故障が検知された他のマイコン（制御ＭＣＵ３０）に接続される電源、通信器、又はメモリの停止を指示する制御信号を生成し送信する。制御信号が受信したデバイスは、その動作を停止する。
　一方、故障検知部３１は、フュージョンＭＣＵ１０、制御ＭＣＵ２０に接続される電源系統Ｄ１の電源、通信器、第１メモリ４１の故障を検知する。そして、これらの故障の検知結果は第２メモリ４２に格納される。そして、制御ＭＣＵ３０は、故障が検知された他のマイコン（フュージョンＭＣＵ１０、制御ＭＣＵ２０）に接続される電源、通信器、又はメモリの停止を指示する制御信号を生成し送信する。制御信号が受信したデバイスは、その動作を停止する。
　動作が停止したデバイスは、実施の形態１で述べたように、故障の検知結果に基づき、故障箇所を除外して再起動する。故障したデバイスの再起動は、故障箇所の重要性等に応じて、自動運転中に行われてもよいし、自車両が退避場所に停車してから行われてもよい。
　フュージョンＭＣＵ１０及び縮退演算部３４を有する制御ＭＣＵ３０は、それぞれ異なる電源と接続されている。これにより、一方のバッテリに故障が発生しても、自動運転ＥＣＵ１の動作を継続させることが可能となる。
　なお、電源の故障検知は、各マイコンの動作状態を検知することでも可能であるし、電源そのものの電気的状態（例えば出力電流、出力電圧、内部抵抗）を監視することでも可能である。また、第１メモリ４１及び第２メモリ４２も、それぞれ異なる電源と接続されているので、一方のバッテリに故障が発生しても、第１のダイナミック地図を確実に格納することが可能となる。また、故障発生時においても、安全かつ低コストに、自動運転を継続させることが可能となる。
　なお、車載システム１０１は、３以上の電源系統と接続されてもよい。例えば、フュージョンＭＣＵ１０、制御ＭＣＵ２０、３０がそれぞれ異なる電源系統と接続されてもよい。さらには、フュージョンＭＣＵ１０、制御ＭＣＵ２０、３０、第１メモリ４１、及び第２メモリ４２がそれぞれ異なる電源系統と接続されてもよい。これにより、故障発生時における安全性がより向上する。
　（実施の形態３）
　次に、実施の形態３について説明する。本実施の形態では、モード選択部及び縮退演算部を備えた制御ＭＣＵが複数設けられた自動運転ＥＣＵ及び車載システムについて説明する。
　図５は、本発明の実施の形態３に係る車載システムの構成の一例を示すブロック図である。図５に示す制御ＭＣＵ２０は、故障検知部２１、車両制御部２２に加え、モード選択部２３、縮退演算部２４を備えている。制御ＭＣＵ２０は、外界センサ群の各外界センサ６１と接続されている。モード選択部２３及び縮退演算部２４は、制御ＭＣＵ３０のモード選択部３３及び縮退演算部３４とそれぞれ同様の構成を有している。また、モード選択部２３及び縮退演算部２４の動作は、モード選択部３３及び縮退演算部３４とそれぞれ同様である。
　実施の形態３では、フュージョンＭＣＵ１０の故障検知部１１及び制御ＭＣＵ２０の故障検知部２１は、制御ＭＣＵ３０の故障検知も行う。制御ＭＣＵ３０の故障が検知されると、制御ＭＣＵ２０による縮退動作が実行される。この場合、第１のアクチュエータ群８０ａに含まれる各アクチュエータ（８１ａ～８３ａ等）が駆動され、自車両は、退避場所まで移動する。
　一方、制御ＭＣＵ２０、３０以外の構成要素に故障が発生した場合、制御ＭＣＵ２０、３０による縮退動作がそれぞれ実行される。この場合、すべてのアクチュエータが駆動されるので、出力を半減させることなく縮退動作が実行される。これにより、より確実に安全な退避場所まで自車両を移動させることが可能となる。
　また、本実施の形態においても、すでに述べた実施の形態２のように、車載システム１０１は、複数の電源系統と接続されてもよい。この場合、制御ＭＣＵ２０、３０は、それぞれ異なる電源系統と接続されていることが好ましい。これによれば、バッテリに故障が発生しても、制御ＭＣＵ２０、３０のいずれかには電源が供給されるので、確実に縮退動作が実行される。
　（実施の形態４）
　次に、実施の形態４について説明する。本実施の形態では、車両運動統合制御装置を備えた自動運転ＥＣＵ及び車載システムについて説明する。
　図６は、本発明の実施の形態４に係る車載システムの構成の一例を示すブロック図である。図４に示す車載システム１０１は、アクチュエータ群１８０及び車両運動統合制御装置（ＶＭＣ：Vehicle Motion Controller）１９０を備えている。
　アクチュエータ群１８０は、複数のアクチュエータ（例えば１８０ａ～１８０ｚ等）を有する。各アクチュエータ１８０ａ～１８０ｚは、車両運動統合制御装置１９０と接続されている。
　車両運動統合制御装置１９０は、制御ＭＣＵ２０、３０から送信される自動運転プロファイルに基づき、アクチュエータ（１８０ａ～１８０ｚ）を統合的に制御する機能ブロックである。
　車両運動統合制御装置１９０は、第１車両運動統合制御装置１９１及び第２車両運動統合制御装置１９２を有している。第１車両運動統合制御装置１９１及び第２車両運動統合制御装置１９２は、同様の機能を有している。言い換えれば、車両運動統合制御装置１９０は、第１車両運動統合制御装置１９１及び第２車両運動統合制御装置１９２により二重化されている。車両運動統合制御装置１９０は、３個以上のユニットで構成されてもよい。すなわち、車両運動統合制御装置１９０は、第３車両運動統合制御装置等を備えてもよい。
　車載システム１０１が複数の電源系統と接続されている場合、第１車両運動統合制御装置１９１及び第２車両運動統合制御装置１９２は、それぞれ異なる電源系統と接続されていることが好ましい。
　車両運動統合制御装置１９０では、通常は第１車両運動統合制御装置１９１が用いられ、第１車両運動統合制御装置１９１に故障が発生すると、第２車両運動統合制御装置１９２が用いられる。ただし、第２車両運動統合制御装置１９２が使用され、第２車両運動統合制御装置１９２に故障が発生したとき、第１車両運動統合制御装置１９１が使用されてもよい。
　制御ＭＣＵ３０の故障検知部３１は、車両運動統合制御装置１９０、及びアクチュエータ群１８０の各アクチュエータ１８０ａ～１８０ｚの故障検知を行う。
　次に、本実施の形態の車載システム１０１の動作について説明する。動作モードが通常動作モードのとき、制御ＭＣＵ２０、３０の車両制御部２２、３２は、フュージョンＭＣＵ１０から送信される運転計画に基づき自動運転プロファイル（第１の自動運転プロファイル）を生成し、生成した自動運転プロファイルを車両運動統合制御装置１９０へ送信する。車両運動統合制御装置１９０は、送信された自動運転プロファイルに基づき、各アクチュエータとの連携を考慮しつつ、アクチュエータ１８０ａ～１８０ｚごとの指令値（第３の指令値）を生成する。車両運動統合制御装置１９０は、生成した指令値を、対応するアクチュエータ１８０ａ～１８０ｚへ送信する。
　一方、車両運動統合制御装置１９０や各アクチュエータ１８０ａ～１８０ｚ等の故障が検出されると、動作モードが縮退動作モードに切り換わる。縮退動作モードのとき、制御ＭＣＵ３０の車両制御部３２は、縮退演算部３４において生成される運転計画（第２の運転計画）に基づき、自動運転プロファイル（第２の自動運転プロファイル）を生成し、生成した自動運転プロファイルを車両運動統合制御装置１９０へ送信する。車両運動統合制御装置１９０は、送信された自動運転プロファイルに基づき、各アクチュエータとの連携を考慮しつつ、アクチュエータ１８０ａ～１８０ｚごとに縮退動作用の指令値（第４の指令値）を生成する。車両運動統合制御装置１９０は、生成した指令値を、対応するアクチュエータ１８０ａ～１８０ｚへ送信する。
　このように、本実施の形態では、制御ＭＣＵ２０、３０では、自動運転プロファイルの生成までの処理が行われ、各アクチュエータへの指令値は、車両運動統合制御装置１９０で生成される。
　本実施の形態によれば、複数のアクチュエータが統合的に制御されるので、低速大舵角が必要な自動駐車から、レーンキープのような高速走行まで、あらゆるシーンでシームレスかつ快適な自動運転走行が実現される。
　アクチュエータに故障が発生した場合、モード選択部３３は、故障していないアクチュエータ１８０ａ～１８０ｚの中から、自車両が安全な退避場所まで移動するのに最低限必要なアクチュエータを選択し、選択したアクチュエータの情報を車両運動統合制御装置１９０へ送信する。車両運動統合制御装置１９０は、自動運転プロファイルに基づき、選択されたアクチュエータに対応する各指令値を生成する。なお、車両運動統合制御装置１９０に故障検知部が設けられてもよい。この場合、車両運動統合制御装置１９０は、制御ＭＣＵ３０と故障検知情報を共有してもよい。
　本実施の形態によれば、アクチュエータに故障が発生しても、車両運動統合制御装置１９０により残りのアクチュエータに対する統合制御により、自車両を安全な退避場所までよりスムースに移動させることが可能となる。
　本実施の形態においても、実施の形態３のように、制御ＭＣＵ２０にモード選択部２３及び縮退演算部２４が設けられてもよい。これにより、縮退動作に関わる演算を行う制御ＭＣＵが二重化される。また、この場合、制御ＭＣＵ２０、３０は、それぞれ異なる電源と接続されることが好ましい。
　なお、本発明は上記した実施の形態に限定されるものではなく、様々な変形例が含まれる。また、ある実施の形態の構成の一部を他の実施の形態の構成に置き換えることが可能であり、また、ある実施の形態の構成に他の実施の形態の構成を加えることも可能である。また、各実施の形態の構成の一部について、他の構成の追加、削除、置換をすることが可能である。なお、図面に記載した各部材や相対的なサイズは、本発明を分かりやすく説明するため簡素化・理想化しており、実装上はより複雑な形状となる場合がある。
　自動運転ＥＣＵを構成する各部は、例えば集積回路等のハードウェアで構成されてもよい。また、自動運転ＥＣＵがＣＰＵやＲＡＭ等を備え、ＲＡＭに展開されたプログラムをＣＰＵが実行することにより、フュージョンＭＣＵ１０および制御ＭＣＵ２０、３０や車両運動統合制御装置１９０等が実現されてもよい。
　また、各図の制御線及び情報線は、説明上必要と考えられるものが主に示されており、すべての制御線や情報線が示されているとは限らない。実際には殆ど全ての構成要素が相互に接続されていると考えてもよい。
　以下に、好ましい形態について付記する。
　車載システムにおいて、故障検知部は、マイコンに接続される電源、通信器、又はメモリの故障を検知し、メモリは、電源、通信器、又はメモリの検知結果を格納する、車載システム。
　車載システムにおいて、マイコンは、故障が検知された他のマイコンの起動／停止を指示する第１の制御信号を生成し送信する、車載システム。
　車載システムにおいて、マイコンは、故障が検知された他のマイコンに接続される電源、通信器、又はメモリの起動／停止を指示する第２の制御信号を生成し送信する、車載システム。
　車載システムにおいて、故障が検知されたマイコンは、検知結果に基づき、故障個所を除外して再起動する、車載システム。
　車載システムにおいて、電子制御装置は、複数のメモリを備え、それぞれのメモリは、対応するマイコンの検知結果を格納し、それぞれのメモリの電源は、格納するマイコンと共通である、車載システム。
　１…自動運転ＥＣＵ（電子制御装置）、１０…フュージョンＭＣＵ（マイコン）、２０、３０…制御ＭＣＵ、１１、２１、３１…故障検知部、２２、３２…車両制御部、３３…モード選択部、３４…縮退演算部、４０…メモリ、４１…第１メモリ、４２…第２メモリ、６０…外界センサ群、６１…外界センサ（センサ）、８０、１８０…アクチュエータ群、８１ａ～８３ａ、８１ｂ～８３ｂ、１８０ａ～１８０ｚ…アクチュエータ、１０１…車載システム、１９０…車両運動統合制御装置、１９１…第１車両運動統合制御装置、１９２…第２車両運動統合制御装置

Claims (15)

  1. 　複数のセンサからセンシングデータを受け取ることが可能な少なくとも二つのマイコンと、
    　複数の前記センサ又は前記マイコンの故障を検知する故障検知部と、
    　前記故障検知部による検知結果に応じて、通常動作モードと縮退動作モードとを選択するモード選択部と、
    　前記故障検知部により検知された故障箇所、又は前記センシングデータから算出した自車両の周辺状況に基づいて前記センサを選択するセンサ選択部と、
    　を備え、
    　少なくとも二つの前記マイコンのいずれかは、前記縮退動作モードの場合に、前記センサ選択部により選択された前記センサから受け取る前記センシングデータを用いて、アクチュエータを動作させる駆動信号を生成し、前記駆動信号を前記アクチュエータに送信する、
    　電子制御装置。
  2. 　請求項１に記載の電子制御装置において、
    　少なくとも二つの前記マイコンのいずれかは、前記縮退動作モードの場合、時系列で前記センシングデータを受け取る、
    　電子制御装置。
  3. 　請求項１に記載の電子制御装置において、
    　前記縮退動作モードの場合、
    　前記センサ選択部が、選択する前記センサを時系列で選択しながら、
    　少なくとも二つの前記マイコンのいずれかは、前記駆動信号を生成し前記自車両を安全位置に停止させる、
    　電子制御装置。
  4. 　請求項１に記載の電子制御装置において、
    　複数の前記故障検知部を備え、
    　前記モード選択部は、それぞれの前記故障検知部による前記検知結果の多数決により、前記通常動作モードと前記縮退動作モードとを選択する、
    　電子制御装置。
  5. 　請求項１に記載の電子制御装置において、
    　前記検知結果を格納するメモリを備えている、
    　電子制御装置。
  6. 　請求項５に記載の電子制御装置において、
    　前記故障検知部は、前記マイコンに接続される電源、通信器、又は前記メモリの故障を検知し、
    　前記メモリは、前記電源、前記通信器、又は前記メモリの検知結果を格納する、
    　電子制御装置。
  7. 　請求項１に記載の電子制御装置において、
    　前記マイコンは、故障が検知された他の前記マイコンの起動／停止を指示する第１の制御信号を生成し送信する、
    　電子制御装置。
  8. 　請求項６に記載の電子制御装置において、
    　前記マイコンは、故障が検知された他の前記マイコンに接続される前記電源、前記通信器、又は前記メモリの起動／停止を指示する第２の制御信号を生成し送信する、
    　電子制御装置。
  9. 　請求項７に記載の電子制御装置において、
    　故障が検知された前記マイコンは、前記検知結果に基づき、故障個所を除外して再起動する、
    　電子制御装置。
  10. 　請求項６に記載の電子制御装置において、
    　複数の前記メモリを備え、
    　それぞれの前記メモリは、対応する前記マイコンの前記検知結果を格納し、
    　それぞれの前記メモリの電源は、格納する前記マイコンと共通である、
    　電子制御装置。
  11. 　複数のセンサと、
    　複数のアクチュエータと、
    　電子制御装置と、
    　を備えた車載システムであって、
    　前記電子制御装置は、
    　複数の前記センサからセンシングデータを受け取ることが可能な少なくとも二つのマイコンと、
    　複数の前記センサ又は前記マイコンの故障を検知する故障検知部と、
    　前記故障検知部による検知結果に応じて、通常動作モードと縮退動作モードとを選択するモード選択部と、
    　前記故障検知部により検知された故障箇所、又は前記センシングデータから算出した自車両の周辺状況に基づいて前記センサを選択するセンサ選択部と、
    　を備え、
    　少なくとも二つの前記マイコンのいずれかは、前記縮退動作モードの場合に、前記センサ選択部により選択された前記センサから受け取る前記センシングデータを用いて、アクチュエータを動作させる駆動信号を生成し、前記駆動信号を前記アクチュエータに送信する、
    　車載システム。
  12. 　請求項１１に記載の車載システムにおいて、
    　少なくとも二つの前記マイコンのいずれかは、前記縮退動作モードの場合、時系列で前記センシングデータを受け取る、
    　車載システム。
  13. 　請求項１１に記載の車載システムにおいて、
    　前記縮退動作モードの場合、
    　前記センサ選択部が、選択する前記センサを時系列で選択しながら、
    　少なくとも二つの前記マイコンのいずれかは、前記駆動信号を生成し前記自車両を安全位置に停止させる、
    　車載システム。
  14. 　請求項１１に記載の車載システムにおいて、
    　前記電子制御装置は、複数の前記故障検知部を備え、
    　前記モード選択部は、それぞれの前記故障検知部による前記検知結果の多数決により、前記通常動作モードと前記縮退動作モードとを選択する、
    　車載システム。
  15. 　請求項１１に記載の車載システムにおいて、
    　前記検知結果を格納するメモリを備えている、
    　車載システム。
PCT/JP2019/045370 2018-12-19 2019-11-20 電子制御装置および車載システム WO2020129523A1 (ja)

Priority Applications (2)

Application Number Priority Date Filing Date Title
CN201980082587.6A CN113195330B (zh) 2018-12-19 2019-11-20 电子控制装置以及车载系统
US17/414,795 US11787425B2 (en) 2018-12-19 2019-11-20 Electronic control device and in-vehicle device

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2018-237081 2018-12-19
JP2018237081A JP7111606B2 (ja) 2018-12-19 2018-12-19 電子制御装置および車載システム

Publications (1)

Publication Number Publication Date
WO2020129523A1 true WO2020129523A1 (ja) 2020-06-25

Family

ID=71101239

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2019/045370 WO2020129523A1 (ja) 2018-12-19 2019-11-20 電子制御装置および車載システム

Country Status (4)

Country Link
US (1) US11787425B2 (ja)
JP (1) JP7111606B2 (ja)
CN (1) CN113195330B (ja)
WO (1) WO2020129523A1 (ja)

Families Citing this family (9)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP7259716B2 (ja) * 2019-11-28 2023-04-18 トヨタ自動車株式会社 車両制御システム及び車両制御方法
JP7331797B2 (ja) * 2020-07-08 2023-08-23 トヨタ自動車株式会社 車両制御装置
KR102365256B1 (ko) * 2020-11-13 2022-02-22 주식회사 현대케피코 차량용 모터 제어 장치 및 그 제어방법
CN116508085A (zh) * 2020-12-04 2023-07-28 日产自动车株式会社 冗余系统
JP7472817B2 (ja) 2021-02-12 2024-04-23 株式会社デンソー データ処理システム
US12054166B2 (en) * 2021-05-13 2024-08-06 Dana Belgium N.V. Driveline component control and fault diagnostics
CN114152272A (zh) * 2021-11-15 2022-03-08 国汽智控(北京)科技有限公司 故障检测方法、装置、车辆、可读存储介质和程序产品
US20230322241A1 (en) * 2022-04-06 2023-10-12 Ghost Autonomy Inc. Implementing degraded performance modes in an autonomous vehicle
CN117681810B (zh) * 2023-12-25 2024-08-20 重庆赛力斯新能源汽车设计院有限公司 一种整车控制器负载率的调节方法、系统、设备、介质

Citations (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPH0553644A (ja) * 1991-08-23 1993-03-05 Daifuku Co Ltd 自走台車の衝突防止装置
US20040034810A1 (en) * 2002-05-29 2004-02-19 Hans Heckmann Method for mutual monitoring of components of a distributed computer system
JP2015532712A (ja) * 2012-08-25 2015-11-12 ヴァレオ・シャルター・ウント・ゼンゾーレン・ゲーエムベーハー 超音波センサの改善された作動方法、運転者支援装置および自動車
JP2018078682A (ja) * 2016-11-07 2018-05-17 株式会社デンソー 電子制御装置
JP2018144720A (ja) * 2017-03-08 2018-09-20 三菱電機株式会社 車両退避装置および車両退避方法
JP2018158591A (ja) * 2017-03-21 2018-10-11 株式会社ケーヒン 車両用制御装置
WO2018220811A1 (ja) * 2017-06-02 2018-12-06 本田技研工業株式会社 車両制御システムおよび車両制御方法
WO2018225352A1 (ja) * 2017-06-05 2018-12-13 日立オートモティブシステムズ株式会社 車両制御装置および車両制御システム

Family Cites Families (12)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP3272960B2 (ja) * 1996-08-19 2002-04-08 株式会社データ・テック ドライビングレコーダ及び車両の運行解析装置
DE10064673B4 (de) * 2000-12-22 2005-02-24 Renk Ag Fehlertolerante elektromechanische Stelleinrichtung
JP4399987B2 (ja) * 2001-01-25 2010-01-20 株式会社デンソー 車両統合制御におけるフェイルセーフシステム
JP4848027B2 (ja) 2004-01-30 2011-12-28 日立オートモティブシステムズ株式会社 車両制御装置
KR100747303B1 (ko) * 2005-11-11 2007-08-07 현대자동차주식회사 하이브리드 차량의 페일 세이프티 제어 시스템
JP4834428B2 (ja) * 2006-03-08 2011-12-14 本田技研工業株式会社 車両の制御装置
KR101470190B1 (ko) * 2013-07-09 2014-12-05 현대자동차주식회사 자율주행 시스템의 고장 처리 장치 및 그 방법
US9195232B1 (en) * 2014-02-05 2015-11-24 Google Inc. Methods and systems for compensating for common failures in fail operational systems
JP6307383B2 (ja) * 2014-08-07 2018-04-04 日立オートモティブシステムズ株式会社 行動計画装置
US9952948B2 (en) * 2016-03-23 2018-04-24 GM Global Technology Operations LLC Fault-tolerance pattern and switching protocol for multiple hot and cold standby redundancies
JP6611664B2 (ja) * 2016-04-26 2019-11-27 三菱電機株式会社 自動運転制御装置および自動運転制御方法
US20190041837A1 (en) * 2017-08-03 2019-02-07 GM Global Technology Operations LLC Redundant active control system coordination

Patent Citations (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPH0553644A (ja) * 1991-08-23 1993-03-05 Daifuku Co Ltd 自走台車の衝突防止装置
US20040034810A1 (en) * 2002-05-29 2004-02-19 Hans Heckmann Method for mutual monitoring of components of a distributed computer system
JP2015532712A (ja) * 2012-08-25 2015-11-12 ヴァレオ・シャルター・ウント・ゼンゾーレン・ゲーエムベーハー 超音波センサの改善された作動方法、運転者支援装置および自動車
JP2018078682A (ja) * 2016-11-07 2018-05-17 株式会社デンソー 電子制御装置
JP2018144720A (ja) * 2017-03-08 2018-09-20 三菱電機株式会社 車両退避装置および車両退避方法
JP2018158591A (ja) * 2017-03-21 2018-10-11 株式会社ケーヒン 車両用制御装置
WO2018220811A1 (ja) * 2017-06-02 2018-12-06 本田技研工業株式会社 車両制御システムおよび車両制御方法
WO2018225352A1 (ja) * 2017-06-05 2018-12-13 日立オートモティブシステムズ株式会社 車両制御装置および車両制御システム

Also Published As

Publication number Publication date
CN113195330B (zh) 2024-10-18
CN113195330A (zh) 2021-07-30
US20220017107A1 (en) 2022-01-20
JP7111606B2 (ja) 2022-08-02
US11787425B2 (en) 2023-10-17
JP2020097352A (ja) 2020-06-25

Similar Documents

Publication Publication Date Title
WO2020129523A1 (ja) 電子制御装置および車載システム
CN110077420B (zh) 一种自动驾驶控制系统和方法
JP7171708B2 (ja) 複数の制御車線を用いた自律車両の耐障害制御
JP6820981B2 (ja) 自動運転システム、車両制御方法及び装置
US11782437B2 (en) Autonomous vehicle with independent auxiliary control units
US11634149B2 (en) Method of using a single controller (ECU) for a fault-tolerant/fail-operational self-driving system
CN107908186B (zh) 用于控制无人驾驶车辆运行的方法及系统
CN108137054B (zh) 传感器测量数据的替换
US11724708B2 (en) Fail-safe handling system for autonomous driving vehicle
US11273842B2 (en) Control system and improved control method for the autonomous control of a motor vehicle
JP7193289B2 (ja) 車載電子制御システム
US11511762B2 (en) Redundancy system and method
JP6611664B2 (ja) 自動運転制御装置および自動運転制御方法
JP6802391B2 (ja) 車両制御装置および電子制御システム
JPWO2018225225A1 (ja) 車両制御装置
JP7198056B2 (ja) 車両制御装置及び車両制御方法
EP3434546A1 (en) Sensor failure compensation system for an automated system vehicle
CN115042801A (zh) 一种智能巡航辅助冗余控制方法及系统
WO2021234947A1 (ja) 車両制御システム、車両統合制御装置、電子制御装置、ネットワーク通信装置、車両制御方法、および、車両制御プログラム
WO2020116262A1 (ja) 車両制御装置
WO2023084581A1 (ja) 電子制御装置及び車両制御システム
US20240338331A1 (en) Autarchical power domains for executing minimal risk conditions
KR20230092059A (ko) 주행 모드 간 전환을 지원하는 차량 내 자율 주행 시스템
CN118107603A (zh) 车辆的控制系统

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 19897606

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 19897606

Country of ref document: EP

Kind code of ref document: A1