WO2021019715A1 - 車両制御装置 - Google Patents

車両制御装置 Download PDF

Info

Publication number
WO2021019715A1
WO2021019715A1 PCT/JP2019/029981 JP2019029981W WO2021019715A1 WO 2021019715 A1 WO2021019715 A1 WO 2021019715A1 JP 2019029981 W JP2019029981 W JP 2019029981W WO 2021019715 A1 WO2021019715 A1 WO 2021019715A1
Authority
WO
WIPO (PCT)
Prior art keywords
control device
steering
automatic driving
abnormality
ecu
Prior art date
Application number
PCT/JP2019/029981
Other languages
English (en)
French (fr)
Inventor
大介 川上
伸男 千田
Original Assignee
三菱電機株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 三菱電機株式会社 filed Critical 三菱電機株式会社
Priority to JP2019570156A priority Critical patent/JP6732143B1/ja
Priority to PCT/JP2019/029981 priority patent/WO2021019715A1/ja
Publication of WO2021019715A1 publication Critical patent/WO2021019715A1/ja

Links

Images

Classifications

    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60W—CONJOINT CONTROL OF VEHICLE SUB-UNITS OF DIFFERENT TYPE OR DIFFERENT FUNCTION; CONTROL SYSTEMS SPECIALLY ADAPTED FOR HYBRID VEHICLES; ROAD VEHICLE DRIVE CONTROL SYSTEMS FOR PURPOSES NOT RELATED TO THE CONTROL OF A PARTICULAR SUB-UNIT
    • B60W50/00—Details of control systems for road vehicle drive control not related to the control of a particular sub-unit, e.g. process diagnostic or vehicle driver interfaces
    • B60W50/02—Ensuring safety in case of control system failures, e.g. by diagnosing, circumventing or fixing failures
    • B60W50/023—Avoiding failures by using redundant parts
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B62—LAND VEHICLES FOR TRAVELLING OTHERWISE THAN ON RAILS
    • B62D—MOTOR VEHICLES; TRAILERS
    • B62D5/00—Power-assisted or power-driven steering
    • B62D5/04—Power-assisted or power-driven steering electrical, e.g. using an electric servo-motor connected to, or forming part of, the steering gear
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B62—LAND VEHICLES FOR TRAVELLING OTHERWISE THAN ON RAILS
    • B62D—MOTOR VEHICLES; TRAILERS
    • B62D6/00—Arrangements for automatically controlling steering depending on driving conditions sensed and responded to, e.g. control circuits
    • G—PHYSICS
    • G08—SIGNALLING
    • G08G—TRAFFIC CONTROL SYSTEMS
    • G08G1/00—Traffic control systems for road vehicles
    • G08G1/09—Arrangements for giving variable traffic instructions
    • G—PHYSICS
    • G08—SIGNALLING
    • G08G—TRAFFIC CONTROL SYSTEMS
    • G08G1/00—Traffic control systems for road vehicles
    • G08G1/16—Anti-collision systems

Definitions

  • the present invention relates to a vehicle control device, and particularly to a vehicle control device that realizes fail-safe.
  • the in-vehicle system is equipped with a wide variety of electronic devices.
  • the number of control devices called ECUs (Electronic Control Units) for controlling these devices is increasing due to the increasing number of functions and complications in recent years.
  • ECUs Electronic Control Units
  • a system that realizes highly automatic driving by linking vehicle engine control, brake control, and steering control has been devised.
  • Such an automatic driving system is composed of an automatic driving ECU that generates optimum control parameters from surrounding conditions, an engine control ECU that realizes vehicle engine control, brake control, and steering control, respectively, a brake control ECU, and a steering control ECU. Will be done. If something goes wrong with the automatic driving system, automatic driving cannot be continued, so maintenance operation (fail operation operation) and transition to a safe state (fail safe operation) until the state where safety can be ensured can be ensured. Is required.
  • Patent Document 1 proposes a configuration stage in which a plurality of controllers mutually monitor an abnormality in a multiplexed system to switch control when an abnormality occurs to realize a fail operation operation.
  • controller and electric power steering ECU steering ECU that realize automatic operation, if an abnormality occurs in a part of the system, it is necessary to realize the fail operation operation, so it may be multiplexed.
  • the present invention has been made to solve the above problems, and an object of the present invention is to provide a vehicle control device capable of reliably realizing a fail operation operation.
  • the vehicle control device is an automatic driving control device that determines a traveling route when executing automatic driving based on vehicle surrounding environment information and position information, and steering control of the vehicle based on the traveling route.
  • the automatic operation control device includes an automatic operation controller main system and an automatic operation controller slave system, and the system is multiplexed.
  • the steering control device includes a steering controller main system and a steering controller slave system. The system is multiplexed with a system, the automatic operation control device and the steering control device detect each other's abnormalities and confirm the state by mutual communication, and the automatic operation control device is an abnormality of the steering control device.
  • switching control is performed so that the other that has not detected the abnormality performs the steering control, and the steering control device performs the automatic operation.
  • the steering control is performed using the control amount output by the other that has not detected the abnormality.
  • the vehicle control device According to the vehicle control device according to the present invention, even if an abnormality occurs in either the automatic driving ECU or the steering ECU, since each system is multiplexed, a fail operation operation can be surely realized. ..
  • FIG. 1 is a functional block diagram showing the configuration of the vehicle control device 10 according to the first embodiment of the present invention.
  • the vehicle control device 10 is mounted on a vehicle (not shown), and various information is provided from a plurality of surrounding environment acquisition units 30, 31, 32 and the own vehicle position information acquisition unit 40, which are also mounted on the vehicle, via the vehicle-mounted network 80.
  • the automatic operation control device (automatic operation ECU) 20 that receives the signal, the steering control device (steering ECU) 50, the brake control device (brake ECU) 60, and the accelerator control device (accelerator) that are connected to the automatic operation ECU 20 via the vehicle-mounted network 81. It has an ECU) 70.
  • the vehicle control device 10 is connected to a user interface 11 such as a switch, and the driver transmits information to the automatic driving ECU 20 via the user interface 11 to switch between automatic driving and manual driving. Further, during manual operation, the control amount is transmitted from the steering wheel, accelerator and brake (not shown) to the steering ECU 50, brake ECU 60 and accelerator ECU 70 via the vehicle-mounted network 81.
  • the automatic driving ECU 20 requests the driver via the user interface 11 to provide information such as whether the current state of the vehicle is automatic driving or manual driving and to switch to manual driving when an abnormality occurs. Notice.
  • the surrounding environment acquisition units 30 to 32 are shown in FIG. 1, the number is not limited to this, and various sensors such as cameras, millimeter-wave radars, and sonars, vehicle-to-vehicle communication modules, and road-to-vehicle communication are shown. It can be selected from modules and the like.
  • the vehicle position information acquisition unit 40 includes a GNSS (Global Navigation Satellite System) receiving device such as GPS (Global Positioning System), and the received vehicle position information and a high-precision map such as a dynamic map are combined. By doing so, information on the surrounding environment can also be obtained.
  • GNSS Global Navigation Satellite System
  • GPS Global Positioning System
  • the automatic operation ECU 20 has a controller system multiplexed so that maintenance operation can be performed when an abnormality occurs, and is composed of an automatic operation controller main system 21 and an automatic operation controller slave system 22.
  • the automatic driving ECU 20 composed of the automatic driving controller main system 21 and the automatic driving controller slave system 22 aggregates the surrounding environment information obtained from the surrounding environment acquisition units 30 to 32 and the position information obtained from the own vehicle position information acquisition unit 40. Then, the travel path of the own vehicle when the automatic driving is executed is generated, and the control amount based on the travel path, for example, the target steering wheel angle, the engine drive amount, and the brake drive amount is calculated. The calculation result is sent to the steering ECU 50, the brake ECU 60, and the accelerator ECU 70 via the network 81, and automatic operation is realized by performing actuator control for each.
  • the steering ECU 50 has a controller system multiplexed so that it can be maintained when an abnormality occurs, and is composed of a steering controller main system 51 and a steering controller slave system 52.
  • the steering controller main system 51 and the steering controller slave system 52 each control the steering actuator 54 based on the amount of control from the automatic driving ECU 20.
  • the outputs of the steering controller main system 51 and the steering controller slave system 52 are output to the steering actuator 54 via the switch circuit 53, and the switch circuit 53 is switched and controlled from the automatic operation ECU 20 via the control line 90 to control the steering controller. Only the output of either the main system 51 or the steering controller slave system 52 is output to the steering actuator 54.
  • FIG. 1 shows that the automatic operation controller main system 21 controls the switch circuit 53
  • the automatic operation controller slave system 22 may control the switch circuit 53.
  • the switch circuit 53 may be controlled by arbitrating between the automatic operation controller main system 21 and the automatic operation controller slave system 22.
  • the steering controller main system 51 and the steering controller slave system 52 will be described assuming a completely redundant system capable of performing the same control.
  • the configuration does not necessarily have to be a completely redundant system that performs the same control.
  • the slave controller may be configured to limit the output and output only the minimum driving force, as long as safety can be ensured.
  • the concept of the automatic driving controller main system 21 and the automatic driving controller slave system 22 is the same as that of the steering ECU 50, but in the following description, the automatic driving controller main system 21 is a controller for realizing the original automatic driving, an automatic driving controller.
  • the slave system 22 is distinguished as a controller for realizing the minimum automatic operation.
  • FIG. 2 is a flowchart illustrating an abnormality determination of the steering controller in the automatic driving controller.
  • the automatic driving controller confirms whether or not an abnormality has occurred in the steering controller main system 51 (step S101).
  • the switch circuit 53 is set to the steering controller after shifting to the late tent mode (EPS late tent mode) of EPS (Electric Power Steering) in step S102.
  • EPS late tent mode of EPS (Electric Power Steering)
  • step S104 it is confirmed whether or not an abnormality has occurred in the steering controller slave system 52.
  • the details of the emergency stop processing will be omitted, but examples thereof include processing such as controlling the brake ECU 60 and the accelerator ECU 70 to stop the vehicle on the spot.
  • step S104 if no abnormality has occurred in the steering controller slave system 52 (if No), the process ends.
  • step S101 if no abnormality has occurred in the steering controller main system 51 (if No), the process proceeds to step S106 and it is confirmed whether or not an abnormality has occurred in the steering controller slave system 52.
  • step S106 if an abnormality has occurred in the steering controller slave system 52 (in the case of Yes), the mode shifts to the EPS latency mode (step S107), and the process ends. On the other hand, in step S106, if no abnormality has occurred in the steering controller slave system 52 (No), the process ends.
  • the EPS latency mode and the emergency stop mode will be described later.
  • FIG. 3 is a flowchart illustrating an abnormality determination of the automatic driving controller in the steering controller.
  • the steering controller confirms whether or not an abnormality has occurred in the automatic driving controller main system 21 (step S201).
  • step S202 when an abnormality has occurred (in the case of Yes), the process shifts to the backup mode in step S202, and if the driver is in automatic driving, the driver is requested to switch to manual driving.
  • the steering actuator 54 is controlled by utilizing the control amount of the automatic operation controller slave system 22 (step S203).
  • step S204 it is confirmed whether or not an abnormality has occurred in the automatic operation controller slave system 22 (step S204).
  • step S204 if no abnormality has occurred in the automatic operation controller slave system 22 (if No), the process ends.
  • step S201 if no abnormality has occurred in the automatic operation controller main system 21 (in the case of No), the process proceeds to step S206 to check whether an abnormality has occurred in the automatic operation controller slave system 22.
  • step S206 when an abnormality has occurred in the automatic driving controller slave system 22 (in the case of Yes), the mode shifts to the late tent mode, and if the automatic driving is in progress, the driver is requested to switch to the manual driving (in the case of Yes). Step S207).
  • the steering actuator 54 is controlled by utilizing the control amount of the automatic operation controller main system 21 regardless of the presence or absence of an abnormality in the automatic operation controller slave system 22 (step S208). As a result, continuous operation is realized even if an abnormality occurs in the main system 21 of the automatic operation controller.
  • step S206 if no abnormality has occurred in the automatic operation controller slave system 22 (if No), the process proceeds to step S208.
  • the backup mode, latency mode, and emergency stop mode will be described later.
  • FIG. 4 is a diagram showing a state transition of the automatic operation ECU 20.
  • the automatic operation ECU is roughly divided into a manual operation mode (manual operation state) and an automatic operation mode (automatic operation state).
  • the operation from the user interface 11 of the driver for example, ON / OFF of the automatic operation switch, switches from the manual operation mode to the automatic operation mode.
  • both the manual operation mode and the automatic operation mode have a normal mode and an EPS ratet mode.
  • the EPS latency mode is a mode in which steering control is performed on the normal side when an abnormality occurs in the main system or the slave system of the steering controller
  • the normal mode is the main system and the slave system of the steering controller. This is a mode in which steering control can be performed by either system when both systems are normal.
  • the mode shifts to the EPS latency mode as shown in the flowchart of FIG.
  • FIG. 5 is a diagram showing a state transition of the steering ECU 50. As shown in FIG. 5, the steering ECU 50 is roughly divided into a manual operation mode (manual operation state) and an automatic operation mode (automatic operation state).
  • the manual operation mode and the automatic operation mode both have a normal mode, a latency mode, and a backup mode.
  • the normal mode is set.
  • the steering ECU 50 controls the steering actuator 54 by utilizing the control amount of the automatic operation controller main system 21.
  • the backup mode is a mode in which the steering ECU 50 controls the steering actuator 54 by utilizing the control amount of the automatic operation controller slave system 22 in the automatic operation mode.
  • the mode shifts to the late tent mode.
  • the steering ECU 50 controls the steering actuator 54 by utilizing the control amount of the automatic operation controller main system 21.
  • the mode transitions to normal mode. If an abnormality occurs in both the main system 21 of the automatic operation controller and the secondary system 22 of the automatic operation controller, the mode transitions to the emergency stop mode, that is, the mode for executing the emergency stop process. In the automatic driving mode, automatic driving cannot be continued, so a process such as stopping the vehicle is executed as an emergency stop process.
  • the state transition shown in FIG. 5 is an example.
  • FIG. 6 is a diagram showing a sequence of abnormality detection and status confirmation by message communication between the automatic driving ECU 20 and the steering ECU 50.
  • the automatic operation ECU 20 periodically transmits a survival confirmation message to the steering ECU 50. In the following, this may be referred to as message transmission.
  • the steering ECU 50 confirms that the automatic operation ECU 20 is operating correctly by periodically confirming the reception of the survival confirmation message.
  • the steering ECU 50 sends a survival confirmation message response to the automatic driving ECU 20.
  • response transmission The automatic operation ECU 20 confirms that the steering ECU 50 is operating correctly by confirming the reception of the survival confirmation message response.
  • the automatic operation ECU 20 is periodically activated, calls and executes a process (function) for confirming a message from the steering ECU 50 received within the period of the previous cycle, and confirms survival based on the result. Send a message and end the process. Index and status information as arguments are added as communication information included in the survival confirmation message.
  • the steering ECU 50 is also periodically activated, calls and executes a process (function) for confirming receipt of the survival confirmation message sent within the period of the previous cycle, and transmits a survival confirmation message response based on the result. End the process. Index and status information as arguments are added as communication information included in the survival confirmation message response. As shown in FIG.
  • one cycle of the automatic operation ECU 20 is from the activation of the process of performing "1: previous cycle message confirmation" to the activation of the process of performing the next “4: previous cycle message confirmation".
  • one cycle is from the activation of the process of performing "3: confirmation of receipt of the survival confirmation message” to the activation of the next process of "6: confirmation of receipt of the survival confirmation message.
  • the reception cycle (confirmation cycle) of the survival confirmation message of the steering ECU 50 is set to be equal to or less than the transmission cycle of the survival confirmation message of the automatic driving ECU 20, so that the next message is displayed while the steering ECU 50 confirms the message. It is possible to prevent the situation where the index is inconsistent because it arrives and cannot be dealt with.
  • the transmission cycle of the survival confirmation message is, for example, 100 msec, which is about the same as the control cycle of the automatic driving ECU 20 and the steering ECU 50.
  • the index given as an argument is defined as an 8-bit variable starting from 0, and is 0 as in "0 ⁇ 1 ⁇ 2 ⁇ 3 ... ⁇ 255 ⁇ 0 ⁇ 1 ⁇ 2 ⁇ 3 ##. Up to 255, there is a configuration in which each message is incremented by one.
  • the index variable is not limited to 8 bits, but may be set to a realistic multi-bit variable in consideration of the transmission cycle of the survival confirmation message.
  • the index of "2: survival confirmation message transmission” transmitted by the automatic driving ECU 20 is "0"
  • the index of "3.1: survival confirmation message response" transmitted by the steering ECU 50 is also “0". ". If they match, it indicates that the response is correct, but if they do not match, it indicates that something is wrong.
  • the main system and the sub system have been described without distinction, but it is assumed that both operate in the same sequence. That is, the main system and the slave system of the automatic operation ECU 20 send a message to the main system and the slave system of the steering ECU 50, respectively, and the main system and the slave system of the steering ECU 50 are sent to the main system and the slave system of the automatic operation ECU 20, respectively. Returns a response.
  • Examples of the abnormality occurrence pattern of the steering ECU 50 include (a) no response to the message, (b) a response but an incorrect index, and FIG. 7 shows the abnormality detection of the steering ECU 50 in the case of (a). It is a figure which shows the sequence of time.
  • the automatic operation ECU 20 checks the survival confirmation message response from the steering ECU 50 to the message transmitted in the previous cycle before transmitting the survival confirmation message. If there is no response continuously for several cycles, it is determined that an abnormality has occurred in the steering ECU 50.
  • the automatic operation ECU 20 further executes the "5.1: Steering control device abnormality determination” process as a result of performing "5: Confirmation of message in the previous cycle” in the next cycle.
  • the processing after the abnormality determination is as shown in the flowchart of FIG. In the example of FIG. 7, the case where there is no response from the steering ECU 50 for several consecutive cycles is shown, but this is an example, and if there is no response from the steering ECU 50 even once, it may be determined as abnormal. ..
  • the normality and abnormality of the steering ECU 50 are detected based on the presence or absence of the survival confirmation message response, so that it is easy to determine the abnormality of the steering ECU 50.
  • FIG. 8 is a diagram showing a sequence when an abnormality is detected in the steering ECU 50 when “(b) returns a response but the index is incorrect”.
  • the automatic operation ECU 20 further executes the "7.1: Steering control device abnormality determination" process as a result of performing "7: Confirmation of message in the previous cycle” in the next cycle.
  • the processing after the abnormality determination is as shown in the flowchart of FIG. In the example of FIG. 8, the case where the wrong index is returned from the steering ECU 50 for several consecutive cycles is shown, but this is an example, and if the wrong index is returned from the steering ECU 50 even once, it is abnormal. May be determined.
  • the abnormality of the steering ECU 50 can be determined based on different indexes, which is effective in investigating and eliminating the cause of the abnormality. ..
  • Examples of the abnormality occurrence pattern of the automatic operation ECU 20 include (a) no message is transmitted and (b) the index of the message is incorrect.
  • FIG. 9 shows the case of (a) when the abnormality is detected in the automatic operation ECU 20. It is a figure which shows the sequence.
  • the steering ECU 50 is periodically activated, and a process (function) for confirming receipt of the survival confirmation message sent from the automatic operation ECU 20 within the period of the previous cycle is called and executed, and the result is
  • the survival confirmation message response is transmitted based on the above, but the example of FIG. 9 shows a case where the survival confirmation message is not transmitted from the automatic operation ECU 20.
  • the steering ECU 50 executes "1: Confirmation of reception of survival confirmation message", but since the survival confirmation message from the automatic driving ECU 20 has not been received, the survival confirmation message response cannot be transmitted.
  • the steering ECU 50 assumes that the automatic operation ECU 20 does not transmit the survival confirmation message for several consecutive cycles, and "3.1: Automatic "Driving ECU abnormality determination” processing is executed.
  • the processing after the abnormality determination is as shown in the flowchart of FIG.
  • the example of FIG. 9 shows a case where the automatic operation ECU 20 does not send a survival confirmation message for several consecutive cycles, but this is just an example, and if the survival confirmation message is not sent even once, it is determined to be abnormal. You may.
  • FIG. 10 is a diagram showing a sequence at the time of abnormality detection of the automatic operation ECU 20 when “(b) message index is incorrect”.
  • the steering ECU 50 executes "4: Confirmation of receipt of survival confirmation message” in the next cycle and transmits "5: Response of survival confirmation message", but the index in "3: Transmission of survival confirmation message" is incorrect. Therefore, the steering ECU 50 also transmits an incorrect index.
  • the index in "6: Transmission of survival confirmation message” from the automatic operation ECU 20 is also incorrect, and the steering ECU 50 further performs "7: Confirmation of reception of survival confirmation message” in the next cycle.
  • the "7.1: Automatic operation ECU abnormality determination” process is executed. The processing after the abnormality determination is as shown in the flowchart of FIG.
  • the steering ECU 50 stores the index of the message in the previous cycle and newly starts the automatic driving ECU 20. You can check the index error by comparing it with the index of the sent message.
  • the abnormality of the automatic operation ECU 20 can be determined based on different indexes, which is effective for investigating and eliminating the cause of the abnormality. Is.
  • FIG. 11 is a diagram showing a sequence when the states do not match.
  • a cause of the state mismatch for example, it is considered that an abnormality occurs in the main system of the steering ECU 50 during system operation and the main system of the steering ECU 50 is restarted, so that the state mismatch may occur. ..
  • the sequence when the automatic operation ECU 20 is in automatic operation and the steering ECU 50 is in manual operation is shown.
  • the automatic driving ECU 20 transmits a survival confirmation message to the steering ECU 50, and confirms the survival confirmation message response from the steering ECU 50.
  • the automatic driving ECU 20 sends a state change request to the steering ECU 50.
  • the steering ECU 50 changes the state and notifies the automatic operation ECU 20 of the change.
  • the automatic operation ECU 20 executes "4.1: State mismatch processing” and requests the steering ECU 50 to change the state (4.1.1: State change). Manual operation ⁇ automatic operation) is sent.
  • the steering ECU 50 executes "5: status change request reception process” and transmits "6: reply to status change request” to the automatic operation ECU 20.
  • the state of the steering ECU 50 changes from manual operation to automatic operation.
  • the automatic driving ECU 20 may determine the steering ECU 50 as abnormal.
  • Each part of the vehicle control device 10 of the first embodiment described above can be configured by using a computer, and is realized by the computer executing a program. That is, the vehicle control device 10 shown in FIG. 1 is realized by, for example, the processing circuit 100 shown in FIG. A processor such as a CPU or DSP (Digital Signal Processor) is applied to the processing circuit 100, and the functions of each part are realized by executing a program stored in the storage device.
  • a processor such as a CPU or DSP (Digital Signal Processor) is applied to the processing circuit 100, and the functions of each part are realized by executing a program stored in the storage device.
  • DSP Digital Signal Processor
  • dedicated hardware may be applied to the processing circuit 100.
  • the processing circuit 100 corresponds to, for example, a single circuit, a composite circuit, a programmed processor, a parallel programmed processor, an ASIC, an FPGA, or a combination thereof. To do.
  • FIG. 13 shows a hardware configuration when the vehicle control device 10 shown in FIG. 1 is configured by using a processor.
  • the functions of each part of the vehicle control device 10 are realized by a combination of software and the like (software, firmware, or software and firmware).
  • the software or the like is described as a program and stored in the memory 120.
  • the processor 110 which functions as the processing circuit 100, realizes the functions of each part by reading and executing the program stored in the memory 120 (storage device).

Landscapes

  • Engineering & Computer Science (AREA)
  • Transportation (AREA)
  • Mechanical Engineering (AREA)
  • Automation & Control Theory (AREA)
  • Chemical & Material Sciences (AREA)
  • Combustion & Propulsion (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Human Computer Interaction (AREA)
  • Steering Control In Accordance With Driving Conditions (AREA)
  • Control Of Driving Devices And Active Controlling Of Vehicle (AREA)
  • Traffic Control Systems (AREA)

Abstract

本発明は車両制御装置に関し、自動運転を実行する際の走行経路を決定する自動運転制御装置と走行経路に基づいて車両のステアリング制御を行うステアリング制御装置とを備えている。自動運転制御装置は、自動運転コントローラ主系および自動運転コントローラ従系を備えてシステムが多重化され、ステアリング制御装置は、ステアリングコントローラ主系およびステアリングコントローラ従系を備えてシステムが多重化され、ステアリング制御装置の異常として、ステアリングコントローラ主系およびステアリングコントローラ従系の一方の異常を検出した場合、異常を検出していない他方がステアリング制御を行うように切り替え、ステアリング制御装置は、自動運転制御装置の異常として、自動運転コントローラ主系および自動運転コントローラ従系の一方の異常を検出した場合、異常を検出していない他方が出力する制御量を用いてステアリング制御を行う。

Description

車両制御装置
　本発明は車両制御装置に関し、特にフェールセーフを実現する車両制御装置に関する。
　車載システムでは多種多様な電子機器が搭載されている。これらの機器を制御するためのＥＣＵ（Electronic Control Unit）と呼ばれる制御装置は、近年の多機能化、複雑化に伴い、搭載数が増加している。特に昨今研究開発が加速している自動運転システムにおいては、車両のエンジン制御、ブレーキ制御、ステアリング制御を連携させることによって高度な自動運転を実現するシステムが考案されている。
　このような自動運転システムは、周辺状況から最適な制御パラメータを生成する自動運転ＥＣＵと、車両のエンジン制御、ブレーキ制御およびステアリング制御をそれぞれ実現するエンジン制御ＥＣＵ、ブレーキ制御ＥＣＵおよびステアリング制御ＥＣＵで構成される。自動運転システムのどこかに異常が発生した場合、自動運転が継続できなくなるため、安全を確保できる状態に移行するまでの維持動作（フェールオペレーション動作）および安全な状態への移行（フェールセーフ動作）が求められる。
　特許文献１では、多重化されたシステムにおいて、複数のコントローラが異常を相互監視することにより、異常発生時に制御を切り替えることによってフェールオペレーション動作を実現する構成段が提案されている。
特開２０１６－１９９２３９号公報
　自動運転を実現するコントローラおよび電動パワーステアリングＥＣＵ（ステアリングＥＣＵ）においては、システムの一部に異常が発生した場合、フェールオペレーション動作を実現する必要があるため、多重化されている場合がある。
　これらのコントローラは車両制御に加え、自動運転または手動運転といった状態を管理する必要があり、異常の監視だけでは不十分である。特許文献１では監視対象がエンジンコントローラであり、状態の管理については言及されておらず、フェールオペレーション動作が確実に実現できるとは言えない。
　本発明は上記のような問題を解決するためになされたものであり、フェールオペレーション動作を確実に実現できる車両制御装置を提供することを目的とする。
　本発明に係る車両制御装置は、車両の周辺環境情報および位置情報に基づいて自動運転を実行する際の走行経路を決定する自動運転制御装置と、前記走行経路に基づいて前記車両のステアリング制御を行うステアリング制御装置と、を備え、前記自動運転制御装置は、自動運転コントローラ主系および自動運転コントローラ従系を備えてシステムが多重化され、前記ステアリング制御装置は、ステアリングコントローラ主系およびステアリングコントローラ従系を備えてシステムが多重化され、前記自動運転制御装置および前記ステアリング制御装置は、相互通信により互いの異常の検出および状態の確認を行い、前記自動運転制御装置は、前記ステアリング制御装置の異常として、前記ステアリングコントローラ主系および前記ステアリングコントローラ従系の一方の異常を検出した場合、異常を検出していない他方が前記ステアリング制御を行うように切り替え制御し、前記ステアリング制御装置は、前記自動運転制御装置の異常として、前記自動運転コントローラ主系および前記自動運転コントローラ従系の一方の異常を検出した場合、異常を検出していない他方が出力する制御量を用いて前記ステアリング制御を行う。
　本発明に係る車両制御装置によれば、自動運転ＥＣＵおよびステアリングＥＣＵのどちらかに異常が発生した場合でも、それぞれのシステムが多重化されているため、フェールオペレーション動作を確実に実現することができる。
本発明に係る実施の形態１の車両制御装置の構成を示すブロック図である。 本発明に係る実施の形態１の車両制御装置でのステアリングコントローラの異常判定を説明するフローチャートである。 本発明に係る実施の形態１の車両制御装置での自動運転コントローラの異常判定を説明するフローチャートである。 本発明に係る実施の形態１の車両制御装置での自動運転ＥＣＵの状態遷移を示す図である。 本発明に係る実施の形態１の車両制御装置でのステアリングＥＣＵの状態遷移を示す図である。 本発明に係る実施の形態１の車両制御装置での自動運転ＥＣＵとステアリングＥＣＵの異常検出および状態確認を行うシーケンスを示す図である。 本発明に係る実施の形態１の車両制御装置でのステアリングＥＣＵの異常検出時のシーケンスを示す図である。 本発明に係る実施の形態１の車両制御装置でのステアリングＥＣＵの異常検出時のシーケンスを示す図である。 本発明に係る実施の形態１の車両制御装置での自動運転ＥＣＵの異常検出時のシーケンスを示す図である。 本発明に係る実施の形態１の車両制御装置での自動運転ＥＣＵの異常検出時のシーケンスを示す図である。 本発明に係る実施の形態１の車両制御装置での状態不一致時のシーケンスを示す図である。 本発明に係る実施の形態１の車両制御装置を実現するハードウェア構成を示す図である。 本発明に係る実施の形態１の車両制御装置を実現するハードウェア構成を示す図である。
　＜実施の形態１＞
　図１は、本発明に係る実施の形態１の車両制御装置１０の構成を示す機能ブロック図である。車両制御装置１０は、車両（図示せず）に搭載され、同じく車両に搭載された複数の周辺環境取得部３０、３１、３２および自車位置情報取得部４０から車載ネットワーク８０を介して各種情報を受ける自動運転制御装置（自動運転ＥＣＵ）２０と、自動運転ＥＣＵ２０に車載ネットワーク８１を介して接続されるステアリング制御装置（ステアリングＥＣＵ）５０、ブレーキ制御装置（ブレーキＥＣＵ）６０およびアクセル制御装置（アクセルＥＣＵ）７０を有している。
　車両制御装置１０は、スイッチ等のユーザーインターフェース１１に接続され、ドライバは、ユーザーインターフェース１１を介して、自動運転ＥＣＵ２０に情報を伝え、自動運転と手動運転の切り替えを行う。また、手動運転時には、図示されないハンドル、アクセルおよびブレーキから車載ネットワーク８１を介して、制御量がステアリングＥＣＵ５０、ブレーキＥＣＵ６０およびアクセルＥＣＵ７０に伝えられる。
　自動運転ＥＣＵ２０からは、ユーザーインターフェース１１を介して、ドライバに対して、現在の車両の状態が自動運転中であるか手動運転中であるかと言った情報および異常発生時に手動運転への切り替え要求を通知する。
　なお、図１においては周辺環境取得部３０～３２を示したが、個数はこれに限定されるものではなく、カメラ、ミリ波レーダー、ソナー等の各種センサおよび、車車間通信モジュール、路車間通信モジュール等から選択することができる。
　自車位置情報取得部４０としては、ＧＰＳ（Global Positioning System）等のＧＮＳＳ（Global Navigation Satellite System）の受信装置が挙げられるが、受信した自車位置情報とダイナミックマップなどの高精度地図とを組み合わせることで、周辺環境の情報も取得できる。
　自動運転ＥＣＵ２０は、異常発生時に維持動作が可能なように、コントローラのシステムが多重化されており、自動運転コントローラ主系２１と自動運転コントローラ従系２２で構成されている。
　自動運転コントローラ主系２１および自動運転コントローラ従系２２で構成される自動運転ＥＣＵ２０は、周辺環境取得部３０～３２から得られる周辺環境情報および自車位置情報取得部４０から得られる位置情報を集約し、自動運転を実行する際の自車の走行する走行経路を生成し、走行経路に基づいた制御量、例えば目標ハンドル角、エンジン駆動量およびブレーキ駆動量を演算する。演算結果はネットワーク８１を介して、ステアリングＥＣＵ５０、ブレーキＥＣＵ６０およびアクセルＥＣＵ７０に送られ、それぞれアクチュエータ制御を行うことで自動運転を実現する。
　ステアリングＥＣＵ５０は、自動運転ＥＣＵ２０と同様に異常発生時に維持動作が可能なように、コントローラのシステムが多重化されており、ステアリングコントローラ主系５１とステアリングコントローラ従系５２で構成されている。
　ステアリングコントローラ主系５１およびステアリングコントローラ従系５２は、それぞれ自動運転ＥＣＵ２０からの制御量に基づき、ステアリングアクチュエータ５４の制御を行う。ステアリングコントローラ主系５１およびステアリングコントローラ従系５２の出力は、スイッチ回路５３を介してステアリングアクチュエータ５４に出力されるが、スイッチ回路５３は自動運転ＥＣＵ２０から制御ライン９０を介して切り替え制御され、ステアリングコントローラ主系５１およびステアリングコントローラ従系５２のどちらか一方の出力のみがステアリングアクチュエータ５４に出力される。
　なお、図１では自動運転コントローラ主系２１がスイッチ回路５３を制御するように図示しているが、自動運転コントローラ従系２２が制御しても良い。また、自動運転コントローラ主系２１と自動運転コントローラ従系２２とで調停してスイッチ回路５３を制御しても良い。
　なお、以降の説明では、ステアリングコントローラ主系５１およびとステアリングコントローラ従系５２は、同一の制御を行うことが可能な完全なる冗長系を想定して説明を行う。ただし、構成としては、必ずしも同一の制御を行う完全なる冗長系でなくても良い。例えば、従系のコントローラは出力を制限して最低限の駆動力しか出力しない構成としても、安全が担保できるのであればそれでも構わない。自動運転コントローラ主系２１と自動運転コントローラ従系２２についても考え方はステアリングＥＣＵ５０と同様であるが、以降の説明では自動運転コントローラ主系２１は本来の自動運転を実現するためのコントローラ、自動運転コントローラ従系２２は最低限の自動運転を実現するためのコントローラとして区別することとする。
　図２は、自動運転コントローラにおけるステアリングコントローラの異常判定を説明するフローチャートである。自動運転コントローラは、ステアリングコントローラ主系５１に異常が発生しているかを確認する（ステップＳ１０１）。
　そして、異常が発生している場合（Ｙｅｓの場合）は、ステップＳ１０２においてＥＰＳ（Electric Power Steering：電動パワーステアリング）のレイテントモード（ＥＰＳレイテントモード）に移行した後、スイッチ回路５３をステアリングコントローラ従系５２の側に切り替えることで、継続動作を実現する（ステップＳ１０３）。
　その後、ステアリングコントローラ従系５２に異常が発生しているかを確認する（ステップＳ１０４）。
　そして、異常が発生している場合（Ｙｅｓの場合）、すなわち、ステアリングコントローラ主系５１およびステアリングコントローラ従系５２が共に異常だった場合は、緊急停止モードに移行して緊急停止処理を実行する（ステップＳ１０５）。
　緊急停止処理の内容についての詳細は省略するが、例えば、ブレーキＥＣＵ６０とアクセルＥＣＵ７０を制御して車両をその場で停止させる等の処理が挙げられる。
　一方、ステップＳ１０４において、ステアリングコントローラ従系５２に異常が発生していない場合（Ｎｏの場合）は、処理を終える。
　また、ステップＳ１０１において、ステアリングコントローラ主系５１に異常が発生していない場合（Ｎｏの場合）は、ステップＳ１０６に移行してステアリングコントローラ従系５２に異常が発生しているかを確認する。
　ステップＳ１０６において、ステアリングコントローラ従系５２に異常が発生していた場合（Ｙｅｓの場合）は、ＥＰＳレイテントモードに移行し（ステップＳ１０７）、処理を終える。一方、ステップＳ１０６において、ステアリングコントローラ従系５２に異常が発生していない場合（Ｎｏの場合）は、処理を終える。なお、ＥＰＳレイテントモード、緊急停止モードについては後述する。
　図３は、ステアリングコントローラにおける自動運転コントローラの異常判定を説明するフローチャートである。ステアリングコントローラは、自動運転コントローラ主系２１に異常が発生しているかを確認する（ステップＳ２０１）。
　そして、異常が発生している場合（Ｙｅｓの場合）は、ステップＳ２０２においてバックアップモードに移行し、自動運転走行中であればドライバに手動運転への切り替え要求を出す。
　その後、自動運転コントローラ従系２２の制御量を活用して、ステアリングアクチュエータ５４の制御を行う（ステップＳ２０３）。
　さらに、自動運転コントローラ従系２２に異常が発生しているかを確認する（ステップＳ２０４）。
　そして、異常が発生している場合（Ｙｅｓの場合）、すなわち、自動運転コントローラ主系２１および自動運転コントローラ従系２２が共に異常だった場合は、緊急停止モードに移行して緊急停止処理を実行する（ステップＳ２０５）。
　一方、ステップＳ２０４において、自動運転コントローラ従系２２に異常が発生していない場合（Ｎｏの場合）は、処理を終える。
　また、ステップＳ２０１において、自動運転コントローラ主系２１に異常が発生していない場合（Ｎｏの場合）は、ステップＳ２０６に移行して自動運転コントローラ従系２２に異常が発生しているかを確認する。
　ステップＳ２０６において、自動運転コントローラ従系２２に異常が発生していた場合（Ｙｅｓの場合）は、レイテントモードに移行し、自動運転走行中であればドライバに手動運転への切り替え要求を出す（ステップＳ２０７）。
　その後、自動運転コントローラ従系２２の異常の有無にかかわらず、自動運転コントローラ主系２１の制御量を活用して、ステアリングアクチュエータ５４の制御を行う（ステップＳ２０８）。これにより、自動運転コントローラ主系２１に異常が発生しても継続動作を実現する。
　一方、ステップＳ２０６において、自動運転コントローラ従系２２に異常が発生していない場合（Ｎｏの場合）は、ステップＳ２０８に移行する。なお、バックアップモード、レイテントモード、緊急停止モードについては後述する。
　図４は、自動運転ＥＣＵ２０の状態遷移を示す図である。図４に示すように、自動運転ＥＣＵは大きく分けて、手動運転モード（手動運転状態）と自動運転モード（自動運転状態）という状態を備える。ドライバのユーザーインターフェース１１を介しての操作、例えば自動運転スイッチのＯＮ／ＯＦＦによって手動運転モードから自動運転モードに切り替わる。
　また、手動運転モードおよび自動運転モードは、共に通常モードおよびＥＰＳレイテントモードを備える。ここで、ＥＰＳレイテントモードは、ステアリングコントローラの主系または従系に異常が発生している場合に、正常な方でステアリング制御を行うモードであり、通常モードは、ステアリングコントローラの主系および従系が共に正常な場合に、どちらでステアリング制御を行っても良いモードである。
　ステアリングコントローラ主系５１またはステアリングコントローラ従系５２の異常を検出した場合は、図２のフローチャートに示したように、ＥＰＳレイテントモードに遷移する。
　この状態では、ステアリングコントローラ主系５１またはステアリングコントローラ従系５２に異常を検出している状態であるが、自動運転ＥＣＵ２０がスイッチ回路５３を切り替え、異常の発生していない方のステアリングコントローラを活用するため、動作を継続することができる。ただし、この状態でさらに異常が発生すると、ステアリングの操作ができなくなる可能性があるため、自動運転モードの場合は、手動運転モードへの切り替え要請をドライバに通知しても良い。また、異常から復帰した場合は、通常モードまたはＥＰＳレイテントモードに遷移する。もし、ステアリングＥＣＵ５０のステアリングコントローラ主系５１およびステアリングコントローラ従系５２の両方に異常が発生した場合は、緊急停止モード、すなわち緊急停止処理を実行するモードに遷移する。この場合、手動運転モードおよび自動運転モードのどちらであっても、ステアリングの操作ができなくなるため、緊急停止処理として車両を停止する等の処理を実行する。なお、図４に示した状態遷移は一例である。
　図５は、ステアリングＥＣＵ５０の状態遷移を示す図である。図５に示すように、ステアリングＥＣＵ５０は大きく分けて、手動運転モード（手動運転状態）と自動運転モード（自動運転状態）という状態を備える。
　また、手動運転モードおよび自動運転モードは、共に通常モード、レイテントモードおよびバックアップモードを備える。
　自動運転コントローラ主系２１および自動運転コントローラ従系２２が共に正常な場合は、通常モードとなる。この場合、図３のフローチャートに示したように、自動運転モードであれば、ステアリングＥＣＵ５０は自動運転コントローラ主系２１の制御量を活用してステアリングアクチュエータ５４の制御を行う。
　一方、自動運転コントローラ主系２１の異常を検出した場合、バックアップモードに遷移する。バックアップモードとは、自動運転モードであれば、ステアリングＥＣＵ５０は自動運転コントローラ従系２２の制御量を活用してステアリングアクチュエータ５４の制御を行うモードである。
　一方、自動運転コントローラ従系２２の異常を検出した場合はレイテントモードに遷移する。この場合、自動運転モードであれば、ステアリングＥＣＵ５０は自動運転コントローラ主系２１の制御量を活用してステアリングアクチュエータ５４の制御を行う。
　バックアップモードおよびレイテントモード共に異常から復帰した場合は、通常モードに遷移する。もし、自動運転コントローラ主系２１および自動運転コントローラ従系２２の両方に異常が発生した場合には緊急停止モード、すなわち緊急停止処理を実行するモードに遷移する。自動運転モードであれば、自動運転を継続できなくなるため、緊急停止処理として車両を停止する等の処理を実行する。なお、図５に記載の状態遷移は一例である。
　図６は、自動運転ＥＣＵ２０とステアリングＥＣＵ５０のメッセージ通信による異常検出と状態確認のシーケンスを示す図である。図６に示すように、自動運転ＥＣＵ２０は、ステアリングＥＣＵ５０に対して、周期的に生存確認メッセージを送信する。以下では、これをメッセージ送信と呼称する場合もある。ステアリングＥＣＵ５０は、周期的に生存確認メッセージの受信を確認することによって、自動運転ＥＣＵ２０が正しく動いていることを確認する。ステアリングＥＣＵ５０は、メッセージの受信を確認できたら、自動運転ＥＣＵ２０に対して生存確認メッセージ応答を送る。以下では、これを応答送信と呼称する場合もある。自動運転ＥＣＵ２０は生存確認メッセージ応答の受信を確認することでステアリングＥＣＵ５０が正しく動いていることを確認する。
　図６の例では、自動運転ＥＣＵ２０は、周期的に起動し、前周期の期間内で受信したステアリングＥＣＵ５０からのメッセージを確認する処理（関数）を呼び出して実行し、その結果に基づいて生存確認メッセージを送信し、処理を終了する。生存確認メッセージに含まれる通信情報として、引数としてのインデックスおよび状態情報が付与されている。ステアリングＥＣＵ５０も周期的に起動し、前周期の期間内に送られてきた生存確認メッセージの受信を確認する処理（関数）を呼び出して実行し、その結果に基づいて生存確認メッセージ応答を送信し、処理を終了する。生存確認メッセージ応答に含まれる通信情報として、引数としてのインデックスおよび状態情報が付与されている。なお、図６に示されるように、「１：前周期メッセージ確認」を行う処理の起動から次の「４：前周期メッセージ確認」を行う処理の起動までが自動運転ＥＣＵ２０の１周期である。ステアリングＥＣＵ５０については、「３：生存確認メッセージ受信確認」をする処理の起動から次の「６：生存確認メッセージ受信確認」をする処理の起動までが１周期である。
　このように自動運転ＥＣＵ２０とステアリングＥＣＵ５０との間での相互通信を周期的に行うことで、お互いの異常と状態（手動運転状態または自動運転状態）を相互監視することができ、異常の検出だけでなく、自動運転システムに必須となる状態を監視することができる。
　ここで、ステアリングＥＣＵ５０の生存確認メッセージの受信周期（確認周期）は、自動運転ＥＣＵ２０の生存確認メッセージの送信周期以下とすることで、ステアリングＥＣＵ５０がメッセージの確認をしている間に次のメッセージが届いてしまい、対処できずにインデックスが不整合となる事態を防止できる。生存確認メッセージの送信周期は、例えば１００ｍｓｅｃとし、自動運転ＥＣＵ２０およびステアリングＥＣＵ５０の制御周期と同程度としている。
　引数として付与されるインデックスは、例えば０から始まる８ビットの変数として定義され、「０→１→２→３・・・→２５５→０→１→２→３・・・」のように、０～２５５まで、メッセージを送るごとに１つずつインクリメントする構成が挙げられる。なお、インデックスの変数としては８ビットに限定ものではなく、生存確認メッセージの送信周期などを考慮した現実的な多ビットの変数に設定すれば良い。
　図６の例では、自動運転ＥＣＵ２０が送信する「２：生存確認メッセージ送信」のインデックスが「０」であるなら、ステアリングＥＣＵ５０が送信する「３.１：生存確認メッセージ応答」のインデックスも「０」となる。これが一致する場合は正しく応答されていることを示すが、不一致の場合は、何らかの異常があることを示す。
　なお、上述した図６の説明では、主系と従系の区別なく説明したが、どちらも同じシーケンスで動作することを想定している。すなわち、自動運転ＥＣＵ２０の主系および従系は、それぞれステアリングＥＣＵ５０の主系および従系に対してメッセージを送り、ステアリングＥＣＵ５０の主系および従系は、それぞれ自動運転ＥＣＵ２０の主系および従系に応答を返す。
　ステアリングＥＣＵ５０の異常発生パターンとして、（ａ）メッセージに対する応答を返さない、（ｂ）応答は返すがインデックスが間違っている、が挙げられ、図７は、（ａ）の場合のステアリングＥＣＵ５０の異常検出時のシーケンスを示す図である。
　図７に示すように、自動運転ＥＣＵ２０では生存確認メッセージ送信前に、前周期で送信したメッセージに対するステアリングＥＣＵ５０からの生存確認メッセージ応答のチェックを行う。何周期か連続で応答がない場合は、ステアリングＥＣＵ５０に異常が発生したと判断する。
　図７の例では、「２：生存確認メッセージ送信」に対して、ステアリングＥＣＵ５０からの生存確認メッセージ応答がなく、また、次の周期での「４：生存確認メッセージ送信」に対してもステアリングＥＣＵ５０からの生存確認メッセージ応答がなく、数周期連続でステアリングＥＣＵ５０から応答がない場合を示している。
　自動運転ＥＣＵ２０は、さらに次の周期での「５：前周期メッセージ確認」をした結果、「５.１：ステアリング制御装置異常判定」処理を実行する。なお、異常判定後の処理については、図２のフローチャートに示した通りである。なお、図７の例では数周期連続でステアリングＥＣＵ５０から応答がなかった場合を示しているが、これは一例であり、一度でもステアリングＥＣＵ５０から応答がなかった場合に、異常と判定しても良い。
　このように、生存確認メッセージ応答の有無で、ステアリングＥＣＵ５０の正常および異常を検出するので、ステアリングＥＣＵ５０の異常の判断が容易である。
　図８は、「（ｂ）応答は返すがインデックスが間違っている」場合のステアリングＥＣＵ５０の異常検出時のシーケンスを示す図である。
　図８の例では、「２：生存確認メッセージ送信」に対して、ステアリングＥＣＵ５０から「３：生存確認メッセージ応答」はあるが、そのインデックスが間違っている。自動運転ＥＣＵ２０は、次の周期での「４：前周期メッセージ確認」の結果、間違ったインデックスが送られてきたことを確認し、「５：生存確認メッセージ送信」を行う。
　これに対して、ステアリングＥＣＵ５０から「６：生存確認メッセージ応答」はあるが、そのインデックスも間違っており、数周期連続でステアリングＥＣＵ５０から間違ったインデックスが返ってくる場合を示している。
　自動運転ＥＣＵ２０は、さらに次の周期で「７：前周期メッセージ確認」をした結果、「７.１：ステアリング制御装置異常判定」処理を実行する。なお、異常判定後の処理については、図２のフローチャートに示した通りである。なお、図８の例では数周期連続でステアリングＥＣＵ５０から間違ったインデックスが返ってくる場合を示しているが、これは一例であり、一度でもステアリングＥＣＵ５０から間違ったインデックスが返ってきた場合に、異常と判定しても良い。
　このように、インデックスの正誤で、ステアリングＥＣＵ５０の正常および異常を検出するので、ステアリングＥＣＵ５０の異常の判断を、異なった指標に基づいて行うことができ、異常の原因の究明および解消に有効である。
　自動運転ＥＣＵ２０の異常発生パターンとして、（ａ）メッセージを送信しない、（ｂ）メッセージのインデックスが間違っている、が挙げられ、図９は、（ａ）の場合の自動運転ＥＣＵ２０の異常検出時のシーケンスを示す図である。
　図９に示すように、ステアリングＥＣＵ５０は周期的に起動し、前周期の期間内に自動運転ＥＣＵ２０から送られてきた生存確認メッセージの受信を確認する処理（関数）を呼び出して実行し、その結果に基づいて生存確認メッセージ応答を送信するが、図９の例では、自動運転ＥＣＵ２０からの生存確認メッセージの送信がない場合を示している。
　すなわち、ステアリングＥＣＵ５０では、「１：生存確認メッセージの受信確認」を実行するが、自動運転ＥＣＵ２０からの生存確認メッセージが受信されていないので、生存確認メッセージ応答を送信できない。
　同様に、次の周期で「２：生存確認メッセージの受信確認」を実行するが、自動運転ＥＣＵ２０からの生存確認メッセージが受信されていないので、生存確認メッセージ応答を送信できない。
　さらに、ステアリングＥＣＵ５０は、さらに次の周期で「３：生存確認メッセージの受信確認」をした結果、数周期連続で自動運転ＥＣＵ２０からの生存確認メッセージの送信がないものとして、「３.１：自動運転ＥＣＵ異常判定」処理を実行する。なお、異常判定後の処理については、図３のフローチャートに示した通りである。図９の例では数周期連続で自動運転ＥＣＵ２０から生存確認メッセージの送信がない場合を示しているが、これは一例であり、一度でも生存確認メッセージの送信がなかった場合に、異常と判定しても良い。
　このように、生存確認メッセージの送信の有無で、自動運転ＥＣＵ２０の正常および異常を検出するので、自動運転ＥＣＵ２０の異常の判断が容易である。
　図１０は、「（ｂ）メッセージのインデックスが間違っている」場合の自動運転ＥＣＵ２０の異常検出時のシーケンスを示す図である。
　図１０の例では、自動運転ＥＣＵ２０からの「１：生存確認メッセージ送信」に対して、ステアリングＥＣＵ５０から「２.１：生存確認メッセージ応答」を送信し、それに対して自動運転ＥＣＵ２０から「３：生存確認メッセージの送信」はあるが、そのインデックスが間違っている。
　ステアリングＥＣＵ５０は、次の周期で「４：生存確認メッセージの受信確認」を実行し、「５：生存確認メッセージ応答」を送信するが、「３：生存確認メッセージの送信」でのインデックスが間違っているので、ステアリングＥＣＵ５０も間違ったインデックスを送信する。
　これに対して、自動運転ＥＣＵ２０からの「６：生存確認メッセージ送信」でのインデックスも間違っており、ステアリングＥＣＵ５０は、さらに次の周期で「７：生存確認メッセージの受信確認」をした結果、数周期連続で自動運転ＥＣＵ２０からの間違ったインデックスの生存確認メッセージが送信されたとして、「７.１：自動運転ＥＣＵ異常判定」処理を実行する。なお、異常判定後の処理については、図３のフローチャートに示した通りである。
　先に説明したように、自動運転ＥＣＵ２０が、メッセージを送るごとにインデックスを１つずつインクリメントする構成を採る場合、ステアリングＥＣＵ５０は前周期のメッセージのインデックスを記憶しておき、自動運転ＥＣＵ２０から新たに送られてきたメッセージのインデックスと比較することで、インデックスの間違いを確認できる。
　なお、図１０の例では数周期連続で間違ったインデックスの生存確認メッセージが送信された場合を示しているが、これは一例であり、一度でもインデックスの生存確認メッセージが送信された場合に、異常と判定しても良い。
　このように、インデックスの正誤で、自動運転ＥＣＵ２０の正常および異常を検出するので、自動運転ＥＣＵ２０の異常の判断を、異なった指標に基づいて行うことができ、異常の原因の究明および解消に有効である。
　図１１は、状態不一致時のシーケンスを示す図である。状態が不一致になる原因としては、例えば、システム動作中にステアリングＥＣＵ５０の主系に異常が発生し、ステアリングＥＣＵ５０の主系を再起動させたことによって、状態の不一致が発生する可能性が考えられる。
　図１１の例では自動運転ＥＣＵ２０が自動運転、ステアリングＥＣＵ５０が手動運転となっている場合のシーケンスを示している。図６を用いて説明したように、自動運転ＥＣＵ２０は、生存確認メッセージをステアリングＥＣＵ５０に送信し、ステアリングＥＣＵ５０からの生存確認メッセージ応答を確認する。この結果、ステアリングＥＣＵ５０の状態が自動運転ＥＣＵ２０の状態と異なっていた場合、自動運転ＥＣＵ２０は、ステアリングＥＣＵ５０に対して状態変更要求を送る。ステアリングＥＣＵ５０は、状態変更要求を受信すると、状態を変更し、変更したことを自動運転ＥＣＵ２０に伝える。
　以上の動作によって、自動運転ＥＣＵ２０とステアリングＥＣＵ５０とで状態の不一致が解消できる。
　図１１の例では、自動運転ＥＣＵ２０からの「２：生存確認メッセージ送信」では、自動運転ＥＣＵ２０の状態は自動運転であるが、ステアリングＥＣＵ５０からの「３.１：生存確認メッセージ応答」では、ステアリングＥＣＵ５０の状態は手動運転となっている。
　自動運転ＥＣＵ２０では、次の周期での「４：前周期メッセージ確認」の結果、「４.１：状態不一致処理」を実行し、ステアリングＥＣＵ５０に対して、４.１.１：状態変更要求（手動運転→自動運転）を送信する。
　ステアリングＥＣＵ５０は、「５：状態変更要求受信処理」を実行し、自動運転ＥＣＵ２０に対して、「６：状態変更要求の返事」を送信する。状態変更の結果、ステアリングＥＣＵ５０は、手動運転から自動運転に状態が変わる。
　なお、ステアリングＥＣＵ５０から状態を変更したことが伝えられなかった場合には，自動運転ＥＣＵ２０はステアリングＥＣＵ５０を異常と判定しても良い。
　以上説明したように自動運転ＥＣＵ２０とステアリングＥＣＵ５０との間のメッセージ通信によって、お互いの異常と状態を監視することによって、システムの一部に故障が発生してもフェールオペレーション動作を行うことができる。
　なお、以上説明した実施の形態１の車両制御装置１０の各部はコンピュータを用いて構成することができ、コンピュータがプログラムを実行することで実現される。すなわち、図１に示した車両制御装置１０は、例えば図１２に示す処理回路１００により実現される。処理回路１００には、ＣＰＵ、ＤＳＰ（Digital Signal Processor）などのプロセッサが適用され、記憶装置に格納されるプログラムを実行することで各部の機能が実現される。
　なお、処理回路１００には、専用のハードウェアが適用されても良い。処理回路１００が専用のハードウェアである場合、処理回路１００は、例えば、単一回路、複合回路、プログラム化したプロセッサ、並列プログラム化したプロセッサ、ＡＳＩＣ、ＦＰＧＡ、またはこれらを組み合わせたものなどが該当する。
　また、図１３には、図１に示した車両制御装置１０がプロセッサを用いて構成されている場合におけるハードウェア構成を示している。この場合、車両制御装置１０の各部の機能は、ソフトウェア等（ソフトウェア、ファームウェア、またはソフトウェアとファームウェア）との組み合わせにより実現される。ソフトウェア等はプログラムとして記述され、メモリ１２０に格納される。処理回路１００として機能するプロセッサ１１０は、メモリ１２０（記憶装置）に記憶されたプログラムを読み出して実行することにより、各部の機能を実現する。
　本発明は詳細に説明されたが、上記した説明は、すべての局面において、例示であって、本の発明がそれに限定されるものではない。例示されていない無数の変形例が、この発明の範囲から外れることなく想定され得るものと解される。
　なお、本発明は、その発明の範囲内において、実施の形態を適宜、変形、省略することが可能である。

Claims (8)

  1. 　車両の周辺環境情報および位置情報に基づいて自動運転を実行する際の走行経路を決定する自動運転制御装置と、
    　前記走行経路に基づいて前記車両のステアリング制御を行うステアリング制御装置と、を備え、
    　前記自動運転制御装置は、
    　自動運転コントローラ主系および自動運転コントローラ従系を備えてシステムが多重化され、
    　前記ステアリング制御装置は、
    　ステアリングコントローラ主系およびステアリングコントローラ従系を備えてシステムが多重化され、
    　前記自動運転制御装置および前記ステアリング制御装置は、相互通信により互いの異常の検出および状態の確認を行い、
    　前記自動運転制御装置は、
    　前記ステアリング制御装置の異常として、前記ステアリングコントローラ主系および前記ステアリングコントローラ従系の一方の異常を検出した場合、異常を検出していない他方が前記ステアリング制御を行うように切り替え制御し、
    　前記ステアリング制御装置は、
    　前記自動運転制御装置の異常として、前記自動運転コントローラ主系および前記自動運転コントローラ従系の一方の異常を検出した場合、異常を検出していない他方が出力する制御量を用いて前記ステアリング制御を行う車両制御装置。
  2. 　前記自動運転制御装置および前記ステアリング制御装置が互いに確認する前記状態は、
    　前記車両が自動運転状態であるか手動運転状態であるかの２つの状態である、請求項１記載の車両制御装置。
  3. 　前記自動運転制御装置および前記ステアリング制御装置の前記相互通信は、周期的に実行され、
    　周期的なメッセージ送信に対する周期的な応答送信の有無および、前記メッセージ送信および前記応答送信に含まれる通信情報によって前記異常を検出すると共に、前記通信情報に含まれる、前記自動運転状態であるか前記手動運転状態であるかの状態情報によって前記状態を確認する請求項２記載の車両制御装置。
  4. 　前記相互通信によって検出する前記異常は、
    　前記自動運転制御装置からの前記メッセージ送信に対して前記ステアリング制御装置が前記応答送信しない場合の前記ステアリング制御装置の前記異常と、
    　前記自動運転制御装置から前記ステアリング制御装置に対して前記メッセージ送信がない場合の前記自動運転制御装置の前記異常を含む、請求項３記載の車両制御装置。
  5. 　前記通信情報は、
    　前記メッセージ送信および前記応答送信のそれぞれに付与されるインデックスを含み、
    　前記相互通信によって検出する前記異常は、
    　前記自動運転制御装置からの前記メッセージ送信に付与される前記インデックスが間違っている場合の前記自動運転制御装置の前記異常と、
    　前記ステアリング制御装置からの前記応答送信に付与される前記インデックスが間違っている場合の前記ステアリング制御装置の前記異常を含む、請求項３記載の車両制御装置。
  6. 　前記インデックスは、０から始まる多ビットの変数として定義され、
    　前記自動運転制御装置から前記メッセージ送信に付与される前記インデックスは、前記自動運転制御装置の正常時には、前記メッセージ送信をするごとに１つずつインクリメントされ、
    　前記ステアリング制御装置からの前記応答送信に付与される前記インデックスは、前記ステアリング制御装置の正常時には、前記自動運転制御装置からの前記メッセージ送信に付与された前記インデックスと同じ数値とされる、請求項５記載の車両制御装置。
  7. 　前記ステアリング制御装置での前記メッセージ送信の受信周期は、
    　前記自動運転制御装置からの前記メッセージ送信の送信周期以下である、請求項３記載の車両制御装置。
  8. 　前記自動運転制御装置からの前記メッセージ送信に含まれる前記通信情報の前記状態情報と、
    　前記ステアリング制御装置からの前記応答送信に含まれる前記通信情報の前記状態情報とが異なる場合、
    　前記自動運転制御装置は、前記ステアリング制御装置に対して状態変更要求を送信し、
    　前記ステアリング制御装置は、前記状態情報を変更し、変更したことを前記自動運転制御装置に送信する、請求項３記載の車両制御装置。
PCT/JP2019/029981 2019-07-31 2019-07-31 車両制御装置 WO2021019715A1 (ja)

Priority Applications (2)

Application Number Priority Date Filing Date Title
JP2019570156A JP6732143B1 (ja) 2019-07-31 2019-07-31 車両制御装置
PCT/JP2019/029981 WO2021019715A1 (ja) 2019-07-31 2019-07-31 車両制御装置

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/JP2019/029981 WO2021019715A1 (ja) 2019-07-31 2019-07-31 車両制御装置

Publications (1)

Publication Number Publication Date
WO2021019715A1 true WO2021019715A1 (ja) 2021-02-04

Family

ID=71738590

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2019/029981 WO2021019715A1 (ja) 2019-07-31 2019-07-31 車両制御装置

Country Status (2)

Country Link
JP (1) JP6732143B1 (ja)
WO (1) WO2021019715A1 (ja)

Citations (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2005199951A (ja) * 2004-01-19 2005-07-28 Toyota Motor Corp 車両の制御システムの異常検知装置
JP2016196295A (ja) * 2004-01-30 2016-11-24 日立オートモティブシステムズ株式会社 車両制御システム
JP2016199239A (ja) * 2015-04-14 2016-12-01 株式会社デンソー 車両の制御装置
JP2017038365A (ja) * 2015-08-07 2017-02-16 株式会社デンソー 通信システム、管理ノード、通常ノード、カウンタ同期方法、プログラム、記録媒体
WO2017056688A1 (ja) * 2015-09-29 2017-04-06 日立オートモティブシステムズ株式会社 監視システム及び車両用制御装置
WO2018142841A1 (ja) * 2017-01-31 2018-08-09 日本精工株式会社 運転情報記録装置及びこれを備えた電動パワーステアリング装置
WO2018179626A1 (ja) * 2017-03-30 2018-10-04 本田技研工業株式会社 車両制御システム、車両制御方法、車両制御装置、および車両制御プログラム
WO2018220811A1 (ja) * 2017-06-02 2018-12-06 本田技研工業株式会社 車両制御システムおよび車両制御方法

Family Cites Families (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP6611664B2 (ja) * 2016-04-26 2019-11-27 三菱電機株式会社 自動運転制御装置および自動運転制御方法

Patent Citations (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2005199951A (ja) * 2004-01-19 2005-07-28 Toyota Motor Corp 車両の制御システムの異常検知装置
JP2016196295A (ja) * 2004-01-30 2016-11-24 日立オートモティブシステムズ株式会社 車両制御システム
JP2016199239A (ja) * 2015-04-14 2016-12-01 株式会社デンソー 車両の制御装置
JP2017038365A (ja) * 2015-08-07 2017-02-16 株式会社デンソー 通信システム、管理ノード、通常ノード、カウンタ同期方法、プログラム、記録媒体
WO2017056688A1 (ja) * 2015-09-29 2017-04-06 日立オートモティブシステムズ株式会社 監視システム及び車両用制御装置
WO2018142841A1 (ja) * 2017-01-31 2018-08-09 日本精工株式会社 運転情報記録装置及びこれを備えた電動パワーステアリング装置
WO2018179626A1 (ja) * 2017-03-30 2018-10-04 本田技研工業株式会社 車両制御システム、車両制御方法、車両制御装置、および車両制御プログラム
WO2018220811A1 (ja) * 2017-06-02 2018-12-06 本田技研工業株式会社 車両制御システムおよび車両制御方法

Also Published As

Publication number Publication date
JP6732143B1 (ja) 2020-07-29
JPWO2021019715A1 (ja) 2021-09-13

Similar Documents

Publication Publication Date Title
CN112004730B (zh) 车辆控制装置
CN110077420B (zh) 一种自动驾驶控制系统和方法
US11305783B2 (en) Vehicle control device
JP6756823B2 (ja) 自動車の操舵システムを動作させるための方法
US10459436B2 (en) Asymmetric system architecture for fail-operational functions with limited availability requirements
JP6535572B2 (ja) 車両制御装置、車両制御システム
CN110035939B (zh) 车辆控制装置
US11173922B2 (en) Vehicle control device and vehicle control system
JP2008505012A (ja) 冗長データバスシステム
JP2016081534A (ja) 自動化された運転のためのフェールセーフｅ／ｅアーキテクチャ
CN106054852A (zh) 集成式故障沉默和故障运转系统中的可量容错的构造
KR102533939B1 (ko) 차량 제어 시스템
JP2022541715A (ja) 自律車両制御システム
RU2494348C2 (ru) Устройство и способ контроля датчика, а также датчик
CN112660158B (zh) 辅助驾驶控制系统
JP2018158591A (ja) 車両用制御装置
CN113994273A (zh) 用于在车辆架构内提供冗余通信的设备和方法及相应的控制架构
US11066080B2 (en) Vehicle control device and electronic control system
WO2014030247A1 (ja) 車載通信システムおよび車載通信方法
JP2011032903A (ja) 車両の制御装置
JP2015067234A (ja) 車両制御装置
JP2024009100A (ja) 制御システム
WO2021019715A1 (ja) 車両制御装置
GB2547985A (en) Vehicle subsystem communication arbitration
JP2019121043A (ja) 車両制御システムおよび車両制御装置

Legal Events

Date Code Title Description
ENP Entry into the national phase

Ref document number: 2019570156

Country of ref document: JP

Kind code of ref document: A

121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 19939653

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 19939653

Country of ref document: EP

Kind code of ref document: A1