JP6675487B2

JP6675487B2 - 車両制御装置

Info

Publication number: JP6675487B2
Application number: JP2018532874A
Authority: JP
Inventors: 坂本　英之; 英之坂本; 昭雄池谷; 雅之川端; 博考天羽
Original assignee: Hitachi Automotive Systems Ltd
Current assignee: Astemo Ltd
Priority date: 2016-08-10
Filing date: 2017-07-04
Publication date: 2020-04-01
Anticipated expiration: 2037-07-04
Also published as: CN109562764A; EP3498561A4; CN109562764B; US20190179310A1; WO2018030032A1; US11126176B2; EP3498561B1; JPWO2018030032A1; EP3498561A1

Description

本発明は、自動運転システムの車両制御装置に関する。

車両の自動運転システムにおいて、自動運転の動作を制御するＥＣＵ（ＥｌｅｃｔｒｏｎｉｃＣｏｎｔｒｏｌＵｎｉｔ）のマイコンの電源電圧の異常や、このマイコンの動作異常が検知された場合には、その後の適切な処理が考えられている。

特許文献１には、メイン制御装置のマイコンの動作が正常な状態であって、このマイコンの電源電圧が適正範囲から外れているときには、複数のサブ制御装置の制御機能を部分的に制限する車両の制御装置が開示されている。

また、自動運転システムではないが、特許文献２には、複数の駆動力源を備えるハイブリッド車において、駆動力を調停するＥＣＵのマイコンが異常となったとき、駆動源を制御するＥＣＵに適切に通知し、アイドリング走行や緊急停止等を行い、駆動力の異常の発生を防止する技術が開示されている。

特開２０１５−９３４９８号公報特開２０１５−６３１５８号公報

自動運転システムは、例えば、制御指令を出力するメイン制御装置と、メイン制御装置からの制御指令に基づいてエンジン制御、ブレーキ制御、パワーステアリング制御などをそれぞれに実施する複数のサブ制御装置とで構成される。

ここで、自動運転システムにおいては、機能安全上から、演算処理装置（マイコン）の電源電圧の低圧異常と共に高圧異常についても検知してフェイル処理を実施することが望まれるが、電源電圧の異常に対して一律に演算処理装置を停止（リセット）させるなどの処理を実施した場合、自動運転システムの機能が停止することになる。

しかし、自動運転システムの機能が動作中に突然停止すると、車両搭乗者が運転を引き継ぐ必要があるが、車両搭乗者が運転を引き継ぐまでの時間が生じるため、車両システムによる制御補間が必要であり、そのための技術が要求される。

上記課題を解決する手段として、特許文献１では、マイコンの動作が正常な状態でマイコンの電源電圧が適正範囲から外れている場合の制御について記載があるが、マイコンの電源電圧が適正範囲から外れた場合には、マイコン演算機能の信頼性への影響が懸念されるといった問題もある。

また、特許文献２に記載の技術を自動運転システムに適用することが考えられるが、自動運転システムの電源電圧異常に対して、アイドリング走行や緊急停止等を行うことに過ぎず、自動運転システム自体の機能を維持することはできない。

そこで、自動運転システムの動作制御を行うマイコンの電源電圧が適正範囲から外れた場合やマイコンの動作に異常が検知された場合に、メイン制御装置から別の自動運転制御装置に制御を移行する方法が考えられる。

しかしながら、メイン制御装置に異常が検知された場合に、エンジン制御、ブレーキ制御、パワーステアリング制御などの上記別の自動運転制御装置が受信する指令値は時間遅れを伴って更新されると考えられ、シームレスな自動運転制御継続が困難であるという問題がある。

本発明は、上記問題点に鑑みなされたものであり、その目的は、車両制御装置における演算処理装置の動作の異常や電源電圧の異常に対して制御機能を継続させることができ、信頼性の向上が可能な車両制御装置を実現することである。

上記目的を達成するため、本発明は次のように構成される。

車両制御装置において、第１の通信回路を有し、車両の動作を特定モードに移行させるための特定モード移行指令が入力され、上記特定モードの制御指令値を演算し、車両の動作制御部に、上記第１の通信回路を介して制御指令信号を出力する第１の制御指令部と、第２の通信回路を有し、車両の動作を特定モードに移行させるための特定モード移行指令が入力され、上記特定モードの制御指令値を演算し、上記第１の制御指令部の動作状態に異常が発生したときに、上記第１の制御指令部に代わり、上記第２の通信回路を介して上記動作制御部に制御指令信号を出力する第２の制御指令部と、を備える。

上記第１の制御指令部及び上記第２の制御指令部のそれぞれは、上記特定モードの制御指令値を演算するメイン演算処理装置と、このメイン演算処理装置に電圧を出力するメイン電源生成回路と、上記メイン演算処理装置を監視し、上記メイン演算処理装置の動作異常を検出するマイコン監視回路と、上記メイン電源生成回路の電圧を監視し、上記メイン電源生成回路の電圧が適正電圧範囲より低い低圧電圧異常及び上記適正電圧範囲より高い高圧電圧異常を検出する電圧監視回路とを有し、上記車両の動作を特定モードに移行させるための特定モード移行指令が上記第１の制御指令部及び上記第２の制御指令部に入力されたときに、上記第１の制御指令部のメイン演算処理装置又は上記第２の制御指令部のメイン演算処理装置に動作異常が発生している場合、又は、上記第１の制御指令部のメイン電源生成回路又は上記第２の制御指令部のメイン電源生成回路に低圧電圧異常又は高圧電圧異常が発生している場合は、上記第１の制御指令部及び上記第２の制御指令部が上記特定モードに移行することを禁止し、上記特定モード移行指令が上記第１の制御指令部及び上記第２の制御指令部に入力されたときに、上記第１の制御指令部のメイン演算処理装置及び上記第２の制御指令部のメイン演算処理装置が正常であり、かつ上記第１の制御指令部のメイン電源生成回路及び上記第２の制御指令部のメイン電源生成回路が正常であり、その後、上記第１の制御指令部のメイン演算処理装置のメイン演算処理装置又はメイン電源生成回路に異常が発生している場合は、上記第1の通信回路の出力を無効にし、上記第２の制御指令部のメイン演算処理装置及びメイン電源生成回路に異常が発生していないときのみ、上記第2の通信回路を介して上記車両の動作制御部に、上記第２の制御指令部から制御指令信号を出力する。

本発明によれば、車両制御装置における演算処理装置の動作の異常や電源電圧の異常に対して制御機能を継続させることができ、信頼性の向上が可能な車両制御装置を実現することができる。

本発明が適用される車両に備えられる自動運転システムの概略構成図である。実施例１における自律走行制御部と、その異常時の補助を担う補助制御部との内部構成を示す図である。実施例１における自動運転ボタンによる自動運転制御モード要求がなされた場合における自動運転制御モード許可または禁止の判定フローを示す図である。実施例１における異常フラグの状態とＣＡＮ通信回路の出力の状態とを対比して示した表である。実施例２における自律走行制御部と、その異常時の補助を担う補助制御部との内部構成を示す図である。

以下、本発明の実施形態について添付図面を参照して説明する。

（実施例１）
図１は、本発明が適用される車両に備えられる自動運転システムの概略構成図である。図１において、自動運転システムは、車両の外界状況を認識するための外界認識センサである、カメラ（第１センサ）１と、レーダ（第２センサ）２と、自車位置センサ（第３センサ）３とを備え、さらに、自動運転制御モードを開始するための自動運転ボタン４を備える。

さらに、自動運転システムは、自律走行制御部（第１ＥＣＵ（第１制御指令部））１１と、補助制御部（第２ＥＣＵ（第２制御指令部））１２と、ブレーキ制御部（第３動作制御部（第３ＥＣＵ））１３と、エンジン制御部（第４動作制御部（第４ＥＣＵ））１４と、パワーステアリング制御部（第５動作制御部（第５ＥＣＵ））１５とを備える。

カメラ１、レーダ２、自車位置センサ３、及び自動運転ボタン４は、自律走行制御部１１に接続され、これらカメラ１、レーダ２、自車位置センサ３からのセンサ情報や自動運転ボタン４からの自動運転制御モード要求信号が、自律走行制御部１１に伝達される。

また、自律走行制御部１１、補助制御部１２、ブレーキ制御部１３、エンジン制御部１４、及びパワーステアリング制御部１５は、ＣＡＮ（Controller Area Network、コントローラエリアネットワーク）によって相互に通信可能に接続される。

複数の電子制御装置（ＥＣＵ）１１、１２、１３、１４及び１５のうちの自律走行制御部１１は、自動運転の車両走行制御装置であり、補助制御部１２は、補助の自動運転車両走行制御装置である。

また、ブレーキ制御部１３は、車両のブレーキ制御（制動力制御）を行う制御装置であり、エンジン制御部１４は、車両の駆動力を発生するエンジンを制御する制御装置である。また、パワーステアリング制御部１５は、車両のパワーステアリングを制御する制御装置である。

ここで、自律走行制御部１１が、自動運転ボタン４により自動運転の要求を受け付けると、カメラ１、レーダ２、自車位置センサ３など外界の情報を基に車両の移動ルートを算出し、自律走行制御部１１は、前述したルート通りに車両を移動させるように、ブレーキや駆動力などの制御指令を、ブレーキ制御部１３、エンジン制御部１４、及びパワーステアリング制御部１５に出力する。

ブレーキ制御部１３、エンジン制御部１４、パワーステアリング制御部１５は、自律走行制御部１１から自動走行制御の制御指令を受けて、各制御対象（アクチュエータ）に操作信号を出力する。

つまり、自律走行制御部１１は、制御指令を出力するメイン制御装置であり、ブレーキ制御部１３、エンジン制御部１４、パワーステアリング制御部１５は、自律走行制御部１１からの制御指令に応じて制御対象を制御するサブ制御装置である。

一方、補助制御部１２は、自律走行制御部１１が異常時のとき、自律走行制御部１１に代わって自動運転制御を行うための補助制御装置である。

図２は、自律走行制御部１１と、その異常時の補助を担う補助制御部１２との内部構成を示す図である。

図２において、自動運転の制御装置である自律走行制御部１１は、メイン電源生成回路１１ａと、メインＣＰＵ（演算処理装置、マイコン）１１ｂと、メイン通信回路（第１通信回路（ＣＡＮ通信回路））１１ｃと、電源電圧監視回路１１ｄと、ＣＰＵ監視回路（マイコン監視回路）１１ｅと、ＯＲゲート１１ｆとを備える。

メイン電源生成回路１１ａは、車両に搭載されたバッテリ１９と接続され、バッテリ電圧ＶＢ（例えば１２Ｖ）をメインＣＰＵ１１ｂの定格電源電圧（例えば５Ｖ）にまで低下させてＣＰＵ１１ｂの電源電圧Ｖｃｃとして出力する回路である。

電源電圧監視回路１１ｄは、メイン電源生成回路１１ａが出力する電源電圧Ｖｃｃを監視し、電源電圧Ｖｃｃに異常（動作状態異常）が発生しているか否かを検出する。詳細には、電源電圧監視回路１１ｄは、適正電圧範囲よりも電源電圧Ｖｃｃが低くなる低電圧異常の有無、及び、適正電圧範囲よりも電源電圧Ｖｃｃが高くなる高電圧異常の有無を検出し、監視結果をＯＲゲート１１ｆの第１の入力端に出力する。

なお、電源電圧監視回路１１ｄは、電源電圧Ｖｃｃが適正電圧範囲よりも低い低電圧異常を検出したときにメインＣＰＵ１１ｂをリセットさせる処理（リセット信号の出力）を実施する構成とすることができる。

ＣＰＵ監視回路１１ｅは、例えば、メインＣＰＵ１１ｂが出力するプログラムラン信号などからメインＣＰＵ１１ｂの動作状態を監視する回路であり、監視結果をＯＲゲート１１ｆの第２の入力端に出力する。

なお、ＣＰＵ監視回路１１ｅは、ＣＰＵ１１ｂの動作状態に異常を検出したときに、ＣＰＵ１１ｂをリセットさせる処理（リセット信号の出力）を実施する構成とすることができる。

ＣＡＮ通信回路１１ｃは、ＣＡＮを介して他のＥＣＵ１３、１４、１５との間で通信を行うための回路である。また、ＣＡＮ通信回路１１ｃには、カメラ（第１センサ）１、レーダ（第２センサ）２、及び自車位置センサ（第３センサ）３からのセンサ情報が供給され、これらのセンサ情報がＣＡＮ通信回路１１ｃを介してメインＣＰＵ１１ｂに伝達される。なお、図示していないが、自動運転ボタン４からの自動運転制御モード要求もＣＡＮ通信回路１１ｃを介してメインＣＰＵ１１ｂに伝達される。

上述したように、ＯＲゲート１１ｆには、電源電圧監視回路１１ｄの監視結果とＣＰＵ監視回路１１ｅの監視結果とが入力される。電源電圧監視回路１１ｄとＣＰＵ監視回路１１ｅのいずれかの監視結果に異常があるとＯＲゲート１１ｆの出力である異常フラグ１１ｐがＨｉｇｈ（異常）となる。電源電圧監視回路１１ｄとＣＰＵ監視回路１１ｅのいずれの監視結果に異常がなければＯＲゲート１１ｆの出力端子はＬｏｗ（正常）となっている。

また、ＯＲゲート１１ｆの出力端子は、通信回路１１ｃと、補助制御部１２のＮＡＮＤゲート１２ｇの第１入力端子に接続されている。

補助制御部１２は、ＮＡＮＤゲート１２ｇを除き、自律走行制御部１１とほぼ同一の構成であり、バッテリ１９に接続されたメイン電源生成回路１２ａと、メインＣＰＵ（演算処理装置、マイコン）１２ｂと、メイン通信回路（第２通信回路（ＣＡＮ通信回路））１２ｃと、電源電圧監視回路１２ｄと、ＣＰＵ監視回路１２ｅと、ＯＲゲート１２ｆと、上記したＮＡＮＤゲート１２ｇを備える。

補助制御部１２のメイン電源生成回路１２ａ、メインＣＰＵ（演算処理装置、マイコン）１２ｂ、ＣＡＮ通信回路１２ｃ、電源電圧監視回路１２ｄ、ＣＰＵ監視回路１２ｅは、自律走行制御部１１の電源生成回路１１ａ、メインＣＰＵ（演算処理装置、マイコン）１１ｂ、ＣＡＮ通信回路１１ｃ、電源電圧監視回路１１ｄ、ＣＰＵ監視回路１１ｅと同様の動作を行う。

補助制御部１２において、ＮＡＮＤゲート１２ｇは、ＯＲゲート１２ｆの出力反転値と、自律走行制御部１１のＯＲゲート１１ｆの出力とが入力される。ＮＡＮＤゲート１２ｇの出力端子は、ＣＡＮ通信回路１２ｃに接続されている。

また、ＯＲゲート１２ｆの出力は、自律走行制御部１１のメインＣＰＵ１１ｂにも供給される。

また、ＣＡＮ通信回路１２ｃには、カメラ（第１センサ）１、レーダ（第２センサ）２、及び自車位置センサ（第３センサ）３からのセンサ情報が供給され、これらのセンサ情報がＣＡＮ通信回路１２ｃを介してメインＣＰＵ１２ｂに伝達される。なお、図示していないが、自動運転ボタン４からの自動運転制御モード要求もＣＡＮ通信回路１２ｃを介してメインＣＰＵ１２ｂに伝達される。

自律走行制御部（第１ＥＣＵ（第１制御指令部））１１と、補助制御部（第２ＥＣＵ（第２制御指令部））１２とにより制御指令部１０が形成される。

図４は、自動運転ボタン４による自動運転制御モード要求がなされた場合における自動運転制御モード許可または禁止の判定フローを示す図である。

前述したように、自律走行制御部１１及び補助制御部１２の異常信号、すなわちＯＲゲート１１ｆ、１２ｆの出力である異常信号１１ｐ、１２ｐは、自律走行制御部１１のメインＣＰＵ１１ｂに入力されており、この２つの信号を基に、メインＣＰＵ１１ｂが自動運転制御モード許可または禁止の判定を行う。

図４のステップＳ０において、自動運転ボタン４により自動運転制御モード要求がなされ、それを受け付けると、ステップＳ１にて自律走行制御部１１のメインＣＰＵ１１ｂは、異常信号１１ｐを確認し、異常信号１１ｐがＨｉｇｈ（異常）である場合には、自律走行制御部１１及び補助制御部１２は、自動運転制御モード（自動運転制御モード）を禁止する。

自動運転制御モードの禁止の一方法としては、メインＣＰＵ１１ｂの自動運転制御のための制御指令値の演算を禁止することである。また、自動運転制御モードの禁止の他の方法としては、メインＣＰＵ１１ｂの自動運転制御のための制御指令値の演算の禁止ではなく、ＣＡＮ通信回路１１ｃ、１２ｃの出力を無効にすることである。

また、ステップＳ１にて、異常信号１１ｐが、Ｌｏｗ（正常）の場合は、次のステップＳ２に進み、メインＣＰＵ１１ｂは、補助制御部１２からの異常信号１２ｐを確認し、Ｈｉｇｈ（異常）である場合には、自動運転制御モードを禁止する。これは車両が自動運転制御モードに入った後に自立走行制御部１１が異常となった場合に、補助制御部１２に異常があるときは、補助制御部１２が補助機能（自動運転機能）を確実に実行できないためである。

したがって、自律走行制御部１１の異常信号１１ｐと補助制御部１２の異常信号１２ｐの双方を確認し、共に異常でなければ、自動運転制御モードを許可する。

次に、図３を用いて自律走行制御部１１及び補助制御部１２の異常信号１１ｐ、１２ｐと、ＣＡＮ通信回路１１ｃ、１２ｃとの出力関係について説明する。

図３は、異常フラグ１１ｐ及び１２ｐの状態と、ＣＡＮ通信回路１１ｃ及び１２ｃの出力の状態とを対比して示した表である。

図３において、自律走行制御部１１及び補助制御部１２が共に正常である状態Ａの場合は、異常信号１１ｐ、１２ｐは共にＬｏｗであり、ＯＲゲート１１ｆはＬｏｗ、ＮＡＮＤゲート１２ｇの出力信号はＨｉｇｈとなる。

状態Ａの場合は、これら異常信号１１ｐ、１２ｐ、ＯＲゲート１１ｆの出力信号、ＮＡＮＤゲート１２ｇの出力信号に応じて、ＣＡＮ通信回路１１ｃの出力は有効となるが、ＣＡＮ通信回路１２ｃの出力は無効であり、自律走行制御部１１からの制御指令値が、ブレーキ制御部（第３ＥＣＵ）１３と、エンジン制御部（第４ＥＣＵ）１４と、パワーステアリング制御部（第５ＥＣＵ）１５に通知される。状態Ａでは、補助制御部１２のメインＣＰＵ１２ｂは、第１センサ１〜第３センサ３からの外界情報に基づいて他のＥＣＵ１３〜１５への制御指令値の演算を実行し、ＣＡＮ通信回路１２ｃに伝達するが、ＣＡＮ通信回路１２ｃの出力が無効となっているため、メインＣＰＵ１２ｂが演算した制御指令値は、他のＥＣＵ１３〜１５に伝達されない。

状態Ｂは、異常フラグ１１ｐがＨｉｇｈで異常、異常フラグ１２ｐはＬｏｗで正常、ＯＲゲート１１ｆの出力信号はＨｉｇｈ、ＮＡＮＤゲート１２ｇの出力信号はＬｏｗであり、ＣＡＮ通信回路１１ｃの出力は無効となるが、ＣＡＮ通信回路１２ｃの出力は有効である。

自動運転制御モードに入る前に状態Ｂとなっている場合には、図４のフローに従い自動運転制御モードは禁止される。しかしながら、図４のフローで自動運転制御モードに入った後に、自律走行制御部１１に異常が検出された場合は、状態Ａから状態Ｂに状態遷移する。このとき、自律走行制御部１１の異常フラグ１１ｐはＨｉｇｈになるため、ＣＡＮ通信回路１１ｃが無効となる。一方、補助制御部１２の異常フラグ１２ｐが正常の場合、ＮＡＮＤ出力１２ｇはＬｏｗであり、ＣＡＮ通信回路１２ｃが有効になるため、上述のように、補助制御部１２の制御指令値が、ＣＡＮ通信回路１２ｃから出力され、ブレーキ制御部（第３ＥＣＵ）１３と、エンジン制御部（第４ＥＣＵ）１４と、パワーステアリング制御部（第５ＥＣＵ）１５に通知される。

上述したように、状態Ａでは、補助制御部１２のメインＣＰＵ１２ｂは、第１センサ１〜第３センサ３からの外界情報に基づいて他のＥＣＵ１３〜１５への制御指令値の演算を実行していることから、状態Ｂに遷移したとき、ＣＡＮ通信回路１２ｃの出力を有効にすることにより、時間遅れをほとんど伴うことなく、シームレスな自動運転制御を継続することができる。

状態Ｃは、異常フラグ１１ｐがＬｏｗで正常、異常フラグ１２ｐはＨｉｇｈで異常、ＯＲゲート１１ｆの出力信号はＬｏｗ、ＮＡＮＤゲート１２ｇの出力信号はＨｉｇｈであり、ＣＡＮ通信回路１１ｃの出力は有効であるが、ＣＡＮ通信回路１２ｃの出力は無効である。

この状態Ｃでは、補助制御部１２からの制御指令値はＣＡＮ通信回路１１ｃからは出力されず、自律走行制御部１１からの制御指令値がＣＡＮ通信回路１１ｃから出力され、ブレーキ制御部（第３ＥＣＵ）１３と、エンジン制御部（第４ＥＣＵ）１４と、パワーステアリング制御部（第５ＥＣＵ）１５に通知される。

自動運転制御モードに入る前に状態Ｃとなっている場合にも、図４のフローに従い自動運転制御モードとはならない。しかしながら、図４のフローで自動運転制御モードに入った後に、補助制御部１２に異常が検出された場合は、状態Ａから状態Ｃに状態遷移するが、このとき自律走行制御部１１の異常フラグ１１ｐはＬｏｗを維持し、ＣＡＮ通信回路１１ｃは有効のままである。

一方、補助制御部１２の異常フラグ１２ｐがＨｉｇｈであり異常となった場合、ＮＡＮＤ出力１２ｇはＨｉｇｈであり、ＣＡＮ通信回路１２ｃが無効であるため、自律走行制御部１１の制御指令値が、上述のように、ブレーキ制御部（第３ＥＣＵ）１３等に通知される。

状態Ｄは、異常フラグ１１ｐがＨｉｇｈで異常、異常フラグ１２ｐもＨｉｇｈで異常、ＯＲゲート１１ｆの出力信号もＨｉｇｈ、ＮＡＮＤゲート１２ｇの出力信号もＨｉｇｈあり、ＣＡＮ通信回路１１ｃの出力は無効、ＣＡＮ通信回路１２ｃの出力も無効である。

自動運転制御モードに入る前に状態Ｄとなっている場合には、図３のフローに従い自動運転制御モードとはならない。しかしながら図３のフローで自動運転制御モードに入った後に、自律走行制御部１１、補助制御部１２の双方に異常が検出された場合は、状態Ａから状態Ｄに状態遷移し、ＣＡＮ通信回路１１ｃ、１２ｃが無効となる。

以上のように、本発明の実施例１によれば、自動運転制御モードが要求された場合、自律走行制御部１１に異常が発生している場合のみならず、自律走行制御部１１に異常が発生していない場合であっても、補助制御部１２に異常が発生しているときには、自動運転制御モードには移行せず、自律走行制御部１１及び補助制御部１２が共に異常が発していないときにのみ、自動運転制御モードに移行するように構成したので、車両の自動運転制御についてのフェールセーフ機能を向上することができる。

また、本発明の実施例１によれば、車両の自動運転制御を行う自律走行制御部１１と、同様に車両の自動運転制御を行う補助制御部１２とを備え、自律走行制御部１１及び補助制御部１２のメインＣＰＵ１１ｂ及びメインＣＰＵ１２ｂに異常がない場合は、自律走行制御部１１及び補助制御部１２は、自動運転制御のための制御指令値を演算し、自律走行制御部１１のＣＡＮ通信回路１１ｃを有効とし、補助制御部１２のＣＡＮ通信回路１２ｃを無効とし、自律走行制御部１１に異常が発生し、補助制御部１２に異常が無い場合は、自律走行制御部１１のＣＡＮ通信回路１１ｃを無効とし、補助制御部１２のＣＡＮ通信回路１２ｃを有効とする。

したがって、自律走行制御部１１により自動運転制御が行われているときに、自律走行制御部１１に異常が発生した場合、補助制御部１２に異常が発生していなければ、時間遅れをほとんど伴うことなく、シームレスな自動運転制御を継続することができる。

なお、上述した例においては、自律走行制御部１１と、補助制御部１２とは、それぞれ別個のＥＣＵ（第１ＥＣＵ、第２ＥＣＵ）としたが、自律走行制御部１１と補助制御部１２とを含む制御指令部１０を一つのＥＣＵとして構成する例も、実施例１に含まれるものである。
（実施例２）
図５は、本発明の実施例２における自律走行制御部１１０と、その異常時の補助を担う補助制御部１２０との内部構成を示す図である。自動運転システムの概略構成は、実施例１と同等であるので、図示及びその説明は省略する。

実施例２における自律走行制御部１１０には、図２に示した自律走行制御部１１の内部構成に、サブＣＰＵ（サブ演算処理装置）１１ｍと、サブＣＰＵ１１ｍに電圧を出力するサブ電源生成回路１１ｋと、サブ通信回路１１ｎとが追加されている。また、メインＣＰＵ１１ｂには、監視部１１ｈが形成されている。

サブＣＰＵ１１ｍには、サブ通信回路１１ｎを介して、外界認識センサである、カメラ（第１センサ）１、レーダ（第２センサ）２、及び自車位置センサ（第３センサ）３からのセンサ情報が供給される。サブＣＰＵ１１ｍは、供給されたセンサ情報に基づいて、外界の状況を認識し、メインＣＰＵ１１ｂに伝達する。メインＣＰＵ１１ｂは、サブＣＰＵ１１ｍから伝達された外界情報により自動運転制御のための制御指令値を演算する。

つまり、実施例１におけるメインＣＰＵ１１ｂが行う機能を、実施例２におけるメインＣＰＵ１１ｂとサブＣＰＵ１１ｍとにより行い、外界状況の認識をサブＣＰＵ１１ｍが行う構成となっている。

また、監視部１１ｈは、サブＣＰＵ１１ｍに異常が発生したか否かと、サブ電源生成回路１１ｋが出力する電源電圧に異常が発生しているか否かを診断する。

監視部１１ｈの監視結果は、ＯＲゲート１１ｆの第３の入力端に出力する。

自律走行制御部１１０の他の構成は、自律走行制御部１１と同様となっている。

実施例２における補助制御部１２０には、図２に示した補助制御部１２の内部構成に、サブ電源生成回路１２ｋと、サブＣＰＵ１２ｍと、サブ通信回路１２ｎとが追加されている。また、メインＣＰＵ１２ｂには、監視部１２ｈが形成されている。

サブＣＰＵ１２ｍには、サブ通信回路１２ｎを介して、カメラ（第１センサ）１、レーダ（第２センサ）２、及び自車位置センサ（第３センサ）３からのセンサ情報が供給される。サブＣＰＵ１２ｍは、供給されたセンサ情報に基づいて、外界の状況を認識し、メインＣＰＵ１２ｂに伝達する。メインＣＰＵ１２ｂは、サブＣＰＵ１２ｍから伝達された外界情報により自動運転制御のための制御指令値を演算する。

自律走行制御部１１０と同様に、実施例１におけるメインＣＰＵ１２ｂが行う機能を、実施例２におけるメインＣＰＵ１２ｂとサブＣＰＵ１２ｍとにより行い、外界状況の認識をサブＣＰＵ１２ｍが行う構成となっている。

また、監視部１２ｈは、サブＣＰＵ１２ｍに異常が発生したか否かと、サブ電源生成回路１２ｋが出力する電源電圧に異常が発生しているか否かを検出（監視）する。

監視部１２ｈの監視結果は、ＯＲゲート１２ｆの第３の入力端に出力する。

自律走行制御部１２０の他の構成は、補助制御部１２と同様となっている。

実施例２において、自動運転ボタン４による自動運転制御モード要求がなされた場合も、図４に示した判定フローと同様な動作となる。ただし、図４のステップＳ１において、メインＣＰＵ１１ｂ、電源生成回路１１ａ、サブＣＰＵ１１ｍ、及びサブ電源生成回路１１ｋの全てが正常であれば、異常フラグ１１ｐがＬｏｗで正常と判断され、いずれかひとつでも、異常であれば、異常フラグ１１ｐがＨｉｇｈで異常と判断される。

同様に、図４のステップＳ２において、メインＣＰＵ１２ｂ、電源生成回路１２ａ、サブＣＰＵ１２ｍ、及びサブ電源生成回路１２ｋの全てが正常であれば、異常フラグ１２ｐがＬｏｗで正常と判断され、いずれかひとつでも、異常であれば、異常フラグ１２ｐがＨｉｇｈで異常と判断される。

また、実施例２の場合は、図４に示した表においても、メインＣＰＵ１２ｂ、電源生成回路１２ａ、サブＣＰＵ１２ｍ、及びサブ電源生成回路１２ｋの全てが正常であれば、異常フラグ１２ｐがＬｏｗで正常であり、いずれかひとつでも、異常であれば、異常フラグ１２ｐがＨｉｇｈで異常となる。

本発明の実施例２においても、実施例１と同様な効果を得ることができる。実施例２は、実施例１のように、一つのＣＰＵでセンサ情報に基づいて外界の状況を認識し、かつ、自動運転制御のための制御指令値の演算の２つの動作を実行できない場合に適用することができる。

また、上述した例においては、自律走行制御部１１０と、補助制御部１２０とは、それぞれ別個のＥＣＵ（第１ＥＣＵ、第２ＥＣＵ）としたが、自律走行制御部１１０と補助制御部１２０とを含む制御指令部１０を一つのＥＣＵ（電子制御装置）として構成する例も、実施例２に含まれるものである。

また、上述した実施例１及び２においては、異常フラグ１１ｐがＨｉｇｈの場合は異常と判断し、ＣＡＮ通信回路１１ｃの通信を無効とするように構成したが、ＣＡＮ通信回路１１ｃは有効であるが、メインＣＰＵ１１ｂが自動運転制御動作を停止する構成とすることも本発明の実施形態に含まれる。

同様に、異常フラグ１２ｐがＨｉｇｈの場合は異常と判断し、ＣＡＮ通信回路１２ｃの通信を無効とするように構成したが、ＣＡＮ通信回路１２ｃは有効であるが、メインＣＰＵ１２ｂが自動運転制御動作を停止する構成とすることも本発明の実施形態に含まれる。

また、異常フラグ１１ｐ又は１２ｐがＨｉｇｈの場合は異常と判断し、ＣＡＮ通信回路１１ｃ又は１２ｃの通信を無効とし、かつ、メインＣＰＵ１１ｂ又は１２ｂは自動運転制御動作を停止する構成とすることも本発明の実施形態に含まれる。

さらに、本発明は、自動運転制御モードのみならず、低燃費制御モード、衝突安全制御モードにも適用可能である。

低燃費制御モードの場合は、第１センサ１、第２センサ２、及び第３センサ３からの外界情報に基づいて、例えば、交差点における信号機の表示情報等に基づいて、エンジンの停止、始動を制御する。そして、図３及び図４に示した動作と同様にしてＣＡＮ回路１１ｃ及び１２ｃの有効無効を切り替える。

衝突安全制御モードの場合は、第１センサ１、第２センサ２、及び第３センサ３からの外界情報に基づいて、例えば、前方車両との距離情報等に基づいて、ブレーキの動作を制御する。そして、図３及び図４に示した動作と同様にしてＣＡＮ回路１１ｃ及び１２ｃの有効無効を切り替える。

本発明においては、自動運転制御モード、低燃費制御モード及び衝突安全制御モードを特定モードと総称することができる。

１・・・カメラ、２・・・レーダ、３・・・自車位置センサ、４・・・自動運転ボタン、１０・・・制御指令部、１１、１１０・・・自律走行制御部、１１ａ、１１ｋ、１２ａ・・・電源生成回路、１１ｂ、１２ｂ・・・メインＣＰＵ（演算処理装置）、１１ｃ、１２ｃ・・・ＣＡＮ通信回路、１１ｄ、１２ｄ・・・電源電圧監視回路、１１ｅ、１２ｅ・・・ＣＰＵ監視回路、１１ｆ、１２ｆ・・・ＯＲゲート、１１ｈ、１２ｈ・・・監視部、１１ｍ、１２ｍ・・・サブＣＰＵ、１１ｎ、１２ｎ・・・通信回路、１２、１２０・・・補助制御部、１２ｇ・・・ＮＡＮＤゲート、１３・・・ブレーキ制御部、１４・・・エンジン制御部、１５・・・パワーステアリング制御部

Claims

第１の通信回路を有し、車両の動作を特定モードに移行させるための特定モード移行指令が入力され、上記特定モードの制御指令値を演算し、車両の動作制御部に、上記第１の通信回路を介して制御指令信号を出力する第１の制御指令部と、
第２の通信回路を有し、車両の動作を特定モードに移行させるための上記特定モード移行指令が入力され、上記特定モードの制御指令値を演算し、上記第１の制御指令部の動作状態に異常が発生したときに、上記第１の制御指令部に代わり、上記第２の通信回路を介して上記動作制御部に制御指令信号を出力する第２の制御指令部と、
を備え、
上記第１の制御指令部及び上記第２の制御指令部のそれぞれは、上記特定モードの制御指令値を演算するメイン演算処理装置と、このメイン演算処理装置に電圧を出力するメイン電源生成回路と、上記メイン演算処理装置を監視し、上記メイン演算処理装置の動作異常を検出するマイコン監視回路と、上記メイン電源生成回路の電圧を監視し、上記メイン電源生成回路の電圧が適正電圧範囲より低い低圧電圧異常及び上記適正電圧範囲より高い高圧電圧異常を検出する電圧監視回路とを有し、
上記車両の動作を特定モードに移行させるための特定モード移行指令が上記第１の制御指令部及び上記第２の制御指令部に入力されたときに、上記第１の制御指令部のメイン演算処理装置又は上記第２の制御指令部のメイン演算処理装置に動作異常が発生している場合、又は、上記第１の制御指令部のメイン電源生成回路又は上記第２の制御指令部のメイン電源生成回路に低圧電圧異常又は高圧電圧異常が発生している場合は、上記第１の制御指令部及び上記第２の制御指令部が上記特定モードに移行することを禁止し、
上記特定モード移行指令が上記第１の制御指令部及び上記第２の制御指令部に入力されたときに、上記第１の制御指令部のメイン演算処理装置及び上記第２の制御指令部のメイン演算処理装置が正常であり、かつ上記第１の制御指令部のメイン電源生成回路及び上記第２の制御指令部のメイン電源生成回路が正常であり、その後、上記第１の制御指令部のメイン演算処理装置のメイン演算処理装置又はメイン電源生成回路に異常が発生している場合は、上記第1の通信回路の出力を無効にし、上記第２の制御指令部のメイン演算処理装置及びメイン電源生成回路に異常が発生していないときのみ、上記第２の通信回路を介して上記車両の動作制御部に、上記第２の制御指令部から制御指令信号を出力することを特徴とする車両制御装置。
請求項１に記載の車両制御装置において、
上記特定モード移行指令は、上記車両の操作者からの入力に基づいて生成されることを特徴とする車両制御装置。
請求項１に記載の車両制御装置において、
上記特定モードは、自動運転制御モードであることを特徴とする車両制御装置。
請求項３に記載の車両制御装置において、
車両の外界を認識するための外界認識センサを備え、
上記第１の制御指令部及び上記第２の制御指令部のそれぞれは、上記外界認識センサからのセンサ情報が供給されるサブ通信回路と、このサブ通信回路を介して上記外界認識センサからのセンサ情報が供給され、外界の状況を認識するサブ演算処理装置と、このサブ演算処理装置に電圧を出力するサブ電源生成回路と、上記メイン演算処理装置の内部に形成され、上記サブ演算処理装置の動作及び上記サブ電源生成回路の電圧を監視する監視部とを有し、
上記車両が自動運転制御モードに入った後に、上記監視部が上記サブ演算処理装置に異常が発生したことを検出したときは、少なくとも、上記第１の通信回路の出力を無効にすることを特徴とする車両制御装置。
請求項１に記載の車両制御装置において、
上記特定モード移行指令が上記第１の制御指令部及び上記第２の制御指令部に入力されたときに、上記第１の制御指令部のメイン演算処理装置及び上記第２の制御指令部のメイン演算処理装置が正常であり、かつ上記第１の制御指令部のメイン電源生成回路及び上記第２の制御指令部のメイン電源生成回路が正常であり、その後、上記第１の制御指令部のメイン演算処理装置のメイン演算処理装置又はメイン電源生成回路に異常が発生している場合は、上記第1の通信回路の出力を無効にし、上記第１の通信回路の受信は有効とすることを特徴とする車両制御装置。
請求項１、２、３、４、５のうちのいずれか一項に記載の車両制御装置において、
上記第１の制御指令部と上記第２の制御指令部は、それぞれ、別箇の電子制御装置として形成されていることを特徴とする車両制御装置。
請求項１、２、３、４、５のうちのいずれか一項に記載の車両制御装置において、
上記第１の制御指令部と上記第２の制御指令部は、一つの電子制御装置内に形成されていることを特徴とする車両制御装置。