JP6777761B2 - 車両制御装置 - Google Patents

Description

本発明は、自動運転システムにおける車両制御装置に関する。

車両の自動運転システムにおいて、自動運転の動作を制御するＥＣＵ（Ｅｌｅｃｔｒｏｎｉｃ Ｃｏｎｔｒｏｌ Ｕｎｉｔ）のマイコンの電源電圧の異常や、このマイコンの動作異常が検知された場合には、その後の適切な処理が考えられている。

特許文献１には、車両制御装置のマイコンの動作が正常な状態であって、このマイコンの電源電圧が適正範囲から外れているときには、複数のアクチュエータ制御装置の制御機能を部分的に制限する車両の制御装置が開示されている。

また、特許文献２には、現用系の処理回路と待機系の処理回路を備え、現用系の処理回路で制御を行う一方で、現用系の処理回路の動作を監視し、現用系の処理回路に異常が検出されたときに、異常が検出された現用系の処理回路に代わって待機系の処理回路が制御を行う車両の制御装置が開示されている。

特開２０１５−９３４９８号公報 特開２０１６−６０４１３号公報

自動運転システムは、例えば、制御指令を出力する車両制御装置と、車両制御装置からの制御指令に基づいてエンジン制御、ブレーキ制御、パワーステアリング制御などをそれぞれに実施する複数のアクチュエータ制御装置とで構成される。

ここで、自動運転システムにおいては、機能安全上から、演算処理装置（マイコン）の電源電圧の低圧異常と共に高圧異常についても検知してフェール処理を実施することが望まれるが、電源電圧の異常に対して一律に演算処理装置を停止（リセット）させるなどの処理を実施した場合、自動運転システムの機能が停止することになる。

しかし、自動運転システムの機能が動作中に突然停止すると、車両搭乗者が車両の運転を引き継ぐ必要があるが、車両搭乗者が運転を引き継ぐまでの時間が生じるため、車両システムによる制御補間が必要であり、そのための技術が要求されるという課題が生じる。

上記課題を解決する手段として、特許文献１には、マイコンの動作が正常な状態でマイコンの電源電圧が適正範囲から外れている場合の制御についての記載があるが、マイコンの電源電圧が適正範囲から外れた場合には、マイコン演算機能の信頼性への影響が懸念され、適切な動作制御が困難となる可能性があるといった問題がある。

また、特許文献２に記載の車両制御装置は、現用系の処理回路に異常が発生した場合に、冗長系である待機系の処理回路にて制御を継続する方法について提案している。

しかしながら、現用系の処理回路と待機系の処理回路でそれぞれのマイコンで同期処理がされていないと、現用系から待機系に制御が移行する際に、それら２つの処理回路から出力する急激な制御ギャップが発生し、シームレスな自動運転制御が困難となる可能性が考えられる。

本発明は、上記問題点に鑑みなされたものであり、その目的は、車両制御装置における演算処理装置の動作に異常が発生した場合においても、安全性の向上が可能な車両制御装置を実現することである。

上記目的を達成するため、本発明は次のように構成される。

車両制御装置において、車両の制御計画を生成し、送信する制御計画生成部と、上記制御計画生成部から送信された上記車両の制御計画に基づいて車両の動作を制御する車両動作制御装置に、第１動作制御指令を生成して出力する第１制御指令生成部と、上記制御計画生成部から送信された上記車両の上記制御計画に基づいて上記車両の上記動作を制御する上記車両動作制御装置の第２動作制御指令を生成し、上記第１制御指令生成部が正常か異常かを判定し、上記第１制御指令生成部の異常時には、上記第１制御指令生成部に代わって上記車両動作制御装置に上記第２動作制御指令を出力する第２制御指令生成部と、上記第１制御指令生成部と上記第２制御指令生成部の、上記第１動作制御指令及び上記第２動作制御指令の処理タイミングを同期させる処理タイミング同期部と、上記第１制御指令生成部に電源電圧を出力する第１電源生成回路と、上記第２制御指令生成部に電源電圧を出力する第２電源生成回路と、上記第１電源生成回路の異常の有無を検出する第１電源監視回路と、上記第２電源生成回路の異常の有無を検出する第２電源監視回路と、を備える。

上記車両制御装置において、上記第１制御指令生成部の上記第１動作制御指令の出力頻度及び上記第２制御指令生成部の上記第２動作制御指令の出力頻度は、上記制御計画生成部の上記車両の制御計画の出力頻度より高く、上記第１電源監視回路が上記第１電源生成回路の異常を検出すると、上記第１制御指令生成部はリセットされ、上記第２制御指令生成部は、上記第１制御指令生成部に代わって上記車両動作制御装置を制御するため、上記第２動作制御指令を上記車両動作制御装置に出力し、上記第２電源監視回路が上記第２電源生成回路の異常を検出すると、上記第２制御指令生成部はリセットされる。

本発明によれば、車両制御装置における演算処理装置の動作に異常が発生した場合においても、安全性の向上化が可能な車両制御装置を実現することができる。

本発明が適用される車両に備えられる自動運転システムの概略構成図である。 実施例１における自律走行制御部の内部構成を示す図である。 実施例１におけるマイコン間の処理タイミングを示したタイミングチャートである。 実施例１におけるパワーステアリング制御部（第５ＥＣＵ）１５の内部処理を説明する概念図である。 実施例１におけるマイコンによる異常検出の変形例の説明図である。 実施例１におけるマイコンの異常を検出ならびに外部ＥＣＵ（制御装置）に異常を通知するフローである。 実施例２における監視回路によるマイコン異常検出の説明図である。 実施例３におけるマイコンの異常検出ならびに制御指令出力を切り替えるフローである。

以下、本発明の実施形態について添付図面を参照して説明する。

（実施例１）
本発明の実施例１では、制御計画生成部と第２制御指令生成部により第１制御指令生成部が正常か異常かを判定し、異常時にはその結果である異常信号をアクチュエータ制御装置に出力し、アクチュエータ制御装置にて第１制御指令生成部が出力する制御指令から、第２制御指令生成部が出力する制御指令に切り替える例を示す。

図１は、本発明が適用される車両に備えられる自動運転システムの概略構成図である。図１において、自動運転システムは、車両の外界状況を認識するための外界認識センサである、カメラ情報を出力するカメラ（第１センサ）１と、レーダ情報を出力するレーダ（第２センサ）２と、自車位置情報を出力する自車位置センサ（第３センサ）３と、自動運転を設定するための自動運転設定部４と、を備える。

さらに、自動運転システムは、自律走行制御部（第１ＥＣＵ）１１と、ブレーキ制御部（第３ＥＣＵ）１３と、エンジン制御部（第４ＥＣＵ）１４と、パワーステアリング制御部（第５ＥＣＵ）１５とを備える。

カメラ１、レーダ２、自車位置センサ３、自律走行制御部１１、ブレーキ制御部１３、エンジン制御部１４、パワーステアリング制御部１５は、車載ネットワーク（例えば、ＣＡＮ（Controller Area Network、コントローラエリアネットワーク）やＥｔｈｅｒｎｅｔ（登録商標）、等）によって相互に通信可能となるように接続される。

ブレーキ制御部１３は、車両のブレーキ制御（制動力制御）を行う制御装置であり、エンジン制御部１４は、車両の駆動力を発生するエンジンを制御する制御装置である。また、パワーステアリング制御部１５は、車両のパワーステアリングを制御する制御装置である。これらブレーキ制御部１３、エンジン制御部１４、及びパワーステアリング制御部１５は、車両の動作を制御する動作制御指令部である。

自車位置センサ３は、ＧＰＳ（Ｇｌｏｂａｌ Ｐｏｓｉｔｉｏｎｉｎｇ Ｓｙｓｔｅｍ）などの測位用衛星からの電波を用いて、自車両の位置を取得する装置である。自車位置センサ３は、取得した自車位置情報を自律走行制御部１１に出力する。

なお、自車位置センサ３は、ＧＰＳ以外の測位システムを用いて自車位置情報を取得しても良い。

また、自車位置センサ３内部には、自動運転で使用する地図データを保持するメモリを有しており、道路の道幅、車線数、勾配、カーブの曲率、交差点の形状、制限速度情報などの地図データが格納される。

なお、地図データは自律走行制御部１１内部に格納されていても良い。

自動運転設定部４は、車両の搭乗者が自動運転時の目的地、ルート、走行速度などを設定する装置である。自動運転設定部４は、搭乗者が設定を行うための入力装置（図示せず）を有する。

この入力装置には、例えば、ボタンやタッチパネルといった物理的な入力装置、カメラや赤外線を用いたジェスチャ入力装置、音声入力装置などが該当する。

自動運転設定部４は、入力装置を介して搭乗者が入力した情報を自動走行制御部１１に出力する。

ここで、自律走行制御部１１が、自動運転設定部４により自動運転の要求を受け付けると、カメラ１、レーダ２、自車位置センサ３など外界の情報を基に車両が移動する軌道を算出し、自律走行制御部１１は、前述したルート通りに車両を移動させるように、ブレーキや駆動力などの制御指令を、ブレーキ制御部１３、エンジン制御部１４、及びパワーステアリング制御部１５に出力する。

ブレーキ制御部１３、エンジン制御部１４、パワーステアリング制御部１５は、自律走行制御部１１から自動走行制御の制御指令を受けて、各制御対象（アクチュエータ）に操作信号を出力する。

図２は、自律走行制御部（第１ＥＣＵ）１１の内部構成を示す図である。

図２において、自動運転の走行制御装置である自律走行制御部１１は、３つのマイコンであるマイコン１０ｂ（制御計画生成部（演算処理装置））と、マイコン１１ｂ（第１制御指令生成部（演算処理装置））と、マイコン１２ｂ（第２制御指令生成部（演算処理装置））とを有している。

そして、それぞれのマイコン１０ｂ、１１ｂ、１２ｂに対応して、電源生成１０ａ、電源生成１１ａ、電源生成１２ａと、通信回路１０ｃ、通信回路１１ｃ、通信回路１２ｃを備えている。

図２において、自律走行制御部１１は３つのマイコンであるマイコン１０ｂと、マイコン１１ｂと、マイコン１２ｂとを有しているが、例えば、自律走行制御部１１内にマイコン１０ｂとマイコン１１ｂを有し、マイコン１２ｂを自律走行制御部１１以外の制御部に配置しても良い。

なお、自律走行制御部１１内にマイコン１１ｂとマイコン１２ｂとを配置し、マイコン１０ｂを自律走行制御部１１以外の制御部に配置する構成としても良い。

電源生成回路１０ａ、電源生成回路１１ａ、及び電源生成回路１２ａは、車両に搭載されたバッテリ１９と接続され、バッテリ電圧ＶＢ（例えば１２Ｖ）をママイコン１０ａ、マイコン１１ｂ、及びマイコン１２ｂの定格電源電圧（例えば５Ｖ）にまで低下させて、マイコン１０ａ、マイコン１１ｂ、及びマイコン１２ｂの電源電圧Ｖｃｃとして出力する回路である。

マイコン１０ｂには、通信回路１０ｃを介して、外界センサである、カメラ１（第１センサ）、レーダ２（第２センサ）、および自車位置センサ３（第３センサ）からセンサ情報が伝達される。マイコン１０ｂは伝達されたセンサ情報に基づいて外界の状況を認識し、車両が移動する軌道情報を生成する。

そして、マイコン１０ｂは、生成した軌道情報を、通信ライン１０ｅを介してマイコン１１ｂに送信する。また、マイコン１０ｂは、生成した軌道情報を、通信ライン１０ｆを介してマイコン１２ｂに送信する。

それぞれのマイコン１１ｂとマイコン１２ｂとは、通信回路１１ｃと通信回路１２ｃとを介し、外部から（図示していない）車輪速センサ、加速度センサ、ヨーレートセンサ等の情報を、外部ＥＣＵ（制御装置）から受信しており、それら情報とマイコン１０ｂから受信する軌道情報とに基づいて、ブレーキ制御部（第３ＥＣＵ）１３、エンジン制御部（第４ＥＣＵ）１４、パワーステアリング制御部（第５ＥＣＵ）１５に、それぞれのアクチュエータ制御指令を生成し送信する。

なお、マイコン１０ｂ、マイコン１１ｂと、マイコン１２ｂは、各々の水晶発振子（図示していない）が接続されており、それぞれ個体差である発振周波数ばらつき誤差を持っているため、時間の経過により誤差時間が累積し、それぞれのマイコン処理タイミングにズレが生じてしまう。

ここで、マイコン１１ｂ、マイコン１２ｂは、処理タイミングを同期させるための処理タイミング同期部（同期部１）１１ｄと、処理タイミング同期部（同期部２）１２ｄと、を有している。

マイコン１０ｂからの軌道情報が通信ライン１０ｅ、１０ｆを介してマイコン１１ｂ、マイコン１２ｂに入力されると、このタイミングが同期部１１ｄ、同期部１２ｄに同期信号として取り込まれ、マイコン１１ｂ、マイコン１２ｂがそれぞれアクチュエータへの制御指令の演算処理を開始し、マイコン１１ｂとマイコン１２との処理タイミングが互いに同期する。

一方、マイコン１１ｂは、アクチュエータ制御指令を生成し、通信回路１１ｃを介してブレーキ制御部１３、エンジン制御部１４、及びパワーステアリング制御部１５に送信すると共に、アクチュエータ制御指令をマイコン１１ｂの正常性判断のために通信ライン１１ｆを介してマイコン１２ｂにも送信する。

マイコン１１ｂからのアクチュエータ制御指令が通信ライン１１ｆを介してマイコン１２ｂに入力されると、このタイミングで同期部１２ｄに同期信号として取り込まれ、次のアクチュエータへの制御指令の演算処理を開始し、マイコン１１ｂの制御指令演算処理の処理タイミングが互いに同期する。

図３は、マイコン１０ｂ、マイコン１１ｂ、マイコン１２ｂの処理タイミングを示したタイミングチャートである。

図３において、時点ｔ０は、マイコン１０ｂが軌道情報をマイコン１１ｂ及びマイコン１２ｂに双方に送信し、このタイミングでマイコン１１ｂ及び１２ｂ双方の処理タイミングが同期する。

マイコン１１ｂとマイコン１２ｂとは、通信回路１１ｃと通信回路１２ｃとをそれぞれ介して、外部から（図示していない）車輪速センサ、加速度センサ、ヨーレートセンサ等の情報を、外部ＥＣＵ（制御装置）から受信しているが、マイコン１０ｂが生成する軌道情報の受信に対し、受信頻度が高いものとなっている。

それら車輪速センサ、加速度センサ、ヨーレートセンサ等の情報とマイコン１０ｂから受信する軌道情報を基に、ブレーキ制御部１３、エンジン制御部１４、パワーステアリング制御部１５に、それぞれのアクチュエータ制御指令を生成し送信している。

そして、マイコン１０ｂが生成する軌道情報の出力頻度に対し、マイコン１１ｂ、マイコン１２ｂによるアクチュエータへの制御指令の出力頻度は高く、時点ｔ１、ｔ２、ｔ３といったタイミングで、正常性判断のためにマイコン１１ｂからマイコン１２ｂに制御指令が送信され、このタイミングでも双方の処理タイミングが同期する。

その後、マイコン１０ｂが軌道情報をマイコン１１ｂ及びマイコン１２ｂに双方に送信すると、このタイミングでマイコン１１ｂ及び１２ｂ双方の処理タイミングが同期し、正常性判断のためにマイコン１１ｂからマイコン１２ｂに制御指令が送信される。この制御指令の送信タイミングでもマイコン１１ｂ及びマイコン１２ｂ双方の処理タイミングが同期する。

図４は、マイコン１１ｂ、マイコン１２ｂの双方からアクチュエータへの制御指令を送信する構成における第５ＥＣＵ（パワーステアリング制御部）１５の内部処理を説明する概念図である。

図４において、自律走行制御部（第１ＥＣＵ）１１のマイコン１１ｂとマイコン１２ｂは、双方からそれぞれのマイコンで演算したアクチュエータの制御指令１１ｇ（制御指令１）と制御指令１２ｇ（制御指令２）をパワーステアリング制御部（第５ＥＣＵ）１５に送信する。

また、マイコン１２ｂは、以降で説明する方法を用いてマイコン１１ｂの正常・異常判定を行い、その結果としてマイコン１１ｂの異常信号１２ｈを第５ＥＣＵ（パワーステアリング制御部）１５に送信する。

第５ＥＣＵ（パワーステアリング制御部）１５はその内部に制御指令切り替え部１５ｋを備え、正常時はマイコン１１ｂからの制御指令１１ｇを基にアクチュエータ制御を行うが、マイコン１２ｂから送信されるマイコン１１ｂの正常・異常信号１２ｈにより異常であることを示す信号の受信時は、制御指令１２ｇに切り替えて、マイコン１２ｂからの制御指令２に従ってアクチュエータ制御を行う。

刻々と変化する外界センサ情報（カメラ１、レーダ２、自車位置センサ３の情報）を基に、マイコン１１ｂとマイコン１２ｂ双方の処理タイミングでアクチュエータへの制御指令を演算・更新している。

ここで、前述した処理タイミングの同期手法により、それぞれのマイコン１１ｂ、１２ｂから出力されるアクチュエータへの制御指令の差分が低減するため、制御切り替え時の制御ギャップによって発生する車両挙動を抑制することができる。

なお、図４についての説明は、第５ＥＣＵ１５を例として記載したが、第５ＥＣＵ１５についての処理と同一の処理が第３ＥＣＵ１３や第４ＥＣＵ１４にも適用される。

図５は、図２に示した例の変形例であり、マイコン１０ｂとマイコン１２ｂによりマイコン１１ｂの異常を検出する回路の説明図である。

図５において、マイコン１０ｂとマイコン１１ｂは、例えば、ＳＰＩ通信などの通信ライン１０ｑを備え、相互に通信可能となるよう接続されている。マイコン１０ｂは、通信ライン１０ｑを用いてマイコン１１ｂに質問情報を送信する。 マイコン１１ｂは、受信した質問情報の回答情報をマイコン１０ｂに返信する。マイコン１０ｂは、回答の期待値とマイコン１１ｂからの実際の返信値とを比較することでマイコン１１ｂの正常・異常判定を行う。

図６は、マイコン１０ｂとマイコン１２ｂによりマイコン１１ｂの異常を検出するフローの説明図である。

図６において、ステップＳ００にて、マイコン１１ｂと１２ｂとが、通信ライン１０ｅ、１０ｆを介してマイコン１０ｂから軌道（制御計画）情報を受信する。

その後、ステップＳ０１にてマイコン１１ｂとマイコン１２ｂそれぞれのマイコンにおいて車輪速センサ、加速度センサ、ヨーレートセンサ等の情報とマイコン１０ｂから受信する軌道情報に基づいてアクチュエータへの制御指令を演算する。

そして、ステップＳ０２にて、マイコン１１ｂで演算した制御指令を、マイコン１１ｂからマイコン１２ｂに送信する。

その後、ステップＳ０３において、マイコン１２ｂにてマイコン１１ｂとマイコン１２ｂ、それぞれのアクチュエータへの制御指令を比較し、あるクライテリア以上の差異がある場合には、異常判定する。クライテリア以上の差が無い場合は、問題ないため何ら処理は行わない。

刻々と変化する外界センサ情報に基づいて、マイコン１１ｂ及びマイコン１２ｂ双方の処理タイミングでアクチュエータへの制御指令を演算・更新しているが、前述した処理タイミングの同期手法により、それぞれのマイコン１１ｂ及び１２ｂから出力されるアクチュエータへの制御指令差分が低減するため、前記クライテリアは低い値が設定可能となり、精度の高い正常・異常判定が可能となる。

一方、図５で示したマイコン１０ｂによるマイコン１１ｂの監視結果が異常であり、かつマイコン１２ｂがマイコン１１ｂについて異常判定したというアンド条件が成立した場合（ステップＳ０４）には、ステップＳ０５にてマイコン１２ｂから、図４で示したマイコン１２ｂの異常信号１２ｈを第３ＥＣＵ１３、第４ＥＣＵ１４、第５ＥＣＵ１５などの外部ＥＣＵ（制御装置）に通知する。

これを受けて外部ＥＣＵは、制御指令切替え部１５ｋにより、マイコン１１ｂの出力する制御指令１１ｇから、マイコン１２ｂの出力する制御指令１２ｇに切り替えてアクチュエータ制御を継続する。

なお、マイコン１０ｂによるマイコン１１ｂの異常判断結果は、図示しない通信線により、マイコン１２ｂに通信してもよいし、通信ライン１０ｆによりマイコン１２ｂに通信することも可能である。

以上のように、本発明の実施例１によれば、マイコン１２ｂは、通信ライン１１ｆを介してマイコン１１ｂから送信された軌道情報を同期信号として取り込み、アクチュエータへの制御指令演算を行うように構成したので、マイコン１１ｂの演算処理とマイコン１２ｂの演算処理とを同期化させることができる。

そして、マイコン１２ｂは、マイコン１１ｂと同等の演算を行い、演算した結果をマイコン１１ｂの演算結果と比較することにより、マイコン１１ｂが異常か否かを正確に判断することができ、その判断に基づいて、マイコン１１ｂに異常が発生した場合は、マイコン１１ｂの演算処理と同期して演算を行っていたマイコン１２ｂが演算した制御指令に切り替えてアクチュエータを制御するので、急激な制御ギャップが発生することなく、シームレスな自動運転制御を行うことができ、安全性の向上が可能な車両制御装置を実現することができる。

マイコン１１ｂに異常が発生したか否かの判断を、マイコン１２ｂのみならず、マイコン１０ｂも行い、両者が共にマイコン１１ｂに異常が発生したと判断した場合に、異常処理を行うように構成すれば、自動運転制御の信頼性をさらに向上することができる。

なお、マイコン１１ｂの処理タイミングとマイコン１２ｂの処理タイミングとを、マイコン１１ｂからマイコン１２ｂに送信されるアクチュエータ制御指令を利用して同期するように構成したが、アクチェータ制御指令とは別個の同期信号をマイコン１１ｂからマイコン１２ｂに送信するように構成してもよい。

また、マイコン１０ｂからマイコン１１ｂ及びマイコン１２ｂに送信される起動情報に、マイコン１１ｂの処理タイミングとマイコン１２ｂの処理タイミングとを、同期させる同期信号を含ませるように構成することもできる。

（実施例２）
次に、本発明の実施例２について説明する。

図７は、本実施例２における自律走行制御部（第１ＥＣＵ）１１の内部構成を示す図である。なお、自動運転システムの概略構成は図１に示した例と同様となっている。

図７に示した例は、図２に示した構成に、マイコン１１ｂを監視するマイコン監視回路１１ｍ（マイコン監視１）と、電源生成回路１１ａを監視する電源監視回路１１ｎ（電源監視１）と、オアゲート１１ｐと、マイコン１２ｂを監視するマイコン監視回路１２ｍ（マイコン監視２）と、電源生成回路１２ａを監視する電源監視回路１２ｎ（電源監視２）と、オアゲート１２ｐとが追加されている。他の構成は、図７の例と図２に例とは同等となっている。

本実施例２では、マイコン監視回路１１ｍと第２の制御指令生成部であるマイコン１２ｂの監視機能により第１の制御指令生成部であるマイコン１１ｂの正常・異常を判定し、マイコン１１ｂの異常時にはアクチュエータへの制御指令出力を第１の制御指令生成部（マイコン１１ｂ）から第２の制御指令生成部（マイコン１２ｂ）へ切り替える例である。

図７において、電源監視回路１１ｎ及び電源監視回路１２ｎは、電源生成回路１１ａと電源生成回路１２ａが出力する電源電圧Ｖｃｃを、それぞれ監視し、電源電圧Ｖｃｃに異常（動作状態異常）が発生しているか否かを検出する。

詳細に説明すると、電源監視回路１１ｎと電源監視回路１２ｎとは、適正電圧範囲よりも電源電圧Ｖｃｃが低くなる低電圧異常の有無、および、適正電圧範囲よりも電源電圧Ｖｃｃが高くなる高電圧異常の有無を検出し、監視結果をＯＲゲート１１ｐ及びＯＲゲート１２ｐの、それぞれの第１の入力端子に出力する。

マイコン監視回路１１ｍとマイコン監視回路１２ｍは、例えば、マイコン１１ｂとマイコン１２ｂとが出力するプログラムラン信号などからマイコン１１ｂとマイコン１２ｂとの動作状態を監視する回路であり、監視結果をＯＲゲート１１ｐ及びＯＲゲート１２ｐのそれぞれの第２の入力端子に出力する。

ＯＲゲート１１ｐには、電源監視回路１１ｎの監視結果とマイコン監視回路１１ｍの監視結果が入力され、いずれかの監視結果で異常判定した場合は、ＯＲゲート１１ｐから異常信号を出力する。ＯＲゲート１１ｐの出力はマイコン１１ｂのリセット端子１１ｒに接続され、電源監視回路１１ｎで異常判定した場合はマイコン１１ｂをリセットする。

マイコン１１ｂがリセットすると、マイコン１１ｂから出力するアクチュエータへの制御指令値が演算されず出力停止となる。

同様に、ＯＲゲート１２ｐには、電源監視回路１２ｎの監視結果とマイコン監視回路１２ｍの監視結果が入力され、いずれかの監視結果で異常判定した場合は、ＯＲゲート１２ｐから異常信号を出力する。ＯＲゲート１２ｐの出力はマイコン１２ｂのリセット端子１２ｒに接続され、電源監視回路１２ｎで異常判定した場合はマイコン１２ｂをリセットする。マイコン１２ｂがリセットすると、マイコン１２ｂから出力するアクチュエータへの制御指令値が演算されず出力停止となる。

一方、ＯＲゲート１１ｐの出力はマイコン１２ｂのＩ／Ｏ端子１２ｓにも接続されており、仮にマイコン１１ｂが異常となった場合には、マイコン１２ｂ側でマイコン１１ｂの異常をモニタできる。

マイコン１２ｂはマイコン１１ｂの異常を検知すると、図４で示したマイコン１１ｂ異常信号１２ｈを第３ＥＣＵ１３、第４ＥＣＵ１４、第５ＥＣＵ１５などの外部ＥＣＵ（制御装置）に通知する。

これを受けて外部ＥＣＵ（車両動作制御装置）はマイコン１１ｂの出力する制御指令１１ｇから、マイコン１２ｂの出力する制御指令１２ｇに切り替えてアクチュエータ制御を継続する。

本実施例２の他の動作は、実施例１と同様である。

以上のように、本発明の実施例２によれば、実施例１と同様に、マイコン１２ｂは、通信ライン１１ｆを介してマイコン１１ｂから送信された軌道情報を同期信号として取り込み、アクチュエータへの制御指令演算を行うように構成したので、マイコン１１ｂ演算処理とマイコン１２ｂの演算処理とを同期化させることができる。

そして、マイコン１２ｂは、マイコン１１ｂが異常か否かを正確に判断して、マイコン１１ｂに異常が発生した場合は、マイコン１２ｂが演算した制御指令に切り替えてアクチュエータを制御するので、急激な制御ギャップが発生することなく、シームレスな自動運転制御を行うことができ、安全性の向上が可能な車両制御装置を実現することができる。

さらに、本発明の実施例２によれば、マイコン１１ｂ及びマイコン１２ｂの電源生成回路１１ａ及び１２ａを電源監視回路１１ｎ及び電源監視回路１２ｎにより監視すると共に、マイコン１１ｂ及びマイコン１２ｂをマイコン監視回路１１ｍ及びマイコン監視回路１２ｍにより監視し、いずれかに異常が発生した場合に、異常処理を行うように構成したので、自動運転制御の信頼性をさらに向上することができる。

なお、この実施例２においては、実施例１と同様に、マイコン１２ｂがマイコン１１ｂの演算結果とマイコン１２ｂの演算結果とを比較し、マイコン１１ｂの正常異常の判断をも行うように構成したが、この正常異常判断を省略し、マイコン１１ｂの正常異常の判断は、マイコン監視回路１１ｍによるもののみとすることも可能である。

（実施例３）
次に、本発明の実施例３について説明する。

本実施例３では、第２の制御指令生成部（マイコン１２ｂ）が、制御計画生成部（マイコン１０ｂ）の出力する軌道（制御計画）とセンサ情報を基に演算する軌跡（車両挙動）を比較し、第１制御指令生成部（マイコン１１ｂ）の正常・異常を判定し、異常時は第１の制御指令生成部の出力する制御指令から第２の制御指令生成部が出力する制御指令に切り替える例である。

ここで、第１センサ１、第２センサ２及び第３センサを総称して車両挙動情報検知部とする。この車両挙動情報検知部が車両の挙動情報を検知し、検知した車両の挙動情報を出力する。

なお、本実施例３における自動運転システムの概略構成は図１に示した例と同様であり、自律走行制御部（第１ＥＣＵ）１１の内部構成は図５に示した例と同様である。

図８は、本発明の実施例３におけるマイコン１０ｂとマイコン１２ｂによりマイコン１１ｂの異常を検出するフローの説明図である。

図８において、ステップＳ１０にて、マイコン１１ｂ及びマイコン１２ｂがマイコン１０ｂから計画軌道（制御計画）情報を受信後、ステップＳ１１にてマイコン１１ｂが制御部であるＥＣＵ１３、１４又は１５を介してアクチュエータ制御装置に制御指令を出力する。

次に、ステップＳ１２にて、制御部であるＥＣＵ１３、１４又は１５が各制御対象（アクチュエータ）に操作信号を出力すると、その結果として車両が移動し、マイコン１２ｂは車輪速センサ、ヨーレートセンサ等のセンサ１、２、３からのセンサ情報を受信する。マイコン１２ｂは、センサ情報の変動量を基に、その車両が描く軌跡を演算する。

そして、ステップＳ１３にて、マイコン１２ｂが演算した軌跡とマイコン１０ｂからの計画軌道（制御計画）を比較する。そして、その差異があるクライテリア未満の場合には、正常と判断し、マイコン１１ｂからの制御指令の出力を行う。

ステップＳ１３にて、差異が上記クライテリア以上の場合には、異常であると判定する。

一方、図５で示したマイコン１０ｂによるマイコン１１ｂの監視結果が正常である場合には、マイコン１１ｂからの制御を継続するが、マイコン１０ｂによるマイコン１１ｂの監視結果が異常でかつ計画軌道と軌跡の比較結果も異常である場合には、ステップＳ１５にてマイコン１２ｂからの制御出力に切り替える。

以上のように、本発明の実施例３によれば、実施例１と同様に、マイコン１２ｂは、通信ライン１１ｆを介してマイコン１１ｂから送信された軌道情報を同期信号として取り込み、アクチュエータへの制御指令演算を行うように構成したので、マイコン１１ｂ演算処理とマイコン１２ｂの演算処理とを同期化させることができる。

さらに、本発明の実施例３によれば、マイコン１１ｂが正常か異常かを、マイコン１１ｂが演算した制御指令による実際の車両の動作が、マイコン１２ｂが車輪速センサ等から演算した車両動作と比較して判断し、マイコン１０ｂによるマイコン１１ｂの正常異常判断と併せて、マイコン１１ｂの正常異常を判断するように構成したので、急激な制御ギャップが発生することなく、シームレスな自動運転制御を行うことができ、安全性の向上が可能な車両制御装置を実現することができる。

なお、図４に示した例では、制御指令切替え部１５ｋは、第５ＥＣＵ１５を代表として各ＥＣＵ１３〜１５に配置するように構成したが、各ＥＣＵ１３〜１５内ではなく、第１ＥＣＵ（自律走行制御部）１１内に配置することも可能である。

１・・・カメラ（第１センサ）、 ２・・・レーダ（第２センサ）、 ３・・・自車位置センサ（第３センサ）、 ４・・・自動運転設定部、 １０ａ、１１ａ、１２ａ・・・電源生成回路、 １０ｂ・・・制御計画生成部（演算処理装置（マイコン））、 １０ｃ、１１ｃ、１２ｃ・・・通信回路、 １０ｅ、１０ｆ・・・通信ライン、 １１・・・自律走行制御部、 １１ｂ、１２ｂ・・・制御指令生成部（演算処理装置（マイコン））、 １１ｄ、１２ｄ・・・同期部、 １１ｍ、１２ｍ・・・マイコン監視回路、 １１ｎ、１２ｎ・・・電源監視回路、 １１ｐ、１２ｐ・・・オアゲート、 １３・・・ブレーキ制御部（第３ＥＣＵ）、 １４・・・エンジン制御部（第４ＥＣＵ）、 １５・・・パワーステアリング制御部（第５ＥＣＵ）、 １５ｋ・・・制御指令切替え部、 １９・・・バッテリ

Claims (13)

1. 車両の制御計画を生成し、送信する制御計画生成部と、
   上記制御計画生成部から送信された上記車両の制御計画に基づいて車両の動作を制御する車両動作制御装置に、第１動作制御指令を生成して出力する第１制御指令生成部と、
   上記制御計画生成部から送信された上記車両の上記制御計画に基づいて上記車両の上記動作を制御する上記車両動作制御装置の第２動作制御指令を生成し、上記第１制御指令生成部が正常か異常かを判定し、上記第１制御指令生成部の異常時には、上記第１制御指令生成部に代わって上記車両動作制御装置に上記第２動作制御指令を出力する第２制御指令生成部と、
   上記第１制御指令生成部と上記第２制御指令生成部の、上記第１動作制御指令及び上記第２動作制御指令の処理タイミングを同期させる処理タイミング同期部と、
   上記第１制御指令生成部に電源電圧を出力する第１電源生成回路と、
   上記第２制御指令生成部に電源電圧を出力する第２電源生成回路と、
   上記第１電源生成回路の異常の有無を検出する第１電源監視回路と、
   上記第２電源生成回路の異常の有無を検出する第２電源監視回路と、
   を備え、
   上記第１制御指令生成部の上記第１動作制御指令の出力頻度及び上記第２制御指令生成部の上記第２動作制御指令の出力頻度は、上記制御計画生成部の上記車両の制御計画の出力頻度より高く、
   上記第１電源監視回路が上記第１電源生成回路の異常を検出すると、上記第１制御指令生成部はリセットされ、上記第２制御指令生成部は、上記第１制御指令生成部に代わって上記車両動作制御装置を制御するため、上記第２動作制御指令を上記車両動作制御装置に出力し、
   上記第２電源監視回路が上記第２電源生成回路の異常を検出すると、上記第２制御指令生成部はリセットされることを特徴とする車両制御装置。
2. 請求項１に記載の車両制御装置において、
   上記制御計画生成部は、上記第１制御指令生成部及び上記第２制御指令生成部に同期信号を送信し、上記同期信号に基づき、上記処理タイミング同期部が、上記第１制御指令生成部及び上記第２制御指令生成部の上記第１動作制御指令と上記第２動作制御指令の処理タイミングを同期させることを特徴とする車両制御装置。
3. 請求項２に記載の車両制御装置において、
   上記同期信号は、上記制御計画生成部が送信する上記制御計画に含まれ、
   上記制御計画生成部から送信された上記制御計画に基づき、上記第１制御指令生成部と上記第２制御指令生成部の上記第１動作制御指令と上記第２動作制御指令の処理タイミングが同期することを特徴とする車両制御装置。
4. 請求項１に記載の車両制御装置において、
   上記第１制御指令生成部は、上記第２制御指令生成部に同期信号を送信し、上記第２制御指令生成部は、上記第１制御指令生成部から送信された上記同期信号に基づいて、上記第２制御指令生成部の処理タイミングを、上記第１制御指令生成部の処理タイミングと同期させることを特徴とする車両制御装置。
5. 請求項４に記載の車両制御装置において、
   上記第１制御指令生成部は、上記第１制御指令生成部が生成した上記第１動作制御指令を上記第２制御指令生成部に送信し、上記同期信号は、上記第１制御指令生成部が第２制御指令生成部に送信する上記第１動作制御指令に含まれ、当該第１動作制御指令に基づき、上記第１制御指令生成部と上記第２制御指令生成部同士の上記第１動作制御指令の処理タイミングと上記第２動作制御指令の処理タイミングが同期することを特徴とする車両制御装置。
6. 請求項１から請求項５のうちのいずれか一項に記載の車両制御装置において、
   上記第２制御指令生成部は、上記第１制御指令生成部の正常か異常かの判定結果を上記車両動作制御装置に出力することを特徴とする車両制御装置。
7. 請求項１から請求項６のうちのいずれか一項に記載の車両制御装置において、
   上記第１制御指令生成部の動作を監視する監視回路を備え、
   上記第２制御指令生成部が、上記監視回路と上記第２制御指令生成部の双方の監視結果を基に、上記第１制御指令生成部の動作について、正常か異常かを判定することを特徴とする車両制御装置。
8. 請求項１から請求項６のうちのいずれか一項に記載の車両制御装置において、
   上記制御計画生成部は、上記第１制御指令生成部を監視する監視機能を有し、
   上記第２制御指令生成部が、上記制御計画生成部の監視結果及び上記第２制御指令生成部の監視結果を基に、上記第１制御指令生成部の動作について正常か異常かを判定することを特徴とする車両制御装置。
9. 請求項１から請求項８のうちのいずれか一項に記載の車両制御装置において、
   上記第１制御指令生成部は、上記第１制御指令生成部が生成した制御指令を上記第２制御指令生成部に送信し、
   上記第２制御指令生成部は、上記第２制御指令生成部が生成した制御指令と、上記第１制御指令生成部から受信した制御指令とを比較して、上記第１制御指令生成部の動作について、正常か異常かを判定することを特徴とする車両制御装置。
10. 請求項１から請求項８のうちのいずれか一項に記載の車両制御装置において、
    車両の挙動を検知する車両挙動情報検知部を備え、
    上記第２制御指令生成部は、上記車両挙動情報検知部から車両挙動情報を受信し、
    上記第２制御指令生成部は、上記制御計画生成部から送信された上記制御計画と、この車両の制御計画に基づいて制御された車両の挙動とを比較して、上記第１制御指令生成部の動作について、正常か異常かを判定することを特徴とする車両制御装置。
11. 請求項１に記載の車両制御装置において、
    上記第１制御指令生成部は、上記第１制御指令生成部が生成した制御指令を上記第２制御指令生成部に送信し、
    上記第２制御指令生成部は、上記第２制御指令生成部が生成した制御指令と、上記第１制御指令生成部から受信した制御指令とを比較して、上記第１制御指令生成部の動作について、正常か異常かを判定することを特徴とする車両制御装置。
12. 請求項１１に記載の車両制御装置において、
    上記第２制御指令生成部は、上記第１制御指令生成部の動作が正常であると判断した場合、上記第１制御指令生成部が生成した動作制御指令を上記車両動作制御装置に送信し、上記第１制御指令生成部の動作が異常であると判断した場合、上記第２制御指令生成部が生成した動作制御指令を上記車両動作制御装置に送信することを特徴とする車両制御装置。
13. 請求項１１に記載の車両制御装置において、
    上記車両動作制御装置は、上記第１制御指令生成部が生成した動作制御指令から上記第２制御指令生成部が生成した動作制御指令に切り替える制御指令切り替え部を有し、
    上記第２制御指令生成部は、上記第１制御指令生成部の動作が異常であると判断した場合、異常信号を上記制御指令切り替え部に送信し、
    上記制御指令切り替え部は、上記第２制御指令生成部から上記異常信号が送信されたときは、受信する動作指令を、上記第１制御指令生成部が生成した動作制御指令から上記第２制御指令生成部が生成した動作制御指令に切り替えることを特徴とする車両制御装置。

Images