(57)【要約】車両制御装置における制御マイコンに動作異常が発生した場合でも、縮退用の制御マイコンに安全に制御移行することができ、信頼性の高い車両制御装置を実現する。アクチュエータ制御装置に対する制御指令を出力する制御マイコン１１ｂと、制御マイコン１１１ｂに異常が検出された場合に制御を移行する縮退用制御マイコン１２ｂを備える。制御マイコン１１ｂの異常検出時の縮退用制御マイコン１２ｂへの移行の際は、制御マイコン１１ｂの異常を縮退用制御マイコン１２ｂに通知し、縮退用制御マイコン１２ｂの移行必要期間が経過し、縮退制御が開始された後に、制御マイコン１１ｂをリセットする。これにより、制御の空白期間が排除される。
2019131003.tif 000002
【特許請求の範囲】
【請求項１】
車両の駆動装置に第１の制御指令を生成する第１の制御指令生成部と、
上記車両の駆動装置に第２の制御指令を生成する第２の制御指令生成部と、
上記第１の制御指令生成部の動作を監視する監視部と、当該監視部が上記第１の制御指令生成部の異常を検出したときに、上記第２の制御指令生成部に異常通知信号を出力する異常通知信号生成部と、上記第１の制御指令生成部をリセットするリセット信号を出力するリセット生成部とを有する監視回路と、
を備え、
上記異常通知信号生成部が異常通知信号を出力してから、上記第２の制御指令生成部が上記第２の制御指令を生成するための制御移行動作を終了する移行必要時間が経過した後に、上記リセット生成部が上記リセット信号を出力することを特徴とする車両制御装置。
【請求項２】
車両の駆動装置に第１の制御指令を生成する第１の制御指令生成部と、
上記第１の制御指令生成部の動作を監視する監視部と、当該監視部が上記第１の制御指令生成部の異常を検出したときに、第２の制御指令生成部に異常通知信号を出力する異常通知信号生成部と、上記第１の制御指令生成部をリセットするリセット信号を出力するリセット生成部とを有する監視回路と、
を備え、
上記異常通知信号生成部が異常通知信号を出力してから、上記第２の制御指令生成部が上記第２の制御指令を生成するための制御移行動作を終了する移行必要時間が経過した後に、上記リセット生成部が上記リセット信号を出力することを特徴とする車両制御装置。
【請求項３】
請求項１または２に記載の車両制御装置において、
上記異常信号生成部は、上記第１の制御指令生成部に異常が発生してから第１の異常検出時間で上記第２の制御指令生成部に異常通知信号を出力し、
上記リセット生成部は、上記第１の制御指令生成部に異常が発生してから第１の異常検出時間より長い第２の異常検出時間で上記第１の制御指令生成部にリセット信号を出力し、
上記第１の異常検出時間をＴ１、上記第２の異常検出時間をＴ２、上記移行必要時間をＴ３としたとき、Ｔ１とＴ３とを加算した時間はＴ２以下であることを特徴とする車両制御装置。
【請求項４】
請求項３に記載の車両制御装置において、
異常検出回数により設定される判定基準１と、この判定基準１より異常検出回数が大の判定基準２とが設定され、上記第１の異常検出時間を上記判定基準１に対応させ、上記第２の異常検出時間を上記判定基準２に対応させ、上記第１の異常検出時間と上記第２の異常検出時間とに時間差を持たせていることを特徴とする車両制御装置。
【請求項５】
請求項３に記載の車両制御装置において、
上記監視部は、上記第１の制御指令生成部に異常が発生してから上記第１の異常検出時間で上記第１の制御指令生成部に異常が発生したことを検出する第１の監視部と、上記第１の制御指令生成部に異常が発生してから上記第２の異常検出時間で上記第１の制御指令生成部に異常が発生したことを検出する第２の監視部と、を有することを特徴とする車両制御装置。
【請求項６】
請求項５に記載の車両制御装置において、
上記第１の監視部が検出する異常は、上記第２の監視部が検出する異常より、重度のリセット要因であることを特徴とする車両制御装置。
【請求項７】
請求項３から６のうちのいずれか一項に記載の車両制御装置において、
上記第２の制御指令生成部が、上記制御移行動作を終了したことを検出し、移行準備完了信号を上記リセット生成部に出力する制御移行動作終了検出部を、さらに備え、
上記リセット生成部は、上記第２の監視部が上記第１の制御指令生成部に異常が発生したことを検出し、かつ、上記制御移行動作終了検出部から移行準備完了信号が出力されている場合に、上記リセット信号を出力することを特徴とする車両制御装置。
【請求項８】
請求項１から７のうちのいずれか一項に記載の車両制御装置において、
上記第２の制御指令生成部の上記制御移行動作は、上記第１の制御指令生成部の制御データを、上記第２の制御指令生成部に転送する動作であることを特徴とする車両制御装置。
【請求項９】
移動体のアクチュエータ駆動するアクチュエータ制御装置と、
上記アクチュエータ制御装置に第１の制御指令を出力する第１の制御指令生成部と、
上記アクチュエータ制御装置に第２の制御指令を出力する第２の制御指令生成部と、
上記第1の制御指令生成部の異常を監視し、上記第１の制御指令生成部の異常を検出したとき、上記第２の制御指令生成部に異常通知信号を出力する監視回路と、
第１の制御指令生成部をリセットするリセット発生部と、
を備え、上記監視回路が異常通知信号を出力してから、上記第２の制御指令生成部が上記第２の制御指令を生成するための制御移行動作を終了する移行必要時間が経過した後に、上記リセット生成部が上記リセット信号を出力することを特徴とする電子制御システム。
【請求項１０】
請求項９に記載の電子制御システムにおいて、
上記第１の制御指令生成部と上記第２の制御指令生成部とは同一の電子制御ユニットに配置されることを特徴とする電子制御システム。
【請求項１１】
請求項９に記載の電子制御システムにおいて、
上記第１の制御指令生成部と上記第２の制御指令生成部とは、それぞれ別個の電子制御ユニットに配置されることを特徴とする電子制御システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、自動運転システムの車両制御装置および電子制御システムに関する。
【背景技術】
【０００２】
高度な自動運転システムの実現に向け、自動運転を制御する上位の制御装置であるＥＣＵ（Ｅｌｅｃｔｒｏｎｉｃ  Ｃｏｎｔｒｏｌ  Ｕｎｉｔ（電子制御ユニット））には、例えば自動運転制御のための演算を行う演算処理装置（マイコン）に障害が発生したような際においても、ドライバに運転操作を引き渡すまでの一定期間、動作を継続することが求められる。【０００３】
特許文献１には、メイン制御装置のマイコンの動作が正常な状態であって、このマイコンの電源電圧が適正範囲から外れているときには、複数のサブ制御装置の制御機能を部分的に制限する車両の制御装置が開示されている。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開２０１５−９３４９８号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
自動運転システムは、例えば、制御指令を出力する車両制御装置と、車両制御装置からの制御指令に基づいてエンジン制御、ブレーキ制御、パワーステアリング制御などをそれぞれに実施する複数のアクチュエータ制御装置とで構成される。【０００６】
ここで、自動運転システムにおいては、機能安全上から、例えばマイコン内のプログラム暴走を監視するウォッチドックタイマ等、マイコンの動作について診断回路によって監視し、マイコンの異常を検知してフェール処理を実施することが望まれるが、マイコンの異常に対して一律にマイコンを停止（リセット）させるなどの処理を実施した場合、自動運転システムの機能が停止することになる。【０００７】
しかし、自動運転システムの機能が突然停止すると、車両搭乗者が車両の運転を引き継ぐ必要があるが、車両搭乗者が運転を引き継ぐまでの時間が生じるため、車両システムによる制御補間が必要であり、そのための技術が要求される。【０００８】
上記課題を解決する手段として、特許文献１では、マイコンの動作が正常な状態でマイコンの電源電圧が適正範囲から外れている場合の制御について記載があるが、マイコン過負荷などの要因によるマイコン自体の動作異常も考慮する必要があり、マイコンのリセット回避は困難である。【０００９】
また、複数の駆動力源を調停するＥＣＵのマイコンが異常となったとき、それを、駆動源を制御するＥＣＵに適切に通知し、アイドリング走行や緊急停止等を行い、駆動力の異常の発生を防止することが考えられる。【００１０】
しかし、マイコン異常時に外部の駆動動力源を制御するＥＣＵにマイコン異常を通知しても、自車両の外界の状況によっては、制御規模の大きさから適切な制御移行ができない懸念がある。【００１１】
そこで、自動運転システムの動作制御を行う制御マイコンの動作に異常が検知された場合に、制御マイコンから縮退用の制御マイコンに制御を移行する方法が考えられる。【００１２】
しかしながら、縮退用の制御マイコンが異常通知を受信後に制御を切り替えるための、制御の移行時間すなわち制御の空白区間を避けることは困難であり、その制御移行リスクを伴うことになる。【００１３】
また、その制御移行リスクは自車周囲の物体との関係によっても異なるといった問題がある。【００１４】
本発明は、上記問題点に鑑みなされたものであり、その目的は、制御装置における演算処理部に動作異常が発生した場合においても、縮退用の制御マイコンに安全に制御移行することができ、安全性の向上が可能な車両制御装置および電子制御システムを実現することである。
【課題を解決するための手段】
【００１５】
上記目的を達成するため、本発明は次のように構成される。【００１６】
車両制御システムにおいて、車両の駆動装置に第１の制御指令を生成する第１の制御指令生成部と、上記車両の駆動装置に第２の制御指令を生成する第２の制御指令生成部と、上記第１の制御指令生成部の動作を監視する監視部と当該監視部が上記第１の制御指令生成部の異常を検出したときに、上記第２の制御指令生成部に異常通知信号を出力する異常通知信号生成部と上記第１の制御指令生成部をリセットするリセット信号を出力するリセット生成部とを有する監視回路と、を備え、上記異常通知信号生成部が異常通知信号を出力してから、上記第２の制御指令生成部が上記第２の制御指令を生成するための制御移行動作を終了する移行必要時間が経過した後に、上記リセット生成部が上記リセット信号を出力する。【００１７】
また、電子制御システムにおいて、移動体のアクチュエータ駆動するアクチュエータ制御装置と、上記アクチュエータ制御装置に第１の制御指令を出力する第１の制御指令生成部と、上記アクチュエータ制御装置に第２の制御指令を出力する第２の制御指令生成部と、上記第1の制御指令生成部の異常を監視し、上記第１の制御指令生成部の異常を検出したとき、上記第２の制御指令生成部に異常通知信号を出力する監視回路と、第１の制御指令生成部をリセットするリセット発生部と、を備え、上記監視回路が異常通知信号を出力してから、上記第２の制御指令生成部が上記第２の制御指令を生成するための制御移行動作を終了する移行必要時間が経過した後に、上記リセット生成部が上記リセット信号を出力する。
【発明の効果】
【００１８】
本発明によれば、車両制御装置における制御マイコンに動作異常が発生した場合においても、縮退用制御マイコンの移行必要期間が経過した後に制御マイコンをリセットすることで制御の空白期間を排除することができ、安全性の向上が可能な車両制御装置および電子制御システムを実現することができる。
【図面の簡単な説明】
【００１９】
【図１】本発明が適用される車両に備えられる自動運転システムの概略構成図である。
【図２】実施例１における自律走行制御部（第１ＥＣＵ）の内部構成を示す図である。
【図３】実施例１における縮退動作を実行する場合の制御移行時タイムチャートである。
【図４】実施例２における自律走行制御部（第１ＥＣＵ）の内部構成を示す図である。
【図５】本発明の実施例３における異常検出クライテリアと検出時間の説明図である。
【図６】本発明の実施例４における自律走行制御部（第１ＥＣＵ）の内部構成を示す図である。
【図７】本発明の実施例５における自律走行制御部（第１ＥＣＵ）の内部構成を示す図である。
【図８】本発明の実施例５における縮退動作を実行する場合の制御移行時タイムチャートである。
【図９】本発明の実施例６における自律走行制御システムの構成を示す図である。
【発明を実施するための形態】
【００２０】
以下、本発明の実施形態について添付図面を参照して説明する。
【実施例】
【００２１】
（自動運転システムの構成例）
まず、本発明が適用される自動運転システム（車両制御システム）の構成について説明する。【００２２】
図１は、本発明が適用される車両に備えられる自動運転システムの概略構成図である。図１において、自動運転システムは、車両の外界状況を認識するための外界認識センサである、カメラ（第１センサ）１と、レーダ（第２センサ）２と、自車位置センサ（第３センサ）３と、自動運転を設定するための自動運転設定部４とを備える。【００２３】
さらに、自動運転システムは、自律走行制御部１１と、縮退制御部１２と、ブレーキ制御部１３と、エンジン制御部１４と、パワーステアリング制御部１５とを備える。【００２４】
なお、ブレーキ制御部１３、エンジン制御部１４、及びパワーステアリング制御部１５は、車両の動作を制御するアクチュエータ制御部と総称することができる。【００２５】
カメラ１、レーダ２、自車位置センサ３、自律走行制御部１１、縮退制御部１２、ブレーキ制御部１３、エンジン制御部１４、パワーステアリング制御部１５は、車載ネットワーク（例えば、ＣＡＮ（Ｃｏｎｔｒｏｌｌｅｒ Ａｒｅａ Ｎｅｔｗｏｒｋ、コントローラエリアネットワーク）やＥｔｈｅｒｎｅｔ（登録商標）等）によって相互に通信可能となるよう接続される。【００２６】
縮退制御部１２は、自律走行制御部１１が失陥した際にバックアップとして適切な縮退制御を実行するように動作する制御装置であるが、自律走行制御部１１が失陥した場合においても自律走行制御部１１内に、縮退制御機能を持たせることで安全が担保できるのであれば、縮退制御部１２は不要である。【００２７】
ブレーキ制御部１３は、車両のブレーキ制御（制動力制御）を行う制御装置であり、エンジン制御部１４は、車両の駆動力を発生するエンジンを制御する制御装置である。また、パワーステアリング制御部１５は、車両のパワーステアリングを制御する制御装置である。なお、駆動力を発生する手段をエンジンを例として挙げたが、当然電動でも本発明を適用可能である。【００２８】
自車位置センサ３は、ＧＰＳ（Ｇｌｏｂａｌ  Ｐｏｓｉｔｉｏｎｉｎｇ  Ｓｙｓｔｅｍ）などの測位用衛星からの電波を用いて、自車両の位置を取得する装置である。自車位置センサ３は、取得した自車位置情報を自律走行制御部１１に出力する。なお、自車位置センサ３は、ＧＰＳ以外の測位システムを用いて自車位置情報を取得しても良い。【００２９】
また、自車位置センサ３内部には、自動運転で使用する地図データを保持するメモリを有しており、道路の道幅、車線数、勾配、カーブの曲率、交差点の形状、制限速度情報などの地図データが格納される。なお、地図データは自律走行制御部１１内部に格納されていても良い。【００３０】
自動運転設定部４は、自動運転時の目的地、ルート、走行速度などを設定する装置である。自動運転設定部４は、搭乗者が設定を行うための入力装置（図示せず）を有する。【００３１】
この入力装置には、例えば、搭乗者が自動運転システムを起動するための開始スイッチを始め、ボタンやタッチパネルといった物理的な入力装置、カメラや赤外線を用いたジェスチャ入力装置、音声入力装置などが該当する。自動運転設定部４は、入力装置を介して搭乗者が入力した情報を自動走行制御部１１に出力する。【００３２】
ここで、自律走行制御部１１が、自動運転設定部４により自動運転の要求を受け付けると、カメラ１、レーダ２、自車位置センサ３など外界の情報を基に車両が移動する軌道を算出し、自律走行制御部１１は、前述したルート通りに車両を移動させるように、ブレーキや駆動力などの制御指令を、ブレーキ制御部１３、エンジン制御部１４、及びパワーステアリング制御部１５に出力する。【００３３】
ブレーキ制御部１３、エンジン制御部１４、パワーステアリング制御部１５は、自律走行制御部１１から自動走行制御の制御指令を受けて、各制御対象（アクチュエータ）に操作信号を出力する。【００３４】
（実施例１）
実施例１について、図２と図３を用いて説明する。【００３５】
図２に示すように、本実施例では、自律走行制御は車両用制御装置１１（第１電子制御装置とも称す。）で、縮退制御は縮退用制御装置１２（第２電子制御装置とも称す。）で実行される。【００３６】
第１電子制御装置１１は、監視回路１１ｈと、外界認識センサ１、２、３からの信号を処理する外界認識マイコン１０ｂと、外界認識マイコン１０ｂからの信号を基に、外部に設けられたアクチュエータを駆動するための電子制御装置１３、１４、１５への走行制御指令を生成する制御マイコン１１ｂを備える。【００３７】
監視回路１１ｈは、制御マイコン１１ｂの動作を監視しており、異常を検出した場合に制御マイコン１１ｂをリセットさせる。また、監視回路１１ｈは、制御マイコン１１ｂの異常を通知した際には、縮退用の動作指令を電子制御装置１３〜１５に送信する第２電子制御装置に制御移行するために、異常通知信号を第２電子制御装置に対して送信する。【００３８】
本実施例では、監視回路１１ｈが制御マイコン１１ｂの動作異常を検出すると、縮退用制御マイコン１２ｂに制御移行した後に制御マイコン１１ｂをリセットする例を示している。【００３９】
ここで、制御マイコン１１ｂは、外部のアクチュエータ制御部へ第１の制御指令を生成する第１の制御指令生成部と定義する。【００４０】
第１の電子制御装置１１は、外界認識マイコン（外界認識部）１０ｂと制御マイコン１１ｂとの２つのマイコンを有している。外界認識マイコン１０ｂは、通信回路１０ｃ（通信回路０）と通信回路１０ｄ（通信回路１）とを備えている。また、制御マイコン１１ｂは、通信回路１１ｃ（通信回路２）を備えている。【００４１】
また、制御指令を生成する自律走行制御部１１である第１の電子制御装置（特に制御マイコン１１ｂ）が失陥した際に、自律走行制御部１１に代わって動作する縮退制御部１２は、縮退用制御マイコン１２ｂと通信回路１２ｃ（通信回路３）とを備えている。【００４２】
ここで、縮退制御部１２は、外部のアクチュエータ制御部へ第２の制御指令を生成する第２の制御指令生成部と定義する。【００４３】
図２において、自律走行制御部１１は外界認識マイコン１０ｂと制御マイコン１１ｂを備え、縮退制御部１２は縮退用制御マイコン１２ｂを備えているが、例えば、自律走行制御部１１内に外界認識マイコン１０ｂと、制御マイコン１１ｂと、縮退用制御マイコン１２ｂとを配置しても良い。【００４４】
また、自律走行制御部１１内に制御マイコン１１ｂと縮退用制御マイコン１２ｂとを有し、外界認識マイコン１０ｂを自律走行制御部１１以外の制御部に配置しても良い。【００４５】
外界認識マイコン１０ｂには、通信回路１０ｃを介して、外界センサである、カメラ１（第１センサ）、レーダ２（第２センサ）、および自車位置センサ３（第３センサ）からセンサ情報（外界認識情報）が伝達される。【００４６】
外界認識マイコン１０ｂは、伝達されたセンサ情報に基づいて外界の状況を認識し、自車両が移動する軌道情報を生成する。このため、外界認識マイコン１０ｂは軌道情報生成部と定義することができる。【００４７】
外界認識マイコン１０ｂは、通信ライン１０ｋを介し、生成した軌道情報を制御マイコン１１ｂに送信する。制御マイコン１１ｂは、通信回路１１ｃ（通信回路２）を介して、外部から、図示していない車輪速センサ、加速度センサ、ヨーレートセンサ等の外界認識センサの情報（これらの情報も外界認識情報に含まれる）を外部ＥＣＵ（制御装置）から受信している。【００４８】
制御マイコン１１ｂは、外界認識センサの情報と外界認識マイコン１０ｂが演算した軌道情報とに基づいて、ブレーキ制御部１３（第３電子制御装置）、エンジン制御部１４（第４電子制御装置）、パワーステアリング制御部１５（第５電子制御装置）に、それぞれのアクチュエータ制御指令を生成し送信する。【００４９】
制御マイコン１１ｂには、制御マイコン１１ｂを監視する監視回路１１ｈが接続されており、監視回路１１ｈは、異常検出時間Ｔ１（第１の異常検出時間）で制御マイコン１１ｂを異常検出する第１の監視回路（第１の監視部）と、異常検出時間Ｔ１よりも検出時間が長い異常検出時間Ｔ２（第２の異常検出時間）で制御マイコン１１ｂを異常検出する第２の監視回路（第２の監視部）を備えている。【００５０】
第１の監視回路は、制御マイコン１１ｂのプログラム動作の正常性を判断するウォッチドックタイマ１１ｉ（ＷＤＴ部）である。制御マイコン１１ｂのパルス出力部１１ｄより一定周期のＨｉｇｈ／Ｌｏｗパルス信号１１ｆが出力され、ウォッチドックタイマ１１ｉ（ＷＤＴ部）でパルス信号１１ｆの正常性を判断する。【００５１】
第２の監視回路は、制御マイコン１１ｂの演算部１１ｅの正常性を判断する演算論理照合部１１ｊである。監視回路１１ｈと制御マイコン１１ｂとの間で通信ライン１１ｇを介した双方向通信により、定期的に演算論理照合部１１ｊが質問信号（例えば、あるランダムな数値とその数値を使用した演算式）を制御マイコン演算部１１ｅに送信し、その質問信号に対応する制御マイコン演算部１１ｅの回答信号が演算論理照合部１１ｊで予め算出された期待値との照合を行い、制御マイコン１１ｂの正常性を判断する。【００５２】
第２の監視回路は演算論理部の照合であり、照合不一致の場合に異常カウンタをカウントアップする仕様とし、最終的に異常を判定するクライテリアを設定することにより異常検出時間を調整可能である。このようにして異常検出時間Ｔ１よりも長い異常検出時間Ｔ２を予め設定する。【００５３】
第１の監視回路が検出する異常は、第２の監視回路が検出する異常より、重度のリセット要因（制御マイコン１１ｂをリセットするための要因）である。【００５４】
第1の監視回路と第２の監視回路とを監視部と総称する。【００５５】
なお、制御マイコン１１ｂを監視する監視回路１１ｈはロジック回路であり、外界認識マイコン１０ｂに内蔵することも可能である。【００５６】
図３は、実施例１における縮退用制御マイコン１２ｂへの制御移行時タイムチャートである。【００５７】
図３において、タイミング（ｔ０）では、制御マイコン１１ｂは外部のアクチュエータ制御部への制御指令を出力しており、縮退用制御マイコン１２ｂはスタンバイ状態である。【００５８】
タイミング（ｔ２）において制御マイコン１１ｂに故障が発生した場合、故障発生から異常検出時間Ｔ１を経過した後のタイミング（ｔ３）において、第１の監視回路により異常が検出され、異常通知信号生成部１１ｑから出力される異常通知信号（１１ｕ）がＨｉｇｈとなり（異常検出１）、縮退用制御マイコン１２ｂに制御マイコン異常が通知され、制御の移行が開始される。【００５９】
制御移行期間（移行必要期間）Ｔ３を経過したタイミング（ｔ４）にて縮退用制御マイコン１２ｂの移行準備が終了し、故障発生から異常検出時間Ｔ２経過したタイミング（ｔ５）にて、第２の監視回路により異常が検出され、リセット生成部１１ｔからのリセット信号１１ｒがＬｏｗとなり、制御マイコン１１ｂのリセットが実施される。【００６０】
ここで、故障発生時刻（ｔ２）から、制御マイコン１１ｂがリセットされるタイミング（ｔ５）までの上記異常検出時間Ｔ２は、縮退用制御マイコン１２ｂの制御移行準備が終了するタイミング（ｔ４）よりも後に来るように設定される。すなわち、上記異常検出時間Ｔ２は、異常検出時間Ｔ１と縮退制御マイコン１２ｂの制御移行期間Ｔ３を用いて、Ｔ２≧Ｔ１＋Ｔ３の関係に設定される（Ｔ１とＴ３とを加算した時間はＴ２以下である）。【００６１】
なお、タイミング（ｔ２）のタイミングで発生する故障（パルス出力部１１ｄの異常）が、過渡的な故障である場合は、第１の監視部で異常判定されても、第２の監視部はより深いレベルの異常判定（演算部１１ｅが異常か否か）とすることで、異常判定されないシーンもあり、その場合には、タイミング（ｔ５）で制御マイコン１１ｂはリセットされず制御も継続することになる。【００６２】
例えば、ノイズにより、パルス出力部１１ｄに異常が発生したと判定されたとしても、演算部１１ｅには異常が発生していないと判定される場合があり、そのときには、制御マイコン１１ｂはリセット生成部１１ｔからのリセット信号１１ｒにより、リセットされることはなく、制御マイコン１１ｂによる制御が継続される。【００６３】
ノイズにより、パルス出力部１１ｄは異常と判定することにより、縮退用制御マイコン１２ｂは、制御移行動作を経て縮退制御を実行することになり、この縮退制御動作と制御マイコン１１ｂによる制御とが並行して実行されてしまうことになる。【００６４】
この場合、ブレーキ制御部３、エンジン制御部１４及びパワーステアリング制御部１５は、制御マイコン１１ｂからの制御指令を優先するように予め定められている。これによって、制御マイコン１１ｂによる制御が継続される。【００６５】
以上のように、実施例１によれば、異常検出時間Ｔ２と、異常検出時間Ｔ１と、制御移行期間Ｔ３とを、Ｔ２≧Ｔ１＋Ｔ３の関係にて設定することにより、車両の故障が発生してから、時間Ｔ１で第１の監視回路により異常が検出されると、縮退用制御マイコン１２ｂの制御移行動作が開始され、制御移行時間Ｔ３経過後、縮退用制御マイコン１２ｂによる縮退制御動作が開始される。【００６６】
その後、車両の故障が発生してから時間Ｔ２で、第２の監視回路により異常が検出されると、制御マイコン１１ｂがリセットされる。【００６７】
本実施例では、第１の監視回路で異常を検知した場合に、直ちにリセットするのではなく、第１電子制御装置から第２電子制御装置に制御移行の指令が行われ、第２電子制御装置の移行準備が完了した以降に、第２の監視回路の結果によりリセットするようにしている。そのため、縮退用制御マイコン １２ｂの縮退制御動作が開始される前に、制御マイコン１１ｂがリセットされることが回避され、制御の空白期間時間が排除され、制御回路の信頼性及び車両の安全性の向上可能な車両制御装置を実現することができる。また、ノイズ等の１次的な異常値で即座にリセットされることも防止できる。【００６８】
（実施例２）
次に、実施例２について図４を用いて説明する。【００６９】
実施例１との差異は、自律走行制御部１１と縮退制御部１２を、同一の電子制御装置内（ECU）に設けた点である。【００７０】
図４に示すように、自律走行制御部（電子制御装置）１１は、外界認識マイコン１０ｂと制御マイコン１１ｂとに加え、縮退用制御マイコン１２ｂを備える。【００７１】
縮退用制御マイコン１２ｂならびに通信回路１２ｃ（通信回路３）は自動走行制御部１１に配置されている。実施例２は、実施例１とほぼ同一であり、リセット生成部１１ｔも備える構成だが、異常通知信号生成部１１ｑから出力される異常通知信号１１ｕが、自律走行制御部１１内部で、外界認識マイコン１０ｂと縮退用制御マイコン１２ｂとに供給されている。【００７２】
実施例２においては、実施例１と同様な効果が得られる他、異常検出信号１１ｕの信号線の接続が容易となることから、異常発生時におけるレイテンシが改善されるという効果がある。【００７３】
（実施例３）
次に、実施例３について図５を用いて説明する。【００７４】
実施例３は、自律走行制御部（第１ＥＣＵ）１１の内部構成は実施例１又は実施例２と同一であるが、監視回路１１ｈで異常検出時間Ｔ１と異常検知時間Ｔ２を変更可能な例である。【００７５】
図５は、実施例３における異常検出クライテリアと検出時間の説明図である。【００７６】
図５は、横軸に制御マイコン１１ｂの故障発生からの経過時間を示し、縦軸に異常カウンタを示している。【００７７】
図５に示した例では、時間の経過に伴って、異常カウンタが増加する直線Ｌを定めておき、クライテリア１（判定基準１）及びクライテリア２（判定基準２）を調整し、クライテリア１と直線Ｌとが交差する点の時間を異常検出時間Ｔ１とし、クライテリア２と直線Ｌとが交差する点の時間を異常検出時間Ｔ２とする。ただし、クライテリア１よりクライテリア２を大とする。【００７８】
このように、異常を検知する度にカウントアップする異常カウンタ値に対し、異常判定のためのクライテリア１とクライテリア２を設定することで異常検出時間Ｔ１と異常検出時間Ｔ２を設定可能である。【００７９】
つまり、異常検知回数によって、クライテリア１とクライテリア２を設定し、クライテリア１よりクライテリア２の方が異常検知回数を大とする。そして、異常検出時間Ｔ１をクライテリア１に対応させ、異常検出時間Ｔ２をクライテリア２に対応させて設定することにより、異常時間検出時間Ｔ２が異常検出時間Ｔ１より長くなるように時間差を設定する。【００８０】
上記異常検出時間Ｔ２を、異常検出時間Ｔ１と縮退制御マイコン１２ｂの制御移行期間Ｔ３を用いて、Ｔ２≧Ｔ１＋Ｔ３の関係にて設定することにより、制御マイコン１１ｂリセットによる制御の空白期間を排除することで、制御回路の信頼性が向上可能となる。【００８１】
本実施例は、異常検知方法を異ならせることで異常検知時間T1とT2を設けた実施例１や２に対し、異常検知方法を同じくし、クライテリアを変化させることにより、異常検知時間T1とT2を設けている。本実施例においても、実施例１及び実施例２と同様な効果を得ることができる他、適用される車両等に合わせて異常検出時間Ｔ１、Ｔ２を設定可能であり、適用される車両等に応じた適切な縮退動作移行制御を行うことができる。【００８２】
（実施例４）
次に、実施例４について図６を用いて説明する。なお、実施例１から３と同等な構成については説明を省略する。【００８３】
実施例４は、二つの監視回路と論理ゲートを用いた例である。なお、縮退制御部１２は、自律走行制御部１１内部に設けてもよいし、外部に設けてもよい。【００８４】
図６に示すように、制御マイコン１１ｂには、制御マイコン１１ｂを監視する第１の監視回路１１iと、第２の監視回路１１ｊ）とが、ＡＮＤゲート１１ｐを介して接続されている。【００８５】
第１の監視回路１１ｉは、例えば制御マイコン１１ｂのプログラム動作の正常性を判断するウォッチドッグタイマであり、第２の監視回路１１ｊは、例えば制御マイコン１１ｂの演算部１１ｅの正常性を判断する演算論理照合部であり、実施例１のようにそれぞれ異なる監視手段を備える。言い換えると、異常検出時間Ｔ１の第１の監視部と異常検出時間Ｔ２の第２の監視部とを備えている。【００８６】
なお、実施例３のようにしてもよい。【００８７】
第１の監視回路１１ｉと第２の監視回路１１ｊの正常性判断結果は、それぞれ信号１１ｋと信号１１ｍとして、リセット生成部であるＡＮＤゲート１１ｐの入力端子と異常通知信号生成部であるＯＲゲート１１ｗの入力端子にそれぞれ接続される。【００８８】
本実施例では、第１の監視回路１１ｉと、第２の監視回路１１ｊと、ＡＮＤゲート１１ｐと、ＯＲゲート１１ｗとは、監視回路１１ｈを形成している。【００８９】
ＯＲゲート１１ｗのゲート出力は、第１の監視回路１１ｉと第２の監視回路１１ｊのいずれかの監視回路にて異常検出された場合に反応し、異常検知信号１１ｕが外界認識マイコン１０ｂに通知される。【００９０】
一方で、ＡＮＤゲート１１ｐの出力は、監視回路１  １１ｉと監視回路２  １１ｊ（監視回路２）の双方の監視回路にて異常検出された場合に反応し、より確実な異常検知が可能となっている。【００９１】
したがって、ＯＲゲート１１ｗのゲート出力とＡＮＤゲート１１ｐの出力では反応するタイミングが異なるため、実施例１と同様に、縮退制御部へ制御移行が完了してから制御マイコンのリセットを実行できるため、空白期間の発生を抑制できる。【００９２】
以上のように、実施例４によれば、実施例１と同様に、二種類の監視手段で制御マイコン１１ｂを診断することにより、異常検出時間Ｔ１と異常検出時間Ｔ２を生成し、縮退用制御マイコン１２ｂへの異常通知と縮退用制御マイコン１２ｂの制御移行終了後の制御マイコン１１ｂのリセットを実現できる。【００９３】
また、制御マイコン１１ｂの故障がノイズ等の過渡的な故障である場合には、制御は移行されず継続するため制御マイコン１１ｂの制御が確保される。【００９４】
（実施例５）
次に、実施例５について図７と図８を用いて説明する。
実施例１や２と同等の構成については説明を省略する。【００９５】
図７に示した例は、監視回路１１ｈが制御マイコン１１ｂの動作異常を検出すると、縮退用制御マイコン１２ｂに制御移行した後に制御マイコン１１ｂをリセットする例である。【００９６】
この点は、実施例１や２と同様であるが、実施例５は、縮退用制御マイコン１２ｂに制御移行した後でなければ、制御マイコン１１ｂがリセットされないことを、さらに確実化した例である。【００９７】
図７に示すように、本実施例の自動運転の走行制御装置である自律走行制御部１１は、外界認識マイコン１０ｂと、制御マイコン１１ｂと、縮退用制御マイコン１２ｂとの３つのマイコンを有している。外界認識マイコン１０ｂは通信回路１０ｃ（通信回路０）を備え、制御マイコン１１ｂは通信回路１１ｃ（通信回路２）を備えている。また、制御マイコン１２ｂは、通信回路１２ｃ（通信回路３）を備えている。【００９８】
上述したように、自律走行制御部１１は、外界認識マイコン１０ｂと、制御マイコン１１ｂと、縮退用制御マイコン１２ｂとを備えているが、例えば、自律走行制御部１１である第１の電子制御装置に外界認識マイコン１０ｂと制御マイコン１１ｂとを配置し、第２の電子制御装置に縮退用制御マイコン１２ｂを配置しても良い。【００９９】
また、自律走行制御部１１内に、制御マイコン１１ｂと、縮退用制御マイコン１２ｂとを配置し、外界認識マイコン１０ｂを自律走行制御部１１以外の制御部に配置しても良い。【０１００】
外界認識マイコン１０ｂには、通信回路１０ｃを介して、外界センサである、カメラ１（第１センサ）、レーダ２（第２センサ）、および自車位置センサ３（第３センサ）からセンサ情報（外界認識情報）が伝達される。外界認識マイコン１０ｂは伝達されたセンサ情報に基づいて外界の状況を認識し、自車両が移動する軌道情報を生成する。【０１０１】
外界認識マイコン１０ｂは、通信ライン１０ｋを介し、生成した軌道情報を制御マイコン１１ｂに送信する。制御マイコン１１ｂは、通信回路１１ｃ（通信回路２）を介して、外部から、図示していない車輪速センサ、加速度センサ、ヨーレートセンサ等の外界認識センサの情報（これらの情報も外界認識情報に含まれる）を外部ＥＣＵ（制御装置）から受信している。【０１０２】
制御マイコン１１ｂは、外界認識センサの情報と外界認識マイコン１０ｂが演算した軌道情報とに基づいて、ブレーキ制御部１３（第３ＥＣＵ）、エンジン制御部１４（第４ＥＣＵ）、パワーステアリング制御部１５（第５ＥＣＵ）に、それぞれのアクチュエータ制御指令を生成し送信する。【０１０３】
制御マイコン１１ｂには、制御マイコン１１ｂを監視する監視回路１１ｈが接続されており、監視回路１１ｈは、異常検出時間Ｔ１で制御マイコン１１ｂを異常検出する第１の監視回路１１ｉと、異常検出時間Ｔ１よりも検出時間が長い異常検出時間Ｔ２で制御マイコン１１ｂを異常検出する第２の監視回路１１ｊを備えている。【０１０４】
また、上記第１の監視回路１１ｉと上記第２の監視回路１１ｊは、通信ライン１１ｆと通信ライン１１ｇによりそれぞれ制御マイコン１１ｂに接続されており、通信ライン１１ｆ、１１ｇ上の信号送受信により制御マイコン１１ｂの監視を行う。【０１０５】
第１の監視回路１１ｉは、例えば、実施例１と同様にウォッチドッグタイマでも良い。一方、第２の監視回路１１ｊはこの監視結果により制御マイコン１１ｂをリセットするためロバスト性の高い診断が望まれ、例えば実施例１と同様に演算論理を照合する方式としても良い。【０１０６】
第１の監視回路１１ｉと第２の監視回路１１ｊとはそれぞれ診断のクライテリアを調整するなどして、異常検出時間Ｔ１よりも長い異常検出時間Ｔ２を予め設定する。【０１０７】
第１の監視回路１１ｉで制御マイコン１１ｂの異常を検出した場合は、異常通知出力回路１１ｑを介して異常通知信号１１ｕが縮退用制御マイコン１２ｂに入力され、縮退用制御マイコン１２ｂは縮退制御に移行する。【０１０８】
一方、第２の監視回路１１ｊで制御マイコン１１ｂの異常を検出した場合は、異常信号１１ｍが監視回路１１ｈ内のＡＮＤゲート１１ｘの一方の入力端子に入力される。【０１０９】
縮退制御用マイコン１２ｂは、異常通知信号１１ｕが入力され、縮退制御に移行開始後、制御移行が終了すると、準備完了通知出力回路１２ｘ（制御移行動作終了検出部）を介して、移行準備完了信号１２ｙを監視回路１１ｈ内のＡＮＤゲート１１ｘの他方の入力端子に出力する。【０１１０】
つまり、準備完了通知出力回路１２ｘは、縮退制御用マイコン１２ｂが縮退制御に移行開始後、制御移行が終了（完了）したことを検知し、移行準備完了信号１２ｙをＡＮＤゲート１１ｘの他方の入力端子に出力する。【０１１１】
上記動作により、制御マイコン１１ｂに異常が発生し、第１の監視回路１１ｉの異常通知１１ｕを受けて縮退用制御マイコン１２ｂが制御移行を完了し、かつ第２の監視回路１１ｊが異常検出すると、ＡＮＤゲート１１ｘの２つの入力端子が共にＨｉｇｈとなり、ＡＮＤゲート１１ｘの出力信号１１ｎがＨｉｇｈとなる。【０１１２】
ＡＮＤゲート１１ｘの出力信号１１ｎがＨｉｇｈになるとリセット生成部１１ｔはリセット信号１１ｒを制御マイコン１１ｂに出力し、制御マイコン１１ｂをリセットする。【０１１３】
図８は、実施例５における縮退用制御マイコン１２ｂへの制御移行時における動作タイムチャートである。【０１１４】
図８において、タイミング（ｔ０）では、制御マイコン１１ｂは外部のアクチュエータ制御部への制御指令を出力しており、縮退用制御マイコン１２ｂはスタンバイ状態である。【０１１５】
タイミング（ｔ２）において、制御マイコン１１ｂに故障が発生した場合、故障発生から異常検出時間Ｔ１を経過した後のタイミング（ｔ３）において第１の監視回路１１ｉからの異常通知信号１１ｕがＨｉｇｈとなり、縮退用制御マイコン１２ｂに、制御マイコン異常が通知され、制御の移行が開始される。【０１１６】
制御移行が開始されてから、制御移行期間Ｔ３を経過したタイミング（ｔ４）にて縮退用制御マイコン１２ｂの移行準備が終了すると、縮退用制御マイコン１２ｂからの準備完了通知信号１２ｙがＨｉｇｈとなる。【０１１７】
一方、故障発生から異常検出時間Ｔ２経過したタイミング（ｔ５）にて第２の監視回路１１ｊが異常を検出すると異常通知信号１１ｍがＨｉｇｈとなる。異常通知信号１１ｍと準備完了通知信号１２ｙが共にＨｉｇｈとなるとＡＮＤゲート１１ｗの出力信号１１ｎはＨｉｇｈ出力となり、リセット信号がＬｏｗとなることで制御マイコン１１ｂのリセットが実施される。【０１１８】
ここで、上記異常検出時間Ｔ２が経過し、制御マイコン１１ｂがリセットされるタイミング（ｔ５）は、縮退用制御マイコン１２ｂの制御移行準備が終了するタイミング（ｔ４）よりも後に来るように設定される。すなわち、上記異常検出時間Ｔ２は、異常検出時間Ｔ１と縮退制御マイコン１２ｂの制御移行期間Ｔ３を用いて、Ｔ２≧Ｔ１＋Ｔ３の関係にて設定される。【０１１９】
つまり、第１の監視回路１１ｉが制御マイコン１１ｂの異常を検出した場合、異常通知信号１１ｕが出力され、縮退用制御マイコン１２ｂは早期に移行準備を開始する。そして、縮退用制御マイコン１２ｂが制御移行を完了し、移行準備完了信号１２ｙが入力され、上記の通りに異常検出時間Ｔ２を設定することで、移行準備完了後に、第２の監視回路１１ｊが異常判定すると制御マイコン１１ｂをリセットする。【０１２０】
縮退用制御マイコン１２ｂの制御移行が、仮に制御移行期間Ｔ３を超え、異常通知信号１１ｍが先にＨｉｇｈとなったとしても、縮退用制御マイコン準備完了通知信号１２ｙがＨｉｇｈとならなければ、制御マイコン１１ｂはリセットされることは無い。【０１２１】
本実施例では、縮退制御部から制御移行が完了した信号と、第２の監視回路からの異常信号とのＡＮＤを取ることにより、縮退制御部（縮退制御マイコン１２ｂ）へ制御移行する前に制御マイコン１１ｂのリセットを実行することを防止できるため、、安全性の高い制御移行が可能となる。【０１２２】
（実施例６）
次に、実施例６について説明する。【０１２３】
上述した例は、本発明を自動車に適用した場合の例であるが、本発明は自動車に限らず、移動体であれば、二輪車、工場用の荷物運搬車、走行ロボット等にも適用可能である。【０１２４】
実施例６は、種々の移動体に適用可能な電子制御システムの例である。【０１２５】
図９は、実施例６の電子制御システム（自律走行制御システム）の動作機能ブロック図である。【０１２６】
図９において、電子制御システムは、車両等の移動体が有するアクチュエータ（駆動装置）２４を駆動するアクチュエータ制御装置２３と、アクユエータ制御装置２３に第１の制御指令を出力する第１の制御マイコン（制御指令生成部）２１ｂと、アクチュエータ制御装置２３に第２の制御指令である縮退時制御指令を出力する第２の制御マイコン（制御指令生成部（縮退制御部））２２ｂと、第1の制御マイコン２１ｂの異常を監視する監視回路２１ｈと、第１の制御マイコン２１ｂをリセットするリセット発生部２１ｔとを備えている。【０１２７】
監視回路２１ｈは、実施例１と同様の第１の監視回路と、第２の監視回路とを備えている。【０１２８】
監視回路２１ｈの第１の監視回路が第１の制御マイコン２１ｂの異常を検出すると、異常通知信号を第２の制御マイコン２２ｂに出力する。第２の制御マイコン２２ｂは、監視回路２１ｈからの異常通知信号を受け取ると、縮退動作制御への移行を開始する。【０１２９】
そして、第２の制御マイコン２２ｂは、縮退動作制御への移行が終了すると（移行必要期間の経過後）、準備完了通知信号をリセット発生部２１ｔに出力し、縮退制御指令をアクチュエータ制御装置２３に出力する。【０１３０】
監視回路２１ｈの第２の監視回路が第１の制御マイコン２１ｂの異常を検出すると、異常通知信号をリセット発生部２１ｔに出力する。【０１３１】
リセット発生部２１ｔは、監視回路２１ｈからの異常信号と、第２の制御マイコン２２ｂからの準備完了通知とが両立して初めて、リセット信号を第１の制御マイコン２１ｂに出力する。リセット発生部２１ｔは、監視回路２１ｈからの異常信号または第２の制御マイコン２２ｂからの準備完了通知のうちのいずれか一方のみ入力されたとしても、第１の制御マイコン２１ｂにリセット信号を出力することは無い。【０１３２】
これにより、第２の制御マイコン２２ｂの制御移行動作が終了した後に、第１の制御マイコン２１ｂがリセットされることが確実化し、第１の制御マイコン２１ｂにアクチュエータ制御装置２３の制御と、第２制御マイコン２２ｂによるアクチュエータ制御装置２３の制御との間の空白期間が生じること無く、アクチュエータ制御装置２３の縮退動作制御へと移行することができる。【０１３３】
以上のように、本発明の実施例６によれば、第１の制御マイコン２１ｂに異常が検出された場合でも、制御の空白期間を生ずることなく、第２の制御マイコン２２ｂに安全に制御移行が可能となり、制御の空白期間を排除するができ、制御回路の信頼性の向上が可能となる。【０１３４】
つまり、制御装置における演算処理部に動作異常が発生した場合においても、縮退用の制御マイコンに安全に制御移行することができ、安全性の向上が可能な車両等の移動体の電子制御システムを実現することができる。【０１３５】
実施例６において、第１制御マイコン２１ｂと第２制御マイコン２２ｂとは同一の電子制御ユニットに配置することも可能であるし、それぞれ別個の電子制御ユニットに配置することも可能である。【０１３６】
なお、上述した例においては、制御マイコン１１ｂ、縮退用制御マイコン１２ｂ、外界認識マイコン１０ｂ、第１制御マイコン２１ｂ、第２制御マイコン２２ｂというように、マイコンにより、制御や認識を行うように構成したが、マイコンに限らず、その他のロジック回路でも構成することが可能である。【０１３７】
また、上述した例においては、縮退用制御マイコン１２ｂや第２制御マイコン２２ｂの、制御移行期間中における制御移行動作については、詳細には説明しなかったが、適用される車両等毎に適切に設定することが可能である。【０１３８】
上述した本発明の実施例においては、制御移行期間中における制御移行動作として、制御マイコン１１ｂ（第１制御マイコン２１ｂ）の制御データの引き継ぎ動作（転送する動作またはコピーする動作）を縮退用制御マイコン１２ｂ（第２制御マイコン２２ｂ）が実行するように構成することができる。【０１３９】
本発明のその他の実施例としては、車両の制御方法がある。この車両の制御方法は、自動運転モードを実行する車両の制御方法であって、正常時における自動運転を行う第１の自動運転モードと、第１の自動運転モードより縮退する第２の自動運転モードとを有し、第１の自動運転モードに異常が発生したか否かを検知する。【０１４０】
そして、第１の自動運転モードに異常が発生したことを検知すると、第２の自動運転モードへの移行準備を開始する。第２の自動運転モードへの移行準備期間は、第１の自動運転モードが継続され、第２の自動運転モードへの移行準備期間が完了した後、第２の自動運転モードが開始された後、第１の自動運転モードがリセットされる。【０１４１】
これによって、第１の自動運転モードに異常が発生した場合においても、縮退用の第2の自動運転モードに安全に制御移行することができ、安全性の向上が可能な車両の制御方法を実現することができる。
【符号の説明】
【０１４２】
１・・・カメラ、  ２・・・レーダ、  ３・・・自車位置センサ、  ４・・・自動運転設定部、  １０ｂ・・・外界認識マイコン、  １０ｃ、１０ｄ、１１ｃ、１２ｃ・・・通信回路、１０ｋ・・・軌道情報送信ライン、  １１・・・自律走行制御部、  １１ｈ・・・監視回路、  １１ｉ・・・第１の監視回路（ＷＤＴ部）、  １１ｊ・・・第２の監視回路２（演算論理照合部）、  １１ｑ・・・異常通知信号生成部、  １１ｒ・・・リセット信号、  １１ｔ・・・リセット生成部、  １１ｕ・・・異常通知信号、  １１ｐ、１１ｘ・・・ＡＮＤゲート、  １１ｗ・・・ＯＲゲート、  １２・・・縮退制御部、１２ｂ・・・縮退用制御マイコン、  １３・・・ブレーキ制御部、  １４・・・エンジン制御部、  １５・・・パワーステアリング制御部、  ２１ｂ・・・第１制御マイコン、  ２１ｈ・・・監視回路、  ２１ｔ・・・リセット発生部、  ２２ｂ・・・第２制御マイコン、  ２３・・・アクチュエータ制御装置、  ２４・・・アクチュエータ
【図１】
2019131003.tif 000003
【図２】
2019131003.tif 000004
【図３】
2019131003.tif 000005
【図４】
2019131003.tif 000006
【図５】
2019131003.tif 000007
【図６】
2019131003.tif 000008
【図７】
2019131003.tif 000009
【図８】
2019131003.tif 000010
【図９】
2019131003.tif 000011
【国際調査報告】
2019131003.tif 000012
2019131003.tif 000013
2019131003.tif 000014
2019131003.tif 000015