(57)【要約】【課題】異常が、主制御部に発生したときでも、車両の退避走行を可能にする技術を提供することを目的とする。【解決手段】本出願は、車両の駆動を司る複数の電装部品を制御する複数の部品制御部と、前記複数の部品制御部へ指令を与える指令信号を生成する主制御部と、異常が、前記主制御部に生ずると、前記主制御部から前記複数の部品制御部への前記指令信号の伝達を遮断する遮断部と、前記車両を運転する運転者によって操作され、前記運転者の操作を表す操作信号を生成する操作部と、を備える制御装置を開示する。前記遮断部が、前記指令信号の前記伝達を遮断すると、前記複数の部品制御部のうちの少なくとも１つは、前記操作信号に応じて、前記複数の電装部品のうち対応するものを制御する。【選択図】図１
2018030527.tif 000002
【特許請求の範囲】
【請求項１】
車両の駆動を司る複数の電装部品を制御する複数の部品制御部と、
前記複数の部品制御部へ指令を与える指令信号を生成する主制御部と、
異常が、前記主制御部に生ずると、前記主制御部から前記複数の部品制御部への前記指令信号の伝達を遮断する遮断部と、
前記車両を運転する運転者によって操作され、前記運転者の操作を表す操作信号を生成する操作部と、を備え、
前記遮断部が、前記指令信号の前記伝達を遮断すると、前記複数の部品制御部のうちの少なくとも１つは、前記操作信号に応じて、前記複数の電装部品のうち対応するものを制御する
車両の制御装置。
【請求項２】
前記複数の電装部品は、ブレーキ、エンジン、トランスミッション及びステアリングを含む
請求項１に記載の制御装置。
【請求項３】
前記運転者が、前記遮断部を操作すると、前記遮断部は、前記指令信号の前記伝達を遮断する
請求項１又は２に記載の制御装置。
【請求項４】
前記複数の部品制御部のうち少なくとも１つは、前記指令信号から前記主制御部の前記異常を判定する判定部を含み、
前記異常が、前記主制御部に生じたことを判定した前記判定部は、前記指令信号の前記伝達の遮断を要求する要求信号を生成し、
前記遮断部は、前記要求信号に応じて、前記指令信号の前記伝達を遮断する
請求項１又は２に記載の制御装置。
【請求項５】
前記指令信号から前記主制御部の異常を判定する判定部を更に備え、
前記異常が、前記主制御部に生じたことを判定した前記判定部は、前記遮断部へ、前記指令信号の前記伝達の遮断を要求する要求信号を生成し、
前記遮断部は、前記要求信号に応じて、前記指令信号の前記伝達を遮断する
請求項１又は２に記載の制御装置。
【請求項６】
前記指令信号は、前記複数の電装部品それぞれへの制御に対する目標値を前記複数の部品制御部それぞれに与え、
前記判定部は、前記目標値と閾値とを比較し、前記異常が前記主制御部に生じたか否かを判定する
請求項４又は５に記載の制御装置。
【請求項７】
前記車両の走行状態を検出し、前記走行状態を表す検出信号を生成する検出部を更に備え、
前記判定部は、前記閾値を、前記検出信号に応じて決定する
請求項６に記載の制御装置。
【請求項８】
前記検出部は、障害物の存在を検出し、
前記目標値が、前記障害物への加速的接近を表しているならば、前記判定部は、前記異常が、前記主制御部に生じていると判定する
請求項７に記載の制御装置。
【請求項９】
前記車両が走行する位置の周囲の道路情報を取得する取得部を更に備え、
前記判定部は、前記道路情報に基づいて、前記異常が、前記主制御部に生じているか否かを判定する
請求項６に記載の制御装置。
【請求項１０】
前記目標値が、前記操作信号によって表される前記操作と矛盾しているならば、前記判定部は、前記異常が、前記主制御部に生じていると判定する
請求項６乃至９のいずれか１項に記載の制御装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、車両を制御するための制御装置に関する。
【背景技術】
【０００２】
様々な自動運転技術が、近年、開発されてきている。たとえば、車両に搭載された多数のＣＰＵ（Ｃｅｎｔｒａｌ  Ｐｒｏｃｅｓｓｉｎｇ  Ｕｎｉｔ）のうち１つは、他のＣＰＵを総括的に制御する主制御部として利用されることもある。主制御部は、車両に搭載された様々なセンサやカメラからの情報に基づき、車両の速度、車両の加速度、車両の進行方向や車両に作用させる制動力や車両から路面へ伝達されるトラクションの目標値を決定してもよい。主制御部が決定したこれらの目標値は、他のＣＰＵにワイヤーハーネスを通じて伝達される（特許文献１を参照）。
【０００３】
他のＣＰＵそれぞれは、対応する電装部品（たとえば、エンジン、トランスミッション、ブレーキやステアリング）を制御する部品制御部として用いられる。主制御部から目標値を受け取った部品制御部は、速度、加速度、進行方向、制動力やトラクションの目標値が達成されるように、対応する電装部品を制御する。
【０００４】
車載される通信システムの脆弱性は、しばしば指摘されている。不正なアクセスの結果、主制御部が、不適切な目標値を設定するリスクがある。主制御部が、学習機能を有するならば、不適切な学習の結果、主制御部が、不適切な目標値を設定するリスクもある。主制御部の不適切な動作には無関係であるけれども、特許文献２は、アクセル装置の異常下において、車両の不適切な作動を強制的に中断することを提案する。
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】特開２０１４−３４３７３号公報
【特許文献２】特開２０１３−２２０６７９号公報
【発明の概要】
【発明が解決しようとする課題】
【０００６】
特許文献２の技術の応用の下で、主制御部の作動が停止されるならば、或いは、主制御部からの信号伝達が遮断されるならば、車両の一切の動作が停止されることとなる。この場合、車両を危険から回避させるための退避走行すらも不可能になる。
【０００７】
本発明は、異常が、主制御部に発生したときでも、車両の退避走行を可能にする技術を提供することを目的とする。
【課題を解決するための手段】
【０００８】
本発明の一局面に係る車両の制御装置は、車両の駆動を司る複数の電装部品を制御する複数の部品制御部と、前記複数の部品制御部へ指令を与える指令信号を生成する主制御部と、異常が、前記主制御部に生ずると、前記主制御部から前記複数の部品制御部への前記指令信号の伝達を遮断する遮断部と、前記車両を運転する運転者によって操作され、前記運転者の操作を表す操作信号を生成する操作部と、を備える。前記遮断部が、前記指令信号の前記伝達を遮断すると、前記複数の部品制御部のうちの少なくとも１つは、前記操作信号に応じて、前記複数の電装部品のうち対応するものを制御する。
【０００９】
上記の構成によれば、主制御部が、複数の部品制御部へ指令を与える指令信号を生成すると、複数の部品制御部は、指令信号に応じて、車両の駆動を司る複数の電装部品を制御することができる。異常が、主制御部に生ずると、遮断部は、主制御部から複数の部品制御部への指令信号の伝達を遮断するので、車両は、異常発生下の主制御部の制御から解放される。このとき、複数の部品制御部のうちの少なくとも１つは、運転者の操作を表す操作信号に応じて、複数の電装部品のうち対応するものを制御するので、車両は、運転者の操作の下で、退避走行を行うことができる。
【００１０】
上記の構成に関して、前記複数の電装部品は、ブレーキ、エンジン、トランスミッション及びステアリングを含んでもよい。
【００１１】
上記の構成によれば、複数の電装部品は、ブレーキ、エンジン、トランスミッション及びステアリングを含むので、異常が、主制御部に生じていないならば、ブレーキ、エンジン、トランスミッション及びステアリングは、主制御部の制御下で、制御される。一方、異常が主制御部に生ずると、ブレーキ、エンジン、トランスミッション及びステアリングは、運転者の操作を表す操作信号に応じて制御されるので、車両は、「進行」、「後退」、「曲がる」、「止まる」といった車両の基本動作を継続することができる。したがって、車両は、運転者の操作の下で、退避走行を行うことができる。
【００１２】
上記の構成に関して、前記運転者が、前記遮断部を操作すると、前記遮断部は、前記指令信号の前記伝達を遮断してもよい。
【００１３】
上記の構成によれば、運転者が、遮断部を操作すると、遮断部は、指令信号の伝達を遮断するので、運転者が、主制御部の制御に異常を感ずると、運転者は、車両を、主制御部の制御から解放することができる。あるいは、主制御部の制御が、運転者の意図に沿わないならば、運転者は、車両を、主制御部の制御から解放することができる。したがって、運転者は、車両を、安全又は快適に運転することができる。
【００１４】
上記の構成に関して、前記複数の部品制御部のうち少なくとも１つは、前記指令信号から前記主制御部の前記異常を判定する判定部を含んでもよい。前記異常が、前記主制御部に生じたことを判定した前記判定部は、前記指令信号の前記伝達の遮断を要求する要求信号を生成してもよい。前記遮断部は、前記要求信号に応じて、前記指令信号の前記伝達を遮断してもよい。
【００１５】
上記の構成によれば、複数の部品制御部のうち少なくとも１つは、指令信号から主制御部の異常を判定する判定部を含むので、主制御部と複数の部品制御部との間の通信下で、主制御部の異常が迅速に判定される。異常が、主制御部に生じたことを判定した判定部は、指令信号の伝達の遮断を要求する要求信号を生成し、且つ、遮断部は、要求信号に応じて、指令信号の伝達を遮断するので、車両は、異常発生下の主制御部の制御から自動的に解放される。
【００１６】
上記の構成に関して、制御装置は、前記指令信号から前記主制御部の異常を判定する判定部を更に備えてもよい。前記異常が、前記主制御部に生じたことを判定した前記判定部は、前記遮断部へ、前記指令信号の前記伝達の遮断を要求する要求信号を生成してもよい。前記遮断部は、前記要求信号に応じて、前記指令信号の前記伝達を遮断してもよい。
【００１７】
上記の構成によれば、制御装置は、指令信号から主制御部の異常を判定する判定部を更に備えるので、主制御部の異常の有無の判定は、判定部に依存してもよい。主制御部の異常の有無の判定処理は、複数の部品制御部に過度の演算負荷を与えないので、複数の部品制御部は、複数の電装部品を円滑に制御することができる。
【００１８】
上記の構成に関して、前記指令信号は、前記複数の電装部品それぞれへの制御に対する目標値を前記複数の部品制御部それぞれに与えてもよい。前記判定部は、前記目標値と閾値とを比較し、前記異常が前記主制御部に生じたか否かを判定してもよい。
【００１９】
上記の構成によれば、指令信号は、複数の電装部品それぞれへの制御に対する目標値を複数の部品制御部それぞれに与えるので、複数の部品制御部それぞれは、対応する電装部品を目標値に向けて動作させることができる。判定部は、目標値と閾値とを比較し、異常が主制御部に生じたか否かを判定するので、閾値を超える或いは閾値を下回る極端な目標値へ向かう制御は、回避される。
【００２０】
上記の構成に関して、制御装置は、前記車両の走行状態を検出し、前記走行状態を表す検出信号を生成する検出部を更に備えてもよい。前記判定部は、前記閾値を、前記検出信号に応じて決定してもよい。
【００２１】
上記の構成によれば、検出部は、車両の走行状態を検出し、走行状態を表す検出信号を生成するので、判定部は、車両の走行状態を把握することができる。判定部は、閾値を、検出信号に応じて決定するので、主制御部が、走行状態に対して不適切な目標値を与えるならば、判定部は、異常が主制御部に生じたことを判定することができる。
【００２２】
上記の構成に関して、前記検出部は、障害物の存在を検出してもよい。前記目標値が、前記障害物への加速的接近を表しているならば、前記判定部は、前記異常が、前記主制御部に生じていると判定してもよい。
【００２３】
上記の構成によれば、目標値が、検出部によって検出された障害物へ加速的接近を表しているならば、判定部は、異常が、主制御部に生じていると判定するので、障害物への車両の衝突は、回避される。
【００２４】
上記の構成に関して、制御装置は、前記車両が走行する位置の周囲の道路情報を取得する取得部を更に備えてもよい。前記判定部は、前記道路情報に基づいて、前記異常が、前記主制御部に生じているか否かを判定してもよい。
【００２５】
上記の構成によれば、判定部は、取得部によって取得された道路情報に基づいて、異常が、主制御部に生じているか否かを判定するので、主制御部が、道路情報に適合しない動作を車両に与えようとするならば、車両は、異常発生下の主制御部の制御から解放される。車両は、その後、操作信号に応じて、「進行」、「後退」、「曲がる」、「止まる」といった車両の基本動作を継続することができる。
【００２６】
上記の構成に関して、前記目標値が、前記操作信号によって表される前記操作と矛盾しているならば、前記判定部は、前記異常が、前記主制御部に生じていると判定してもよい。
【００２７】
上記の構成によれば、目標値が、操作信号によって表される操作と矛盾しているならば、判定部は、異常が、主制御部に生じていると判定するので、運転者の操作が、主制御部の制御に優先される。したがって、車両は、運転者の意図にしたがって、操作されることになる。
【発明の効果】
【００２８】
上述の技術は、異常が、主制御部に発生したときでも、車両の退避走行を可能にする。
【図面の簡単な説明】
【００２９】
【図１】第１実施形態の制御装置の概念的な機能構成を表すブロック図である。
【図２】第２実施形態の制御装置の概念的な機能構成を表すブロック図である。
【図３】第３実施形態の部品制御部の概念的な機能構成を表すブロック図である。
【図４】第４実施形態の制御装置の概念的な機能構成を表すブロック図である。
【図５】第５実施形態の異常判定処理の概略的なフローチャートである。
【図６】第６実施形態の制御装置の概念的な機能構成を表すブロック図である。
【図７】第７実施形態の異常判定処理の概略的なフローチャートである。
【図８】第８実施形態の異常判定処理の概略的なフローチャートである。
【図９】第９実施形態の異常判定処理の概略的なフローチャートである。
【図１０】第１０実施形態の部品制御部の概念的な機能構成を表すブロック図である。
【図１１】図１０に示される部品制御部の異常判定部の処理を表す概略的なフローチャートである。
【図１２】図１０に示される部品制御部の指示部の処理を表す概略的なフローチャートである。
【図１３】図１０に示される部品制御部のカウント部の処理を表す概略的なフローチャートである。
【図１４】第１１実施形態の制御装置のハードウェア構成を表すブロック図である。
【図１５Ａ】図１４に示される制御装置のデジタル処理回路の概略的なハードウェア構成を示すブロック図である。
【図１５Ｂ】図１４に示される制御装置のデジタル処理回路の概略的なハードウェア構成を示すブロック図である。
【図１５Ｃ】図１４に示される制御装置のデジタル処理回路の概略的なハードウェア構成を示すブロック図である。
【図１６】第１２実施形態の作動回路の概略的なブロック図である。
【図１７】第１３実施形態の作動回路の概略的なブロック図である。
【発明を実施するための形態】
【００３０】
＜第１実施形態＞
本発明者等は、主制御部と複数の部品制御部とを含む制御装置を開発した。主制御部は、複数の部品制御部を統括的に制御する。複数の部品制御部それぞれは、対応する電装部品（たとえば、ブレーキ、エンジン、トランスミッションやステアリング）を制御する。主制御部は、車両の走行環境に応じて、電装部品に対する動作目標（たとえば、制動力の目標値、エンジンの回転数、トラクションの目標値、操舵方向や操舵角）を設定する。動作目標を表す指令信号は、主制御部から複数の部品制御部へ出力される。複数の部品制御部それぞれは、対応する電装部品が、与えられた動作目標を達成するように、対応する電装部品を制御する。したがって、制御装置は、車両の自動運転に大きく貢献することができる。
【００３１】
主制御部が設定する動作目標は、運転者の操作、車両の走行状態や車両の周囲環境に適合していなければならない。主制御部が設定する動作目標が、これらの条件に不適合であるならば、車両は、運転者の意図に沿わない挙動、不安定な挙動や車両の周囲に存在する他の物体への過度の接近といった不適切な動作をする。
【００３２】
主制御部が、適切に設計されているならば、動作目標は、多くの場合、上述の条件に適合するように決定される。しかしながら、主制御部が、不正なアクセスに曝されるならば、不適切な動作目標が設定されることもある。
【００３３】
主制御部が、学習機能を有することもある。主制御部が有する判定アルゴリズムが、設計者の意図を超えて発展するならば、主制御部は、設計者の意図しない判定処理を実行し、不適切な動作目標を、複数の部品制御部それぞれへ与えることもある。
【００３４】
本発明者等は、上述の潜在的なリスクを鑑みて、主制御部による制御から車両を解放する技術を解放した。制御主体が、異常が発生した主制御部から運転者に変更され、且つ、車両が、「進行」、「後退」、「曲がる」、「止まる」といった車両の基本動作を継続することができるならば、車両は、運転者の制御下で、危険を回避するための退避走行を行うことができる。第１実施形態において、主制御部の異常下でも、車両の退避走行を可能にする例示的な制御装置が説明される。
【００３５】
図１は、第１実施形態の制御装置１００の概念的な機能構成を表すブロック図である。図１を参照して、制御装置１００が説明される。
【００３６】
制御装置１００は、主制御部１１０と、４つの部品制御部１２１，１２２，１２３，１２４と、ハブ１３０と、遮断部１４０と、操作部１５０と、を備える。主制御部１１０は、遮断部１４０にワイヤーハーネスによって電気的に接続される。遮断部１４０及び操作部１５０それぞれは、ワイヤーハーネスによってハブ１３０に電気的に接続される。部品制御部１２１，１２２，１２３，１２４及びハブ１３０は、複数のワイヤーハーネスによって、環状に接続される。部品制御部１２１，１２２，１２３，１２４、ハブ１３０及び複数のワイヤーハーネスは、環状の信号伝達経路（以下、「信号伝達ループ」と称される）を形成するので、信号伝達ループの一部が破断しても、部品制御部１２１，１２２，１２３，１２４は、主制御部１１０及び／又は操作部１５０からの信号を受け取ることができる。部品制御部１２１，１２２，１２３，１２４が、主制御部１１０、遮断部１４０及び／又は操作部１５０へ信号を出力するならば、主制御部１１０、遮断部１４０及び／又は操作部１５０は、信号伝達ループの一部が破断しても、部品制御部１２１，１２２，１２３，１２４からの信号を受け取ることができる。信号伝達ループに代えて、他の信号伝達経路が、部品制御部１２１，１２２，１２３，１２４及びハブ１３０の電気的な接続に適用されてもよい。したがって、本実施形態の原理は、部品制御部１２１，１２２，１２３，１２４及びハブ１３０が形成する信号伝達ループに限定されない。
【００３７】
図１は、車両（図示せず）の駆動を司る４つの電装部品ＥＣ１，ＥＣ２，ＥＣ３，ＥＣ４を示す。電装部品ＥＣ１は、ブレーキ、エンジン、トランスミッション及びステアリングのうち１つであってもよい。電装部品ＥＣ２は、ブレーキ、エンジン、トランスミッション及びステアリングのうち他のもう１つであってもよい。電装部品ＥＣ３は、ブレーキ、エンジン、トランスミッション及びステアリングのうち他のもう１つであってもよい。電装部品ＥＣ４は、ブレーキ、エンジン、トランスミッション及びステアリングのうち残りの１つであってもよい。
【００３８】
主制御部１１０は、部品制御部１２１，１２２，１２３，１２４へ指令を与えるための指令信号を生成する。指令信号は、電装部品ＥＣ１，ＥＣ２，ＥＣ３，ＥＣ４の動作に対する目標を表してもよい。部品制御部１２１，１２２，１２３，１２４は、主制御部１１０からの指令信号の伝達によって、電装部品ＥＣ１，ＥＣ２，ＥＣ３，ＥＣ４の動作に対する目標値を与えられる。たとえば、指令信号は、車両に作用させる制動力を表してもよい。指令信号は、車両の速度を表してもよい。指令信号は、車両の加速度を表してもよい。指令信号は、車両から路面へ伝達されるトラクションを表してもよい。指令信号は、車両の進行方向を表してもよい。指令信号は、車両の操舵角を表してもよい。本実施形態の原理は、指令信号が表す特定の目標に限定されない。
【００３９】
主制御部１１０が正常であるならば、指令信号は、遮断部１４０を通じて、ハブ１３０へ伝達される。その後、指令信号は、ハブ１３０を通じて、部品制御部１２１，１２２，１２３，１２４へ伝達される。部品制御部１２１，１２２，１２３，１２４それぞれは、指令信号に応じて、電装部品ＥＣ１，ＥＣ２，ＥＣ３，ＥＣ４のうち対応するものを制御する。
【００４０】
電装部品ＥＣ１が、ブレーキであるならば、部品制御部１２１は、指令信号に応じて、ディスクブレーキに作用する油圧を調整してもよい。電装部品ＥＣ２が、エンジンであるならば、部品制御部１２２は、指令信号に応じて、エンジンの点火タイミングや回転数を調整してもよい。電装部品ＥＣ３が、トランスミッションであるならば、部品制御部１２３は、指令信号に応じて、ギアを変更してもよい（たとえば、３速から４速へ）。電装部品ＥＣ４が、ステアリングであるならば、部品制御部１２４は、指令信号に応じて、ステアリングシャフトを時計回り又は反時計回りに所定の角度だけ回転させてもよい。本実施形態の原理は、部品制御部１２１，１２２，１２３，１２４によって実行される特定の制御に限定されない。
【００４１】
操作部１５０は、運転者によって操作される様々な部品と、これらの部品に付随する様々なセンサや電子部品と、を含む。例えば、操作部１５０は、ブレーキペダル、アクセルペダル、ギアレバーやステアリングホイールを含んでもよい。これらの付随するセンサや電子部品は、これらの部品に対する運転者の操作を表す操作信号を生成する。操作信号は、運転者がブレーキペダルを踏み込んだことを表してもよい。操作信号は、運転者がアクセルペダルを踏み込んだことやアクセルペダルの踏み込み量を表してもよい。操作信号は、ギアレバーが指定するギア（たとえば、３速）を表してもよい。操作信号は、運転者がステアリングホイールの操舵方向やステアリングホイールに与えた操舵角を表してもよい。本実施形態の原理は、操作信号によって表される特定の内容に限定されない。
【００４２】
操作信号は、操作部１５０からハブ１３０へ伝達される。その後、部品制御部１２１，１２２，１２３，１２４は、操作信号を、ハブを通じて受け取る。操作信号は、ハブ１３０、部品制御部１２１，１２２，１２３，１２４及び複数のワイヤーハーネスによって形成される信号伝達ループ内で、主制御部１１０によって生成された指令信号と共存してもよい。この場合、部品制御部１２１，１２２，１２３，１２４は、操作信号と指令信号とを受け取ることができる。主制御部１１０が、正常であるならば、部品制御部１２１，１２２，１２３，１２４は、操作信号を優先的に処理してもよいし、指令信号を優先的に処理してもよい。
【００４３】
異常が、主制御部１１０に生ずると、遮断部１４０は、主制御部１１０からハブ１３０への指令信号の伝達を遮断する。運転者が、異常が主制御部１１０に生じたか否かを判定してもよい。この場合、遮断部１４０は、運転者によって操作され、主制御部１１０からハブ１３０への指令信号の伝達を遮断する。部品制御部１２１，１２２，１２３，１２４のうち少なくとも１つが、異常が主制御部１１０に生じたか否かを判定してもよい。この場合、部品制御部１２１，１２２，１２３，１２４のうち少なくとも１つは、主制御部１１０からハブ１３０への指令信号の伝達の遮断を要求する要求信号を生成する。要求信号は、ハブ１３０を通じて、部品制御部１２１，１２２，１２３，１２４のうち少なくとも１つから遮断部１４０へ伝達される。遮断部１４０は、要求信号に応じて、主制御部１１０からハブ１３０への指令信号の伝達を遮断する。主制御部１１０の異常の発生を判定するＣＰＵが、主制御部１１０と遮断部１４０との間の信号伝達経路、遮断部１４０とハブ１３０との間の信号伝達経路或いはハブ１３０と部品制御部１２１，１２２，１２３，１２４とによって形成される信号伝達ループ内に配置されてもよい。この場合、上述の要求信号は、主制御部１１０の異常の発生を判定するＣＰＵによって生成される。主制御部１１０の異常の発生を判定するＣＰＵが、遮断部１４０として設計された回路に組み込まれてもよい。この場合、遮断部１４０として設計された遮断回路に組み込まれたＣＰＵが、主制御部１１０の異常の発生を判定すると、遮断回路は、主制御部１１０からハブ１３０への指令信号の伝達を遮断する。本実施形態の原理は、主制御部１１０の異常の発生を判定する特定の判定主体に限定されない。
【００４４】
遮断部１４０が、上述の如く、指令信号の伝達を遮断すると、部品制御部１２１，１２２，１２３，１２４は、操作部１５０からの操作信号を専ら受け取ることができる。電装部品ＥＣ１が、ブレーキであり、且つ、操作信号が、運転者がブレーキペダルを踏み込んだことを表しているならば、部品制御部１２１は、操作信号に応じて、ディスクブレーキに作用する油圧を増加させてもよい。電装部品ＥＣ２が、エンジンであり、且つ、操作信号が、運転者がアクセルペダルを踏み込んだことやアクセルペダルの踏み込み量を表しているならば、部品制御部１２２は、エンジンの回転数を増加させ、エンジンの回転数の増加に適合するように点火タイミングを調整してもよい。電装部品ＥＣ３が、トランスミッションであり、且つ、操作信号が、ギアレバーが指示するギアが、「３速」から「４速」へ変更されたことを表すならば、部品制御部１２３は、操作信号に応じて、ギアを変更してもよい。電装部品ＥＣ４が、ステアリングであり、且つ、操作信号が、ステアリングホイールの操舵方向やステアリングホイールに与えられた操舵角を表しているならば、部品制御部１２４は、操作信号に応じて、ステアリングのモータを駆動し、ステアリングシャフトを時計回り又は反時計回りに所定の角度だけ回転させてもよい。したがって、主制御部１１０から部品制御部１２１，１２２，１２３，１２４への指令信号の伝達の遮断の後（すなわち、主制御部１１０の異常の発生後）においても、車両は、操作部１５０による制御下で、「進行」、「後退」、「曲がる」、「止まる」といった車両の基本動作を継続することができる。
【００４５】
＜第２実施形態＞
運転者は、異常が、主制御部に生じたか否かを判定してもよい。たとえば、主制御部が、運転者を不安にさせるような制御をするならば、運転者は、異常が、主制御部に生じたと判定することができる。運転者が、遮断部を操作し、主制御部による制御を終了することができるならば、運転者は、その後、操作部を操作し、車両を快適に運転することができる。第２実施形態において、運転者の意志の下で主制御部による制御を解除することを可能にする例示的な制御装置が説明される。
【００４６】
図２は、第２実施形態の制御装置１００Ａの概念的な機能構成を表すブロック図である。図２を参照して、制御装置１００Ａが説明される。上述の実施形態の説明は、上述の実施形態と同一の符号が付された要素に援用される。
【００４７】
第１実施形態と同様に、制御装置１００Ａは、主制御部１１０と、４つの部品制御部１２１，１２２，１２３，１２４と、ハブ１３０と、操作部１５０と、を備える。第１実施形態の説明は、これらの要素に援用される。
【００４８】
制御装置１００Ａは、遮断部１４０Ａを更に備える。遮断部１４０Ａは、操作スイッチ１４１と遮断スイッチ１４２とを含む。遮断スイッチ１４２は、第１端子１４３と第２端子１４４とを含む。主制御部１１０は、第１端子１４３に電気的に接続される。ハブ１３０は、第２端子１４４に電気的に接続される。
【００４９】
操作スイッチ１４１は、運転者によって操作される。操作スイッチ１４１は、ステアリングホイールの周囲に配置されたボタンやレバースイッチであってもよい。代替的に、操作スイッチ１４１は、運転者の近くのインストルメントパネルに配置されてもよいし、オーバーヘッドコンソールに配置されてもよい。操作スイッチ１４１は、運転者が姿勢を大きく変更することなくアクセスすることができる様々な位置に配置されてもよい。本実施形態の原理は、操作スイッチ１４１として用いられる特定の部品や操作スイッチ１４１が配置される特定の場所に限定されない。
【００５０】
操作スイッチ１４１が、運転者によって操作されていないならば、遮断スイッチ１４２は、第１端子１４３と第２端子１４４との間の電気的な接続を維持する。この間、主制御部１１０が生成した指令信号は、第１端子１４３、第２端子１４４及びハブ１３０を通じて、部品制御部１２１，１２２，１２３，１２４へ伝達される。
【００５１】
運転者が、異常が主制御部１１０に生じたと判定するならば、運転者は、操作スイッチ１４１を操作することができる。操作スイッチ１４１が、運転者によって操作されると、遮断スイッチ１４２は、第１端子１４３と第２端子１４４との間の電気的な接続を解除する。この結果、主制御部１１０から部品制御部１２１，１２２，１２３，１２４への指令信号の伝達は遮断される。運転者は、主制御部１１０の制御下での車両の挙動に不安を感じるならば、操作スイッチ１４１を操作してもよい。運転者は、その後、操作部１５０を操作し、車両を運転してもよい。
【００５２】
主制御部１１０から部品制御部１２１，１２２，１２３，１２４への指令信号の伝達の遮断は、操作スイッチ１４１への複数回の操作を必要としてもよい。この場合、運転者が意図せず操作スイッチ１４１に触れても、主制御部１１０の制御は継続される。すなわち、運転者の誤操作に起因する指令信号の伝達の遮断は生じにくくなる。
【００５３】
主制御部１１０から部品制御部１２１，１２２，１２３，１２４への指令信号の伝達の遮断は、所定期間を超える操作スイッチ１４１への操作を必要としてもよい。この場合も、運転者が意図せず操作スイッチ１４１に短期間触れても、主制御部１１０の制御は継続される。すなわち、運転者の誤操作に起因する指令信号の伝達の遮断は生じにくくなる。
【００５４】
運転者の誤操作に起因する指令信号の伝達の遮断を防止するために、操作スイッチ１４１は、回動式或いは摺動式の扉によって覆われた空間内に配置されてもよい。或いは、操作スイッチ１４１は、カバーによって覆われてもよい。これらの場合において、運転者は、扉の操作やカバーの破壊なくして、操作スイッチ１４１を操作することはできないので、運転者の誤操作に起因する指令信号の伝達の遮断は生じにくくなる。
【００５５】
操作スイッチ１４１と遮断スイッチ１４２との間の連動は、既知の電子部品に用いられる技術に依存してもよい。操作スイッチ１４１が、操作されると、操作スイッチ１４１は、電磁力を生じさせ、第１端子１４３及び第２端子１４４からこれらを接続する接続素子を引き離してもよい。
【００５６】
＜第３実施形態＞
第２実施形態に関連して説明された制御原理によれば、運転者は、異常が、主制御部に生じたか否かを判定する。代替的に、或いは、追加的に、部品制御部が、異常が、主制御部に生じたか否かを判定してもよい。この場合、主制御部の異常の発生が自動的に判定されることになる。第３実施形態において、主制御部の異常の発生を自動的に判定することを可能にする例示的な制御装置が説明される。
【００５７】
図３は、第３実施形態の部品制御部１２０の概念的な機能構成を表すブロック図である。図１及び図３を参照して、部品制御部１２０が説明される。
【００５８】
部品制御部１２０に関する説明は、図１を参照して説明された部品制御部１２１，１２２，１２３，１２４のうち少なくとも１つに援用される。したがって、部品制御部１２１，１２２，１２３，１２４のうち少なくとも１つは、部品制御部１２０の機能を有することができる。
【００５９】
部品制御部１２０は、入力ポート１６１と、出力ポート１６２と、異常判定部１６３と、要求信号生成部１６４と、制御信号生成部１６５と、を含む。入力ポート１６１は、第１実施形態に関連して説明された信号伝達ループを通じて、指令信号及び／又は操作信号を受け取る。異常判定部１６３は、入力ポート１６１を通じて、指令信号及び／又は操作信号を受け取る。
【００６０】
異常判定部１６３が、操作信号を受け取ると、異常判定部１６３は、操作信号を参照し、操作信号が、部品制御部１２０の制御対象に対する操作を表しているか否かを判定する。部品制御部１２０の制御対象が、ブレーキであり、且つ、操作信号が、運転者のブレーキ操作を表しているならば、異常判定部１６３は、操作信号を制御信号生成部１６５及び出力ポート１６２へ伝達する。他の場合には、異常判定部１６３は、操作信号を制御信号生成部１６５へ伝達することなく、出力ポート１６２へ伝達する。出力ポート１６２へ伝達された操作信号は、その後、信号伝達ループを通じて、他の部品制御部へ伝達される。
【００６１】
制御信号生成部１６５が、操作信号を受け取ると、制御信号生成部１６５は、操作信号に応じた制御信号を生成する。部品制御部１２０の制御対象が、ブレーキであり、且つ、操作信号が、運転者のブレーキ操作を表しているならば、制御信号生成部１６５は、ブレーキディスクに加わる油圧を増加させるための制御信号を生成する。制御信号は、制御信号生成部１６５から部品制御部１２０の制御対象の電装部品へ伝達する。電装部品は、制御信号に応じた動作を実行する。
【００６２】
異常判定部１６３が、指令信号を受け取ると、異常判定部１６３は、指令信号を参照して、異常が、主制御部１１０（図１を参照）に生じているか否かを判定する。異常が、主制御部１１０に生じていないならば、異常判定部１６３は、指令信号を参照し、指令信号が、部品制御部１２０の制御対象に対する操作を表しているか否かを判定する。部品制御部１２０の制御対象が、ブレーキであり、且つ、指令信号が、制動力の目標値を表しているならば、異常判定部１６３は、指令信号を制御信号生成部１６５及び出力ポート１６２へ伝達する。他の場合には、異常判定部１６３は、指令信号を制御信号生成部１６５へ伝達することなく、出力ポート１６２へ伝達する。出力ポート１６２へ伝達された指令信号は、その後、信号伝達ループを通じて、他の部品制御部へ伝達される。
【００６３】
制御信号生成部１６５が、指令信号を受け取ると、制御信号生成部１６５は、指令信号によって与えられた目標値を達成するための制御信号を生成する。部品制御部１２０の制御対象が、ブレーキであり、且つ、指令信号が、制動力の目標値を表しているならば、制御信号生成部１６５は、ブレーキディスクに加わる油圧を増加させ、目標の制動力を達成するための制御信号を生成する。制御信号は、制御信号生成部１６５から部品制御部１２０の制御対象の電装部品へ伝達する。電装部品は、制御信号に応じた動作を実行する。
【００６４】
異常判定部１６３が、指令信号を参照し、異常が、主制御部１１０に生じていると判定すると、要求信号生成部１６４に、要求信号の生成を指示する。要求信号生成部１６４は、異常判定部１６３からの指示に基づき、指令信号の伝達の遮断を要求する要求信号を生成する。要求信号は、出力ポート１６２を通じて、信号伝達ループへ出力される。その後、遮断部１４０（図１を参照）は、要求信号を受け取る。遮断部１４０は、要求信号に応じて、主制御部１１０からの指令信号の伝達を遮断する。本実施形態に関して、判定部は、異常判定部１６３及び要求信号生成部１６４によって例示される。
【００６５】
＜第４実施形態＞
第３実施形態に関連して説明された制御原理によれば、部品制御部は、異常が、主制御部に生じたか否かを判定する。この場合、部品制御部は、電装部品を制御するための処理と、異常が主制御部に生じたか否かを判定するための処理と、を実行する。この結果、部品制御部に加わる演算負荷は、過大になることもある。第４実施形態において、部品制御部に加わる演算負荷を低減するための例示的な技術が説明される。
【００６６】
図４は、第４実施形態の制御装置１００Ｂの概念的な機能構成を表すブロック図である。図４を参照して、制御装置１００Ｂが説明される。上述の実施形態の説明は、上述の実施形態と同一の符号が付された要素に援用される。
【００６７】
第１実施形態と同様に、制御装置１００Ｂは、主制御部１１０と、部品制御部１２１，１２２，１２３，１２４と、ハブ１３０と、遮断部１４０と、操作部１５０と、を備える。第１実施形態の説明は、これらの要素に援用される。
【００６８】
制御装置１００Ｂは、異常が主制御部１１０に生じているか否かを判定する判定部１７０を更に備える。判定部１７０は、入力ポート１７１と、出力ポート１７２と、異常判定部１７３と、要求信号生成部１７４と、を含む。入力ポート１７１は、信号伝達ループを通じて、指令信号及び／又は操作信号を受け取る。異常判定部１７３は、入力ポート１７１を通じて、指令信号及び／又は操作信号を受け取る。
【００６９】
異常判定部１７３が、操作信号を受け取ると、異常判定部１７３は、操作信号を、出力ポート１７２へ出力する。異常判定部１７３が、指令信号を受け取ると、異常判定部１７３は、指令信号を参照して、異常が、主制御部１１０に生じているか否かを判定する。異常が、主制御部１１０に生じていないならば、異常判定部１７３は、指令信号を、出力ポート１７２へ出力する。出力ポート１７２に出力された操作信号及び指令信号は、信号伝達ループに再度入力される。
【００７０】
異常判定部１７３が、指令信号を参照し、異常が、主制御部１１０に生じていると判定すると、要求信号生成部１７４に、要求信号の生成を指示する。要求信号生成部１７４は、異常判定部１７３からの指示に基づき、指令信号の伝達の遮断を要求する要求信号を生成する。要求信号は、出力ポート１７２を通じて、信号伝達ループへ出力される。その後、遮断部１４０は、要求信号を受け取る。遮断部１４０は、要求信号に応じて、主制御部１１０からの指令信号の伝達を遮断する。
【００７１】
判定部１７０は、異常が、主制御部１１０に生じているか否かを判定するための判定処理を実行する。したがって、部品制御部１２１，１２２，１２３，１２４は、電装部品ＥＣ１，ＥＣ２，ＥＣ３，ＥＣ４を制御するための処理を専ら担うことができる。したがって、過大な演算負荷は、部品制御部１２１，１２２，１２３，１２４に加わらない。
【００７２】
＜第５実施形態＞
第３実施形態及び第４実施形態に関連して説明された異常判定部は、指令信号によって表される目標値に対する閾値を予め保持してもよい。異常判定部は、目標値を、閾値と比較して、異常が、主制御部に生じているか否かを判定してもよい。第５実施形態において、閾値を用いた例示的な異常判定技術が説明される。
【００７３】
図５は、第５実施形態の異常判定処理の概略的なフローチャートである。図３乃至図５を参照して、異常判定部１６３，１７３（図３及び図４を参照）の異常判定処理が説明される。
【００７４】
（ステップＳ１１０）
異常判定部１６３，１７３は、指令信号の受信を待つ。異常判定部１６３，１７３が、指令信号を受け取ると、ステップＳ１２０が実行される。
【００７５】
（ステップＳ１２０）
異常判定部１６３，１７３は、指令信号を参照し、指令信号が表す目標値を、上限閾値及び／又は下限閾値と比較する。目標値が、上限閾値を超えているならば、或いは、目標値が、下限閾値を下回っているならば、ステップＳ１３０が実行される。他の場合には、ステップＳ１１０が実行される。
【００７６】
上限閾値及び／又は下限閾値は、車両の走行能力や法定基準に基づいて設定されてもよい。たとえば、目標値が、「２５０ｋｍ／ｈ」の走行速度を表しているならば、目標値は、車両の走行能力及び／又は法定基準を超えているので、異常判定部１６３，１７３は、主制御部１１０が異常な状態にあると判断することができる。
【００７７】
（ステップＳ１３０）
異常判定部１６３，１７３は、要求信号生成部１６４，１７４に要求信号の生成を指示する。要求信号生成部１６４，１７４は、異常判定部１６３，１７３の指示下で、要求信号を生成する。要求信号は、要求信号生成部１６４，１７４から遮断部１４０へ伝達される。遮断部１４０は、要求信号に応じて、主制御部１１０からの指令信号の伝達を遮断する。この結果、車両は、不適切な指令信号に影響されることなく、操作部１５０から出力された操作信号に応じて制御される。
【００７８】
＜第６実施形態＞
第５実施形態に関連して説明された閾値は、車両の走行状態、車両の周囲の環境や他の因子に応じて変更されてもよい。この場合、車両の走行状態や車両の周囲の環境に適合した異常判定処理が、主制御部に対してなされることになる。第６実施形態において、可変の閾値を用いた例示的な異常判定処理が説明される。
【００７９】
図６は、第６実施形態の制御装置１００Ｃの概念的な機能構成を表すブロック図である。図５及び図６を参照して、制御装置１００Ｃが説明される。上述の実施形態の説明は、上述の実施形態と同一の符号が付された要素に援用される。
【００８０】
第１実施形態と同様に、制御装置１００Ｃは、主制御部１１０と、部品制御部１２１，１２２，１２３，１２４と、ハブ１３０と、遮断部１４０と、操作部１５０と、を備える。第１実施形態の説明は、これらの要素に援用される。
【００８１】
制御装置１００Ｃは、判定部１７０Ｃとデータ収集部１８０とを更に備える。第４実施形態と同様に、判定部１７０Ｃは、入力ポート１７１と、出力ポート１７２と、要求信号生成部１７４と、を含む。第４実施形態の説明は、これらの要素に援用される。
【００８２】
判定部１７０Ｃは、異常判定部１７３Ｃを更に含む。異常判定部１７３Ｃは、データ収集部１８０からデータを受け取り、異常判定処理のための閾値を設定する。データ収集部１８０は、車両の加速度、車両の減速度、車両の速度、転舵速度、転舵加速度、転舵減速度、路面の摩擦係数、路面の傾斜角度、車両の周囲の障害物の存在又は不存在や道路情報といったデータの取得に寄与する様々なセンサ、レーダ設備、カメラ装置やＧＰＳシステムを含んでもよい。これらの装置から得られた信号やこれらの装置から得られた信号から算出されたデータは、データ収集部１８０から異常判定部１７３Ｃへ出力される。本実施形態において、検出部は、データ収集部１８０によって例示される。検出信号は、データ収集部１８０から異常判定部１７３Ｃへ出力される信号又はデータによって例示される。
【００８３】
異常判定部１７３Ｃは、閾値（図５を参照して説明された上限閾値又は下限閾値）を所定の関数Ｆ（下式を参照）に基づいて決定してもよい。以下の数式に関して、「Ｘ１」，「Ｘ２」・・・，「Ｘｎ」は、互いに異なる因子（たとえば、車両の加速度、車両の減速度、車両の速度、転舵速度、転舵加速度、転舵減速度、路面の摩擦係数、路面の傾斜角度、車両の周囲の障害物の存在又は不存在や道路情報）を表すデータを意味する。
【００８４】
【数１】
2018030527.tif 000003
【００８５】
代替的に、異常判定部１７３Ｃは、閾値を決定するためのデータを座標軸とする多次元座標系内で設定されたマップとして閾値又は許容範囲（すなわち、主制御部１１０が正常であると判断される範囲）を記憶してもよい。
【００８６】
たとえば、転舵量、転舵速度或いは転舵加速度に関する目標値に対する閾値は、路面の摩擦係数、路面の傾斜角度、車両の速度や車両の加速度の関数として設定されてもよい。或いは、転舵量、転舵速度或いは転舵加速度に関する目標値に対する閾値は、路面の摩擦係数、路面の傾斜角度、車両の速度及び車両の加速度を座標軸として設定された４次元座標系内で定義されたマップに基づき決定されてもよい。
【００８７】
路面の摩擦係数が、非常に小さいならば、転舵量、転舵速度或いは転舵加速度に関する目標値に対する閾値は、小さな値に設定されてもよい。車両が滑りやすい路面上で走行しているときに、主制御部１１０が、転舵量、転舵速度或いは転舵加速度に関して大きな目標値を設定しているならば、遮断部１４０は、主制御部１１０からの指令信号の伝達を遮断する。この結果、主制御部１１０の制御下での車両の不安定な挙動（すなわち、車両のスピン）は、回避される。主制御部１１０の制御に代えて、車両は、運転者の車両操作によって制御されるので、車両は、低い摩擦係数の路面に適合した動作をすることができる。
【００８８】
路面の摩擦係数が、大きいならば、転舵量、転舵速度或いは転舵加速度に関する目標値に対する閾値は、大きな値に設定されてもよい。この結果、要求信号は、要求信号生成部１７４から遮断部１４０へ出力されにくくなる。このことは、異常判定処理が、主制御部１１０の異常を過度にセンシティブに判定しないことを意味する。
【００８９】
＜第７実施形態＞
第６実施形態に関連して説明された制御装置は、主制御部の制御下での、車両と障害物との間での衝突を回避することを可能にする。第７実施形態において、障害物への過度の接近を許容する主制御部からの指令信号の伝達を遮断するための例示的な異常判定処理が説明される。
【００９０】
図７は、第７実施形態の異常判定処理の概略的なフローチャートである。図６及び図７を参照して、障害物への過度の接近を許容する主制御部の制御を解除する異常判定処理が説明される。
【００９１】
（ステップＳ２１０）
異常判定部１７３Ｃは、データ収集部１８０から走行データを取得する。本実施形態において、データ収集部１８０は、車両の周囲に存在する障害物を検出するレーダ装置やカメラ装置を含んでもよい。走行データは、車両の加速度、車両の減速度、車両の速度、車両の走行方向や車両の周囲に存在する障害物の位置といった情報を含んでもよい。異常判定部１７３Ｃが、走行データを取得すると、ステップＳ２２０が実行される。本実施形態において、検出部は、レーダ装置やカメラ装置によって例示される。
【００９２】
（ステップＳ２２０）
異常判定部１７３Ｃは、指令信号を受け取ったか否かを判定する。異常判定部１７３Ｃが、指令信号を受け取っていないならば、ステップＳ２１０が実行される。異常判定部１７３Ｃが、指令信号を受け取っているならば、ステップＳ２３０が実行される。したがって、ステップＳ２１０及びステップＳ２２０の処理は、異常判定部１７３Ｃが指令信号を受け取るまで繰り返される。
【００９３】
（ステップＳ２３０）
異常判定部１７３Ｃは、ステップＳ２１０において取得された走行データを参照し、障害物が車両の周囲における所定の範囲に存在するか否かを判定する。障害物が車両の周囲における所定の範囲に存在するならば、異常判定部１７３Ｃは、車両に対する障害物の方向（あるいは、位置）を確認する。その後、ステップＳ２４０が実行される。他の場合には、ステップＳ２１０が実行される。
【００９４】
（ステップＳ２４０）
異常判定部１７３Ｃは、ステップＳ２２０において取得された指令信号を参照し、指令信号が指定する転舵方向に基づいて、以後の走行方向を推定する。指令信号が、転舵方向に関する目標値（たとえば、ステアリングホイールの回転方向や回転角に関する目標値）を指示していないならば、異常判定部１７３Ｃは、走行データを参照し、現状の走行方向を確認してもよい。異常判定部１７３Ｃは、ステップＳ２３０において確認された障害物の方向が、推定或いは確認された走行方向に略一致しているか否かを検証する。障害物が、推定或いは確認された走行方向に存在しているならば、ステップＳ２５０が実行される。他の場合には、ステップＳ２１０が実行される。
【００９５】
（ステップＳ２５０）
異常判定部１７３Ｃは、ステップＳ２２０において取得された指令信号を参照し、指令信号が指定する制動力が十分に大きいか否か、或いは、指令信号が指定する車両の速度が十分に小さいか否かを判定する。指令信号が指定する制動力が十分に大きく、及び／又は、指令信号が指定する車両の速度が十分に小さいならば、異常判定部１７３Ｃは、車両が、障害物に接触する前に停止すると判断することができる。この場合には、ステップＳ２１０が実行される。一方、指令信号が指定する制動力が小さすぎる場合、指令信号が、指定する車両の速度が大きすぎる場合（たとえば、指令信号が、加速を指示している場合）や、指令信号が、障害物への車両の衝突が推定されるような他の目標値を指定している場合には、異常判定部１７３Ｃは、異常が主制御部１１０に生じていると判定し、ステップＳ２６０が実行される。
【００９６】
（ステップＳ２６０）
異常判定部１７３Ｃは、要求信号生成部１７４に要求信号の生成を指示する。要求信号生成部１７４は、異常判定部１７３Ｃの指示下で、要求信号を生成する。要求信号は、要求信号生成部１７４から遮断部１４０へ伝達される。遮断部１４０は、要求信号に応じて、主制御部１１０からの指令信号の伝達を遮断する。この結果、車両は、不適切な指令信号に影響されることなく、操作部１５０から出力された操作信号に応じて制御される。すなわち、運転者は、操作部１５０を操作し、指令信号の影響を受けることなく、障害物を回避することができる。
【００９７】
＜第８実施形態＞
第６実施形態に関連して説明された制御装置は、主制御部の制御下での、車両の不適切な侵入動作（たとえば、水路、湖や海といった走行不能エリアへの侵入）を回避することを可能にする。第８実施形態において、走行不能エリアへの侵入を指示する主制御部からの指令信号の伝達を遮断するための例示的な異常判定処理が説明される。
【００９８】
図８は、第８実施形態の異常判定処理の概略的なフローチャートである。図６及び図８を参照して、走行不能エリアへの侵入を指示する主制御部の制御を解除する異常判定処理が説明される。
【００９９】
（ステップＳ３１０）
異常判定部１７３Ｃは、データ収集部１８０から走行データを取得する。本実施形態において、データ収集部１８０は、車両の位置及び車両の周囲の地図情報を提供するナビゲーションシステムを含んでもよい。走行データは、車両の加速度、車両の減速度、車両の速度や車両の走行方向といった情報を更に含んでもよい。異常判定部１７３Ｃが、走行データを取得すると、ステップＳ３２０が実行される。本実施形態において、取得部は、ナビゲーションシステムによって例示される。
【０１００】
（ステップＳ３２０）
異常判定部１７３Ｃは、指令信号を受け取ったか否かを判定する。異常判定部１７３Ｃが、指令信号を受け取っていないならば、ステップＳ３１０が実行される。異常判定部１７３Ｃが、指令信号を受け取っているならば、ステップＳ３３０が実行される。したがって、ステップＳ３１０及びステップＳ３２０の処理は、異常判定部１７３Ｃが指令信号を受け取るまで繰り返される。
【０１０１】
（ステップＳ３３０）
異常判定部１７３Ｃは、ステップＳ３２０において取得された指令信号を参照し、指令信号が指定する転舵方向に基づいて、以後の走行方向を推定する。指令信号が、転舵方向に関する目標値（たとえば、ステアリングホイールの回転方向や回転角に関する目標値）を指示していないならば、異常判定部１７３Ｃは、走行データを参照し、現状の走行方向を確認してもよい。走行方向の推定又は確認の後、ステップＳ３４０が実行される。
【０１０２】
（ステップＳ３４０）
異常判定部１７３Ｃは、車両の位置及び車両の周囲の地図情報を参照する。異常判定部１７３Ｃは、車両が、ステップＳ３３０において推定又は確認された走行方向に進行したときに、地図情報において走行不能エリアとして示されている領域（たとえば、水路、湖や海）に侵入するか否かを検証する。異常判定部１７３Ｃが、走行不能エリアへの車両の侵入のリスクが高いこと（たとえば、車両から走行方向に引き延ばされた直線が、走行不能エリア内に延びること）を判定するならば、異常判定部１７３Ｃは、異常が主制御部１１０に生じていると判断し、ステップＳ３５０が実行される。他の場合には、ステップＳ３１０が実行される。
【０１０３】
（ステップＳ３５０）
異常判定部１７３Ｃは、要求信号生成部１７４に要求信号の生成を指示する。要求信号生成部１７４は、異常判定部１７３Ｃの指示下で、要求信号を生成する。要求信号は、要求信号生成部１７４から遮断部１４０へ伝達される。遮断部１４０は、要求信号に応じて、主制御部１１０からの指令信号の伝達を遮断する。この結果、車両は、不適切な指令信号に影響されることなく、操作部１５０から出力された操作信号に応じて制御される。すなわち、運転者は、操作部１５０を操作し、指令信号の影響を受けることなく、走行不能エリアへの侵入を回避することができる。
【０１０４】
＜第９実施形態＞
主制御部の制御が、運転者の操作と矛盾しているならば、異常判定部は、異常が主制御部に生じていると判断してもよい。主制御部の制御と運転者の操作との間での矛盾の発生に応じて、主制御部からの指令信号の伝達が遮断されるならば、車両の制御は、その後、運転者の操作に専ら依存することになる。この結果、車両は、運転者の操作に矛盾する指令信号の指示の影響を受けることなく、運転者の制御下で安全に走行することができる。第９実施形態において、主制御部の制御と運転者の操作との間での矛盾の発生に応じて、主制御部からの指令信号の伝達を遮断するための例示的な異常判定処理が説明される。
【０１０５】
図９は、第９実施形態の異常判定処理の概略的なフローチャートである。図６及び図９を参照して、主制御部の制御と運転者の操作との間での矛盾の発生に応じて、主制御部の制御を解除する異常判定処理が説明される。
【０１０６】
（ステップＳ４０５）
異常判定部１７３Ｃは、信号の受信を待つ。異常判定部１７３Ｃが、信号を受信すると、ステップＳ４１０が実行される。
【０１０７】
（ステップＳ４１０）
異常判定部１７３Ｃは、計時を開始する。この結果、計時値「Ｔ」は、「０」から増加する。その後、ステップＳ４１５が実行される。
【０１０８】
（ステップＳ４１５）
異常判定部１７３Ｃは、信号が、指令信号であるか否かを判定する。信号が、指令信号であるならば、ステップＳ４２０が実行される。信号が、操作信号であるならば、ステップＳ４４５が実行される。
【０１０９】
（ステップＳ４２０）
異常判定部１７３Ｃは、計時値「Ｔ」が、所定の計時閾値「ＴＨ」を超えているか否かを判定する。計時値「Ｔ」が、計時閾値「ＴＨ」を超えているならば、ステップＳ４０５が実行される。他の場合には、ステップＳ４２５が実行される。
【０１１０】
（ステップＳ４２５）
異常判定部１７３Ｃは、信号を更に受信しているか否かを判定する。異常判定部１７３Ｃが、信号を更に受信しているならば、ステップＳ４３０が実行される。他の場合には、ステップＳ４２０が実行される。
【０１１１】
（ステップＳ４３０）
異常判定部１７３Ｃは、受信信号が、操作信号であるか否かを判定する。受信信号が、操作信号であるならば、ステップＳ４３５が実行される。受信信号が、指令信号であるならば、ステップＳ４０５が実行される。
【０１１２】
（ステップＳ４３５）
ステップＳ４３５において、異常判定部１７３Ｃは、計時閾値「ＴＨ」によって定められる期間内で指令信号と操作信号とを受け取っている。異常判定部１７３Ｃは、指令信号が指し示す目標値が、操作信号によって表される操作に矛盾しているか否かを判断する。たとえば、操作信号が、運転者が、ブレーキを操作していることを表す一方で、指令信号が、現状の走行速度よりも高い速度の目標値を指し示しているならば、異常判定部１７３Ｃは、異常が、主制御部１１０に生じていると判定する。操作信号が、運転者が、左方への操舵を表す一方で、指令信号が、右方への操舵を表す目標値を指し示しているならば、異常判定部１７３Ｃは、異常が、主制御部１１０に生じていると判定する。異常判定部１７３Ｃが、異常が、主制御部１１０に生じていると判定するならば、ステップＳ４４０が実行される。他の場合には、ステップＳ４０５が実行される。
【０１１３】
（ステップＳ４４０）
異常判定部１７３Ｃは、要求信号生成部１７４に要求信号の生成を指示する。要求信号生成部１７４は、異常判定部１７３Ｃの指示下で、要求信号を生成する。要求信号は、要求信号生成部１７４から遮断部１４０へ伝達される。遮断部１４０は、要求信号に応じて、主制御部１１０からの指令信号の伝達を遮断する。この結果、車両は、運転者の操作に矛盾する指令信号に影響されることなく、操作部１５０から出力された操作信号に応じて制御される。
【０１１４】
（ステップＳ４４５）
異常判定部１７３Ｃは、計時値「Ｔ」が、所定の計時閾値「ＴＨ」を超えているか否かを判定する。計時値「Ｔ」が、計時閾値「ＴＨ」を超えているならば、ステップＳ４０５が実行される。他の場合には、ステップＳ４５０が実行される。
【０１１５】
（ステップＳ４５０）
異常判定部１７３Ｃは、信号を更に受信しているか否かを判定する。異常判定部１７３Ｃが、信号を更に受信しているならば、ステップＳ４５５が実行される。他の場合には、ステップＳ４４５が実行される。
【０１１６】
（ステップＳ４５５）
異常判定部１７３Ｃは、受信信号が、指令信号であるか否かを判定する。受信信号が、指令信号であるならば、ステップＳ４３５が実行される。受信信号が、操作信号であるならば、ステップＳ４０５が実行される。
【０１１７】
＜第１０実施形態＞
主制御部からの指令信号の遮断は、異常判定部が、異常が主制御部に生じていると数回判定した後に実行されてもよい。主制御部の異常を表す結果が、異常判定部から数回繰り返して出力されるので、主制御部からの指令信号の遮断は、高い精度の異常判定の下で実行されることとなる。したがって、主制御部からの指令信号の遮断は、過度にセンシティブに行われない。第１０実施形態において、高い精度の異常判定の下で主制御部からの指令信号の遮断を実行する例示的な制御装置が説明される。
【０１１８】
図１０は、第１０実施形態の部品制御部１２０Ｄの概念的な機能構成を表すブロック図である。図１及び図１０を参照して、部品制御部１２０Ｄが説明される。上述の実施形態の説明は、上述の実施形態と同一の符号が付された要素に援用される。
【０１１９】
部品制御部１２０Ｄに関する説明は、図１を参照して説明された部品制御部１２１，１２２，１２３，１２４のうちの１つに援用される。したがって、部品制御部１２１，１２２，１２３，１２４のうちの１つは、部品制御部１２０Ｄの機能を有することができる。
【０１２０】
第３実施形態と同様に、部品制御部１２０Ｄは、入力ポート１６１と、出力ポート１６２と、要求信号生成部１６４と、制御信号生成部１６５と、を含む。第３実施形態の説明は、これらの要素に援用される。
【０１２１】
部品制御部１２０Ｄは、異常判定部１６３Ｄと、指示部１６６と、カウント部１６７と、を更に含む。図１０は、第６実施形態に関連して説明されたデータ収集部１８０を示す。第６実施形態の説明は、データ収集部１８０に援用される。
【０１２２】
部品制御部１２０Ｄは、電装部品として搭載されたステアリング機構の制御に専ら利用される。異常判定部１６３Ｄは、ステアリング機構に関する情報を含む指令信号及び操作信号を専ら処理する。ステアリング機構とは無関係な情報を包含する指令信号及び操作信号は、異常判定部１６３Ｄによる異常判定に曝されることなく、異常判定部１６３Ｄを通じて、入力ポート１６１から出力ポート１６２へ伝達される。その後、これらの信号は、図１を参照して説明された信号伝達ループを通じて、他の部品処理部へ伝達される。
【０１２３】
異常判定部１６３Ｄは、データ収集部１８０から、車両の加速度、車両の減速度、車両の速度、転舵速度、転舵加速度、転舵減速度、転舵の方向、路面の摩擦係数、路面の傾斜角度に関する情報を受け取る。異常判定部１６３Ｄは、データ収集部１８０からの情報に基づき、車両が走行する路面の摩擦係数を推定してもよい。既知の演算技術が、摩擦係数の推定に利用されてもよい。したがって、本実施形態の原理は、摩擦係数を推定するための特定の演算技術に限定されない。
【０１２４】
異常判定部１６３Ｄは、第６実施形態の制御原理に基づき、指令信号の目標値に対する許容範囲を設定する（下式を参照）。以下の数式において、記号「ＡＲ１」は、転舵角度量（すなわち、ステアリングシャフトの回転角度量）に関する許容範囲を表す。記号「ＡＲ２」は、転舵速度に関する許容範囲を表す。記号「ＡＲ３」は、転舵加速度に関する許容範囲を表す。記号「ＡＲ４」は、転舵減速度に関する許容範囲を表す。記号「ＬＳ１」は、転舵角度量に関する下限閾値を表す。記号「ＬＳ２」は、転舵速度に関する下限閾値を表す。記号「ＬＳ３」は、転舵加速度に関する下限閾値を表す。記号「ＬＳ４」は、転舵減速度に関する下限閾値を表す。記号「ＵＳ１」は、転舵角度量に関する上限閾値を表す。記号「ＵＳ２」は、転舵速度に関する上限閾値を表す。記号「ＵＳ３」は、転舵加速度に関する上限閾値を表す。記号「ＵＳ４」は、転舵減速度に関する上限閾値を表す。
【０１２５】
【数２】
2018030527.tif 000004
【０１２６】
下限閾値及び上限閾値は、以下の式によって示されるように、車両の加速度、車両の減速度、車両の速度、転舵速度、転舵加速度、転舵減速度、転舵の方向、路面の摩擦係数、路面の傾斜角度の関数として定義されてもよい。以下の数式において、記号「ａ１」は、走行データによって表される車両の加速度を意味する。記号「ａ２」は、走行データによって表される車両の減速度を意味する。記号「ａ３」は、走行データによって表される車両の速度を意味する。記号「ａ４」は、走行データによって表される転舵速度を意味する。記号「ａ５」は、走行データによって表される転舵加速度を意味する。記号「ａ６」は、走行データによって表される転舵減速度を意味する。記号「ａ７」は、走行データによって表される転舵の方向を意味する。記号「ａ８」は、推定された摩擦係数を意味する。記号「ａ９」は、走行データによって表される路面の傾斜角を意味する。
【０１２７】
【数３】
2018030527.tif 000005
【０１２８】
【数４】
2018030527.tif 000006
【０１２９】
異常判定部１６３Ｄは、指令信号が指示する目標値（すなわち、転舵角度量、転舵速度、転舵加速度及び転舵減速度に関する目標値）が、許容範囲「ＡＲ１」，「ＡＲ２」，「ＡＲ３」，「ＡＲ４」の中にそれぞれ入っているか否かを判定する。指令信号が指示する目標値が、許容範囲「ＡＲ１」，「ＡＲ２」，「ＡＲ３」，「ＡＲ４」に包含されるならば、異常判定部１６３Ｄは、異常が主制御部１１０（図１を参照）に生じていないことを表す判定結果を生成する。一方、指令信号が指示する目標値のうち少なくとも１つが、許容範囲「ＡＲ１」，「ＡＲ２」，「ＡＲ３」，「ＡＲ４」から外れているならば、異常判定部１６３Ｄは、異常が主制御部１１０に生じていることを表す判定結果を生成する。これらの判定結果は、異常判定部１６３Ｄから指示部１６６へ出力される。
【０１３０】
異常が主制御部１１０に生じていないことを表す判定結果を受け取った指示部１６６は、制御信号生成部１６５に、制御信号の生成を指示する。制御信号生成部１６５は、指示部１６６の指示の下で、ステアリング機構を制御するための制御信号を生成する。制御信号は、制御信号生成部１６５からステアリング機構（たとえば、ステアリング機構の一部として用いられるモータ）へ出力される。
【０１３１】
異常が主制御部１１０に生じていることを表す判定結果を受け取った指示部１６６は、カウント値の増加をカウント部１６７に指示する。カウント部１６７は、指示部１６６の指示の下で、カウント値を増やす。カウント値が、所定のカウント閾値を超えているならば、カウント部１６７は、トリガ信号を生成する。トリガ信号は、カウント部１６７から要求信号生成部１６４へ出力される。
【０１３２】
要求信号生成部１６４は、トリガ信号に応じて、要求信号を生成する。第３実施形態に関連して説明されたように、要求信号は、その後、出力ポート１６２を通じて、信号伝達ループへ伝達される。最終的に、要求信号は、遮断部１４０（図１を参照）によって受け取られる。遮断部１４０は、要求信号に応じて、主制御部１１０からの指令信号の伝達を遮断する。
【０１３３】
カウント値が、所定のカウント閾値を超えるまで、要求信号は生成されないので、主制御部１１０が生成した指令信号の目標値が、許容範囲を偶発的に超えても、主制御部１１０からの指令信号の伝達は、遮断されない。
【０１３４】
異常が主制御部１１０に生じていることを表す判定結果が、異常判定部１６３Ｄから指示部１６６へ出力されている間、指令信号は、制御信号生成部１６５の信号生成処理に反映されない。この場合、主制御部１１０は、指令信号を繰り返し出力する。異常が、主制御部１１０に生じているならば、繰り返し出力された指令信号の目標値は、許容範囲を超える。この結果、カウント部１６７は、指示部１６６の下で、カウント値を繰り返し増加させる。したがって、カウント値は、短期間で、カウント閾値を超えることになる。上述の如く、カウント部１６７は、カウント値が、カウント閾値を超えると、トリガ信号を生成し、要求信号生成部１６４は、トリガ信号に応じて、要求信号を生成するので、遮断部１４０は、主制御部１１０からの指令信号の伝達することになる。
【０１３５】
図１１は、異常判定部１６３Ｄの処理を表す概略的なフローチャートである。図１、図１０及び図１１を参照して、異常判定部１６３Ｄの処理が説明される。
【０１３６】
（ステップＳ５１０）
異常判定部１６３Ｄは、データ収集部１８０から走行データ（たとえば、車両の加速度、車両の減速度、車両の速度、転舵速度、転舵加速度、転舵減速度、転舵の方向、路面の摩擦係数、路面の傾斜角度に関する情報）を取得する。その後、ステップＳ５２０が実行される。
【０１３７】
（ステップＳ５２０）
異常判定部１６３Ｄは、ステップＳ５１０において取得された走行データを用いて、車両が走行する路面の摩擦係数を推定する。その後、ステップＳ５３０が実行される。
【０１３８】
（ステップＳ５３０）
異常判定部１６３Ｄは、指令信号を受信しているか否かを判定する。指令信号を受信しているならば、ステップＳ５４０が実行される。他の場合には、ステップＳ５１０が実行される。
【０１３９】
（ステップＳ５４０）
異常判定部１６３Ｄは、指令信号が、ステアリング機構の制御に関係するか否かを判定する。指令信号が、ステアリング機構の制御に関係するならば、ステップＳ５５０が実行される。他の場合には、ステップＳ５９０が実行される。
【０１４０】
（ステップＳ５５０）
異常判定部１６３Ｄは、上述の如く、許容範囲「ＡＲ１」，「ＡＲ２」，「ＡＲ３」，「ＡＲ４」を設定する。その後、ステップＳ５６０が実行される。
【０１４１】
（ステップＳ５６０）
異常判定部１６３Ｄは、指令信号を参照し、指令信号が指定する目標値が、許容範囲「ＡＲ１」，「ＡＲ２」，「ＡＲ３」，「ＡＲ４」にそれぞれ包含されているか否かを判定する。指令信号が指定する目標値が、許容範囲「ＡＲ１」，「ＡＲ２」，「ＡＲ３」，「ＡＲ４」にそれぞれ包含されているならば、ステップＳ５７０が実行される。他の場合には、ステップＳ５８０が実行される。
【０１４２】
（ステップＳ５７０）
異常判定部１６３Ｄは、異常が、主制御部１１０に生じていないことを表す判定結果を生成する。判定結果は、異常判定部１６３Ｄから指示部１６６へ出力される。
【０１４３】
（ステップＳ５８０）
異常判定部１６３Ｄは、異常が、主制御部１１０に生じていることを表す判定結果を生成する。判定結果は、異常判定部１６３Ｄから指示部１６６へ出力される。
【０１４４】
（ステップＳ５９０）
異常判定部１６３Ｄは、指令信号を出力ポート１６２へ出力する。この結果、ステアリング機構に対する制御とは無関係な指令信号は、信号伝達ループを伝って、他の部品制御部によって受け取られる。出力ポート１６２への指令信号の出力の後、ステップＳ５１０が実行される。
【０１４５】
図１２は、指示部１６６の処理を表す概略的なフローチャートである。図１０及び図１２を参照して、指示部１６６の処理が説明される。
【０１４６】
（ステップＳ６１０）
指示部１６６は、異常判定部１６３Ｄからの判定結果の出力を待つ。指示部１６６が、異常判定部１６３Ｄから判定結果を受け取ると、ステップＳ６２０が実行される。
【０１４７】
（ステップＳ６２０）
指示部１６６が、判定結果を参照し、判定結果が、主制御部１１０の異常を表しているか否かを判定する。判定結果が、主制御部１１０が正常であることを表しているならば、ステップＳ６３０が実行される。判定結果が、主制御部１１０の異常を表しているならば、ステップＳ６４０が実行される。
【０１４８】
（ステップＳ６３０）
指示部１６６は、制御信号生成部１６５に、制御信号の生成を指示する。制御信号生成部１６５は、指示部１６６の指示の下で、制御信号を生成する。制御信号は、その後、制御信号生成部１６５からステアリング機構へ出力される。
【０１４９】
（ステップＳ６４０）
指示部１６６は、カウント部１６７にカウント値の増加を指示する。カウント部１６７は、指示部１６６の指示の下で、カウント値を増加させる。
【０１５０】
図１３は、カウント部１６７の処理を表す概略的なフローチャートである。図１、図１０及び図１３を参照して、カウント部１６７の処理が説明される。
【０１５１】
（ステップＳ７１０）
カウント部１６７は、カウント値「ＣＴ」を「０」に設定する。その後、ステップＳ７２０が実行される。
【０１５２】
（ステップＳ７２０）
カウント部１６７は、指示部１６６からの指示（すなわち、カウント値「ＣＴ」の増大の指示）を待つ。カウント部１６７が、指示部１６６から指示を受け取ると、ステップＳ７３０が実行される。
【０１５３】
（ステップＳ７３０）
カウント部１６７は、カウント値「ＣＴ」を「１」だけ増加させる。その後、ステップＳ７４０が実行される。
【０１５４】
（ステップＳ７４０）
カウント部１６７は、カウント値「ＣＴ」を、予め設定されたカウント閾値「ＣＴＨ」と比較する。カウント値「ＣＴ」が、カウント閾値「ＣＴＨ」よりも大きいならば、ステップＳ７５０が実行される。他の場合には、ステップＳ７２０が実行される。
【０１５５】
（ステップＳ７５０）
カウント部１６７は、トリガ信号を生成する。トリガ信号は、カウント部１６７から要求信号生成部１６４へ出力される。要求信号生成部１６４は、トリガ信号に応じて、要求信号を生成する。要求信号は、要求信号生成部１６４から遮断部１４０へ出力される。遮断部１４０は、要求信号に応じて、主制御部１１０からの指令信号の伝達を遮断する。トリガ信号の生成の後、ステップＳ７６０が実行される。
【０１５６】
（ステップＳ７６０）
カウント部１６７は、カウント値「ＣＴ」の値を、「０」に戻す。
【０１５７】
＜第１１実施形態＞
上述の実施形態に関連して説明された機能構成は、様々なハードウェア構成によって構築され得る。第１１実施形態において、例示的なハードウェア構成が説明される。
【０１５８】
図１４は、第１１実施形態の制御装置１００Ｅのハードウェア構成を表すブロック図である。図２及び図１４を参照して、制御装置１００Ｅが説明される。上述の実施形態の説明は、上述の実施形態と同一の符号が付された要素に援用される。
【０１５９】
第２実施形態と同様に、制御装置１００Ｅは、ハブ１３０と、操作スイッチ１４１と、遮断スイッチ１４２と、を備える。第２実施形態の説明は、これらの要素に援用される。
【０１６０】
制御装置１００Ｅは、主ＣＰＵ２１０と、３つの副ＣＰＵ２２１，２２２，２２３と、操作検出センサ２５１と、デジタル処理回路２５２と、を更に備える。主ＣＰＵ２１０は、図２に示される主制御部１１０に対応し、指令信号を生成する。遮断スイッチ１４２は、主ＣＰＵ２１０とハブ１３０とを結ぶ信号伝達経路上に配置される。運転者が、操作スイッチ１４１を操作すると、遮断スイッチ１４２は、主ＣＰＵ２１０からハブ１３０への指令信号の伝達を遮断する。
【０１６１】
副ＣＰＵ２２１は、主ＣＰＵ２１０から伝達された指令信号に応じて、ブレーキを制御する。副ＣＰＵ２２１は、図２に示される部品制御部１２１，１２２，１２３，１２４のうちの１つに対応する。副ＣＰＵ２２２は、主ＣＰＵ２１０から伝達された指令信号に応じて、ステアリングを制御する。副ＣＰＵ２２２は、図２に示される部品制御部１２１，１２２，１２３，１２４のうち他のもう１つに対応する。副ＣＰＵ２２３は、主ＣＰＵ２１０から伝達された指令信号に応じて、パワートレイン（すなわち、エンジン及びトランスミッション）を制御する。副ＣＰＵ２２３は、図２に示される部品制御部１２１，１２２，１２３，１２４のうちの残りの２つに対応する。副ＣＰＵ２２１，２２２，２２３は、エンジンルーム内に配置される。ハブ１３０は、エンジンルームに配置されてもよいし、車室に配置されてもよい。ハブ１３０、副ＣＰＵ２２１，２２２，２２３及び複数のワイヤーハーネスは、エンジンルーム内で信号伝達ループを形成する。
【０１６２】
操作検出センサ２５１及びデジタル処理回路２５２は、図２に示される操作部１５０に対応する。操作検出センサ２５１は、ステアリングシャフト及び／又は電動パワーステアリングシステムのモータに取り付けられた舵角センサであってもよい。舵角センサは、運転者によるステアリングホイールの回転操作を検出し、ステアリングホイールの回転角に関する情報を表す検出信号を生成する。操作検出センサ２５１は、アクセルペダルに取り付けられたアクセルスイッチやストロークセンサであってもよい。アクセルスイッチは、運転者がアクセルペダルを踏み込んだことを表す検出信号を生成する。ストロークセンサは、アクセルスイッチの踏み込み量に関する情報を表す検出信号を生成する。操作検出センサ２５１は、ブレーキペダルに取り付けられた１又は複数のブレーキスイッチであってもよい。ブレーキスイッチは、運転者がブレーキペダルを踏み込んだことを表す検出信号を生成する。これらの検出信号は、操作検出センサ２５１からデジタル処理回路２５２へ出力される。
【０１６３】
デジタル処理回路２５２は、これらの検出信号を処理し、操作信号を生成する。副ＣＰＵ２２１，２２２，２２３は、ハブ１３０を通じて、操作信号を受け取る。ブレーキスイッチから出力された検出信号から生成された操作信号が、副ＣＰＵ２２１へ伝達されると、副ＣＰＵ２２１は、操作信号に応じて、ブレーキを制御する。舵角センサから出力された検出信号から生成された操作信号が、副ＣＰＵ２２２へ伝達されると、副ＣＰＵ２２２は、操作信号に応じて、ステアリングを制御する。アクセルスイッチやストロークセンサからの検出信号から生成された操作信号が、副ＣＰＵ２２３へ伝達されると、副ＣＰＵ２２３は、操作信号に応じて、パワートレインを制御する。
【０１６４】
図１５Ａ乃至図１５Ｃは、デジタル処理回路２５２の概略的なハードウェア構成を示すブロック図である。図１４乃至図１５Ｃを参照して、デジタル処理回路２５２が説明される。
【０１６５】
デジタル処理回路２５２は、第１入力インターフェース２６１と、第２入力インターフェース２６２と、マイクロコンピュータ２６３と、を含む。図１５Ａは、第１ブレーキスイッチ２７１と、第２ブレーキスイッチ２７２と、を示す。第１ブレーキスイッチ２７１は、ブレーキペダルに取り付けられる。第２ブレーキスイッチ２７２は、第１ブレーキスイッチ２７１とは異なる位置において、ブレーキペダルに取り付けられる。運転者が、ブレーキペダルを踏み込むと、第１ブレーキスイッチ２７１及び第２ブレーキスイッチ２７２は、ブレーキペダルへの踏み込みを表す検出信号を生成する。第１ブレーキスイッチ２７１及び第２ブレーキスイッチ２７２それぞれは、図１４を参照して説明された操作検出センサ２５１に対応する。図１５Ｂは、第１舵角センサ２７３と、第２舵角センサ２７４と、を示す。第１舵角センサ２７３は、ステアリングシャフトに加わるトルクを検出する。第２舵角センサ２７４は、電動パワーステアリングシステムのモータの回転角を検出する。運転者が、ステアリングホイールを回転すると、第１舵角センサ２７３及び第２舵角センサ２７４は、トルクや回転角を表す検出信号を生成する。第１舵角センサ２７３及び第２舵角センサ２７４それぞれは、図１４を参照して説明された操作検出センサ２５１に対応する。図１５Ｃは、アクセルスイッチ２７５と、ストロークセンサ２７６と、を示す。アクセルスイッチ２７５は、アクセルペダルに取り付けられる。ストロークセンサ２７６は、アクセルペダルの踏み込み量を検出する。運転者が、アクセルペダルを踏み込むと、アクセルスイッチ２７５及びストロークセンサ２７６は、アクセルペダルの踏み込み及び踏み込み量を表す検出信号を生成する。アクセルスイッチ２７５及びストロークセンサ２７６ぞれぞれは、図１４を参照して説明された操作検出センサ２５１に対応する。
【０１６６】
第１ブレーキスイッチ２７１、第１舵角センサ２７３及びアクセルスイッチ２７５は、第１入力インターフェース２６１に電気的に接続される。第２ブレーキスイッチ２７２、第２舵角センサ２７４及びストロークセンサ２７６は、第２入力インターフェース２６２に電気的に接続される。マイクロコンピュータ２６３は、第１入力インターフェース２６１及び第２入力インターフェース２６２を通じて、検出信号を受け取る。
【０１６７】
マイクロコンピュータ２６３は、第１入力インターフェース２６１から受け取った検出信号が、第２入力インターフェース２６２から受け取った検出信号と矛盾しているか否かを確認する。たとえば、第１ブレーキスイッチ２７１が第１入力インターフェース２６１に検出信号を出力している一方で、第２ブレーキスイッチ２７２が第２入力インターフェース２６２に検出信号を出力していないならば、マイクロコンピュータ２６３は、第１入力インターフェース２６１から受け取った検出信号を無視してもよい。第１舵角センサ２７３からの検出信号が表す回転方向が、第２舵角センサ２７４からの検出信号が表す回転方向に一致していないならば、マイクロコンピュータ２６３は、これらの検出信号を無視してもよい。マイクロコンピュータ２６３が、アクセルスイッチ２７５からの検出信号の不存在下で、ストロークセンサ２７６からの検出信号を受け取るならば、マイクロコンピュータ２６３は、ストロークセンサ２７６からの検出信号を無視してもよい。
【０１６８】
第１入力インターフェース２６１から受け取った検出信号が、第２入力インターフェース２６２から受け取った検出信号と矛盾していないならば、マイクロコンピュータ２６３は、これらの検出信号から操作信号を生成する。たとえば、マイクロコンピュータ２６３が、第１ブレーキスイッチ２７１及び第２ブレーキスイッチ２７２から検出信号を受け取るならば、マイクロコンピュータ２６３は、ブレーキが運転者によって踏み込まれたことを表す操作信号を生成する。操作信号は、その後、ハブ１３０を通じて、副ＣＰＵ２２１（図１４を参照）へ伝達される。副ＣＰＵ２２１は、操作信号に応じて、ブレーキを制御し、車両に制動力を作用させる。マイクロコンピュータ２６３が、第１舵角センサ２７３及び第２舵角センサ２７４から検出信号を受け取るならば、マイクロコンピュータ２６３は、これらの検出信号を処理し、運転者がステアリングホイールに加えた操作を表す情報（たとえば、ステアリングホイールの回転方向や回転角）を算出する。マイクロコンピュータ２６３は、得られた情報を表す操作信号を生成する。操作信号は、その後、ハブ１３０を通じて、副ＣＰＵ２２２（図１４を参照）へ伝達される。副ＣＰＵ２２２は、操作信号に応じて、ステアリングを制御し、車両の進行方向を変更する。マイクロコンピュータ２６３が、アクセルスイッチ２７５及びストロークセンサ２７６から検出信号を受け取るならば、マイクロコンピュータ２６３は、これらの検出信号を処理し、運転者がアクセルペダルに加えた操作を表す情報（すなわち、運転者が要求する加速度）を算出する。マイクロコンピュータ２６３は、得られた情報を表す操作信号を生成する。操作信号は、その後、ハブ１３０を通じて、副ＣＰＵ２２３（図１４を参照）へ伝達される。副ＣＰＵ２２３は、操作信号に応じて、パワートレインを制御し、車両を加速させる。
【０１６９】
図１４を参照して説明された如く、運転者が、操作スイッチ１４１を操作すると、主ＣＰＵ２１０からの指令信号の伝達は、遮断スイッチ１４２によって遮断される。指令信号の伝達の遮断下においても、デジタル処理回路２５２が、操作検出センサ２５１の検出信号に基づき生成した操作信号は、ハブ１３０を通じて、副ＣＰＵ２２１，２２２，２２３へ伝達される。この結果、車両は、「進行」、「曲がる」、「止まる」といった車両の基本動作を継続することができる。
【０１７０】
＜第１２実施形態＞
運転者が、操作スイッチを繰り返し押したときに、遮断スイッチは、作動してもよい。この場合、運転者が、操作スイッチを偶発的に押しても、遮断スイッチは、作動しない。この結果、主制御部からの指令信号の伝達は、不必要に遮断されない。第１２実施形態において、運転者が、操作スイッチを繰り返し押したときに、遮断スイッチを作動させる例示的な技術が説明される。
【０１７１】
図１６は、操作スイッチ１４１と遮断スイッチ１４２との間で構築された作動回路３００の概略的なブロック図である。図２及び図１６を参照して、作動回路３００が説明される。上述の実施形態の説明は、上述の実施形態と同一の符号が付された要素に援用される。
【０１７２】
運転者が、操作スイッチ１４１を所定期間内で繰り返し押したとき、作動回路３００は、遮断スイッチ１４２を駆動し、主制御部１１０からの指令信号の伝達を遮断する。運転者が、操作スイッチ１４１を偶発的に押しても、作動回路３００は、遮断スイッチ１４２を駆動しない。この場合、主制御部１１０（図２を参照）からの指令信号の伝達は、継続的に許容される。
【０１７３】
作動回路３００は、入力フィルタ３１０と、カウンタ３２０と、ラッチ３３０と、駆動回路３４０と、タイマ３５０と、ＮＯＲゲート３６０と、第１判定部３７０と、第２判定部３８０と、ＡＮＤゲート３９０と、を備える。入力フィルタ３１０は、操作スイッチ１４１に電気的に接続される。運転者が、操作スイッチ１４１を押す度に、パルス信号が、操作スイッチ１４１から入力フィルタ３１０へ出力される。入力フィルタ３１０は、パルス信号に重畳したノイズを除去する。ノイズ除去処理後のパルス信号は、入力フィルタ３１０からカウンタ３２０及びタイマ３５０へ出力される。
【０１７４】
カウンタ３２０は、パルス信号中のパルスをカウントする。カウントされたパルスが、所定の閾値を超えると、カウンタ３２０は、ラッチ３３０に、駆動回路３４０の作動を要求する。ラッチ３３０は、カウンタ３２０の要求がリセットされるまで、駆動回路３４０を作動させ続ける。駆動回路３４０の駆動の結果、遮断スイッチ１４２は、主制御部１１０とハブ１３０（図２を参照）との間の電気的接続を解除する。
【０１７５】
タイマ３５０は、ノイズ除去処理後のパルス信号の入力に応じて、所定期間計時する。タイマ３５０が計時している間、「１」の値が、タイマ３５０からＮＯＲゲート３６０へ出力される。他の期間においては、「０」の値が、タイマ３５０からＮＯＲゲート３６０へ出力される。第１判定部３７０は、車両が正常な状態であるか否かを判定する。車両が正常な状態であるならば、「１」の値が、第１判定部３７０からＮＯＲゲート３６０へ出力される。車両が異常な状態であるならば、「０」の値が、第１判定部３７０からＮＯＲゲート３６０へ出力される。
【０１７６】
タイマ３５０及び第１判定部３７０から受け取った値がともに、「０」であるならば、ＮＯＲゲート３６０は、「１」の値が、ＮＯＲゲート３６０からカウンタ３２０へ出力される。他の場合には、「０」の値が、ＮＯＲゲート３６０からカウンタ３２０へ出力される。カウンタ３２０が、「１」の値を受け取ると、カウント値は、リセットされる。したがって、操作スイッチ１４１が操作されておらず、且つ、第１判定部３７０が異常判定をしている間、カウント値はリセットされ続ける。その後、車両が修復され、第１判定部３７０が正常判定すると、カウント値のリセット処理は解除される。
【０１７７】
第２判定部３８０は、運転者が、遮断スイッチ１４２の復帰（すなわち、指令信号の伝達の再開）を要求しているか否かを判定する。運転者が、遮断スイッチ１４２の復帰を要求しているならば、「１」の値が、第２判定部３８０からＡＮＤゲート３９０へ出力される。他の場合には、「０」の値が、第２判定部３８０からＡＮＤゲート３９０へ出力される。ＡＮＤゲート３９０は、第１判定部３７０にも電気的に接続される。したがって、ＡＮＤゲート３９０は、「０」又は「１」の値を第１判定部３７０から受け取ることができる。
【０１７８】
第１判定部３７０及び第２判定部３８０がともに、「１」の値を出力しているとき、ＡＮＤゲート３９０は、「１」の値を出力する。他の場合には、ＡＮＤゲート３９０は、「０」の値を出力する。「１」の値が、ＡＮＤゲート３９０からラッチ３３０へ出力されると、ラッチ３３０は、カウンタ３２０からの要求をリセットする。したがって、車両が正常な状態であり、且つ、運転者が主制御部１１０による制御の復活を望んでいるならば、指令信号の伝達は復活されることになる。
【０１７９】
＜第１３実施形態＞
第１２実施形態の制御原理によれば、運転者が、操作スイッチを繰り返し押したときに、遮断スイッチは、指令信号の伝達を遮断する。代替的に、運転者が、操作スイッチを強い力で押圧したときに、遮断スイッチは、指令信号の伝達を遮断してもよい。この場合、運転者が、操作スイッチを偶発的に軽い力で押しても、遮断スイッチは、作動しない。この結果、主制御部からの指令信号の伝達は、不必要に遮断されない。第１３実施形態において、運転者が、操作スイッチを強い力で押したときに、遮断スイッチを作動させる例示的な技術が説明される。
【０１８０】
図１７は、第１３実施形態の作動回路３００Ｆの概略的なブロック図である。図２及び図１７を参照して、作動回路３００Ｆが説明される。上述の実施形態の説明は、上述の実施形態と同一の符号が付された要素に援用される。
【０１８１】
運転者が、操作スイッチ１４１を強い力で押したとき、作動回路３００Ｆは、遮断スイッチ１４２を駆動し、主制御部１１０からの指令信号の伝達を遮断する。運転者が、操作スイッチ１４１を偶発的に軽い力で押しても、作動回路３００Ｆは、遮断スイッチ１４２を駆動しない。この場合、主制御部１１０（図２を参照）からの指令信号の伝達は、継続的に許容される。
【０１８２】
第１２実施形態と同様に、作動回路３００Ｆは、ラッチ３３０と、駆動回路３４０と、第１判定部３７０と、第２判定部３８０と、ＡＮＤゲート３９０と、を備える。第１２実施形態の説明は、これらの要素に援用される。
【０１８３】
作動回路３００Ｆは、圧力センサ３１１と、入力アンプ３１２と、比較器３１３と、を更に備える。運転者が、操作スイッチ１４１を押圧したときに、操作スイッチ１４１に加わる押圧力が、圧力センサ３１１に伝達されるように、圧力センサ３１１は、操作スイッチ１４１の近くに配置される。押圧力が、圧力センサ３１１に加わると、圧力センサ３１１は、押圧力に応じた電圧を有する電圧信号を生成する。電圧信号は、圧力センサ３１１から入力アンプ３１２へ出力される。
【０１８４】
入力アンプ３１２は、電圧信号に対して増幅処理する。増幅処理後の電圧信号は、比較器３１３へ入力される。比較器３１３は、増幅処理後の電圧信号の電圧を、所定の閾値と比較する。電圧信号の電圧が、閾値よりも大きいならば、比較器３１３は、ラッチ３３０に、駆動回路３４０の作動を要求する。ラッチ３３０は、比較器３１３の要求がリセットされるまで、駆動回路３４０を作動させ続ける。駆動回路３４０の駆動の結果、遮断スイッチ１４２は、主制御部１１０とハブ１３０（図２を参照）との間の電気的接続を解除する。
【０１８５】
上述の様々な実施形態の原理は、車両に対する要求に適合するように、組み合わされてもよい。上述の様々な実施形態のうち１つに関連して説明された様々な特徴のうち一部が、他のもう１つの実施形態に関連して説明された制御装置に適用されてもよい。
【産業上の利用可能性】
【０１８６】
上述の実施形態の原理は、様々な車両の設計に好適に利用される。
【符号の説明】
【０１８７】
１００，１００Ａ〜１００Ｃ，１００Ｅ・・・・・制御装置
１１０・・・・・・・・・・・・・・・・・・・・主制御部
１２０，１２０Ｄ・・・・・・・・・・・・・・・部品制御部
１２１〜１２４・・・・・・・・・・・・・・・・部品制御部
１４０・・・・・・・・・・・・・・・・・・・・遮断部
１５０・・・・・・・・・・・・・・・・・・・・操作部
１６３・・・・・・・・・・・・・・・・・・・・異常判定部
１６４・・・・・・・・・・・・・・・・・・・・要求信号生成部
１７０・・・・・・・・・・・・・・・・・・・・判定部
１８０・・・・・・・・・・・・・・・・・・・・データ収集部
ＥＣ１〜ＥＣ４・・・・・・・・・・・・・・・・電装部品
【図１】
2018030527.tif 000007
【図２】
2018030527.tif 000008
【図３】
2018030527.tif 000009
【図４】
2018030527.tif 000010
【図５】
2018030527.tif 000011
【図６】
2018030527.tif 000012
【図７】
2018030527.tif 000013
【図８】
2018030527.tif 000014
【図９】
2018030527.tif 000015
【図１０】
2018030527.tif 000016
【図１１】
2018030527.tif 000017
【図１２】
2018030527.tif 000018
【図１３】
2018030527.tif 000019
【図１４】
2018030527.tif 000020
【図１５Ａ】
2018030527.tif 000021
【図１５Ｂ】
2018030527.tif 000022
【図１５Ｃ】
2018030527.tif 000023
【図１６】
2018030527.tif 000024
【図１７】
2018030527.tif 000025