(57)【要約】【課題】制御ユニットの一つが故障した影響で、他の制御ユニットが異常な動作を行う。【解決手段】電動ブレーキ制御ユニット４００が持つ通信部４０６は、車体制御ユニット５００から長時間通信データが未受診になったことを検知して通信異常ありと判定する。故障検出部４０７は、通信部４０６が判定したメッセージの異常判定結果を基に故障を起こした制御ユニットを車体制御ユニット５００であると判定する。故障波及判定部４０８は車体制御ユニット５００が故障しているため、横滑り防止制御ユニット６００に影響が出ている可能性があると判定する。状態管理部４０５は、車体制御ユニット５００の故障と、横滑り防止装置６００の故障波及判定結果から、代替回生協調部４０３とアクチュエータ制御部４０４に制御モードを切り替える指示を出す。【選択図】 図８
2015067234.tif 000002
【特許請求の範囲】
【請求項１】
第１制御ユニット、第２制御ユニット、および第３制御ユニットが通信バスを介して接続されて相互にデータ通信を行う車両制御装置であって、
前記第１制御ユニットは、
前記第２制御ユニット、および前記第３制御ユニットからのデータを受信し、前記第２制御ユニット、および前記第３制御ユニットとの通信異常を判定する通信部と、
前記通信異常の判定結果から前記第２制御ユニットの故障を検出する故障検出部と、
前記通信部による通信異常の判定結果に基づいて前記第２制御ユニットの故障が前記第３制御ユニットへ伝播する可能性を判定する故障波及判定部と、
故障が伝播した場合の制御処理と故障が伝播しなかった場合の制御処理のいずれかを切替えて実行する制御処理部と、
前記故障検出部による故障の検出と前記故障波及判定部による故障の伝播の可能性に基づいて、前記制御処理部に対する制御処理の切替えを指示する状態管理部とを備えたことを特徴とする車両制御装置。
【請求項２】
請求項１に記載の車両制御装置であって、
前記故障波及判定部は、前記第２制御ユニットの故障が前記第３制御ユニットへ伝播するか否かが予め記憶された波及可能性管理テーブルを有し、前記故障波及判定部は、前記波及可能性管理テーブルに基づいて前記第２制御ユニットの故障が前記第３制御ユニットへ伝播する可能性を判定することを特徴とする車両制御装置。
【請求項３】
請求項１または２に記載の車両制御装置であって、
前記状態管理部は、前記制御処理部に対する制御処理の切替えが予め記憶された動作状態テーブルを有し、前記状態管理部は、前記動作状態テーブルに基づいて前記制御処理部に対する制御処理の切替えを指示することを特徴とする車両制御装置。
【請求項４】
請求項１〜３のいずれか１項に記載の車両制御装置であって、
前記状態管理部は、前記制御処理の切替えを指示した場合には、当該切替えをしたことを示す信号を他の制御ユニットへ通知することを特徴とする車両制御装置。
【請求項５】
請求項１〜３のいずれか１項に記載の車両制御装置であって、
前記第１制御ユニットはブレーキペダルの踏込に基づくブレーキ力を発生する電動ブレーキ制御ユニットであり、前記第２制御ユニットは車体全体の挙動を制御する車体制御ユニットであり、前記第３制御ユニットは車体の挙動に基づいて車輪のブレーキ力を調整する横滑り防止制御ユニットであることを特徴とする車両制御装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、車両を制御するための車両制御装置に関する。
【背景技術】
【０００２】
車両制御装置は、複数の制御ユニット（Electric control unit）が相互に通信し、連携することによって、高機能な制御を行なっている。そのため、ネットワーク上の他の制御ユニットが取得したセンサ値を使用して、あるいは、他の制御ユニットが計算した指令値に従ってブレーキ制御等のアクチュエータ制御を行う場合がある。
【０００３】
そして近年、車両制御装置の電子化が進んでおり、制御ユニット間の連携がより緊密になっている。例えば、ブレーキシステムとして、ドライバがブレーキペダルを踏んだ力を補助する電動ブレーキ制御ユニットや、各車輪のブレーキ力を調節して安定した車体制御を実現する横滑り防止制御ユニット等が存在する。これらの制御ユニットは、車体制御ユニットからの指令を受けて、相互に連携してより安全に動作している。
【０００４】
個々のコントローラの冗長度を必要以上に上げることなく、システム全体でエラーをバックアップすることにより、簡潔な制御ユニットの構成で、低コストで、高い信頼性とリアルタイム性と拡張性とを確保した車両制御装置がある（ 例えば、特許文献１ ）。
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】特開２００６−５１９２２号公報
【発明の概要】
【発明が解決しようとする課題】
【０００６】
制御ユニットは通信ネットワークを介して情報を伝達し合っているが、各制御ユニットの状態を正確に把握しているわけではない。例えば、ある制御ユニットが故障した場合に通信状況を監視することでその故障が判ることもあるが、その故障による悪影響が別の制御ユニットにまで及んでいるかは判断できない。このような場合でも、各々の制御ユニットは可能な限り正しい制御を行う必要がある。
【０００７】
特許文献１に記載の技術では、ある制御ユニットの状態がネットワーク上の別の制御ユニットに伝播していた場合の対策は行われていない。例えば、３つ以上の制御ユニットが繋がったシステムの場合に、制御ユニットの一つが故障した後にその影響で、もう一つの制御ユニットが異常な動作を行ったとする。この場合、異常な動作をする制御ユニットを異常と判定するまでは他の制御ユニットは不正な動作を行ってしまう。
【課題を解決するための手段】
【０００８】
請求項１に記載の車両制御装置は、第１制御ユニット、第２制御ユニット、および第３制御ユニットが通信バスを介して接続されて相互にデータ通信を行う車両制御装置であって、第１制御ユニットは、第２制御ユニット、および第３制御ユニットからのデータを受信し、第２制御ユニット、および第３制御ユニットとの通信異常を判定する通信部と、通信異常の判定結果から第２制御ユニットの故障を検出する故障検出部と、通信部による通信異常の判定結果に基づいて第２制御ユニットの故障が第３制御ユニットへ伝播する可能性を判定する故障波及判定部と、故障が伝播した場合の制御処理と故障が伝播しなかった場合の制御処理のいずれかを切替えて実行する制御処理部と、故障検出部による故障の検出と故障波及判定部による故障の伝播の可能性に基づいて、制御処理部に対する制御処理の切替えを指示する状態管理部とを備えたことを特徴とする。
【発明の効果】
【０００９】
本発明は、ある制御ユニットの状態が通信ネットワーク上の別の制御ユニットに伝播していた場合の対策を行うことができる。
【図面の簡単な説明】
【００１０】
【図１】車両制御装置のシステム構成図である。
【図２】車両制御装置の第１の実施の形態の機能ブロック図である。
【図３】通信異常を検出するフローチャートである。
【図４ａ】通信部が持つ状態異常に関するテーブルである。
【図４ｂ】通信部が未受信異常判定に用いるためのテーブルである。
【図５】メッセージＩＤと送信元制御ユニットの関係を示すテーブルである。
【図６】故障波及判定部が有する波及可能性管理テーブルである。
【図７】状態管理部が有する動作状態テーブルである。
【図８】車両制御装置の第２の実施の形態の機能ブロック図である。
【図９】第２の実施の形態におけるメッセージＩＤと送信元制御ユニットの関係を示すテーブルである。
【図１０】故障波及判定部が有する第２の実施の形態における波及可能性管理テーブルである。
【図１１】状態管理部が有する第２の実施の形態における動作状態テーブルである。
【図１２】故障波及判定部を有しない場合の制御状況を示す表である。
【図１３】故障波及判定部を有する場合の制御状況を示す表である。
【図１４】ブレーキシステムを構成する各ECUと制御機能の関連を示すテーブルである。
【図１５】図１４のECUを持つブレーキシステムの構成例である。
【図１６】図１５の電動ブレーキECUが持つ、故障波及関係を表すテーブルである。
【図１７】図１５の構成時に故障波及部を持つ場合の制御状況を表すテーブルである。
【図１８】図１４のECUを持つブレーキシステムの構成例である。
【図１９】図１８の電動ブレーキECUが持つ、故障波及関係を表すテーブルである。
【図２０】図１８の構成時に故障波及部を持つ場合の制御状況を表すテーブルである。
【図２１】図１７と図１９の故障波及テーブルを切り替える判定フローである。
【発明を実施するための形態】
【００１１】
（第１の実施の形態）
以下、図１〜図７を参照して第１の実施の形態を説明する。
【００１２】
図１は、第１の実施の形態に係わる車両制御装置のシステム構成図である。電気自動車やハイブリッド自動車において、複数の制御ユニット（Electric control unit）として、Ａ制御ユニット１００、Ｂ制御ユニット２００、Ｃ制御ユニット３００が通信バスである通信ネットワーク１０２を介して接続されている構成を示す。３つの制御ユニット１００〜３００が接続されている例を図示したが、制御ユニットの数は一例である。
【００１３】
これらのＡ制御ユニット１００〜Ｃ制御ユニット３００は通信ネットワーク１０２を介して相互にデータの送受信を行う。
【００１４】
Ａ制御ユニット１００には通信ネットワーク１０２からデータを受信、あるいは通信ネットワーク１０２にデータを送信するための通信装置１０３と、プログラムが格納された記憶装置であるＲＯＭ（Ｒｅａｄ  Ｏｎｌｙ  Ｍｅｍｏｒｙ）１０４と、このＲＯＭ１０４に格納されたプログラムを実行する演算回路であるＣＰＵ（Ｃｅｎｔｒａｌ  Ｐｒｏｃｅｓｓｉｎｇ  Ｕｎｉｔ）１０５と、ソフトウェアの状態を記憶する記憶装置であるＲＡＭ（Ｒａｎｄａｍ  Ａｃｃｅｓｓ  Ｍｅｍｏｒｙ）１０６と、センサからの値を取得し制御対象のアクチュエータへと制御信号を出力する入出力装置１０７が備えられている。Ｂ制御ユニット２００、Ｃ制御ユニット３００もＡ制御ユニット１００と同様の構成である。
【００１５】
図２は、Ａ制御ユニット１００で実行されるプログラムを機能ブロック図として図示したものである。ＲＯＭ１０４に格納されたプログラムはＲＡＭ１０６に展開しながらＣＰＵ１０５によって実行され、図２の機能ブロックに示す機能を果たす。
【００１６】
通信部１１０は、Ｂ制御ユニット２００やＣ制御ユニット３００との間で通信ネットワーク１０２を介してメッセージを送受信する機能とメッセージの配送状況から通信異常判定する機能を備える。
【００１７】
故障検出部１２０は、受信したメッセージと通信異常判定結果を通信部１１０から取得し、通信相手となるＢ制御ユニット２００やＣ制御ユニット３００などの故障を検出する。
【００１８】
故障波及判定部１３０は、故障検出部１２０から故障検出結果を、通信部１１０から通信異常判定結果を取得し、他の制御ユニットに故障の影響が波及する可能性を判定する。
【００１９】
状態管理部１４０は、故障波及判定部１３０から故障波及判定結果を取得し、故障検出部１２０から故障検出結果を取得し、通信部１１０から通信異常判定結果を取得し、動作状態の切り替え指示を制御処理部１５０ａ、１５０ｂ（以下、１５０とも表記する）と代替処理部１６０ａ、１６０ｂ（以下、１６０とも表記する）に通知する。また、動作状態の切り替え指示を通信部１１０を介して、他の制御ユニットに通知する。
【００２０】
制御処理部１５０ａ、１５０ｂは自動車や自動車を構成するコントローラの制御や診断処理や入出力の管理をするための各種計算を行う機能を持つ。本実施の形態では少なくとも1つ以上の制御処理部１５０を備える。
【００２１】
代替処理部１６０ａ、１６０ｂは、自身の制御ユニット以外が備える制御処理部の代理演算を行うもので、自身の制御ユニット以外が故障した場合にその代理演算を行い、演算結果を対応する制御処理部１５０ａ、１５０ｂへ受け渡す。制御処理部１５０ａ、１５０ｂは受け渡された代理演算の演算結果を基に、自動車や自動車を構成するコントローラの制御や診断処理や入出力の管理行う。本実施の形態では少なくとも1つ以上の代替処理部１６０を備える。
【００２２】
状態切替部１７０は、各制御処理部１５０や各代替処理部１６０に備えられ、状態管理部１４０からの切替指示を受けて、制御モードをＸ点もしくはＹ点に切り替える。制御モードの切り替えにより、代替処理部１６０ａ、１６０ｂは、自身の制御ユニット以外が備える制御処理部の代理演算を行い、制御処理部１５０ａ、１５０ｂは受け渡された代理演算の演算結果を基に、自動車や自動車を構成するコントローラの制御や診断処理や入出力の管理行う。
【００２３】
各制御ユニットが正常に動作している場合は、制御モードはＸ点に切り替えられており、他の制御ユニットから通信ネットワーク１０２を介して、通信部１１０へ入力されたトルク指令値等の制御値を基に、代替処理部１６０ｂ、制御処理部１５０ｂが通常の演算を行う。一方、Ｂ制御ユニット２００の故障が判定された場合は、制御モードはＹ点に切り替えられ、代替処理部１６０ｂは、故障したＢ制御ユニット２００の代理演算を行い、演算結果を対応する制御処理部１５０ｂに受け渡す。制御処理部１５０ｂは受け渡された代理演算の演算結果を基に、自動車や自動車を構成するコントローラの制御や診断処理や入出力の管理行う。
【００２４】
Ｂ制御ユニット２００、Ｃ制御ユニット３００も上述したＡ制御ユニット１００で示した機能ブロック図と同様の構成を有する。
【００２５】
次に、第１の実施の形態に係わる車両制御装置の動作を、Ｂ制御ユニット２００が故障した場合を例に説明する。
【００２６】
Ａ制御ユニット１００は、通信ネットワーク１０２を介して、Ｂ制御ユニット２００やＣ制御ユニット３００との間でメッセージを送受信している。図３は通信部１１０が通信異常を検出するフローチャートである。図３のフローチャートのステップＳ２０１において、メッセージの新規データを受信したかを通信部１１０内の受信領域より確認する。もしも、データを受信していた場合はステップＳ２０２に、受信していない場合はステップＳ２０３に進む。
【００２７】
ステップＳ２０２において、データ異常を確認する。データ異常とは、誤り検出符号の確認やメッセージカウンタの確認等によって実施する。データ異常の確認はこれらの確認に限らない。異常があった場合はステップＳ２０４に、異常がなかった場合はステップＳ２０５に進む。
【００２８】
ステップＳ２０４において、異常判定結果を格納するデータ領域に図４（ａ）で示すデータ異常３０３に相当するパラメータをメッセージＩＤに対応して格納する。
【００２９】
ステップＳ２０５において、異常判定結果を格納するデータ領域に図４（ａ）で示す正常３０１に相当するパラメータをメッセージＩＤに対応して格納する。
【００３０】
ステップＳ２０３において、定期的に受信していたデータが設定した時間以上受信していないかを確認する。通信部１１０は、図４（ｂ）に示すようなメッセージＩＤと設定時間を持つデータテーブルを持っており、ステップＳ２０３は、本テーブルを参照する。設定時間を超えて受信していないデータがある場合は、ステップＳ２０６に進む。
【００３１】
ステップＳ２０６では、異常判定結果を格納するデータ領域に図４（ａ）で示す長時間未受信３０２に相当するパラメータをメッセージＩＤに対応して格納する。
【００３２】
次にステップＳ２０７において、異常判定結果を故障検出部１２０に送信する。すなわち、メッセージＩＤに対応して異常判定結果を示すパラメータが故障検出部１２０に送信される。
【００３３】
図５は、故障検出部１２０が有する、メッセージＩＤと送信元制御ユニットの関係を示すテーブルである。故障検出部１２０は、通信部１１０が判定したメッセージの異常判定結果と本テーブルを照合して、故障を起こした制御ユニットを判定する。
【００３４】
図６は、故障波及判定部１３０が有する波及可能性管理テーブルを示す。本テーブルには、縦欄は故障した制御ユニットを、横欄は影響が波及する制御ユニットを表す。例えば、Ａ制御ユニット１００の故障が検出された場合は、Ｂ制御ユニット２００、およびＣ制御ユニット３００に影響が出ないため、”なし”になっており、Ｂ制御ユニット２００の故障が検出された場合は、Ａ制御ユニット１００に影響が出ないため、”なし”になっており、Ｃ制御ユニット３００に影響が出るため、”あり”になっている。なお、図６では３つの制御ユニットについて例示したが、４つ以上の制御ユニットについても同様に、故障の影響が出るか否かに応じて予め波及可能性管理テーブルが設定される。
【００３５】
故障波及判定部１３０は、故障検出部１２０によって判定された故障を起こした制御ユニットによって影響を及ぼす可能性のある制御ユニットを波及可能性管理テーブルを参照して判定する。そして、Ｂ制御ユニット２００の故障波及判定結果を生成し、状態管理部１４０へ送信する。Ｂ制御ユニット２００が故障した場合は、図６の波及可能性管理テーブルを参照してＣ制御ユニット３００に影響ありと判定される。
【００３６】
図７は、状態管理部１４０が有する動作状態テーブルであり、通信ネットワーク１０２でつながっている他の制御ユニットの故障に応じて制御処理の切替指示が予め記憶されている。通信ネットワーク１０２で接続された制御ユニットの数だけ動作状態テーブルを有し、例えば、Ａ制御ユニット１００の状態管理部１４０は、Ｂ制御ユニット２００とＣ制御ユニット３００の動作状態テーブルを有する。各動作状態テーブルには、制御ユニットの動作状態と、制御モードの切替指示をパラメータと対応して管理している。制御モードの切替指示は、制御処理部１５０ｂや代替処理部１６０ｂの制御処理を切替えるものであり、状態切替部１７０に対して制御モードをＸ点に切り替えるかＹ点に切り替えるかを指示する。
【００３７】
Ｂ制御ユニット２００が故障した場合は、図６の波及可能性管理テーブルでＣ制御ユニット３００に影響ありと判定されると、状態管理部１４０は、Ｂ制御ユニット２００の動作状態を示す動作状態テーブルを参照し、異常判定中もしくは異常確定の場合は制御モードの切替指示が” Ｙ点へ切替”になっているので、制御モードの切替指示を制御処理部１５０ｂにある状態切替部１７０と代替処理部１６０ｂにある状態切替部１７０に対して制御モードをＹ点に切り替えるように指示する。
【００３８】
代替処理部１６０ａは、制御処理部１５０ａからの要求トルク等の代替処理を実行し、演算したデータ値を、制御モードの切替指示を受けて、代替処理部１６０ｂに渡す。更に、代替処理部１６０ｂは制御モードの切替指示を受けて、故障したＢ制御ユニット２００の代替処理を実行し、演算したデータ値を制御処理部１５０ｂに渡す。代替処理部１６０ｂ、制御処理部１５０ｂは、故障が伝播した場合の制御処理と故障が伝播しなかった場合の制御処理を予め記憶しており、制御モードの切替指示を受けた場合は、故障が伝播した場合の制御処理、すなわち、代替処理部１６０ａ、代替処理部１６０ｂによる演算データ値を基に制御処理を実行し、故障の影響を排除した制御処理を行う。また、状態管理部１４０はＡ制御ユニット１００の現在の動作状態を示すものとして、制御モードの切替指示を他の制御ユニットに通知する。
【００３９】
（第２の実施の形態）
図８は、電気自動車やハイブリッド自動車において、複数の制御ユニット（Electric control unit）が通信ネットワーク１０２を介して接続されている構成を示す。具体的には、ブレーキシステムとして複数の制御ユニットによって構成された車両制御装置の機能ブロック図である。以下、このブレーキシステムを具体例とする第２の実施の形態について説明する。
【００４０】
このブレーキシステムでは、ドライバがブレーキペダルを踏み込んだ力を増幅させる機能を持つ電動ブレーキ制御ユニット４００と、車体全体の挙動を監視して制御を指示する車体制御ユニット５００と、各車輪のブレーキ力を調整する横滑り防止制御ユニット６００が通信ネットワーク１０２を介して相互にデータを交換している。
【００４１】
電動ブレーキ制御ユニット４００のセンサ入力部４０１は、ドライバが踏んだブレーキペダルの踏み込み量を計測し各種補正計算を行う。
【００４２】
代替ドライバブレーキ計算部４０２は、ドライバが踏んだブレーキペダルの踏み込み量に基づいてブレーキ力を計算する。このブレーキ力は、車体制御ユニット５００の故障によって、後述するドライバ操作ブレーキ計算部５０１で計算したブレーキ力が使用できなくなった場合に代替ブレーキ力として用いられるものである。
【００４３】
代替回生協調部４０３は、代替ドライバブレーキ計算部４０２で計算されたブレーキ力を基に回生トルクへ単位変換を行ってトルク指令値を計算する。この回生トルクは、車体制御ユニット５００の故障によって、駆動用モータの回生トルクが入力されなくなった場合に代替ブレーキ力として用いられるものである。また、後述する回生協調部６０１が故障した場合は、回生協調部６０１に替わり、駆動用モータの回生トルクを基にトルク指令値を計算する役割を果たす。アクチュエータ制御部４０４は、ブレーキ装置の液圧を増減し車輪に対してブレーキ力を与える。
【００４４】
通信部４０６は、車体制御ユニット５００や横滑り防止制御ユニット６００との間で通信バスである通信ネットワーク１０２を介してメッセージを送受信する機能とメッセージの配送状況から通信異常判定する機能を備える。なお、通信ネットワーク１０２は各制御ユニットの通信部４０６を介して相互に接続されているが、図８では便宜上、通信ネットワーク１０２を破線で示した。
【００４５】
故障検出部４０７は、受信したメッセージと通信異常判定結果を通信部４０６から取得し、通信相手となる車体制御ユニット５００や横滑り防止制御ユニット６００などの故障を検出する。図９は、電動ブレーキ制御ユニット４００の故障検出部４０７が有する、メッセージＩＤと送信元制御ユニットの関係を示すテーブルである。故障検出部４０７は、通信部４０６が判定したメッセージの異常判定結果と本テーブルを照合して、故障を起こした制御ユニットを判定する。
【００４６】
故障波及判定部４０８は、故障検出部４０７から故障検出結果を、通信部４０６から通信異常判定結果を取得し、他の制御ユニットに故障の影響が波及する可能性を判定する。図１０は、電動ブレーキ制御ユニット４００の故障波及判定部４０８が有する波及可能性管理テーブルである。本テーブルには、縦欄は故障した制御ユニットを、横欄は影響が波及する制御ユニットを表す。例えば、車体制御ユニット５００の故障が検出された場合は、横滑り防止制御ユニット６００に影響が出るため、” あり”になっており、電動ブレーキ制御ユニット４００に影響が出ないため、”なし”になっている。また、横滑り防止制御ユニット６００の故障が検出された場合は、車体制御ユニット５００に影響が出ないため、”なし”になっており、電動ブレーキ制御ユニット４００に影響が出るため、”あり”になっている。
【００４７】
故障波及判定部４０８は、故障検出部４０７によって判定された故障を起こした制御ユニットによって影響が及ぶ可能性のある制御ユニットを波及可能性管理テーブルを参照して判定する。車体制御ユニット５００が故障した場合は、図１０の波及可能性管理テーブルを参照して横滑り防止制御ユニット６００に影響が” あり”と判定される。
【００４８】
状態管理部４０５は、故障波及判定部４０８から故障波及判定結果を取得し、故障検出部４０７から故障検出結果を取得し、通信部４０６から通信異常判定結果を取得し、動作状態の切替指示を状態切替部４７０に通知する。また、動作状態の切替指示を通信部４０６を通して、周囲の制御ユニットに通知する。
【００４９】
図１１は、状態管理部４０５が有する動作状態テーブルであり、通信ネットワーク１０２でつながった他の制御ユニットの故障に応じて制御処理の切替指示が予め記憶されている。通信ネットワーク１０２で接続された制御ユニットの数だけ動作状態テーブルを有し、例えば、電動ブレーキ制御ユニット４００の状態管理部４０５は、車体制御ユニット５００と横滑り防止制御ユニット６００の動作状態テーブルを有する。各動作状態テーブルには、制御ユニットの動作状態と、制御モードの切替指示をパラメータと対応して管理している。制御モードの切替指示は、車体制御ユニットの動作状態が正常の場合は状態切替部４７０をＸ点に切り替える指示であり、車体制御ユニットの動作状態が異常判定中もしくは異常確定の場合は状態切替部４７０をＹ点に切り替える指示である。
【００５０】
次に、上記構成の第２の実施の形態における動作を説明する。以下の説明では、車体制御ユニット５００が正常の場合の動作を説明する。
【００５１】
ブレーキシステムが正常であり、車体制御ユニット５００が正常に動作している場合は、状態切替部４７０はＸ点に切り替えられており、車体制御ユニット５００から通信ネットワーク１０２を介して通信部４０６へ入力されたトルク指令値等の制御値を基に、代替回生協調部４０３、アクチュエータ制御部４０４が通常の演算を行う。
【００５２】
まず、電動ブレーキ制御ユニット４００のセンサ入力部４０１はドライバが踏んだブレーキペダルの踏み込み量を計測し各種補正計算を行う。そして、計算結果となるペダル踏み量を出力する。
【００５３】
次に、車体制御ユニット５００のドライバ操作ブレーキ計算部５０１がペダル踏み量を取得し、更に、ドライバ操作ブレーキ計算部５０１には、駆動用モータの回転数、車輪の回転数、車速、ヨーモーメント、駆動用バッテリの残量などが入力されて、ドライバが要求しているブレーキ力を計算する。計算結果を要求トルクとして横滑り防止制御ユニット６００及び代替回生協調部４０３へ出力する。
【００５４】
横滑り防止制御ユニット６００の回生協調部６０１には、駆動用モータの回生トルク（図示省略）が入力されており、回生協調部６０１は、ドライバ操作ブレーキ計算部５０１より出力された要求トルクを取得し、各車輪のブレーキ力と駆動用モータの回生ブレーキ力を調整する。計算した結果、電動ブレーキ制御ユニット４００のアクチュエータ制御部４０４にトルク指令値として必要となるブレーキ力を通知する。
【００５５】
また、横滑り防止制御ユニット６００のアンチロックブレーキ制御部６０２は、車体の横滑りを検知すると、横滑りを防止するために各車輪に必要なブレーキ力を計算する。計算した結果、電動ブレーキ制御ユニット４００にトルク指令値として必要となるブレーキ力を通知する。
【００５６】
電動ブレーキ制御ユニット４００のアクチュエータ制御部４０４は、複数の要求トルクの中から最も安全にブレーキをかけられる値を選び、ブレーキ力を発生させるためにアクチュエータ制御を行う。
【００５７】
次に、車体制御ユニット５００が故障した場合の動作を説明する。
まず、電動ブレーキ制御ユニット４００が持つ通信部４０６は、図３に示した通信異常を検出するフローチャートと同様の処理を実行し、例えば、車体制御ユニット５００から長時間通信データが未受診になった場合には、通信異常ありと判定する。
次に故障検出部４０７は、通信部４０６が判定したメッセージの異常判定結果と図９に示すテーブルを照合して、故障を起こした制御ユニットを車体制御ユニット５００であると判定する。
【００５８】
故障波及判定部４０８は車体制御ユニット５００が故障しているため、図１０に示す波及可能性管理テーブルを参照して、横滑り防止制御ユニット６００に影響が出ている可能性があると判定する。
【００５９】
状態管理部４０５は、車体制御ユニット５００の故障から、図１１の状態管理部４０５が有する動作状態テーブルを参照して、状態切替部４７０に制御モードを切り替える切替指示を出す。具体的には、車体制御ユニットの動作状態が異常判定中もしくは異常確定の場合は状態切替部４７０をＹ点に切り替える指示である。また、状態管理部４０５は電動ブレーキ制御ユニット４００の現在の動作状態として、制御モードの切替指示を他の制御ユニットに通知する。
【００６０】
状態管理部４０５から通知された制御モードの切替指示は、警告灯の点灯を行う制御ユニットに送り運転手に警告したり、ログ記憶部領域へ保存して後に動作状態の調査に用いることができる。
【００６１】
代替ドライバブレーキ計算部４０２は、ドライバ操作ブレーキ計算部５０１で計算したブレーキ力が使用できないので、ドライバが踏んだブレーキペダルの踏み込み量に基づいてブレーキ力を計算する。そして、車体制御ユニット５００の故障によって、駆動用モータの回生トルクが使用できないので、代替回生協調部４０３は、代替ドライバブレーキ計算部４０２で計算されたブレーキ力を基に回生トルクへ単位変換を行ってトルク指令値を計算する。このトルク指令値はアクチュエータ制御部４０４へ入力され、アクチュエータ制御部４０４はブレーキ装置の液圧を増減し車輪に対してブレーキ力を与える。
【００６２】
以上のように、車体制御ユニット５００の故障が横滑り防止制御ユニット６００に波及していたとしても安全な制御が可能となる。
【００６３】
図１２は、故障波及判定部４０８を有しない場合の制御状況を示す表である。縦欄に故障制御ユニットを、横欄にトルク指令値が入力される制御部を示す。車体制御ユニット５００が故障した場合には、アンチロックブレーキ制御部６０２及び代替回生協調部４０３にトルク指令値が入力される。横滑り防止制御ユニット６００が故障した場合には、代替回生協調部４０３にトルク指令値が入力される。
【００６４】
故障波及判定部４０８を有しておらず、故障波及判定を行っていないため、車体制御ユニット５００が故障した場合にも、アンチロックブレーキ制御部６０２などの横滑り防止制御ユニット６００の制御は引き続き行っている。この時、車体制御ユニット５００が異常な値を横滑り防止制御ユニット６００に送信してしまっていた場合、アンチロックブレーキ制御部６０２が不正なトルク指令値を計算している可能性がある。そのため、電動ブレーキ制御ユニット４００は仕様とは異なるブレーキ制御を行ってしまう可能性がある。
【００６５】
図１３は、故障波及判定部４０８を有する場合の制御状況を示す表である。縦欄に故障制御ユニットを、横欄にトルク指令値が入力される制御部を示す。車体制御ユニット５００が故障した場合には、代替回生協調部４０３にトルク指令値が入力される。横滑り防止制御ユニット６００が故障した場合には、代替回生協調部４０３にトルク指令値が入力される。
【００６６】
本実施の形態では、故障波及判定部４０８を有しており、故障波及判定を行っているため、車体制御ユニット５００が故障した際には、アンチロックブレーキ制御部６０２などの横滑り防止制御ユニット６００の制御は行わない。この時、車体制御ユニット５００が異常な値を横滑り防止制御ユニット６００に送信してしまっていた場合、アンチロックブレーキ制御部６０２が不正なトルク指令値を計算している可能性がある。しかし、電動ブレーキ制御ユニット４００は横滑り防止制御によるブレーキ制御を行うことなく、ブレーキペダルの踏込力に基づくブレーキ制御のみが行われる。
【００６７】
以上説明した本実施の形態によれば、以下のような作用効果を得ることができる。
（１）電動ブレーキ制御ユニット４００は、車体制御ユニット５００、および横滑り防止制御ユニット６００からのデータを受信し、車体制御ユニット５００、および横滑り防止制御ユニット６００との通信異常を判定する通信部４０６と、通信異常の判定結果から車体制御ユニット５００の故障を検出する故障検出部４０７と、通信部４０６による通信異常の判定結果に基づいて車体制御ユニット５００の故障が横滑り防止制御ユニット６００へ伝播する可能性を判定する故障波及判定部４０８と、故障が伝播した場合の制御処理と故障が伝播しなかった場合の制御処理のいずれかを切替えて実行する代替ドライバブレーキ計算部４０２、代替回生協調部４０３と、故障検出部４０７による故障の検出と故障波及判定部４０８による故障の伝播の可能性に基づいて、代替ドライバブレーキ計算部４０２、代替回生協調部４０３に対する制御処理の切替えを指示する状態管理部４０５とを備えた。したがって、車体制御ユニット５００の故障が横滑り防止制御ユニット６００に波及していたとしても安全な制御が可能となる。
【００６８】
（２）故障波及判定部４０８は、車体制御ユニット５００の故障が横滑り防止制御ユニット６００へ伝播するか否かが予め記憶された波及可能性管理テーブルを有し、故障波及判定部４０８は、波及可能性管理テーブルに基づいて車体制御ユニット５００の故障が横滑り防止制御ユニット６００へ伝播する可能性を判定する。したがって、各制御ユニットへの故障の伝播を確実に判定することができる。
【００６９】
（３）状態管理部４０５は、制御処理の切替えが予め記憶された動作状態テーブルを有し、状態管理部４０５は、動作状態テーブルに基づいて制御処理の切替えを指示する。したがって、動作状態テーブルに基づいて制御処理の切替え指示を確実に行うことができる。
【００７０】
（４）状態管理部４０５は、制御処理の切替えを指示した場合には、当該切替えをしたことを示す信号を他の制御ユニットへ通知する。状態管理部４０５から通知された制御モードの切替指示は、警告灯の点灯を行う制御ユニットに送り運転手に警告したり、ログ記憶部領域へ保存して後に動作状態の調査に用いることができる。
【００７１】
（５）第１制御ユニットはブレーキペダルの踏込に基づくブレーキ力を発生する電動ブレーキ制御ユニット４００であり、第２制御ユニットは車体全体の挙動を制御する車体制御ユニット５００であり、第３制御ユニットは車体全体の挙動に基づく車輪のブレーキ力を調整する横滑り防止制御ユニット６００である。したがって、ブレーキシステムにおいて、車体制御ユニット５００の故障が横滑り防止制御ユニット６００に波及していたとしても安全な制御が可能となる。
【００７２】
−変形例−
上記第２の実施の形態では、電動ブレーキ制御ユニット４００と車体制御ユニット５００と横滑り防止制御ユニット６００との関係において、車体制御ユニット５００の故障の影響が横滑り防止制御ユニット６００に及んだ場合を例に説明した。しかしこれは一例であり、例えば、アクセル制御ユニットと車体制御ユニットと自動変速ユニットとの関係において、車体制御ユニットの故障の影響が自動変速ユニットに及んだ場合等にも同様に適用できる。故障の影響が自動変速ユニットに及んだ場合、アクセル制御ユニットは自動変速のギア比を代替計算し、モータへトルク出力を行う。
【００７３】
（第３の実施の形態）
図１５及び図１８の構成時の本発明の実施方法の差分を示す。
図１４に本実施例で用いる車載ブレーキシステムが有するECU（Electric control unit）と各ECUに関連する制御機能を示す。車体制御ECUは、駆動用モータの回生エネルギーを管理しており、回生協調機能に関連がある。横滑り防止装置は、左右方向のブレーキに関連があり、アンチロックブレーキや左右自動ブレーキなどに関連がある。周辺監視装置ECUは、周囲の障害物や白線等を検知して動く自動ブレーキに関連があり、前後方向自動ブレーキや左右方向自動ブレーキに関連がある。電動ブレーキECUは、ブレーキシステム全般に関連があり、各ブレーキ機能に関連がある。
【００７４】
図１５にブレーキシステムの一例を示す。電動ブレーキECU700と横滑り防止装置ECU800と周辺監視装置ECU900と車体制御ECU1000は、通信バス102によって接続されている。周辺監視装置ECU900は、車体制御ECU1000に障害物情報を送信し、横滑り防止装置ECUに自動ブレーキ指令を送信する。車体制御ECU1000は、周辺監視装置ECU900へ制御指令を送信し、横滑り防止装置ECU800に回生トルク指令を送信する。横滑り防止装置ECU800は、電動ブレーキECU700にトルク指令値を送信する。
【００７５】
図１６は、図１５の電動ブレーキECU700の故障波及部が持つECU間の故障波及関係を表すテーブルである。車体制御ECU1000の故障は、横滑り防止装置ECU800と周辺監視装置ECU900に影響を与える。横滑り防止装置ECUの故障は、他のECUへ影響を与えない。周辺監視装置ECU900の故障は、車体制御ECU1000の故障に影響を与える。
【００７６】
図１７は、各ECUが故障した際の図１５の構成における制御状況を示す。図１６の故障波及を行った結果、いずれかのECUが故障した場合、図１４に示す各制御機能は動作しない。これにより、故障したECUが不正な指令値を出力しても、安全な制御を行うことができる。
【００７７】
図１８にブレーキシステムの一例を示す。電動ブレーキECU700と横滑り防止装置ECU800と周辺監視装置ECU900と車体制御ECU1000は、通信バス102によって接続されている。周辺監視装置ECU900は、車体制御ECU1000に障害物情報を送信し、電動ブレーキECU700に自動ブレーキ指令を送信する。車体制御ECU1000は、周辺監視装置ECU900へ制御指令を送信し、電動ブレーキECU700に回生トルク指令を送信する。電動ブレーキECU700は、横滑り防止装置ECU800に横方向ブレーキ指令を送信する。
【００７８】
図１９は、図１８の電動ブレーキECU700の故障波及部が持つECU間の故障波及関係を表すテーブルである。車体制御ECU1000の故障は、周辺監視装置ECU900に影響を与える。横滑り防止装置ECUの故障は、他のECUへ影響を与えない。周辺監視装置ECU900の故障は、車体制御ECU1000の故障に影響を与える。
【００７９】
図２０は、各ECUが故障した際の図１８の構成における制御状況を示す。故障波及判定を行った結果車体制御ECU故障時には、回生協調と前後方向自動ブレーキと左右方向自動ブレーキが動作しない。横滑り防止装置ECU故障時には、回生協調とアンチロックブレーキと左右方向自動ブレーキが動作しない。周辺監視装置ECUが故障時には、回生協調と前後方向自動ブレーキと左右方向自動ブレーキが動作しない。
【００８０】
本発明により、故障波及に関する機能制限の変更が、異常波及判定部の異常波及テーブルの変更を行うことで対処できる。異常波及テーブルの切り替えは、ソフトウェア設計時以外に、動作中に切り替えることができる。
【００８１】
図２１に動作中に異常波及テーブルを切り替えるためのシステム構成を判定する方法の例を示す。
まずステップ1101において、通信部110がバスからデータを取得する。次にステップ1102において、取得したデータが回生トルクであるかを判定する。もし、回生トルクでないならばステップ1104を、回生トルクであるならばステップ1103を実施する。次に、ステップ1103で、システム構成を図１８であると決定し異常波及テーブルを図１９の物に切り替える。ステップ1104では、回生トルクの受信が設定時間以上無ければ、ステップ1105へ、一定時間以内であればステップ1101を実施する。次にステップ1105で、システム構成を図１５であると決定し異常波及テーブルを図１６の物に切り替える。
【００８２】
本発明は、上記の実施の形態に限定されるものではなく、本発明の特徴を損なわない限り、本発明の技術思想の範囲内で考えられるその他の形態についても、本発明の範囲内に含まれる。
【符号の説明】
【００８３】
１０２  通信ネットワーク
１２０、４０７  故障検出部
１３０、４０８  故障波及判定部
１４０、４０５  状態管理部
１５０ａ、１５０ｂ  制御処理部
１６０ａ、１６０ｂ  代替処理部
４００  電動ブレーキ制御ユニット
４０１  センサ入力部
４０２  代替ドライバブレーキ計算部
４０３  代替回生協調部
４０４  アクチュエータ制御部
５００  車体制御ユニット
６００  横滑り防止制御ユニット
【図１】
2015067234.tif 000003
【図２】
2015067234.tif 000004
【図３】
2015067234.tif 000005
【図４ａ】
2015067234.tif 000006
【図４ｂ】
2015067234.tif 000007
【図５】
2015067234.tif 000008
【図６】
2015067234.tif 000009
【図７】
2015067234.tif 000010
【図８】
2015067234.tif 000011
【図９】
2015067234.tif 000012
【図１０】
2015067234.tif 000013
【図１１】
2015067234.tif 000014
【図１２】
2015067234.tif 000015
【図１３】
2015067234.tif 000016
【図１４】
2015067234.tif 000017
【図１５】
2015067234.tif 000018
【図１６】
2015067234.tif 000019
【図１７】
2015067234.tif 000020
【図１８】
2015067234.tif 000021
【図１９】
2015067234.tif 000022
【図２０】
2015067234.tif 000023
【図２１】
2015067234.tif 000024