(57)【特許請求の範囲】
【請求項１】
システム内の少なくとも１つの通信手段、制御手段、作動手段或いは検出手段を多重化することによってフォールトトレラント性を持たせた車両制御システムにおいて、
上記多重化した部分の少なくとも１つが一重状態になったことを検出する一重状態検出手段を備え、
上記一重状態検出手段が一重状態を検出した際には、車両の制御機能を制限するものであって、
スロットルアクチュエイタを制御するスロットルアクチュエイタ制御手段、車間距離を制御する車間距離制御手段、および上記スロットルアクチュエイタ制御手段と上記車間距離制御手段とが通信する多重化された多重化通信手段をさらに備え、
上記一重状態検出手段が上記多重化通信手段の一重状態を検出した際に、上記車間距離制御手段は、先行車との車間距離を所定値以上に制限する
ことを特徴とするフォールトトレラント車両制御システム。
【請求項２】
上記一重状態検出手段が一重状態を検出した際、ドライバに警告しドライバの了承を得て車両の制御機能を制限するドライバ了承手段をさらに備えた
ことを特徴とする請求項１に記載のフォールトトレラント車両制御システム。
【請求項３】
システム内の少なくとも１つの通信手段、制御手段、作動手段或いは検出手段を多重化することによってフォールトトレラント性を持たせた車両制御システムにおいて、
上記多重化した部分の少なくとも１つが一重状態になったことを検出する一重状態検出手段を備え、
上記一重状態検出手段が一重状態を検出した際には、車両の制御機能を制限するものであって、
上記一重状態検出手段が一重状態を検出した際、ドライバに警告しドライバの了承を得て車両の制御機能を制限するドライバ了承手段をさらに備えた
ことを特徴とするフォールトトレラント車両制御システム。
【請求項４】
システム内の少なくとも１つの通信手順、制御手順、作動手順或いは検出手順を多重化することによってフォールトトレラント性を持たせた車両制御方法において、
上記多重化した部分の少なくとも１つが一重状態になったことを検出する一重状態検出手順を備え、上記一重状態検出手順が一重状態を検出した際に、車両の制御機能を制限するものであって、
上記一重状態検出手順が一重状態を検出した際、ドライバに警告し、さらにドライバの了承を得た後、車両の制御機能を制限する
ことを特徴とするフォールトトレラント車両制御方法。
【発明の詳細な説明】
【０００１】
【発明の属する技術分野】
本発明は、システム内の通信手段、制御手段、作動手段及び検出手段等を多重化することによってフォールトトレラント性を持たせた車両制御システム及び車両制御方法に関するものである。
【０００２】
【従来の技術】
システム内の通信手段を多重化することによってフォールトトレラント性を持たせた、車両制御システムの一例としてＴＴＰ（Time Triggered Protocol）／Ｃ通信システムを使った車両制御システムがある。ＴＴＰ／Ｃ通信システムついては、「特表平８−５００９２２号公報  通信制御装置及び情報伝達方法」や、「H.Kopetz，G.Gruensteidl，"TTP -- A Protocol for Fault-Tolerant Real-Time Systems",IEEE Computer，Jan. 1994」等で既に公知であるので、詳細な説明は省略し、以下にＴＴＰ／Ｃ通信システムを使った車両制御システムの例を簡単に説明する。
【０００３】
図８はＴＴＰ／Ｃ通信システムを使ったブレーキ制御システムの構成例を示す図である。図８において、１０はブレーキペダルセンサ、２０Ａ、２０Ｂは１０の動作を制御するブレーキペダルセンサ制御手段、３０Ａ、３０Ｂは２０Ａ、２０Ｂが通信を行うための通信手段、４０はブレーキアクチュエイタ、５０Ａ、５０Ｂは、４０の動作を制御するブレーキアクチュエイタ制御手段、６０Ａ、６０Ｂは、５０Ａ、５０Ｂが通信を行うための通信手段である。通信手段３０Ａ、３０Ｂ、６０Ａ、６０Ｂは一本の通信線により接続されている。
【０００４】
ＴＴＰ／Ｃ通信システムでは、通信手段３０Ａ、３０Ｂ、６０Ａ、６０ＢはＴＤＭＡ（時分割多重アクセス）方式で通信を行う。ＴＤＭＡ方式とは、各通信手段がメッセージを送信する時刻をあらかじめ決めておき、複数の通信手段が同時にメッセージを送信しないようにする方式である。通信手段３０Ａ、３０Ｂ、６０Ａ、６０Ｂは同期した時計と、図９に示す共通のメッセージ送信者リストを備えている。これにより、通信手段３０Ａ、３０Ｂ、６０Ａ、６０Ｂは、それぞれの時刻でのメッセージ送信者を知り、メッセージの送受信を行う。図９に示すメッセージ送信者リストの場合は、図１０に示すように、時刻Ｔ１に通信手段３０Ａ、時刻Ｔ２に通信手段３０Ｂ、時刻Ｔ３に通信手段６０Ａ、時刻Ｔ４に通信手段６０Ｂがメッセージを送信する。なお、通信線に送信されたメッセージは送信者以外の全ての通信手段が受信する。
【０００５】
通信手段３０Ａ、３０Ｂ、６０Ａ、６０Ｂは、それぞれの時刻でのメッセージ送信者を知り、メッセージ送信を行うが、これを利用して、通信手段３０Ａ、３０Ｂ、６０Ａ、６０Ｂは、常に互いのフェールを検出しあうことができる。例えば、通信手段６０Ｂが時刻Ｔ３にメッセージを受信できなかった場合、通信手段６０Ｂは「時刻Ｔ３の送信者である通信手段６０Ａはメッセージを送信しなかった。すなわち、通信手段６０Ａはフェールした。」と判定する。ＴＴＰ／Ｃ通信システムでは、この機能を「メンバーシップサービス」と呼ぶ。
【０００６】
このようなＴＴＰ／Ｃ通信システムを使ったブレーキ制御システムの動作を以下に説明する。まず、ブレーキペダルセンサ１０が測定したペダル踏み込み量をブレーキペダルセンサ制御手段２０Ａ、２０Ｂが入力し、それぞれの通信手段３０Ａ、３０Ｂに出力する。通信手段３０Ａ、３０Ｂは、図９に示したメッセージ送信者リストに従い、時刻Ｔ１、Ｔ２に、ペダル踏み込み量を通信線に送信する。
【０００７】
通信手段６０Ａ、６０Ｂは、通信手段２０Ａ、２０Ｂが送信したペダル踏み込み量を受信し、ブレーキアクチュエイタ制御手段５０Ａ、５０Ｂに出力する。さらに通信手段６０Ａ、６０Ｂは、図９に示したメッセージ送信者リストに従い、時刻Ｔ３、Ｔ４に、ペダル踏み込み量を受信完了した旨を通信線に送信する。
【０００８】
次に、ブレーキアクチュエイタ制御手段５０Ａ、５０Ｂは、制御手段６０Ａ、６０Ｂのメンバーシップサービスの結果を入力し、システム内の通信手段のフェール状態を確認する。ブレーキアクチュエイタ制御手段５０Ａは、通信手段６０Ｂがフェールしている際に、通信手段６０Ａからのペダル踏み込み量に応じてブレーキアクチュエイタ４０を制御する。
【０００９】
ブレーキアクチュエイタ制御手段５０Ｂは、通信手段６０Ａがフェールしている際に、通信手段６０Ｂからのペダル踏み込み量に応じて、ブレーキアクチュエイタ４０を制御する。通信手段６０Ａ、６０Ｂ共にフェールしていない場合には、ブレーキアクチュエイタ制御手段５０Ａが通信手段６０Ａからのペダル踏み込み量に応じてブレーキアクチュエイタ４０を制御する。なお、上述のメンバーシップサービスの結果より、フェールしていると判断された通信手段は、電源リセットにより、正常な状態に戻るよう試みられる。
【００１０】
ＴＴＰ／Ｃ通信システムを使ったブレーキ制御システムでは、上述のように通信手段を多重化することで、通信手段３０Ａ、３０Ｂのいずれか一方、また、通信手段６０Ａ、６０Ｂのいずれか一方にフェールが生じても、ブレーキの制御を継続して行えるようにしている（フォールトトレラント性の確保）。
【００１１】
【発明が解決しようとする課題】
このようにシステム内の通信手段を多重化することによってフォールトトレラント性を持たせた、車両制御システムでは、例えば、二重化した通信手段のうちの一方が永久フェール（すぐに正常な状態に戻らないフェール）を起こした場合、フォールトトレラント性を確保できなくなる。すなわち、残りの一方がフェールした場合に、車両制御を行えなくなるという問題点がある。これに対して、以下に示す対策が容易に考えられる。
【００１２】
（１）二重化した通信手段のうちの一方が永久フェールを起こした場合、ドライバに修理を促したうえで、残った一方で車両制御を継続する。
（２）二重化した通信手段のうちの一方が永久フェールを起こした場合、ドライバに修理を促し、さらに事故防止のために車両制御を完全に停止する。
【００１３】
しかしながら、上述の（１）の対策では、ドライバに修理を促すものの、ドライバから見た車両の動作は正常なため、ドライバが修理を怠る可能性があった。そのため、残りの一方がフェールした場合に重大事故に繋がる可能性があった。
【００１４】
一方、上述の（２）の対策では、車両制御を完全に停止するため、車両を危険な場所に停止してしまったり、修理工場まで運転できなかったり等、残りの一方が正常に動作するにもかかわらず、それを有効に利用できないという問題があった。
【００１５】
この発明は、上述のような課題を解決するためになされたもので、ドライバがただちに修理を行うことを期待でき、また、残りの手段がフェールした場合でも、重大事故に繋がる可能性が低い、フォールトトレラント車両制御システム及びフォールトトレラント車両制御方法を得ることを目的とする。
【００１６】
【課題を解決するための手段】
この発明に係るフォールトトレラント車両制御システムは、システム内の少なくとも１つの通信手段、制御手段、作動手段或いは検出手段を多重化することによってフォールトトレラント性を持たせた車両制御システムにおいて、多重化した部分の少なくとも１つが一重状態になったことを検出する一重状態検出手段を備え、一重状態検出手段が一重状態を検出した際には、車両の制御機能を制限するものであって、スロットルアクチュエイタを制御するスロットルアクチュエイタ制御手段、車間距離を制御する車間距離制御手段、およびスロットルアクチュエイタ制御手段と車間距離制御手段とが通信する多重化された多重化通信手段をさらに備え、一重状態検出手段が多重化通信手段の一重状態を検出した際に、車間距離制御手段は、先行車との車間距離を所定値以上に制限する。
【００２４】
この発明に係るフォールトトレラント車両制御システムは、システム内の少なくとも１つの通信手段、制御手段、作動手段或いは検出手段を多重化することによってフォールトトレラント性を持たせた車両制御システムにおいて、多重化した部分の少なくとも１つが一重状態になったことを検出する一重状態検出手段を備え、一重状態検出手段が一重状態を検出した際には、車両の制御機能を制限するものであって、一重状態検出手段が一重状態を検出した際、ドライバに警告しドライバの了承を得て車両の制御機能を制限するドライバ了承手段をさらに備えた。
【００２８】
また、他の発明のフォールトトレラント車両制御方法は、システム内の少なくとも１つの通信手順、制御手順、作動手順或いは検出手順を多重化することによってフォールトトレラント性を持たせた車両制御方法において、多重化した部分の少なくとも１つが一重状態になったことを検出する一重状態検出手順を備え、一重状態検出手順が一重状態を検出した際に、車両の制御機能を制限するものであって、一重状態検出手順が一重状態を検出した際、ドライバに警告し、さらにドライバの了承を得た後、車両の制御機能を制限する。
【００３４】
【発明の実施の形態】
実施の形態１．
図１は本発明の実施の形態の車両制御システムの構成を示すブロック図である。本実施の形態の車両制御システムは、従来例と同じく、ＴＴＰ／Ｃ通信システムを使ったブレーキ制御システムである。
【００３５】
図１において、１０〜６０Ｂは、従来例と同じでものある。７０は通信手段６０Ａ、６０Ｂのメンバーシップサービスの結果を入力し、「通信手段３０Ａ、３０Ｂ、６０Ａ、６０Ｂのいずれかが永久フェールし、通信手段が一重状態になった」ことを検出する一重状態検出手段である。９０はスロットルアクチュエイタ、８０は９０の動作を制御するスロットルアクチュエイタ制御手段である。
【００３６】
本実施の形態による車両制御システムの動作を説明する。本実施の形態による車両制御システムでは、図１における１０〜６０Ａ、６０Ｂの動作は、従来例と同じである。本実施の形態においては従来例に加えて、一重状態検出手段７０が通信手段６０Ａ、６０Ｂのメンバーシップサービスの結果を所定の周期で入力し、システム内の通信手段のフェール状態を確認する。一重状態検出手段７０は、通信手段３０Ａ、３０Ｂ、６０Ａ、６０Ｂのいずれかが所定の期間以上フェールしていると判断した際に、図示しない警告手段によって、ドライバに修理を促すとともに、スロットル全開値を制限することを警告し、スロットルアクチュエイタ制御手段８０にスロットル全開値を、例えば通常の２０％に抑えるよう指示する。
【００３７】
このように本実施の形態においては、多重化した通信手段の一重状態を検出する手段を備え、通信手段が一重状態になった際には、スロットル全開値を通常よりも小さく制限するようにしたので、ドライバが低速走行をわずらわしく感じ、直ちに修理を行うことが期待できる。また、走行することが可能であるため、ドライバが車両を安全な場所に停止させたり、修理工場まで運転することができる。さらに走行中に、残りの通信手段がフェールした場合でも、低速走行であるため、重大事故に繋がる可能性が低い。
【００３８】
実施の形態２．
図２は本発明の他の実施の形態の車両制御システムの構成を示すブロック図である。本実施の形態の車両制御システムは、ＲＳ−２３２ＣやＣＡＮ（Controller Area Network）等の一般的なシリアル通信手段を多重化したステアリング制御システムである。
【００３９】
図２において、１１はステアリングセンサ、２１は１１の動作を制御するステアリングセンサ制御手段、３１Ａ、３１Ｂは２１が通信を行うための通信手段、４１はステアリングアクチュエイタ、５１は、４１の動作を制御するステアリングアクチュエイタ制御手段、６１Ａ、６１Ｂは５１が通信を行うための通信手段である。７１は「通信手段３１Ａ、３１Ｂ、６１Ａ、６１Ｂのいずれかが永久フェールし、通信手段が一重状態になった」ことを検出する一重状態検出手段である。９１はスロットルアクチュエイタ、８１は９１の動作を制御するスロットルアクチュエイタ制御手段である。
【００４０】
ここで、通信手段３１Ａ、３１Ｂ、６１Ａ、６１Ｂは、ＲＳ−２３２ＣやＣＡＮ等により通信を行うものであり、３１Ａと６１Ｂ、３１Ｂと６１Ａがそれぞれの通信線により接続されている。３１Ａ、３１Ｂはメッセージの送信、６１Ａ、６１Ｂはメッセージの受信を行う。６１Ａ、６１Ｂはメッセージを受信完了した際に、メッセージ受信完了信号を出力する。
【００４１】
本実施の形態による車両制御システムの動作を説明する。本実施の形態では、まず、ステアリングセンサ１１が測定したステアリング操舵角をステアリング制御手段２１が入力し、通信手段３１Ａ、３１Ｂに出力する。通信手段３１Ａ、３１Ｂはただちにステアリング操舵角を通信線に送信する。
【００４２】
通信手段６１Ａ、６１Ｂは通信手段３１Ａ、３１Ｂが送信したステアリング操舵角を受信し、受信が完了した際に、受信完了信号をステアリングアクチュエイタ制御手段５１と一重状態検出手段７１に出力する。ステアリングアクチュエイタ制御手段５１は、上述の受信完了信号を入力すると、受信完了信号の発信元の通信手段から、ステアリング操舵角を入力し、入力したステアリング操舵角に応じてステアリングアクチュエイタ４１を制御する。なお、ステアリングアクチュエイタ制御手段５１は、通信手段６１Ａ、６１Ｂの両方から受信完了信号を入力した場合は、どちらかの通信手段から、ステアリング操舵角を入力すれば良い。
【００４３】
一方、一重状態検出手段７１は、通信手段６１Ａ、６１Ｂから受信完了信号を入力するが、もし、所定の期間内に通信手段６１Ａ、６１Ｂの一方からのみ受信完了信号を入力した場合、一重状態になったと判断し、ドライバに修理を促すとともに、スロットル全開値を制限することを警告し、スロットルアクチュエイタ制御手段８１にスロットル全開値を、実施の形態１と同様に抑えるよう指示する。
【００４４】
このように本実施の形態においては、多重化した通信手段の一重状態を検出する手段を備え、通信手段が一重状態になった際には、スロットル全開値を通常よりも小さく制限するようにしたので、ドライバが低速走行をわずらわしく感じ、ただちに修理を行うことが期待できる。また、走行することが可能であるため、ドライバが車両を安全な場所に停止させたり、修理工場まで運転することができる。さらに走行中に、残りの通信手段がフェールした場合でも、低速走行であるため、重大事故に繋がる可能性が低い。
【００４５】
実施の形態３．
図３は本発明の実施の形態３の車両制御システムの構成を示すブロック図である。本実施の形態３の車両制御システムは、実施の形態２と同じくＲＳ−２３２ＣやＣＡＮ等の一般的なシリアル通信手段を多重化したスロットル制御システムである。
【００４６】
図３において、１２はアクセルペダルセンサ、２２は１２の動作を制御するアクセルペダルセンサ制御装置、３２Ａ、３２Ｂは２２が通信を行うための通信手段、４２はスロットルアクチュエイタ、５２は、４２の動作を制御するスロットルアクチュエイタ制御手段、６２Ａ、６２Ｂは５２が通信を行うための通信手段である。７２は「通信手段３２Ａ、３２Ｂ、６２Ａ、６２Ｂのいずれかが永久フェールし、通信手段が一重状態になった」ことを検出する一重状態検出手段である。１００は車速を測定するセンサである。
【００４７】
ここで、通信手段３２Ａ、３２Ｂ、６２Ａ、６２Ｂは、実施の形態２と同じくＲＳ−２３２ＣやＣＡＮ等により通信を行うものであり、３２Ａと６２Ｂ、３２Ｂと６２Ａがそれぞれの通信線により接続されている。３２Ａ、３２Ｂはメッセージの送信、６２Ａ、６２Ｂはメッセージの受信を行う。６２Ａ、６２Ｂはメッセージを受信完了した際に、メッセージ受信完了信号を出力する。
【００４８】
本実施の形態による車両制御システムの動作を説明する。本実施の形態では、まず、アクセルペダルセンサ１２が測定したペダル踏み込み量をアクセルペダルセンサ制御手段２２が入力し、通信手段３２Ａ、３２Ｂに出力する。通信手段３２Ａ、３２Ｂはただちにペダル踏み込み量を通信線に送信する。
【００４９】
通信手段６２Ａ、６２Ｂは通信手段３２Ａ、３２Ｂが送信したステアリング操舵角を受信し、受信が完了した際に、受信完了信号をスロットルアクチュエイタ制御手段５２と一重状態検出手段７２に出力する。スロットルアクチュエイタ制御手段５２は、上述の受信完了信号を入力すると、受信完了信号の発信元の通信手段から、ペダル踏み込み量を入力し、入力したペダル踏み込み量に応じてスロットルアクチュエイタ４２を制御する。なお、スロットルアクチュエイタ制御手段５２は、通信手段６２Ａ、６２Ｂの両方から受信完了信号を入力した場合は、どちらかの通信手段から、ペダル踏み込み量を入力すれば良い。
【００５０】
一方、一重状態検出手段７２は、通信手段６２Ａ、６２Ｂから受信完了信号を入力するが、もし、所定の期間内に通信手段６２Ａ、６２Ｂの一方からのみ受信完了信号を入力した場合、一重状態になったと判断し、ドライバに修理を促すとともに、スロットル全開値を制限することを警告し、スロットルアクチュエイタ制御手段５２に、最高車速を例えば１５ｋｍ／ｈに抑えるべく、スロットル全開値を制限するよう指示する。
【００５１】
このように本実施の形態においては、車速センサを備えて、車速が所定値以下になるべく、スロットル全開値を制限するようにしたので、実施の形態１、２に比べて、より確実に車両を低速走行させることができる。
【００５２】
なお、本実施の形態では、車速センサを備えて、車速が所定値以下になるべく、スロットル全開値を制限するようにしたが、これに限るものではなく、車輪速センサを備えて、車輪速が所定値以下になるべく、スロットル全開値を制限しても良い。
【００５３】
実施の形態４．
図４は本発明の実施の形態４の車両制御システムの構成を示すブロック図である。本実施の形態４の車両制御システムは、実施の形態２、３と同じくＲＳ−２３２ＣやＣＡＮ等の一般的なシリアル通信手段を多重化した車間距離制御システムである。
【００５４】
図４において、１３は先行車との車間距離を測定する車間距離センサ、１４は車速センサ、２３は車間距離センサ１３と車速センサ１４の入力から、スロットル開閉を判断する車間距離制御手段、３３Ａ、３３Ｂは２３が通信を行うための通信手段、４３はスロットルアクチュエイタ、４４はアクセルペダルセンサ、５３は、４２の動作を制御するスロットルアクチュエイタ制御手段、６３Ａ、６３Ｂは５３が通信を行うための通信手段である。７３は「通信手段３３Ａ、３３Ｂ、６３Ａ、６３Ｂのいずれかが永久フェールし、通信手段が一重状態になった」ことを検出する一重状態検出手段である。
【００５５】
ここで、通信手段３３Ａ、３３Ｂ、６３Ａ、６３Ｂは、実施の形態２、３と同じくＲＳ−２３２ＣやＣＡＮ等により通信を行うものであり、３３Ａと６３Ｂ、３３Ｂと６３Ａがそれぞれの通信線により接続されている。３３Ａ、３３Ｂはメッセージの送信、６３Ａ、６３Ｂはメッセージの受信を行う。６３Ａ、６３Ｂはメッセージを受信完了した際に、メッセージ受信完了信号を出力する。
【００５６】
また、スロットルアクチュエイタ制御手段５３は車間距離制御中、通信手段６３Ａ、６３Ｂから入力するスロットル開閉指示に応じて、スロットルアクチュエイタ４３を制御するが、もし、通信手段６３Ａ、６３Ｂからスロットル開閉指示が入力できなくなった際には、ただちに、マニュアル運転に戻す旨をドライバに通達し、アクセルペダルセンサ４４が測定するペダル踏み込み量に応じて、スロットルアクチュエイタ４３の制御を行うものである。
【００５７】
本実施の形態による車両制御システムの動作を説明する。本実施の形態では、まず、車間距離センサ１３が測定した車間距離、車速センサ１４が測定した自車速を車間距離制御手段２３が入力し、スロットル開閉判断を行う。ここでは、例えば図５に示したグラフに基づいて、現在の車間距離と最適車間距離を比較し、現在の車間距離が最適車間距離より小さい場合はスロットルを所定値だけ閉じ、大きい場合はスロットルを所定値だけ開くように判断する。判断結果はスロットル開閉指示として通信手段３３Ａ、３３Ｂに出力する。通信手段３３Ａ、３３Ｂはただちにスロットル開閉指示を通信線に送信する。
【００５８】
通信手段６３Ａ、６３Ｂは通信手段３３Ａ、３３Ｂが送信したスロットル開閉指示を受信し、受信が完了した際に、受信完了信号をスロットルアクチュエイタ制御手段５３と一重状態検出手段７３に出力する。スロットルアクチュエイタ制御手段５３は、上述の受信完了信号を入力すると、受信完了信号の発信元の通信手段から、スロットル開閉指示を入力し、入力したスロットル開閉指示に応じてスロットルアクチュエイタ４３を制御する。なお、スロットルアクチュエイタ制御手段５３は、通信手段６３Ａ、６３Ｂの両方から受信完了信号を入力した場合は、どちらかの通信手段から、スロットル開閉指示を入力すれば良い。
【００５９】
一方、一重状態検出手段７３は、通信手段６３Ａ、６３Ｂから受信完了信号を入力するが、もし、所定の期間内に通信手段６３Ａ、６３Ｂの一方からのみ受信完了信号を入力した場合、一重状態になったと判断し、ドライバに修理を促すとともに、車間距離を制限することを警告し、車間距離制御手段２２に、例えば、図６に示したグラフに基づいて前記スロットル開閉判断を行い、車間距離を大きくするよう指示する。
【００６０】
このように本実施の形態においては、多重化した通信手段の一重状態を検出する手段を備え、通信手段が一重状態になった際には、先行車との車間距離を通常よりも大きくするので、ドライバがわずらわしく感じ、ただちに修理を行うことが期待できる。また、走行中に残りの通信手段がフェールし、マニュアル運転を開始しなければならなくなった際でも、車間距離が大きいため、ドライバが落ちついてマニュアル運転を開始することができる。
【００６１】
実施の形態５．
図７は本発明の実施の形態５の車両制御システムの構成を示すブロック図である。本実施の形態５の車両制御システムは、ブレーキペダルセンサを多重化したブレーキ制御システムである。
【００６２】
図７において、１５Ａと１５Ｂはブレーキペダルセンサ、２４は１５Ａと１５Ｂの動作を制御するブレーキペダルセンサ制御手段、３４は２４が通信を行うための通信手段、４４はブレーキアクチュエイタ、５４は、４４の動作を制御するブレーキアクチュエイタ制御手段、６４は、５４が通信を行うための通信手段である。７４は「ブレーキペダルセンサ１５Ａ、１５Ｂのいずれかが永久フェールし、ブレーキペダルセンサが一重状態になった」ことを検出する一重状態検出手段、９２はスロットルアクチュエイタ、８２は９２の動作を制御するスロットルアクチュエイタ制御手段である。
【００６３】
ここで、通信手段３４、６４は、実施の形態２〜４と同じくＲＳ−２３２ＣやＣＡＮ等により通信を行うものであり、１本の通信線により接続されている。３４はメッセージの送信、６４はメッセージの受信を行う。６４はメッセージを受信完了した際に、メッセージ受信完了信号を出力する。
【００６４】
また、ブレーキペダルセンサ１５Ａ、１５Ｂは、所定の周期毎に生存信号を出力するもので、一重状態検出手段７４は、ブレーキペダルセンサ１５Ａ、１５Ｂの生存信号を監視するウォッチドッグ機能を備えているものである。
【００６５】
本実施の形態による車両制御システムの動作を説明する。本実施の形態では、まず、ブレーキペダルセンサ１５Ａ、１５Ｂが測定したペダル踏み込み量をブレーキペダルセンサ制御手段２４が入力し、通信手段３４に出力する。この際、ブレーキペダルセンサ制御手段２４はブレーキペダルセンサ１５Ａ、１５Ｂの両方から、ペダル踏み込み量を入力できた場合、どちらかのペダル踏み込み量を通信手段３４に出力すれば良い。通信手段３４はただちにペダル踏み込み量を通信線に送信する。
【００６６】
通信手段６４は通信手段３４が送信したペダル踏み込み量を受信し、受信が完了した際に、受信完了信号をブレーキアクチュエイタ制御手段５４に出力する。ブレーキアクチュエイタ制御手段５４は、上述の受信完了信号を入力すると、通信手段５４から、ペダル踏み込み量を入力し、入力したペダル踏み込み量に応じてブレーキアクチュエイタ４４を制御する。
【００６７】
一方、一重状態検出手段７４には、ブレーキペダルセンサ１５Ａ、１５Ｂから、周期的に生存信号が出力されている。一重状態検出手段７４は、この生存信号を入力するが、もし、所定の期間内にブレーキペダルセンサ１５Ａ、１５Ｂの一方からのみ生存信号を入力した場合、一重状態になったと判断し、ドライバに修理を促すとともに、スロットル全開値を制限することを警告し、スロットルアクチュエイタ制御手段８２にスロットル全開値を、実施の形態１〜２と同様に抑えるよう指示する。
【００６８】
このように本実施の形態においては、多重化したセンサの一重状態を検出する手段を備え、センサが一重状態になった際には、スロットル全開値を通常よりも小さく制限するようにしたので、ドライバが低速走行をわずらわしく感じ、ただちに修理を行うことが期待できる。また、走行することが可能であるため、ドライバが車両を安全な場所に停止させたり、修理工場まで運転することができる。さらに走行中に、残りのセンサがフェールした場合でも、低速走行であるため、重大事故に繋がる可能性が低い。
【００６９】
尚、実施の形態１乃至４では通信手段、実施の形態５ではセンサ即ち検出手段を多重化した例を示したが、これに限るものではなく、例えば、作動手段としてのアクチュエイタ、各種制御手段、通信線等を多重化し、それらの一重状態を検出した際に、車両の制御機能を制限するようにしても良い。
【００７０】
また、実施の形態１乃至５では、一重状態を検出した際に、ドライバに警告してから、すぐに車両の制御機能を制限するようにしたが、ドライバの了承を得るためのドライバ了承手段としての図示しないスイッチを備えて、ドライバがスイッチから了承の旨を入力した際のみ、車両の制御機能を制限するようにすれば、車両の制御機能を制限した際にドライバが驚くことが少ない。
【００７１】
また、実施の形態１乃至５では、一重状態を検出した際に、ドライバに警告してから、すぐに車両の制御機能を制限するようにしたが、図示しないシートベルト催促手段を設けて、ドライバにシートベルトの装着を促したり、図示しないハザードランプ点灯手段を設けて、車両のハザードランプを自動的に点灯したり、図示しないエアバッグ展開閾値変更手段を設けて、エアバッグが開きやすいようにエアバッグ展開閾値を変更した後で、車両の制御機能を制限すれば、より安全な状態で車両の制御機能を制限することができる。
【００７２】
【発明の効果】
この発明に係るフォールトトレラント車両制御システムは、システム内の少なくとも１つの通信手段、制御手段、作動手段或いは検出手段を多重化することによってフォールトトレラント性を持たせた車両制御システムにおいて、多重化した部分の少なくとも１つが一重状態になったことを検出する一重状態検出手段を備え、一重状態検出手段が一重状態を検出した際には、車両の制御機能を制限するものであって、スロットルアクチュエイタを制御するスロットルアクチュエイタ制御手段、車間距離を制御する車間距離制御手段、およびスロットルアクチュエイタ制御手段と車間距離制御手段とが通信する多重化された多重化通信手段をさらに備え、一重状態検出手段が多重化通信手段の一重状態を検出した際に、車間距離制御手段は、先行車との車間距離を所定値以上に制限する。
そのため、ドライバがわずらわしく感じ、ただちに修理を行うことが期待でき、また、残りの手段がフェールした場合でも、重大事故に繋がる可能性が低い、車両制御システムを提供することができる。また、走行中に残りの通信手段がフェールし、マニュアル運転を開始しなければならなくなった際でも、車間距離が大きいため、ドライバが落ちついてマニュアル運転を開始することができる車間距離制御システムを提供できる。
【００８０】
この発明に係るフォールトトレラント車両制御システムは、システム内の少なくとも１つの通信手段、制御手段、作動手段或いは検出手段を多重化することによってフォールトトレラント性を持たせた車両制御システムにおいて、多重化した部分の少なくとも１つが一重状態になったことを検出する一重状態検出手段を備え、一重状態検出手段が一重状態を検出した際には、車両の制御機能を制限するものであって、一重状態検出手段が一重状態を検出した際、ドライバに警告しドライバの了承を得て車両の制御機能を制限するドライバ了承手段をさらに備えた。
そのため、ドライバがわずらわしく感じ、ただちに修理を行うことが期待でき、また、残りの手段がフェールした場合でも、重大事故に繋がる可能性が低い、車両制御システムを提供することができる。また、車両の制御機能を制限した際に、ドライバが驚くことがより少ない車両制御システムを提供することができる。
【００８４】
また、他の発明のフォールトトレラント車両制御方法は、システム内の少なくとも１つの通信手順、制御手順、作動手順或いは検出手順を多重化することによってフォールトトレラント性を持たせた車両制御方法において、多重化した部分の少なくとも１つが一重状態になったことを検出する一重状態検出手順を備え、一重状態検出手順が一重状態を検出した際に、車両の制御機能を制限するものであって、一重状態検出手順が一重状態を検出した際、ドライバに警告し、さらにドライバの了承を得た後、車両の制御機能を制限する。
そのため、ドライバがわずらわしく感じ、ただちに修理を行うことが期待でき、また、残りの手段がフェールした場合でも、重大事故に繋がる可能性が低い、車両制御システムを提供することができる。また、車両の制御機能を制限した際に、ドライバが驚くことがより少ない車両制御システムを提供することができる。
【図面の簡単な説明】
【図１】  本発明の実施の形態１の車両制御システムの構成を示すブロック図である。
【図２】  本発明の実施の形態２の車両制御システムの構成を示すブロック図である。
【図３】  本発明の実施の形態３の車両制御システムの構成を示すブロック図である。
【図４】  本発明の実施の形態４の車両制御システムの構成を示すブロック図である。
【図５】  本発明の実施の形態４の車両制御システムが備える車間距離制御手段の動作を説明するための図ある。
【図６】  本発明の実施の形態４の車両制御システムが備える車間距離制御手段の動作を説明するための図である。
【図７】  本発明の実施の形態５の車両制御システムの構成を示すブロック図である。
【図８】  従来の車両制御システムの構成を示すブロック図である。
【図９】  ＴＴＰ／Ｃ通信システムを説明する図である。
【図１０】  ＴＴＰ／Ｃ通信システムを説明する図である。
【符号の説明】
１０，１５Ａ，１５Ｂ  ブレーキペダルセンサ（検出手段）、１１  ステアリングセンサ（検出手段）、１２  アクセルペダルセンサ（検出手段）、１３  車間距離センサ（検出手段）、１４車速センサ（検出手段）、２０Ａ，２０Ｂ，２４  ブレーキペダルセンサ制御手段、２１  ステアリングセンサ制御手段、２２アクセルペダルセンサ制御手段、２３  車間距離制御手段、３０Ａ，３０Ｂ，３１Ａ，３１Ｂ，３２Ａ，３２Ｂ，３３Ａ，３３Ｂ，３４，６０Ａ，６０Ｂ，６１Ａ，６１Ｂ，６２Ａ，６２Ｂ，６３Ａ，６３Ｂ，６４  通信手段、４０，４４ブレーキアクチュエイタ（作動手段）、４１  ステアリングアクチュエイタ（作動手段）、４２，４３  スロットルアクチュエイタ（作動手段）、５０Ａ，５０Ｂ，５４  ブレーキアクチュエイタ制御手段、５１  ステアリングアクチュエイタ制御手段、５２，５３  スロットルアクチュエイタ制御手段、７０，７１，７２，７３，７４  一重状態検出手段、８０，８１，８２  スロットルアクチュエイタ制御手段、９０，９１，９２  スロットルアクチュエイタ、１００  車速センサ。
【図１】
0004230610.tif 000002
【図２】
0004230610.tif 000003
【図３】
0004230610.tif 000004
【図４】
0004230610.tif 000005
【図５】
0004230610.tif 000006
【図６】
0004230610.tif 000007
【図７】
0004230610.tif 000008
【図８】
0004230610.tif 000009
【図９】
0004230610.tif 000010
【図１０】
0004230610.tif 000011