CN116419876A - 车辆控制系统 - Google Patents

Abstract

在能够自主行驶的自动行驶车辆的情况下，还要求对两处故障进行处理。为了应对两个控制器(205、305)的故障，需要追加准备能够进行实时运算的控制器(205、305)，以使致动器(32)进行动作，存在成本上升的问题。本申请所涉及的车辆控制系统(1)是具备基于控制目标值将驱动单元(31)驱动的、具有两个实时控制用的运算装置(205、305)和两个非实时控制用的运算装置(101、201)的控制装置(10)的车辆控制系统(1)，在任意一个或两个运算装置(101、201、205、305)发生故障的情况下，其他运算装置(101、201、205、305)继承发生故障的运算装置(101、201、205、305)的功能。

Description

车辆控制系统

技术领域

本申请涉及车辆控制系统。

背景技术

在车辆控制系统中，车辆具有多个传感器和多个致动器，将它们与控制装置连接来控制车辆。在驾驶员不需要对车辆进行操作的自动驾驶车辆中，在进行高度控制的控制装置发生故障的情况下，要求在驾驶员不进行操作的情况下自主地应对。作为应对方法，提出了一种搭载在故障时进行动作的预备的控制装置，即使在故障时也能够由预备的控制装置来应对的系统。但是，如果增加控制装置的数量，则考虑可能导致搭载空间的增加、布线设计的复杂化、开发成本的增加，因此需要能够以最小限度的结构进行故障时的应对。

要求在不将各个控制装置的冗余度提高到必要以上的情况下，在整个系统中备份错误。希望均衡地维持低成本、高可靠性、实时性、扩展性的确保。

现有技术文献

专利文献

专利文献1：日本专利第6214730号公报

发明内容

发明所要解决的技术问题

在专利文献1所记载的车辆控制系统中，致动器控制器根据控制车辆的指令控制器的指示使致动器进行动作。指令控制器和致动器控制器都能够进行实时运算。在指令控制器功能停止时，由致动器控制器代替指令控制器的功能，能够继续进行动作。但是，虽然能够应对指令控制器的单一故障，但在指令控制器和致动器控制器这两个控制器的故障的情况下，不能提供致动器的驱动指示。因此，在控制器的双重故障的情况下，难以应对自主行驶。

在能够自主行驶的自动行驶车辆的情况下，还要求对两处故障进行处理。在两个控制器发生故障时，在使致动器进行动作的情况下，需要追加准备能够进行实时运算的控制器，存在成本上升的问题。

本申请是为了解决这样的问题而完成的，其目的在于提供一种车辆控制系统，在进行自主行驶的自动驾驶车辆中，即使在两处实时控制用的运算装置的故障中，也能够应对自主行驶，而不会将冗余度提高到必要以上。

用于解决技术问题的技术手段

本申请所涉及的车辆控制系统包括：

检测车辆的周边环境的传感器；

操作车辆的致动器；

驱动致动器的驱动单元；以及

控制装置，该控制装置根据传感器的信号计算车辆的控制目标值，根据控制目标值将驱动单元驱动，具有两个实时控制用的运算装置和两个非实时控制用的运算装置，

构成为在任意一个或两个运算装置发生故障的情况下，其他运算装置继承发生故障的运算装置的功能。

发明效果

在本申请所涉及的车辆控制系统中，在进行自主行驶的自动驾驶车辆中，即使在两处实时控制用的运算装置的故障中，也能够进行自主行驶的应对，而不会将冗余度提高到必要以上。

附图说明

图1是实施方式1所涉及的车辆控制系统的结构图。

图2是实施方式1所涉及的控制部的硬件结构图。

图3是实施方式1所涉及的运算装置205的实时控制用的运算的第一流程图。

图4是实施方式1所涉及的运算装置205的实时控制用的运算的第二流程图。

图5是实施方式1所涉及的运算装置305的实时控制用的运算的第一流程图。

图6是实施方式1所涉及的运算装置305的实时控制用的运算的第二流程图。

图7是实施方式1所涉及的运算装置101的非实时控制用的运算的流程图。

图8是实施方式1所涉及的运算装置201的非实时控制用的运算的流程图。

图9是实施方式1所涉及的运算装置101的非实时控制用的运算的优先处理的流程图。

图10是实施方式1所涉及的运算装置201的非实时控制用的运算的优先处理的流程图。

图11是实施方式1所涉及的通信部104的驱动信号输出的流程图。

图12是实施方式1所涉及的通信部204的驱动信号输出的流程图。

图13是实施方式2所涉及的车辆控制系统的结构图。

具体实施方式

以下，参照附图说明本申请的实施方式所涉及的车辆控制系统。

1.实施方式1

＜车辆控制系统的结构＞

在图1所示的车辆控制系统1中，控制装置10包括控制部100、200、300，三个控制部具有一个或两个运算装置。安装在控制部100、200、300上的功能不是根据安装位置而固定的，而是根据控制部具有的控制周期、处理能力来分配。

控制部100、200、300为了相互共享传感器401的输出以及控制部100、200、300的运算结果，通过基干通信网2连接。在基干通信网2中，例如通过使用IEEE 802.3中规定的通信协议、ISO 11898中规定的通信协议、ISO 17458中规定的通信协议等，能够实现大容量且面向服务的通信。并且，能够实现使功能分担虚拟化的控制部100、200、300。换言之，能够重新分配控制部100、200、300分担的功能。

基干通信网2的接线方法通过将环型双重化，防止基干通信网2的断线引起的车辆控制系统1的功能不全。

传感器401的输出通过基干通信网2传递给控制部100、200、300中的任意一个或全部。控制部100、200、300获取传感器401的信号，更新车辆周边环境的信息，并更新到目的地为止的车辆行驶路径。然后，根据更新后的车辆行驶路径计算车辆的控制目标值，根据控制目标值向驱动单元31传递驱动信号。

控制部100、200、300经由控制通信网6向驱动单元31传递驱动信号。基于接收到的驱动信号，驱动单元31驱动致动器32。通过致动器32对车辆进行安全解锁和上锁、动力传递、转向、制动的操作等。致动器32是汇总了各种致动器及驱动电路的总称。致动器32例如由操作门的解锁和上锁、燃料喷射阀、节气门控制阀、控制电动助力转向装置的转向的驱动方向、驱动力、驱动速度的逆变器、电动制动装置的制动控制电动机、空气调节装置的电磁阀、照明装置的点亮和熄灭、电动窗的升降等的致动器及驱动电路等构成。

作为致动器32，假设要求低延迟控制的部件。在致动器32中，不要求冗余性且允许延迟的例如电动窗的升降控制器等也可以与致动器32分开地与控制部100、200、300直接连接而进行驱动控制。

传感器401是汇总了各种传感器的总称。传感器401为了收集车辆周边的环境并检测自身位置，由例如摄像头、雷达、LiDAR(Laser Imaging Detection and Ranging：激光成像检测和测距仪)、卫星定位器、自主式定位器等构成。传感器401例如可以包含电动机的旋转角度传感器、速度计、摄像头的设置角度计、电波接收器等。传感器401的信号由基干通信网2向控制部100、200、300传递，但除了基干通信网2之外，也可以由控制通信网6传递。另外，除了基干通信网2之外，构成为将通信线直接与控制部100、200、300连接的结构，能够进一步增大冗余性。

在控制通信网6中，与基干通信网2同样，例如也可以使用IEEE 802.3中规定的通信协议、ISO 11898中规定的通信协议、ISO 17458中规定的通信协议等。

控制部100具有执行运算的非实时控制用的运算装置101。运算装置101根据传感器401的信号，实施非实时控制用的运算，并更新车辆周边环境信息。控制部100具有保持运算装置101的程序以及从当前到预定的转移期间后为止之间的驱动信号的存储器102。存储器可以使用非易失性存储器。控制部100具有信号校正部103，该信号校正部103校正在故障时进行自主处理时从运算装置101向驱动单元31传递的驱动信号。然后，控制部100具有从控制部100向控制通信网6发送驱动信号的通信部104。

控制部200具有执行运算的非实时控制用的运算装置201和实时控制用的运算装置205。运算装置201根据传感器401的信号和控制部100中更新的车辆周边环境信息，实施非实时控制用的运算，并更新车辆行驶路径。控制部200具有保持运算装置201的程序以及从当前到预定的转移期间后为止之间的驱动信号的存储器202。存储器可以使用非易失性存储器。控制部200具有信号校正部203，该信号校正部203校正在故障时进行自主处理时从运算装置201向驱动单元31传递的驱动信号。

运算装置205根据传感器401的信号，实施实时控制用的运算，并实施安全性的验证。运算装置205根据安全性的验证结果输出驱动信号。该驱动信号包含车辆的解锁和上锁、以及用于防止车辆被盗和阻止外部非法介入的输出。然后，控制部200具有从控制部200向控制通信网6发送驱动信号的通信部204。

控制部300具有执行运算的实时控制用的运算装置305。运算装置305根据传感器401的信号和由控制部200更新的车辆行驶路径计算车辆的控制目标值，并根据控制目标值输出用于将驱动单元驱动的驱动信号。该驱动信号包含车辆的能量管理、动力传递、转向和制动的操作。驱动信号从通信部304经由控制通信网6传递给驱动单元31。

＜控制部的硬件结构＞

图2中示出实施方式1所涉及的控制部100、200、300的硬件结构图。控制部100、200、300的各功能由控制部100、200、300所具备的处理电路来实现。具体而言，如图2所示，控制部100、200、300作为处理电路包括CPU(Central Processing Unit：中央处理单元)等运算处理装置90(计算机)、与运算处理装置90进行数据的交换的存储装置91、向运算处理装置90输入外部的信号的输入电路92、从运算处理装置90向外部输出信号的输出电路93、以及与通信部等外部装置进行数据交换的接口94等。

作为运算处理装置90，可以具备ASIC(Application Specific IntegratedCircuit：专用集成电路)、IC(Integrated Circuit：集成电路)、DSP(Digital SignalProcessor：数字信号处理器)、FPGA(Field Programmable Gate Array：现场可编程门阵列)、各种逻辑电路、以及各种信号处理电路等。另外，作为运算处理装置90，也可以具备多个同种或不同种的运算处理装置来分担执行各处理。在控制部100、200、300中，作为运算处理装置90设置有运算装置101、201、205、305。作为存储装置91，可以具备构成为能从运算处理装置90读取并写入数据的RAM(Random Access Memory：随机存取存储器)、构成为能从运算处理装置90读取数据的ROM(Read Only Memory：只读存储器)等。存储装置91也可以内置于运算处理装置90中。输入电路92连接有输入信号、传感器、开关，包括将这些输入信号、传感器、开关的信号输入至运算处理装置90的A/D转换器等。输出电路93连接有与对开关元件进行导通关断驱动的栅极驱动电路等电负载，并具备从运算处理装置90向这些电负载输出控制信号的驱动电路等。接口94与通信部、外部的存储装置、外部的控制部等外部装置进行数据交换。

控制部100、200、300所具备的各功能通过运算处理装置90执行存储在ROM等存储装置91中的软件(程序)，并与存储装置91、输入电路92以及输出电路93等控制部100、200、300的其他硬件协同来实现。控制部100、200、300使用的阈值、判定值等设定数据作为软件(程序)的一部分存储在ROM等存储装置91中。控制部100、200、300所具有的各功能可以分别由软件的模块构成，但也可以由软件和硬件的组合构成。

<运算装置>

图1的控制部100的运算装置101、201是指例如将SoC(System on aChip：片上系统)、FPGA(Field Programmable Gate Array：现场可编程门阵列)、GPU(GraphicProcesser Unit：图形处理单元)中的任意一个或多个组合所构成的、安装以非实时控制为目的的OS(Operating System：操作系统)的半导体集成电路，这里称为微型计算机。

运算装置205、305是指以安装以实时控制为目的的OS(Operating System：操作系统)为前提而制作的半导体集成电路，在此称为微控制器(有时简称为控制器)。在微控制器中，内部具备用于存储在运算装置205、305中进行动作的程序的存储器，在图1中省略了外部存储器。但是，运算装置205、305也可以与运算装置101、201同样地具备外部存储器。

这里，实时控制是以在规定的时间内完成控制为目的的控制。例如，在车辆用的四冲程内燃机的气缸中，在排气工序的初始BDC(Bottom Death Center：下止点)之前，必须结束燃料喷射量的运算并准备开始燃料喷射的情况下，处于实时控制。与此相对，对于累计喷射燃料量并除以行驶距离以显示平均油耗的控制，在没有特别设置时间限制的情况下是非实时控制。

另外，例如到自动驾驶车辆的目的地为止的全行驶路径的计算及其画面显示在最初设定目的地的情况下不受时间限制，相当于非实时控制。与此相对，在前方的车辆接近时为了通过转弯控制、制动控制进行回避操作，例如需要在50ms以内结束运算并实施控制的情况下，相当于实时控制。

＜运算装置的故障＞

运算装置101、201、205、305具备故障检测功能(自诊断功能)，在发生故障时，经由基干通信网2向未发生故障的其他运算装置通知故障状况。故障检测除了自我诊断以外，也可以向其他运算装置发送正常确认用的信号，相互监视是否正常动作来进行故障检测。

存储器102、202是指例如NAMD型闪存等能够大容量地存储程序的半导体记录装置。存储器102、202保持运算装置101、201的程序。此外，存储器102、202具有预先存储运算装置205、305在故障时向运算装置101、201移交功能为止的期间(转移期间)的驱动信号的作用。存储器102、202可以分担并存储从当前到预定的转移期间后为止之间的驱动信号，但也可以分别存储相同内容的数据。

运算装置101包括在运算装置201及运算装置205的一方或双方发生故障的情况下，对运算装置201、运算装置205的功能进行备份的功能。运算装置201包括在运算装置101及运算装置305的一方或双方发生故障的情况下，对运算装置101、运算装置305的功能进行备份的功能。运算装置205包括在运算装置201及运算装置305的一方或双方发生故障的情况下，对运算装置201、运算装置305进行备份的功能。运算装置305包括在运算装置101及运算装置205的一方或双方发生故障的情况下，对运算装置101、运算装置205进行备份的功能。存储器102、202和运算装置205、305的内部存储器中预先存储有用于在故障时进行动作的程序。在接收到哪个运算装置发生了故障的通知后，控制部100、200、300的未发生故障的运算装置为了兼顾发生故障的运算装置的功能的代替，对已安装的功能的时间表进行变更。时间表变更在继续自动驾驶时，提高了不允许控制延迟的车辆控制的优先度。

运算装置101、201、205、305的备份的结构不限于上述，也可以是其他的组合。构成为即使运算装置中的任意两个发生故障，也可以通过没有发生故障的运算装置，存在实现发生故障的运算装置的备份的功能即可。

<两个实时控制用的运算装置发生故障时>

在实时控制用的运算装置205、305双方发生故障的情况下，非实时控制用的运算装置101、201继承实时控制用的运算装置205和305的功能。此时，非实时控制用的运算装置101、201预测预定的预测期间后的车辆控制状态，将基于预测的车辆控制状态的驱动预定信号传递给信号校正部103、203。信号校正部103、203由用于根据运算装置101、201输出的驱动预定信号求出内插后的驱动信号，进行周期的偏差、驱动预定信号间的信息的内插的电路或软件构成。例如，使用FPGA、ASIC(Application Specific Integrated Circuit：专用集成电路)等能够进行高速运算处理的半导体集成电路。或者，信号校正部103、203作为运算装置101、201的功能之一，也可以作为程序组装。

作为对信号校正部103、203的致动器驱动周期的信息进行内插的方法，也可以根据从非实时控制用的运算装置101、201接收到的驱动预定信号的履历的移动平均值或样条曲线，生成内插后的驱动信号。另外，信号校正部103、203也可以根据致动器特有的控制波形对驱动信号进行内插。例如，燃料喷射器的无效时间有时根据驱动时间而变化，电动制动器的制动力和电动机驱动电流有时具有迟滞。信号校正部103、203考虑这些特性，对驱动信号进行内插。内插方法也可以根据异常时必须在怎样的车辆环境下进行动作的条件来适当选择。

运算装置101、201为了消除因非实时控制用的运算而产生的延迟，从传感器401的信息等中分割出车辆的当前位置和速度、加速度信息等，预测预先确定的预测期间后的车辆控制状态。运算装置101、201将基于预测的车辆控制状态的驱动预定信号传递给信号校正部103、203。

信号校正部103、203根据当前输出的驱动信号和预测期间后的驱动预定信号，以预定的周期将内插的驱动信号输出到驱动单元31。此时，信号校正部103、203也可以加入基于信号校正处理的延迟来实施内插。

在判定为实时控制用的运算装置205、305的故障之后，非实时控制用的运算装置101、201继承实时控制用的运算装置205、305的功能，预测预先确定的预测期间后的车辆控制状态，将基于预测出的车辆控制状态的驱动预定信号传递给信号校正部103、203。从判定为故障起，到运算装置101、201传递驱动预定信号为止，需要转移期间。对于在该转移期间中向驱动单元31发送的驱动信号，从存储器102、202读取数据，并由通信部104、204进行发送。为了实现这一点，在运算装置205或运算装置305正常动作的期间，运算装置101、201或运算装置205、305将从当前到转移期间后为止的驱动信号预先存储在存储器102、202中。在自动驾驶中且运算装置101、201、205、305中的任一个都没有故障时，直到应对异常时为止的驱动信号也可以经由基干通信网2写入存储器102、202。另外，在实施对存储器102、202的驱动信号的写入时，也可以覆盖存储器区域，限制存储器区域的使用容量，防止其他程序的容量紧迫。

判定运算装置205、305的故障、且从存储器102、202读取并发送向驱动单元31发送的驱动信号的转移期间应该设定为比运算装置101、201开始将驱动预定信号输出到信号校正部103、203的期间要长。驱动预定信号被输出到信号校正部103、203，除了发送切换驱动信号的指令信号的顺序之外，还可以实现正确且无缝的故障时的应对。

以上，实施方式1中所述的非实时控制用的运算装置101、201执行的软件的配置是一个示例，即使追加其他软件的配置、删除例示的软件和在运算装置101和201之间进行配置的变更也没有问题。实时控制用的运算装置205、305执行的软件的配置是一个示例，即使追加其他软件的配置、删除例示的软件、在运算装置205和305之间进行配置的变更也没有问题。

另外，在实施方式1中说明的结构是非实时控制用的运算装置101、201和实时控制用的运算装置205、305各为两个的情况，但即使在设置了三个以上的运算装置的情况下，也能够应用于运算装置发生故障的情况下的应对。

<流程图>

<实时控制的处理>

图3、4是实施方式1所涉及的实时控制用的运算装置(微控制器)205的运算流程图(以下称为控制器)。图4表示图3的后续处理。图3、4的处理例如每隔1ms执行。由于是实时控制用的处理，因此必须在1ms以内结束控制。

处理从步骤S301开始，在步骤S302判定运算装置是否全部正常。在全部正常的情况下(判断为“是”)，在图4的步骤S303中清除控制部100的通信部104所持有的第一切换计时器。第一切换计时器是在实时控制用的运算装置(控制器)两个都发生故障的情况下，决定从存储器102读取的驱动信号切换到从信号校正部103读取的驱动信号的定时的计时器。

在步骤S304中，读取由运算装置201计算出的车辆行驶路径。在步骤S305中，获取传感器信息。在步骤S306中，计算安全关联和电动窗的控制目标值。在步骤S307中，将安全关联及电动窗的驱动输出设定为从通信装置发送。

在步骤S308中，确认运算装置305是否发生故障。在从步骤S316前进至步骤S303的情况下，运算装置305可能发生故障。在运算装置305发生故障的情况下(判断为“是”)，在步骤S318、步骤S319中代替执行运算装置305的功能。在步骤S317中实施用于该目的的运算装置的功能切换。

在步骤S318中运算转向、制动、能量管理的控制目标值。在步骤S319中，将驱动输出设定为从通信装置发送。

在步骤S320中将到转移期间后为止的安全关联、电动窗驱动信号写入存储器。这是两个控制器都发生故障时的准备。在步骤S329中结束处理。

在步骤S302中运算装置不是全部正常的情况下(判定为“否”)，在步骤S310中判定是否3个以上的运算装置发生故障。在发生了3个以上的运算装置的故障时(判定为“是”)，在实施方式1中不能保证自主的动作。因此，在步骤S321中执行退避控制，立即进行紧急停止。紧急停止时，也可以通过由残留的运算装置控制车辆的危险灯的点亮、喇叭的鸣叫，追加向周围通知危险的控制。为了实现这些控制，需要预先实施致动器侧的布线的冗余化。之后，在步骤S329结束处理。

在步骤S310中没有3个以上运算装置发生故障的情况下(判定为“否”)，在步骤S311中判定是否2个控制器发生了故障。在2个控制器发生故障的情况下(判定为“是”)，运算装置205也发生故障，因此直接在步骤S329结束处理。

在步骤S311中，在2个控制器没有发生故障的情况下(判定为“否”)，在步骤S312中判定运算装置201是否发生故障。在运算装置201发生故障的情况下(判定为“是”)，在步骤S314至步骤S316中，代理实施运算装置201的功能。因此，在步骤S313中进行运算装置的功能切换。在步骤S316之后，与在步骤S312中运算装置201没有发生故障的情况(判定为“否”)同样，前进至步骤S303。

图5、6是实施方式1所涉及的实时控制用的运算装置(控制器)305的运算流程图。图6表示图5的后续处理。图5、6的处理例如每隔1ms执行。由于是实时控制用的处理，因此必须在1ms以内结束控制。

图5、6与图4、5基本相同，因此仅说明不同的部分。在图6的步骤S333中，清除控制部200的通信部204所持有的第二切换计时器。第二切换计时器是在实时控制用的运算装置(控制器)两个都发生故障的情况下，决定从存储器202读取的驱动信号切换到从信号校正部203读取的驱动信号的定时的计时器。

在步骤S338中，确认运算装置205是否未发生故障。在从步骤S346前进至步骤S333的情况下，运算装置205可能发生故障。在运算装置205发生故障的情况下(判断为“是”)，在步骤S306、步骤S307中代替执行运算装置205的功能。在步骤S347中实施用于该目的的运算装置的功能切换。

在步骤S340中将到转移期间后为止的转向、制动、能量管理的驱动信号写入存储器。这是两个控制器都发生故障时的准备。在步骤S349中结束处理。

在步骤S342中，判定运算装置101是否发生故障。在运算装置101发生故障的情况下(判定为“是”)，在步骤S314、步骤S346中，代理实施运算装置101的功能。因此，在步骤S343中进行运算装置的功能切换。在步骤S346之后，与在步骤S342中运算装置101没有发生故障的情况(判定为“否”)同样，前进至步骤S333。

<非实时控制的处理>

图7是实施方式1所涉及的运算装置101的非实时控制用的运算的流程图。在运算装置101中，构成为不决定控制时间而始终执行所分担的处理。

在步骤S401中开始处理，但之后总是重复处理。例如，假设执行处理时间最长达100ms左右的非实时控制用的运算的情况。在步骤S402中，确认运算装置是否全部正常。在运算装置全部正常的情况下(判定为“是”)，在步骤S403中获取传感器信息，在下一步骤S404中更新车辆全行驶路径周边环境信息。之后，返回步骤S402，重复处理。

在步骤S402中运算装置不是全部正常的情况下(判定为“否”)，前进至步骤S405。在步骤S405中判定是否3个以上运算装置发生了故障，在3个以上发生了故障的情况下(判定为“是”)，在步骤S416中实施退避控制后，返回步骤S402。

在步骤S405中没有3个以上运算装置发生故障的情况下(判定为“否”)，在步骤S406中判定是否2个控制器发生了故障。如果没有2个控制器故障(判定为“否”)，则在步骤S407中判定运算装置201是否故障。在运算装置201发生故障的情况下(判定为“是”)，运算装置101也代理执行运算装置201的功能。具体而言，不仅执行作为运算装置101的本来功能的步骤S410的车辆全行驶路径周边环境信息更新，还执行步骤S411的车辆全行驶路径更新。为此，在步骤S408中，执行运算装置功能切换，在步骤S409中执行传感器信息获取。在步骤S411之后，返回至步骤S402。

在步骤S406中，在控2个制器故障的情况下(判定为“是”)，在步骤S412中执行运算装置功能切换。非实时控制用的运算装置101为了承担实时控制用的运算装置(控制器)的备份，分为以10ms计时器实施的优先处理和通常的处理来执行运算。步骤S413至步骤S415表示非优先处理。在步骤S413中获取传感器信息，在步骤S414中，更新前方100m后的车辆行驶路径周边环境信息，在步骤S415中将电动窗驱动信号输出到校正部。之后，返回到步骤S402。

图8是实施方式1所涉及的运算装置201的非实时控制用的运算的流程图。在运算装置201中，构成为不决定控制时间而始终执行所分担的处理。流程图的结构与图7的运算装置101的流程图类似，因此对不同的部分进行说明。

在步骤S421中开始处理，但之后总是重复处理。例如，假设执行处理时间最长达100ms左右的非实时控制用的运算的情况。在步骤S402中，确认运算装置是否全部正常。在运算装置全部正常的情况下(判定为“是”)，在步骤S403中获取传感器信息，在下一步骤S423中实施车辆全行驶路径周边环境信息获取，在步骤S424中更新车辆全行驶路径。之后，返回步骤S402，重复处理。

在步骤S427中，判定运算装置101是否发生故障。在运算装置101发生故障的情况下(判定为“是”)，运算装置201也代理执行运算装置101的功能。具体而言，不仅执行作为运算装置201的本来功能的步骤S411的车辆全行驶路径更新，还执行步骤S410的车辆全行驶路径周边环境信息更新。为此，在步骤S428中，执行运算装置功能切换，在步骤S409中执行传感器信息获取。在步骤S411之后，返回至步骤S402。

在步骤S406中，在2个控制器故障的情况下(判定为“是”)，在步骤S432中执行运算装置功能切换。非实时控制用的运算装置201为了承担实时控制用的运算装置(控制器)的备份，分为以10ms计时器实施的优先处理和通常的处理来执行运算。步骤S413至步骤S435表示非优先处理。在步骤S413中获取传感器信息，在步骤S434中，更新前方100m后的车辆全行驶路径，在步骤S435中将能量管理驱动信号输出到校正部。之后，返回到步骤S402。

<非实时处理的优先处理>

图9是实施方式1所涉及的运算装置101的非实时控制用的运算的优先处理的流程图。在发生2个控制器故障时，优先执行与车辆的安全相关的功能，利用信号校正部使控制周期疑似变高，接近实时控制。

图9的处理例如每隔10ms执行。在非实时控制用的运算装置中，用计时器触发执行优先处理，如以往那样作为非实时控制用的运算执行非优先处理。

从步骤S501开始处理，在步骤S502中判定是否有3个运算装置故障。在为3个以上运算装置的故障的情况下(判断为“是”)，在步骤S508执行退避控制，在步骤S519结束处理。在步骤S502中没有3个运算装置故障的情况下(判断为“否”)，在步骤S503中判定是否有2个控制器故障。在没有2个控制器故障(判定为“否”)的情况下，不实施优先处理，直接在步骤S519结束处理。

在步骤S503中，在2个控制器故障的情况下(判定为“是”)，执行从步骤S504到步骤S507的优先处理。在步骤S504中获取传感器信息，在步骤S505中更新到前方100m为止的车辆行驶路径周边信息，在步骤S506中对预测期间后的车辆控制状态进行预测，在步骤S507中将预测期间后的安全相关驱动预定信号输出到校正部，在步骤S519中结束处理。

图10是实施方式1所涉及的运算装置201的非实时控制用的运算的优先处理的流程图。在发生2个控制器故障时，优先执行与车辆的转向、制动相关的功能，利用信号校正部使控制周期疑似变高，接近实时控制。

图10的处理例如每隔10ms执行。在非实时控制用的运算装置中，用计时器触发执行优先处理，按照当前那样作为非实时控制用的运算执行非优先处理。从步骤S503说明图10的流程图的与图9的流程图的不同点。

在步骤S503中，判定是否有2个控制器故障。在没有2个控制器故障(判定为“否”)的情况下，不实施优先处理，直接在步骤S539结束处理。

在步骤S503中，在2个控制器故障的情况下(判定为“是”)，执行从步骤S504到步骤S527的优先处理。在步骤S504中获取传感器信息，在步骤S524中获取到前方100m为止的车辆行驶路径周边信息，在步骤S525中更新到前方100m为止的车辆行驶路径，在步骤S506中对预测期间后的车辆控制状态进行预测，在步骤S527中将预测期间后的转向、制动的驱动预定信号输出到校正部，在步骤S539结束处理。

<存储器、信号校正部、通信部>

图11是实施方式1所涉及的通信部104的驱动信号输出的流程图。图11的处理由通信部例如每隔1ms执行。从步骤S601开始处理，在步骤S602中判定是否有2个控制器故障。由于仅在2个控制器故障的情况下实施该处理，因此在没有2个控制器故障(判定为“否”)的情况下，在步骤S609结束。

在2个控制器故障(判定为“是”)的情况下，在步骤S603中判断第一切换计时器的值是否在预定的转移期间以上。在并非转移期间以上(判定为“否”)的情况下，在步骤S604中从存储器102读取驱动信号。然后，在步骤S605中将第一切换计时器相加。在步骤S606，通信部经由控制通信网6将驱动信号发送到驱动单元31。在步骤S609中结束处理。

在步骤S603中第一切换计时器为预定的转移期间以上(判定为“是”)的情况下，在步骤S607中读取信号校正部内插后的驱动信号。然后，在步骤S606中，通信部经由控制通信网6将驱动信号发送到驱动单元31。

图12是实施方式1所涉及的通信部204的驱动信号输出的流程图。图11示出了关于通信部104的流程图，与此相对，图12针对通信部204进行说明。内容除了对象不同以外是相同的，因此省略说明。

在图11、12中，说明了通信部104、204实施驱动信号的切换，但驱动信号的切换也可以由信号校正部103、203实施。存储器102、202或运算装置101、201、除此之外的外部装置也可构成为可以切换。

在故障的运算装置不是运算装置205和305双方时，在实施方式1中没有故障的运算装置中的至少一个能够进行实时性的运算，因此，起动写入安装在各运算装置的存储器中的存储器的故障的运算装置的代替功能，继续自动驾驶。

对于实时控制用的运算装置205、305和非实时控制用的运算装置101、202，示出更新车辆周边环境信息、更新车辆行驶路径、实时控制安全性、电动窗、实时控制转向、制动、能量管理的示例进行了说明。但是，各运算装置实施的控制不限于实施方式，对运算装置的分配也不限于实施方式。

在上述的说明中，说明了实时控制用的运算装置205、305即使承担非实时控制用的运算装置101、201的处理，也有充分的余力的情况。但是，如果实时控制用的运算装置205、305的处理负载没有余量，则也可以分割非实时控制用的运算而一点点地实施。另外，在图3至图12的说明中，1ms、10ms、100ms、100m等的示例是例示而不限于此。

另外，在仅通过非实时性的运算执行实时的控制的情况下，有时需要所使用的微型计算机根据处理能力的界限对车辆速度等进行限制。因此，也可以追加在判明运算装置205、305的故障时减速、并行驶到附近的退避场所而停车的控制。

如上所述，在实施方式1所涉及的车辆控制系统中，在进行自主行驶的自动驾驶车辆中，即使在两处实时控制用的运算装置的故障中，也能够进行自主行驶的应对，而不会将冗余度提高到必要以上。

2.实施方式2

图13是实施方式2所涉及的车辆控制系统的结构图。与实施方式1的图1相比，不同在于控制通信网6、7为双重的部分。驱动单元31在双重通信网中与实时控制用的运算装置和非实时控制用的运算装置连接，一方的通信网在所有的上述运算装置正常的情况下使用，另一方的通信网在上述运算装置的任一个发生故障的情况下使用。由此，能够明确地划分运算装置的正常时和异常时的动作，因此可靠性提高。

在实施方式1和实施方式2的结构中，虽然没有涉及传感器401、控制通信网6、驱动单元31、致动器32的备份，但可以分别进行双重化或三重化。通过三重化，也能承受双重故障，因此意义重大。

虽然本申请记载了各种示例性实施方式和实施例，但是在一个或多个实施方式中记载的各种特征、方式和功能不限于特定实施方式的应用，可以单独地或以各种组合来应用于实施方式。因此，可以认为未例示的无数变形例也包含在本申请说明书所公开的技术范围内。例如，设为包括对至少一个构成要素进行变形、追加或省略的情况，以及提取至少一个构成要素并与其他实施方式的构成要素进行组合的情况。

标号说明

1车辆控制系统，6、7控制通信网，10控制装置，31驱动单元，32致动器，100、200、300控制部，101、201、205、305运算装置，102、202存储器，103、203信号校正部，104、204、304通信部，401传感器。

Claims (9)

1.一种车辆控制系统，包括：

检测车辆的周边环境的传感器；

操作所述车辆的致动器；

驱动所述致动器的驱动单元；以及

控制装置，该控制装置根据所述传感器的信号计算所述车辆的控制目标值，根据所述控制目标值驱动所述驱动单元，具有两个实时控制用的运算装置和两个非实时控制用的运算装置，所述车辆控制系统的特征在于，

构成为在任意一个或两个所述运算装置发生故障的情况下，其他运算装置继承发生故障的运算装置的功能。

2.如权利要求1所述的车辆控制系统，其特征在于，

在所述非实时控制用的运算装置继承所述实时控制用的运算装置的功能的情况下，使车辆的转向、制动、安全相关的功能优先执行。

3.如权利要求1或2所述的车辆控制系统，其特征在于，

所述实时控制用的运算装置或所述非实时控制用的运算装置生成从当前时刻到预定的转移期间后为止之间提供给所述驱动单元的驱动信号并存储在存储器中，

在所述实时控制用的运算装置发生故障时所述非实时控制用的运算装置继承所述实时控制用的运算装置的功能的情况下，在所述转移期间中，所述存储器中存储的驱动信号以预定的周期提供给所述驱动单元。

4.如权利要求1至3中任一项所述的车辆控制系统，其特征在于，

在所述实时控制用的运算装置发生故障时所述非实时控制用的运算装置继承所述实时控制用的运算装置的功能的情况下，所述非实时控制用的运算装置对预定的预测期间后的车辆控制状态进行预测，将基于所述预测的所述车辆控制状态的驱动预定信号传递给信号校正部，

所述信号校正部根据当前输出的驱动信号和所述预测期间后的驱动预定信号，以预定的周期将内插后的驱动信号输出到所述驱动单元。

5.如权利要求4所述的车辆控制系统，其特征在于，

所述信号校正部根据每个致动器的输出特性，生成内插后的驱动信号。

6.如权利要求4或5所述的车辆控制系统，其特征在于，

所述信号校正部根据从所述非实时控制用的运算装置接收到的所述预测期间后的驱动预定信号的履历的移动平均值或样条曲线，生成内插后的驱动信号。

7.如权利要求1至6中任一项所述的车辆控制系统，其特征在于，

所述实时控制用的运算装置及所述非实时控制用的运算装置具备故障检测功能，在检测到故障的情况下向其他运算装置通知发生了故障。

8.如权利要求1至7中任一项所述的车辆控制系统，其特征在于，

所述驱动单元通过双重通信网与所述实时控制用的运算装置及所述非实时控制用的运算装置连接，

一方的通信网在所有的所述运算装置正常的情况下使用，

另一方的通信网在所述运算装置的任一个发生故障的情况下使用。

9.如权利要求1至8中任一项所述的车辆控制系统，其特征在于，

所述传感器包含检测所述车辆的周边环境的摄像头和检测所述车辆的位置的定位器。

Images