电子控制装置以及车载系统

技术领域

本发明涉及一种电子控制装置以及车载系统。

背景技术

自动驾驶系统是能够解决减少事故量、消除拥堵等各种社会课题的系统，全球都一直在致力于自动驾驶系统的实用化。高级别的自动驾驶系统要求在控制自动驾驶的上位控制装置即自动驾驶ECU(Electronic Control Unit：电子控制装置)发生了故障的情况下要在将操作移交给驾驶员之前或者自身车辆移动到安全场所而停下之前的期间内继续动作。

专利文献1中揭示了一种在不将各控制器的冗余度提高到所需程度以上的情况下以整个系统来策应错误、由此以简洁的ECU构成在低成本下确保了较高的可靠性、实时性以及扩展性的车辆控制装置。

具体而言，揭示了一种故障后可运行的车辆控制系统，即，使控制车辆的执行器工作的执行器控制器具有在上位控制器所生成的控制目标值发生了异常时根据传感器控制器的传感器值来生成控制目标值的控制目标值生成构件，根据所述控制目标值生成构件生成的控制目标值来控制执行器。再者，此处的所谓传感器值，是指操舵角、制动踏板位置、加速踏板位置等来自驾驶员的要求信号。

现有技术文献

专利文献

专利文献1：日本专利特开2016-196295号公报

发明内容

发明要解决的问题

为了在自动驾驶ECU发生故障时继续一定期间的动作，例如考虑系统的多重化、使用动作监视的冗余化等。但是，自动驾驶ECU使用的是运算负荷高的高性能计算机，因此避免不了冗余化带来的成本增大。

另一方面，专利文献1揭示的车辆控制系统是一种避免了伴随单纯的系统多重化而来的成本增大的系统构成。但是，该车辆控制系统是以基于感测的车辆控制为目的，并不包含自动驾驶系统所需的识别自身车辆周边环境的传感器。因而，即便将该车辆控制系统运用于自动驾驶系统，在装置自身发生了故障时，也无法采取使自身车辆移动到安全场所等恰当的措施。

本发明是鉴于上述问题而成，其目的在于低成本且高可靠地实现即便自动驾驶ECU发生了故障也会使自身车辆移动到安全的退避场所的高级自动驾驶系统。

解决问题的技术手段

对本申请中揭示的发明中的代表性发明的概要作如下简单说明。

本发明的代表性的实施方式的电子控制装置具备：至少两个微电脑，它们能从多个传感器接收感测数据；故障检测部，其检测多个传感器或微电脑的故障；模式选择部，其根据故障检测部的检测结果来选择正常动作模式和跛行动作模式；以及传感器选择部，其根据故障检测部检测到的故障部位或者利用感测数据算出的自身车辆的周边状况来选择传感器。在跛行动作模式的情况下，至少两个微电脑中的任一方使用从传感器选择部所选择的传感器接收到的感测数据来生成使执行器动作的驱动信号，并将驱动信号发送至执行器。

发明的效果

对借助本申请中揭示的发明中的代表性发明获得的效果作如下简单说明。

即，根据本发明的代表性的实施方式，能够低成本且高可靠地实现即便自动驾驶ECU发生了故障也会使自身车辆移动到安全的退避场所的高级自动驾驶系统。

附图说明

图1为表示本发明的实施方式1的车载系统的构成的一例的框图。

图2为表示自身车辆的跛行动作的一例的图。

图3为表示跛行动作模式时的外界传感器的切换动作的一例的图。

图4为表示本发明的实施方式2的车载系统的电源系统的一例的图。

图5为表示本发明的实施方式3的车载系统的构成的一例的框图。

图6为表示本发明的实施方式4的车载系统的构成的一例的框图。

具体实施方式

在以下的实施方式中，为方便起见，在必要时会分割为多个部分或实施方式来进行说明，除了特别明示的情况以外，它们都不是互无关系，而是一方为另一方的一部分或全部变形例、详情、补充说明等的关系。

此外，在以下的实施方式中，在提到要素的数等(包括个数、数值、量、范围等)时，除了特别明示的情况以及原理上明显限定在特定数的情况等以外，便不限定于该特定数，也可为特定数以上或以下。进而，在以下的实施方式中，除了特别明示的情况以及原理上明显认为必需的情况等以外，当然其构成要素(也包括要素步骤等)未必是必需的。同样地，在以下的实施方式中，在提到构成要素等的形状、位置关系等时，除了特别明示的情况以及原理上明显认为并非如此的情况等以外，便包括实质上与该形状等近似或类似的形状等。这对于上述数值及范围也是一样的。

下面，根据附图，对本发明的实施方式进行详细说明。再者，在用于说明实施方式的所有图中，原则上对同一部分标注同一符号并省略其重复说明。

(实施方式1)

＜电子控制装置以及车载系统的构成＞

本实施方式的自动驾驶ECU(电子控制装置)以及车载系统在发生了故障的情况下将动作模式从正常动作模式切换至跛行动作模式而使自身车辆移动到安全的退避场所并停下。

图1为表示本发明的实施方式1的车载系统的构成的一例的框图。车载系统101具备自动驾驶ECU 1、外界传感器组60、执行器组80。

再者，图1中，在各功能块之间收发的数据(例如感测数据、控制信号、驱动信号)以实线表示为主信息，后文叙述的融合MCU 10以及控制MCU 20、30产生的故障检测相关的数据(例如检测结果)以虚线表示为监视信息。这些主信息及监视信息在后文叙述的实施方式中的图4～6中也是一样的。

外界传感器组60具备多个外界传感器(传感器)61(例如61a～61d等)。各外界传感器61是获取自身车辆的外界状况作为感测数据并将获取到的感测数据发送至自动驾驶ECU1的功能块。外界传感器61例如具备摄像机、雷达、激光雷达等。外界传感器61可包含所有这些设备，也可仅包含这些设备中的一部分。

外界传感器61的可检测范围因每一传感器而不同，例如为自身车辆的前方、后方、侧方、超200m的远方、10m以下的极限附近等。外界传感器61的感测数据中包含地面标志、自身车辆周边的其他车辆、行人等各障碍物的位置信息等。

执行器组80包含驱动自身车辆的多个执行器(图1中的81a～83a、81b～83b等)。执行器例如为发动机、制动器、控制横摆率的动力转向装置、驱动它们的机构等。

图1的执行器组80例如由2个执行器组构成。图1上层所示的执行器81a～83a等构成第1执行器组80a，图1下层所示的执行器81b～83b等构成第2执行器组80b。

第1执行器组80a及第2执行器组80b成为一对执行器组。例如，执行器81a、81b是具有同一功能的一对执行器。同样地，执行器82a、82b、执行器83a、83b等也是分别具有同一功能的一对执行器。第1执行器组80a的各执行器由后文叙述的自动驾驶ECU 1的控制MCU(第2逻辑电路单元)20控制，第2执行器组80b的各执行器由自动驾驶ECU 1的控制MCU(微电脑，第2逻辑电路单元)30控制。如此，在本实施方式的车载系统1中，各功能的执行器作了双重化。

＜＜自动驾驶ECU 1＞＞

自动驾驶ECU 1是进行自身车辆的自动驾驶相关的处理的装置。如图1所示，自动驾驶ECU 1具备融合MCU(微电脑，第1逻辑电路单元)10、控制MCU 20、30、存储器40。融合MCU10、控制MCU 20、30具备CPU(Central Processing Unit，中央处理单元)、RAM(RandomAccess Memory，随机存储器)等。融合MCU 10、控制MCU 20、30中包含的各功能块可仅由硬件或软件来实现，也可组合硬件及软件来实现。融合MCU 10、控制MCU 20、30的构成将在后面进行详细说明。再者，对融合MCU 10、控制MCU 20、30分别设置有未图示的通信器，经由通信器来进行数据等的收发。通信器可设置在各微电脑中，也可设置在微电脑外。

＜＜＜融合MCU 10＞＞＞

融合MCU 10是进行自动驾驶相关的主要运算的单元。在正常动作模式下，根据融合MCU 10的运算结果来进行自身车辆的自动驾驶。融合MCU 10进行负荷比后文叙述的其他的控制MCU 20、30高的运算。因此，融合MCU 10中搭载处理能力优异的高性能CPU。如图1所示，融合MCU 10具备故障检测部(第1故障检测部)11、传感器融合部12、行动预测部13以及轨道计划部14。

传感器融合部12获取多个外界传感器61的感测数据，根据获取到的感测数据来提取自身车辆的周边状况(第1周边状况)。具体而言，传感器融合部12从获取到的感测数据中提取其他车辆及行人等障碍物、地面标志的位置。传感器融合部12对地面标志和障碍物的位置与地图信息进行对照，由此来进行地面标志、障碍物、自身车辆的定位。此时，传感器融合部12也可通过算出以地面标志为基准的相对位置来进行各障碍物、自身车辆的定位。

继而，传感器融合部12根据定位的结果在地图信息上标绘自身车辆、障碍物。由此，确定地图信息中的自身车辆、障碍物的位置。

当自身车辆、障碍物的位置确定下来时，行动预测部13根据自身车辆的周边状况(例如自身车辆、障碍物的位置关系)来预测障碍物的行动，构建包含伴随障碍物的行动而来的风险信息的动态地图(第1动态地图)。动态地图中包含规定时间(例如10秒)的风险信息。构建出的动态地图存放至存储器40。

在自动驾驶中，行动预测部13更新动态地图，将最新的动态地图存放至存储器40。这时，存储器40可存放包括最新的动态地图在内的多个动态地图。

轨道计划部14制作基于动态地图以及预先设定的自身车辆的目的地的驾驶计划(第1驾驶计划)。轨道计划部14将生成的驾驶计划发送至控制MCU 20、30。自身车辆的目的地例如在汽车导航装置等上位装置上加以设定，从上位装置发送至自动驾驶ECU 1。

故障检测部11检测外界传感器组60中包含的各外界传感器61(例如61a～61d等)的状态，诊断有无故障。此外，故障检测部11检测控制MCU 20、30的状态，诊断有无故障。故障检测部11可使用监视计时器来进行故障诊断，也可通过感测数据的判定来进行故障诊断。当故障检测部11检测到外界传感器61、控制MCU 20、30的故障时，将故障检测信号作为检测结果发送至控制MCU 30。此时，可将确定故障部位的信息与故障检测信号一起发送至控制MCU 30。

再者，融合MCU 10也可使各功能块中执行的运算处理中的轻负荷运算处理在控制MCU 20、30中进行。由此，得以将减轻融合MCU 10的负荷。

＜＜＜控制MCU 20＞＞＞

控制MCU 20以及后文叙述的控制MCU 30是驱动执行器组80中包含的各执行器的功能块。如图1所示，控制MCU 20具备故障检测部(第2故障检测部)21、车辆控制部22。

故障检测部21检测融合MCU 10、控制MCU(另一第2逻辑电路单元)30的状态，诊断有无故障。当故障检测部21检测到融合MCU 10、30的故障时，将故障检测信号发送至控制MCU 30。此时，可将确定故障部位的信息与故障检测信号一起发送至控制MCU 30。

在正常动作模式时，车辆控制部22根据从融合MCU 10发送的驾驶计划来驱动第1执行器组80a中包含的各执行器(81a～83a等)。车辆控制部22的动作将在后面进行详细说明。

＜＜＜控制MCU 30＞＞＞

如图1所示，控制MCU 30具备故障检测部(第2故障检测部)31、车辆控制部32、模式选择部33、跛行运算部34。故障检测部31检测融合MCU 10、控制MCU 20的状态，诊断有无故障。此外，故障检测部31检测存储器40的状态，诊断有无故障。当故障检测部31检测到融合MCU 10、控制MCU 20、外界传感器61的故障时，将故障检测信号发送至模式选择部33。此时，可将确定故障部位的信息与故障检测信号一起发送至控制MCU 30。在本实施方式中，在融合MCU 10、控制MCU 20、30各方中设置有故障检测部，在各处由多个故障检测部进行故障检测。

模式选择部33是切换自动驾驶ECU 1的动作模式的功能块。例如，当模式选择部33接收到故障检测信号时，将自动驾驶ECU 1的动作模式从正常动作模式切换至跛行动作模式。模式选择部33与外界传感器组60中包含的多个外界传感器连接在一起。在跛行动作模式下，模式选择部33从多个外界传感器中仅选择一部分外界传感器，获取所选择的外界传感器的感测数据，并发送至跛行运算部34。换句话说，模式选择部33一边以时间序列选择要选择的外界传感器一边获取感测数据。

跛行运算部34是在跛行动作模式时进行使自身车辆从当前位置移动到安全的退避场所(安全位置)的跛行动作相关的运算处理的功能块。再者，跛行动作模式下的处理将在后面进行详细说明。

在正常动作模式时，车辆控制部32根据从融合MCU 10发送的驾驶计划来生成驱动第2执行器组80b中包含的各执行器(81b～83b等)的驱动信号，并将生成的驱动信号发送至各执行器。另一方面，在跛行动作模式时，车辆控制部32根据从跛行运算部34发送的驾驶计划(第2驾驶计划)来生成驱动各执行器(81b～83b等)的驱动信号，并将生成的驱动信号发送至各执行器。车辆控制部22的动作将在后面进行详细说明。

＜＜＜存储器40＞＞＞

存储器40是存放融合MCU 10中构建出的最新的动态地图、故障检测部11、21、31的检测结果等各种信息的功能块。此外，存储器40存放自动驾驶ECU 1的动作所需的程序、表格、文件、设定信息等各种信息。再者，存储器40也可存放由跛行运算部34构建的动态地图(第2动态地图，详情于后文叙述)。

如图1所示，存储器40具备多个存储器(第1存储器41、第2存储器42)，第1存储器41、第2存储器42分别存放同一信息。如此，存储器40借助第1存储器41、第2存储器42而得以双重化。第1存储器41例如对应于融合MCU 10、控制MCU 20，第2存储器42对应于控制MCU30。例如，第1存储器41存放故障检测部11、21的检测结果，第2存储器42存放故障检测部31的检测结果。

再者，程序、表格、文件等各种信息也可存放在不同于存储器40的硬盘、SSD(SolidState Drive)等记录装置或者IC卡、SD卡、DVD等记录介质中。

＜＜正常动作模式时的处理＞＞

接着，对正常动作模式时的处理进行说明。首先，自身车辆的搭乘者操作汽车导航装置等上位装置来设定自身车辆的目的地。这时，搭乘者也可在设定目的地的同时也设定途经地。设定好的目的地和途经地发送至自动驾驶ECU 1的融合MCU 10。

各外界传感器61开始自身车辆周边的感测，并将感测数据发送至融合MCU 10。传感器融合部12根据接收到的感测数据来提取自身车辆的周边状况(例如其他车辆及行人等障碍物、地面标志的位置)。传感器融合部12对地面标志和障碍物的位置与地图信息进行对照，由此进行地面标志、障碍物、自身车辆的定位。行动预测部13根据自身车辆的周边状况来预测障碍物的行动，构建包含风险信息的动态地图。

轨道计划部14根据动态地图以及所设定的目的地来生成自身车辆的驾驶计划，并将生成的驾驶计划发送至控制MCU 20、30。此外，轨道计划部14将生成的驾驶计划存放至存储器40。

控制MCU 20、30的车辆控制部22、32根据从融合MCU 10发送的驾驶计划来生成自动驾驶曲线(第1自动驾驶曲线)。此处生成的自动驾驶曲线中包含轨道曲线、速度曲线以及舵角曲线。再者，自动驾驶曲线中也可包含其他曲线。

车辆控制部22、32根据生成的自动驾驶曲线来生成每一执行器的指令值(第1指令值)，并将生成的指令值发送至对应的各执行器。具体而言，车辆控制部22生成针对第1执行器组80a中包含的各执行器的指令值，并将生成的指令值发送至第1执行器组80a的执行器81a～83a等。相对于此，车辆控制部32生成针对第2执行器组80b中包含的各执行器的指令值，并将生成的指令值发送至第2执行器组80b的执行器81b～83b等。各执行器根据从车辆控制部22、32发送的指令值进行驱动。融合MCU 10通过反复进行这些处理来进行自身车辆的自动驾驶。

＜＜跛行动作模式时的处理＞＞

接着，对跛行动作模式进行详细说明。图2为表示自身车辆的跛行动作的一例的图。图2中展示了故障发生后自身车辆C从当前位置移动到退避场所为止的自身车辆的运动。当在当前位置202a上发生了故障时，自身车辆C经由位置202b移动到路肩的安全的退避场所202c而停下。在跛行动作模式下，仅驱动与控制MCU 30连接在一起的第2执行器组80b的各执行器，自身车辆借助这些执行器来移动到规定的退避场所。

在融合MCU 10的故障检测部11检测到外界传感器61或者未配备有模式选择部及跛行运算部的控制MCU 20的故障的情况、控制MCU 20的故障检测部21检测到融合MCU 10的故障的情况、控制MCU 30的故障检测部31检测到融合MCU 10或者未配备有模式选择部及跛行运算部的控制MCU 20的故障的情况、控制MCU 30的故障检测部31检测到存储器40的故障的情况下，控制MCU 30的模式选择部33将自动驾驶ECU 1的动作模式从正常动作模式切换至跛行动作模式。例如，当模式选择部33从融合MCU 10、控制MCU 20、30中的任一方接收到故障检测信号时，诊断检测到了故障，将动作模式切换至跛行动作模式。

再者，模式选择部33也可通过各故障检测部的检测结果的多数决定来选择正常动作模式和所述跛行动作模式。例如，以进行针对融合MCU 10的故障检测的情况为例进行列举说明。在故障检测部21检测到故障、故障检测部21未检测到故障的情况下，故障检出与故障未检出为相同数量，因此模式选择部33认为融合MCU 10未发生故障，从而继续设定为正常动作模式。

另一方面，在故障检测部21、31双方都检测到故障的情况下，故障检出数大于故障未检出数，因此模式选择部33认为融合MCU 10发生了故障，从而将动作模式切换至跛行动作模式。

当动作模式切换至跛行动作模式时，控制MCU 30向融合MCU 10、控制MCU 20进行跛行动作通知，将动作模式已切换成了跛行动作模式这一情况通知融合MCU 10、控制MCU20。融合MCU 10根据跛行动作通知而停止驾驶计划的生成及发送，控制MCU 20、30停止驾驶计划的接收。此外，控制MCU 30生成指示检测到故障的融合MCU 10(另一微电脑)的停止的第1控制信号并发送至融合MCU 10。

继而，自动驾驶相关的运算处理从融合MCU 10交接给控制MCU 30。跛行运算部34访问存储器40而读出故障发生前也就是诊断发生了故障之前的最新的第1动态地图。跛行运算部34根据从存储器40读出的最新的第1动态地图而在当前位置附近设定自身车辆的退避场所。像已经叙述过的那样，退避场所为路肩等安全场所。

此外，模式选择部33与跛行运算部34的处理并行地从外界传感器组60的多个外界传感器中选择一部分外界传感器。详细而言，模式选择部33一边以时间序列切换所选择的外界传感器一边获取感测数据。跛行运算部34根据模式选择部33所选择的外界传感器的感测数据来提取自身车辆的周边状况(第2周边状况)。

图3为表示跛行动作模式时的外界传感器的切换动作的一例的图。图3的横轴为时间轴，以时间序列展示了各时刻上选择的外界传感器。按照图2进行说明，发生故障时，自身车辆C正在左车道上行驶。因此，模式选择部33例如依序选择感测右前方近距离、正面远距离、左前方近距离、正面近距离的外界传感器(1)～(4)。此外，模式选择部33反复选择这些外界传感器(1)～(4)。当自身车辆C移动到退避场所P3时，跛行动作完成，模式选择部33停止外界传感器的选择。

再者，外界传感器(1)～(4)的选择顺序只是一例，并不限定于该顺序。此外，所选择的外界传感器不限定于这些传感器，是根据行驶位置、自身车辆周边的障碍物的位置、退避场所等各条件来选择使自身车辆移动到退避场所所需的外界传感器。此外，所选择的外界传感器的个数不限定于图3所示的4个。此外，模式选择部33也可根据控制MCU 30的处理能力而同时选择多个外界传感器。

跛行运算部34构建基于最新的第1动态地图及第2周边状况的动态地图(第2动态地图)。第1动态地图中包含的风险信息交接到该动态地图中。跛行运算部34制作基于第2动态地图及退避场所的跛行动作用的驾驶计划(第2驾驶计划)，并将制作出的驾驶计划发送至车辆控制部32。

车辆控制部32根据从跛行运算部34发送的驾驶计划来生成跛行动作用的自动驾驶曲线(第2自动驾驶曲线)。此处生成的自动驾驶曲线中包含轨道曲线、速度曲线以及舵角曲线等曲线。车辆控制部32根据生成的自动驾驶曲线来生成针对第2执行器组80b中包含的执行器的指令值(第2指令值)，并将生成的指令值发送至各执行器81b～83b等。控制MCU 30通过反复进行这些处理来进行跛行动作模式时的自身车辆的自动驾驶。

另一方面，在跛行动作模式下，不进行对第1执行器组80a的执行器81a～81c等的控制。因此，在跛行动作模式下，只有一对执行器中的一个执行器进行动作，所以与正常动作模式相比执行器的输出减半。

此处叙述的跛行动作模式对于融合MCU 10、控制MCU 20、外界传感器61发生了故障的情况都适用。其中，在外界传感器发生了故障的情况下，模式选择部33将发生了故障的外界传感器从选择对象中排除，仅以未发生故障的外界传感器为选择对象。

＜＜发生了故障的装置的恢复处理＞＞

接着，对发生了故障的装置(融合MCU 10、控制MCU 20、30等)的恢复处理进行说明。当检测到故障时，借助控制信号使动作停止。动作停止后的装置根据故障的检测结果将故障部位排除而再启动。例如，在融合MCU 10的实现特定功能的部位发生了故障的情况下，将该部分排除而再启动融合MCU 10。再启动时，例如控制MCU 30生成指示启动的控制信号，并将生成的控制信号发送至融合MCU 10。发生了故障的装置的再启动可根据故障部位的重要性等在自动驾驶中进行，也可在自身车辆停到退避场所后进行。

＜本实施方式的主要效果＞

根据本实施方式，当动作模式切换至跛行动作模式时，自动驾驶相关的运算处理从融合MCU 10交接给控制MCU 30。控制MCU 30通过跛行动作使自身车辆C从当前位置202a移动到退避场所202c。根据该构成，即便自动驾驶ECU 1发生了故障，也能使自身车辆移动到安全的退避场所而停下。此外，根据该构成，可以在控制MCU 20、30中搭载处理能力比融合MCU 10低的CPU。由此，能够低成本且高可靠地实现高级自动驾驶系统。

此外，根据本实施方式，在跛行动作模式时，模式选择部33一边以时间序列切换所选择的外界传感器一边获取感测数据。如此，通过分时切换所选择的外界传感器，即便控制MCU 30的处理能力较低，也能在故障发生时全面地进行自身车辆周边的感测，从而能使自身车辆更安全地移动到退避场所。

此外，根据本实施方式，模式选择部33通过各故障检测部的检测结果的多数决定来选择正常动作模式和跛行动作模式。根据该构成，可以根据自动驾驶中的故障部位的重要性来自如地设定动作模式的切换方法。

此外，根据本实施方式，在跛行动作模式时，模式选择部33根据行驶位置、障碍物的位置等自身车辆的周边状况来选择恰当的外界传感器。根据该构成，能够有效地进行跛行动作时的自身车辆周边的感测，从而能使自身车辆更安全地移动到退避场所。

此外，根据本实施方式，存储器40存放故障发生前的最新的第1动态地图和故障的检测结果。根据该构成，即便因发生故障而无法再访问融合MCU 10，跛行运算部34也能获取故障发生前的最新的第1动态地图。由此，能够可靠地执行跛行动作相关的运算处理，从而能继续进行自动驾驶。

此外，根据本实施方式，存储器40借助存放同一信息的第1存储器41及第2存储器42而得以双重化。根据该构成，不论哪一存储器发生故障，跛行运算部34都能可靠地获取最新的第1动态地图。

此外，根据本实施方式，当切换至跛行动作模式时，控制MCU 30向融合MCU 10、控制MCU 20双方进行跛行动作通知。根据该构成，即便在融合MCU 10无法停止驾驶计划的生成、发送的情况或者控制MCU 20无法停止驾驶计划的接收的情况下，也能可靠地停止第1执行器组80a的各执行器的动作。由此，能够稳定跛行动作模式时的自身车辆的行为。

此外，根据本实施方式，融合MCU 10、控制MCU 30生成并发送指示检测到故障的另一微电脑的启动/停止的控制信号。此外，检测到故障的微电脑根据检测结果将故障部位排除而再启动。根据该构成，可以将发生了故障的部位从自动驾驶控制中分割出来，从而能安全地进行故障发生后的跛行动作。此外，可以在不给自动驾驶带来障碍的范围内使用包含故障部位的装置。

(实施方式2)

接着，对实施方式2进行说明。在本实施方式中，对配备有多个电源系统的自动驾驶ECU及车载系统进行说明。图4为表示本发明的实施方式2的车载系统的电源系统的一例的图。图4所示的车载系统101与2个电源系统D1、D2连接在一起。各电源系统D1、D2与互不相同的独立的电池(图示省略)连接在一起。

电源系统D1向外界传感器组60的一部分外界传感器(例如61a～61c等)、融合MCU10、控制MCU 20、存储器40的第1存储器41、以及第1执行器组80a的各执行器(81a～83a等)供给电源。另一方面，电源系统D2向外界传感器组60的一部分外界传感器(例如61d等)、控制MCU 30、存储器40的第2存储器42、以及第1执行器组80a的各执行器(81a～83a等)供给电源。

故障检测部11、21检测连接至控制MCU 30的电源系统D2的电源、通信器、第2存储器42的故障。并且，这些故障的检测结果存放至第1存储器41。并且，融合MCU 10生成并发送指示检测到故障的与另一微电脑(控制MCU 30)连接的电源、通信器或存储器的停止的控制信号。接收到控制信号的装置停止其动作。

另一方面，故障检测部31检测连接至融合MCU 10、控制MCU 20的电源系统D1的电源、通信器、第1存储器41的故障。并且，这些故障的检测结果存放至第2存储器42。并且，控制MCU 30生成并发送指示检测到故障的与另一微电脑(融合MCU 10、控制MCU 20)连接的电源、通信器或存储器的停止的控制信号。接收到控制信号的装置停止其动作。

动作停止后的装置像实施方式1中叙述过的那样根据故障的检测结果将故障部位排除而再启动。发生了故障的装置的再启动可根据故障部位的重要性等在自动驾驶中进行，也可在自身车辆停到退避场所后进行。

融合MCU 10以及具有跛行运算部34的控制MCU 30分别与不同电源连接在一起。由此，即便一个电池发生故障，也能继续自动驾驶ECU 1的动作。

再者，电源的故障检测可以通过检测各微电脑的动作状态来实现，也可以通过监视电源本身的电性状态(例如输出电流、输出电压、内部电阻)来实现。此外，第1存储器41及第2存储器42也分别与不同电源连接在一起，因此，即便一个电池发生故障，也能可靠地存放第1动态地图。此外，在故障发生时也能安全且低成本地继续自动驾驶。

再者，车载系统101也可与3个以上的电源系统连接。例如，融合MCU 10、控制MCU20、30可分别与不同电源系统连接。进而，融合MCU 10、控制MCU 20、30、第1存储器41、以及第2存储器42可分别与不同电源系统连接。由此，故障发生时的安全性进一步提高。

(实施方式3)

接着，对实施方式3进行说明。在本实施方式中，对设置有多个具有模式选择部及跛行运算部的控制MCU的自动驾驶ECU及车载系统进行说明。

图5为表示本发明的实施方式3的车载系统的构成的一例的框图。图5所示的控制MCU 20除了故障检测部21、车辆控制部22以外还配备有模式选择部23、跛行运算部24。控制MCU 20与外界传感器组的各外界传感器61连接在一起。模式选择部23及跛行运算部24具有分别与控制MCU 30的模式选择部33及跛行运算部34相同的构成。此外，模式选择部23及跛行运算部24的动作分别与模式选择部33及跛行运算部34相同。

在实施方式3中，融合MCU 10的故障检测部11以及控制MCU 20的故障检测部21还进行控制MCU 30的故障检测。当检测到控制MCU 30的故障时，由控制MCU 20执行跛行动作。在该情况下，驱动第1执行器组80a中包含的各执行器(81a～83a等)，自身车辆移动到退避场所。

另一方面，在控制MCU 20、30以外的构成要素发生了故障的情况下，分别由控制MCU 20、30执行跛行动作。在该情况下，会驱动所有执行器，因此在输出不减半的情况下执行跛行动作。由此，能使自身车辆更可靠地移动到安全的退避场所。

此外，在本实施方式中，像已经叙述过的实施方式2那样，车载系统101也可与多个电源系统连接。在该情况下，控制MCU 20、30优选分别与不同电源系统连接在一起。由此，即便电池发生故障，电源也会供给至控制MCU 20、30中的任一方，因此得以可靠地执行跛行动作。

(实施方式4)

接着，对实施方式4进行说明。在本实施方式中，对配备有车辆运动统合控制装置的自动驾驶ECU及车载系统进行说明。

图6为表示本发明的实施方式4的车载系统的构成的一例的框图。图4所示的车载系统101配备有执行器组180以及车辆运动统合控制装置(VMC：Vehicle MotionController)190。

执行器组180具有多个执行器(例如180a～180z等)。各执行器180a～180z与车辆运动统合控制装置190连接在一起。

车辆运动统合控制装置190是根据从控制MCU 20、30发送的自动驾驶曲线对执行器(180a～180z)进行统合控制的功能块。

车辆运动统合控制装置190具有第1车辆运动统合控制装置191及第2车辆运动统合控制装置192。第1车辆运动统合控制装置191及第2车辆运动统合控制装置192具有同样的功能。换句话说，车辆运动统合控制装置190借助第1车辆运动统合控制装置191及第2车辆运动统合控制装置192而得以双重化。车辆运动统合控制装置190也可由3个以上的单元构成。即，车辆运动统合控制装置190也可具备第3车辆运动统合控制装置等。

在车载系统101与多个电源系统连接在一起的情况下，第1车辆运动统合控制装置191及第2车辆运动统合控制装置192优选分别与不同电源系统连接在一起。

在车辆运动统合控制装置190中，平常使用第1车辆运动统合控制装置191，当第1车辆运动统合控制装置191发生故障时，使用第2车辆运动统合控制装置192。但也可使用第2车辆运动统合控制装置192，在第2车辆运动统合控制装置192发生了故障时使用第1车辆运动统合控制装置191。

控制MCU 30的故障检测部31进行车辆运动统合控制装置190以及执行器组180的各执行器180a～180z的故障检测。

接着，对本实施方式的车载系统101的动作进行说明。在动作模式为正常动作模式时，控制MCU 20、30的车辆控制部22、32根据从融合MCU 10发送的驾驶计划来生成自动驾驶曲线(第1自动驾驶曲线)，并将生成的自动驾驶曲线发送至车辆运动统合控制装置190。车辆运动统合控制装置190根据发送来的自动驾驶曲线而在考虑与各执行器的协作的情况下生成每一执行器180a～180z的指令值(第3指令值)。车辆运动统合控制装置190将生成的指令值发送至对应的执行器180a～180z。

另一方面，当检测到车辆运动统合控制装置190或各执行器180a～180z等的故障时，动作模式切换至跛行动作模式。在跛行动作模式时，控制MCU 30的车辆控制部32根据跛行运算部34中生成的驾驶计划(第2驾驶计划)来生成自动驾驶曲线(第2自动驾驶曲线)，并将生成的自动驾驶曲线发送至车辆运动统合控制装置190。车辆运动统合控制装置190根据发送来的自动驾驶曲线而在考虑与各执行器的协作的情况下针对每一执行器180a～180z生成跛行动作用指令值(第4指令值)。车辆运动统合控制装置190将生成的指令值发送至对应的执行器180a～180z。

如此，在本实施方式中，在控制MCU 20、30中进行自动驾驶曲线的生成为止的处理，在车辆运动统合控制装置190中生成针对各执行器的指令值。

根据本实施方式，由于多个执行器得到统合控制，因此在需要低速大舵角的自动驻车到车道保持这样的高速行驶这所有场景下都实现无缝且舒适的自动驾驶行驶。

在执行器发生了故障的情况下，模式选择部33从未发生故障的执行器180a～180z中选择自身车辆移动到安全的退避场所所需的最低限度的执行器，并将所选择的执行器的信息发送至车辆运动统合控制装置190。车辆运动统合控制装置190根据自动驾驶曲线来生成与所选择的执行器相对应的各指令值。再者，也可在车辆运动统合控制装置190中设置故障检测部。在该情况下，车辆运动统合控制装置190可与控制MCU 30共享故障检测信息。

根据本实施方式，即便执行器发生故障，也可以借助车辆运动统合控制装置190、通过对剩下的执行器的统合控制使自身车辆更顺利地移动到安全的退避场所。

在本实施方式中，也可像实施方式3那样在控制MCU 20中设置模式选择部23及跛行运算部24。由此，进行跛行动作相关的运算的控制MCU得以双重化。此外，在该情况下，控制MCU 20、30优选分别与不同电源连接。

再者，本发明包含各种变形例，并不限定于上述实施方式。此外，可以将某一实施方式的构成的一部分替换为其他实施方式的构成，此外，也可以对某一实施方式的构成加入其他实施方式的构成。此外，可以对各实施方式的构成的一部分进行其他构成的追加、删除、替换。再者，为了以易于理解的方式说明本发明，附图中记载的各构件、相对尺寸进行了简化和理想化，实际部署时存在变为更复杂的形状的情况。

构成自动驾驶ECU的各部例如可由集成电路等硬件构成。此外，也可为自动驾驶ECU具备CPU和RAM等，由CPU执行展开到RAM中的程序，由此来实现融合MCU 10以及控制MCU20、30、车辆运动统合控制装置190等。

此外，各图的控制线及信息线主要展示的是认为说明上需要的部分，未必展示了所有控制线和信息线。实际上，可认为几乎所有构成要素都相互连接在一起。

下面附有优选形态。

一种车载系统，其中，故障检测部检测与微电脑连接的电源、通信器或存储器的故障，存储器存放电源、通信器或存储器的检测结果。

一种车载系统，其中，微电脑生成并发送指示检测到故障的另一微电脑的启动/停止的第1控制信号。

一种车载系统，其中，微电脑生成并发送指示检测到故障的与另一微电脑连接的电源、通信器或存储器的启动/停止的第2控制信号。

一种车载系统，其中，检测到故障的微电脑根据检测结果将故障部位排除而再启动。

一种车载系统，其中，电子控制装置具备多个存储器，各存储器存放对应的微电脑的检测结果，各存储器与存放的微电脑共用电源。

符号说明

1…自动驾驶ECU(电子控制装置)，10…融合MCU(微电脑)，20、30…控制MCU，11、21、31…故障检测部，22、32…车辆控制部，33…模式选择部，34…跛行运算部，40…存储器，41…第1存储器，42…第2存储器，60…外界传感器组，61…外界传感器(传感器)，80、180…执行器组，81a～83a、81b～83b、180a～180z…执行器，101…车载系统，190…车辆运动统合控制装置，191…第1车辆运动统合控制装置，192…第2车辆运动统合控制装置。