电子控制装置

技术领域

本发明涉及电子控制装置。

背景技术

为了实现先进的自动驾驶系统，对于自动驾驶控制用的上级控制装置即自动驾驶ECU来说，要求其在自动驾驶系统发生故障的情况下，也能够继续工作一定期间直到驾驶员接手操作。作为这样的故障之一例，例如可列举在执行自动驾驶控制用运算的运算处理装置上的运算中发生的异常、或传感器发生的异常。为了实现在上述一定期间内持续工作，需要能够检测这些异常，并切换到能够应对异常的控制上。在检测这样的故障和异常时，通常使用的方式是，将运算处理和传感器多重化(冗余化)并对它们的输出进行比较的方式，以及，针对运算结果和传感器输出的值使用其他的传感器值和运算结果验证有效性的方式。其中，就多重冗余化而言，其存在因传感器数量增多导致系统大规模复杂化、运算负载增大等问题，因此采用有效性验证的方式变得较为必要。

专利文献1公开了一种电动增力装置，其包括随制动踏板的操作而进退移动的输入部件，配置成相对于该输入部件可移动的辅助部件，和使该辅助部件进退移动的电动致动器，利用由所述制动踏板带来所述输入部件移动而施加到所述辅助部件上的辅助推力，在主汽缸内产生增大的制动液压，所述电动增力装置包括：用于检测所述输入部件的绝对移位量的输入绝对移位量检测单元；和检测所述输入部件与所述辅助部件的相对移位量的相对移位量检测单元以及检测所述辅助部件的绝对移位量的助力绝对移位量检测单元中的至少一个，并且设置有控制单元，所述控制单元根据所述输入绝对移位量检测单元的检测信号，设定所述输入部件与所述辅助部件的相对移位关系要变化到的目标移位量，并基于来自所述相对移位量检测单元或所述助力绝对移位量检测单元的信号，控制所述电动致动器使得所述输入部件与所述辅助部件的相对移位关系成为所述目标移位量。

现有技术文献

专利文献

专利文献1：日本特开2010-215234号公报

发明内容

发明要解决的技术问题

在专利文献1记载的发明中，评价轨迹规划运算的可靠性需要较高的成本。

解决问题的技术方案

本发明的第一方面的电子控制装置包括：综合部，其按每个处理周期从多个传感器获取传感器信息作为车辆的周边的信息，并将获取的所述传感器信息综合起来，按每个所述处理周期生成车辆周边信息；轨迹规划部，其使用所述车辆周边信息，按每个所述处理周期计算所述车辆将来要行驶的规划轨迹；和评价所述轨迹规划部的可靠性的轨迹评价部，所述轨迹评价部使用所述轨迹规划部在第一处理周期计算出的所述规划轨迹中的第二处理周期时的所述车辆的位置，以及所述综合部在所述第二处理周期生成的所述车辆周边信息，来对所述第一处理周期时的所述轨迹规划部的可靠性进行评价，其中，所述第二处理周期是比所述第一处理周期靠后的处理周期。

发明效果

采用本发明，能够以低负载评价轨迹规划运算的可靠性，而无需采用多重冗余的运算和/或使用追加的传感器。

附图说明

图1是自动驾驶系统S的整体结构图。

图2是表示微机21实现的自动驾驶功能之概要的流程图。

图3是表示图2的步骤S101所示的多传感器融合之概要的图。

图4是车辆周边信息907的概念图。

图5是风险地图908的概念图。

图6是规划轨迹909的概念图。

图7是微机21的功能框图。

图8是表示第一评价部121、第二评价部122和第三评价部123所使用的信息的图。

图9是表示第一判断部131的判断内容的图。

图10是表示第二判断部132的判断内容的图。

具体实施方式

-实施方式-

下面参照图1～图10对本发明的电子控制装置的实施方式进行说明。

图1是包括本发明的电子控制装置的自动驾驶系统S的整体结构图。自动驾驶系统S包括传感器组1、自动驾驶ECU2、指令部25、下级ECU组3和本车位置传感器14。自动驾驶系统S搭载在车辆上，下文将搭载有自动驾驶系统S的车辆称作“本车”。

传感器组1包括2个传感器，本实施方式将这2个传感器称作第一传感器11和第二传感器12。这两个传感器例如是毫米波雷达和摄像机。第一传感器11和第二传感器12获取本车周边的信息并将其输出到自动驾驶ECU2。下文将第一传感器11和第二传感器12输出到自动驾驶ECU2的本车周边的信息称作“传感器数据”或“传感器信息”。在传感器数据中，作为时间戳包含有各传感器获取数据的时刻，换言之包含有数据的感测时刻。

本车位置传感器14是计算本车的位置例如纬度和经度的传感器。本车位置传感器14例如是GPS接收器，从构成卫星导航系统的多个卫星接收电波，通过分析该电波所含的信号来计算本车的位置。本车位置传感器14将计算出的纬度和经度输出到自动驾驶ECU2。

自动驾驶ECU2是电子控制装置(Electronic Control Unit)。自动驾驶ECU2获取地图信息13用于后述的运算。地图信息13可以从设置在本车内的装置获取，也可以经由通信从本车外部获取。自动驾驶ECU2例如从搭载在本车上的非易失性存储器例如闪存中读取地图信息13。

自动驾驶ECU2包括微机21，由微机21进行关于本车的自动驾驶的运算。微机21包括中央运算装置CPU、只读存储装置ROM和可读写存储装置RAM，由CPU将保存在ROM中的程序加载到RAM中执行，来实现后述的功能。不过，微机21也可以不使用CPU、ROM和RAM的组合，而是取而代之由可擦写逻辑电路FPGA(Field Programmable Gate Array)或特殊应用集成电路ASIC(Application Specific Integrated Circuit)实现。

此外，微机21也可以不使用CPU、ROM和RAM的组合，而是取而代之由不同结构的组合，例如由CPU、ROM、RAM和FPGA的组合实现。

在微机21进行的运算中，会使用传感器组1输出的本车周边的信息、地图信息13和本车位置传感器14输出的本车的位置。微机21计算本车今后行驶的将来的轨迹，输出到指令部25。指令部25例如是电子控制装置(Electronic Control Unit)。不过，指令部25也可以包含在自动驾驶ECU2中。指令部25基于微机21输出的本车将来的轨迹，对包含在下级ECU组3中的各装置输出具体的工作指令。

下级ECU组3基于自动驾驶ECU2的输出对本车进行控制。下级ECU组3例如包括控制制动器的制动控制装置31、控制发动机的发动机控制装置32和控制转向器的转向控制装置33。另外，从传感器组1输入到自动驾驶ECU2的传感器信息可以是从各传感器直接输出的原始数据，也可以是由各传感器上附带搭载的ECU经过事先处理而得到的数据。

图2是表示微机21实现的自动驾驶功能之概要的流程图。首先在步骤S101中，微机21进行多传感器融合处理，即将第一传感器11的输出与第二传感器12的输出融合的处理。通过该多传感器融合处理，得到本车的周边地图即车辆周边信息907。

在后续步骤S102中微机21进行动预测，使用通过步骤S101得到的本车的周边地图来预测周边物体的行动，生成后述的风险地图908。然后在后续步骤S103中微机21进行本车轨迹规划，使用步骤S102的运算结果生成本车的轨迹，由此生成规划轨迹909。

之后，微机21判断自动驾驶ECU2的动作是否结束，在判断为动作结束的情况下结束图2所示的处理，在判断为自动驾驶ECU2的动作不结束的情况下返回步骤S101。微机21例如在本车的点火开关被关闭的情况下在步骤S104作出肯定判断，并在除此以外的情况下在步骤S104作出否定判断。微机21在步骤S104为否定判断时，按规定的处理周期例如100ms反复执行步骤S103～S104。例如在处理周期为100ms的情况下，进行了步骤S101的多传感器融合处理之后，下一次再执行步骤S101是在100ms后。

图3是表示图2的步骤S101所示的多传感器融合之概要的图。图2所示的时刻同步处理部111和综合部112是表示微机21实现的功能的功能模块。在多传感器融合处理中，首先由时刻同步处理部111执行时刻同步处理。第一传感器11和第二传感器12输出的传感器数据并未获取时刻同步，因此通过时刻同步处理41，生成与处理周期相应的获取了同步的时刻下的传感器数据。

具体而言，微机21使用从第一传感器11接收的时序的传感器数据进行时序外插或内插，输出规定时刻的第一传感器11的传感器数据，即已同步第一传感器数据901。同样，微机21使用从第二传感器12接收的时序的传感器数据进行时序外插或内插，输出规定时刻的第二传感器12的传感器数据，即已同步第二传感器数据902。

规定时刻指的是从上一次同步的时刻起经过了处理周期的时刻。即，已同步第一传感器数据901和已同步第二传感器数据902是通过计算得到的同一时刻下的第一传感器11和第二传感器12的传感器数据。另外，此处仅称作“已同步第一传感器数据901”和“已同步第二传感器数据902”，但由于本车周围的状况会发生变化，因此在每个处理周期为不同的值。详细内容后述。

已同步第一传感器数据901、已同步第二传感器数据902、地图信息13和本车位置被输入到综合部112。综合部112将已同步第一传感器数据901、已同步第二传感器数据902与地图信息13综合，生成车辆周边信息907。车辆周边信息907不仅包括位于本车周边的物体的位置，还包括基于本车位置传感器14输入的本车位置而从地图信息13得到的周围的静态信息，例如交叉路口、人行横道的位置、车道的数量等。位于本车周边的物体的位置可以由第一传感器11和第二传感器12各自基于感测到的信息运算并输出，也可以由自动驾驶ECU2的例如时刻同步处理部111基于各传感器的输出来计算。

(车辆周边信息907的概念图)

图4是车辆周边信息907的概念图。图4中，除了从地图信息13得到的本车周边的静止物体之外，还表示了第一传感器11和第二传感器12检测到的本车周边物体的位置和大小。具体而言，图4表示了本车71、相向车位置72、停泊车73和行人位置74。为便于说明，图4中记载了本车71，但车辆周边信息907中并不包含本车71的位置信息。

(风险地图908的概念图)

图5是风险地图908的概念图。风险地图908指的是表示位于本车周边的物体的位置的信息。如图5所示，风险地图908包括相向车预测位置82、停泊车预测位置83和行人预测位置84等预测位置。不过，为有助理解，图5还用虚线记载了图4所示的车辆周边信息907的信息。另外，图5中各物体的预测位置仅表示了1处，但也可以包含多处。预测位置的数量例如是后述轨迹规划处理所需要的数量。例如，在轨迹规划处理中将对应于接下来的10秒期间的本车轨迹按100毫秒进行规划的情况下，各物体的预测位置最多生成100个。

(规划轨迹909的概念图)

图6是规划轨迹909的概念图。规划轨迹909是图6中用粗实线表示的信息，是本车将来计划要行驶的轨迹。上述指令部25使用该规划轨迹909并使用本车的速度和已知的处理周期的信息，计算每个处理周期的本车的位置。例如，能够计算标记91所示的最近的将来即下一个处理周期的本车的位置，和标记92所示的更远的将来的本车的位置。

(微机21的功能模块)

图7是表示微机21具有的功能的功能框图。不过，在图7所示的结构中，传感器组1和指令部25位于微机21的外部，故它们用虚线表示。微机21的功能包括时刻同步处理部111、综合部112、行动预测部113、轨迹规划部114、行动预测保存部115、轨迹规划保存部116、第一评价部121、第二评价部122、第三评价部123、第一判断部131、第二判断部132和模式转移部141。此外，下文有时将第一评价部121称作预测评价部，将第二评价部122称作综合评价部，将第三评价部123称作轨迹评价部。

为方便起见，下文将第N个处理周期称作“处理周期N”，其下一个处理周期称作“处理周期N+1”，处理周期N的上一个处理周期称作“处理周期N-1”。

时刻同步处理部111如参照图3说明的那样计算已同步第一传感器数据901和已同步第二传感器数据902。时刻同步处理部111将计算出的已同步第一传感器数据901和已同步第二传感器数据902这两者输出到综合部112和第一评价部121。综合部112如参照图3说明的那样计算车辆周边信息907。综合部112将计算出的车辆周边信息907输出到行动预测部113、第二评价部122和第三评价部123。

行动预测部113使用车辆周边信息907预测位于周边的物体将来的行动，将其输出为风险地图908。行动预测部113针对将来的多个时刻进行行动预测，例如在处理周期N中，预测处理周期N+1、处理周期N+2、处理周期N+3……处理周期N+10的物体的位置。行动预测部113例如可以保存从综合部112输出的车辆周边信息907，根据时序的位置变化来预测物体将来的位置。此外，行动预测部113也可以利用传感器组1的输出，使用物体的速度信息等预测物体将来的位置，不过这一点未给出图示。另外，行动预测部113也可以例如将各物体间的相互作用视作物体间的斥力来修正路径，以这样的方式进行详细的预测。行动预测部113将风险地图908输出到轨迹规划部114和行动预测保存部115。

轨迹规划部114使用风险地图908计算本车接下来应当行驶的路径，换言之进行轨迹规划。轨迹规划部114可以参照本车的目的地、下一个要到达的交叉路口等节点的信息来规划轨迹。轨迹规划部114例如可以基于本车与周边物体的距离计算能够防止碰撞的轨迹，可以按照本车到达目的地花费的旅行时间较短的方式计算轨迹，进而也可以按照减小对乘客的乘坐舒适度造成影响的加速度的方式计算轨迹。轨迹规划部114规划的轨迹中还包括下一个处理周期的本车的位置信息。轨迹规划部114将计算出的规划轨迹909输出到指令部25和轨迹规划保存部116。

行动预测保存部115将从行动预测部113输入的风险地图908临时保存起来，并将上一个处理周期时保存的风险地图908，即上一个处理周期时生成的上一风险地图908A输出到第一评价部121和第二评价部122。例如，在处理周期N中，行动预测保存部115从行动预测部113输入处理周期N时生成的风险地图908，并将处理周期N-1时生成的上一风险地图908A输出。不过，风险地图908虽然包括将来多个处理周期的物体的位置的信息，但上一风险地图908A只要包括处理周期N时的物体的位置的信息即可。即，上一风险地图908A只要包括在处理周期N-1时预测的处理周期N时的物体的位置即可。处理周期与数据的关系将在后文参照接下来的图8详细说明。

轨迹规划保存部116将从轨迹规划部114输入的规划轨迹909临时保存起来，并将上一个处理周期时保存的规划轨迹909，即上一个处理周期时生成的上一规划轨迹909A输出到第三评价部123。例如，在处理周期N中，轨迹规划保存部116从轨迹规划部114输入处理周期N时生成的风险地图908，并将处理周期N-1时生成的上一规划轨迹909A输出。不过，规划轨迹909虽然包括由将来多个处理周期的本车的位置构成的轨迹的信息，但上一规划轨迹909A只要包括处理周期N时的本车的位置的信息即可。即，上一规划轨迹909A只要包括在处理周期N-1时预测的处理周期N时的本车的位置信息即可。轨迹规划保存部116可以使用规划轨迹909计算处理周期N时的本车的位置，也可以由第三评价部123使用轨迹的信息计算处理周期N时的本车的位置。

第一评价部121使用已同步第一传感器数据901、已同步第二传感器数据902和上一风险地图908A进行后述评价，将评价结果输出到第一判断部131。第二评价部122使用车辆周边信息907和上一风险地图808A进行后述评价，将评价结果输出到第一判断部131。第三评价部123使用车辆周边信息907和上一规划轨迹909A进行后述评价，将评价结果输出到第二判断部132。第一判断部131使用第一评价部121的评价结果和第二评价部122的评价结果进行后述判断，输出第一异常判断结果921。第二判断部132使用第一判断部131输出的第一异常判断结果921和第三评价部123的评价结果进行后述判断，输出第二异常判断结果922。在说明第一评价部121等的详细动作之前，参照图8再次说明数据的时序关系。

图8是表示第一评价部121、第二评价部122和第三评价部123所使用的信息的图。图8所示的例子中记载了处理周期N和处理周期N+1这2个处理周期的处理。图8的上半部分表示时刻同步处理部111、综合部112、行动预测部113和轨迹规划部114的输出。图8的下半部分表示第一评价部121、第二评价部122和第三评价部123所使用的信息。其中，在第一评价部121、第二评价部122和第三评价部123所使用的信息中，对于同一处理周期中生成的信息不特别标示来源，仅在使用不同处理周期中生成的信息的情况下用箭头标示其来源。图8省略了行动预测保存部115和轨迹规划保存部116的记载。

在图8中，将时刻同步处理部111在处理周期N时计算并输出的已同步第一传感器数据901记作“S1_N”，将处理周期N时输出的已同步第二传感器数据902记作“S2_N”。在执行计算出的处理周期不同的情况下，相应地改写“N”，例如，将处理周期N+1时计算并输出的已同步第一传感器数据901记作“S1_N+1”。按照执行计算的处理周期改变后缀这一点在本实施方式中是通用的，后文省略说明。

图8将综合部112在处理周期N时计算出的车辆周边信息907记作“Aro_N”。图8将行动预测部113在处理周期N时计算出的处理周期N+1时的风险地图908记作“PreAro_N_N+1”。该记载是将表示预测的“Pre”、表示执行计算出的处理周期的“N”和表示所预测的处理周期的“N+1”组合得到的。如上所述，行动预测部113在处理周期N中还计算处理周期N+2的风险地图908，因此图8还记载有“PreAro_N_N+2”。图8将轨迹规划部114在处理周期N时计算的规划轨迹909中包括的、处理周期N+1的本车的位置记作“PrePos_N_N+1”。

在处理周期N中，输入到第一评价部121的是处理周期N时的时刻同步处理部111的输出S1_N、S2_N，和处理周期N-1时的行动预测部113的输出PreAro_N-1_N。在处理周期N+1中，输入到第一评价部121的是处理周期N+1时的时刻同步处理部111的输出S1_N+1、S2_N+1，和处理周期N时的行动预测部113的输出PreAro_N_N+1。

在处理周期N中，输入到第二评价部122的是处理周期N时的综合部112的输出Aro_N，和处理周期N-1时的行动预测部113的输出PreAro_N-1_N。在处理周期N+1中，输入到第二评价部122的是处理周期N+1时的综合部112的输出Aro_N+1，和处理周期N时的行动预测部113的输出PreAro_N_N+1。

在处理周期N中，输入到第三评价部123的是处理周期N时的综合部112的输出Aro_N，和处理周期N-1时的轨迹规划部114的输出PrePos_N-1_N。在处理周期N+1中，输入到第三评价部123的是处理周期N+1时的综合部112的输出Aro_N+1，和处理周期N时的轨迹规划部114的输出PrePos_N_N+1。

对处理周期N时的第一评价部121、第二评价部122和第三评价部123的动作进行说明。

第一评价部121在处理周期N中，对处理周期N时的已同步第一传感器数据901即S1_N、处理周期N时的已同步第二传感器数据902即S2_N和处理周期N-1时的行动预测部113的输出PreAro_N-1_N进行比较，来检测异常的发生以及判断异常部位。不过，第一评价部121的比较运算并不适合严格的一致性判断，只要差在规定的阈值以内就判断为一致。因此，第一评价部121可以说用于评价S1_N、S2_N、PreAro_N-1_N的匹配性。

例如，第一评价部121计算S1_N中包括的障碍物的位置、S2_N中包括的障碍物的位置以及PreAro_N-1_N中包括的障碍物的位置的中心点，计算从中心点起的距离。第一评价部121在计算中心点时，可以按照到本车的相对距离和角度等传感器特性进行加权来提高精度。这样，对得到的距离与阈值比较来进行一定范围内的一致性判断，实施考虑了传感器误差的基础上的基于多数表决的判断。

例如，在S1_N中包括的障碍物的位置与PreAro_N-1_N中包括的障碍物的位置基本一致，但S2_N中包括的障碍物的位置与其他2个大为不同的情况下，第一评价部121基于下述考虑，判断为第二传感器12的输出存在问题。即，障碍物的真实位置虽然并不一定明确，但基于2：1的多数表决，判断为S1_N和PreAro_N-1_N的输出较为可信，而S2_N即第二传感器12的输出存在问题。

第一评价部121将是否一致以及存在不一致的情况下所确定的有问题的输出的信息输出到第一判断部131。另外，在3者的自中心起的距离均为阈值以上的情况下，第一评价部121无法确定哪一个有问题，将这样的状况输出到第一判断部131。

第二评价部122在处理周期N中，对处理周期N时计算出的风险地图908即Aro_N和处理周期N-1时计算出的行动预测部113的输出PreAro_N-1_N进行比较。具体而言，针对Aro_N和PreAro_N-1_N中包括的每个物体，与第一评价部121同样地进行使用了规定的阈值的一致性判断。第二评价部122可以在作出一致判断的物体的个数超过物体数量的一半的情况下判断为整体一致，也可以仅在对所有物体作出一致判断的情况下判断为整体一致。第二评价部122将判断结果输出到第一判断部131。第二评价部122可以说用于评价Aro_N与PreAro_N-1_N的匹配性。

第三评价部123在处理周期N中，对处理周期N时计算出的风险地图908即Aro_N和处理周期N-1时计算出的轨迹规划部114的输出中包括的本车的位置PrePos_N-1_N进行比较。换言之，评价本车是否是按照上一个处理周期N-1时规划的规划轨迹909那样控制的。该评价可以说是本车的位置与PrePos_N-1_N是否匹配的评价。第三评价部123的评价也与第一评价部121和第二评价部122同样，使用阈值进行允许误差的一致性判断。行动预测部113在两者一致时评价为本车是按照规划轨迹909那样控制的。行动预测部113将评价结果输出到第二判断部132。

图9是表示第一判断部131的判断内容，即每种条件下第一判断部131输出的第一异常判断结果921的图。第一判断部131使用第一评价部121的输出和第二评价部122的输出，检测第一传感器11、第二传感器12、综合部112和行动预测部113各自是否存在异常。图8表示根据第一评价部121的输出与第二评价部122的输出的组合，决定第一异常判断结果921。

第一评价部121的输出如上所述是已同步第一传感器数据901、已同步第二传感器数据902和上一风险地图908A这三者的比较的结果。

第一评价部121的输出是下述5个中的任一个：仅已同步第一传感器数据901不一致、仅已同步第二传感器数据902不一致、仅上一风险地图908A不一致、三者全部一致、三者全部不一致。第二评价部122的输出是车辆周边信息907与上一风险地图908A一致，或者车辆周边信息907与上一风险地图908A不一致。

在第一评价部121的输出是仅已同步第一传感器数据901不一致的情况下，无论第二评价部122的输出如何，第一异常判断结果921都是第一传感器11或时刻同步处理部111存在异常。在第一评价部121的输出是仅已同步第二传感器数据902不一致的情况下，无论第二评价部122的输出如何，第一异常判断结果921都是第二传感器12或时刻同步处理部111存在异常。在第一评价部121的输出是仅上一风险地图908A不一致的情况下，无论第二评价部122的输出如何，第一异常判断结果921都是综合部112存在异常。

在第一评价部121的输出是三者全部一致，且第二评价部122的输出是一致的情况下，第一异常判断结果921是无异常。在第一评价部121的输出是三者全部一致，且第二评价部122的输出是不一致的情况下，第一异常判断结果921是比较电路或多数表决电路异常。在第一评价部121的输出是三者全部不一致的情况下，无论第二评价部122的输出如何，第一异常判断结果921都是仅检测出发生异常，即无法确定是什么异常。

图10是表示第二判断部132的判断内容，即每种条件下第二判断部132输出的第二异常判断结果922的图。第二判断部132使用第一判断部131的判断结果判断车辆周边信息907是否正常，换言之，判断是否被判断为多传感器融合处理异常。第二判断部132在根据第一判断部131的判断结果判断为车辆周边信息907正常的情况下，按照第三评价部123的输出改变第二异常判断结果922。即，在该情况下，若第三评价部123的输出是一致，则第二异常判断结果922是轨迹规划处理正常结束，即判断为轨迹规划部114正常，若第三评价部123的输出是不一致，则第二异常判断结果922是轨迹规划处理存在异常，即轨迹规划部114存在异常。第二判断部132在根据第一判断部131的判断结果判断为车辆周边信息907不正常即存在异常的情况下，无论第三评价部123的输出如何，都参照第一异常判断结果921。

这样，第二判断部132能够使用第一判断部131的输出和第三评价部123的输出，检测轨迹规划部114以及基于该轨迹规划部114进行的本车控制是否存在异常。

此外，在根据第一异常判断结果921和第二异常判断结果922这2个结果，检测到自动驾驶ECU2、第一传感器11和第二传感器12中的任一个存在异常时，通过模式转移部141进行将自动驾驶ECU2中的处理转移到后备模式(fallback mode，降级模式)的处理。即，模式转移部141在至少第三评价部123给出否定的评价结果时，使本车转移到后备模式。在后备模式下，例如在系统有驾驶员的情况下，向驾驶员发出异常通知，并在根据需要继续进行一定期间的控制后，将控制移交给驾驶员。在后备模式下，与后备模式以外的模式相比本车的速度可以较慢，也可以进行以安全停车为优先而不是以到达目的地为优先的处理。

向驾驶员发出的通知例如是这样执行的，即，通过自动驾驶ECU2上设置的未图示的通信接口，对本车设有的未图示的扬声器输出声音信号。可以由检测到异常的第一判断部131和第二判断部132分别对扬声器输出声音信号，也可以新设置用于进行通知的功能模块例如通知部，由通知部执行该输出。

在系统不存在驾驶员的情况下，为了在系统上继续进行控制，进行包括功能降级等在内的控制方式的变更。作为功能降级的例子，可列举例如将微机21的故障部位屏蔽，在简化了控制运算处理的状态下继续进行控制，或者，将第一传感器11、第二传感器12的识别结果部分或全部无效化。这样的功能降级可以按照事先规定的方式进行，也可以通过自动驾驶ECU2中的运算来决定。

自动驾驶ECU2也可以仅以第三评价部123作出否定评价为理由向驾驶员发出通知。该通知可以由第三评价部123进行，也可以新设置用于进行通知的功能模块例如通知部，由通知部执行通知。

需要注意的是，在上述的微机21的动作中，没有对上一个处理周期计算出的车辆周边信息907进行验证。例如，在处理周期T中，不对处理周期T-1时计算出的综合部112的输出即车辆周边信息907进行验证。即，在处理周期T中，使用第一判断部131和第二判断部132，针对上一个处理周期即处理周期T-1时的行动预测部113和轨迹规划部114以及处理周期T时的综合部112进行验证，但没有对处理周期T-1时的车辆周边信息907进行验证，换言之没有进行综合部112的验证。

因此在上述结构下，仅在开始自动驾驶的最初的处理周期不能进行第一传感器11、第二传感器12和综合部112的验证，不能保证后续行动预测部113和轨迹规划部114的有效性。为此，需要另行对最初的处理周期中的第一传感器11、第二传感器12和综合部112的有效性进行验证。

作为该验证的方式，例如能够进行下述处理作为自动驾驶开始前的动作。即，通过在某时刻t0和另一时刻t1下使用地图信息13进行的综合部112的处理来检测本车周边的地标，根据需要在考虑了本车的移动量的基础上进行一致性判断。像这样，可以考虑通过构成时间上的多重化，来验证第一传感器11、第二传感器12和综合部112的有效性。

在这些有效性通过验证的情况下从时刻1开始自动驾驶，在有效性未通过验证即检测出不一致的情况下，在系统规定的自动驾驶开始时刻之前反复进行同样的检测，持续检测出不一致的情况下，需要禁止开始自动驾驶处理。

根据上面说明的结构，无需使自动驾驶ECU21所使用的传感器组1以及自动驾驶ECU21中的综合部112和行动预测部113多重冗余化，就能够检测各自发生的异常。该方式是使用自动驾驶ECU的主要功能处理的过程中得到的地图或信息进行比较运算处理并基于该比较运算处理而实现的，能够实现一种可简化自动驾驶系统的结构、降低验证运算的负载以减少发热、适用于自动驾驶的电子控制装置。

采用上述实施方式能够得到下述作用效果。

(1)电子控制装置即自动驾驶ECU21包括：综合部112，其按处理周期从传感器组1获取传感器信息作为本车周边的信息，并将获取的传感器信息综合起来，按处理周期生成车辆周边信息907；轨迹规划部114，其使用车辆周边信息907，按处理周期计算车辆将来要行驶的规划轨迹909；和评价轨迹规划部114的可靠性的第三评价部123(轨迹评价部)。第三评价部123使用轨迹规划部114在第一处理周期计算出的规划轨迹909中的第二处理周期时的本车的位置即规划轨迹909A、以及综合部112在第二处理周期生成的车辆周边信息907，来对第一处理周期时的轨迹规划部114的可靠性进行评价，其中，第二处理周期是比第一处理周期靠后的处理周期。因此，自动驾驶ECU21能够以低负载评价轨迹规划部114的可靠性，而无需采用多重冗余的运算或使用追加的传感器。

(2)自动驾驶ECU21包括：行动预测部113，其基于第一处理周期时的车辆周边信息907，推算位于车辆周边的物体的将来的位置，生成表示物体在第二处理周期时的位置的风险地图908；第二评价部122(综合评价部)，其评价上一风险地图908A与第二处理周期时的车辆周边信息907的匹配性；和第一评价部121(预测评价部)，其评价上一风险地图908A、第二处理周期时的已同步第一传感器数据901和第二处理周期时的已同步第二传感器数据902的匹配性。因此，能够预先确认第三评价部123的评价对象的可靠性。

(3)传感器组1包括第一传感器11和第二传感器12。

第一评价部121基于上一风险地图908A、第二处理周期时的已同步第一传感器数据901和第二处理周期时的已同步第二传感器数据902的多数表决，来评价可靠性。因此，即使仅从2个传感器输入传感器信息，也能够使用时序的信息通过多数表决来判断哪个存在问题。

(4)自动驾驶ECU2包括第一判断部131，其基于第二评价部122的评价结果和第一评价部121的评价结果，判断第二处理周期时的第一传感器11和第二传感器12的可靠性。因此，能够评价传感器组1输出的各传感器信息的可靠性。

(5)自动驾驶ECU2在第三评价部123的评价结果与预先确定的图案一致的情况下，判断为综合部112或轨迹规划部114存在异常。因此，能够防止因噪声等的影响误判断为存在异常，换言之，能够防止异常的过度检测。

(6)上述预先确定的图案是，第三评价部123的评价结果连续规定次数以上为否定结果。因此，自动驾驶ECU21能够简单地判断第三评价部123的判断是否为预先确定的图案。

(7)在第三评价部123的评价结果为否定结果时，向本车的乘坐者发出通知。如上所述，该通知可以由第三评价部123进行，也可以设置新的功能模块即通知部，由该通知部执行通知。

(变形例1)

上述实施方式中，轨迹规划部114计算本车将来要行驶的轨迹。

不过，轨迹规划部114也可以计算将来的各处理周期时的本车的位置，将这些位置输出到下级ECU组3。该情况下自动驾驶系统S可以不包括指令部25。

(变形例2)

上述实施方式中，表示了对综合部112、行动预测部113和轨迹规划部114的所有处理以无冗余的结构进行验证的例子，但由于对自动驾驶ECU2要求的处理的负载或传感器的结构以及其他的系统条件，有的情况下可以仅对一部分传感器或处理允许多重冗余化。该情况下，在对允许的结构采取了冗余的基础上，也可以不具有上述结构中的一部分评价部。

例如，在第一传感器11、第二传感器12和综合部112允许多重冗余化的情况下，不需要第一评价部121。该情况下，能够将综合部112于处理周期N输出的车辆周边信息907视作正确的信息，由第二评价部122进行行动预测部113的验证。同样地，在行动预测部113允许多重冗余化的情况下，也不需要第一评价部121。该情况下，能够将行动预测部113于处理周期N输出的处理周期N+1时的风险地图908视作正确的信息，由第二评价部122进行综合部112的输出即车辆周边信息907的验证。在轨迹规划部114允许多重冗余化的情况下，不需要第三评价部123。

(变形例3)

上述实施方式表示了第一评价部121、第二评价部122和第三评价部123独立实现的例子，但也可以将第一评价部121、第二评价部122和第三评价部123的功能综合在一起。即，只要能够进行图9和图10所示的判断即可，对功能分担和结构并不特别限定。

(变形例4)

上述实施方式中，通过比较处理周期N和处理周期N的下一个周期即处理周期N+1这2个处理周期的运算结果，来判断异常部位。但这不过是示例，也可以例如比较时刻T、T+1、T+2这样的多个时刻的位置信息、预测位置信息和预测轨迹信息，来进行异常判断。并且，进行比较的处理周期也可以不必是连续的，例如可以比较处理周期N和处理周期N+2这2个处理周期的运算结果来判断异常部位。此外，可以基于多个时刻的异常检测，例如对同一物体或部位连续5次以上的异常检测，来判断为存在异常，也可以排除传感器特性、噪声、周边环境条件的急剧变化等导致的临时的异常。

(变形例5)

第一评价部121、第二评价部122、第三评价部123、第一判断部131和第二判断部132各自可以在作出否定的评价或判断时，保留该记录。进而，第一评价部121、第二评价部122、第三评价部123、第一判断部131和第二判断部132各自可以在作出否定的评价结果时，记录以判断为评价结果是否定的时刻为起点的前后规定时间的评价结果，例如记录从作出否定评价的时刻起的前后1分钟的评价结果。在记录评价结果时，可以将时刻和输入的数据值一起记录。

否定评价是肯定评价以外的情况。例如，在第一评价部121中，仅三者的输出全部一致为肯定评价，这之外为否定评价。在第二评价部122中，一致为肯定评价，不一致为否定评价。在第三评价部123中，一致为肯定评价，不一致否定评价。在第一判断部131中，无异常为肯定评价，这之外为否定评价。在第二判断部132中，轨迹规划处理正常结束为肯定评价，这之外为否定评价。

(8)第一评价部121、第二评价部122、第三评价部123、第一判断部131和第二判断部132各自在作出否定的评价结果时记录评价结果。因此能够事后对记录进行确认。

(9)第一评价部121、第二评价部122、第三评价部123、第一判断部131和第二判断部132各自在作出否定的评价结果时，记录以判断为评价结果是否定的时刻为起点的前后规定时间的评价结果。因此，由于记录了大量的信息，能够有助于事后的分析。

上述各实施方式和变形例可以分别组合。上面说明了各种实施方式和变形例，但本发明不限于这些内容。上述实施方式和变形例不过是一个示例，只要无损发明的特征，本发明不限于这些内容。在本发明的技术思想的范围内能够想到的其他实施方式也包含在本发明的范围内。

附图标记说明

1…传感器组2…自动驾驶ECU11…第一传感器12…第二传感器14…本车位置传感器21…微机41…时刻同步处理45…车辆周边信息111…时刻同步处理部112…综合部113…行动预测部114…轨迹规划部115…行动预测保存部116…轨迹规划保存部121…第一评价部122…第二评价部123…第三评价部131…第一判断部132…第二判断部141…模式转移部901…第一传感器数据902…第二传感器数据907…车辆周边信息908…风险地图908A…上一风险地图909…规划轨迹909A…上一规划轨迹。