JP2002041142A - 監視システム、フェールセーフシステム及び記録媒体 - Google Patents

Abstract

(57)【要約】 【課題】制御システムに対するより信頼性の高い監視が
できるようにする。 【解決手段】ブレーキ作動による減速が実行される時点
ではそれよりも減速度合いの小さなスロットル全閉、Ｏ
Ｄカット及び３速シフトダウンはすでに実行されていな
ければならない。また、減速制御は、クルーズ制御中の
さらに車間制御モード中に行われる。そこでエンジンＥ
ＣＵ６は、車間制御ＥＣＵ２から受信したブレーキ作動
要求信号ＸＬＣＢＫに対して、次の〜のいずれかの
条件を満たしていれば異常であると判定する。[ＸＬ
ＣＢＫ＝１]and[シフト位置４速or５速]、[ＸＬＣＢ
Ｋ＝１]and[３速シフトダウン要求ＸＬＣ３ＲＤ＝０]、
[ＸＬＣＢＫ＝１]and[スロットル全閉要求ＸＩＤＬ
ＬＣ＝０]、[ＸＬＣＢＫ＝１]and[クルーズ制御中Ｘ
ＣＣＡＣＴ＝０]、 [ＸＬＣＢＫ＝１]and[車間制御モ
ードＸＬＡＺＥＲ＝０]

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、指令値を演算する
第１制御装置と、この第１制御装置にて演算された指令
値に基づいてアクチュエータを制御する第２制御装置と
を備えた制御システムにおける監視システム、この監視
システムを用いたフェールセーフシステム、および監視
システム、フェールセーフシステムとしてコンピュータ
システムを機能させるためのプログラムを記録した記録
媒体に関する。

【０００２】

【従来の技術】従来、複数の制御装置を備える車両制御
システムにおいて、車両状態モニタ機能、指令値演算機
能、アクチュエータ駆動制御機能が別々の制御装置に分
散されている場合、相互に送受信されるデータに異常が
発生した際には、フェールセーフ処理として、アクチュ
エータの駆動を停止することが一般的になされている。
このような車両制御システムとしては、ブレーキ制御シ
ステムや車間制御システムなどが挙げられる。例えば特
許第２７６８７９１号に示されたブレーキ制御システム
においては、送受信される情報が途絶えたときに、制御
装置間の通信を禁止し、制御圧調整制御も禁止する手法
が開示されている。この手法は、制御装置相互の送受信
が正常に機能しなくなった場合を考慮して、制御停止な
ど何らかの手段で車両の安定性を確保してようとしてす
るものである。

【０００３】但し、この手法においては、通信断線など
送受信が異常であったときにのみフェールセーフ処理が
なされるため、送受信自体は正常であるが、指令内容
（指令値など）が間違っていた場合には、その異常につ
いては判断できない。その結果、不必要なアクチュエー
タ駆動が実行されてしまうこととなる。

【０００４】この問題への対処の一例が特開平１１−３
９０３３号に開示されている。この公報記載の技術を、
前方認識結果に基づいて前方物体との距離や相対速度な
どの情報を出力するレーザレーダセンサと、指令値演算
機能を有する制御装置（車間制御ＥＣＵ）と、アクチュ
エータ駆動機能を有する制御装置（エンジンＥＣＵ）と
を備える車間制御システムを例にとって説明する。具体
的には、エンジンＥＣＵにおいて、レーザレーダセンサ
からの受信データと、車間制御ＥＣＵからの受信でとを
比較し、それらの整合性を判断する。これによって、複
数の制御装置間の通信品質を確保しようとするものであ
る。

【０００５】

【発明が解決しようとする課題】しかしながら、この手
法の場合、整合性判断の対象となる複数の受信データの
元々の情報源は同じであり、レーザレーダセンサからの
出力値を複数の経路によって別々の演算処理を施して指
令値と基準値の２種類の情報に分け、それらの整合性を
判断しているものである。したがって、独立した情報を
基にした判定を行っているわけではないため、その判定
結果の信頼性が低い場合もある。

【０００６】そこで本発明は、制御システムに対するよ
り信頼性の高い監視ができるようにすることを第１の目
的とし、その監視結果に基づいて適切なフェールセーフ
処理を実現することを第２の目的とする。

【０００７】

【課題を解決するための手段及び発明の効果】第１の目
的を達成するためになされた請求項１の監視システム
は、判定手段が、第１制御装置からの指令の出力の有無
あるいは出力された指令の内容が、第１制御装置を除く
制御システムについての状態を示す所定の判定用情報と
の関係で、制御システムの構築思想に照らし合わせて矛
盾しないか否かによって妥当性判定を行う。この判定用
情報としては、例えば請求項２に示すように、第２制御
装置におけるアクチュエータへの制御状態を示す情報を
用いることが考えられ、その場合には、請求項３に示す
ように、第２制御装置におけるアクチュエータを作動さ
せる制御状態であるか否かが第１制御装置からの指令の
出力の有無に対応しているか否かで、妥当性判定を行う
ことが考えられる。具体例で言えば、第１制御装置から
ブレーキ要求が出ているのに実際には第２制御装置にお
いてはアクチュエータを駆動制御していないとか、ある
いはその逆に、第１制御装置からブレーキ要求が出てい
ないのに第２制御装置においてはアクチュエータを駆動
制御しているといった状態が考えられる。つまり、ブレ
ーキ要求という指令内容と、その指令内容に対応したブ
レーキアクチュエータの制御状態とが矛盾していれば、
それは「制御システムの構築思想を参照した場合に」妥
当でないため、この観点からの妥当性判定を行うこと
で、より適切な判定ができる。そして、この妥当性判定
は独立した情報を基にして判定を行っているため、その
判定結果の信頼性が高くなる。

【０００８】判定用情報としては、上述の「第２制御装
置におけるアクチュエータへの制御状態を示す情報」以
外にも、請求項４に示すように制御モードを示す情報を
用いてもよい。この場合の制御システムは、システム全
体として複数の制御モードを採り得るよう構成されてお
り、それら複数の制御モード間において、アクチュエー
タに対する制御の必要・不要という違い、あるいは制御
内容に違いがあることを前提とする。このような前提で
あれば、制御システムがその時点で採用している制御モ
ードを示す情報を判定用情報とすることで適切な妥当性
判定が行える。例えば先行車に追従して走行させる車間
制御モードと、先行車がいない場合には、設定された速
度で走行させる定速制御モードがあった場合、車間制御
モードでは当然ながらブレーキアクチュエータを駆動さ
せる必要があるが、定速制御モードの場合にはブレーキ
アクチュエータを駆動させる必要がない。したがって、
車間制御モードではなく定速制御モードの場合にブレー
キ要求が出力されることは、やはり「制御システムの構
築思想を参照した場合に」妥当でないからである。

【０００９】なお、判定用情報として、「第２制御装置
におけるアクチュエータへの制御状態を示す情報」と
「制御モードを示す情報」の両方を用いてもよい。とこ
ろで、制御システムとして、第２制御装置とは別に、第
１制御装置から出力された指令に基づいて第２制御装置
の制御対象であるアクチュエータとは別のアクチュエー
タを制御する第３制御装置とを備えている場合には、請
求項５に示すようにしてもよい。つまり、判定用情報と
して、第３制御装置における別のアクチュエータに対す
る制御内容を示す情報を用いるのである。例えば、第２
制御装置としてのブレーキＥＣＵが第１制御装置として
の車間制御ＥＣＵからブレーキ要求を受けてブレーキ制
御を実行し、第３制御装置としてのエンジンＥＣＵが車
間制御ＥＣＵからの指令を受けてスロットル開度やシフ
トダウン位置などの制御を実行する車間制御システムを
想定する。この場合に、判定用情報として、エンジンＥ
ＣＵにおけるスロットル制御やシフト位置制御の内容を
示す情報を用いる。具体的には、ブレーキ要求が出され
ている場合に、車間制御システムの構築思想からすると
スロットルが全閉であることが矛盾しない状態であり、
またシフト位置も例えば３速以下（５速まであると想定
する）であることが矛盾しない状態である、といったこ
とが考えられる。これらは全く別のアクチュエータに対
する制御状態を反映する情報であるが、制御システムの
構築思想からすると、それらの関連から妥当性を判定で
きることとなる。そしてやはり、独立した情報を基にし
た判定のため、判定結果の信頼性が高くなるという利点
がある。

【００１０】なお、判定手段は、制御システム中の前記
複数の制御装置の少なくともいずれかの機能として実現
されていても良いし（請求項６）、いずれの制御装置と
も異なる別の装置の機能として実現されていても良い
（請求項７）。このような制御システムとしては、上述
の車間制御システムをはじめとし、自動車に搭載されて
自動車の各種アクチュエータを制御するための制御シス
テムが挙げられる（請求項８）。

【００１１】また、第２の目的を達成するためになされ
た請求項９のフェールセーフシステムは、請求項１〜８
のいずれか記載の監視システムと、監視システムの判定
手段における妥当性判定により妥当でないと判定された
場合に、所定のフェールセーフ処理を実行するフェール
セーフ処理手段とを備えている。このフェールセーフ処
理としては、次のいくつかが考えられる。

【００１２】例えば請求項１０に示すフェールセーフ処
理では、その時点で採用されている制御モードに基づく
制御を各制御装置が行うことを禁止する。いわゆるシス
テムキャンセルと称されることの多いフェールセーフ処
理であり、具体的には、制御を実行しないように指示
（制御キャンセル指示）を出す。このため、例えば指示
を受けた制御装置が何らかの原因でその指示を遵守でき
なかった場合には、指令に応じた制御を実行してしまう
可能性も含んでいる。

【００１３】そこで、このようなシステムキャンセルの
信頼性を懸念するのであれば、指令自体を送らないとい
う対処も考えられる（請求項１１）。つまり、制御キャ
ンセル指示は、指令自体が送られてしまう可能性を否定
しないため、たとえその指令が送られても、送られた側
の制御装置が制御を実行してしまう可能性も否定できな
い。したがって、さらにフェールセーフを期すのであれ
ば、指令自体を送らないようにすることが好ましい。

【００１４】なお、指令自体を送らないのではなく、実
質的に制御対象のアクチュエータを駆動させないような
指令内容にしてもよい（請求項１２）。いわゆるマスク
処理を施すのである。実質的に誤制御につながらなけれ
ばよいので、たとえ指令が送られても、その指令内容が
アクチュエータを駆動させないような内容（値）であれ
ばよい。

【００１５】また、このフェールセーフ処理手段も、上
述の判定手段と同様に、制御システム中の複数の制御装
置の少なくともいずれかの機能として実現されていても
良いし（請求項１３）、いずれの制御装置とも異なる別
の装置の機能として実現されていても良い（請求項１
４）。

【００１６】なお、上述した監視指令値評価システムや
フェールセーフ指令値をコンピュータシステムにて実現
する機能は、例えば、コンピュータシステム側で起動す
るプログラムとして備えることができる（請求項１５，
１６）。このようなプログラムの場合、例えば、フロッ
ピー（登録商標）ディスク、光磁気ディスク、ＣＤ−Ｒ
ＯＭ、ハードディスク等のコンピュータ読み取り可能な
記録媒体に記録し、必要に応じてコンピュータシステム
にロードして起動することにより用いることができる。
この他、ＲＯＭやバックアップＲＡＭをコンピュータ読
み取り可能な記録媒体として前記プログラムを記録して
おき、このＲＯＭあるいはバックアップＲＡＭをコンピ
ュータシステムに組み込んで用いても良い。

【００１７】

【発明の実施の形態】図１は、上述した発明が適用され
たオートクルーズ制御装置のシステム構成を概略的に示
すブロック図であり、車間制御用電子制御装置２（以
下、「車間制御ＥＣＵ」と称す。）、エンジン制御用電
子制御装置６（以下、「エンジンＥＣＵ」と称す。）及
びブレーキ電子制御装置４（以下、「ブレーキＥＣＵ」
と称す。）を中心に構成されている。

【００１８】車間制御ＥＣＵ２は、マイクロコンピュー
タを中心として構成されている電子回路であり、現車速
（Ｖｎ）信号、操舵角（str-eng ，Ｓ０）信号、ヨーレ
ート信号、目標車間時間信号、ワイパスイッチ情報、ア
イドル制御やブレーキ制御などの制御状態信号等をエン
ジンＥＣＵ６から受信する。そして、車間制御ＥＣＵ２
は、この受信したデータに基づいて車間制御演算や車間
警報演算をしている。

【００１９】レーザレーダセンサ３は、レーザによるス
キャニング測距器とマイクロコンピュータとを中心とし
て構成されている電子回路であり、スキャニング測距器
にて検出した先行車の角度や距離等、および車間制御Ｅ
ＣＵ２から受信する現車速（Ｖｎ）信号、カーブ曲率半
径（推定Ｒ）等に基づいて、車間制御装置の一部の機能
として先行車の自車線確率を演算し、相対速度等の情報
も含めた先行車情報として車間制御ＥＣＵ２に送信す
る。また、レーザレーダセンサ３自身のダイアグノーシ
ス信号も車間制御ＥＣＵ２に送信する。

【００２０】なお、前記スキャニング測距器は、車幅方
向の所定角度範囲に送信波あるいはレーザ光をスキャン
照射し、物体からの反射波あるいは反射光に基づいて、
自車と前方物体との距離をスキャン角度に対応して検出
可能な測距手段として機能している。

【００２１】さらに、車間制御ＥＣＵ２は、このように
レーザレーダセンサ３から受信した先行車情報に基づい
て算出した自車線確率等に基づいて、車間距離制御すべ
き先行車を決定し、先行車との車間距離を適切に調節す
るための制御指令値として、エンジンＥＣＵ６に、目標
加速度信号、フューエルカット要求信号、ＯＤカット要
求信号、３速シフトダウン要求信号、ブレーキ要求信号
を送信している。また警報発生の判定をして警報吹鳴要
求信号を送信したり、あるいは警報吹鳴解除要求信号を
送信したりする。さらに、ダイアグノーシス信号、表示
データ信号等を送信している。

【００２２】ブレーキＥＣＵ４は、マイクロコンピュー
タを中心として構成されている電子回路であり、車両の
操舵角を検出する操舵角検出手段としてのステアリング
センサ８、車両旋回検出手段としてヨーレートを検出す
るヨーレートセンサ１０、および各車輪の速度を検出す
る車輪速センサ１２から操舵角やヨーレートを求めて、
これらのデータをエンジンＥＣＵ６を介して車間制御Ｅ
ＣＵ２に送信したり、ブレーキ力を制御するためにブレ
ーキ油圧回路に備えられた増圧制御弁・減圧制御弁の開
閉をデューティ制御するブレーキアクチュエータ２５を
制御している。またブレーキＥＣＵ４は、エンジンＥＣ
Ｕ６を介する車間制御ＥＣＵ２からの警報要求信号に応
じて警報ブザー１４を鳴動する。

【００２３】エンジンＥＣＵ６は、マイクロコンピュー
タを中心として構成されている電子回路であり、スロッ
トル開度センサ１５、車両速度を検出する車速検出手段
としての車速センサ１６、ブレーキの踏み込み有無を検
出するブレーキスイッチ１８、クルーズコントロールス
イッチ２０、クルーズメインスイッチ２２、及びその他
のセンサやスイッチ類からの検出信号あるいはボデーＬ
ＡＮ２８を介して受信するワイパースイッチ情報やテー
ルスイッチ情報を受信し、さらに、ブレーキＥＣＵ４か
らの操舵角（str-eng，Ｓ０ ）信号やヨーレート信号、
あるいは車間制御ＥＣＵ２からの目標加速度信号、フュ
ーエルカット要求信号、ＯＤカット要求信号、３速シフ
トダウン要求信号、ブレーキ要求信号、警報要求信号、
ダイアグノーシス信号、表示データ信号等を受信してい
る。

【００２４】ここで、クルーズコントロールスイッチ２
０は、クルーズセットスイッチ、セット車速微増スイッ
チ及びセット車速微減スイッチなどを備えている。クル
ーズセットスイッチは、オートクルーズ制御を開始させ
るためのスイッチであり、メインスイッチがＯＮの状態
でクルーズセットスイッチをＯＮすることにより、クル
ーズ制御が開始される。なお、後述するようにクルーズ
制御は定速で走行する車速制御と先行車に追従して走行
する車間制御の両方を含む概念である。また、セット車
速微増スイッチは、アクセルスイッチとも呼ばれるもの
であり、これを押すことにより、記憶されているセット
車速を徐々に増加させるためのスイッチである。一方、
セット車速微増スイッチは、コーストスイッチとも呼ば
れるものであり、これを押すことにより、記憶されてい
るセット車速を徐々に減少させるためのスイッチであ
る。

【００２５】そして、エンジンＥＣＵ６は、この受信し
た信号から判断する運転状態に応じて、駆動手段として
の内燃機関（ここでは、ガソリンエンジン）のスロット
ル開度を調整するスロットルアクチュエータ２４、トラ
ンスミッション２６のアクチュエータ駆動段に対して駆
動命令を出力している。これらのアクチュエータによ
り、内燃機関の出力、ブレーキ力あるいは変速シフトを
制御することが可能となっている。なお、本実施形態の
場合のトランスミッション２６は５速オートマチックト
ランスミッションであり、４速の減速比が「１」に設定
され、５速の減速比が４速よりも小さな値（例えば、
０．７）に設定された、いわゆる、４速＋オーバードラ
イブ（ＯＤ）構成になっている。したがって、上述した
ＯＤカット要求信号が出された場合、トランスミッショ
ン２６が５速（すなわち、オーバードライブのシフト位
置）にシフトしていた場合には４速へシフトダウンす
る。また、シフトダウン要求信号が出された場合には、
トランスミッション２６が４速にシフトしていた場合に
は３速へシフトダウンする。その結果、これらのシフト
ダウンによって大きなエンジンブレーキが生じ、そのエ
ンジンブレーキにより自車の減速が行われることとな
る。

【００２６】また、エンジンＥＣＵ６は、必要な表示情
報を、ボデーＬＡＮ２８を介して、ダッシュボードに備
えられているクルーズインジケータランプやセット車速
表示装置（図示していない。）に送信して表示させた
り、あるいは現車速（Ｖｎ）信号、操舵角（str-eng，
Ｓ０ ）信号、ヨーレート信号、目標車間時間信号、ワ
イパスイッチ情報信号、アイドル制御やブレーキ制御の
制御状態信号を、車間制御ＥＣＵ２に送信している。こ
の内、クルーズインジケータランプは、現在のクルーズ
制御の作動状態を車両運転者が視認可能なように表示す
る。また、セット車速表示装置は、セット車速や現在ク
ルーズができない旨などを車両運転者が視認可能なよう
に表示する。

【００２７】次に、本実施形態のオートクルーズ制御の
概略を図２の状態遷移図を参照して説明する。制御は、
ステップＡの「クルーズＯＦＦ」状態から開始され、ク
ルーズメインスイッチ２２をＯＮすることによって、ス
テップＢの「クルーズＲｅａｄｙ」状態へ遷移する。そ
して、ステップＢの状態でクルーズコントロールスイッ
チ２０中のクルーズセットスイッチをＯＮすることによ
り、ステップＣのクルーズ制御に遷移する。なお、ステ
ップＣのクルーズ制御中にフットブレーキがＯＮされた
り、所定の有効車速範囲をオーバーした場合には、ステ
ップＣのクルーズ制御からステップＢのクルーズＲｅａ
ｄｙ状態へ遷移する。

【００２８】ステップＣのクルーズ制御においては、セ
ット車速以下の先行車が存在しない場合にはステップＤ
の車速制御（定速走行）モードによる制御を行い、セッ
ト車速以下の先行車が存在する場合にはステップＥの車
間制御（追従走行）モードによる制御を行う。そして、
これら車速制御及び車間制御モードによる制御を含むク
ルーズ制御中にアクセルペダルが踏み込まれた場合に
は、所定の条件が成立するとステップＦのオーバライド
状態に遷移する。

【００２９】この車間制御モードにおける減速制御に際
しては、エンジンＥＣＵ６によりスロットルアクチュエ
ータ２４に対して行われるスロットル開度の制御及びト
ランスミッション２６に対して行われるシフト位置の制
御と、ブレーキＥＣＵ４によりブレーキアクチュエータ
２４に対して行われるブレーキ制御がある。そして、本
システムでは、これらの減速手段による減速度合いの大
小を考慮して、減速する際には、減速度合いの小さな手
段から順番に作動させていき、減速を解除する際には、
減速度合いの大きな手段から順番に解除していくように
している。本システムでは、スロットル全閉が最も減速
度合いが小さいと想定し、ＯＤカット→３速シフトダウ
ン→ブレーキ作動の順番で減速度合いが大きくなってい
くと想定して減速制御を実行する。

【００３０】このような構成及びクルーズ制御を実行す
るクルーズ制御装置においてはまた、次のようなダイア
グ判定を行う。ここでは、車間制御ＥＣＵ２から出され
るブレーキ作動要求（信号）に基づく複数のダイアグ判
定の態様を示す。なお、本制御システムにおける３つの
ＥＣＵに関しては、車間制御ＥＣＵ２が第１制御装置、
ブレーキＥＣＵ４が第２制御装置、エンジンＥＣＵ６が
第３制御装置にそれぞれ相当する。そして、この場合
は、車間制御ＥＣＵ２がブレーキ作動要求に係る指令値
を演算してエンジンＥＣＵ６に出力する。ＥＣＵ６は、
クルーズコントロールスイッチ２０の操作状況に基づい
てクルーズ制御の状態遷移を司ると共に、スロットルの
開度状態やシフト位置状態を把握する。なお、車間制御
ＥＣＵ２から得たブレーキ作動要求については、エンジ
ンＥＣＵ６からブレーキＥＣＵ４に対して出力される。
また、ブレーキＥＣＵ４は、エンジンＥＣＵ６から得た
ブレーキ要求に基づいてブレーキアクチュエータ２５を
作動させる。

【００３１】［第１態様］第１態様は、エンジンＥＣＵ
６において、車間制御ＥＣＵ２から出力されたブレーキ
要求（ブレーキ作動要求信号）が、エンジンＥＣＵ６に
おいて把握できる他の状態（信号）を考慮した場合に、
論理的に整合性が取れているか否かでダイアグ判定する
ものである。

【００３２】上述した減速制御の説明からも判るよう
に、ブレーキ作動による減速は、最終制御手段であり、
それが実行される時点ではそれよりも減速度合いの小さ
な他の手段、つまり、スロットル全閉、ＯＤカット及び
３速シフトダウンはすでに実行されていなければならな
い。それが、本制御システムの減速制御における思想で
ある。そこで、図３に示すように、エンジンＥＣＵ６
は、車間制御ＥＣＵ２から受信したブレーキ作動要求信
号ＸＬＣＢＫに対して、次のようなダイアグ判定（１）
を行う。この判定は、次の〜のいずれかの条件を満
たしていれば異常であると判定するものである。

【００３３】 [ＸＬＣＢＫ＝１]and[シフト位置４速or５速] これは、ブレーキ作動要求信号ＸＬＣＢＫが出されてい
るにもかかわらずシフト位置が４速又は５速の状態であ
ることが異常な状態であると判定するものである。ブレ
ーキ作動による減速が実行される時点ではそれよりも減
速度合いの小さなＯＤカット及び３速シフトダウンはす
でに実行されていなくてはならないという観点からすれ
ば、シフト位置が４速又は５速になっていることは妥当
性を欠くからである。なお、このシフト位置について
は、エンジンＥＣＵ６の内部情報として把握できるの
で、エンジンＥＣＵ６は、車間制御ＥＣＵ２から得たブ
レーキ作動要求信号ＸＬＣＢＫと内部情報であるシフト
位置とに基づいてこの判定を行う。

【００３４】 [ＸＬＣＢＫ＝１]and[ＸＬＣ３ＲＤ＝０] ＸＬＣ３ＲＤは３速シフトダウン要求信号であり、これ
は、ブレーキ作動要求信号ＸＬＣＢＫが出されているに
もかかわらず、３速シフトダウン要求信号が出されてい
ないことが異常な状態であると判定するものである。
と同様、ブレーキ作動による減速が実行される時点では
３速シフトダウンはすでに実行されていなくてはならな
い。ではエンジンＥＣＵ６の内部情報を用いたが、車
間制御ＥＣＵ２からエンジンＥＣＵ６に出力された３速
シフトダウン要求信号ＸＬＣ３ＲＤをダイアグ情報とし
て用い、このように判定することもできる。

【００３５】 [ＸＬＣＢＫ＝１]and[ＸＩＤＬＬＣ＝０] ＸＩＤＬＬＣはスロットル全閉状態信号であり、これ
は、ブレーキ作動要求信号ＸＬＣＢＫが出されているに
もかかわらずスロットルが全閉でない状態であることが
異常な状態であると判定するものである。ブレーキ作動
による減速が実行される時点ではそれよりも減速度合い
の小さなスロットル全閉という減速手段は実行されてい
なくてはならない。なお、このスロットル全閉か否かに
ついては、エンジンＥＣＵ６の内部情報として把握でき
る。

【００３６】 [ＸＬＣＢＫ＝１]and[ＸＣＣＡＣＴ＝０] ＸＣＣＡＣＴはクルーズ制御中信号であり、ドライバが
クルーズコントロールスイッチ２０中のクルーズセット
スイッチをＯＮすることにより、クルーズ制御中信号Ｘ
ＣＣＡＣＴ＝１となる。つまり、図２のステップＣの状
態である。車間制御はクルーズ制御中に行われるもので
あり、減速制御は車間制御中で行われるものである。し
たがって、現在クルーズ制御中であることは、ブレーキ
作動要求信号ＸＬＣＢＫが出されている状態の大前提で
ある。したがって、ブレーキ作動要求信号ＸＬＣＢＫが
出されているにもかかわらずクルーズ制御中でない状態
であることが異常な状態であると判定する。なお、この
クルーズ制御中か否かについては、クルーズコントロー
ルスイッチ２０の状態を把握しているエンジンＥＣＵ６
の内部情報として把握できる。

【００３７】 [ＸＬＣＢＫ＝１]and[ＸＬＡＺＥＲ＝０] ＸＬＡＺＥＲは車間制御モード信号であり、図２のステ
ップＥに示す車間制御モードが選択されている状態であ
れば、車間制御モード信号ＸＬＡＺＥＲ＝１となる。減
速制御は車間制御モード中で行われるものであるため、
現在車間制御中であることは、ブレーキ作動要求信号Ｘ
ＬＣＢＫが出されている状態の前提である。したがっ
て、ブレーキ作動要求信号ＸＬＣＢＫが出されているに
もかかわらず車間制御モードが選択されていないことが
異常な状態であると判定する。なお、この車間制御モー
ドが選択されているか否かについては、エンジンＥＣＵ
６の内部情報として把握できる。

【００３８】なお、これらの判定に際しては、ＥＣＵ間
の通信処理による遅れを考慮して判定する必要がある。
また、異常判定結果が所定時間（例えば０．５秒）継続
した場合に正式に異常であると判定する。エンジンＥＣ
Ｕ６は、このようなダイアグ判定（１）の結果に基づ
き、システムキャンセル判定を行い、上述の〜のい
ずれかの条件を満たしている場合には、フェールセーフ
処理を実行する。異常判定時に即時キャンセルし、異常
キャンセル時にキャンセルフラグ（ＸＣＡＮＲＱ）をブ
レーキＥＣＵ４に送信する。また、ブレーキＥＣＵ４に
は、運転者によるアクセルペダル操作情報（ＸＰＡＩＤ
Ｌ）も送信する。

【００３９】これらの情報を受信したブレーキＥＣＵ４
では、ブレーキ制御中にシステムキャンセルする場合
（つまり、キャンセルフラグＸＣＡＮＲＱ受信時にブレ
ーキ要求ＲＱＢＫ（前回値）＝１である場合）、次のよ
うなフェールセーフ処理を実行する。

【００４０】減速力が急減して前方車両へ急接近する
ことを抑制するために、マスタシリンダ圧（Ｍ／Ｃ圧）
を所定割合で減圧し、減速力を徐々に減らしていく。な
お、Ｍ／Ｃ圧の減圧過程においてアクセルペダル操作情
報ＸＰＡＩＤＬ＝０となった場合は、Ｍ／Ｃ圧を最小値
にする。

【００４１】減圧開始時には、警報ブザー１４を吹鳴
させる。なお、エンジンＥＣＵ６からの表示データがボ
デーＬＡＮ２８を介してセット車速表示装置及びクルー
ズインジケータランプに送られ、セット車速表示装置に
は現在クルーズができない旨が表示され、クルーズイン
ジケータランプが点滅する。なお、これらはいずれか一
方でもよいし、両方でもよい。

【００４２】［第２態様］第２態様は、ブレーキＥＣＵ
４において、エンジンＥＣＵ６から出力されたブレーキ
要求が、ブレーキＥＣＵ４において把握できる他の状態
（信号）を考慮した場合に、論理的に整合性が取れてい
るか否かでダイアグ判定するものである。基本的な考え
方は第１態様の場合と同様であり、ブレーキ作動による
減速が実行される時点ではそれよりも減速度合いの小さ
な他の手段はすでに実行されていなければならず。ま
た、減速制御の前提である車間制御モードが選択されて
いることや、大前提としてのクルーズ制御が実行中であ
ることに基づいて判定する。

【００４３】具体的には、図４に示すように、ブレーキ
ＥＣＵ４は、エンジンＥＣＵ６から受信したブレーキ作
動要求信号ＲＱＢＫに対して、次のようなダイアグ判定
（２）を行う。この判定は、次の〜のいずれかの条
件を満たしていれば異常であると判定するものである。
なお、ブレーキＥＣＵ４は、エンジンＥＣＵ６から、ブ
レーキ作動要求信号ＲＱＢＫ以外にも、３速シフトダウ
ン要求信号ＸＬＣ３ＲＤ，シフト位置情報ＸＳＩＦＴ0
〜2，クルーズ制御中信号ＸＣＣＡＣＴ，車間制御モー
ド信号ＸＬＡＺＥＲ及びアクセルペダル操作情報ＸＰＡ
ＩＤＬを受信する。

【００４４】 [ＲＱＢＫ＝１]and[シフト位置４速or５速] これは、ブレーキ作動要求信号ＲＱＢＫが出されている
にもかかわらずシフト位置が４速又は５速の状態である
ことが異常な状態であると判定するものであり、第１態
様のダイアグ判定（１）におけるの場合と同様である
ので、詳しい説明は省略する。

【００４５】 [ＸＬＣＢＫ＝１]and[ＸＬＣ３ＲＤ＝０] これは、ブレーキ作動要求信号ＲＱＢＫが出されている
にもかかわらず、３速シフトダウン要求信号ＸＬＣ３Ｒ
Ｄが出されていなくいことを異常と判定するものであ
り、第１態様のダイアグ判定（１）におけるの場合と
同様であるので、詳しい説明は省略する。

【００４６】[ＲＱＢＫ＝１]and[ＸＰＡＩＤＬ＝０] これは、ブレーキ作動要求信号ＲＱＢＫが出されている
にもかかわらずドライバがアクセルペダルを踏んでいる
状態であることが異常な状態であると判定するものであ
る。ブレーキ作動による減速が実行される時点ではスロ
ットルは全閉とされている状態、つまりアクセルペダル
が踏まれていない状態であることが必要であることに基
づく。

【００４７】[ＲＱＢＫ＝１]and[ＸＣＣＡＣＴ＝０] これは、ブレーキ作動要求信号ＲＱＢＫが出されている
にもかかわらずクルーズ制御中でない状態であることが
異常な状態であると判定するものであり、第１態様のダ
イアグ判定（１）におけるの場合と同様であるので、
詳しい説明は省略する。

【００４８】[ＲＱＢＫ＝１]and[ＸＬＡＺＥＲ＝０] これは、ブレーキ作動要求信号ＲＱＢＫが出されている
にもかかわらず車間制御モードが選択されていないこと
を異常と判定するものであり、第１態様のダイアグ判定
（１）におけるの場合と同様であるので、詳しい説明
は省略する。

【００４９】なお、これらの判定に際しては、第１態様
の場合と同様に、ＥＣＵ間の通信処理による遅れを考慮
して判定する必要がある。また、異常判定結果が所定時
間（例えば０．５秒）継続した場合に正式に異常である
と判定する。ブレーキＥＣＵ４は、このようなダイアグ
判定（２）の結果に基づき、異常判定を行い、上述の
〜のいずれかの条件を満たしている場合には、エンジ
ンＥＣＵ６に対してキャンセル要求ＣＣＳを出力する。
また、このようにキャンセル要求ＣＣＳを出力した場合
には、自らフェールセーフ処理を実行する。この処理
は、第１態様の場合にブレーキＥＣＵ４にて実行される
フェールセーフ処理と同様なので、詳しい説明は省略す
る。

【００５０】その他、エンジンＥＣＵ６内においては、
スロットルアクチュエータの異常や変速機の異常を検知
した場合に、車間制御機能が保持できないため、システ
ムキャンセル判定をしてフェールセーフ処理を実行す
る。また、車間制御が実行される車速域を下回った場合
に、運転者の意図とは違って車間制御機能がキャンセル
されるが、人の操作以外でキャンセルされる場合もフェ
ールセーフ処理により、ディスプレイ表示や、マスタシ
リンダ圧を所定割合で減圧し減速力を徐々に減らして行
くことが必要である。

【００５１】一方、エンジンＥＣＵ６におけるシステム
キャンセル判定では、ブレーキＥＣＵ４からキャンセル
要求ＣＣＳを受信した場合には、フェールセーフ処理を
実行する。この処理は、第１態様の場合にエンジンＥＣ
Ｕ６にて実行されるフェールセーフ処理と同様なので、
詳しい説明は省略する。

【００５２】このダイアグ判定（２）は、上述のダイア
グ判定（１）がエンジンＥＣＵ６において実行されたの
に対して、ブレーキＥＣＵ４にて実行されるという違い
はあるが、判定内容自体は、同様のものである。但し、
実施形態のブレーキアクチュエータ２５を駆動する主体
であるブレーキＥＣＵ４にてダイアグ判定することによ
り、ブレーキ制御実行の信頼性が高まると言える。

【００５３】［第３態様］第３態様は、車間制御ＥＣＵ
２にて自らが出した指令値ＸＬＣＢＫが確実にエンジン
ＥＣＵ６にて処理されたか否かによってダイアグ判定す
るものである。具体的には、図４のダイアグ判定（３）
に示すように、車間制御ＥＣＵ２からエンジンＥＣＵ６
に出力したブレーキ作動要求信号ＸＬＣＢＫと、エンジ
ンＥＣＵ６からの出力値であるブレーキ作動要求信号Ｒ
ＱＢＫとの整合性が取れているか否かを判定する。この
ブレーキ作動要求信号ＲＱＢＫは、エンジンＥＣＵ６か
らブレーキＥＣＵ４へ出力する値であり、これを車間制
御ＥＣＵ２にも返信させるのである。なお、これらの判
定に際しては、第１，２態様の場合と同様に、ＥＣＵ間
の通信処理による遅れを考慮して判定する必要がある。
また、異常判定結果が所定時間（例えば０．５秒）継続
した場合に正式に異常であるとと判定する。

【００５４】車間制御ＥＣＵ２は、このようなダイアグ
判定（３）の結果に基づき異常判定を行い、ＸＬＣＢＫ
≠ＲＱＢＫであれば異常と判定し、エンジンＥＣＵ６に
対してキャンセル要求ＣＣＳを出力する。そして、エン
ジンＥＣＵ６におけるシステムキャンセル判定では、ブ
レーキＥＣＵ４からキャンセル要求ＣＣＳを受信した場
合には、フェールセーフ処理を実行する。この処理は、
第１態様の場合にエンジンＥＣＵ６にて実行されるフェ
ールセーフ処理と同様なので、詳しい説明は省略する。

【００５５】なお、原則的には上述したようにＸＬＣＢ
Ｋ≠ＲＱＢＫであれば異常と判定すればよいが、エンジ
ンＥＣＵ６から出力するブレーキ作動要求信号ＲＱＢＫ
が、エンジンＥＣＵ６内の状態によってはＲＱＢＫ＝０
という値でブレーキＥＣＵ４へ送信しなくてはならない
場合もあり得る。例えば、運転者がアクセルペダルを踏
んだ場合に、車間制御ＥＣＵ２からのブレーキ作動要求
信号ＸＬＣＢＫの変化を待たず、エンジンＥＣＵ６が自
らのブレーキ作動要求信号ＲＱＢＫをゼロにしてブレー
キＥＣＵ４へ送信し、ブレーキ作動を解除することが好
ましい。この点を車間制御ＥＣＵ２でのダイアグ判定
（３）の例外条件とするためには、アクセルペダルの操
作状況をエンジンＥＣＵ６から車間制御ＥＣＵ２へ送信
し、ダイアグ判定（３）を実行しないようにするか、又
は判定方法を変更することで実現できる。判定方法の変
更の一例としては、上述のようにＸＬＣＢＫ＝１であっ
てもＲＱＢＫ＝０となることがあり得ることを想定し、
ＸＬＣＢＫ＝０のときにＲＱＢＫ＝１となった場合に異
常であると判定することが考えられる。

【００５６】また、これまで説明したブレーキ作動要求
信号ＲＱＢＫは、車間制御ＥＣＵ２から受信したブレー
キ作動要求信号ＸＬＣＢＫに対して所定のフラグ操作を
施したものであるが、エンジンＥＣＵ６から車間制御Ｅ
ＣＵ２へ返信するブレーキ作動要求信号ＲＱＢＫについ
ては、車間制御ＥＣＵ２から受信したブレーキ作動要求
信号ＸＬＣＢＫを単純に返信するだけの方法も考えられ
る。この場合には、ＥＣＵ間の通信遅れを考慮した上
で、ＸＬＣＢＫ≠ＲＱＢＫの場合に異常であると判定す
ればよい。

【００５７】［第４態様］第４態様は、エンジンＥＣＵ
６からブレーキＥＣＵ４へ送信されたブレーキ作動要求
ＲＱＢＫが確実にブレーキＥＣＵ４にて処理されたか否
かによってダイアグ判定するものである。まず、エンジ
ンＥＣＵ６からブレーキＥＣＵ４へ送信さされたブレー
キ作動要求ＲＱＢＫに対して、ブレーキＥＣＵ４内での
ブレーキ要求にかかる状態を示すＲＱＢＫＶをエンジン
ＥＣＵ６へ返信させ、両者の整合性が取れているか否か
を判定し、不一致であれば異常と判定することが考えら
れる。また、ブレーキＥＣＵ４からエンジンＥＣＵ６
へ、ブレーキ制御状態やクルーズキャンセル要求状態を
送信し、これらの状態とブレーキ作動要求ＲＱＢＫとの
整合性を判定しても良い。クルーズキャンセル要求状態
とは、クルーズ実行にふさわしくないとブレーキＥＣＵ
４が判断している状態を意味し、アクチュエータ系の故
障が例として挙げられる。

【００５８】例えば図５のダイアグ判定（４）に示すよ
うに、以下の条件が成立する場合に異常であると判定す
ることが考えられる。 [ＲＱＢＫ＝０]and[ＲＱＢＫＶ＝１] →この状態は、ブレーキ作動要求をしていないにもかか
わらず、ブレーキＥＣＵ４がブレーキ制御を実行しよう
としていることを示す。

【００５９】[ＲＱＢＫ＝０]and[ＭＣＳＴ＝１] →ＭＣＳＴはブレーキ制御中であることを示すフラグで
あり、この状態は、ブレーキ作動要求をしていないにも
かかわらず、ブレーキＥＣＵ４がブレーキ制御を実行し
ていることを示す。

【００６０】 [ＲＱＢＫ＝１]and[ＭＣＳＴ＝０]and[ＣＣＳ＝０] →ＣＣＳはクルーズキャンセル要求を示すフラグであ
り、この状態は、ブレーキ作動要求をしていて、且つブ
レーキＥＣＵ４がクルーズ制御を実行しようとしている
にもかかわらず、ブレーキ制御が実行されていないこと
を示す。

【００６１】なお、これらの判定に際しては、第１〜３
態様の場合と同様に、ＥＣＵ間の通信処理による遅れを
考慮して判定する必要がある。また、異常判定結果が所
定時間（例えば０．５秒）継続した場合に正式に異常で
あると判定する。エンジンＥＣＵ６のシステムキャンセ
ル判定では、このようなダイアグ判定（４）の結果に基
づき、〜のいずれかの条件が成立した場合には、フ
ェールセーフ処理を実行する。具体的には、ブレーキＥ
ＣＵの異常判定時に、車間制御ＥＣＵ２から送信された
ブレーキ作動要求ＸＬＣＢＫ＝０の場合、あるいは３速
シフトダウン要求ＸＬＣ３ＲＤ、ＯＤカット要求ＸＬＣ
ＯＤ、スロットル全閉要求ＸＬＣＣＬＳの全てが０にな
った場合に、システムキャンセルする。そして、キャン
セルフラグ（ＸＣＡＮＲＱ）及び運転者によるアクセル
ペダル操作情報（ＸＰＡＩＤＬ）をブレーキＥＣＵ４に
送信する。

【００６２】なお、ブレーキＥＣＵ４において実行され
るフェールセーフ処理は、第１態様の場合と同様なの
で、詳しい説明は省略する。但し、エンジンＥＣＵ６か
らの表示データがボデーＬＡＮ２８を介してセット車速
表示装置及びクルーズインジケータランプに送られ、セ
ット車速表示装置には現在クルーズができない旨が表示
され、クルーズインジケータランプが点滅する点は上述
したが、これに加えて、ブレーキインジケータランプを
備え、点滅させるようにしてもよい。

【００６３】このように、本実施形態の制御システムに
おけるダイアグ判定においては、ブレーキ要求という指
令内容に対して、ブレーキアクチュエータ２５の制御状
態や他のアクチュエータの制御状態、あるいはブレーキ
制御の実行の前提となる車間制御モードであること、さ
らには大前提となるクルーズ制御中であることなど、
「制御システムの構築思想を参照した場合に」それらの
状態が妥当であるか否かという観点で妥当性判定を行う
ようにした。そのため、より適切な判定ができる。そし
て、この妥当性判定は独立した情報を基にして判定を行
っているため、その判定結果の信頼性が高くなる。ま
た、そのような信頼性の高い判定結果に基づいて実行さ
れるフェールセーフ処理は、より適切なものとなる。

【００６４】［その他］ （１）上記実施形態においては、ダイアグ判定を、車間
制御ＥＣＵ２，エンジンＥＣＵ６、ブレーキＥＣＵ４の
いずれかにおいて行ったが、これら３つのＥＣＵ２，
４，６以外の装置においてダイアグ判定を実行させて、
その結果に応じたフェールセーフ処理をエンジンＥＣＵ
６やブレーキＥＣＵ４にて実行すればよい。また、フェ
ールセーフ処理自体もエンジンＥＣＵ６やブレーキＥＣ
Ｕ４以外の装置にて実行させることも可能である。

【００６５】（２）上記実施形態におけるフェールセー
フ処理は、その時点で採用されている制御モードに基づ
く制御を各ＥＣＵが行うことを禁止する。いわゆるシス
テムキャンセルと称されることの多いフェールセーフ処
理であった。しかし、例えば指示を受けたＥＣＵが何ら
かの原因でその指示を遵守できなかった場合には、指令
に応じた制御を実行してしまう可能性も含んでいる。こ
のようなシステムキャンセルの信頼性を懸念するのであ
れば、指令自体を送らないという対処も考えられる。ま
た、指令自体を送らないのではなく、実質的に制御対象
のアクチュエータを駆動させないよう、いわゆるマスク
処理を施した指令を送信してもよい。これは、実質的に
誤制御につながらなければよいので、たとえ指令が送ら
れても、その指令内容がアクチュエータを駆動させない
ような内容（値）であればよい。

【００６６】（３）また、上記実施形態では、制御シス
テムを構成するＥＣＵとして車間制御ＥＣＵ２，エンジ
ンＥＣＵ６、ブレーキＥＣＵ４の３つを想定して説明し
たが、これらのＥＣＵに限定するものではない。つま
り、制御対象に応じて制御主体となるＥＣＵを分散さ
せ、これらの間での通信を行って車両全体として適切な
制御を実現する制御システムであれば、そのようなもの
でも適用できる。例えば将来的に操舵制御ＥＣＵといっ
たものが出現すれば、そのＥＣＵと既存のＥＣＵとの間
で通信される指令に基づき、システム全体の構築思想を
参照した場合の妥当性判定によって、同様にシステムの
監視ができ、またフェールセーフ処理を実行できる。

【図面の簡単な説明】

【図１】実施形態のオートクルーズ制御装置のシステム
ブロック図である。

【図２】実施形態のオートクルーズ制御の概略を示す状
態遷移図である。

【図３】第１態様のダイアグ判定・フェールセーフ処理
を示す説明図である。

【図４】第２及び第３態様のダイアグ判定・フェールセ
ーフ処理を示す説明図である。

【図５】第４態様のダイアグ判定・フェールセーフ処理
を示す説明図である。

【符号の説明】

２…車間制御用電子制御装置（車間制御ＥＣＵ） ３…レーザレーダセンサ ４…ブレーキ電子制御装置（ブレーキＥＣＵ） ６…エンジン電子制御装置（エンジンＥＣＵ） ８…ステアリングセンサ １０…ヨーレートセンサ １２…車輪速センサ １４…警報ブザー １５…スロットル開度センサ １６…車速センサ １８…ブレーキスイッチ ２０…クルーズコントロールスイッチ ２２…クルーズメインスイッチ ２４…スロットルアクチュエータ ２５…ブレーキアクチュエータ ２６…トランスミッション ２８…ボデーＬＡＮ

───────────────────────────────────────────────────── フロントページの続き (51)Int.Cl.⁷ 識別記号 ＦＩ テーマコート゛(参考） Ｂ６０Ｒ 21/00 ６２４ Ｂ６０Ｒ 21/00 ６２４Ｇ ５Ｈ２０９ Ｂ６０Ｔ 17/18 Ｂ６０Ｔ 17/18 ５Ｈ２２３ Ｆ０２Ｄ 29/02 ３０１ Ｆ０２Ｄ 29/02 ３０１Ｄ 45/00 ３７４ 45/00 ３７４Ｂ Ｇ０５Ｂ 9/02 Ｇ０５Ｂ 9/02 Ｅ (72)発明者 夏目 勉 愛知県刈谷市昭和町１丁目１番地 株式会 社デンソー内 Ｆターム(参考） 3D041 AA71 AB01 AC04 AC15 AC26 AD04 AD10 AD31 AD41 AD48 AD51 AE04 AE30 AE41 AF01 3D044 AA28 AA31 AC03 AC24 AC26 AC31 AC59 AC62 AD04 AD16 AD21 AE04 AE15 AE21 3D049 BB02 HH51 RR01 RR08 3G084 BA05 BA32 DA27 DA28 DA30 DA31 EA04 EB08 EB11 EB22 FA05 FA06 FA10 3G093 AA01 AA04 AA05 BA04 BA10 BA11 BA12 BA23 CB14 DA06 DB02 DB05 DB11 DB15 DB16 EA09 EB03 EB04 EC01 FA04 5H209 AA10 BB08 BB09 CC13 DD11 GG20 HH01 5H223 AA10 BB05 BB06 CC08 DD03 EE05 EE11

Claims (16)

【特許請求の範囲】
1. 【請求項１】指令を出力する第１制御装置と、その第１
   制御装置から出力された前記指令に基づいてアクチュエ
   ータを制御する第２制御装置とを備えた制御システムに
   おける監視システムであって、 前記第１制御装置からの前記指令の出力の有無あるいは
   出力された前記指令の内容が、前記第１制御装置を除く
   前記制御システムについての状態を示す所定の判定用情
   報との関係で、前記制御システムの構築思想に照らし合
   わせて矛盾しないか否かによって妥当性判定を行う判定
   手段を備えたことを特徴とする監視システム。
2. 【請求項２】請求項１記載の監視システムにおいて、 前記判定手段は、前記判定用情報として、前記第２制御
   装置における前記アクチュエータへの制御状態を示す情
   報を用いることを特徴とする監視システム。
3. 【請求項３】請求項２記載の監視システムにおいて、 前記判定手段は、前記第２制御装置における前記アクチ
   ュエータを作動させる制御状態であるか否かが前記第１
   制御装置からの指令の出力の有無に対応しているか否か
   で、前記妥当性判定を行うことを特徴とする監視システ
   ム。
4. 【請求項４】請求項１〜３のいずれか記載の監視システ
   ムにおいて、 前記制御システムは、システム全体として複数の制御モ
   ードを採り得るよう構成されており、それら複数の制御
   モード間において、前記アクチュエータに対する制御の
   必要・不要という違い、あるいは制御内容に違いがあ
   り、 前記判定手段は、前記判定用情報として、前記制御シス
   テムがその時点で採用している前記制御モードを示す情
   報を用いることを特徴とする監視システム。
5. 【請求項５】請求項１〜４のいずれか記載の監視システ
   ムにおいて、 前記制御システムは、前記第２制御装置とは別に、前記
   第１制御装置から出力された指令に基づいて前記第２制
   御装置の制御対象であるアクチュエータとは別のアクチ
   ュエータを制御する第３制御装置とを備えており、 前記判定手段は、前記判定用情報として、前記第３制御
   装置における前記別のアクチュエータに対する制御内容
   を示す情報を用いることを特徴とする監視システム。
6. 【請求項６】請求項１〜５のいずれか記載の監視システ
   ムにおいて、 前記判定手段は、前記制御システム中の前記複数の制御
   装置の少なくともいずれかの機能として実現されている
   ことを特徴とする監視システム。
7. 【請求項７】請求項１〜５のいずれか記載の監視システ
   ムにおいて、 前記判定手段は、前記制御システム中の前記複数の制御
   装置のいずれかとも異なる別の装置の機能として実現さ
   れていることを特徴とする監視システム。
8. 【請求項８】請求項１〜７のいずれか記載の監視システ
   ムにおいて、 前記制御システムは、自動車に搭載されて自動車の各種
   アクチュエータを制御するための制御システムであるこ
   とを特徴とする監視システム。
9. 【請求項９】請求項１〜８のいずれか記載の監視システ
   ムと、 前記監視システムの判定手段における妥当性判定により
   妥当でないと判定された場合に、所定のフェールセーフ
   処理を実行するフェールセーフ処理手段とを備えたこと
   を特徴とするフェールセーフシステム。
10. 【請求項１０】請求項９記載のフェールセーフシステム
    において、 前記フェールセーフ処理手段は、前記フェールセーフ処
    理として、その時点で採用されている制御モードに基づ
    く制御を前記各制御装置が行うことを禁止することを特
    徴とするフェールセーフシステム。
11. 【請求項１１】請求項９記載のフェールセーフシステム
    において、 前記フェールセーフ処理手段は、前記フェールセーフ処
    理として、前記第１制御装置から前記第２制御装置へ出
    力される予定であった前記指令が、前記第２制御装置に
    伝達されないようにすることを特徴とするフェールセー
    フシステム。
12. 【請求項１２】請求項９記載のフェールセーフシステム
    において、 前記フェールセーフ処理手段は、前記フェールセーフ処
    理として、前記第１制御装置から前記第２制御装置へ出
    力される予定であった前記指令が、前記第２制御装置に
    伝達される時点では、実質的に前記第２制御装置が制御
    対象のアクチュエータを駆動させないような指令内容に
    することを特徴とするフェールセーフシステム。
13. 【請求項１３】請求項９〜１２のいずれか記載のフェー
    ルセーフシステムにおいて、 前記フェールセーフ処理手段は、前記制御システム中の
    前記複数の制御装置の少なくともいずれかの機能として
    実現されていることを特徴とするフェールセーフシステ
    ム。
14. 【請求項１４】請求項９〜１２のいずれか記載のフェー
    ルセーフシステムにおいて、 前記フェールセーフ処理手段は、前記制御システム中の
    前記複数の制御装置のいずれかとも異なる別の装置の機
    能として実現されていることを特徴とするフェールセー
    フシステム。
15. 【請求項１５】請求項１〜８のいずれか記載の監視シス
    テムとしてコンピュータシステムを機能させるためのプ
    ログラムを記録したコンピュータ読み取り可能な記録媒
    体。
16. 【請求項１６】請求項９〜１４のいずれか記載のフェー
    ルセーフシステムとしてコンピュータシステムを機能さ
    せるためのプログラムを記録したコンピュータ読み取り
    可能な記録媒体。