JP4399987B2 - 車両統合制御におけるフェイルセーフシステム - Google Patents

Description

【０００１】
【発明の属する技術分野】
本発明は、エンジン、トランスミッション、ブレーキ装置等、複数の車載構成要素の統合制御に適用されるフェイルセーフシステムに関し、特に、各構成要素のいずれかが故障した際のリンプホームを保証するフェイルセーフシステムに関する。
【０００２】
【従来の技術】
近年、車両を構成する構成要素の増大に伴うシステムの大規模化に対処するため、これら複数の構成要素の個々に設けられた制御要素の間で互いにデータのやりとりができるように構成することにより、車両全体としての安定した制御を実現する車両統合制御システムが採用されている。
【０００３】
このような車両統合制御システムでは、例えば図７に示すように、エンジン、トランスミッション、エアコン等の各構成要素をそれぞれ制御する複数の電子制御装置（以下「ＥＣＵ」という）１１０，１２０，１３０・・・が、通信ラインＬを介して互いに接続されている。そして、各々のＥＣＵは、自身に接続されたセンサからの信号や、他のＥＣＵから通信ラインを介して受信した信号に基づいて所定の演算を行い、その結果に基づいて自身に接続されたアクチュエータを駆動する。このようにして、車両全体が統合的に制御されている。
【０００４】
【発明が解決しようとする課題】
しかしながら、このようなシステムでは、個々のＥＣＵに、対応するセンサやアクチュエータが夫々接続されており、各ＥＣＵは、他のＥＣＵから送信された情報に基づきながらも、自身が管轄する特定のアクチュエータのみを制御するように構成されている。このため、例えば同図においてＥＣＵ１１０が故障した場合には、これに接続されたセンサ１１１，１１２からの信号を処理したり、アクチュエータ１１３，１１４を駆動制御することができなくなってしまう。この場合、当該ＥＣＵの故障により、車両が走行するのに最低限必要なセンサやアクチュエータが実質的に機能しなくなると、車両はリンプホーム（故障時に車両が最低限走行できるようにすること）さえできなくなってしまう。
【０００５】
本発明は、このような問題に鑑みてなされたものであり、複数の車載構成要素を統合制御する車両に適用されるフェイルセーフシステムにおいて、各構成要素のいずれかが故障した場合においても、そのリンプホームを可能とすることを目的とする。
【０００６】
【課題を解決するための手段】
上記課題に鑑み、請求項１記載のフェイルセーフシステムは、車両に搭載されたエンジン、トランスミッション、ブレーキ装置、エアコン等の複数の構成要素を統合的に制御することにより、車両全体として安定した制御を実現する車両統合制御システムに適用される。
【０００７】
すなわち、ここでいう車両統合制御システムは、これら複数の構成要素を夫々動作させる複数のアクチュエータと、複数の構成要素の動作制御に用いる状態量を夫々検出する複数のセンサと、このセンサが検出した状態量に基づき、予め設定された制御プログラムに従って上記複数のアクチュエータを夫々駆動制御する複数の構成要素制御部と、これら構成要素制御部の動作状態を監視するマネージャ制御部と、を備える。そして、これら複数の構成要素制御部と、マネージャ制御部と、少なくとも車両の走行に最低限必要なアクチュエータ及びセンサとが、所定の通信ラインに夫々接続されて相互に通信し、車両を統合的に制御する。
【０００８】
尚、ここで、「少なくとも車両の走行に最低限必要なアクチュエータ及びセンサが、通信ラインに接続される」としたのは、このように構成することが後述する処理を実現するために必要である一方、アクチュエータやセンサを上記通信ラインに接続するには、これらアクチュエータやセンサに通信機能を持たせる必要がありコストが嵩むため、少なくとも車両の走行に最低限必要なものを優先して接続することとしたものである。従って、車両の走行に特に必要のないアクチュエータ及びセンサについては、原則として対応する個々の構成要素制御部に接続することになるが、コスト上の問題等がなければ通信ラインに直接接続してもよい。
【０００９】
そして、当該フェイルセーフシステムにおいては、マネージャ制御部がこれら複数の構成要素制御部のうち、少なくとも車両の走行に最低限必要な構成要素制御部の基本機能を実現するための一又は複数の基本プログラムを格納しており、この基本プログラムに対応した構成要素制御部のいずれかが故障した場合に、この故障した構成要素制御部の制御対象である構成要素を、当該基本プログラムを用いて動作させることができるようになっている。
【００１０】
すなわち、マネージャ制御部が、少なくとも車両の走行に最低限必要な構成要素制御部の故障を検出すると、ダウンロード手段が、複数の構成要素制御部の動作を継続させる必要性によって複数の構成要素制御部について予め設定された優先順位に従って、故障していない他の構成要素制御部のうち、故障した構成要素制御部よりも優先順位の低いものに対して、上記基本プログラムをダウンロードする。
【００１１】
すると、この基本プログラムがダウンロードされた構成要素制御部が、当該基本プログラムに基づき、故障した構成要素制御部に対応したセンサが検出した状態量を用いて、対応するアクチュエータを駆動制御する。
かかる構成によれば、車両の走行に最低限必要な構成要素制御部が故障した場合でも、別の構成要素制御部により当該故障した構成要素制御部の機能を肩代わりすることができる。このため、車両の走行を継続させることができ、車両を修理工場まで移動させることもできる。
【００１２】
尚、上記において「マネージャ制御部が、少なくとも車両の走行に最低限必要な構成要素制御部の基本機能を実現するための基本プログラムを格納する」としたのは、マネージャ制御部の保有する記憶容量には限界があり、全ての構成要素制御部についての基本プログラムを格納するとすると、マネージャ制御部の記憶容量を大きく設計する必要があり、プログラム管理上及びコスト上の問題があるからである。また、車両の走行に特に必要のない構成要素制御部については、故障したところで敢えて機能させる必要もなく、例えば修理工場に移動してから修理すればよいからである。ただし、マネージャ制御部の記憶容量に余裕がある場合、コスト上の問題等がない場合には、全ての構成要素制御部についての基本プログラムを格納するように構成してもよい。
【００１３】
また、上記においては、「基本プログラムがダウンロードされた構成要素制御部が、当該基本プログラムに基づき、故障した構成要素制御部に対応したセンサが検出した状態量を用いて、対応するアクチュエータを駆動制御する」と表現したが、この表現の中には、このダウンロード先の構成要素制御部が、故障した構成要素制御部に対応したセンサ以外のセンサが検出した状態量にも基づいて、故障した構成要素制御部に対応したアクチュエータを駆動制御する場合、及び、その他のアクチュエータをも同時に駆動制御する場合、のいずれも含まれることはもちろんである。
【００１４】
また、このようにしてマネージャ制御部に格納された基本プログラムが、ダウンロード手段により他の構成要素制御部にダウンロードされるため、当該他の構成要素制御部にも、当該基本プログラムを格納するための記憶領域を確保する必要がある。
【００１５】
ここで、一般には、車両の走行に最低限必要な構成要素制御部の機能を実現するためのプログラムは、車両制御プログラムの中枢的部分を担うため、その容量が大きくなる傾向にある。逆に、車両の走行に特に必要のない構成要素制御部の機能を実現するためのプログラムは比較的容量が小さいと考えられる。このため、車両の走行に最低限必要な構成要素制御部の機能を実現するためのプログラムの全てをマネージャ制御部に格納できたとしても、ダウンロード手段先の構成要素制御部がないといった事態も想定される。
【００１６】
そこで、請求項１に記載のように、マネージャ制御部は、複数の構成要素制御部のうち、車両の走行に最低限必要な構成要素制御部の基本機能を実現するための基本プログラムを格納するようにし、ダウンロード手段が、この基本プログラムを他の構成要素制御部に対してダウンロードする。
【００１７】
ここでいう、「基本機能」とは、車両を必要最低限走行させるために簡略化された機能をいい、通常の車両制御において実行される補正処理等の細かな機能を省略したものである。
このため、このように機能が省略される分、その機能を実現する基本プログラムの規模も小さく抑えることができ、ダウンロード先となる他の構成要素制御部の選択の幅が広くなる。
【００１８】
また、車両の走行に最低限必要な構成要素制御部の具体例としては、請求項２に記載のエンジンを制御する電子制御装置、請求項４に記載のトランスミッションを制御する電子制御装置、請求項６に記載のブレーキ装置を制御する電子制御装置等が考えられる。
【００１９】
そして、エンジンを制御する電子制御装置の基本機能としては、請求項３に記載のように、燃料噴射量及び点火時期を固定した基本噴射／点火機能を設定することが考えられる。この場合、当該基本機能が実行されると、車両は走行のための少なくとも最低限の車軸トルクを確保することができる。
【００２０】
また、トランスミッションを制御する電子制御装置の基本機能としては、請求項５に記載のように、変速機の変速段を固定した固定変速機能を設定することが考えられる。この場合、例えば変速段を低速のものに固定することで、所謂エンジンストップを防止等することができる。
【００２１】
さらに、ブレーキ装置を制御する電子制御装置の基本機能としては、アンチロックブレーキシステム（ＡＢＳ）等の高性能な機能を省略し、請求項７に記載のように、ブレーキペダルの踏込量に応じたブレーキ制御のみを実行する固定基本ブレーキ機能を設定することが考えられる。この場合、少なくとも一般的な走行環境においてブレーキが不能になることを防止することができる。
【００２２】
また、上記構成要素制御部の優先順位については、車両の仕向地等によりその要請が異なることもあり、車両の製造元で自由に設定することが可能であるが、例えば請求項８に記載のように、優先順位の高いものから、車両の走行に必要なもの、車両の走行性を高めるもの、車両の快適性を高めるもの、それ以外のもの、の順に設定することが考えられる。
【００２３】
尚、ここでいう「車両の走行に必要なもの」とは、上述した「車両の走行に最低限必要なもの」よりも広い概念であり、上述したエンジン、トランスミッション、ブレーキ等を制御する電子制御装置（つまり、車両の走行に最低限必要なもの）に加え、例えば現在の速度等を表示する計器等の制御装置等を含む。ただし、「車両の走行に最低限必要なもの」の優先順位が最も高いことはいうまでもない。
【００２４】
また、「車両の走行性を高めるもの」の具体例としては、例えば運転者への走行の便宜を図るナビゲーション制御装置等が考えられ、「車両の快適性を高めるもの」としては、車室温を調整するエアコン制御装置等が考えられ、「その他のもの」としては、パワーウィンドウ等を制御する電子制御装置等が考えられる。
【００２５】
また、上記ダウンロード手段がダウンロード処理を実行するに際しては、そのダウンロード先の構成要素制御部を選定することが必要となる。その場合、上述のように、故障した構成要素制御部よりも優先順位が低い他の構成要素制御部に基本プログラムをダウンロードすることはいうまでもないが、当該他の構成要素制御部の性能を考慮しなければ、当該基本プログラムの格納及びその正常な実行ができない場合も想定される。例えば、当該他の構成要素制御部の処理速度が十分でないために、基本プログラムによる制御処理を特定の所定の制御タイミングで実行できなくなる等の問題が発生することが懸念される。
【００２６】
そこで、請求項９に記載のように、上記ダウンロード手段は、基本プログラムのダウンロード先として、上記故障した構成要素制御部の基本機能を実現するために必要な処理速度を有し、かつ、基本プログラムを格納するために必要な記憶容量を有する構成要素制御部を選定するように構成するとよい。
【００２７】
このように構成することで、他の構成要素制御部に基本プログラムを確実にダウンロードすることができると共に、当該基本プログラムを所定の処理速度で実行することができ、車両の走行を確保することができる。
また、より好ましくは、請求項１０に記載のように、ダウンロード手段は、このように選定した構成要素制御部のうち優先順位が最も低い構成要素制御部に対して、基本プログラムをダウンロードするように構成するのがよい。
【００２８】
このように構成することで、車両の走行に関してより必要性の高い機能を保持することができる。
また、基本プログラムを他の構成要素制御部にダウンロードする際の具体的方法としては、例えば、予め各構成要素制御部の故障時を想定してダウンロードのための記憶領域を各構成要素制御部に確保する（拡張する）ように構成してもよい。しかし、この場合には、既存の構成要素制御部を設計変更する必要が生じるため、コストが嵩むことが懸念される。
【００２９】
或いは、選択した構成要素制御部に基本プログラムを格納するだけの空領域があるか否かを判定し、当該空領域がある場合にはその空領域に基本プログラムを書き込むように構成してもよい。しかし、一般には、各構成要素制御部は他の構成要素制御部の故障を想定して設計されるものではないため、空領域に余裕がある構成要素制御部は少なく、そのため、ダウンロード先の構成要素制御部の選択の幅が狭くなるといった問題が懸念される。
【００３０】
そこで、請求項１１に記載のように、ダウンロード手段が、上述のように選定した構成要素制御部の記憶領域に既に記憶されたプログラムを消去して、当該基本プログラムを書き込むように構成するとよい。
このように構成すれば、各構成要素制御部の記憶容量を特に拡張する必要もなく、現状のままに保持することができる。このため、本フェイルセーフシステムの導入コストを抑制することができる。尚、この場合ダウンロード先となった構成要素制御部の既存のプログラムについては、修理工場にて再インストールすればよい。
【００３１】
また、他の構成要素制御部への基本プログラムのダウンロードは、マネージャ制御部が構成要素制御部の故障を検出した後、直ちに実行するのが理想であるが、各構成要素制御部の動作状況や動作状態によりそれが困難な場合もある。例えば、エンジンを制御する電子制御装置の異常が検出された場合に、その基本プログラムをナビゲーション制御装置に直ちにダウンロードすると、ナビゲーションシステムのディスプレイ表示が突然消滅し、運転者がこれに驚いて交通事故を引き起こすことも懸念される。また、ナビゲーション制御装置が高速に動作している最中にダウンロード処理を実行すると、処理が破綻し、基本プログラムを正常にダウンロードできなくなることも想定される。
【００３２】
このため、ダウンロード処理は、各構成要素制御部の負担が比較的小さいと考えられるエンジンの停止時、或いは始動時（アイドリング時）等に実行するのが好ましいと考えられる。
ただし、エンジンの停止時（イグニションスイッチのオフ時）にこのダウンロード処理を実行するとすると、ダウンロード処理の実行が完了するまで電源供給を維持する等の特別な構成（回路）が必要となり、これを実現するためのコストが嵩むことが想定される。
【００３３】
このような観点からは、請求項１２に記載のように、エンジンの始動時においてダウンロード処理を実行することがより好ましいと考えられる。
すなわち、マネージャ制御部が、故障した構成要素制御部を記憶しておき、ダウンロード手段が、このマネージャ制御部が構成要素制御部の故障を検出した後の次のエンジン始動時において、当該マネージャ制御部が記憶した構成要素制御部に対応した基本プログラムを選択し、これをダウンロードするように構成するとよい。
【００３４】
このように構成すれば、エンジンの始動時において車両の発電機から供給される電源を用いることができるため、上述した特別な構成を追加することなく、ダウンロード処理を確実に実行することができる。
さらに、ダウンロード処理が行われる際に、そのダウンロード先となる構成要素制御部が本来の処理を継続していると、ダウンロード処理を正常に実行できなくなる虞がある。
【００３５】
そこで、請求項１３に記載のように、ダウンロード先となった構成要素制御部は、ダウンロード手段がダウンロードを実行する際に、それまで継続していた処理を中止するように構成するのが好ましい。
【００３６】
【発明の実施の形態】
以下、本発明の好適な実施例を図面に基づいて説明する。
図１は、本実施例のフェイルセーフシステムの構成を表すブロック図である。
本実施例のフェイルセーフシステムは、車両の構成要素である図示しないエンジン、自動変速機、ブレーキ装置、エアコン、ナビゲーション装置、その他の装置を統合制御する車両統合システムに適用されたものである。
【００３７】
そして、本発明の構成要素制御部として、エンジンを制御するエンジンＥＣＵ１、自動変速機を制御するトランスミッションＥＣＵ２、ブレーキ装置等を制御する走行制御ＥＣＵ３、エアコンを制御するエアコンＥＣＵ４、ナビゲーション装置を制御するナビＥＣＵ５、速度メータ等の各種計器類を制御する第１ボデーＥＣＵ６、パワーウィンドウの開閉やドアの施開錠等を制御する第２ボデーＥＣＵ７を備え、本発明のマネージャ制御部として、上記各ＥＣＵの動作状態を監視するマネージャＥＣＵ１０を備える。
【００３８】
各ＥＣＵは、所定の記憶容量及び処理速度を有し、所定の記憶・演算処理を実行するマイクロコンピュータ（以下、単に「マイコン」という）を中心に構成された独立の電子制御ユニットであり、その各々が通信部を内蔵し、データ通信用の通信線（通信ライン）Ｌを介して互いに接続されている。
【００３９】
具体的には、エンジンＥＣＵ１は、処理速度が２５[MIPS]で記憶容量が３２０［KB］のマイコン１ａを備え、通信部１ｂを介して所定の通信処理を実行できるように構成されている。このエンジンＥＣＵ１には、図示しないが、運転者によるアクセルペダルの踏込量を検出するアクセルペダル開度センサ、吸入空気の流量（吸気量）を検出するエアフローメータ、吸入空気の温度を検出する吸気温センサ、スロットルバルブの開度を検出するスロットル開度センサ、排気中の酸素濃度を酸素濃度センサ、冷却水温を検出する水温センサ、クランク軸の回転角度やその回転速度を検出するためのクランク角センサ、イグニションスイッチ、といったセンサ・スイッチ類が接続されると共に、エンジンの気筒毎に設けられたインジェクタ、点火用高電圧を発生するイグナイタ、燃料タンクから燃料を汲み上げインジェクタに供給する燃料ポンプ、エンジンの吸気管に設けられたスロットルバルブを開閉するためのスロットル駆動モータ、といったエンジン制御のための各種アクチュエータが接続されている。
【００４０】
そして本実施例においては、このうち、車両の走行に最低限必要なセンサ（クランク角センサ等）１１が、内蔵する通信部１１ａを介して通信ラインＬに直接接続され、同様に、車両の走行に最低限必要なアクチュエータ（インジェクタ、イグナイタ、燃料ポンプ等）１２が、内蔵する通信部１２ａを介して通信ラインＬに直接接続されている。従って、センサ１１からエンジンＥＣＵ１への信号入力、及びエンジンＥＣＵ１からアクチュエータ１２への信号出力は、通信ラインＬを介して行われる。
【００４１】
トランスミッションＥＣＵ２は、処理速度が２５[MIPS]で記憶容量が３２０［KB］のマイコン２ａを備え、通信部２ｂを介して所定の通信処理を実行できるように構成されている。このトランスミッションＥＣＵ２には、トルクコンバータから変速機への入力軸の回転数を検出する回転数センサ、自動変速機の出力軸に連結された車両駆動軸の回転から車速を検出する車速センサ、自動変速機内の作動油の温度を検出する油温センサ、運転者が操作するシフトレバーの操作位置（シフト位置）を検出するシフトポジションスイッチ、といったセンサ・スイッチ類が接続されると共に、変速段を切り替えるためのシフトソレノイド、変速クラッチの係合力を操作するためのライン圧ソレノイド、トルクコンバータの入・出力軸を締結するロックアップクラッチの締結力を操作するためのロックアップ圧ソレノイド、といった変速制御のための各種アクチュエータ（ソレノイド）が接続されている。
【００４２】
そして本実施例においては、このうち、車両の走行に最低限必要なセンサ（回転数センサ、車速センサ等）２１が、内蔵する通信部２１ａを介して通信ラインＬに直接接続され、同様に、車両の走行に最低限必要なアクチュエータ（シフトソレノイド、ライン圧ソレノイド等）２２が、内蔵する通信部２２ａを介して通信ラインＬに直接接続されている。従って、センサ２１からトランスミッションＥＣＵ２への信号入力、及びトランスミッションＥＣＵ２からアクチュエータ２２への信号出力は、通信ラインＬを介して行われる。
【００４３】
走行制御ＥＣＵ３は、処理速度が１５[MIPS]で記憶容量が１２８［KB］のマイコン３ａを備え、通信部３ｂを介して所定の通信処理を実行できるように構成されている。この走行制御ＥＣＵ３は、急ブレーキの際の駆動輪のロックを防止するアンチロックブレーキユニット（ＡＢＳ）を含むブレーキ装置の制御を行うと共に、エンジンＥＣＵ１と協働して、レーザレーダにより先行車両との車間を測定することにより、当該先行車両との車間距離を一定にした走行を可能にする車間制御装置（ＡＣＣ）、カーブ走行時における車両の走行安定性を保持する車両安定化装置（ＶＳＣ）、及び駆動輪の加速スリップを防止するためのトラクションコントロール装置（ＴＲＣ）に対する制御をも行う。当該走行制御ＥＣＵ３には、ブレーキ装置のマスタシリンダの油圧を検出するマスタシリンダ圧センサ、車両の操舵角を検出するステアリングセンサ、車両のヨーレートを検出するヨーレートセンサ、といったセンサ・スイッチ類が接続されると共に、マスタシリンダの油圧を発生してブレーキ制御を行うためのブレーキアクチュエータ等が接続されている。
【００４４】
そして、本実施例においては、車両の走行に最低限必要なセンサ（マスタシリンダ圧センサ等）３１が、内蔵する通信部３１ａを介して通信ラインＬに直接接続され、同様に、車両の走行に最低限必要なアクチュエータ（ブレーキアクチュエータ等）３２が、内蔵する通信部３２ａを介して通信ラインＬに直接接続されている。従って、センサ３１から走行制御ＥＣＵ３への信号入力、及び走行制御ＥＣＵ３からアクチュエータ３２への信号出力は、通信ラインＬを介して行われる。
【００４５】
エアコンＥＣＵ４は、処理速度が５[MIPS]で記憶容量が１２８［KB］のマイコン４ａを備え、通信部４ｂを介して所定の通信処理を実行できるように構成されている。このエアコンＥＣＵ４には、外気温センサ、内気温センサ、運転者が操作するエアコンスイッチ、といったセンサ・スイッチ類が接続されると共に、送風用のブロアモータ、配風を切り換えるエアミックスダンパ、といったエアコン制御のための各種アクチュエータが接続されている。そして、各センサから入力された状態量や、通信ラインＬを介して送信された車速、エンジン回転数、及び水温等を表すデータに基づいて演算処理を行い、各アクチュエータを駆動制御する。
【００４６】
ナビＥＣＵ５は、処理速度が２５[MIPS]で記憶容量が４０００［KB］のマイコン５ａを備え、通信部５ｂを介して所定の通信処理を実行できるように構成されている。このナビＥＣＵ５には、周知のＧＰＳ（Global Positioning System）受信機等を備えた位置検出装置、地図データ入力器、位置情報を検出するための各種センサ、各種操作スイッチ等が接続されると共に、車両の現在位置を表示装置に表示させるための各種アクチュエータが接続されている。ナビＥＣＵ５は、位置情報の演算に用いる車速等の情報を通信ラインＬを介して取得する。
【００４７】
第１ボデーＥＣＵ６は、処理速度が３[MIPS]で記憶容量が６４［KB］のマイコン６ａを備え、通信部６ｂを介して所定の通信処理を実行できるように構成されている。この第１ボデーＥＣＵ６は、インストルメントパネル内に収容された速度メータ等の各種計器類を制御するものとして構成され、これら計器類を動作させるための各種アクチュエータ等が接続されている。第１ボデーＥＣＵ６は、通信ラインＬを介して送信された車速、水温等を表すデータに基づいて、各アクチュエータを駆動制御する。
【００４８】
第２ボデーＥＣＵ７は、処理速度が１[MIPS]で記憶容量が１６［KB］のマイコン７ａを備え、通信部７ｂを介して所定の通信処理を実行できるように構成されている。この第２ボデーＥＣＵ７は、パワーウィンドウの開閉やドアの施開錠を制御するものとして構成され、駆動モータの回転数センサ、パワーウィンドウスイッチ、ドアロックスイッチ等のセンサ・スイッチ類が接続されると共に、パワーウインドウモータ、ドアロックモータ等を動作させるための各種アクチュエータが接続されている。第２ボデーＥＣＵ７は、通信ラインＬを介して送信された車速を表すデータに基づき、当該車速が一定以上になったことを検出すると、ドアロックモータを駆動することにより、ドアを自動的に施錠する。
【００４９】
マネージャＥＣＵ１０は、上述した各ＥＣＵのうち、少なくとも車両の走行に最低限必要なＥＣＵの基本機能を実現するための後述する基本プログラムを格納している。そして、各ＥＣＵの異常検出を行い、車両の走行に最低限必要なＥＣＵが故障した場合には、当該基本プログラムを通信ラインＬを介して、故障していない他のＥＣＵに対して送信する（この詳細については以下で説明する）。
【００５０】
そして、上述した各ＥＣＵ１〜７及び１０、各センサ１１，２１，３１、及び各アクチュエータ１２，２２，３２は、車両を最適に制御するために、上記内蔵された各通信部及び通ラインＬを介して、互いのデータを送受信できるように構成されている。
【００５１】
次に、本実施例のフェイルセーフシステムにおいて実行される処理について、図２及び図３に基づいて説明する。
本実施例のフェイルセーフシステムは、上述した各ＥＣＵのいずれかの故障が原因して車両の走行が不能になることを防止するものであり、いずれかのＥＣＵが故障しても、故障していない他のＥＣＵにより最低限の処理を代行することにより、少なくとも安全な場所まで、好ましくは修理工場まで車両を走行させることを可能にするものである。
【００５２】
そして、これを実現するために、マネージャＥＣＵ１０は、上記基本プログラムとして、エンジンＥＣＵ１、トランスミッションＥＣＵ２、及び走行制御ＥＣＵ３の機能のうち、車両を走行させるために必要最低限に簡略化された基本機能を実現するための基本プログラムを、夫々格納している。この基本プログラムは、これらエンジンＥＣＵ１、トランスミッションＥＣＵ２、及び走行制御ＥＣＵ３のいずれかが故障した場合に、故障していない他のＥＣＵにより実行されるプログラムであり、通常の車両制御における補正処理等の細かな処理を実現する部分（ダイアグノーシスを含む）が省略されている。このため、当該基本プログラムは、そのプログラムが簡略化された分、小規模（小容量）に構成されている。
【００５３】
具体的には、マネージャＥＣＵ１０は、エンジンＥＣＵ１の基本機能として、燃料噴射量及び点火時期を固定した基本噴射／点火機能を実現する基本プログラムを格納している。従って、当該基本プログラムにおいては、エンジンＥＣＵ１の通常機能に見られるような、燃料噴射量及び点火時期を最適に補正する部分は省略されている。当該基本プログラムの実行により、インジェクタに対して一定噴射量での燃料噴射処理の実行が指令され、イグナイタに対して一定の点火時期での点火処理の実行が指令される。この結果、当該基本プログラムの実行により、少なくとも車両の走行に必要な最低限のエンジントルクが確保される。
【００５４】
また、マネージャＥＣＵ１０は、トランスミッションＥＣＵ２の基本機能として、変速機の変速段を固定した固定変速機能を実現する基本プログラムを格納している。従って、当該基本プログラムにおいては、トランスミッションＥＣＵ２の通常機能に見られるような、細かな変速制御を実行する部分は省略されている。当該変速段は低速のものに固定されており、当該基本プログラムの実行により、上記エンジンＥＣＵ１の基本機能により得られるエンジントルクとの関係で一定の車軸トルクが得られるようになっている。この結果、当該基本プログラムの実行により、所謂エンジンストップを防止しつつ車両を走行させることができるようになっている。
【００５５】
さらに、マネージャＥＣＵ１０は、走行制御ＥＣＵ３の基本機能として、ブレーキペダルの踏込量に応じたブレーキ制御のみを実行する固定基本ブレーキ機能を実現する基本プログラムを格納している。つまり、当該基本プログラムにおいては、上述したＡＢＳ、ＡＣＣ、ＶＳＣ、ＴＲＣに対応する高性能な機能を実現する部分が省略されている。従って、当該基本プログラムの実行により、少なくとも一般的な走行環境においてブレーキが不能になることを防止することができ、走行の安全性を確保することができる。
【００５６】
また、上記基本プログラムのダウンロード先を特定するため、各ＥＣＵにはその優先順位が予め設定されており、マネージャＥＣＵ１０がこの優先順位に基づいて上記基本プログラムを送信するように構成されている。
具体的には、図２（ａ）に示すように、車両の走行に必要なもの（優先度Ａ，Ｂ）、車両の走行性を高めるもの（優先度Ｃ）、車両の快適性を高めるもの（優先度Ｄ）、それ以外のもの（優先度Ｅ）、の順に優先順位が設定されている。また、「車両の走行に必要なもの」の中でも特に優先度の高いものとして、車両の走行に最低限必要なもの（優先度Ａ）が設定されている。本実施例では、この優先度ＡのＥＣＵとして、エンジンＥＣＵ１、トランスミッションＥＣＵ２、及び走行制御ＥＣＵ３が設定され、優先度ＢのＥＣＵとして第１ボデーＥＣＵ６が、優先度ＣのＥＣＵとしてナビＥＣＵ５が、優先度ＤのＥＣＵとしてエアコンＥＣＵ４が、そして、優先度ＥのＥＣＵとして第２ボデーＥＣＵ７が、夫々設定されている。尚、同図（ａ）には、これら各ＥＣＵの性能、つまり各ＥＣＵが保有するマイコンの処理速度及び記憶容量が併せて示されている（内容については既述）。
【００５７】
また、同図（ｂ）には、マネージャＥＣＵ１０が保有する上述した各基本プログラムの容量と、当該基本プログラムを実行するために必要な（つまり、基本機能を実現するために必要な）処理速度が示されている。すなわち、同図（ｂ）に示すように、エンジンＥＣＵ１の基本機能を実現するために必要な処理速度は７[MIPS] 、その基本プログラムのサイズは３２[KB]となっている。また、トランスミッションＥＣＵ２の基本機能を実現するために必要な処理速度は５[MIPS] 、その基本プログラムのサイズは１６[KB]となっている。さらに、走行制御ＥＣＵ３の基本機能を実現するために必要な処理速度は３[MIPS] 、その基本プログラムのサイズは１６[KB]となっている。
【００５８】
そして、図３に示すように、仮にトランスミッションＥＣＵ２が故障した場合を想定すると、マネージャＥＣＵ１０は、トランスミッションＥＣＵ２の基本機能を実行するための必要処理速度（５[MIPS]）とプログラムサイズ（１６[KB]）に基づいて、当該プログラムをダウンロードして実行することが可能な他のＥＣＵを選定する。
【００５９】
この場合、ダウンロード先のＥＣＵとしては、トランスミッションＥＣＵ２（優先度Ａ）より優先順位が低いものを選定することが前提とされる。このため、まずトランスミッションＥＣＵ２より優先順位の低い第１ボデーＥＣＵ６（優先度Ｂ）、ナビＥＣＵ５（優先度Ｃ）、エアコンＥＣＵ４（優先度Ｄ）、及び第２ボデーＥＣＵ７（優先度Ｅ）が選択される（図２参照）。そして、これらのＥＣＵの中で上記処理速度及びプログラムサイズを具備するものとしてナビＥＣＵ５及びエアコンＥＣＵ４を選定する。そして、両ＥＣＵのうち、優先順位の最も低いものとして、エアコンＥＣＵ４をダウンロード先のＥＣＵとして特定する。このように優先順位の低いエアコンＥＣＵ４を特定したのは、ナビＥＣＵ５の方が優先順位が高いため、その動作を継続させる必要性がより高いからである。
【００６０】
そして、このようにしてエアコンＥＣＵ４が選定されると、マネージャＥＣＵ１０は、エアコンＥＣＵ４に対してトランスミッションＥＣＵ２の基本プログラムを送信し、エアコンＥＣＵ４は、当該基本プログラムをダウンロードする。
そして、エアコンＥＣＵ４は、当該トランスミッションＥＣＵ２の基本プログラムを実行し、トランスミッションＥＣＵ２に対応したセンサの出力信号を通信ラインＬを介して受信して所定の演算処理を実行し、対応するアクチュエータに対して所定の駆動信号を出力する。
【００６１】
この結果、車両の走行に最低限必要な機能が実現されることになり、当該車両を少なくとも安全な場所まで、好ましくは修理工場まで車両を走行させることができる。
尚、上記においては、トランスミッションＥＣＵ２が故障した場合について示したが、例えばエンジンＥＣＵ１が故障した場合には、マネージャＥＣＵ１０は、エンジンＥＣＵ１の基本機能を実行するための必要処理速度（７[MIPS]）と基本プログラムのサイズ（３２[KB]）に基づいて、ダウンロード先の他のＥＣＵを選定する。
【００６２】
この場合、まずエンジンＥＣＵ１より優先順位が低いものとして第１ボデーＥＣＵ６、ナビＥＣＵ５、エアコンＥＣＵ４、及び第２ボデーＥＣＵ７が選択される。そして、これらのＥＣＵの中で上記処理速度及びプログラムサイズを具備するものとしてナビＥＣＵ５を選定する。この時点で、条件を具備するＥＣＵが一つに限定されるため、当該ナビＥＣＵ５をダウンロード先のＥＣＵとして特定する。
【００６３】
また、走行制御ＥＣＵ３が故障した場合には、マネージャＥＣＵ１０は、走行制御ＥＣＵ３の基本機能を実行するための必要処理速度（３[MIPS]）と基本プログラムのサイズ（１６[KB]）に基づいて、ダウンロード先の他のＥＣＵを選定する。
【００６４】
この場合、まず走行制御ＥＣＵ３（優先度Ａ）より優先順位が低いものとして第１ボデーＥＣＵ６、ナビＥＣＵ５、エアコンＥＣＵ４、及び第２ボデーＥＣＵ７が選択される。そして、これらのＥＣＵの中で上記処理速度及びプログラムサイズを具備するものとしてナビＥＣＵ５及びエアコンＥＣＵ４を選定し、さらに、両ＥＣＵのうち優先順位が最も低いものとして、エアコンＥＣＵ４をダウンロード先のＥＣＵとして特定する。
【００６５】
次に、本実施例のフェイルセーフシステムにおいて、マネージャＥＣＵ１０及び他のＥＣＵが実行する処理の流れについて、図４〜図６のフローチャートに基づいて説明する。図４及び図５はマネージャＥＣＵ１０の処理を示すフローチャートであり、図６は故障していない他のＥＣＵが実行する処理を示すフローチャートである。
【００６６】
図４に示すように、マネージャＥＣＵ１０は、イグニションキーがオンにされると、前回のエンジン停止時（イグニションキーのオフ時）に記憶したＥＣＵの故障情報を読込み（Ｓ１１０）、故障したＥＣＵがあるか否かを判断する（Ｓ１２０）。そして、当該故障情報がないと判断した場合には（Ｓ１２０：ＮＯ）、通信ラインＬを介して各ＥＣＵに対して通常制御モードを指示し（Ｓ１８０）、自身は通常監視モードに移行して各ＥＣＵの動作状態の監視を行う（Ｓ１９０）。
【００６７】
尚、ここで、イグニションキーのオンにより故障情報の有無を判断するのは、後述のように、本実施例では各ＥＣＵの負荷が比較的小さい始動時に上記基本プログラムのダウンロード処理を実行するように設定しているからである。
一方、Ｓ１２０において、ＥＣＵの故障情報があると判断すると（Ｓ１２０：ＹＥＳ）、上述した基本プログラムのダウンロード先（書換対象）のＥＣＵの選定処理を実行する（Ｓ１３０）。
【００６８】
この選定処理においては、図５に示すように、マネージャＥＣＵ１０が、まず自身が保有するメモリに格納された情報の中から、故障したＥＣＵの基本機能を実現するために必要な処理速度[MIPS]と、その基本プログラムのサイズを読み込む（Ｓ３１０）。
【００６９】
続いて、故障していない他のＥＣＵの中で、故障したＥＣＵよりも優先順位の低いＥＣＵを抽出する（Ｓ３２０）。
続いて、Ｓ３２０にて抽出されたＥＣＵの中で、上記故障したＥＣＵに対応した基本プログラムのサイズよりも大きい記憶容量を有し、かつ、その基本機能を実現するために必要な処理速度よりも速い処理速度を有するＥＣＵを選択する（Ｓ３３０）。
【００７０】
そして、Ｓ３３０にて選択されたＥＣＵのうち、優先順位の最も低いものを書換対象のＥＣＵとして選定する（Ｓ３４０）。
図４に戻り、このようにして実行された書換対象の選定処理において、条件に合致した書換対象のＥＣＵが見つかったか否かを判断する（Ｓ１４０）。そして、当該書換対象のＥＣＵが見つかったと判断した場合には、当該書換対象のＥＣＵに対して後述する書換制御モードへ移行するための指令信号を出力した後（Ｓ１５０）、故障したＥＣＵに対応した基本プログラムを送信する（Ｓ１６０）。そしてその後、書換対象のＥＣＵから当該基本プログラムの書込処理の終了情報を受信すると（Ｓ１７０：ＹＥＳ）、通信ラインＬを介して各ＥＣＵに対して通常制御モードを指示し（Ｓ１８０）、自身は通常監視モードに移行して各ＥＣＵの動作状態の監視を行う（Ｓ１９０）。
【００７１】
この通常監視モードにおいては、マネージャＥＣＵ１０は、各ＥＣＵに対して故障を検出するための試験信号を定期的に出力してその応答により異常を検出するか、又は各ＥＣＵから自発的に出力された異常信号を受信することにより、ＥＣＵの故障を判定する。
【００７２】
そして、ＥＣＵの故障情報があると判断された場合には（Ｓ２００：ＹＥＳ）、車両の走行の安全のため、各ＥＣＵに対してその制御処理を一旦終了させるための指令信号を出力する（Ｓ２１０）。この場合、ＥＣＵの故障を音声等で運転者に報知し、エンジンの再始動を促すように構成するのが好ましい。
【００７３】
そして、次回のエンジン始動時（イグニションキーのオン時）に上述したダウンロード処理を実行するために、故障したＥＣＵの情報を自身のメモリ（不揮発性のメモリであるフラッシュメモリ等）に記憶して処理を終了する（Ｓ２２０）。
【００７４】
尚、Ｓ２１０において、故障したＥＣＵが走行に支障をきたさないＥＣＵである場合には、特にその制御処理を中止させることなく、継続させることもできる。
一方、図６に示すように、各ＥＣＵは、通常の処理の実行過程において、マネージャＥＣＵ１０からの書換制御モードへの移行指示（Ｓ１５０参照）を受信したか否かを定期的に判断し（Ｓ４１０）、当該書換制御モードへの移行指示を受信したと判断すると（Ｓ４１０：ＹＥＳ）、書込制御モードに移行して制御プログラムの初期化を実行する（Ｓ４２０）。その結果、当該ＥＣＵに格納されていた既存の制御プログラムは消去され、上記基本プログラムをダウンロードするための記憶領域が確保される。
【００７５】
そして、マネージャＥＣＵ１０から送信された基本プログラムの書込処理を実行し（Ｓ４３０）、書込処理が終了すると、その旨を表す信号をマネージャＥＣＵ１０に対して出力する（Ｓ４４０、Ｓ１７０参照）。そして、この基本プログラムを実行することにより、車両を走行させるための制御処理を実行する（Ｓ４６０）。
【００７６】
一方、Ｓ４１０において、書換制御モードへの移行指示を受信していないと判断すると（Ｓ４１０：ＹＥＳ）、マネージャＥＣＵ１０から通常制御モードへの移行指示（Ｓ１８０参照）を受信したか否かを判断する（Ｓ４５０）。そして、当該通常制御モードへの移行指示を受信したと判断すると（Ｓ４５０：ＹＥＳ）、通常制御モードに移行して通常の制御処理を実行する（Ｓ４６０）。
【００７７】
以上に述べたように、本実施例に係るフェイルセーフシステムにおいては、マネージャＥＣＵ１０が、車両の走行に最低限必要なＥＣＵであるエンジンＥＣＵ１、トランスミッションＥＣＵ２、及び走行制御ＥＣＵ３のいずれかの故障を検出すると、予め設定された優先順位に従って、故障していない他のＥＣＵのうち、所定の性能（処理速度及び記憶容量）を選定して基本プログラムをダウンロードする。そして、基本プログラムがダウンロードされたＥＣＵが、故障したＥＣＵの肩代わりをして、対応するアクチュエータを駆動制御する。
【００７８】
このため、車両の走行に最低限必要なＥＣＵが故障した場合でも、車両の走行を継続させることができ、車両を所定の目的地まで移動させることができる。
以上、本発明の実施例について説明したが、本発明の実施の形態は、上記実施例に何ら限定されることなく、本発明の技術的範囲に属する限り種々の形態をとり得ることはいうまでもない。
【００７９】
例えば、上記実施例では、エンジン統合制御システムにおいて制御されるＥＣＵの具体例として、エンジンＥＣＵ１、トランスミッションＥＣＵ２、走行制御ＥＣＵ３、エアコンＥＣＵ４、ナビＥＣＵ５、第１ボデーＥＣＵ６、及び第２ボデーＥＣＵ７を示したが、車両の構成要素を制御する他の様々なＥＣＵについても同様の処理を適用することができる。
【００８０】
また、上記実施例においては、車両の走行に最低限必要なＥＣＵとして、エンジンＥＣＵ１、トランスミッションＥＣＵ２、及び走行制御ＥＣＵ３を設定し、これらの基本機能を実現する基本プログラムをマネージャＥＣＵ１０が保有することとした。しかし、この「車両の走行に最低限必要なＥＣＵ」については、本システムの設計者が適宜設定することができる。また、基本プログラムについても、マネージャＥＣＵ１０の記憶容量等に余裕がある場合には、これら車両の走行に最低限必要なＥＣＵ以外の基本プログラムをも保有するように構成してもよい。
【００８１】
また、上記実施例では、他のＥＣＵへの基本プログラムのダウンロードに際し、そのＥＣＵの既存のプログラムを消去してプログラムを書き換える態様をとったが、当該他のＥＣＵの記憶領域に余裕がある場合には、その空領域に基本プログラムを書き込むように構成してもよい。
【００８２】
さらに、上記実施例では、マネージャＥＣＵ１０が各ＥＣＵの異常検出を行うこととしたが、他のＥＣＵによる相互監視によってこれを行ってもよい。
また、上記実施例においては、図１及び図３に示すように、通信ラインを２本のワイヤで構成した例を示したが、１本のワイヤ、つまりシングルワイヤで構成することもできる。
【００８３】
さらに、上記実施例においては、図１に示したように、各ＥＣＵの性能（処理速度及び記憶容量）としての一例を示したが、これとは異なる性能のＥＣＵを採用してもよいことはもちろんである。
【図面の簡単な説明】
【図１】 実施例のフェイルセーフシステムの構成を表すブロック図である。
【図２】 マネージャＥＣＵが格納する各種情報の例を表す説明図である。
【図３】 フェイルセーフシステムの動作を表す説明図である。
【図４】 フェイルセーフシステムにおける処理を表す説明図である。
【図５】 フェイルセーフシステムにおける処理を表す説明図である。
【図６】 フェイルセーフシステムにおける処理を表す説明図である。
【図７】 従来の車両統合制御システムの構成を表すブロック図である。
【符号の説明】
１・・・エンジンＥＣＵ、 ２・・・トランスミッションＥＣＵ、
３・・・走行制御ＥＣＵ、 ４・・・エアコンＥＣＵ、 ５・・・ナビＥＣＵ、
６・・・第１ボデーＥＣＵ、 ７・・・第２ボデーＥＣＵ、
１０・・・マネージャＥＣＵ、 １１，２１，３１・・・センサ、
１２，２２，３２・・・アクチュエータ、 Ｌ・・・通信ライン

Claims (13)

1. 車両に搭載された複数の構成要素を夫々動作させる複数のアクチュエータと、
   前記複数の構成要素の動作制御に用いる状態量を夫々検出する複数のセンサと、
   該センサが検出した状態量に基づき、予め設定された制御プログラムに従って前記複数のアクチュエータを夫々駆動制御する複数の構成要素制御部と、
   該複数の構成要素制御部のうち、少なくとも前記車両の走行に最低限必要な構成要素制御部の基本機能を実現するための一又は複数の基本プログラムを格納すると共に、該構成要素制御部の動作状態を監視するマネージャ制御部と、
   を備え、前記複数のアクチュエータ及び前記複数のセンサのうち、少なくとも前記車両の走行に最低限必要なアクチュエータ及びセンサと、前記複数の構成要素制御部と、前記マネージャ制御部とが、所定の通信ラインに夫々接続され、相互に通信することにより前記車両を統合的に制御する車両統合制御システムに適用され、
   前記基本プログラムに対応した構成要素制御部のいずれかが故障した場合に、該故障した構成要素制御部の制御対象である構成要素を、前記基本プログラムを用いて動作させるフェイルセーフシステムであって、さらに、
   前記マネージャ制御部が少なくとも前記車両の走行に最低限必要な構成要素制御部の故障を検出すると、前記複数の構成要素制御部の動作を継続させる必要性によって前記複数の構成要素制御部について予め設定された優先順位に従って、故障していない他の構成要素制御部のうち前記故障した構成要素制御部よりも優先順位の低いものに対して、前記基本プログラムをダウンロードするダウンロード手段を備え、
   該基本プログラムをダウンロードした構成要素制御部が、該基本プログラムに従って、前記故障した構成要素制御部に対応したセンサが検出した状態量に基づき、対応するアクチュエータを駆動制御することを特徴とするフェイルセーフシステム。
2. 前記車両の走行に最低限必要な構成要素制御部として、前記構成要素としてのエンジンを制御する電子制御装置が含まれることを特徴とする請求項１に記載のフェイルセーフシステム。
3. 前記車両の走行に最低限必要な構成要素制御部として、前記構成要素としてのエンジンを制御する電子制御装置が含まれ、
   前記エンジンを制御する電子制御装置の前記基本機能として、燃料噴射量及び点火時期を固定した基本噴射／点火機能が設定されたことを特徴とする請求項１に記載のフェイルセーフシステム。
4. 前記車両の走行に最低限必要な構成要素制御部として、前記構成要素としてのトランスミッションを制御する電子制御装置が含まれることを特徴とする請求項１〜３のいずれかに記載のフェイルセーフシステム。
5. 前記車両の走行に最低限必要な構成要素制御部として、前記構成要素としてのトランスミッションを制御する電子制御装置が含まれ、
   前記トランスミッションを制御する電子制御装置の基本機能として、変速段を固定した固定変速機能が設定されたことを特徴とする請求項１又は請求項３に記載のフェイルセーフシステム。
6. 前記車両の走行に最低限必要な構成要素制御部として、前記構成要素としてのブレーキ装置を制御する電子制御装置が含まれることを特徴とする請求項１〜５のいずれかに記載のフェイルセーフシステム。
7. 前記車両の走行に最低限必要な構成要素制御部として、前記構成要素としてのブレーキ装置を制御する電子制御装置が含まれ、
   前記ブレーキ装置を制御する電子制御装置の基本機能として、ブレーキペダルの踏込量に応じたブレーキ制御のみを実行する固定基本ブレーキ機能が設定されたことを特徴とする請求項１、請求項３、又は請求項５のいずれかに記載のフェイルセーフシステム。
8. 前記構成要素制御部の優先順位は、車両の走行に必要なもの、車両の走行性を高めるもの、車両の快適性を高めるもの、それ以外のもの、の順に設定されたことを特徴とする請求項１〜７のいずれかに記載のフェイルセーフシステム。
9. 前記ダウンロード手段は、前記基本プログラムのダウンロード先として、前記基本機能を実現するために必要な処理速度を有し、かつ、前記基本プログラムを格納するために必要な記憶容量を有する構成要素制御部を選定することを特徴とする請求項１〜８のいずれかに記載のフェイルセーフシステム。
10. 前記ダウンロード手段は、前記選定した構成要素制御部のうち、前記優先順位が最も低い構成要素制御部に対して、前記基本プログラムをダウンロードすることを特徴とする請求項９に記載のフェイルセーフシステム。
11. 前記ダウンロード手段は、前記選定した構成要素制御部の記憶領域に既に記憶されたプログラムを消去して、前記基本プログラムを書き込むことを特徴とする請求項９又は請求項１０に記載のフェイルセーフシステム。
12. 前記マネージャ制御部は、前記故障した構成要素制御部を記憶し、
    前記ダウンロード手段は、該マネージャ制御部が該構成要素制御部の故障を検出した後の次のエンジン始動時において、該マネージャ制御部が記憶した構成要素制御部に対応した前記基本プログラムのダウンロードを実行することを特徴とする請求項１〜１１のいずれかに記載のフェイルセーフシステム。
13. 前記ダウンロード先となった構成要素制御部は、前記ダウンロード手段がダウンロードを実行する際に、それまで継続していた処理を中止することを特徴とする請求項１〜１２のいずれかに記載のフェイルセーフシステム。

Images