车辆控制系统的制作方法

1.这里公开的技术涉及一种车辆控制系统。


背景技术：

2.专利文献1中公开了一种车辆控制系统。该车辆控制系统具备：传感器、基于传感器的信号来运算操作量指令值的指令控制器以及基于来自指令控制器的操作量指令值来控制致动器的致动器驱动控制器。传感器、指令控制器、致动器驱动控制器中的至少两个具有检测自身的故障的故障检测部。
3.现有技术文献
4.专利文献
5.专利文献1：日本特开2016-196295号公报
6.发明要解决的技术问题
7.在专利文献1那样的车辆控制系统中，可以认为是通过在指令控制器设置多个控制系统而实现了故障后可运行(fail operational)功能。像这样，通过在指令控制器设置多个控制系统，即使多个控制系统中的一个发生异常，也能够通过剩余的控制系统来维持致动器的控制。
8.但是，在指令控制器与致动器驱动控制器之间的信号路径只有一个的情况下，当在该信号路径发生通信异常(例如通信中断)时，即使在指令控制器中的多个控制系统没有异常的情况下，也不能维持致动器的控制。像这样，难以维持故障后可运行功能。


技术实现要素：

9.这里公开的技术是鉴于上述点而做成的，其目的在于，提高故障后可运行功能的持续性。
10.用于解决技术问题的技术手段
11.这里公开的技术涉及一种对设置于车辆的致动器进行控制的车辆控制系统，该车辆控制系统具备：第一控制部，该第一控制部具有多个运算部和诊断部；以及第二控制部，该第二控制部设置于所述第一控制部与所述致动器之间的信号路径，并具有输出部。所述多个运算部中的每一个向所述输出部供给用于所述致动器的控制的第一控制信号。所述诊断部进行所述多个运算部各自的异常的诊断。所述输出部基于从所述多个运算部中的每一个供给的第一控制信号及所述诊断部对所述多个运算部各自的诊断结果来输出用于所述致动器的控制的第二控制信号。
12.在所述结构中，从第一控制部向第二控制部供给多个第一控制信号，并在第二控制部中基于多个第一控制信号及多个运算部的诊断结果输出第二控制信号。由此，即使多个运算部中的一个发生异常，也能够向第二控制部供给剩余的第一控制信号(没有异常的第一控制信号)，因此能够继续控制致动器。像这样，能够实现故障后可运行功能。
13.另外，通过将多个第一控制信号从第一控制部向第二控制部供给，与将单一的第
一控制信号从第一控制部向第二控制部供给的情况相比，能够强化对第一控制部与第二控制部之间的通信异常(例如通信中断)的抗故障性。即，能够使因第一控制部与第二控制部之间的通信异常而导致不能继续致动器的控制这样的状况难以发生。由此，能够提高故障后可运行功能的持续性。
14.另外，在所述车辆控制系统中，也可以构成为，在所述多个运算部中的每一个没有异常的情况下，所述输出部将从该多个运算部中的每一个供给的第一控制信号中的可靠度最高的第一控制信号作为所述第二控制信号输出。
15.在所述结构中，通过将从多个运算部中的每一个供给的第一控制信号中的可靠度最高的第一控制信号作为第二控制信号输出，能够将致动器的控制的可靠性维持在良好的状态。
16.另外，在所述车辆控制系统中，也可以构成为，在所述多个运算部中的每一个没有异常的情况下，所述输出部将从该多个运算部中的每一个供给的第一控制信号中的传送速度最快的第一控制信号作为所述第二控制信号输出。
17.在所述结构中，通过将从多个运算部中的每一个供给的第一控制信号中的传送速度最快的第一控制信号作为第二控制信号输出，能够将致动器的控制的响应性维持在良好的状态。
18.另外，在所述车辆控制系统中，也可以构成为，在所述多个运算部中的每一个没有异常的情况下，所述输出部将从该多个运算部中的每一个供给的第一控制信号中的与所述车辆的场景对应的第一控制信号作为所述第二控制信号输出。
19.在所述结构中，通过将从多个运算部中的每一个供给的第一控制信号中的与车辆的场景对应的第一控制信号作为第二控制信号输出，能够对应于车辆的场景适当地进行致动器的控制。
20.发明的效果
21.根据这里公开的技术，能够提高故障后可运行功能的持续性。
附图说明
22.图1是例示实施方式的车辆控制系统的结构的框图。
23.图2是例示车辆控制系统中的信号路径的示意图。
24.图3是例示车辆控制系统的主要部分的框图。
25.图4是例示车辆控制系统的比较例的主要部分的框图。
26.图5是例示实施方式的变形例的车辆控制系统的主要部分的框图。
27.图6是例示控制部的具体结构的图。
具体实施方式
28.以下，参照附图，对实施方式进行详细说明。此外，对图中相同或相当的部分标注相同的符号并省略其说明。
29.(实施方式)
30.图1和图2例示了车辆控制系统10的结构。该车辆控制系统10设置于车辆11(具体的而言，四轮汽车)。该车辆11能够切换为手动驾驶、辅助驾驶及自动驾驶。手动驾驶是根据
驾驶者的操作(例如加速器的操作等)而进行行驶的驾驶。辅助驾驶是支援驾驶者的操作而进行行驶的驾驶。自动驾驶是没有驾驶者的操作而进行行驶的驾驶。车辆控制系统10在自动驾驶和辅助驾驶中，通过控制设置于车辆11的多个致动器100来控制车辆11的动作。
31.此外，在该车辆11中，在驱动控制、制动控制、转向控制中，采用进行电控制的线控方式。具体而言，通过后述的各种传感器检测加速踏板的操作、制动踏板的操作、方向盘的操作，并通过基于各种传感器的输出而生成的控制信号来控制致动器100(与驱动控制、制动控制、转向控制关联的致动器100)，从而进行驱动控制、制动控制、转向控制。
32.〔致动器〕
33.多个致动器100使设置于车辆11的多个车载设备(省略图示)分别工作。该多个致动器100除了包含使与车辆11的基本动作(例如驱动、制动、转向等)关联的车载设备工作的致动器100，还包含使不与车辆11的基本动作关联的车载设备(即车身系设备)工作的致动器100。作为车载设备的例，能够列举出发动机、变速器、电动制动器、电动动力转向器、刹车灯、前照灯、电动后视镜、声响装置等。在图1和图2的例中，作为致动器100的例，图示了电动动力转向器装置的致动器101、电动制动器的致动器102、103、111、112、刹车灯的致动器104、113、前照灯的致动器105、114、电动后视镜的致动器107、115。
34.〔车辆控制系统的结构〕
35.车辆控制系统10具备：多个传感器200、通信部210、运算装置15。
36.〔传感器〕
37.多个传感器200各自对用于多个致动器100的控制的各种信息进行检测。在图1的例中，作为传感器200的例，例示了多个照相机201、多个雷达202、位置传感器203、车辆状态传感器204、乘员状态传感器205、转向角传感器206、制动传感器207、加速传感器208。
38.〈照相机(摄像部)〉
39.多个照相机201具有彼此相同的结构。照相机201通过拍摄车辆11的外部环境来获取表示车辆11的外部环境的图像数据。通过照相机201得到的图像数据发送至运算装置15(具体而言，后述的中央控制部300，以下相同)。此外，照相机201是拍摄车辆11的外部环境的摄像部的一例。
40.在该例中，照相机201是具有广角镜头的单眼照相机，多个照相机201以多个照相机201对车辆11的外部环境的摄像范围遍及车辆11的周围的整周的方式配置于车辆11。例如，照相机201使用ccd(charge coupled device，电荷耦合器件)、cmos(complementary metal-oxide-semiconductor，互补金属氧化物半导体)等固体摄像元件而构成。此外，照相机201可以是具有通常的镜头(例如窄角镜头)的单眼照相机，也可以是立体照相机。
41.〈雷达(检测部)〉
42.多个雷达202具有彼此相同的结构。雷达202对车辆11的外部环境进行检测。具体而言，雷达202通过朝向车辆11的外部环境发送电磁波并接收来自车辆11的外部环境的反射波而对车辆11的外部环境进行检测。雷达202的检测结果发送至运算装置15。此外，雷达202是对车辆11的外部环境进行检测的检测部的一例。检测部通过朝向车辆11的外部环境发送探测波并接收来自车辆11的外部环境的反射波而对车辆11的外部环境进行检测。
43.在该例中，多个雷达202以多个雷达202对车辆11的外部环境的检测范围遍及车辆11的周围的整周的方式配置于车辆11。例如，雷达202可以是发送毫米波的毫米波雷达，可
以是发送激光的激光雷达(light detection and ranging)，可以是发送红外线的红外线雷达，也可以是发送超声波的超声波传感器。
44.〈位置传感器〉
45.位置传感器203对车辆11的位置(例如经度和纬度)进行检测。例如，位置传感器203接收来自全球定位系统的gps信息，并基于gps信息对车辆11的位置进行检测。由位置传感器203检测到的车辆11的位置发送至运算装置15。
46.〈车辆状态传感器〉
47.车辆状态传感器204对车辆11的状态(例如速度、加速度、横摆角速度等)进行检测。例如，车辆状态传感器204包含对车辆11的速度进行检测的车速传感器、对车辆11的加速度进行检测的加速度传感器、对车辆11的横摆角速度进行检测的横摆角速度传感器等。由车辆状态传感器204检测到的车辆11的状态发送至运算装置15。
48.〈乘员状态传感器〉
49.乘员状态传感器205对搭乘车辆11的乘员的状态(例如驾驶者的健康状态、感情、身体行动等)进行检测。例如，乘员状态传感器205包含对乘员进行拍摄的车内照相机、对乘员的生物信息进行检测的生物信息传感器等。由乘员状态传感器205检测到的乘员的状态发送至运算装置15。
50.〈驾驶操作传感器〉
51.转向角传感器206、制动传感器207及加速传感器208是对施加于车辆11的驾驶操作进行检测的驾驶操作传感器的一例。转向角传感器206对车辆11的方向盘的转向角进行检测。制动传感器207对车辆11的制动器的操作量进行检测。加速传感器208对车辆11的加速器的操作量进行检测。由驾驶操作传感器检测到的驾驶操作发送至运算装置15。
52.〔通信部〕
53.通信部210在与设置于车辆11的外部的外部装置之间进行通信。例如，通信部210接收来自位于车辆11的周围的其他车辆(省略图示)的通信信息、来自导航系统(省略图示)的交通信息等。由通信部210接收到的信息发送至运算装置15。
54.〔运算装置〕
55.运算装置15基于设置于车辆11的多个传感器200的输出和从车外发送的信息等对多个致动器100的动作进行控制。例如，运算装置15决定作为车辆11应当行驶的路径的目标路径，决定作为为了在目标路径行驶所需的车辆11的运动的目标运动，并控制多个致动器100的动作，以使车辆11的运动成为目标运动。
56.具体而言，运算装置15具备中央控制部300和多个区域控制部400。在该例中，运算装置15具备一个中央控制部300、两个区域控制部401、402及九个区域控制部501～505、511～514。另外，中央控制部300和多个区域控制部400分别由电子控制单元(ecu)构成，该电子控制单元具有一个或多个处理器、存储用于使一个或多个处理器动作的程序、数据的一个或多个存储器等。
57.〈中央控制部和区域控制部的连接〉
58.在图1和图2的例中，在中央控制部300连接有两个区域控制部401、402。如图2所示，区域控制部401配置于车辆11的右侧的中央部，区域控制部402配置于车辆11的左侧的中央部。在区域控制部401连接有五个区域控制部501～505和电动后视镜的致动器107。在
五个区域控制部501～505分别连接有五个致动器101～105。在区域控制部402连接有四个区域控制部511～514和电动后视镜的致动器115。在四个区域控制部511～514分别连接有四个致动器111～114。
59.另外，在图1和图2的例中，将中央控制部300与区域控制部400连接的信号线和将两个区域控制部400连接的信号线是ethernet(注册商标)的通信线缆，将中央控制部300与致动器100连接的信号线和将区域控制部400与致动器100连接的信号线是can(controller area network，控制器局域网络)的通信线缆。另外，区域控制部501～505、511～514分别具有进行ethernet(注册商标)与can之间的协议转换的功能。
60.〈中央控制部(第一控制部)〉
61.中央控制部300接收设置于车辆11的多个传感器200的输出和从车外发送的信息，并生成用于多个致动器100的控制的多个控制信号。并且，中央控制部300输出多个控制信号。中央控制部300是第一控制部的一例。
62.例如，在辅助驾驶中，中央控制部300基于照相机201和雷达202的输出来识别车辆11的外部环境，并基于该识别到的车辆11的外部环境生成一个或多个候补路径。候补路径是车辆11能够行驶的路径，是目标路径的候补。
63.另外，中央控制部300基于车辆状态传感器204的输出来识别车辆11的行动(例如速度、加速度、横摆角速度等)。例如，中央控制部300使用通过深度学习生成的学习模型来从车辆状态传感器204的输出识别车辆11的行动。
64.另外，中央控制部300基于乘员状态传感器205的输出来识别乘员的行动(例如驾驶者的健康状态、感情、身体行动等)。例如，中央控制部300使用通过深度学习生成的学习模型来从乘员状态传感器205的输出识别乘员(尤其是驾驶者)的行动。
65.另外，中央控制部300基于转向角传感器206、制动传感器207及加速传感器208各自的输出来识别施加于车辆11的驾驶操作。
66.接着，中央控制部300基于上述识别到的车辆11的行动、乘员的行动及施加于车辆11的驾驶操作，从上述生成的一个或多个候补路径之中选择成为目标路径的候补路径。例如，中央控制部300选择多个候补路径中的驾驶者感到最舒适的候补路径。并且，中央控制部300基于作为目标路径而选择的候补路径来决定目标运动。
67.接着，中央控制部300基于上述决定出的目标运动来生成用于达成目标运动的控制信号。例如，中央控制部300分别导出作为用于达成目标运动的驱动力、制动力及转向量的目标驱动力、目标制动力及目标转向量。然后，中央控制部300生成表示目标驱动力的驱动控制信号、表示目标制动力的制动控制信号、表示目标转向量的转向控制信号。然后，中央控制部300输出控制信号。
68.〈区域控制部(第二控制部)〉
69.多个区域控制部400分别设置于车辆11的规定的区域。另外，多个区域控制部400中的每一个设置于中央控制部300与多个致动器100中的每一个之间的信号路径。具体而言，在中央控制部300与一个致动器100之间的信号路径设置有一个以上的区域控制部400。例如，在图1和图2的例中，在中央控制部300与电动动力转向器的致动器101之间的信号路径设置有两个区域控制部401、501。并且，多个区域控制部400分别进行信号的中转。通过这样的结构，从中央控制部300输出的控制信号经由一个以上的区域控制部400向致动器100
供给，从而致动器100的动作被控制。
70.例如，设置于中央控制部300与发动机及变速器的致动器(省略图示)之间的信号路径的区域控制部400(省略图示)将从中央控制部300输出的驱动控制信号中转至发动机及变速器的致动器。发动机及变速器的致动器基于驱动控制信号所示的目标驱动力使发动机及变速器工作。由此，被控制为车辆11的驱动力成为目标驱动力。
71.另外，设置于中央控制部300与电动制动器的致动器102之间的信号路径的区域控制部401、502将从中央控制部300输出的制动控制信号中转至致动器102。致动器102基于制动控制信号所示的目标制动力使电动制动器工作。由此，被控制为电动制动器的制动力成为目标制动力。
72.另外，设置于中央控制部300与电动动力转向器的致动器101之间的信号路径的区域控制部401、501将从中央控制部300输出的转向控制信号中转至致动器101。致动器101基于转向控制信号所示的目标转向量使电动动力转向器工作。由此，被控制为车辆11的转向量成为目标转向量。
73.〔中央控制部和区域控制部的详细〕
74.接着，参照图3，对中央控制部300和区域控制部400的详细进行说明。以下，举出中央控制部300与一个区域控制部400的组合为例进行说明。
75.〈信号线〉
76.如图3所示，车辆控制系统10具备将中央控制部300(第一控制部)与区域控制部400(第二控制部)连接的多个信号线600。在该例中，车辆控制系统10的运算装置15具备两个信号线600。另外，在该例中，信号线600是ethernet(注册商标)的通信线缆。
77.〈中央控制部(第一控制部)〉
78.中央控制部300通过多个信号线600向区域控制部400供给多个第一控制信号。另外，中央控制部300进行多个第一控制信号的每一个中的异常的诊断(在该例中，诊断是否有异常)。在该例中，中央控制部300通过两个信号线600输出两个第一控制信号。另外，在该例中，中央控制部300对多个第一控制信号各自的诊断结果通过多个信号线600向区域控制部400发送。
79.多个第一控制信号分别是用于控制致动器100的信号。具体而言，多个第一控制信号分别表示致动器100的目标输出(例如目标控制量)。作为目标输出的具体例，能够列举出目标驱动力、目标制动力、目标转向量等。另外，多个第一控制信号各自所示的目标输出彼此是相同种类，但用于导出该目标输出的信息(由传感器200检测到的信息等)和目标输出的导出处理的内容(计算式等)中的至少一个彼此不同。例如，两个第一控制信号中的一个第一控制信号表示基于由转向角传感器206检测到的车辆11的方向盘的转向角而导出的目标转向量，另一个第一控制信号表示基于由解析器(省略图示)检测到的电动动力转向器的电动机(省略图示)的旋转角而导出的目标转向量。
80.如图3所示，中央控制部300具有多个运算部30和诊断部40。在该例中，中央控制部300具有两个运算部30(具体而言，第一运算部31和第二运算部32)。
81.《运算部》
82.多个运算部30分别将第一控制信号向区域控制部400(具体而言，后述的输出部50)供给。具体而言，多个运算部30分别基于由传感器200检测到的信息等来求出致动器100
的目标输出，并输出表示该求出的致动器100的目标输出的第一控制信号。
83.在多个运算部30的每一个求出的目标输出彼此是相同种类，但用于在该运算部30中导出目标输出的信息(由传感器200检测到的信息等)和运算部30中的目标输出的导出处理的内容(计算式等)中的至少一个彼此不同。例如，第一运算部31基于由转向角传感器206检测到的信息来求出目标转向量，第二运算部32基于由解析器(省略图示)检测到的信息来求出目标转向量。
84.此外，在中央控制部300中，多个运算部30的输出端分别与多个信号线600的一端电连接。具体而言，在该例中，中央控制部300具有分别与两个运算部30对应的两个连接器30a。两个运算部30的输出端通过两个内部配线30b分别与两个连接器30a电连接。在两个连接器30a分别连接有两个信号线600的一端。例如，多个运算部30分别由进行预先设定的运算的运算核心(处理器)构成。
85.《诊断部》
86.诊断部40进行多个运算部30的每一个中的异常的诊断(在该例中，诊断是否有异常)。例如，诊断部40通过bist(built-in self test，内建自测)来诊断运算部30是否有异常。此外，诊断部40也可以使用其他公知的诊断技术来诊断运算部30的异常。
87.在该例中，诊断部40由与两个运算部30分别对应的两个诊断部(第一诊断部41和第二诊断部42)构成。第一诊断部41进行第一运算部31的异常的诊断。第二诊断部42进行第二运算部32的异常的诊断。例如，第一诊断部41和第二诊断部42分别由进行预先设定的运算的运算核心(处理器)构成。另外，在该例中，诊断部40对多个运算部30的诊断结果通过多个信号线600向区域控制部400发送。
88.〈区域控制部(第二控制部)〉
89.区域控制部400设置于中央控制部300与致动器100之间的信号路径。并且，区域控制部400基于从中央控制部300通过多个信号线600而供给的多个第一控制信号和中央控制部300对多个第一控制信号各自的诊断结果来输出第二控制信号。
90.第二控制信号是用于致动器100的控制的信号。具体而言，第二控制信号是表示致动器100的目标输出(例如目标控制量)的信号。此外，在该例中，第二控制信号所示的目标输出与多个第一控制部的每一个所示的目标输出是相同种类。例如，在多个第一控制部的每一个所示的目标输出是目标转向量的情况下，第二控制信号所示的目标输出也是目标转向量。
91.例如，在多个第一控制信号的每一个没有异常的情况下，区域控制部400从多个第一控制信号之中选择预先设定的第一控制信号，并将该选择出的第一控制信号作为第二控制信号输出。在多个第一控制信号中的一个以上的第一控制信号没有异常，但剩余的第一控制信号存在异常的情况下，区域控制部400从没有异常的一个以上的第一控制信号之中选择预先设定的第一控制信号，并将该选择出的第一控制信号作为第二控制信号输出。在多个第一控制信号的每一个存在异常的情况下，区域控制部400将预先设定的固定信号(固定值)作为第二控制信号输出。
92.在该例中，区域控制部400基于从中央控制部300通过两个信号线600而供给的两个第一控制信号和中央控制部300对两个第一控制信号各自的诊断结果来输出一个第二控制信号。
93.如图3所示，区域控制部400具有输出部50。在该例中，区域控制部400除了输出部50之外，还具有输入输出控制部61、诊断部62及输出部63。
94.《输出部》
95.输出部50基于从多个运算部30的每一个供给的第一控制信号和诊断部40对多个运算部30各自的诊断结果来输出第二控制信号。
96.例如，在多个运算部30的每一个没有异常的情况下，输出部50从多个第一控制信号之中选择预先设定的第一控制信号，并将该选择出的第一控制信号作为第二控制信号输出。在多个运算部30中的一个以上的运算部30没有异常但剩余的运算部30存在异常的情况下，输出部50在从多个运算部30中的没有异常的一个以上的运算部30供给的第一控制信号之中选择预先设定的第一控制信号，并将该选择出的第一控制信号作为第二控制信号输出。在多个运算部30中的每一个存在异常的情况下，输出部50将预先设定的固定信号(固定值)作为第二控制信号输出。
97.此外，在区域控制部400中，输出部50的多个输入端与多个信号线600的另一端分别电连接。具体而言，在该例中，区域控制部400具有与输出部50的两个输入端分别对应的两个连接器40a。输出部50的两个输入端通过两个内部配线40b与两个连接器40a分别电连接。在两个连接器40a分别连接有两个信号线600的另一端。例如，输出部50由进行预先设定的运算的运算核心(处理器)构成。
98.在该例中，通过设置于中央控制部300的两个运算部30(第一运算部31和第二运算部32)及诊断部40和设置于区域控制部400的输出部50构成了1oo2d(1 out of 2 channel with diagnostics)的安全架构70。该安全架构70是故障后可运行型(控制持续型)。
99.《输入输出控制部、诊断部及输出部》
100.输入输出控制部61对从输出部50输出的第二控制信号进行预先设定的输入输出处理(例如协议转换等)。然后，输入输出控制部61向输出部50供给实施了输入输出处理的第二控制信号。诊断部62进行对输入输出控制部61中的异常的诊断。输出部63基于诊断部62对输入输出控制部61的诊断结果而切换为输出从输入输出控制部61供给的第二控制信号的第一状态和输出预先设定的输出信号(固定值)的第二状态。具体而言，在输入输出控制部61没有异常的情况下，输出部63被设定为第一状态，在输入输出控制部61存在异常的情况下，输出部63被设定为第二状态。例如，输入输出控制部61、诊断部62及输出部63分别由进行预先设定的运算的运算核心(处理器)构成。
101.在该例中，通过输入输出控制部61、诊断部62及输出部63构成了1oo1d(1 out of 1 channel with diagnostics)的安全架构80。该安全架构80是故障安全型(控制停止型)。
102.〔比较例〕
103.图4例示了车辆控制系统10的比较例的主要部分。以下，将车辆控制系统10的比较例记载为“车辆控制系统90”。此外，以下，为了方便，在车辆控制系统90的构成部件的说明中，使用与车辆控制系统10的构成部件相同的符号。
104.如图4所示，在车辆控制系统90中，多个运算部30、诊断部40及输出部50设置于中央控制部300。并且，中央控制部300和区域控制部400通过单一的信号线600连接。具体而言，在中央控制部300中，输出部50的输出端通过内部配线30b与连接器30a电连接。信号线600的一端与连接器30a连接。在区域控制部400中，输入输出控制部61的输入端通过内部配
线40b与连接器40a电连接。信号线600的另一端与连接器40a连接。
105.在图4所示的车辆控制系统90中，中央控制部300与区域控制部400之间的信号路径只有一个，因此当在该信号路径发生通信异常(例如通信中断)时，即使在中央控制部300中的多个控制系统(具体而言，从运算部30供给的第一控制信号)没有异常的情况下，也不能继续控制致动器100。这样，在车辆控制系统90中，难以使故障后可运行功能持续。
106.〔实施方式的效果〕
107.在该实施方式的车辆控制系统10中，从中央控制部300(第一控制部)通过多个信号线600向区域控制部400(第二控制部)供给多个第一控制信号，在区域控制部400中基于多个第一控制信号和多个第一控制信号的诊断结果(具体而言，多个运算部30的诊断结果)来输出第二控制信号。由此，即使多个第一控制信号中的一个(具体而言，多个运算部30中的一个)发生异常，也能够向区域控制部400供给剩余的第一控制信号(没有异常的第一控制信号)，因此能够继续控制致动器100。这样，能够实现故障后可运行功能。
108.另外，在该实施方式的车辆控制系统10中，通过多个信号线600从中央控制部300向区域控制部400供给多个第一控制信号，与通过单一的信号线从中央控制部300向区域控制部400供给单一的第一控制信号的情况相比，能够强化对中央控制部300与区域控制部400之间的通信异常(例如通信中断)的抗故障性。即，能够使因中央控制部300与区域控制部400之间的通信异常而导致不能继续致动器100的控制这样的状况难以发生。由此，能够提高故障后可运行功能的持续性。
109.(实施方式的变形例)
110.如图5所示，中央控制部300也可以构成为输出三个第一控制信号。在图5的例中，在车辆控制系统10设置有将中央控制部300与区域控制部400连接的三个信号线600。
111.在图5的例中，中央控制部300具有三个运算部30(具体而言，第一运算部31、第二运算部32及第三运算部33)。诊断部40由与三个运算部30分别对应的三个诊断部(具体而言，第一诊断部41、第二诊断部42及第三诊断部43)构成。
112.另外，在图5的例中，区域控制部400(具体而言，输出部50)基于从中央控制部300通过三个信号线600供给的三个第一控制信号和中央控制部300(具体而言，诊断部40)对三个第一控制信号(具体而言，运算部30)各自的诊断结果来输出一个第二控制信号。
113.此外，在图5的例中，通过设置于中央控制部300的三个运算部30(第一运算部31、第二运算部32及第三运算部33)及诊断部40和设置于区域控制部400的输出部50构成了1oo3d(1 out of 3 channel with diagnostics)的安全架构70。
114.另外，中央控制部300也可以构成为输出四个以上的第一控制信号。在该情况下，也可以是，中央控制部300具有四个以上的运算部30，诊断部40由四个以上的诊断部构成。另外，在车辆控制系统10设置有将中央控制部300与区域控制部400连接的四个以上的信号线600，区域控制部400(输出部50)基于从中央控制部300通过四个以上的信号线600供给的四个以上的第一控制信号和中央控制部300对四个以上的第一控制信号各自的诊断结果来输出一个第二控制信号。
115.另外，在中央控制部300构成为输出m个(m为2以上的整数)第一控制信号的情况下，区域控制部400(输出部50)也可以构成为，在m个第一控制信号中的每一个没有异常的情况下输出n个(n为小于m的整数)第二控制信号。例如，以通过设置于中央控制部300的m个
运算部30和诊断部40及设置于区域控制部400的输出部50构成moond(m out of n channel with diagnostics)的安全架构70。
116.(信号线的变形例1)
117.此外，将中央控制部300(第一控制部)与区域控制部400(第二控制部)连接的多个信号线600中的至少两个信号线600优选具有彼此不同种类的耐性。
118.像以上那样，通过使多个信号线600中的至少两个信号线600具有彼此不同种类的耐性，与多个信号线600全部具有相同的耐性的情况相比，能够强化对中央控制部300与区域控制部400之间的通信异常的抗故障性。由此，能够提高故障后可运行功能的持续性。
119.例如，在多个信号线600包含具有对振动、碰撞等机械性的外力的耐性(机械性耐性)的信号线600但是不包含具有对噪声等电气性外力的耐性(电气性耐性)的信号线600的情况下，可能因电气性外力导致多个信号线600全部发生通信异常。另一方面，在多个信号线600不仅包含具有机械性耐性的信号线600还包含具有电气性耐性的信号线600的情况下，能够使因电气性外力导致多个信号线600全部发生通信异常这样的状况难以发生。
120.(信号线的变形例2)
121.另外，将中央控制部300(第一控制部)与区域控制部400(第二控制部)连接的多个信号线600中的至少两个信号线600优选彼此种类不同。作为该信号线600的种类的例，能够列举出信号线600的直径、构成信号线600的材料、信号线600的结构等。
122.如以上那样，通过使多个信号线600中的至少两个信号线600的种类彼此不同，能够使这两个信号线600具有彼此不同的种类的耐性。由此，与多个信号线600全部具有相同的耐性的情况相比，能够强化对中央控制部300与区域控制部400之间的通信异常的抗故障性，因此能够提高故障后可运行功能的持续性。
123.例如，通过使一方的信号线600的直径大于另一方的信号线600的直径，能够使一方的信号线600的机械性耐性强于另一方的信号线600的机械性耐性。另外，通过使构成一方的信号线600的材料的强度高于构成另一方的信号线600的材料的强度，能够使一方的信号线600的机械性耐性强于另一方的信号线600的机械性耐性。另外，通过将一方的信号线600的结构设为具有多层绝缘覆膜的结构，并将另一方的信号线600的结构设为具有单层的绝缘覆膜的结构，能够使一方的信号线600的电气性耐性强于另一方的信号线600的电气性耐性。
124.(信号线的变形例3)
125.另外，将中央控制部300(第一控制部)与区域控制部400(第二控制部)连接的多个信号线600中的至少两个信号线600优选彼此分离。
126.像以上那样，通过使多个信号线600中的至少两个信号线600彼此分离，能够减少因外力(尤其是机械性外力)导致多个信号线600全部发生通信异常(尤其是因断线导致通信中断)的风险。由此，能够提高故障后可运行功能的持续性。
127.例如，可以是，一个信号线600从中央控制部300经由车辆11的右侧到达区域控制部400，并且另一个信号线600从中央控制部300经由车辆11的左侧到达区域控制部400。
128.(输出部的变形例1)
129.此外，输出部50(区域控制部400)也可以构成为，在多个运算部30(第一控制信号)中的每一个都没有异常的情况下，将从多个运算部30中的每一个供给的第一控制信号(即
多个第一控制信号)中的可靠度最高的第一控制信号作为第二控制信号输出。例如，区域控制部400存储表示多个第一控制信号各自的可靠度的可靠度信息(信息表)。具体而言，在区域控制部400设置有存储可靠度信息的存储部(省略图示)。并且，输出部50(区域控制部400)参照存储于存储部的可靠度信息从多个第一控制信号之中选出可靠度最高的第一控制信号，并将该被选出的第一控制信号作为第二控制信号输出。
130.像以上那样，通过将从多个运算部30中的每一个供给的第一控制信号中的可靠度最高的第一控制信号作为第二控制信号输出，能够将致动器100的控制的可靠性维持在良好的状态。
131.此外，输出部50(区域控制部400)也可以构成为，在两个以上的运算部30(第一控制信号)没有异常的情况下，将从该两个以上的运算部30中的每一个供给的第一控制信号(合计两个以上的第一控制信号)中的可靠度最高的第一控制信号作为第二控制信号输出。
132.另外，输出部50(区域控制部400)也可以构成为，对没有异常的两个以上的第一控制信号中的每一个所示的目标输出附加与该第一控制信号的可靠度对应的权重，并进行目标输出的加权平均。此外，随着第一控制信号的可靠度变大，附加于该第一控制信号的权重就变大。并且，输出部50(区域控制部400)可以构成为，将该加权平均的结果作为第二控制信号输出。
133.(输出部的变形例2)
134.另外，输出部50(区域控制部400)也可以构成为，在多个运算部30(第一控制信号)中的每一个没有异常的情况下，将从多个运算部30中的每一个供给的第一控制信号(即多个第一控制信号)中的传送速度最快的第一控制信号作为第二控制信号输出。例如，区域控制部400存储表示多个第一控制信号各自的传送速度的传送速度信息(信息表)。具体而言，在区域控制部400设置有存储传送速度信息的存储部(省略图示)。并且，输出部50(区域控制部400)参照存储于存储部的传送速度信息，从多个第一控制信号之中选出传送速度最快的第一控制信号，并将该被选出的第一控制信号作为第二控制信号输出。
135.像以上那样，通过将从多个运算部30中的每一个供给的第一控制信号中的传送速度最快的第一控制信号作为第二控制信号输出，能够将致动器100的控制的响应性维持在良好的状态。
136.此外，输出部50(区域控制部400)也可以构成为，在两个以上的运算部30(第一控制信号)没有异常的情况下，将从该两个以上的运算部30中的每一个供给的第一控制信号(合计两个以上的第一控制信号)中的传送速度最快的第一控制信号作为第二控制信号输出。
137.另外，输出部50(区域控制部400)也可以构成为，对没有异常的两个以上的第一控制信号中的每一个所示的目标输出附加与该第一控制信号的传送速度对应的权重，并进行目标输出的加权平均。此外，随着第一控制信号的传送速度变快，对该第一控制信号附加的权重就变大。并且，输出部50(区域控制部400)也可以构成为，将该加权平均的结果作为第二控制信号输出。
138.(输出部的变形例3)
139.另外，输出部50(区域控制部400)也可以构成为，在多个运算部30(第一控制信号)中的每一个没有异常的情况下，将从多个运算部30中的每一个供给的第一控制信号(即多
个第一控制信号)中的与车辆11的场景对应的第一控制信号作为第二控制信号输出。例如，区域控制部400存储在车辆11的各场景中应当选出的表示第一控制信号的场景信息(信息表)。具体而言，在区域控制部400设置有存储场景信息的存储部(省略图示)。并且，输出部50(区域控制部400)参照存储于存储部的场景信息，从多个第一控制信号之中选出与车辆11的场景对应的第一控制信号，并将该选出的第一控制信号作为第二控制信号输出。
140.此外，作为车辆11的场景的具体例，能够列举出车辆11在白天行驶的场景、车辆11在夜间行驶的场景、车辆11以低速行驶的场景、车辆11以高速行驶的场景、车辆11追随前方的其他车辆的场景、车辆进行入库的场景、这些场景的组合等。这些场景能够从由传感器200检测到的信息、根据由传感器200检测到的信息识别的车辆11的外部环境等进行推定。
141.像以上那样，通过将从多个运算部30中的每一个供给的第一控制信号中的与车辆11的场景对应的第一控制信号作为第二控制信号输出，能够对应于车辆11的场景适当地进行致动器100的控制。
142.(控制部的具体的结构)
143.图6例示了上述中央控制部300和区域控制部400的具体的结构。中央控制部300由电子控制单元(ecu)构成。电子控制单元具有一个或多个芯片a。芯片a具有一个或多个核心b。核心b具有处理器p和存储器m。即，中央控制部300具有一个或多个处理器p和一个或多个存储器m。存储器m存储用于使处理器动作的程序和信息。具体而言，存储器m存储作为能够由处理器p执行的软件的模块和表示在处理器p的处理中使用的模型的数据等。上述的中央控制部300的各部分的功能通过处理器p执行存储于存储器m的各模块而实现。区域控制部400的结构与中央控制部300的结构相同。
144.(其他实施方式)
145.在以上的说明中，例举了中央控制部300(具体而言，诊断部40)对多个第一控制信号(具体而言，运算部30)中的每一个是否存在异常进行诊断的情况，但不限于此。例如，中央控制部300(诊断部40)也可以构成为对多个第一控制信号(运算部30)各自的可靠度(异常级别的一例)进行诊断。在该情况下，区域控制部400(具体而言，输出部50)可以构成为，将多个第一控制信号(具体而言，运算部30)中的由诊断部40诊断出的可靠度低于预先设定的正常可靠度的第一控制信号(运算部30)作为“存在异常的第一控制信号(运算部30)”，并将由诊断部40诊断出的可靠度没有低于正常可靠度的第一控制信号(运算部30)作为“没有异常的第一控制信号(运算部30)”。
146.另外，也可以将以上的实施方式适当组合而实施。以上的实施方式本质上是优选的例示，并不意在限制本发明、其应用物、或其用途的范围。
147.产业上的利用可能性
148.如以上说明的那样，此处公开的技术作为车辆控制系统是有用的。
149.符号说明
150.10
ꢀꢀꢀꢀꢀꢀꢀꢀꢀ
车辆控制系统
151.11
ꢀꢀꢀꢀꢀꢀꢀꢀꢀ
车辆
152.15
ꢀꢀꢀꢀꢀꢀꢀꢀꢀ
运算装置
153.100
ꢀꢀꢀꢀꢀꢀꢀꢀ
致动器
154.200
ꢀꢀꢀꢀꢀꢀꢀꢀ
传感器
155.300
ꢀꢀꢀꢀꢀꢀꢀꢀ
中央控制部(第一控制部)
156.400
ꢀꢀꢀꢀꢀꢀꢀꢀ
区域控制部(第二控制部)
157.30
ꢀꢀꢀꢀꢀꢀꢀꢀꢀ
运算部
158.31
ꢀꢀꢀꢀꢀꢀꢀꢀꢀ
第一运算部
159.32
ꢀꢀꢀꢀꢀꢀꢀꢀꢀ
第二运算部
160.33
ꢀꢀꢀꢀꢀꢀꢀꢀꢀ
第三运算部
161.40
ꢀꢀꢀꢀꢀꢀꢀꢀꢀ
诊断部
162.41
ꢀꢀꢀꢀꢀꢀꢀꢀꢀ
第一诊断部
163.42
ꢀꢀꢀꢀꢀꢀꢀꢀꢀ
第二诊断部
164.43
ꢀꢀꢀꢀꢀꢀꢀꢀꢀ
第三诊断部
165.50
ꢀꢀꢀꢀꢀꢀꢀꢀꢀ
输出部
166.61
ꢀꢀꢀꢀꢀꢀꢀꢀꢀ
输入输出控制部
167.62
ꢀꢀꢀꢀꢀꢀꢀꢀꢀ
诊断部
168.63
ꢀꢀꢀꢀꢀꢀꢀꢀꢀ
输出部
169.70
ꢀꢀꢀꢀꢀꢀꢀꢀꢀ
安全架构
170.80
ꢀꢀꢀꢀꢀꢀꢀꢀꢀ
安全架构。