车辆控制装置及车辆控制系统的制作方法

本发明涉及自动驾驶系统的车辆控制装置及车辆控制系统。

背景技术：

为了实现高度的自动驾驶系统，在作为控制自动驾驶的上位控制装置的ecu(electroniccontrolunit)中，即使在例如进行用于自动驾驶控制的运算的运算处理装置(微机)发生了故障时，也要求在将驾驶操作交给驾驶员之前的一定期间内继续动作。

为了实现上述的一定期间的动作继续，考虑控制系统的多重化和使用动作监视的冗余化。

在专利文献1中公开了一种控制装置，其在使用主系统微机和子系统微机而冗余化的控制装置中，对主系统所具备的多个模块进行诊断，在诊断出的异常为重度的情况下，使主系统微机的全部模块停止，使子系统微机动作。

现有技术文献

专利文献

专利文献1：日本专利特开2016-76049号公报

技术实现要素：

发明要解决的问题

自动驾驶系统例如由车辆控制装置和多个执行器控制装置构成，该车辆控制装置输出控制指令，该多个执行器控制装置根据来自车辆控制装置的控制指令分别实施发动机控制、制动控制、动力转向控制等。

在此，在自动驾驶系统中，从功能安全的角度出发，希望诸如监视微机内的程序失控的监视定时器等，通过诊断电路来监视微机的动作，检测微机的异常而实施故障处理，但在对微机的异常一律实施使微机停止(复位)等处理的情况下，自动驾驶系统的功能会停止。

但是，如果自动驾驶系统的功能突然停止，则车辆搭乘者需要接过车辆的驾驶，但由于会产生到车辆搭乘者接过驾驶为止的时间，因此需要由车辆系统进行的控制插补，因此要求用于此的技术。

作为解决上述问题的技术手段，如专利文献1所记载的那样，设成使用了主系统微机和子系统微机的冗余结构，考虑在检测出主系统微机的异常时，使主系统微机停止，使子系统微机动作的控制。

但是，在主系统微机与子系统微机的控制指令值存在差异的情况下，在控制转移时产生的控制间隙会成为问题。例如，在主系统微机发生暂时的异常，控制移动到子系统微机后，主系统微机从异常恢复的情况下，控制按照主系统微机→子系统微机→主系统微机的顺序移动，在多次的控制转移每次进行时有可能产生控制间隙。

若产生控制间隙，则会产生无缝的自动驾驶控制变得困难的问题。

本发明是鉴于上述问题而完成的，其目的在于，实现一种车辆控制装置及车辆控制系统，即使在车辆控制装置中的运算处理部发生了动作异常的情况下，也能够进行无缝的自动驾驶控制，能够提高安全性。

用于解决问题的技术手段

为了实现上述目的，本发明构成如下。

在车辆控制装置中，具备：第一控制指令生成部，其生成发送至车辆的执行器控制部的执行器控制指令；第二控制指令生成部，其生成发送至所述执行器控制部的执行器控制指令；以及通信电路，其用于将所述第一控制指令生成部生成的执行器控制指令和第二控制指令生成部生成的执行器控制指令发送至所述执行器控制部，在所述第一控制指令生成部发生了异常时，将所述通信电路锁存为禁用，以切断所述第一控制指令生成部生成的执行器控制指令向所述执行器控制部的发送。

在车辆控制系统中，具备：外界识别传感器，其识别车辆的外界；自动驾驶设定部，其设定所述车辆的自动驾驶；执行器控制部，其控制所述车辆的动作；以及车辆控制装置，其根据来自所述外界识别传感器的外界识别信息和由轨道信息生成部生成的轨道信息，生成指示所述车辆的动作的执行器控制指令，并发送至所述执行器控制部，所述车辆控制装置具有：第一控制指令生成部，其生成发送至所述执行器控制部的执行器控制指令；第二控制指令生成部，其生成发送至所述执行器控制部的执行器控制指令；通信电路，其用于将所述第一控制指令生成部生成的执行器控制指令和第二控制指令生成部生成的执行器控制指令发送至所述执行器控制部，当所述第一控制指令生成部发生了异常时，将所述通信电路锁存为禁用，以切断所述第一控制指令生成部生成的执行器控制指令向所述执行器控制部的发送。

发明的效果

根据本发明，能够实现一种车辆控制装置及车辆控制系统，即使在车辆控制装置中的运算处理部发生了动作异常的情况下，也能够进行无缝的自动驾驶控制，能够提高安全性。

附图说明

图1是应用本发明的车辆所具备的自动驾驶系统的概略结构图。

图2是表示本发明的实施例1中的自主行驶控制部(第1ecu)的内部结构的图。

图3是表示本发明的实施例1中的锁存电路的详细情况的图。

图4是表示本发明的实施例2中的自主行驶控制部(第1ecu)的内部结构的图。

图5是表示本发明的实施例3中的自主行驶控制部(第1ecu)的内部结构的图。

图6是表示本发明的实施例3中的锁存电路(锁存电路1)的详细情况的图。

图7是表示本发明的实施例3中的锁存电路与通信电路的状态关系性的表。

图8是表示本发明的实施例3中的锁存电路的输入输出与通信电路的状态关系性的表。

图9是表示本发明的实施例3中的各电路块和各信号的状态的时序图。

具体实施方式

以下，参照附图对本发明的实施方式进行说明。

实施例

(自动驾驶系统的结构例)

首先，对应用本发明的自动驾驶系统(车辆控制系统)的结构进行说明。

图1是应用本发明的车辆所具备的自动驾驶系统的概略结构图。在图1中，自动驾驶系统具备作为用于识别车辆的外界状况的外界识别传感器的摄像机(第1传感器)1、雷达(第2传感器)2、本车位置传感器(第3传感器)3、以及用于设定自动驾驶的自动驾驶设定部4。

进一步地，自动驾驶系统具备自主行驶控制部(第1ecu)11(车辆控制装置)、辅助控制部(第2ecu)12、制动控制部(第3ecu)13、发动机控制部(第4ecu)14、以及动力转向控制部(第5ecu)15。此外，制动控制部13、发动机控制部14以及动力转向控制部15可以统称为控制车辆的动作的执行器控制部。

摄像机1、雷达2、本车位置传感器3、自主行驶控制部11、辅助控制部12、制动控制部13、发动机控制部14、动力转向控制部15通过车载网络(例如can(controllerareanetwork，控制器局域网)或ethernet(注册商标)等)以能够相互通信的方式连接。

辅助控制部12是以监视自主行驶控制部11的发送状态并在自主行驶控制部11失效时作为备份执行适当的回退控制的方式进行动作的控制装置，但如果即使在自主行驶控制部11失效的情况下，也能够通过使自主行驶控制部11内具有回退控制功能来保证安全，则不需要回退控制。

制动控制部13是进行车辆的制动控制(制动力控制)的控制装置，发动机控制部14是对产生车辆的驱动力的发动机进行控制的控制装置。另外，动力转向控制部15是控制车辆的动力转向的控制装置。

本车位置传感器3是使用来自gps(globalpositioningsystem，全球定位系统)等定位用卫星的电波来获取本车辆的位置的装置。本车位置传感器3将获取到的本车位置信息输出到自主行驶控制部11。此外，本车位置传感器3也可以使用gps以外的定位系统来获取本车位置信息。

另外，在本车位置传感器3内部，具有保持自动驾驶中使用的地图数据的存储器，存储有道路的道路宽度、车道数、坡度、弯道的曲率、交叉路口的形状、限制速度信息等地图数据。此外，地图数据也可以存储在自主行驶控制部11内部。

自动驾驶设定部4是设定自动驾驶时的目的地、路线、行驶速度等的装置。自动驾驶设定部4具有用于供搭乘者进行设定的输入装置(未图示)。在该输入装置中，例如以用于供搭乘者起动自动驾驶系统的开始开关为代表，有按钮、触摸面板这样的物理的输入装置、使用摄像机、红外线的手势输入装置以及声音输入装置等。自动驾驶设定部4将搭乘者通过输入装置输入的信息输出到自动行驶控制部11。

在此，当自主行驶控制部11通过自动驾驶设定部4接收自动驾驶的要求时，基于摄像机1、雷达2、本车位置传感器3等外界的信息，计算车辆移动的轨道，自主行驶控制部11将制动、驱动力等控制指令输出至制动控制部13、发动机控制部14以及动力转向控制部15，以使车辆按照上述路线移动。

制动控制部13、发动机控制部14、动力转向控制部15从自主行驶控制部11接收自动行驶控制的控制指令，并将操作信号输出至各控制对象(执行器)。

(实施例1)

图2是表示本发明的实施例1中的自主行驶控制部(第1ecu)11的内部结构的图。

在图2中，关于控制装置内的第一控制微机(微机11b)的动作，示出由微机外部的监视电路(监视电路11m)进行异常检测，在异常检测后将第一控制微机11b侧的通信电路11c锁存为禁用的例子。

在此，微机11b定义为生成控制指令的第一控制指令生成部，微机12b定义为生成控制指令的第二控制指令生成部。

微机11b和微机12b分别是从不同的电源进行电源供给的微机。

在图2中，作为自动驾驶的行驶控制装置的自主行驶控制部11具有微机10b、微机11b以及微机12b这3个微机，并且与各个微机10b、11b、12b对应地具备通信电路10c(通信电路0)、通信电路11c(通信电路1(第一通信电路))、通信电路12c(通信电路2(第二通信电路))。

在图2中，自主行驶控制部11具有微机10b、微机11b、微机12b这3个微机，但例如也可以在自主行驶控制部11内配置微机10b、微机11b，而将微机12b配置在自主行驶控制部11以外的控制部内。此外，也可以在自主行驶控制部11内具有微机11b和微机12b，而将微机10b配置在自主行驶控制部11以外的控制部内。进一步地，微机10b也可以单独配置在自主行驶控制部11的外部。

传感器信息(外界识别信息)经由通信电路10c从作为外界传感器的摄像机1(第1传感器)、雷达2(第2传感器)、以及本车位置传感器3(第3传感器)传递至微机10b(微机0)。微机10b根据传递来的传感器信息识别外界的状况，生成本车辆移动的轨道信息。因此，微机10b可以定义为轨道信息生成部。

微机10b将生成的轨道信息发送至微机11b(微机1)和微机12b(微机2)。各个微机11b和微机12b经由通信电路11c(通信电路1)和通信电路12c(通信电路2)，从外部ecu(控制装置)接收未图示的轮速传感器、加速度传感器、横摆率传感器等外界识别传感器的信息(这些信息也包含在外界识别信息中)，根据这些信息和微机10b运算出的轨道信息，向制动控制部13(第3ecu)、发动机控制部14(第4ecu)、动力转向控制部15(第5ecu)生成并发送各自的执行器控制指令。

在此，微机11b、微机12b具有用于使处理时刻同步的同步部(未图示)。当来自微机10b的轨道信息被输入到微机11b、微机12b时，该时刻作为同步信号被取入，微机11b、微机12b分别开始对执行器的控制指令的运算处理，微机11b和微机12b的处理时刻相互同步。

在微机11b上连接有监视微机11b的监视电路11m(监视电路1)，程序运行信号11n从微机11b被输出至监视电路11m。监视电路11m具有监视微机11b的失控的监视定时器(未图示)。

在此，监视微机11b的监视电路11m也可以是内置于微机11b内的电路。

当监视电路11m检测到微机11b的异常时，异常信号11t被传递至与监视电路11m的输出连接的锁存电路11r(锁存电路1(第一锁存电路))和微机12b。

在被通知微机11b的异常时，锁存电路11r将信号11q发送至通信电路11c，将通信电路11c锁存为禁用。由此，在微机11b异常时，切断微机11b的向制动控制部13、发动机控制部14以及动力转向控制部15的执行器控制指令，保持被切断的状态。

执行器控制指令也可以采用始终从微机11b和微机12b发送的方式，在微机11b异常时，仅切断微机11b的执行器控制指令。

另外，作为其他方式，也可以是如下方式：系统起动时仅从微机11b输出执行器控制指令，微机11b异常时切断微机11b的执行器控制指令，同时微机12b接收异常信号11t，由此从微机12b输出执行器控制指令。

这样，从微机11b的执行器控制指令转移到微机12b的执行器控制指令，但考虑到控制转移时的控制间隙，微机11b和微机12b优选安装相同的控制软件。

这样，微机11b及通信电路11c、微机12b及通信电路12c是在异常时转移控制的关系，为了排除共同原因的故障，分别供给电源(未图示)的电源电路需要独立。

图3是表示本发明的实施例1中的锁存电路的详细情况的图。

在图3中，在锁存电路11r中使用sr触发器，将微机11b异常情况下输出的异常信号11t输出到s端子，另外，将车辆的ignsw信号(点火信号)或从自动驾驶设定部4发送的自动驾驶sw信号(自动驾驶开关信号)输出到r端子。

当监视电路11m检测到微机11b的异常时，微机异常信号11t从low变为high，从锁存电路11r输出信号11q(high)。锁存电路11r和通信电路11c通过信号线连接，当信号11q变为high时，通信电路11c变为禁用。这里所说的禁用，可以是通信电路的功能停止的设定，也可以是考虑对所连接的通信总线的干扰(仅是通信电路11c的发送停止)而设为接收专用的设定。

另外，假设微机11b的异常是暂时的，即使由于微机11b的复位等而从异常恢复，来自监视电路11m的微机异常信号11t从high变为low，但只要与锁存电路11r的r端子连接的车辆的ignsw信号或自动驾驶sw信号不反转，信号11q的high输出就被保持，通信电路11c的禁用状态继续。

由此，一旦监视电路11m检测到微机11b的异常，就切断微机11b的执行器控制指令，直到车辆的ignsw或自动驾驶sw反转。即使微机11b因复位等而恢复正常，由于刚恢复后的微机11b的内部控制值回到默认值，因此若输出微机11b的执行器控制指令，则作为车辆系统有可能产生控制间隙。因此，通过切断微机11b的执行器控制指令，能够避免产生控制间隙。

如上所述，根据本发明的实施例1，构成为，当微机11b和12b这两个微机同步执行执行器控制指令的运算处理并且监视电路11m检测到微机11b的异常时，将向制动控制部13等通信微机11b的执行器控制指令的通信电路11c锁存为禁用，经由通信电路12c将来自微机12b的执行器控制指令发送至制动控制部13等，维持通信电路11c的禁用状态，直到车辆的ignsw或自动驾驶sw反转为止，在此之前将来自微机12b的执行器控制指令发送至制动控制部13等。

因此，控制按照微机11b→微机12b→微机11b的顺序移动，能够抑制多次的控制转移每次进行时产生控制间隙，能够维持无缝的自动驾驶控制。在车辆的ignsw或自动驾驶sw的输入状态反转(切换)时，是从车辆驾驶停止状态向驾驶开始切换或从手动驾驶向自动驾驶切换的情况，因此在自动驾驶状态下不会产生控制间隙，因此能够解除上述锁存状态。

即，根据本发明的实施例1，能够得到如下效果：能够实现一种即使在车辆控制装置中的运算处理部发生了动作异常的情况下，也能够实现无缝的自动驾驶控制，能够提高安全性的车辆控制装置以及车辆控制系统。

(实施例2)

接着，对本发明的实施例2进行说明。

在本实施例2中，是这样的例子：由第二控制微机(微机12b)监视车辆控制装置11内的第一控制微机(微机11b)的动作，在检测出第一控制微机(微机11b)的异常后，将第一控制微机侧的通信电路(通信电路11c)锁存为禁用。

图4是表示实施例2中的自主行驶控制部(第1ecu)11的内部结构的图。

在图4中，微机10b和外界传感器未图示，但与图2同样，也配置并连接有微机10b和外界传感器，微机10b将根据来自外界传感器的信息生成的轨道信息发送至微机11b和微机12b。

微机11b根据来自微机10b的轨道信息生成执行器控制指令，经由通信电路11c发送至制动控制部13、发动机控制部14以及动力转向控制部15，另一方面，为了判断微机11b的正常性，执行器控制指令也经由通信线11f发送至微机12b。

微机12b也与微机11b同样，根据来自微机10b的轨道信息生成执行器控制指令，但通过比较由微机12b生成的执行器控制指令和从微机11b接收到的执行器控制指令，来检测微机11b是否发生了异常。

当微机12b检测到微机11b的异常时，向与微机12b连接的锁存电路11r输出异常信号11t。在被通知微机11b的异常时，锁存电路11r将信号11q输出到通信电路11c，将通信电路11c锁存为禁用。由此,在微机11b异常时,微机11b的执行器控制指令被切断。

实施例2中的锁存电路11r也是与图3所示的例子相同的结构，使用sr触发器，在微机11b异常的情况下将从微机12b输出的异常信号11t输出到s端子，另外，将车辆的ignsw信号或自动驾驶sw信号输出到r端子。在将车辆的ignsw信号或自动驾驶sw信号输出到r端子的情况下，通信电路11c的禁用被解除。

在本发明的实施例2中，也能够得到与实施例1同样的效果。

(实施例3)

接着，对本发明的实施例3进行说明。

本发明的实施例3是这样的例子：由微机11b外部的监视电路和第2控制微机12b进行监视车辆控制装置11内的第一控制微机11b的动作，在由双方的电路检测出异常后，将第一控制微机11b侧的通信电路11c锁存为禁用。

图5是表示本发明的实施例3中的自主行驶控制部(第1ecu)11的内部结构的图。

在图5中，也与图4同样，微机10b和外界传感器未图示，但与图2同样，也配置并连接有微机10b和外界传感器，微机10b将根据来自外界传感器的信息生成的轨道信息发送至微机11b和微机12b。

微机11b根据来自微机10b的轨道信息生成执行器控制指令，并发送至制动控制部13、发动机控制部14以及动力转向控制部15，另一方面，为了判断微机11b的正常性，执行器控制指令也经由通信线11f发送至微机12b。

微机12b也同样根据来自微机10b的轨道信息生成执行器控制指令，通过比较由微机12b生成的执行器指令和从微机11b接收到的执行器控制指令，判断微机11b是否异常，当检测到微机11b的异常时，输出异常信号12g。

另一方面，在微机11b上连接有监视微机11b的监视电路11m，监视电路11m具有监视微机11b的供给电压的监视电路、监视微机的失控的监视定时器。

在此，监视微机11b的监视电路也可以是内置于微机11b内的电路。

监视电路11m在检测到微机11b的异常时，输出异常信号11h。异常信号12g和异常信号11h与and门11s的输入端子连接，在由微机12b和监视电路11m双方检测到异常时，来自and门11s的输出信号11t变为high，以将通信电路11c锁存为禁用的方式设定锁存电路11r。

这是为了防止在单独用微机12b或单独用监视电路11m进行监视的情况下，在监视侧电路11m的异常检测、监视侧电路11m的过剩检测中通信电路11c也停止。and门11s的输出端也连接到锁存电路12r，输出信号11u从and门11s发送至锁存电路12r。

此外，微机的异常有硬件的异常、软件的异常、故意的非法访问引起的异常等，但优选为能够对这些异常适当地进行检测的结构，但在此不限定于此。

图6是表示本发明的实施例3中的锁存电路11r(锁存电路1)的详细情况的图。另外，图7是表示实施例3中的锁存电路11r与通信电路11c的状态关系性的表。

在图6及图7中，关于输入微机12b和监视电路11m的异常信号的and门11s的输出11t，由于在and门11s的输出端与gnd之间安装有下拉电阻，因此在自动驾驶系统刚启动后，and门11s的输出11t为low，通信电路11c为启用状态。

在微机12b和监视电路11m双方检测到微机11b的异常的情况下，and门11s的输出11t变为high，通信电路11c根据来自锁存电路11r的信号11q，转移至禁用状态。这里所说的禁用可以是通信电路11c的功能停止的设定，但也可以是考虑对所连接的通信总线的干扰(仅是通信电路11c的发送停止)而设为接收专用的设定。

另一方面，在实施例3中，如图5所示，在微机12b侧也设定了具有与监视电路11m(第一监视电路)同样的监视定时器的监视电路12m(第二监视电路)。

这是考虑到微机11b变为异常而从微机11b向微机12b转移控制的情况，从安全上的观点出发，用于监视微机12b的正常性，程序运行信号从微机12b输出至监视电路12m。

当监视电路12m检测到微机12b的异常时，输出异常信号12h。

微机12b根据来自微机10b的轨道信息生成执行器控制指令，为了判断微机12b的正常性，该执行器控制指令也通过通信线路12f发送至微机11b。

微机11b也同样根据来自微机10b的轨道信息生成执行器控制指令，但通过比较由微机11b生成的执行器指令和从微机12b接收到的执行器控制指令，来检测微机12b的异常，当检测到异常时，微机11b输出异常信号11g。

异常信号12h和异常信号11g与nand门12s的输入端连接，nand电路12s的输出端与锁存电路12r(第二锁存电路)连接。当微机11b和监视电路12m双方都检测到异常时，nand电路12s的输出信号变为low，以根据锁存电路12r的输出信号12q将通信电路12c锁存为禁用的方式设定锁存电路12r。

图8是表示本发明的实施例3的锁存电路12r的输入输出与通信电路12c的状态关系性的表。在自动驾驶系统刚启动后，锁存电路12r的输入11u和12t为low，设定为使通信电路11c侧启用，使通信电路12c侧禁用。

图9是表示本发明的实施例3中的各电路块和各信号的状态的时序图。

在图9中，在时刻t0，当ignsw或自动驾驶sw变为on状态时，根据外界传感器的信息将轨道信息输入到微机11b和微机12b，在双方的微机中生成执行器控制指令，但在ignsw或自动驾驶sw刚变为on后(t0)，通信电路11c变为启用状态，而通信电路12c变为禁用状态。

因此，微机11b的执行器控制指令经由通信电路11c被送出。

另一方面，微机12b的执行器控制指令被通信电路12c切断。

另外，微机12b通过比较微机11b生成的执行器控制指令和微机12b生成的执行器控制指令来监视微机11b。另一方面，微机11b也通过比较微机12b生成的执行器控制指令和微机11b生成的执行器指令来监视微机12b。

在此，当在监视电路11m对微机11b的监视中检测到异常而发生复位(时刻t1)时，微机11b的执行器控制指令不被发送至微机12b，在微机12b的执行器控制指令的比较中也检测到异常，信号12g表示异常，通信电路11c变为禁用状态(时刻t2)。

同时(时刻t2)，由于信号11u为high、信号12t为high，因此根据信号12q，通信电路12c变为启用状态，微机12b的执行器控制指令经由通信电路12c被送出至制动控制部13等。

在微机1的异常发生前(微机11b的复位前)，微机11b和微机12b的执行器控制指令相互比较，确认没有异常，因此，即使对制动控制13等的执行器控制指令转移到微机12b，也能够降低控制间隙。

当微机11b从复位恢复时(时刻t3)，即，当从异常恢复到正常时，即使监视电路11m和微机12b的异常标志(异常信号)11h、12g变为low(正常)，igsw和自动驾驶sw的状态也没有变化，因此锁存电路11r的输出11q保持high输出。因此，通信电路11c继续禁用状态。

因此，即使微机11b从异常恢复，微机11b生成的执行器控制指令也会被通信电路11c切断。

但是，由于微机11b继续进行与微机12b的执行器控制指令的比较监视，因此实际上微机11b成为微机12b的监视微机。

即，作为第一控制指令生成部的微机11b监视作为第二控制指令生成部的微机12b生成的执行器控制指令，根据该执行器控制指令，检测第二控制指令生成部是否发生了异常。

然后，当微机11b所得到的微机12b的执行器控制指令的比较结果中检测出异常(时刻t4)、并且在监视电路12m中也检测出异常(时刻t5)时，信号12t变为low，根据从锁存电路12r输出的信号12q，通信电路12c也变为禁用状态。在时刻t6信号12h和信号11g变为正常后，通信电路11c及12c也维持禁用状态。

因此，除了切断微机11b的执行器控制指令之外，还切断微机12b的执行器控制指令。在该情况下，辅助控制装置(ecu12(辅助控制部))被通知ecu11的通信电路11c、12c的通信状态，由此，监视微机11b、微机12b中检测到异常的情况，转移到适当的回退控制。

当ignsw或自动驾驶sw从off(时刻t7)变为on(时刻t8)时，车辆控制从与最初(时刻t0)相同的控制重新开始。

在本发明的实施例3中，除了能够得到与实施例1同样的效果之外，还能够得到如下的效果。

即，在本发明的实施例3中，构成为，通过监视电路11m和微机12n这两者来监视微机11b是否发生了异常，在两者都判断为微机11b发生了异常时，使通信电路11c成为禁用状态，因此能够防止由于监视电路11m的异常、过剩检测而使通信电路11c成为禁用状态。

同样，构成为，通过监视电路12m和微机11b这两者来监视微机12b是否发生了异常，在两者都判断为微机12b发生了异常时，使通信电路12c成为禁用状态，因此能够防止由于监视电路12m的异常、过剩检测而使通信电路12c成为禁用状态。

另外，构成为，在微机11b发生了异常后，根据执行器控制指令通过微机12b进行自动驾驶控制，之后，在微机12b中检测到异常的情况下，使通信电路12c禁用，通过辅助控制装置12(第2ecu)转移到回退控制，因此能够进一步提高安全性。

另外，关于本发明的实施例3中的微机11b和微机12b的功能，由于根据来自微机10b的轨道信息生成执行器控制指令，进行相互的执行器控制指令的比较，因此能够将安装在微机11b和微机12b中的控制软件设为同一内容而共同化。

因此，不仅能够减少从微机11b向微机12b转移执行器控制指令时的控制间隙，还能够削减控制软件的开发工时。

此外，在上述的实施例1、2、3中，将用于发送来自微机11b和微机12b的执行器控制指令的通信电路设为微机11b的通信电路11c和微机12b的通信电路12c这两个电路，但本发明也可以构成为，设为微机11b和微机12b共同的一个通信电路，该通信电路构成为：对是输入来自微机11b的执行器控制指令、还是输入来自微机12b的执行器控制指令、还是不输入微机11b及微机12b的执行器控制指令进行切换，从而能够锁存任一个状态。

符号说明

1：摄像机，2：雷达，3：本车位置传感器，4：自动驾驶设定部，11：自主行驶控制部，11b、12b：控制微机(运算处理装置)，11c、12c：通信电路，11m、12m：监视电路，11r、12r：锁存电路，11s：and电路，12s：nand电路，12：辅助控制部，13：制动控制部，14：发动机控制部，15：动力转向控制部。