车辆及其控制系统以及控制方法与流程

本发明涉及车辆及其控制系统以及控制方法。

背景技术：

提出有用于实现车辆的自动驾驶的各种技术。在专利文献1中，为了监视基于自动驾驶控制装置的各种控制是否正常工作而设置有监视装置。监视装置将自身的控制运算结果与基于自动驾驶控制装置的控制运算结果进行比较，在两者不一致的情况下，强制解除基于自动驾驶控制装置的自动控制功能。

现有技术文献

专利文献

专利文献1：国际公开第2016/080452号

技术实现要素：

发明所要解决的问题

由于引用文献1的监视装置并不进行自动驾驶的控制，因此包含监视装置的构成未成为充分的冗余构成。本发明的一部分侧面的目的在于提高进行自动驾驶的车辆的冗余性。

用于解决问题的手段

根据一部分实施方式，提供一种控制系统，其是具有外界识别装置组以及致动器组的车辆的控制系统，其特征在于，所述控制系统具备：第一行驶控制单元，其进行所述车辆的第一行驶控制；第二行驶控制单元，其进行所述车辆的第二行驶控制；第一通信单元，其用于供所述第一行驶控制单元与所述外界识别装置组进行通信；第二通信单元，其用于供所述第一行驶控制单元与所述致动器组进行通信；第三通信单元，其用于供所述第二行驶控制单元与所述外界识别装置组进行通信；以及第四通信单元，其用于供所述第二行驶控制单元与所述致动器组进行通信，所述第一行驶控制单元具有监视所述第一通信单元的通信状况以及所述第二通信单元的通信状况的第一监视部，所述第二行驶控制单元具有监视所述第三通信单元的通信状况以及所述第四通信单元的通信状况的第二监视部，在所述第一监视部或所述第二监视部基于监视中的通信状况检测到所述车辆的功能降低的情况下，所述第一行驶控制单元和所述第二行驶控制单元中的至少一方进行代替控制。

发明效果

根据本发明，能提高进行自动驾驶的车辆的冗余性。

本发明的其他特征以及优点通过以附图为参照的以下说明而得以明确。此外，在附图中，对于相同或同样的构成标注相同的附图标记。

附图说明

附图包含于说明书中且构成其一部分，表示本发明的实施方式并与其记述一起用于说明本发明的原理。

图1是实施方式所涉及的车辆用控制系统的框图。

图2是实施方式所涉及的车辆用控制系统的框图。

图3是实施方式所涉及的车辆用控制系统的框图。

图4是实施方式所涉及的车辆用控制系统的框图。

具体实施方式

图1～图4是本发明的一个实施方式所涉及的车辆用控制系统1的框图。控制系统1控制车辆v。在图1以及图2中，车辆v的概略由俯视图和侧视图表示。作为一个例子，车辆v是轿车型的四轮乘用车。控制系统1包括控制装置1a和控制装置1b。图1是表示控制装置1a的框图，图2是表示控制装置1b的框图。图3主要表示控制装置1a与控制装置1b之间的通信线路以及电源的构成。

控制装置1a和控制装置1b是将车辆v实现的一部分功能多重化或冗余化的装置。由此，能够提高系统的可靠性。控制装置1a例如除了进行自动驾驶控制、手动驾驶中的通常的动作控制以外，还进行与避免危险等相关的行驶辅助控制。控制装置1b主要负责与避免危险等相关的行驶辅助控制。有时将行驶辅助称为驾驶辅助。通过在使控制装置1a和控制装置1b的功能冗余化的同时进行不同的控制处理，能够实现控制处理的分散化，并且提高可靠性。

本实施方式的车辆v是并联方式的混合动力车辆，在图2中示意性地图示了输出使车辆v的驱动轮旋转的驱动力的动力装置50的构成。动力装置50具有内燃机eg、马达m以及自动变速器tm。马达m能够用作使车辆v加速的驱动源，并且在减速时等还能够用作发电机(再生制动)。

<控制装置1a>

参照图1对控制装置1a的构成进行说明。控制装置1a包括ecu组(控制单元组)2a。ecu组2a包括多个ecu20a～ecu29a。各ecu包括以cpu为代表的处理器、半导体存储器等存储设备、以及与外部设备的接口等。在存储设备中储存处理器所执行的程序、处理器在处理中所使用的数据等。各ecu可以具备多个处理器、存储设备以及接口等。此外，关于ecu的数量、负责的功能，能够进行适当设计，能够比本实施方式更细化或者整合。此外，在图1以及图3中标注了ecu20a～ecu29a的代表性的功能的名称。例如，在ecu20a中记载为“自动驾驶ecu”。

ecu20a作为车辆v的行驶控制而执行与自动驾驶相关的控制。在自动驾驶中，不依赖于驾驶员的驾驶操作而自动地进行车辆v的驱动(基于动力装置50的车辆v的加速等)、转向或制动中的至少一者。在本实施方式中，自动地进行驱动、转向以及制动。

ecu21a是基于检测车辆v的周围状况的检测单元31a、32a的检测结果来识别车辆v的行驶环境的环境识别单元。ecu21a生成后述的目标物数据作为周边环境信息。

在本实施方式的情况下，检测单元31a是通过摄像来检测车辆v周围的物体的摄像设备(以下，有时表述为摄像机31a。)。摄像机31a设置于车辆v的车顶前部以便能够拍摄车辆v的前方。通过对摄像机31a拍摄到的图像的解析，能够提取目标物的轮廓、道路上的车道的划分线(白线等)。

在本实施方式的情况下，检测单元32a是利用光来检测车辆v的周围的物体的光学雷达(lightdetectionandranging)(以下，有时表述为光学雷达32a)，对车辆v的周围的目标物进行检测，或者对与目标物之间的距离进行测距。在本实施方式的情况下，光学雷达32a设置有五个，在车辆v的前部的各角部各设置有一个，在后部中央设置有一个，在后部各侧方各设置有一个。光学雷达32a的数量和配置能够适当选择。

ecu29a是基于检测单元31a的检测结果而作为车辆v的行驶控制执行与行驶辅助(换言之，驾驶辅助)相关的控制的行驶辅助单元。

ecu22a是控制电动动力转向装置41a的转向控制单元。电动动力转向装置41a包括根据驾驶员对方向盘st的驾驶操作(转向操作)来对前轮进行转向的机构。电动动力转向装置41a包括发挥用于对转向操作进行辅助或者对前轮进行自动转向的驱动力的马达、检测马达的旋转量的传感器、检测驾驶员承担的转向扭矩的扭矩传感器等。

ecu23a是控制液压装置42a的制动控制单元。液压装置42a例如实现esb(电动伺服制动器)。驾驶员对制动踏板bp的制动操作在制动主缸bm中被转换为液压而传递至液压装置42a。液压装置42a是能够基于从制动主缸bm传递来的液压而对向分别设置于四轮的制动装置(例如盘式制动装置)51供给的工作油的液压进行控制的致动器，ecu23a进行对液压装置42a所具备的电磁阀等的驱动控制。在本实施方式的情况下，ecu23a以及液压装置23a构成电动伺服制动器，ecu23a例如控制基于四个制动装置51的制动力和基于马达m的再生制动的制动力的分配。

ecu24a是对设置于自动变速器tm的电动驻车锁定装置50a进行控制的停止维持控制单元。电动驻车锁定装置50a具备主要在p挡(驻车挡)选择时锁定自动变速器tm的内部机构的机构。ecu24a能够控制基于电动驻车锁定装置50a的锁定以及锁定解除。

ecu25a是对向车内报告信息的信息输出装置43a进行控制的车内报告控制单元。信息输出装置43a例如包括平视显示器等显示装置、语音输出装置。进一步地，可以包括振动装置。ecu25a例如使信息输出装置43a输出车速或外部气温等各种信息、路径引导等信息。

ecu26a是对向车外报告信息的信息输出装置44a进行控制的车外报告控制单元。在本实施方式的情况下，信息输出装置44a是方向指示器(危险警示灯)，ecu26a通过作为方向指示器进行信息输出装置44a的闪烁控制，能够对车外报告车辆v的行进方向，另外，通过作为危险警示灯进行信息输出装置44a的闪烁控制，能够使车外提高对车辆v的注意力。

ecu27a是控制动力装置50的驱动控制单元。在本实施方式中，对动力装置50分配了一个ecu27a，但也可以对内燃机eg、马达m以及自动变速器tm分别各分配一个ecu。ecu27a例如与由设置于加速踏板ap的操作检测传感器34a、设置于制动踏板bp的操作检测传感器34b检测到的驾驶员的驾驶操作、车速等对应地控制内燃机eg、马达m的输出，或者切换自动变速器tm的变速挡。此外，在自动变速器tm中，作为检测车辆v的行驶状态的传感器，设置有检测自动变速器tm的输出轴的转速的转速传感器39。能够根据转速传感器39的检测结果来运算车辆v的车速。

ecu28a是识别车辆v的当前位置、行进路线的位置识别单元。ecu28a进行陀螺仪传感器33a、gps传感器28b、通信装置28c的控制以及检测结果或者通信结果的信息处理。陀螺仪传感器33a检测车辆v的旋转运动。能够根据陀螺仪传感器33的检测结果等判定车辆v的行进路线。gps传感器28b检测车辆v的当前位置。通信装置28c与提供地图信息、交通信息的服务器进行无线通信，获取这些信息。在数据库28a中能够储存高精度的地图信息，ecu28a能够基于该地图信息等来更高精度地确定车道上的车辆v的位置。

输入装置45a以驾驶员能够操作的方式配置于车内，接受来自驾驶员的指示、信息的输入。

<控制装置1b>

参照图2对控制装置1b的构成进行说明。控制装置1b包括ecu组(控制单元组)2b。ecu组2b包括多个ecu21b～ecu25b。各ecu包括以cpu为代表的处理器、半导体存储器等存储设备、以及与外部设备的接口等。在存储设备中储存处理器所执行的程序、处理器在处理中所使用的数据等。各ecu可以具备多个处理器、存储设备以及接口等。此外，关于ecu的数量、负责的功能，能够进行适当设计，能够比本实施方式更细化或者整合。此外，与ecu组2a同样地，在图2以及图3中标注ecu21b～ecu25b的代表性的功能的名称。

ecu21b是基于检测车辆v的周围状况的检测单元31b、32b的检测结果来识别车辆v的行驶环境的环境识别单元，并且是作为车辆v的行驶控制执行与行驶辅助(换言之，驾驶辅助)相关的控制的行驶辅助单元。ecu21b生成后述的目标物数据作为周边环境信息。

此外，在本实施方式中，ecu21b构成为具有环境识别功能和行驶辅助功能，但也可以如控制装置1a的ecu21a和ecu29a那样按每个功能设置ecu。相反，在控制装置1a中，也可以构成为如ecu21b那样由一个ecu实现ecu21a和ecu29a的功能。

在本实施方式的情况下，检测单元31b是通过摄像来检测车辆v周围的物体的摄像设备(以下，有时表述为摄像机31b。)。摄像机31b设置于车辆v的车顶前部以便能够拍摄车辆v的前方。通过对摄像机31b拍摄到的图像的解析，能够提取目标物的轮廓、道路上的车道的划分线(白线等)。在本实施方式的情况下，检测单元32b是通过电波检测车辆v的周围的物体的毫米波雷达(以下，有时表述为雷达32b)，对车辆v的周围的目标物进行检测，或者对与目标物之间的距离进行测距。在本实施方式的情况下，雷达32b设置有五个，在车辆v的前部中央设置有一个，在前部各角部各设置有一个，在后部各角部各设置有一个。雷达32b的数量、配置能够适当选择。

ecu22b是控制电动动力转向装置41b的转向控制单元。电动动力转向装置41b包括根据驾驶员对方向盘st的驾驶操作(转向操作)来对前轮进行转向的机构。电动动力转向装置41b包括发挥用于对转向操作进行辅助或者对前轮进行自动转向的驱动力的马达、检测马达的旋转量的传感器、检测驾驶员承担的转向扭矩的扭矩传感器等。另外，ecu22b经由后述的通信线路l2而电连接有转向角传感器37，能够基于转向角传感器37的检测结果来控制电动动力转向装置41b。ecu22b能够获取对驾驶员是否把持方向盘st进行检测的传感器36的检测结果，能够监视驾驶员的把持状态。

ecu23b是控制液压装置42b的制动控制单元。液压装置42b例如实现vsa(vehiclestabilityassist，车辆稳定辅助)。驾驶员对制动踏板bp的制动操作在制动主缸bm中被转换为液压而传递至液压装置42b。液压装置42b是能够基于从制动主缸bm传递来的液压而对向各车轮的制动装置51供给的工作油的液压进行控制的致动器，ecu23b进行对液压装置42b所具备的电磁阀等的驱动控制。

在本实施方式的情况下，ecu23b以及液压装置23b电连接有分别设置于四轮的车轮速度传感器38、偏航率传感器33b、对制动主缸bm内的压力进行检测的压力传感器35，并基于它们的检测结果实现abs功能、牵引力控制以及车辆v的姿态控制功能。例如，ecu23b基于分别设置于四轮的车轮速度传感器38的检测结果来调整各车轮的制动力，抑制各车轮的滑行。另外，基于偏航率传感器33b检测到的车辆v绕铅垂轴的旋转角速度来调整各车轮的制动力，抑制车辆v的急剧的姿态变化。

另外，ecu23b也作为对向车外报告信息的信息输出装置43b进行控制的车外报告控制单元而发挥功能。在本实施方式的情况下，信息输出装置43b是制动灯，ecu23b能够在制动时等点亮制动灯。由此，能够使后续车提高对车辆v的注意力。

ecu24b是对设置于后轮的电动驻车制动装置(例如鼓式制动器)52进行控制的停止维持控制单元。电动驻车制动装置52具备锁定后轮的机构。ecu24b能够控制基于电动驻车制动装置52的后轮的锁定以及锁定解除。

ecu25b是对向车内报告信息的信息输出装置44b进行控制的车内报告控制单元。在本实施方式的情况下，信息输出装置44b包括配置于仪表板的显示装置。ecu25b能够使信息输出装置44b输出车速、燃料效率等各种信息。

输入装置45b以驾驶员能够操作的方式配置于车内，接受来自驾驶员的指示、信息的输入。

<通信线路>

参照图3对将ecu间连接为能够通信的控制系统1的通信线路的例子进行说明。控制系统1包括有线通信线路l1～l7。通信线路l1上连接有控制装置1a的各ecu20a～ecu27a、ecu29a。此外，ecu28a也可以连接于通信线路l1。

通信线路l2上连接有控制装置1b的各ecu21b～ecu25b。另外，控制装置1a的ecu20a也连接于通信线路l2。通信线路l3将ecu20a与ecu21a连接。通信线路l5将ecu20a、ecu21a以及ecu28a连接。通信线路l6将ecu29a与ecu21a连接。通信线路l7将ecu29a与ecu20a连接。

通信线路l1～l7的协议可以相同也可以不同，但可以根据通信速度、通信量、耐久性等通信环境而不同。例如，通信线路l3以及l4在通信速度方面可以是以太网(注册商标)。例如，通信线路l1、l2、l5～l7可以是can。

控制装置1a具备网关gw。网关gw对通信线路l1和通信线路l2进行中继。因此，例如，ecu21b能够经由通信线路l2、网关gw以及通信线路l1向ecu27a输出控制指令。

<电源>

参照图3对控制系统1的电源进行说明。控制系统1包括大容量电池6、电源7a和电源7b。大容量电池6是电动机m的驱动用电池，并且是由电动机m充电的电池。

电源7a是向控制装置1a供给电力的电源，包括电源电路71a和电池72a。电源电路71a是将大容量电池6的电力供给到控制装置1a的电路，例如将大容量电池6的输出电压(例如190v)降压为基准电压(例如12v)。电池72a例如是12v的铅电池。通过设置电池72a，从而即使在大容量电池6、电源电路71a的电力供给被切断或者降低的情况下，也能够向控制装置1a进行电力的供给。

电源7b是向控制装置1b供给电力的电源，包括电源电路71b和电池72b。电源电路71b是与电源电路71a同样的电路，是将大容量电池6的电力供给到控制装置1b的电路。电池72b是与电池72a同样的电池，例如是12v的铅电池。通过设置电池72b，从而即使在大容量电池6、电源电路71b的电力供给被切断或者降低的情况下，也能够向控制装置1b进行电力的供给。

<整体构成>

参照图4从另一观点说明车辆v的整体构成。车辆v包括控制装置1a、控制装置1b、外界识别装置组82以及致动器组83。

外界识别装置组82是搭载于车辆v的外界识别装置(传感器)的集合。外界识别装置组82包括上述的摄像机31a、摄像机31b、光学雷达32a以及雷达32b。摄像机31a以及光学雷达32a经由ecu21a而连接于ecu20a。由摄像机31a以及光学雷达32a得到的外界信息、与这些装置相关的诊断信息被供给至ecu20a，摄像机31a以及光学雷达32a按照来自ecu20a的指示进行动作。摄像机31b以及雷达32b连接于ecu21b。由摄像机31b以及光学雷达32b得到的外界信息、与这些装置相关的诊断信息被供给至ecu21b，摄像机31b以及雷达32b按照来自ecu21b的指示进行动作。ecu21b可以将由摄像机31b以及光学雷达32b得到的外界信息供给至ecu20a。由此，ecu20a能够使用分别从摄像机31a、摄像机31b、光学雷达32a以及雷达32b得到的外界信息来执行自动驾驶的控制。

致动器组83是搭载于车辆v的致动器的集合。致动器组83包括上述的电动动力转向装置41a、电动动力转向装置41b、液压装置42a、液压装置42b以及动力装置50。电动动力转向装置41a、液压装置42a以及动力装置50经由ecu22a、ecu23a以及ecu27a而连接于ecu20a。取而代之地，ecu20a可以仅与电动动力转向装置41a、液压装置42a以及动力装置50中的一部分连接。与电动动力转向装置41a、液压装置42a以及动力装置50相关的诊断信息被供给至ecu20a，电动动力转向装置41a、液压装置42a以及动力装置50按照来自ecu20a的指示进行动作。电动动力转向装置41b以及液压装置42b经由ecu22b以及ecu22b而连接于ecu21b。取而代之地，ecu21b可以仅与电动动力转向装置41b以及液压装置42b中的一部分连接。与电动动力转向装置41b以及液压装置42b相关的诊断信息被供给至ecu21b，电动动力转向装置41b以及液压装置42b按照来自ecu21b的指示进行动作。

动力设备50进行车辆v的驱动，因此是纵向控制致动器的一种。进一步地，动力设备50能够通过变更左右车轮的驱动力的分配来变更车辆v的方向，因此还是横向控制致动器的一种。液压装置42a以及液压装置42b分别进行车辆v的制动，因此是纵向控制致动器的一种。进一步地，液压装置42a以及液压装置42b能够分别利用制动扭矩矢量来变更车辆v的方向，因此还是横向控制致动器的一种。电动动力转向装置41a以及电动动力转向装置41b分别控制车辆v的转向，因此是横向控制致动器的一种。

ecu20a通过通信路径而与外界识别装置组82的一部分(摄像机31a以及光学雷达32a)进行通信，由此从它们获取信息，并通过另外的通信路径而与致动器组83的一部分(电动动力转向装置41a、液压装置42a、动力装置50)进行通信。ecu21b通过通信路径而与外界识别装置组82的一部分(摄像机31b以及雷达32b)进行通信，由此从它们获取信息，并通过另外的通信路径而与致动器组83的一部分(电动动力转向装置41b、液压装置42b)进行通信。连接于ecu20a的通信线路与连接于ecu21b的通信线路可以互不相同。这些通信路径例如是can(控制器局域网)，但也可以是以太网(注册商标)。ecu20a和ecu21b通过通信路径彼此连接。该通信路径例如是can(控制器局域网)，但也可以是以太网(注册商标)。另外，也可以通过can和以太网(注册商标)双方来连接。

ecu20a包括高性能处理装置80a和高可靠性处理装置81a。高性能处理装置80a和高可靠性处理装置81a分别由cpu等处理器和ram等存储器构成。高性能处理装置80a的处理性能高于高可靠性处理装置81a的处理性能。处理装置的性能例如是根据时钟数、基准(benchmark)的测试结果来进行比较的。高可靠性处理装置81a的可靠性高于高性能处理装置80a的可靠性。例如，在处理装置的故障发生率的评估标准中，高可靠性处理装置81a具有比高性能处理装置80a高的可靠性。

高性能处理装置80a从外界识别装置组82接收输入(例如外界信息、诊断信息)，基于该输入而生成在自动驾驶中车辆v应采取的轨道，并将该轨道供给至高可靠性处理装置81a。高可靠性处理装置81a决定用于实现该轨道的各致动器的操作量，生成对致动器组83的指示，并向控制各致动器的ecu供给该指示。

高可靠性处理装置81a还作为监视与外界识别装置组82之间的通信路径的通信状况以及与致动器组83之间的通信路径的通信状况的监视部而发挥功能。通信状况包括作为连接对象的装置的自我诊断的结果、无法与作为连接对象的装置进行通信的状况。高可靠性处理装置81a能够基于这些通信状况而对与车辆v相关的功能降低进行检测。即，高可靠性处理装置81a能够对与连接于ecu20a的致动器以及外界识别装置相关的功能降低进行检测。高可靠性处理装置81a可以进一步监视ecu21b与连接于ecu21b的外界识别装置之间的通信状况。在该情况下，高可靠性处理装置81a能够对与连接于ecu21b的外界识别装置相关的功能降低进行检测。

高可靠性处理装置81a还作为在自动驾驶中进行代替控制的控制部而发挥功能。代替控制是指在判定为需要从自动驾驶向手动驾驶切换的情况下进行的控制，是代替通常的自动驾驶的控制的控制。在该代替控制中，高可靠性处理装置81a基于ecu20a从摄像机31a以及光学雷达32a获取的信息(这些传感器的检测信息)，使用与自身连接的致动器(电动动力转向装置41a、液压装置42a、动力装置50)来控制车辆v的行驶。具体而言，高可靠性处理装置81a一边维持自动驾驶行驶，一边对车辆v的驾驶员进行用于请求向手动驾驶的切换的报告。在一定时间对该报告没有(例如4秒或15秒)反应的情况下，高可靠性处理装置81a一边使车辆v减速，一边搜索能够供车辆v停止的位置。高可靠性处理装置81a在发现了能够停止的位置的情况下使车辆v停止于该位置，在未发现能够停止的位置的情况下，一边以极低速(例如，爬行速度)使车辆v行驶，一边搜索能够停止的位置。之后，高可靠性处理装置81a根据转速传感器39的检测结果而对车辆v的停止进行判定，若判定为停止则维持车辆v的停止。在将外界识别装置组82和ecu21b连接的通信路径正常的情况下，高可靠性处理装置81a可以基于ecu20a从摄像机31a以及光学雷达32a获取的信息、和ecu21b从雷达32b获取的信息来进行代替控制。这样，通过进一步利用来自雷达32b的信息，使代替控制的精度提高。另外，高可靠性处理装置81a可以不使用基于摄像机31b的信息。由于高可靠性处理装置81a具有来自摄像机31a的信息，因此来自摄像机31b的信息大部分是重复的。通过不利用这样的重复的信息，能够减少通信数据量。

ecu21b与ecu20a同样地，也包括高性能处理装置80b和高可靠性处理装置81b。高性能处理装置80b的处理性能高于高可靠性处理装置81b的处理性能。高可靠性处理装置81b的可靠性高于高性能处理装置80b的可靠性。高可靠性处理装置81b例如满足asild，高性能处理装置80b例如满足asilb。

高性能处理装置80b从外界识别装置组82接收输入(例如外界信息、诊断信息)，基于该输入而决定手动驾驶中的车辆v的行驶的辅助内容，并将该内容供给至高可靠性处理装置81b。高可靠性处理装置81b决定用于实现该辅助的各致动器的操作量，生成对致动器组83的指示，并向控制各致动器的ecu供给该指示。

高可靠性处理装置81b还作为监视与外界识别装置组82之间的通信路径的通信状况以及与致动器组83之间的通信路径的通信状况的监视部而发挥功能。高可靠性处理装置81b能够基于这些通信状况而对与车辆v相关的功能降低进行检测。即，高可靠性处理装置81b能够对与连接于ecu21b的致动器以及外界识别装置相关的功能降低进行检测。

高可靠性处理装置81b也作为在自动驾驶中进行代替控制的控制部而发挥功能。在该代替控制中，高可靠性处理装置81b基于ecu21b从摄像机31b以及雷达32b获取的信息(这些传感器的检测信息)，使用与自身连接的致动器(电动动力转向装置41b、液压装置42b)来控制车辆v的行驶。这样，在本实施方式中，ecu20a的高可靠性处理装置81a和ecu21b的高可靠性处理装置81b双方作为监视部和进行代替控制的控制部而发挥功能。因此，实现了较高的冗余性。

<控制例>

对自动驾驶中的基于ecu20a以及ecu21b的车辆v的控制方法进行说明。首先，假设ecu20a的高可靠性处理装置81a基于监视中的通信状况而检测到与车辆v相关的功能降低。在该情况下，高可靠性处理装置81a将检测到与车辆v相关的功能降低这一情况通知给高可靠性处理装置81b。接收到该通知后，高可靠性处理装置81b进行车辆v的代替控制。如上所述，在基于高可靠性处理装置81b的代替控制中，使用与ecu21b连接的致动器、即电动动力转向装置41b以及液压装置42b来控制车辆v的行驶。通过不使用被检测出功能降低的致动器而进行代替控制，能够更安全地控制车辆v。

接着，假设ecu21b的高可靠性处理装置81b基于监视中的通信状况而检测到与车辆v相关的功能降低。在该情况下，高可靠性处理装置81b将检测到与车辆v相关的功能降低这一情况通知给高可靠性处理装置81a。接收到该通知后，高可靠性处理装置81a进行车辆v的代替控制。如上所述，在基于高可靠性处理装置81a的代替控制中，使用与ecu20a连接的致动器、即电动动力转向装置41a、液压装置42a以及动力装置50来控制车辆v的行驶。通过不使用被检测出功能降低的致动器而进行代替控制，能够更安全地控制车辆v。

ecu21b可以在基于ecu20a的代替控制的执行中监视向ecu20a输入的输入信息和从ecu20a输出的输出信息。输入信息例如是与车辆v的状态相关的信息、外界信息等。输出信息例如是行动计划、对致动器的指令值等。ecu21b可以基于这些输入信息以及输出信息来抑制基于ecu20a的代替控制的执行。例如，ecu21b将当前输出的输出信息与相对于同样的输入信息的过去的输出信息进行比较。ecu21b可以在这些输出信息大为不同的情况下判断为代替控制未正常地发挥功能并结束基于ecu20a的代替控制。通过这样进行动作，能够防止因代替控制的功能降低而使车辆行为不稳定的情况。同样地，ecu20a可以在基于ecu21b的代替控制的执行中监视向ecu21b输入的输入信息和从ecu21b输出的输出信息，并基于这些输入信息以及输出信息来抑制基于ecu21b的代替控制的执行。

在上述实施方式中，作为在自动驾驶状态下ecu20a所执行的自动驾驶控制，说明了使驱动、制动以及转向全部自动化的自动驾驶控制，但自动驾驶控制只要不依赖于驾驶员的驾驶操作而对驱动、制动或转向中的至少一者进行控制即可。不依赖于驾驶员的驾驶操作而进行控制是指，能够包括即使没有驾驶员对以方向盘、踏板为代表的操作件的输入也进行控制的情况，或者可以说不需要驾驶员的驾驶车辆这样的意图。因而，在自动驾驶控制中，可以是使驾驶员承担周边监视义务并根据车辆v的周边环境信息来控制车辆v的驱动、制动或转向中的至少一者的状态，可以是使驾驶员承担周边监视义务并根据车辆v的周边环境信息来控制车辆v的驱动或制动中的至少一者与转向的状态，也可以是驾驶员不承担周边监视义务而根据车辆v的周边环境信息来全部控制车辆v的驱动、制动以及转向的状态。另外，也可以是，能够转变为这些各控制阶段。另外，也可以设置检测驾驶员的状态信息(心律等生物体信息、表情或瞳孔的状态信息)的传感器并根据该传感器的检测结果来执行或抑制自动驾驶控制。

另一方面，ecu29a、ecu21b所执行的驾驶辅助控制(或者行驶辅助控制)可以在驾驶员的驾驶操作中对驱动、制动或者转向中的至少一者进行控制。驾驶员的驾驶操作中是指，可以说是驾驶员对操作件的输入的情况、或者能够确认驾驶员对操作件的接触并能读取驾驶员的驾驶车辆这样的意图的情况。驾驶辅助控制能够包括驾驶员经由开关操作等选择其启动而执行的控制、无需驾驶员选择该启动就执行的控制双方。作为前者的驾驶员选择启动的驾驶辅助控制，能够举出前行车辆跟随控制、车道维持控制等。也能够将这些定义为自动驾驶控制的一部分。作为后者的无需驾驶员选择启动就执行的驾驶辅助控制，能够举出碰撞减轻制动控制、车道偏离抑制控制、误起步抑制控制等。

<实施方式的总结>

[构成1]

一种控制系统(1)，其是具有外界识别装置组(82)以及致动器组(83)的车辆(v)的控制系统，其特征在于，

所述控制系统具备：

第一行驶控制单元(20a)，其进行所述车辆的第一行驶控制；

第二行驶控制单元(21b)，其进行所述车辆的第二行驶控制；

第一通信单元，其用于供所述第一行驶控制单元与所述外界识别装置组进行通信；

第二通信单元，其用于供所述第一行驶控制单元与所述致动器组进行通信；

第三通信单元，其用于供所述第二行驶控制单元与所述外界识别装置组进行通信；以及

第四通信单元，其用于供所述第二行驶控制单元与所述致动器组进行通信，

所述第一行驶控制单元具有监视所述第一通信单元的通信状况以及所述第二通信单元的通信状况的第一监视部(81a)，

所述第二行驶控制单元具有监视所述第三通信单元的通信状况以及所述第四通信单元的通信状况的第二监视部(81b)，

在所述第一监视部或所述第二监视部基于监视中的通信状况检测到所述车辆的功能降低的情况下，所述第一行驶控制单元和所述第二行驶控制单元中的至少一方进行代替控制。

根据该构成，第一行驶控制单元和第二行驶控制单元双方能够对车辆的功能降低进行检测并能够进行代替控制，因此使车辆的冗余性提高。

[构成2]

根据构成1所述的控制系统，其特征在于，

在所述第一监视部基于监视中的通信状况检测到与所述车辆相关的功能降低的情况下，所述第二行驶控制单元进行代替控制，

在所述第二监视部基于监视中的通信状况检测到与所述车辆相关的功能降低的情况下，所述第一行驶控制单元进行代替控制。

根据该构成，通过由与检测到功能降低的行驶控制单元不同的行驶控制单元进行代替控制，能够更安全地执行代替控制。

[构成3]

根据构成2所述的控制系统，其特征在于，在所述第三通信单元正常的情况下，所述第一行驶控制单元基于所述第一行驶控制单元通过所述第一通信单元从所述外界识别装置组获取的信息和所述第二行驶控制单元通过所述第三通信单元从所述外界识别装置组获取的信息来进行所述代替控制。

根据该构成，在进行代替控制时，通过持续利用能供有效使用的外界识别装置，能够实施稳定的代替控制。

[构成4]

根据构成3所述的控制系统，其特征在于，

所述外界识别装置组包括第一摄像机、第二摄像机、光学雷达和雷达，

所述第一行驶控制单元通过所述第一通信单元从所述第一摄像机以及所述光学雷达获取信息，

所述第二行驶控制单元通过所述第三通信单元从所述第二摄像机以及所述雷达获取信息，

在所述第三通信单元正常的情况下，所述第一行驶控制单元基于所述第一行驶控制单元通过所述第一通信单元从所述第一摄像机以及所述光学雷达获取的信息和所述第二行驶控制单元通过所述第三通信单元从所述雷达获取的信息来进行所述代替控制，而不使用基于所述第二摄像机的信息。

根据该构成，通过不利用类别重复的传感器来减少数据通信量，并且通过持续利用作为不同类别的传感器的雷达，能够实施稳定的代替控制。

[构成5]

根据构成1至4中任一构成所述的控制系统，其特征在于，所述第一监视部进一步监视所述第三通信单元的通信状况。

根据该构成，能够通过一方的行驶控制单元对双系统的外界识别装置双方进行监视。

[构成6]

根据构成1至5中任一构成所述的控制系统，其特征在于，

所述致动器组包括第一纵向控制致动器(42a、50)、第二纵向控制致动器(42b)、第一横向控制致动器(41a、42a、50)和第二横向控制致动器(41b、42b)，

所述第一行驶控制单元连接于所述第一纵向控制致动器和所述第一横向控制致动器中的至少一方，

所述第二行驶控制单元连接于所述第二纵向控制致动器和所述第二横向控制致动器中的至少一方。

根据该构成，在与一方的行驶控制单元连接的致动器发生了功能降低的情况下，能够由与另一方的行驶控制单元连接的致动器执行代替控制。

[构成7]

根据构成1至6中任一构成所述的控制系统，其特征在于，

所述第一行驶控制单元包括从所述外界识别装置组接收输入的第一处理装置(80a)和生成对所述致动器组的指示的第二处理装置(81a)，

所述第二行驶控制单元包括从所述外界识别装置组接收输入的第三处理装置(80b)和生成对所述致动器组的指示的第四处理装置(81b)，

所述第一监视部包含于所述第二处理装置，

所述第二监视部包含于所述第四处理装置。

根据该构成，能够在对致动器组生成指示的处理装置中检测功能降低。

[构成8]

根据构成1至7中任一构成所述的控制系统，其特征在于，

所述第一监视部将检测到与所述车辆相关的功能降低这一情况通知给所述第二行驶控制单元，

所述第二监视部将检测到与所述车辆相关的功能降低这一情况通知给所述第一行驶控制单元。

根据该构成，能够相互通知功能降低。

[构成9]

根据构成1至8中任一构成所述的控制系统，其特征在于，

所述控制系统还具备第三监视部，在基于所述第一行驶控制单元或第二行驶控制单元的代替控制的执行中，所述第三监视部监视向执行所述代替控制中的行驶控制单元输入的输入信息和从该行驶控制单元输出的输出信息，

所述第三监视部基于所述输入信息以及所述输出信息来抑制基于所述第一行驶控制单元或第二行驶控制单元的所述代替控制的执行。

根据该构成，通过监视代替控制的输入输出，能够防止因代替控制的功能降低而使车辆行为不稳定。

[构成10]

根据构成1至9中任一构成所述的控制系统，其特征在于，所述第一行驶控制单元和所述第二行驶控制单元中的至少一方在进行所述代替控制前对所述车辆的驾驶员请求驾驶交替，且在驾驶交替未被进行的情况下进行所述代替控制，在所述代替控制中使所述车辆停止。

根据该构成，能够将车辆转换为安全的状态。

[构成11]

一种车辆(v)，其具备构成1至10中任一构成所述的控制系统(1)、所述外界识别装置组(82)和所述致动器组(83)。

根据该构成，能够提供提高了冗余性的车辆。

[构成12]

一种控制方法，其是具有外界识别装置组(82)以及致动器组(83)的车辆(v)的控制方法，其特征在于，

所述车辆具备：

第一行驶控制单元(20a)，其进行所述车辆的第一行驶控制；

第二行驶控制单元(21b)，其进行所述车辆的第二行驶控制；

第一通信单元，其用于供所述第一行驶控制单元与所述外界识别装置组进行通信；

第二通信单元，其用于供所述第一行驶控制单元与所述致动器组进行通信；

第三通信单元，其用于供所述第二行驶控制单元与所述外界识别装置组进行通信；以及

第四通信单元，其用于供所述第二行驶控制单元与所述致动器组进行通信，所述控制方法具有：

所述第一行驶控制单元所包含的第一监视部(81a)监视所述第一通信单元的通信状况以及所述第二通信单元的通信状况的步骤；

所述第二行驶控制单元所包含的第二监视部(81b)监视所述第三通信单元的通信状况以及所述第四通信单元的通信状况的步骤；以及

在所述第一监视部或所述第二监视部基于监视中的通信状况检测到所述车辆的功能降低的情况下所述第一行驶控制单元和所述第二行驶控制单元中的至少一方进行代替控制的步骤。

根据该构成，第一行驶控制单元和第二行驶控制单元双方能够对车辆的功能降低进行检测并能够进行代替控制，因此使车辆的冗余性提高。

本发明并不局限于上述实施方式，能够不脱离本发明的精神以及范围地进行各种变更以及变形。因而，为了公开本发明的范围，附上以下的权利要求。