車両監査装置およびそれを用いた車両制御システム
【課題】制御対象に対する機能ドメイン制御手段による挙動制御の正当性を正しく判定し、機能ドメイン制御手段の冗長系の複雑化を防止する車両監査装置およびそれを用いた車両制御システムを提供する。
【解決手段】イントラボックス１００は、タイヤ７０の挙動を制御するステアリング制御装置３０およびブレーキ制御装置４０とは独立して設置されている。イントラボックス１００の挙動情報取得手段２１０は、各種センサの検出信号等から車両の実際の挙動情報を取得する。監査手段２４０は、車両の実挙動情報に基づいて、ステアリング制御装置３０およびブレーキ制御装置４０のタイヤ７０に対する挙動制御の正当性を判定する。ステアリング制御装置３０およびブレーキ制御装置４０による挙動制御が異常の場合、監査手段２４０は、車両の挙動異常を解消するように、ステアリング制御装置３０およびブレーキ制御装置４０に対して挙動制御の指令値を出す。
【解決手段】イントラボックス１００は、タイヤ７０の挙動を制御するステアリング制御装置３０およびブレーキ制御装置４０とは独立して設置されている。イントラボックス１００の挙動情報取得手段２１０は、各種センサの検出信号等から車両の実際の挙動情報を取得する。監査手段２４０は、車両の実挙動情報に基づいて、ステアリング制御装置３０およびブレーキ制御装置４０のタイヤ７０に対する挙動制御の正当性を判定する。ステアリング制御装置３０およびブレーキ制御装置４０による挙動制御が異常の場合、監査手段２４０は、車両の挙動異常を解消するように、ステアリング制御装置３０およびブレーキ制御装置４０に対して挙動制御の指令値を出す。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、車両に搭載された制御対象に対する機能ドメイン制御手段による挙動制御の正当性を監査する車両監査装置およびそれを用いた車両制御システムに関する。
【背景技術】
【０００２】
従来、車両に搭載された制御対象の挙動を、例えば駆動系、制動系等の機能ドメイン毎に制御する車両制御システムが知られている（例えば、特許文献１から４参照。）。
このような車両制御システムにおいては、制御対象、あるいは制御対象の挙動を制御する制御手段の異常を監視し、異常に対して適切な処理を実施する必要がある。
【０００３】
例えば、特許文献２では、パワーステアリングの操舵アシスト制御手段のメイン制御手段とサブ制御手段とが互いの制御の異常を監視している。
特許文献３では、各制御手段が自身の異常を検出し、走行環境に応じたフェールセーフ処理を実施する。
【０００４】
特許文献４では、車両の実際の加減速状態が運転者の意図したものであるかを制御手段が判定し、動力源に対してフェールセーフ処理を実施する。
【特許文献１】特開２００６−２９７９９４号公報
【特許文献２】特開２００４−１２２９４３号公報
【特許文献３】特開２００６−２９０１６８号公報
【特許文献４】特開２００５−２９１１７３号公報
【発明の開示】
【発明が解決しようとする課題】
【０００５】
しかしながら、このように制御対象の挙動を制御する制御手段が互いに、または制御手段自身の異常を検出する構成では、制御手段が異常の場合に制御対象の異常を正しく検出できないという問題がある。
【０００６】
また、制御手段の安全性を確保するために、制御手段自身が複雑な冗長系を保持する必要がある。
本発明は、上記問題を解決するためになされたものであり、制御対象に対する機能ドメイン制御手段による挙動制御の正当性を正しく判定し、機能ドメイン制御手段の冗長系の複雑化を防止する車両監査装置およびそれを用いた車両制御システムを提供することを目的とする。
【課題を解決するための手段】
【０００７】
請求項１から１９に記載の発明によると、制御対象の挙動を機能ドメイン毎に制御する機能ドメイン制御手段とは独立して設けられた監査手段が、機能ドメイン制御手段による挙動制御の正当性を車両の挙動情報に基づいて監査する。
【０００８】
ここで、監査手段が機能ドメイン制御手段とは独立して設けられているとは、機能ドメイン制御手段による挙動制御とは切り離され、機能ドメイン制御手段による挙動制御を監査する監査手段の監査機能が独立して設けられていることを表している。つまり、監査手段を構成するハードウェアとしての処理装置が、必ずしも機能ドメイン制御手段を構成する処理装置とは異なる別のものであることを表しているのではない。例えば、機能ドメイン制御手段および監査手段の少なくとも一部が、同じ処理装置により構成されてもよい。処理装置としては、例えば制御装置としてのＣＰＵ、記憶装置としてのＲＯＭ、ＲＡＭ等が考えられる。
【０００９】
これにより、機能ドメイン制御手段ではなく、機能ドメイン制御手段とは独立した第三者としての監査手段が機能ドメイン制御手段による挙動制御の正当性をシステム全体の観点から判断するので、機能ドメイン制御手段による挙動制御の正当性、言い換えれば異常を正しく判定できる。これにより、挙動制御の異常状態に応じて退避走行等の適切なフェールセーフ処理を実施できる。
【００１０】
また、例えば、複数の機能ドメイン制御手段が同じ制御対象の挙動を連携して制御する構成において、これら機能ドメイン制御手段においてそれぞれ挙動制御の正当性を判定する場合に比べ、機能ドメイン制御手段による挙動制御の監査機能を監査手段に集約して統合する方が、監査機能のハード量およびソフト量を低減できる。
【００１１】
また、機能ドメイン制御手段による挙動制御の監査機能が機能ドメイン制御手段とは独立した監査手段に集約されるので、機能ドメイン制御手段の冗長系を複雑化することなく機能ドメイン制御手段による挙動制御の安全性を確保できる。これにより、機能ドメイン制御手段のハード量およびソフト量の増加を防止できる。
【００１２】
請求項２に記載の発明によると、安全性要求の高い機能ドメイン制御手段と安全性要求の低い機能ドメイン制御手段とが共有する共有情報を記憶している記憶手段に対し、安全性要求の低い機能ドメイン制御手段からの共有情報の変更を情報保護手段が制限する。
【００１３】
これにより、安全性要求の低い機能ドメイン制御手段から共有情報に対して想定外の変更がなされることを防止できる。
請求項３に記載の発明によると、安全性要求の高い機能ドメイン制御手段のうちの少なくとも一部が安全性要求の低い機能ドメイン制御手段から提供される情報に基づき挙動制御の制御パラメータを調整する。この場合、機能ドメイン制御手段が自身の異常を検出する従来の方式では、安全性要求の高い機能ドメイン制御手段の安全性を確保するために安全性要求の低い機能ドメイン制御手段の安全性を上げる必要がある。
【００１４】
しかし、本発明では、監査手段が安全性要求の低い機能ドメイン制御手段による挙動制御の正当性を監査し安全性要求の低い機能ドメイン制御手段の冗長機能を果たすので、従来の安全性要求の低い機能ドメイン制御手段の冗長系を複雑化することなく機能ドメイン制御手段の安全性が上昇する。これにより、安全性要求の低い機能ドメイン制御手段のハード量およびソフト量を増加することなく、安全性要求の高い機能ドメイン制御手段の安全性を確保できる。
【００１５】
請求項４に記載の発明によると、監査手段は、複数の機能ドメイン制御手段から一つの制御対象に実施される挙動制御の正当性を監査する。
これにより、一つの制御対象に対して複数の機能ドメイン制御手段が異なる制御パラメータで挙動制御を行う場合に、制御対象に対して相反する挙動制御が実施され挙動制御が衝突したことを容易に検出できる。そして、監査手段は挙動制御の衝突を解消するために適切な処理を機能ドメイン制御手段に指令できる。
【００１６】
請求項５に記載の発明によると、車両に対して所定の挙動を要求する挙動要求に基づいて車両の挙動を挙動推定手段が推定し、車両の推定挙動と実挙動とを比較し車両挙動が異常であるかを挙動異常判定手段が判定する。
【００１７】
これにより、車両の実挙動だけでは異常と判定できない場合にも、推定挙動と比較することにより想定外の車両の挙動異常を検出できる。ここで、挙動推定手段が推定する車両挙動は、挙動要求に基づいた正常または異常な車両挙動のいずれであってもよい。どちらの車両挙動を推定しても、実挙動と比較することにより車両挙動の異常を判定できる。
【００１８】
請求項６に記載の発明によると、挙動推定手段は、車両に対する挙動要求に応じた車両挙動を物理モデルに基づいて推定する。これにより、挙動要求の値に関わらず挙動要求に基づいた車両挙動を同じ精度で推定できる。
【００１９】
請求項７に記載の発明によると、挙動推定手段は、車両に対する挙動要求に応じた車両挙動を車両挙動の異常パターンのデータベースに基づいて推定する。データベースを参照するという簡単な作業により、車両挙動を容易に推定できる。
【００２０】
請求項８に記載の発明によると、車両挙動が異常であると挙動異常判定手段が判定すると、車両挙動の異常を引き起こす可能性があると制御異常推定手段が推定した箇所の挙動制御を制御遮断手段が遮断する。
【００２１】
これにより、車両の挙動異常を引き起こす可能性のある挙動制御を、挙動異常から大まかに推定した範囲で速やかに遮断できる。その結果、車両の挙動異常を引き起こす可能性のある機能ドメイン制御手段による挙動制御が他の正常な挙動制御に与える影響を速やかに排除できる。
【００２２】
請求項９に記載の発明によると、車両挙動の異常を引き起こす可能性のある機能ドメイン制御手段による挙動制御の箇所を制御異常特定手段が制御異常推定手段よりもさらに詳細に特定する。そして、制御遮断手段は、制御異常特定手段が特定した箇所の挙動制御を遮断するとともに、制御異常推定手段の推定結果に基づいて遮断した箇所の挙動制御を復帰させる。
【００２３】
これにより、車両の挙動異常を引き起こす挙動制御の範囲を極力狭め、正常範囲と異常範囲との境界を明確にする。その結果、メンテナンスする箇所を容易に特定できる。
また、正常な挙動制御の範囲が極力広くなるので、正常範囲の挙動制御を使用して適切なフェールセーフ処理を実施できる。
【００２４】
請求項１０に記載の発明によると、一つの前記制御対象の挙動を制御している複数の機能ドメイン制御手段による挙動制御のうちの一部が制御遮断手段により遮断された場合、他の機能ドメイン制御手段による挙動制御により制御対象の挙動を制御可能であれば、遮断された箇所の挙動制御を補う他の挙動制御の制御パラメータを制御パラメータ算出手段が算出する。ここで、一つの制御対象とは、１個の制御対象の場合もあるし、同種の複数の制御対象の場合もある。
【００２５】
これにより、遮断されていない正常な挙動制御により極力適切なフェールセーフ処理を実施できる。
請求項１１に記載の発明によると、挙動情報取得手段と監査手段とを一組として複数組が互いに離れて車両に設置される。
【００２６】
これにより、例えば事故等により二組のうちの一方の監査機能が停止しても、正常な他方の組で監査機能を継続できる。
請求項１２に記載の発明によると、挙動情報取得手段と監査手段とを一組とする複数組のうち少なくとも二組は、車両において冗長系を構成する異なる電源系から電力を供給され、車両において冗長系を構成する異なる通信系により通信する。
【００２７】
これにより、一方の電源系または通信系に異常が発生しても、正常な他方の電源系または通信系を使用する挙動情報取得手段と監査手段との組により監査機能を継続できる。
請求項１３に記載の発明によると、挙動情報取得手段と監査手段とを一組として複数組を備える場合、複数の監査手段のそれぞれは、自身を含む複数の監査手段の監査結果と、機能ドメイン制御手段による監査結果とから、他の監査手段および機能ドメイン制御手段の異常を多数決判定手段により判定する。
【００２８】
これにより、機能ドメイン制御手段の異常だけでなく、監査手段の異常も判定できる。
ここで、例えば、クルーズコントロールをオンにした状態で濡れた路面を走行中にスリップしてフューエルカットされる場合など、制御対象に対する機能ドメイン制御手段による個々の挙動制御が正常であっても、車両の走行環境によって車両の挙動が一時的に異常になることがある。
【００２９】
そこで請求項１４に記載の発明によると、車両の挙動が異常であり、機能ドメイン制御手段による挙動制御が正常である場合、挙動制御調整手段が機能ドメイン制御手段に設定された挙動制御の優先順位に基づいて挙動制御の実施を調整し、車両の挙動異常を緩和する。
【００３０】
これにより、車両を極力安全に走行させることができる。このような処理は、機能ドメイン制御手段とは独立した第三者としての監査手段が車両の挙動情報に基づいて機能ドメイン制御手段による挙動制御の正当性を監視しているからこそ可能である。
【００３１】
請求項１５に記載の発明によると、車両監査装置は、機能ドメイン制御手段に電力を供給する電源とは異なる電源から電力を供給される。
これにより、車両監査装置は、機能ドメイン制御手段に電力を供給する電源の動作不良の影響を受けることなく監査処理を実施できる。
【００３２】
請求項１６に記載の発明によると、車両監査装置のインタフェース手段は、機能ドメイン制御手段が接続する信号系とは異なる信号系と接続し、車両の挙動情報の少なくとも一部を挙動情報取得手段に供給する。
【００３３】
これにより、監査手段は、機能ドメイン制御手段が接続する信号系の動作不良の影響を受けることなく、インタフェース手段を介して取得した挙動情報に基づいて監査処理を実施できる。
【００３４】
請求項１７に記載の発明によると、監査装置は、機能ドメイン制御手段を構成する処理装置とは異なる処理装置により構成されている。
これにより、監査手段は、機能ドメイン制御手段の処理装置の動作不良にかかわらず、例えば演算または情報の記憶、読み出しを実施できる。
【００３５】
請求項１８に記載の発明によると、監査手段が挙動情報に基づいて車両挙動量を推定するアルゴリズムは、機能ドメイン制御手段が制御対象に対する挙動制御量を算出するアルゴリズムと異なっている。
【００３６】
これにより、監査手段または機能ドメイン制御手段においてソフトウェアによる制御異常が発生したときに、監査手段および機能ドメイン制御手段の両方で同じ原因でソフトウェアによる制御異常が発生することを防止できる。
【００３７】
尚、本発明に備わる複数の手段の各機能は、構成自体で機能が特定されるハードウェア資源、プログラムにより機能が特定されるハードウェア資源、またはそれらの組み合わせにより実現される。また、これら複数の手段の各機能は、各々が物理的に互いに独立したハードウェア資源で実現されるものに限定されない。
【発明を実施するための最良の形態】
【００３８】
以下、本発明の実施の形態を図に基づいて説明する。
［第１実施形態］
本発明の第１実施形態による車両監査装置を用いた車両制御システムを図１に示す。
【００３９】
（車両制御システム１０）
車両制御システム１０は、電源制御装置(Battery ECU)２０、ステアリング制御装置(Steering ECU)３０、ブレーキ制御装置(Brake ECU)４０、車体制御装置(Body ECU)５０、ナビゲーション制御装置(Navigation ECU)６０、イントラボックス(Intra Box)１００等から構成されている。電源制御装置２０、ステアリング制御装置３０、ブレーキ制御装置４０、車体制御装置５０、ナビゲーション制御装置６０は、それぞれ機能ドメインである電源制御、ステアリング制御、ブレーキ制御、車体制御、ナビゲーション制御毎に制御対象の挙動を制御する。
【００４０】
電源制御装置２０、ステアリング制御装置３０、ブレーキ制御装置４０、車体制御装置５０、ナビゲーション制御装置６０は、特許請求の範囲に記載した機能ドメイン制御手段に相当し、イントラボックス１００は、特許請求の範囲に記載した車両監査装置に相当する。
【００４１】
機能ドメイン制御手段のうち、例えばステアリング制御装置３０およびブレーキ制御装置４０は、高い安全性が要求される高安全性要求の装置である。車体制御装置５０およびナビゲーション制御装置６０はステアリング制御装置３０およびブレーキ制御装置４０よりも安全性の要求が低い低安全性要求の装置である。
【００４２】
電源制御装置２０は、ステアリング制御装置３０、ブレーキ制御装置４０およびイントラボックス１００に電力を供給する電源を制御する。電源制御装置２０による電源の制御とは、電源からの電力供給量、電源に蓄積する電力量、入出力時間特性の異なる電源が存在する場合には入出力時間特性に応じた電源の切り替え等である。車体制御装置５０およびナビゲーション制御装置６０への電力供給は、別の電源系の電源制御装置が制御する。
【００４３】
本実施形態では、前述したように電源制御装置２０を機能ドメイン制御手段として規定した。これに対し、電源制御装置２０が単に供給電力を制御するだけならば、機能ドメイン制御手段に該当しないこともある。
【００４４】
また、図１では、ステアリング制御装置３０、ブレーキ制御装置４０およびイントラボックス１００に電力を供給する電源系は１系統であるが、２重系にしてもよい。２重系の場合、電源制御装置２０も各電源系に設置される。この場合、車体制御装置５０およびナビゲーション制御装置６０は、２重系の一方の電源系から電力を供給されてもよいし、これとは別の他の電源系から電力を供給されてもよい。
【００４５】
図１の構成に対し、図２の車両制御システム１２のように、ステアリング制御装置３０およびブレーキ制御装置４０等の機能ドメイン制御手段に電力を供給する電源とは異なる電源８０からイントラボックス１００に電力を供給し、機能ドメイン制御手段に電力を供給する電源系と、イントラボックス１００に電力を供給する電源系とを別系統にしてもよい。これにより、機能ドメイン制御手段の電源系に動作不良が生じても、イントラボックス１００は監査処理を実施できる。
【００４６】
また、電源８０は、イントラボックス１００の専用電源であってもよいし、機能ドメイン制御手段以外の他の装置に電力を供給する電源と共有であってもよい。電源８０がイントラボックス１００の専用電源である場合、電源８０およびイントラボックス１００で車両監査装置を構成してもよい。
【００４７】
ステアリング制御装置３０は、ステアリング操舵角度を検出する角度検出センサの検出信号に基づき、各タイヤ７０の操舵角度を制御する。
ブレーキ制御装置４０は、ブレーキペダルの踏込量を検出するセンサの検出信号に基づき、各タイヤ７０の制動量を制御する。
【００４８】
車体制御装置５０は、車両のドア、空調等を制御する。ナビゲーション制御装置６０は、例えば、ＧＰＳ等の衛星測位システムおよび地図データに基づき、車両の目的地までの経路を探索し最適な経路を案内する。
【００４９】
（イントラボックス１００）
イントラボックス１００は、インタフェース手段２００、挙動情報取得手段２１０、情報保護手段２２０（図３参照）および監査手段２４０等から構成されている。インタフェース手段２００、挙動情報取得手段２１０、情報保護手段２２０および監査手段２４０は、図示しないＣＰＵ、ＲＯＭ、ＲＡＭ、およびフラッシュメモリ等の書換可能な不揮発性メモリ等により構成されている。
【００５０】
イントラボックス１００を構成する上記ＣＰＵ、ＲＯＭ、ＲＡＭ、およびフラッシュメモリ等のハードウェアとしての処理装置は、機能ドメイン制御手段とは異なる独立した処理装置で構成されている。
【００５１】
これにより、機能ドメイン制御手段の処理装置に動作不良が生じても、イントラボックス１００は、動作不良が生じている機能ドメイン制御手段の処理装置の影響を受けずに監査処理を実施できる。
【００５２】
また、イントラボックス１００が車両挙動量を推定するアルゴリズムと、機能ドメイン制御手段が制御対象に対する挙動制御量を算出するアルゴリズムとは異なっていることが望ましい。さらに、イントラボックス１００と機能ドメイン制御手段とにおいて、アルゴリズムを開発するモデルツール、コンパイラ等のソフトウェア生成ツール、ソフトウェアから機械語に変換する自動コード生成ツール、設計者、および設計思想等のソフトウェア仕様およびソフトウェア開発環境がそれぞれ異なっていることが望ましい。
【００５３】
これにより、イントラボックス１００または機能ドメイン制御手段においてソフトウェアによる制御異常が発生したときに、イントラボックス１００および機能ドメイン制御手段の両方で同じ原因でソフトウェアによる制御異常が発生することを防止できる。
【００５４】
（インタフェース手段２００）
インタフェース手段２００は、イントラボックス１００が機能ドメイン制御手段と通信する通信系のインタフェース手段（図１、２では図示していない。）とは別に設けられている。インタフェース手段２００は、機能ドメイン制御手段が接続している信号系とは異なる信号系から各種センサの信号を入力する。これにより、機能ドメイン制御手段が接続する信号系の動作不良の影響を受けることなく、イントラボックス１００は、インタフェース手段を介して各種センサの検出信号を入力することができる。
【００５５】
インタフェース手段２００が接続する信号系は、各種センサの検出信号を入力する信号系に限らず、例えば機能ドメイン制御手段が接続している通信系とは異なる通信系であってもよい。イントラボックス１００は、機能ドメイン制御手段が接続している通信系とは異なる通信系を介して、機能ドメイン制御手段が接続している通信系の動作不良の影響を受けることなくデータの送受信を実施できる。
【００５６】
イントラボックス１００を以下の各手段として機能させる制御プログラムは、イントラボックス１００のＲＯＭ、フラッシュメモリ等の記憶手段に記憶されている。
（挙動情報取得手段２１０）
挙動情報取得手段２１０は、インタフェース手段２００が入力した各種センサの検出信号等から車両の実際の挙動情報を取得する。
【００５７】
（情報保護手段２２０）
図３に示すように、高安全性要求のステアリング制御装置３０およびブレーキ制御装置４０と低安全性要求の車体制御装置５０とは共有メモリ２３０を参照可能である。
【００５８】
しかし、低安全性要求の車体制御装置５０が自由に共有メモリ２３０を参照し記憶されている共有情報を書き換えて変更すると、共有情報を利用するステアリング制御装置３０およびブレーキ制御装置４０の安全性を確保できないことがある。
【００５９】
そこで、情報保護手段２２０は、低安全性要求の車体制御装置５０に対し、共有メモリ２３０への読み出しは許可するが、書き込みは禁止する参照制限を設定する。この制限は、共有メモリ２３０の一部の記憶域に対してでもよいし、共有メモリ２３０の全記憶域に対してでもよい。これにより、低安全性要求の車体制御装置５０と情報を共有する高安全性要求のステアリング制御装置３０およびブレーキ制御装置４０の安全性を確保できる。
【００６０】
これに対し、例えば低安全性要求の車体制御装置５０からの書き込みが許可されている記憶域において、車体制御装置５０が書き込んだ情報を高安全性要求のステアリング制御装置３０またはブレーキ制御装置４０が読み出し、タイヤ７０に対する挙動制御の制御パラメータを調整することがある。
【００６１】
この場合、本実施形態では、監査手段２４０が低安全性要求の車体制御装置５０による挙動制御の正当性を監査し車体制御装置５０の冗長機能を果たすので、車体制御装置５０の冗長系を複雑化することなく車体制御装置５０の安全性が上昇している。これにより、車体制御装置５０のハード量およびソフト量を増加することなく、高安全性要求のステアリング制御装置３０およびブレーキ制御装置４０の安全性を確保できる。
【００６２】
（監査手段２４０）
監査手段２４０は、挙動情報取得手段２１０が取得した車両の挙動情報に基づいて、例えば機能ドメイン制御手段であるステアリング制御装置３０およびブレーキ制御装置４０のタイヤ７０に対する挙動制御の正当性を判定する。監査手段２４０は、タイヤ７０に対するステアリング制御装置３０またはブレーキ制御装置４０の挙動制御により車両の挙動が異常になったと判断すると、ステアリング制御装置３０またはブレーキ制御装置４０による挙動制御が正当ではなく異常であると判定する。そして監査手段２４０は、車両の挙動異常を解消するように、ステアリング制御装置３０またはブレーキ制御装置４０に対して挙動制御の指令値を出す。
【００６３】
このように、個々の機能ドメイン制御手段ではなく、機能ドメイン制御手段とは独立した第三者としての監査手段２４０が機能ドメイン制御手段による挙動制御の正当性を判断するので、機能ドメイン制御手段による挙動制御の異常を正しく検出できる。これにより、挙動制御の異常状態に応じて適切なフェールセーフ処理を実施できる。
【００６４】
また、機能ドメイン制御手段による挙動制御の監査機能を機能ドメイン制御手段とは独立した監査手段２４０に集約するので、従来の機能ドメイン制御手段の冗長系を複雑化することなく、機能ドメイン制御手段の安全性を確保できる。
【００６５】
監査手段２４０は、図１に示すように、一つの制御対象である各タイヤ７０の挙動を制御する複数の機能ドメイン制御手段であるステアリング制御装置３０およびブレーキ制御装置４０による挙動制御の正当性を監査することにより、ステアリング制御装置３０とブレーキ制御装置４０とがタイヤ７０に対して相反する挙動制御を実施したことを容易に検出できる。その結果、タイヤ７０に対するステアリング制御装置３０およびブレーキ制御装置４０の挙動制御を調整し、車両の挙動異常を低減できる。
【００６６】
また監査手段２４０は、一つの制御対象の挙動を制御する一つの機能ドメイン制御手段による挙動制御の正当性を監査してもよい。
（挙動異常判定、異常制御箇所遮断）
次に、車両挙動に基づいて機能ドメイン制御手段による挙動制御の正当性を判定し、挙動制御の異常箇所を遮断する監査手段２４０の各手段として、挙動要求取得手段２５０、挙動推定手段２５２、実挙動検出手段２５４、挙動異常判定手段２５６、制御異常推定手段２６０、制御異常特定手段２６２、制御遮断手段２６４について図４に基づいて説明する。
【００６７】
（挙動要求取得手段２５０）
挙動要求取得手段２５０は、運転者によるステアリング、アクセルペダル、ブレーキペダル等の操作、あるいはクルーズコントロール等の操作装置からの指示に基づき、車両に対する挙動要求を取得する。
【００６８】
（挙動推定手段２５２）
挙動推定手段２５２は、挙動要求取得手段２５０が取得した車両に対する挙動要求に基づいて車両の挙動を推定する。挙動推定手段２５２は、例えば、以下のいずれかの方法で車両挙動を推定する。
【００６９】
（１）物理モデル
挙動推定手段２５２は、挙動要求取得手段２５０が取得した車両の挙動要求を入力値として、予め設定している車両の物理モデルから車両の正常挙動を推定する。
【００７０】
挙動推定手段２５２は、物理モデルから推定挙動を取得することにより、挙動要求の値に関わらず挙動要求に基づいた車両挙動を同じ精度で推定できる。
（２）データベース
挙動推定手段２５２は、シミュレーション等により、車両の挙動要求に対する車両挙動の異常パターンを予めデータベースとして記憶手段に記憶しておく。そして、挙動推定手段２５２は、挙動要求を入力値としてデータベースを参照し、車両の異常パターンの推定挙動を取得する。挙動要求の入力値がデータベースを参照するための参照キーと一致しない場合には、挙動要求の入力値を中間値とする例えば２個の参照キーにより推定挙動値を取得し、取得した推定挙動値の平均値を挙動要求の入力値に対する推定挙動とする。
【００７１】
挙動推定手段２５２は、データベースを参照するという簡単な作業により、車両挙動を容易に推定できる。
データベースに記憶する車両挙動のパターンとして、異常パターンではなく正常パターンを記憶してもよい。
【００７２】
（実挙動検出手段２５４）
実挙動検出手段２５４は、各種センサの検出信号から、車両の実際の挙動を検出する。
（挙動異常判定手段２５６）
挙動異常判定手段２５６は、挙動推定手段２５２が推定した車両の正常な推定挙動または異常な推定挙動と、実挙動検出手段２５４が検出した車両の実挙動とを比較する。正常な推定挙動の場合には、推定挙動に対して実挙動の挙動方向、挙動量が異常であれば車両挙動が異常であると判定する。異常な推定挙動の場合には、推定挙動と実挙動とが一致していれば車両挙動が異常であると判定する。車両挙動が異常であれば、挙動の異常な制御対象の挙動を制御した機能ドメイン制御手段による挙動制御が異常であると判断できる。
【００７３】
（制御異常推定手段２６０）
制御異常推定手段２６０は、物理モデルまたはデータベースから推定した推定挙動と実挙動とを比較し、挙動異常判定手段２５６が車両挙動の異常であると判定すると、車両挙動の異常を引き起こした可能性のある機能ドメイン制御手段による挙動制御を推定挙動と実挙動との差から推定する。例えば図４では、制御異常推定手段２６０は、上位４００および下位４０２、４０４のうち上位４００側の挙動制御を異常箇所として推定する。
【００７４】
（制御異常特定手段２６２）
制御異常特定手段２６２は、挙動異常判定手段２５６が車両挙動の異常であると判定すると、機能ドメイン制御手段から、制御対象に対する挙動制御値、それに対する制御対象の挙動値等を取得する。制御異常特定手段２６２は、制御対象に対する挙動制御値と、それに対する制御対象の挙動値とを、挙動異常判定手段２５６の判定結果に関わらず常時取得してもよい。
【００７５】
そして、制御異常特定手段２６２は、制御対象に対する挙動制御値と、それに対する制御対象の挙動値とを比較し、車両挙動の異常を引き起こした可能性のある機能ドメイン制御手段による挙動制御の箇所を制御異常推定手段２６０よりもさらに絞り込んで特定する。例えば図４では、制御異常特定手段２６２は、上位４００よりも下位４０２、４０４に絞り込んで挙動制御の異常箇所を特定する。
【００７６】
（制御遮断手段２６４）
制御遮断手段２６４は、車両挙動に異常が発生すると、まず、制御異常推定手段２６０が大まかに推定した機能ドメイン制御手段の異常箇所（図４の上位４００）の挙動制御を遮断する。これにより、車両挙動の異常を引き起こした挙動制御が他の正常な挙動制御に与える影響を速やかに排除できる。
【００７７】
さらに、制御遮断手段２６４は、制御異常特定手段２６２が特定した箇所（図４の下位４０２、４０４）の挙動制御を遮断するとともに、制御異常推定手段２６０の推定結果に基づいて遮断した箇所（図４の上位４００）の挙動制御を復帰させる。
【００７８】
これにより、制御遮断手段２６４は、車両挙動の異常を引き起こす挙動制御の範囲を極力狭め、正常範囲と異常範囲との境界を明確にする。その結果、メンテナンスする箇所を容易に特定できる。
【００７９】
また、正常な挙動制御の範囲が極力広くなるので、正常範囲の挙動制御を使用して適切なフェールセーフ処理を実施できる。
また監査手段２４０は、車両挙動の異常を引き起こす箇所の機能ドメイン制御手段による挙動制御を単に遮断するだけでなく、図５に示す制御可能判定手段２７０、制御パラメータ算出手段２７２により、遮断した箇所の挙動制御を正常な挙動制御で補う処理を実施することが望ましい。
【００８０】
（制御可能判定手段２７０）
ステアリング制御装置３０およびブレーキ制御装置４０のように、一つの制御対象であるタイヤ７０の挙動を複数の機能ドメイン制御手段が制御している場合、制御可能判定手段２７０は、制御遮断手段２６４により遮断された箇所の機能ドメイン制御手段による挙動制御を他の正常な機能ドメイン制御手段による挙動制御で補えるかを判定する。
【００８１】
（制御パラメータ算出手段２７２）
制御可能判定手段２７０が遮断された箇所の機能ドメイン制御手段による挙動制御を他の正常な機能ドメイン制御手段による挙動制御で補えると判定すると、制御パラメータ算出手段２７２は、遮断された箇所の機能ドメイン制御手段による挙動制御を補うために、正常な機能ドメイン制御手段が制御対象の挙動を制御する制御パラメータを算出する。これにより、挙動制御可能な範囲で極力適切な退避走行等のフェールセーフ処理を実施できる。
【００８２】
（車両挙動異常で機能ドメイン制御手段正常）
図６に示すように、監査手段２４０は、挙動制御調整手段２８０を設けていることが望ましい。この場合、複数の機能ドメイン制御手段による挙動制御には、挙動制御の実施順序または挙動制御の制御量等の優先順位が予め設定されている。
【００８３】
（挙動制御調整手段２８０）
挙動制御調整手段２８０は、車両の挙動が異常であり、機能ドメイン制御手段による挙動制御が正常である場合、予め機能ドメイン制御手段に設定された挙動制御の優先順位に基づいて挙動制御の実施を調整し、車両の挙動異常を緩和する。
【００８４】
これにより、例えばクルーズコントロールをオンにした状態で濡れた路面を走行中にスリップしてフューエルカットされる場合など、制御対象に対する機能ドメイン制御手段による個々の挙動制御が正常であっても、車両の走行環境によって車両挙動が一時的に異常になることがある場合に、車両を極力安全に走行させることができる。
【００８５】
（監査処理ルーチン）
次に、イントラボックス１００による監査処理ルーチンのうち、異常箇所推定ルーチン、異常箇所特定ルーチン、制御パラメータ合成ルーチン、優先制御ルーチンについて、制御対象をタイヤとして図７から図１０に基づいて説明する。各ルーチンにおいて「Ｓ」はステップを表している。
【００８６】
（異常箇所推定ルーチン）
図７に示す異常箇所推定ルーチンは常時実行される。Ｓ５００においてイントラボックス１００は、前述した車両の物理モデルまたは車両挙動のデータベースから、タイヤ７０の挙動要求を入力値としてタイヤの推定挙動を取得する。
【００８７】
Ｓ５０２においてイントラボックス１００は、タイヤ７０の推定挙動と、センサの検出信号から取得したタイヤ７０の実挙動とを比較する。正常であれば、イントラボックス１００はＳ５００に処理を戻す。
【００８８】
異常であれば、Ｓ５０４においてイントラボックス１００は、タイヤ７０の挙動異常を引き起こしたステアリング制御装置３０またはブレーキ制御装置４０による挙動制御の異常箇所を推定する。
【００８９】
そして、Ｓ５０６においてイントラボックス１００は、Ｓ５０４で推定した箇所（例えば、図４の上位４００）の挙動制御を遮断し、正常であると推定した挙動制御により適切なフェールセーフ処理をステアリング制御装置３０およびブレーキ制御装置４０に指令する。
【００９０】
（異常箇所特定ルーチン）
図８に示す異常箇所特定ルーチンは、図７の異常箇所推定ルーチンと並行して常時実行されるか、あるいは図７の異常箇所推定ルーチンのＳ５０２において異常であると判定された場合に実行される。
【００９１】
Ｓ５１０においてイントラボックス１００は、タイヤ７０に対するステアリング制御装置３０およびブレーキ制御装置４０による挙動制御の指令値と、センサの検出信号から検出した実際のタイヤ７０の挙動値とを取得する。
【００９２】
Ｓ５１２においてイントラボックス１００は、タイヤ７０に対する挙動制御の指令値と実際の挙動値とを比較し、その差からタイヤの挙動が異常であるかを判定する。正常であれば、イントラボックス１００はＳ５１０に処理を戻す。
【００９３】
タイヤの挙動が異常であれば、Ｓ５１４においてイントラボックス１００は、挙動制御の指令値と実際の挙動値との差に基づいて、ステアリング制御装置３０またはブレーキ制御装置４０による挙動制御の異常箇所を異常箇所推定ルーチンよりも絞り込んで特定する。
【００９４】
Ｓ５１６においてイントラボックス１００は、Ｓ５１４で特定した箇所（例えば、図４の下位４０２、４０４）の挙動制御を遮断するとともに、異常箇所推定ルーチンで遮断した箇所（例えば、図４の上位４００）の挙動制御の遮断を解除する。そして、正常であると特定した挙動制御により適切なフェールセーフ処理をステアリング制御装置３０およびブレーキ制御装置４０に指令する。
【００９５】
（制御パラメータ合成ルーチン）
図９に４個のタイヤの一部の挙動が異常である場合の挙動制御の制御パラメータ合成ルーチンについて説明する。図９の制御パラメータ合成ルーチンは、タイヤ７０の挙動異常が発生した場合に実行される。
【００９６】
タイヤ７０のいずれかに挙動異常が発生すると、Ｓ５２０においてイントラボックス１００は、挙動異常が発生したタイヤ７０に対するステアリング制御装置３０およびブレーキ制御装置４０の異常箇所の挙動制御を遮断した残りの挙動制御の制御ベクトル（制御パラメータ）を合成する。
【００９７】
Ｓ５２２においてイントラボックス１００は、挙動異常が発生していないタイヤ７０に対する挙動制御の制御ベクトルと、Ｓ５２０で合成した挙動異常が発生しているタイヤ７０に対する制御ベクトルとを合成する。
【００９８】
Ｓ５２４においてイントラボックス１００は、Ｓ５２２で合成した４個のタイヤに対する制御ベクトルの合成値に基づき、正常な３個のタイヤ７０に対する挙動制御が異常な１個のタイヤ７０に対する挙動制御を補い４個のタイヤ７０を安全に操舵および制動して車両が安全に走行できるように、各タイヤ７０に対する制御パラメータを算出する。
【００９９】
ステアリング制御装置３０およびブレーキ制御装置４０は、イントラボックス１００が算出した制御パラメータに基づいてタイヤ７０の挙動を制御する。
（優先制御ルーチン）
図１０に、車両挙動は異常であるが各機能ドメイン制御手段による挙動制御は正常である場合の、物理モデルやデータベースでは想定していない異常に対する優先制御ルーチンについて説明する。機能ドメイン制御手段による挙動制御には、予め実行順序または制御量について優先順位が設定されている。図１０に示す優先制御ルーチンは常時実行される。
【０１００】
Ｓ５３０においてイントラボックス１００は、タイヤ７０に対するステアリング制御装置３０およびブレーキ制御装置４０による挙動制御の指令値と、センサの検出信号から検出した実際のタイヤ７０の挙動値とを取得する。
【０１０１】
Ｓ５３２においてイントラボックス１００は、タイヤ７０に対する挙動制御の指令値から車両挙動を推定する。
Ｓ５３４においてイントラボックス１００は、タイヤ７０に対する挙動制御の指令値と実際の挙動値とを比較し、その差からタイヤの挙動が異常であるかを判定する。正常であれば、イントラボックス１００はＳ５３０に処理を戻す。
【０１０２】
タイヤ７０の挙動が異常であれば、Ｓ５３６においてイントラボックス１００は、タイヤ７０に対する挙動制御が正常であるか異常であるかを判定する。
挙動制御が異常であるためにタイヤ７０の挙動が異常であれば、Ｓ５３８においてイントラボックス１００は、例えば異常箇所の挙動制御を遮断し、正常箇所の挙動制御により退避走行等のフェールセーフ処理を実施する。
【０１０３】
タイヤ７０に対する挙動制御が正常であるにも関わらずタイヤ７０の挙動が異常である場合、イントラボックス１００は、想定外の異常が発生していると判断する。そしてイントラボックス１００は、Ｓ５４０において車両を安全走行させるために予め設定されている優先順位を判定する。
【０１０４】
そして、Ｓ５４２においてイントラボックス１００は、優先順位に基づいてタイヤ７０に対するステアリング制御装置３０およびブレーキ制御装置４０による挙動制御を調整し、車両の挙動異常を緩和する。これにより、車両を極力安全に走行させることができる。
【０１０５】
［第２実施形態］
本発明の第２実施形態による車両監査装置を用いた車両制御システムを図１１に示す。第２実施形態の車両制御システム１４では、１個のイントラボックスではなく、複数のイントラボックス２９０、３００で車両監査装置を構成している。
【０１０６】
図１１では、２個のイントラボックス２９０、３００が互いに離れて車両に設置されている。イントラボックス２９０は車両の前方に設置され、主に車両の前方の制御対象の挙動を制御する。イントラボックス３００は車両の後方に設置され、主に車両の後方の制御対象の挙動を制御する。イントラボックス２９０、３００は、それぞれ監査手段２９２、３０２、挙動情報取得手段２９４、３０４、多数決判定手段２９６、３０６等により構成されている。
【０１０７】
これにより、事故等で一方のイントラボックスが破損して作動不能になっても、正常な他方のイントラボックスにより機能ドメイン制御手段による挙動制御の正当性を監査できる。
【０１０８】
イントラボックス２９０、３００は、それぞれ異なる電源系である電源３１０、３１２から電力を供給される。また、イントラボックス２９０、３００、ならびに機能ドメイン制御手段３３０、３３２はそれぞれ通信手段としての異なる通信系３２０、３２２に接続している。イントラボックス２９０、３００は、異なる通信系３２０、３２２により、他方のイントラボックスおよび通信系３２０、３２２に接続している機能ドメイン制御手段３３０、３３２と通信する。尚、機能ドメイン制御手段３３０、３３２の安全性要求が低い場合には、機能ドメイン制御手段３３０、３３２は通信系３２０、３２２のいずれか一方に接続してもよい。
【０１０９】
これにより、冗長系を構成する電源３１０、３１２、通信系３２０、３２２の一方の系が作動不能になっても、正常な他方の系でイントラボックスは監査処理を実施できる。
多数決判定手段２９６、３０６は、２個のイントラボックス２９０、３００の監査手段２９２、３０２による監査結果と、少なくとも１個の機能ドメイン制御手段による監査結果とから、自身のイントラボックス２９０、３００の監査手段２９２、３０２および機能ドメイン制御手段の制御の正当性を多数決で判定する。これにより、機能ドメイン制御手段の異常だけでなく、監査手段の異常も判定できる。
【０１１０】
［他の実施形態］
上記実施形態では、機能ドメイン制御手段を複数設置した車両制御システムについて説明した。これに対し、機能ドメイン制御手段が一つだけの車両制御システムであってもよい。このシステム構成においても、機能ドメイン制御手段が複数の場合と同じイントラボックスを使用し、監査処理を実施できる。
【０１１１】
上記実施形態では、イントラボックスと機能ドメイン制御手段とが異なる処理装置で構成されている例について説明した。これに対し、機能ドメイン制御手段およびイントラボックスの監査手段の少なくとも一部が、同じ処理装置により構成されてもよい。この場合にも、機能ドメイン制御手段による挙動制御を監査する監査手段の監査機能は、機能ドメイン制御手段による挙動制御とは切り離され、独立して設けられている。
【０１１２】
このように、本発明は、上記実施形態に限定されるものではなく、その要旨を逸脱しない範囲で種々の実施形態に適用可能である。
【図面の簡単な説明】
【０１１３】
【図１】第１実施形態による車両制御システムを示すブロック図。
【図２】イントラボックスに電源を供給する他の形態を示すブロック図。
【図３】情報保護手段を示すブロック図。
【図４】挙動異常判定手段、制御遮断手段を示すブロック図。
【図５】制御パラメータ算出手段を示すブロック図。
【図６】挙動制御調整手段を示すブロック図。
【図７】挙動制御の異常箇所の推定ルーチンを示すフローチャート。
【図８】挙動制御の異常箇所の特定ルーチンを示すフローチャート。
【図９】制御パラメータの合成ルーチンを示すフローチャート。
【図１０】優先順位に基づいた挙動制御の優先制御ルーチンを示すフローチャート。
【図１１】第２実施形態による車両制御システムを示すブロック図。
【符号の説明】
【０１１４】
１０、１２、１４：車両制御システム、２０：電源制御装置、３０：ステアリング制御装置（機能ドメイン制御手段）、４０：ブレーキ制御装置（機能ドメイン制御手段）、５０：車体制御装置（機能ドメイン制御手段）、６０：ナビゲーション制御装置（機能ドメイン制御手段）、１００、２９０、３００：イントラボックス（車両監査装置）、２００：インタフェース手段、２１０、２９４、３０４：挙動情報取得手段、２２０情報保護手段、２３０：共有メモリ、２４０、２９２、３０２：監査手段、２５０：挙動要求取得手段、２５２：挙動推定手段、２５４：実挙動検出手段、２５６：挙動異常判定手段、２６０：制御異常推定手段、２６２：制御異常特定手段、２６４：制御遮断手段、２７０：制御可能判定手段、２７２：制御パラメータ算出手段、２８０：挙動制御調整手段、２９６、３０６：多数決判定手段、３１０、３１２：電源（電源系）、３２０、３２２：通信系、３３０、３３２：機能ドメイン制御手段
【技術分野】
【０００１】
本発明は、車両に搭載された制御対象に対する機能ドメイン制御手段による挙動制御の正当性を監査する車両監査装置およびそれを用いた車両制御システムに関する。
【背景技術】
【０００２】
従来、車両に搭載された制御対象の挙動を、例えば駆動系、制動系等の機能ドメイン毎に制御する車両制御システムが知られている（例えば、特許文献１から４参照。）。
このような車両制御システムにおいては、制御対象、あるいは制御対象の挙動を制御する制御手段の異常を監視し、異常に対して適切な処理を実施する必要がある。
【０００３】
例えば、特許文献２では、パワーステアリングの操舵アシスト制御手段のメイン制御手段とサブ制御手段とが互いの制御の異常を監視している。
特許文献３では、各制御手段が自身の異常を検出し、走行環境に応じたフェールセーフ処理を実施する。
【０００４】
特許文献４では、車両の実際の加減速状態が運転者の意図したものであるかを制御手段が判定し、動力源に対してフェールセーフ処理を実施する。
【特許文献１】特開２００６−２９７９９４号公報
【特許文献２】特開２００４−１２２９４３号公報
【特許文献３】特開２００６−２９０１６８号公報
【特許文献４】特開２００５−２９１１７３号公報
【発明の開示】
【発明が解決しようとする課題】
【０００５】
しかしながら、このように制御対象の挙動を制御する制御手段が互いに、または制御手段自身の異常を検出する構成では、制御手段が異常の場合に制御対象の異常を正しく検出できないという問題がある。
【０００６】
また、制御手段の安全性を確保するために、制御手段自身が複雑な冗長系を保持する必要がある。
本発明は、上記問題を解決するためになされたものであり、制御対象に対する機能ドメイン制御手段による挙動制御の正当性を正しく判定し、機能ドメイン制御手段の冗長系の複雑化を防止する車両監査装置およびそれを用いた車両制御システムを提供することを目的とする。
【課題を解決するための手段】
【０００７】
請求項１から１９に記載の発明によると、制御対象の挙動を機能ドメイン毎に制御する機能ドメイン制御手段とは独立して設けられた監査手段が、機能ドメイン制御手段による挙動制御の正当性を車両の挙動情報に基づいて監査する。
【０００８】
ここで、監査手段が機能ドメイン制御手段とは独立して設けられているとは、機能ドメイン制御手段による挙動制御とは切り離され、機能ドメイン制御手段による挙動制御を監査する監査手段の監査機能が独立して設けられていることを表している。つまり、監査手段を構成するハードウェアとしての処理装置が、必ずしも機能ドメイン制御手段を構成する処理装置とは異なる別のものであることを表しているのではない。例えば、機能ドメイン制御手段および監査手段の少なくとも一部が、同じ処理装置により構成されてもよい。処理装置としては、例えば制御装置としてのＣＰＵ、記憶装置としてのＲＯＭ、ＲＡＭ等が考えられる。
【０００９】
これにより、機能ドメイン制御手段ではなく、機能ドメイン制御手段とは独立した第三者としての監査手段が機能ドメイン制御手段による挙動制御の正当性をシステム全体の観点から判断するので、機能ドメイン制御手段による挙動制御の正当性、言い換えれば異常を正しく判定できる。これにより、挙動制御の異常状態に応じて退避走行等の適切なフェールセーフ処理を実施できる。
【００１０】
また、例えば、複数の機能ドメイン制御手段が同じ制御対象の挙動を連携して制御する構成において、これら機能ドメイン制御手段においてそれぞれ挙動制御の正当性を判定する場合に比べ、機能ドメイン制御手段による挙動制御の監査機能を監査手段に集約して統合する方が、監査機能のハード量およびソフト量を低減できる。
【００１１】
また、機能ドメイン制御手段による挙動制御の監査機能が機能ドメイン制御手段とは独立した監査手段に集約されるので、機能ドメイン制御手段の冗長系を複雑化することなく機能ドメイン制御手段による挙動制御の安全性を確保できる。これにより、機能ドメイン制御手段のハード量およびソフト量の増加を防止できる。
【００１２】
請求項２に記載の発明によると、安全性要求の高い機能ドメイン制御手段と安全性要求の低い機能ドメイン制御手段とが共有する共有情報を記憶している記憶手段に対し、安全性要求の低い機能ドメイン制御手段からの共有情報の変更を情報保護手段が制限する。
【００１３】
これにより、安全性要求の低い機能ドメイン制御手段から共有情報に対して想定外の変更がなされることを防止できる。
請求項３に記載の発明によると、安全性要求の高い機能ドメイン制御手段のうちの少なくとも一部が安全性要求の低い機能ドメイン制御手段から提供される情報に基づき挙動制御の制御パラメータを調整する。この場合、機能ドメイン制御手段が自身の異常を検出する従来の方式では、安全性要求の高い機能ドメイン制御手段の安全性を確保するために安全性要求の低い機能ドメイン制御手段の安全性を上げる必要がある。
【００１４】
しかし、本発明では、監査手段が安全性要求の低い機能ドメイン制御手段による挙動制御の正当性を監査し安全性要求の低い機能ドメイン制御手段の冗長機能を果たすので、従来の安全性要求の低い機能ドメイン制御手段の冗長系を複雑化することなく機能ドメイン制御手段の安全性が上昇する。これにより、安全性要求の低い機能ドメイン制御手段のハード量およびソフト量を増加することなく、安全性要求の高い機能ドメイン制御手段の安全性を確保できる。
【００１５】
請求項４に記載の発明によると、監査手段は、複数の機能ドメイン制御手段から一つの制御対象に実施される挙動制御の正当性を監査する。
これにより、一つの制御対象に対して複数の機能ドメイン制御手段が異なる制御パラメータで挙動制御を行う場合に、制御対象に対して相反する挙動制御が実施され挙動制御が衝突したことを容易に検出できる。そして、監査手段は挙動制御の衝突を解消するために適切な処理を機能ドメイン制御手段に指令できる。
【００１６】
請求項５に記載の発明によると、車両に対して所定の挙動を要求する挙動要求に基づいて車両の挙動を挙動推定手段が推定し、車両の推定挙動と実挙動とを比較し車両挙動が異常であるかを挙動異常判定手段が判定する。
【００１７】
これにより、車両の実挙動だけでは異常と判定できない場合にも、推定挙動と比較することにより想定外の車両の挙動異常を検出できる。ここで、挙動推定手段が推定する車両挙動は、挙動要求に基づいた正常または異常な車両挙動のいずれであってもよい。どちらの車両挙動を推定しても、実挙動と比較することにより車両挙動の異常を判定できる。
【００１８】
請求項６に記載の発明によると、挙動推定手段は、車両に対する挙動要求に応じた車両挙動を物理モデルに基づいて推定する。これにより、挙動要求の値に関わらず挙動要求に基づいた車両挙動を同じ精度で推定できる。
【００１９】
請求項７に記載の発明によると、挙動推定手段は、車両に対する挙動要求に応じた車両挙動を車両挙動の異常パターンのデータベースに基づいて推定する。データベースを参照するという簡単な作業により、車両挙動を容易に推定できる。
【００２０】
請求項８に記載の発明によると、車両挙動が異常であると挙動異常判定手段が判定すると、車両挙動の異常を引き起こす可能性があると制御異常推定手段が推定した箇所の挙動制御を制御遮断手段が遮断する。
【００２１】
これにより、車両の挙動異常を引き起こす可能性のある挙動制御を、挙動異常から大まかに推定した範囲で速やかに遮断できる。その結果、車両の挙動異常を引き起こす可能性のある機能ドメイン制御手段による挙動制御が他の正常な挙動制御に与える影響を速やかに排除できる。
【００２２】
請求項９に記載の発明によると、車両挙動の異常を引き起こす可能性のある機能ドメイン制御手段による挙動制御の箇所を制御異常特定手段が制御異常推定手段よりもさらに詳細に特定する。そして、制御遮断手段は、制御異常特定手段が特定した箇所の挙動制御を遮断するとともに、制御異常推定手段の推定結果に基づいて遮断した箇所の挙動制御を復帰させる。
【００２３】
これにより、車両の挙動異常を引き起こす挙動制御の範囲を極力狭め、正常範囲と異常範囲との境界を明確にする。その結果、メンテナンスする箇所を容易に特定できる。
また、正常な挙動制御の範囲が極力広くなるので、正常範囲の挙動制御を使用して適切なフェールセーフ処理を実施できる。
【００２４】
請求項１０に記載の発明によると、一つの前記制御対象の挙動を制御している複数の機能ドメイン制御手段による挙動制御のうちの一部が制御遮断手段により遮断された場合、他の機能ドメイン制御手段による挙動制御により制御対象の挙動を制御可能であれば、遮断された箇所の挙動制御を補う他の挙動制御の制御パラメータを制御パラメータ算出手段が算出する。ここで、一つの制御対象とは、１個の制御対象の場合もあるし、同種の複数の制御対象の場合もある。
【００２５】
これにより、遮断されていない正常な挙動制御により極力適切なフェールセーフ処理を実施できる。
請求項１１に記載の発明によると、挙動情報取得手段と監査手段とを一組として複数組が互いに離れて車両に設置される。
【００２６】
これにより、例えば事故等により二組のうちの一方の監査機能が停止しても、正常な他方の組で監査機能を継続できる。
請求項１２に記載の発明によると、挙動情報取得手段と監査手段とを一組とする複数組のうち少なくとも二組は、車両において冗長系を構成する異なる電源系から電力を供給され、車両において冗長系を構成する異なる通信系により通信する。
【００２７】
これにより、一方の電源系または通信系に異常が発生しても、正常な他方の電源系または通信系を使用する挙動情報取得手段と監査手段との組により監査機能を継続できる。
請求項１３に記載の発明によると、挙動情報取得手段と監査手段とを一組として複数組を備える場合、複数の監査手段のそれぞれは、自身を含む複数の監査手段の監査結果と、機能ドメイン制御手段による監査結果とから、他の監査手段および機能ドメイン制御手段の異常を多数決判定手段により判定する。
【００２８】
これにより、機能ドメイン制御手段の異常だけでなく、監査手段の異常も判定できる。
ここで、例えば、クルーズコントロールをオンにした状態で濡れた路面を走行中にスリップしてフューエルカットされる場合など、制御対象に対する機能ドメイン制御手段による個々の挙動制御が正常であっても、車両の走行環境によって車両の挙動が一時的に異常になることがある。
【００２９】
そこで請求項１４に記載の発明によると、車両の挙動が異常であり、機能ドメイン制御手段による挙動制御が正常である場合、挙動制御調整手段が機能ドメイン制御手段に設定された挙動制御の優先順位に基づいて挙動制御の実施を調整し、車両の挙動異常を緩和する。
【００３０】
これにより、車両を極力安全に走行させることができる。このような処理は、機能ドメイン制御手段とは独立した第三者としての監査手段が車両の挙動情報に基づいて機能ドメイン制御手段による挙動制御の正当性を監視しているからこそ可能である。
【００３１】
請求項１５に記載の発明によると、車両監査装置は、機能ドメイン制御手段に電力を供給する電源とは異なる電源から電力を供給される。
これにより、車両監査装置は、機能ドメイン制御手段に電力を供給する電源の動作不良の影響を受けることなく監査処理を実施できる。
【００３２】
請求項１６に記載の発明によると、車両監査装置のインタフェース手段は、機能ドメイン制御手段が接続する信号系とは異なる信号系と接続し、車両の挙動情報の少なくとも一部を挙動情報取得手段に供給する。
【００３３】
これにより、監査手段は、機能ドメイン制御手段が接続する信号系の動作不良の影響を受けることなく、インタフェース手段を介して取得した挙動情報に基づいて監査処理を実施できる。
【００３４】
請求項１７に記載の発明によると、監査装置は、機能ドメイン制御手段を構成する処理装置とは異なる処理装置により構成されている。
これにより、監査手段は、機能ドメイン制御手段の処理装置の動作不良にかかわらず、例えば演算または情報の記憶、読み出しを実施できる。
【００３５】
請求項１８に記載の発明によると、監査手段が挙動情報に基づいて車両挙動量を推定するアルゴリズムは、機能ドメイン制御手段が制御対象に対する挙動制御量を算出するアルゴリズムと異なっている。
【００３６】
これにより、監査手段または機能ドメイン制御手段においてソフトウェアによる制御異常が発生したときに、監査手段および機能ドメイン制御手段の両方で同じ原因でソフトウェアによる制御異常が発生することを防止できる。
【００３７】
尚、本発明に備わる複数の手段の各機能は、構成自体で機能が特定されるハードウェア資源、プログラムにより機能が特定されるハードウェア資源、またはそれらの組み合わせにより実現される。また、これら複数の手段の各機能は、各々が物理的に互いに独立したハードウェア資源で実現されるものに限定されない。
【発明を実施するための最良の形態】
【００３８】
以下、本発明の実施の形態を図に基づいて説明する。
［第１実施形態］
本発明の第１実施形態による車両監査装置を用いた車両制御システムを図１に示す。
【００３９】
（車両制御システム１０）
車両制御システム１０は、電源制御装置(Battery ECU)２０、ステアリング制御装置(Steering ECU)３０、ブレーキ制御装置(Brake ECU)４０、車体制御装置(Body ECU)５０、ナビゲーション制御装置(Navigation ECU)６０、イントラボックス(Intra Box)１００等から構成されている。電源制御装置２０、ステアリング制御装置３０、ブレーキ制御装置４０、車体制御装置５０、ナビゲーション制御装置６０は、それぞれ機能ドメインである電源制御、ステアリング制御、ブレーキ制御、車体制御、ナビゲーション制御毎に制御対象の挙動を制御する。
【００４０】
電源制御装置２０、ステアリング制御装置３０、ブレーキ制御装置４０、車体制御装置５０、ナビゲーション制御装置６０は、特許請求の範囲に記載した機能ドメイン制御手段に相当し、イントラボックス１００は、特許請求の範囲に記載した車両監査装置に相当する。
【００４１】
機能ドメイン制御手段のうち、例えばステアリング制御装置３０およびブレーキ制御装置４０は、高い安全性が要求される高安全性要求の装置である。車体制御装置５０およびナビゲーション制御装置６０はステアリング制御装置３０およびブレーキ制御装置４０よりも安全性の要求が低い低安全性要求の装置である。
【００４２】
電源制御装置２０は、ステアリング制御装置３０、ブレーキ制御装置４０およびイントラボックス１００に電力を供給する電源を制御する。電源制御装置２０による電源の制御とは、電源からの電力供給量、電源に蓄積する電力量、入出力時間特性の異なる電源が存在する場合には入出力時間特性に応じた電源の切り替え等である。車体制御装置５０およびナビゲーション制御装置６０への電力供給は、別の電源系の電源制御装置が制御する。
【００４３】
本実施形態では、前述したように電源制御装置２０を機能ドメイン制御手段として規定した。これに対し、電源制御装置２０が単に供給電力を制御するだけならば、機能ドメイン制御手段に該当しないこともある。
【００４４】
また、図１では、ステアリング制御装置３０、ブレーキ制御装置４０およびイントラボックス１００に電力を供給する電源系は１系統であるが、２重系にしてもよい。２重系の場合、電源制御装置２０も各電源系に設置される。この場合、車体制御装置５０およびナビゲーション制御装置６０は、２重系の一方の電源系から電力を供給されてもよいし、これとは別の他の電源系から電力を供給されてもよい。
【００４５】
図１の構成に対し、図２の車両制御システム１２のように、ステアリング制御装置３０およびブレーキ制御装置４０等の機能ドメイン制御手段に電力を供給する電源とは異なる電源８０からイントラボックス１００に電力を供給し、機能ドメイン制御手段に電力を供給する電源系と、イントラボックス１００に電力を供給する電源系とを別系統にしてもよい。これにより、機能ドメイン制御手段の電源系に動作不良が生じても、イントラボックス１００は監査処理を実施できる。
【００４６】
また、電源８０は、イントラボックス１００の専用電源であってもよいし、機能ドメイン制御手段以外の他の装置に電力を供給する電源と共有であってもよい。電源８０がイントラボックス１００の専用電源である場合、電源８０およびイントラボックス１００で車両監査装置を構成してもよい。
【００４７】
ステアリング制御装置３０は、ステアリング操舵角度を検出する角度検出センサの検出信号に基づき、各タイヤ７０の操舵角度を制御する。
ブレーキ制御装置４０は、ブレーキペダルの踏込量を検出するセンサの検出信号に基づき、各タイヤ７０の制動量を制御する。
【００４８】
車体制御装置５０は、車両のドア、空調等を制御する。ナビゲーション制御装置６０は、例えば、ＧＰＳ等の衛星測位システムおよび地図データに基づき、車両の目的地までの経路を探索し最適な経路を案内する。
【００４９】
（イントラボックス１００）
イントラボックス１００は、インタフェース手段２００、挙動情報取得手段２１０、情報保護手段２２０（図３参照）および監査手段２４０等から構成されている。インタフェース手段２００、挙動情報取得手段２１０、情報保護手段２２０および監査手段２４０は、図示しないＣＰＵ、ＲＯＭ、ＲＡＭ、およびフラッシュメモリ等の書換可能な不揮発性メモリ等により構成されている。
【００５０】
イントラボックス１００を構成する上記ＣＰＵ、ＲＯＭ、ＲＡＭ、およびフラッシュメモリ等のハードウェアとしての処理装置は、機能ドメイン制御手段とは異なる独立した処理装置で構成されている。
【００５１】
これにより、機能ドメイン制御手段の処理装置に動作不良が生じても、イントラボックス１００は、動作不良が生じている機能ドメイン制御手段の処理装置の影響を受けずに監査処理を実施できる。
【００５２】
また、イントラボックス１００が車両挙動量を推定するアルゴリズムと、機能ドメイン制御手段が制御対象に対する挙動制御量を算出するアルゴリズムとは異なっていることが望ましい。さらに、イントラボックス１００と機能ドメイン制御手段とにおいて、アルゴリズムを開発するモデルツール、コンパイラ等のソフトウェア生成ツール、ソフトウェアから機械語に変換する自動コード生成ツール、設計者、および設計思想等のソフトウェア仕様およびソフトウェア開発環境がそれぞれ異なっていることが望ましい。
【００５３】
これにより、イントラボックス１００または機能ドメイン制御手段においてソフトウェアによる制御異常が発生したときに、イントラボックス１００および機能ドメイン制御手段の両方で同じ原因でソフトウェアによる制御異常が発生することを防止できる。
【００５４】
（インタフェース手段２００）
インタフェース手段２００は、イントラボックス１００が機能ドメイン制御手段と通信する通信系のインタフェース手段（図１、２では図示していない。）とは別に設けられている。インタフェース手段２００は、機能ドメイン制御手段が接続している信号系とは異なる信号系から各種センサの信号を入力する。これにより、機能ドメイン制御手段が接続する信号系の動作不良の影響を受けることなく、イントラボックス１００は、インタフェース手段を介して各種センサの検出信号を入力することができる。
【００５５】
インタフェース手段２００が接続する信号系は、各種センサの検出信号を入力する信号系に限らず、例えば機能ドメイン制御手段が接続している通信系とは異なる通信系であってもよい。イントラボックス１００は、機能ドメイン制御手段が接続している通信系とは異なる通信系を介して、機能ドメイン制御手段が接続している通信系の動作不良の影響を受けることなくデータの送受信を実施できる。
【００５６】
イントラボックス１００を以下の各手段として機能させる制御プログラムは、イントラボックス１００のＲＯＭ、フラッシュメモリ等の記憶手段に記憶されている。
（挙動情報取得手段２１０）
挙動情報取得手段２１０は、インタフェース手段２００が入力した各種センサの検出信号等から車両の実際の挙動情報を取得する。
【００５７】
（情報保護手段２２０）
図３に示すように、高安全性要求のステアリング制御装置３０およびブレーキ制御装置４０と低安全性要求の車体制御装置５０とは共有メモリ２３０を参照可能である。
【００５８】
しかし、低安全性要求の車体制御装置５０が自由に共有メモリ２３０を参照し記憶されている共有情報を書き換えて変更すると、共有情報を利用するステアリング制御装置３０およびブレーキ制御装置４０の安全性を確保できないことがある。
【００５９】
そこで、情報保護手段２２０は、低安全性要求の車体制御装置５０に対し、共有メモリ２３０への読み出しは許可するが、書き込みは禁止する参照制限を設定する。この制限は、共有メモリ２３０の一部の記憶域に対してでもよいし、共有メモリ２３０の全記憶域に対してでもよい。これにより、低安全性要求の車体制御装置５０と情報を共有する高安全性要求のステアリング制御装置３０およびブレーキ制御装置４０の安全性を確保できる。
【００６０】
これに対し、例えば低安全性要求の車体制御装置５０からの書き込みが許可されている記憶域において、車体制御装置５０が書き込んだ情報を高安全性要求のステアリング制御装置３０またはブレーキ制御装置４０が読み出し、タイヤ７０に対する挙動制御の制御パラメータを調整することがある。
【００６１】
この場合、本実施形態では、監査手段２４０が低安全性要求の車体制御装置５０による挙動制御の正当性を監査し車体制御装置５０の冗長機能を果たすので、車体制御装置５０の冗長系を複雑化することなく車体制御装置５０の安全性が上昇している。これにより、車体制御装置５０のハード量およびソフト量を増加することなく、高安全性要求のステアリング制御装置３０およびブレーキ制御装置４０の安全性を確保できる。
【００６２】
（監査手段２４０）
監査手段２４０は、挙動情報取得手段２１０が取得した車両の挙動情報に基づいて、例えば機能ドメイン制御手段であるステアリング制御装置３０およびブレーキ制御装置４０のタイヤ７０に対する挙動制御の正当性を判定する。監査手段２４０は、タイヤ７０に対するステアリング制御装置３０またはブレーキ制御装置４０の挙動制御により車両の挙動が異常になったと判断すると、ステアリング制御装置３０またはブレーキ制御装置４０による挙動制御が正当ではなく異常であると判定する。そして監査手段２４０は、車両の挙動異常を解消するように、ステアリング制御装置３０またはブレーキ制御装置４０に対して挙動制御の指令値を出す。
【００６３】
このように、個々の機能ドメイン制御手段ではなく、機能ドメイン制御手段とは独立した第三者としての監査手段２４０が機能ドメイン制御手段による挙動制御の正当性を判断するので、機能ドメイン制御手段による挙動制御の異常を正しく検出できる。これにより、挙動制御の異常状態に応じて適切なフェールセーフ処理を実施できる。
【００６４】
また、機能ドメイン制御手段による挙動制御の監査機能を機能ドメイン制御手段とは独立した監査手段２４０に集約するので、従来の機能ドメイン制御手段の冗長系を複雑化することなく、機能ドメイン制御手段の安全性を確保できる。
【００６５】
監査手段２４０は、図１に示すように、一つの制御対象である各タイヤ７０の挙動を制御する複数の機能ドメイン制御手段であるステアリング制御装置３０およびブレーキ制御装置４０による挙動制御の正当性を監査することにより、ステアリング制御装置３０とブレーキ制御装置４０とがタイヤ７０に対して相反する挙動制御を実施したことを容易に検出できる。その結果、タイヤ７０に対するステアリング制御装置３０およびブレーキ制御装置４０の挙動制御を調整し、車両の挙動異常を低減できる。
【００６６】
また監査手段２４０は、一つの制御対象の挙動を制御する一つの機能ドメイン制御手段による挙動制御の正当性を監査してもよい。
（挙動異常判定、異常制御箇所遮断）
次に、車両挙動に基づいて機能ドメイン制御手段による挙動制御の正当性を判定し、挙動制御の異常箇所を遮断する監査手段２４０の各手段として、挙動要求取得手段２５０、挙動推定手段２５２、実挙動検出手段２５４、挙動異常判定手段２５６、制御異常推定手段２６０、制御異常特定手段２６２、制御遮断手段２６４について図４に基づいて説明する。
【００６７】
（挙動要求取得手段２５０）
挙動要求取得手段２５０は、運転者によるステアリング、アクセルペダル、ブレーキペダル等の操作、あるいはクルーズコントロール等の操作装置からの指示に基づき、車両に対する挙動要求を取得する。
【００６８】
（挙動推定手段２５２）
挙動推定手段２５２は、挙動要求取得手段２５０が取得した車両に対する挙動要求に基づいて車両の挙動を推定する。挙動推定手段２５２は、例えば、以下のいずれかの方法で車両挙動を推定する。
【００６９】
（１）物理モデル
挙動推定手段２５２は、挙動要求取得手段２５０が取得した車両の挙動要求を入力値として、予め設定している車両の物理モデルから車両の正常挙動を推定する。
【００７０】
挙動推定手段２５２は、物理モデルから推定挙動を取得することにより、挙動要求の値に関わらず挙動要求に基づいた車両挙動を同じ精度で推定できる。
（２）データベース
挙動推定手段２５２は、シミュレーション等により、車両の挙動要求に対する車両挙動の異常パターンを予めデータベースとして記憶手段に記憶しておく。そして、挙動推定手段２５２は、挙動要求を入力値としてデータベースを参照し、車両の異常パターンの推定挙動を取得する。挙動要求の入力値がデータベースを参照するための参照キーと一致しない場合には、挙動要求の入力値を中間値とする例えば２個の参照キーにより推定挙動値を取得し、取得した推定挙動値の平均値を挙動要求の入力値に対する推定挙動とする。
【００７１】
挙動推定手段２５２は、データベースを参照するという簡単な作業により、車両挙動を容易に推定できる。
データベースに記憶する車両挙動のパターンとして、異常パターンではなく正常パターンを記憶してもよい。
【００７２】
（実挙動検出手段２５４）
実挙動検出手段２５４は、各種センサの検出信号から、車両の実際の挙動を検出する。
（挙動異常判定手段２５６）
挙動異常判定手段２５６は、挙動推定手段２５２が推定した車両の正常な推定挙動または異常な推定挙動と、実挙動検出手段２５４が検出した車両の実挙動とを比較する。正常な推定挙動の場合には、推定挙動に対して実挙動の挙動方向、挙動量が異常であれば車両挙動が異常であると判定する。異常な推定挙動の場合には、推定挙動と実挙動とが一致していれば車両挙動が異常であると判定する。車両挙動が異常であれば、挙動の異常な制御対象の挙動を制御した機能ドメイン制御手段による挙動制御が異常であると判断できる。
【００７３】
（制御異常推定手段２６０）
制御異常推定手段２６０は、物理モデルまたはデータベースから推定した推定挙動と実挙動とを比較し、挙動異常判定手段２５６が車両挙動の異常であると判定すると、車両挙動の異常を引き起こした可能性のある機能ドメイン制御手段による挙動制御を推定挙動と実挙動との差から推定する。例えば図４では、制御異常推定手段２６０は、上位４００および下位４０２、４０４のうち上位４００側の挙動制御を異常箇所として推定する。
【００７４】
（制御異常特定手段２６２）
制御異常特定手段２６２は、挙動異常判定手段２５６が車両挙動の異常であると判定すると、機能ドメイン制御手段から、制御対象に対する挙動制御値、それに対する制御対象の挙動値等を取得する。制御異常特定手段２６２は、制御対象に対する挙動制御値と、それに対する制御対象の挙動値とを、挙動異常判定手段２５６の判定結果に関わらず常時取得してもよい。
【００７５】
そして、制御異常特定手段２６２は、制御対象に対する挙動制御値と、それに対する制御対象の挙動値とを比較し、車両挙動の異常を引き起こした可能性のある機能ドメイン制御手段による挙動制御の箇所を制御異常推定手段２６０よりもさらに絞り込んで特定する。例えば図４では、制御異常特定手段２６２は、上位４００よりも下位４０２、４０４に絞り込んで挙動制御の異常箇所を特定する。
【００７６】
（制御遮断手段２６４）
制御遮断手段２６４は、車両挙動に異常が発生すると、まず、制御異常推定手段２６０が大まかに推定した機能ドメイン制御手段の異常箇所（図４の上位４００）の挙動制御を遮断する。これにより、車両挙動の異常を引き起こした挙動制御が他の正常な挙動制御に与える影響を速やかに排除できる。
【００７７】
さらに、制御遮断手段２６４は、制御異常特定手段２６２が特定した箇所（図４の下位４０２、４０４）の挙動制御を遮断するとともに、制御異常推定手段２６０の推定結果に基づいて遮断した箇所（図４の上位４００）の挙動制御を復帰させる。
【００７８】
これにより、制御遮断手段２６４は、車両挙動の異常を引き起こす挙動制御の範囲を極力狭め、正常範囲と異常範囲との境界を明確にする。その結果、メンテナンスする箇所を容易に特定できる。
【００７９】
また、正常な挙動制御の範囲が極力広くなるので、正常範囲の挙動制御を使用して適切なフェールセーフ処理を実施できる。
また監査手段２４０は、車両挙動の異常を引き起こす箇所の機能ドメイン制御手段による挙動制御を単に遮断するだけでなく、図５に示す制御可能判定手段２７０、制御パラメータ算出手段２７２により、遮断した箇所の挙動制御を正常な挙動制御で補う処理を実施することが望ましい。
【００８０】
（制御可能判定手段２７０）
ステアリング制御装置３０およびブレーキ制御装置４０のように、一つの制御対象であるタイヤ７０の挙動を複数の機能ドメイン制御手段が制御している場合、制御可能判定手段２７０は、制御遮断手段２６４により遮断された箇所の機能ドメイン制御手段による挙動制御を他の正常な機能ドメイン制御手段による挙動制御で補えるかを判定する。
【００８１】
（制御パラメータ算出手段２７２）
制御可能判定手段２７０が遮断された箇所の機能ドメイン制御手段による挙動制御を他の正常な機能ドメイン制御手段による挙動制御で補えると判定すると、制御パラメータ算出手段２７２は、遮断された箇所の機能ドメイン制御手段による挙動制御を補うために、正常な機能ドメイン制御手段が制御対象の挙動を制御する制御パラメータを算出する。これにより、挙動制御可能な範囲で極力適切な退避走行等のフェールセーフ処理を実施できる。
【００８２】
（車両挙動異常で機能ドメイン制御手段正常）
図６に示すように、監査手段２４０は、挙動制御調整手段２８０を設けていることが望ましい。この場合、複数の機能ドメイン制御手段による挙動制御には、挙動制御の実施順序または挙動制御の制御量等の優先順位が予め設定されている。
【００８３】
（挙動制御調整手段２８０）
挙動制御調整手段２８０は、車両の挙動が異常であり、機能ドメイン制御手段による挙動制御が正常である場合、予め機能ドメイン制御手段に設定された挙動制御の優先順位に基づいて挙動制御の実施を調整し、車両の挙動異常を緩和する。
【００８４】
これにより、例えばクルーズコントロールをオンにした状態で濡れた路面を走行中にスリップしてフューエルカットされる場合など、制御対象に対する機能ドメイン制御手段による個々の挙動制御が正常であっても、車両の走行環境によって車両挙動が一時的に異常になることがある場合に、車両を極力安全に走行させることができる。
【００８５】
（監査処理ルーチン）
次に、イントラボックス１００による監査処理ルーチンのうち、異常箇所推定ルーチン、異常箇所特定ルーチン、制御パラメータ合成ルーチン、優先制御ルーチンについて、制御対象をタイヤとして図７から図１０に基づいて説明する。各ルーチンにおいて「Ｓ」はステップを表している。
【００８６】
（異常箇所推定ルーチン）
図７に示す異常箇所推定ルーチンは常時実行される。Ｓ５００においてイントラボックス１００は、前述した車両の物理モデルまたは車両挙動のデータベースから、タイヤ７０の挙動要求を入力値としてタイヤの推定挙動を取得する。
【００８７】
Ｓ５０２においてイントラボックス１００は、タイヤ７０の推定挙動と、センサの検出信号から取得したタイヤ７０の実挙動とを比較する。正常であれば、イントラボックス１００はＳ５００に処理を戻す。
【００８８】
異常であれば、Ｓ５０４においてイントラボックス１００は、タイヤ７０の挙動異常を引き起こしたステアリング制御装置３０またはブレーキ制御装置４０による挙動制御の異常箇所を推定する。
【００８９】
そして、Ｓ５０６においてイントラボックス１００は、Ｓ５０４で推定した箇所（例えば、図４の上位４００）の挙動制御を遮断し、正常であると推定した挙動制御により適切なフェールセーフ処理をステアリング制御装置３０およびブレーキ制御装置４０に指令する。
【００９０】
（異常箇所特定ルーチン）
図８に示す異常箇所特定ルーチンは、図７の異常箇所推定ルーチンと並行して常時実行されるか、あるいは図７の異常箇所推定ルーチンのＳ５０２において異常であると判定された場合に実行される。
【００９１】
Ｓ５１０においてイントラボックス１００は、タイヤ７０に対するステアリング制御装置３０およびブレーキ制御装置４０による挙動制御の指令値と、センサの検出信号から検出した実際のタイヤ７０の挙動値とを取得する。
【００９２】
Ｓ５１２においてイントラボックス１００は、タイヤ７０に対する挙動制御の指令値と実際の挙動値とを比較し、その差からタイヤの挙動が異常であるかを判定する。正常であれば、イントラボックス１００はＳ５１０に処理を戻す。
【００９３】
タイヤの挙動が異常であれば、Ｓ５１４においてイントラボックス１００は、挙動制御の指令値と実際の挙動値との差に基づいて、ステアリング制御装置３０またはブレーキ制御装置４０による挙動制御の異常箇所を異常箇所推定ルーチンよりも絞り込んで特定する。
【００９４】
Ｓ５１６においてイントラボックス１００は、Ｓ５１４で特定した箇所（例えば、図４の下位４０２、４０４）の挙動制御を遮断するとともに、異常箇所推定ルーチンで遮断した箇所（例えば、図４の上位４００）の挙動制御の遮断を解除する。そして、正常であると特定した挙動制御により適切なフェールセーフ処理をステアリング制御装置３０およびブレーキ制御装置４０に指令する。
【００９５】
（制御パラメータ合成ルーチン）
図９に４個のタイヤの一部の挙動が異常である場合の挙動制御の制御パラメータ合成ルーチンについて説明する。図９の制御パラメータ合成ルーチンは、タイヤ７０の挙動異常が発生した場合に実行される。
【００９６】
タイヤ７０のいずれかに挙動異常が発生すると、Ｓ５２０においてイントラボックス１００は、挙動異常が発生したタイヤ７０に対するステアリング制御装置３０およびブレーキ制御装置４０の異常箇所の挙動制御を遮断した残りの挙動制御の制御ベクトル（制御パラメータ）を合成する。
【００９７】
Ｓ５２２においてイントラボックス１００は、挙動異常が発生していないタイヤ７０に対する挙動制御の制御ベクトルと、Ｓ５２０で合成した挙動異常が発生しているタイヤ７０に対する制御ベクトルとを合成する。
【００９８】
Ｓ５２４においてイントラボックス１００は、Ｓ５２２で合成した４個のタイヤに対する制御ベクトルの合成値に基づき、正常な３個のタイヤ７０に対する挙動制御が異常な１個のタイヤ７０に対する挙動制御を補い４個のタイヤ７０を安全に操舵および制動して車両が安全に走行できるように、各タイヤ７０に対する制御パラメータを算出する。
【００９９】
ステアリング制御装置３０およびブレーキ制御装置４０は、イントラボックス１００が算出した制御パラメータに基づいてタイヤ７０の挙動を制御する。
（優先制御ルーチン）
図１０に、車両挙動は異常であるが各機能ドメイン制御手段による挙動制御は正常である場合の、物理モデルやデータベースでは想定していない異常に対する優先制御ルーチンについて説明する。機能ドメイン制御手段による挙動制御には、予め実行順序または制御量について優先順位が設定されている。図１０に示す優先制御ルーチンは常時実行される。
【０１００】
Ｓ５３０においてイントラボックス１００は、タイヤ７０に対するステアリング制御装置３０およびブレーキ制御装置４０による挙動制御の指令値と、センサの検出信号から検出した実際のタイヤ７０の挙動値とを取得する。
【０１０１】
Ｓ５３２においてイントラボックス１００は、タイヤ７０に対する挙動制御の指令値から車両挙動を推定する。
Ｓ５３４においてイントラボックス１００は、タイヤ７０に対する挙動制御の指令値と実際の挙動値とを比較し、その差からタイヤの挙動が異常であるかを判定する。正常であれば、イントラボックス１００はＳ５３０に処理を戻す。
【０１０２】
タイヤ７０の挙動が異常であれば、Ｓ５３６においてイントラボックス１００は、タイヤ７０に対する挙動制御が正常であるか異常であるかを判定する。
挙動制御が異常であるためにタイヤ７０の挙動が異常であれば、Ｓ５３８においてイントラボックス１００は、例えば異常箇所の挙動制御を遮断し、正常箇所の挙動制御により退避走行等のフェールセーフ処理を実施する。
【０１０３】
タイヤ７０に対する挙動制御が正常であるにも関わらずタイヤ７０の挙動が異常である場合、イントラボックス１００は、想定外の異常が発生していると判断する。そしてイントラボックス１００は、Ｓ５４０において車両を安全走行させるために予め設定されている優先順位を判定する。
【０１０４】
そして、Ｓ５４２においてイントラボックス１００は、優先順位に基づいてタイヤ７０に対するステアリング制御装置３０およびブレーキ制御装置４０による挙動制御を調整し、車両の挙動異常を緩和する。これにより、車両を極力安全に走行させることができる。
【０１０５】
［第２実施形態］
本発明の第２実施形態による車両監査装置を用いた車両制御システムを図１１に示す。第２実施形態の車両制御システム１４では、１個のイントラボックスではなく、複数のイントラボックス２９０、３００で車両監査装置を構成している。
【０１０６】
図１１では、２個のイントラボックス２９０、３００が互いに離れて車両に設置されている。イントラボックス２９０は車両の前方に設置され、主に車両の前方の制御対象の挙動を制御する。イントラボックス３００は車両の後方に設置され、主に車両の後方の制御対象の挙動を制御する。イントラボックス２９０、３００は、それぞれ監査手段２９２、３０２、挙動情報取得手段２９４、３０４、多数決判定手段２９６、３０６等により構成されている。
【０１０７】
これにより、事故等で一方のイントラボックスが破損して作動不能になっても、正常な他方のイントラボックスにより機能ドメイン制御手段による挙動制御の正当性を監査できる。
【０１０８】
イントラボックス２９０、３００は、それぞれ異なる電源系である電源３１０、３１２から電力を供給される。また、イントラボックス２９０、３００、ならびに機能ドメイン制御手段３３０、３３２はそれぞれ通信手段としての異なる通信系３２０、３２２に接続している。イントラボックス２９０、３００は、異なる通信系３２０、３２２により、他方のイントラボックスおよび通信系３２０、３２２に接続している機能ドメイン制御手段３３０、３３２と通信する。尚、機能ドメイン制御手段３３０、３３２の安全性要求が低い場合には、機能ドメイン制御手段３３０、３３２は通信系３２０、３２２のいずれか一方に接続してもよい。
【０１０９】
これにより、冗長系を構成する電源３１０、３１２、通信系３２０、３２２の一方の系が作動不能になっても、正常な他方の系でイントラボックスは監査処理を実施できる。
多数決判定手段２９６、３０６は、２個のイントラボックス２９０、３００の監査手段２９２、３０２による監査結果と、少なくとも１個の機能ドメイン制御手段による監査結果とから、自身のイントラボックス２９０、３００の監査手段２９２、３０２および機能ドメイン制御手段の制御の正当性を多数決で判定する。これにより、機能ドメイン制御手段の異常だけでなく、監査手段の異常も判定できる。
【０１１０】
［他の実施形態］
上記実施形態では、機能ドメイン制御手段を複数設置した車両制御システムについて説明した。これに対し、機能ドメイン制御手段が一つだけの車両制御システムであってもよい。このシステム構成においても、機能ドメイン制御手段が複数の場合と同じイントラボックスを使用し、監査処理を実施できる。
【０１１１】
上記実施形態では、イントラボックスと機能ドメイン制御手段とが異なる処理装置で構成されている例について説明した。これに対し、機能ドメイン制御手段およびイントラボックスの監査手段の少なくとも一部が、同じ処理装置により構成されてもよい。この場合にも、機能ドメイン制御手段による挙動制御を監査する監査手段の監査機能は、機能ドメイン制御手段による挙動制御とは切り離され、独立して設けられている。
【０１１２】
このように、本発明は、上記実施形態に限定されるものではなく、その要旨を逸脱しない範囲で種々の実施形態に適用可能である。
【図面の簡単な説明】
【０１１３】
【図１】第１実施形態による車両制御システムを示すブロック図。
【図２】イントラボックスに電源を供給する他の形態を示すブロック図。
【図３】情報保護手段を示すブロック図。
【図４】挙動異常判定手段、制御遮断手段を示すブロック図。
【図５】制御パラメータ算出手段を示すブロック図。
【図６】挙動制御調整手段を示すブロック図。
【図７】挙動制御の異常箇所の推定ルーチンを示すフローチャート。
【図８】挙動制御の異常箇所の特定ルーチンを示すフローチャート。
【図９】制御パラメータの合成ルーチンを示すフローチャート。
【図１０】優先順位に基づいた挙動制御の優先制御ルーチンを示すフローチャート。
【図１１】第２実施形態による車両制御システムを示すブロック図。
【符号の説明】
【０１１４】
１０、１２、１４：車両制御システム、２０：電源制御装置、３０：ステアリング制御装置（機能ドメイン制御手段）、４０：ブレーキ制御装置（機能ドメイン制御手段）、５０：車体制御装置（機能ドメイン制御手段）、６０：ナビゲーション制御装置（機能ドメイン制御手段）、１００、２９０、３００：イントラボックス（車両監査装置）、２００：インタフェース手段、２１０、２９４、３０４：挙動情報取得手段、２２０情報保護手段、２３０：共有メモリ、２４０、２９２、３０２：監査手段、２５０：挙動要求取得手段、２５２：挙動推定手段、２５４：実挙動検出手段、２５６：挙動異常判定手段、２６０：制御異常推定手段、２６２：制御異常特定手段、２６４：制御遮断手段、２７０：制御可能判定手段、２７２：制御パラメータ算出手段、２８０：挙動制御調整手段、２９６、３０６：多数決判定手段、３１０、３１２：電源（電源系）、３２０、３２２：通信系、３３０、３３２：機能ドメイン制御手段
【特許請求の範囲】
【請求項１】
車両の挙動情報を取得する挙動情報取得手段と、
車両に搭載された制御対象の挙動を機能ドメイン毎に制御する機能ドメイン制御手段とは独立して設けられ、前記制御対象に対する前記機能ドメイン制御手段による挙動制御の正当性を前記挙動情報に基づいて監査する監査手段と、
を備えることを特徴とする車両監査装置。
【請求項２】
安全性要求の高い前記機能ドメイン制御手段と安全性要求の低い前記機能ドメイン制御手段とが共有する共有情報を記憶している記憶手段に対し、安全性要求の低い前記機能ドメイン制御手段からの変更を制限する情報保護手段を備えることを特徴とする請求項１に記載の車両監査装置。
【請求項３】
安全性要求の高い前記機能ドメイン制御手段のうちの少なくとも一部は、安全性要求の低い前記機能ドメイン制御手段から提供される情報に基づき前記挙動制御の制御パラメータを調整することを特徴とする請求項１または２に記載の車両監査装置。
【請求項４】
前記監査手段は、複数の前記機能ドメイン制御手段から一つの前記制御対象に実施される前記挙動制御の正当性を監査することを特徴とする請求項１から３のいずれか一項に記載の車両監査装置。
【請求項５】
前記監査手段は、
車両に対して所定の挙動を要求する挙動要求情報を取得する挙動要求取得手段と、
前記挙動要求に基づいて車両の挙動を推定する挙動推定手段と、
車両の実際の実挙動を検出する実挙動検出手段と、
前記挙動推定手段が推定する車両の推定挙動と前記実挙動とを比較し車両挙動が異常であるかを判定する挙動異常判定手段と、
を有することを特徴とする請求項１から４のいずれか一項に記載の車両監査装置。
【請求項６】
前記挙動推定手段は、車両の物理モデルに基づいて車両の挙動を推定することを特徴とする請求項５に記載の車両監査装置。
【請求項７】
前記挙動推定手段は、車両挙動の異常パターンのデータベースに基づいて車両の挙動を推定することを特徴とする請求項５に記載の車両監査装置。
【請求項８】
前記監査手段は、前記車両挙動が異常であると前記挙動異常判定手段が判定すると前記車両挙動の異常を引き起こす可能性のある箇所の前記機能ドメイン制御手段による前記挙動制御を推定する制御異常推定手段と、前記制御異常推定手段が推定した箇所の前記挙動制御を遮断する制御遮断手段と、を有することを特徴とする請求項５から７のいずれか一項に記載の車両監査装置。
【請求項９】
前記監査手段は、前記車両挙動の異常を引き起こす可能性のある前記機能ドメイン制御手段による前記挙動制御の箇所を前記制御異常推定手段よりもさらに詳細に特定する制御異常特定手段を有し、
前記制御遮断手段は、前記制御異常特定手段が特定した箇所の前記挙動制御を遮断するとともに、前記制御異常推定手段の推定結果に基づいて遮断した箇所の前記挙動制御を復帰させることを特徴とする請求項８に記載の車両監査装置。
【請求項１０】
前記監査手段は、一つの前記制御対象の挙動を制御している複数の前記機能ドメイン制御手段の前記挙動制御のうちの一部が前記制御遮断手段により遮断された場合、他の前記機能ドメイン制御手段の前記挙動制御により前記制御対象の挙動を制御可能かを判定する制御可能判定手段と、他の前記機能ドメイン制御手段の前記挙動制御により前記制御対象の挙動を制御可能であると前記制御可能判定手段が判定すると、遮断された箇所の前記挙動制御を補う他の前記挙動制御の制御パラメータを算出する制御パラメータ算出手段と、を有することを特徴とする請求項８または９に記載の車両監査装置。
【請求項１１】
前記挙動情報取得手段と前記監査手段とを一組として複数組を備え、各組が互いに離れて車両に設置されることを特徴とする請求項１から１０のいずれか一項に記載の車両監査装置。
【請求項１２】
前記複数組のうち少なくとも二組は、車両において冗長系を構成する異なる電源系から電力を供給され、車両において冗長系を構成する異なる通信系により通信することを特徴とする請求項１１に記載の車両監査装置。
【請求項１３】
複数の前記監査手段のそれぞれは、自身を含む複数の前記監査手段の監査結果と、前記機能ドメイン制御手段による監査結果とから、他の前記監査手段および前記機能ドメイン制御手段の異常を判定する多数決判定手段を有することを特徴とする請求項１１または１２に記載の車両監査装置。
【請求項１４】
前記監査手段は、前記車両の挙動が異常であり、前記機能ドメイン制御手段による前記挙動制御が正常である場合、前記機能ドメイン制御手段に設定された前記挙動制御の優先順位に基づいて前記挙動制御の実施を調整し、車両の挙動異常を緩和する挙動制御調整手段を有することを特徴とする請求項１から１３のいずれか一項に記載の車両監査装置。
【請求項１５】
前記機能ドメイン制御手段に電力を供給する電源とは異なる電源から電力を供給されることを特徴とする請求項１から１４のいずれか一項に記載の車両監査装置。
【請求項１６】
前記機能ドメイン制御手段が接続する信号系とは異なる信号系と接続し、少なくとも前記挙動情報の一部を前記挙動情報取得手段に供給するインタフェース手段をさらに備えることを特徴とする請求項１から１５のいずれか一項に記載の車両監査装置。
【請求項１７】
前記監査手段は、前記機能ドメイン制御手段を構成する処理装置とは異なる処理装置により構成されていることを特徴とする請求項１から１６のいずれか一項に記載の車両監査装置。
【請求項１８】
前記監査手段が前記挙動情報に基づいて車両挙動量を推定するアルゴリズムは、前記機能ドメイン制御手段が前記制御対象に対する挙動制御量を算出するアルゴリズムと異なっていることを特徴とする請求項１から１７のいずれか一項に記載の車両監査装置。
【請求項１９】
車両に搭載された制御対象の挙動を機能ドメイン毎に制御する機能ドメイン制御手段と、
請求項１から１８のいずれか一項に記載の車両監査装置と、
を備えることを特徴とする車両制御システム。
【請求項１】
車両の挙動情報を取得する挙動情報取得手段と、
車両に搭載された制御対象の挙動を機能ドメイン毎に制御する機能ドメイン制御手段とは独立して設けられ、前記制御対象に対する前記機能ドメイン制御手段による挙動制御の正当性を前記挙動情報に基づいて監査する監査手段と、
を備えることを特徴とする車両監査装置。
【請求項２】
安全性要求の高い前記機能ドメイン制御手段と安全性要求の低い前記機能ドメイン制御手段とが共有する共有情報を記憶している記憶手段に対し、安全性要求の低い前記機能ドメイン制御手段からの変更を制限する情報保護手段を備えることを特徴とする請求項１に記載の車両監査装置。
【請求項３】
安全性要求の高い前記機能ドメイン制御手段のうちの少なくとも一部は、安全性要求の低い前記機能ドメイン制御手段から提供される情報に基づき前記挙動制御の制御パラメータを調整することを特徴とする請求項１または２に記載の車両監査装置。
【請求項４】
前記監査手段は、複数の前記機能ドメイン制御手段から一つの前記制御対象に実施される前記挙動制御の正当性を監査することを特徴とする請求項１から３のいずれか一項に記載の車両監査装置。
【請求項５】
前記監査手段は、
車両に対して所定の挙動を要求する挙動要求情報を取得する挙動要求取得手段と、
前記挙動要求に基づいて車両の挙動を推定する挙動推定手段と、
車両の実際の実挙動を検出する実挙動検出手段と、
前記挙動推定手段が推定する車両の推定挙動と前記実挙動とを比較し車両挙動が異常であるかを判定する挙動異常判定手段と、
を有することを特徴とする請求項１から４のいずれか一項に記載の車両監査装置。
【請求項６】
前記挙動推定手段は、車両の物理モデルに基づいて車両の挙動を推定することを特徴とする請求項５に記載の車両監査装置。
【請求項７】
前記挙動推定手段は、車両挙動の異常パターンのデータベースに基づいて車両の挙動を推定することを特徴とする請求項５に記載の車両監査装置。
【請求項８】
前記監査手段は、前記車両挙動が異常であると前記挙動異常判定手段が判定すると前記車両挙動の異常を引き起こす可能性のある箇所の前記機能ドメイン制御手段による前記挙動制御を推定する制御異常推定手段と、前記制御異常推定手段が推定した箇所の前記挙動制御を遮断する制御遮断手段と、を有することを特徴とする請求項５から７のいずれか一項に記載の車両監査装置。
【請求項９】
前記監査手段は、前記車両挙動の異常を引き起こす可能性のある前記機能ドメイン制御手段による前記挙動制御の箇所を前記制御異常推定手段よりもさらに詳細に特定する制御異常特定手段を有し、
前記制御遮断手段は、前記制御異常特定手段が特定した箇所の前記挙動制御を遮断するとともに、前記制御異常推定手段の推定結果に基づいて遮断した箇所の前記挙動制御を復帰させることを特徴とする請求項８に記載の車両監査装置。
【請求項１０】
前記監査手段は、一つの前記制御対象の挙動を制御している複数の前記機能ドメイン制御手段の前記挙動制御のうちの一部が前記制御遮断手段により遮断された場合、他の前記機能ドメイン制御手段の前記挙動制御により前記制御対象の挙動を制御可能かを判定する制御可能判定手段と、他の前記機能ドメイン制御手段の前記挙動制御により前記制御対象の挙動を制御可能であると前記制御可能判定手段が判定すると、遮断された箇所の前記挙動制御を補う他の前記挙動制御の制御パラメータを算出する制御パラメータ算出手段と、を有することを特徴とする請求項８または９に記載の車両監査装置。
【請求項１１】
前記挙動情報取得手段と前記監査手段とを一組として複数組を備え、各組が互いに離れて車両に設置されることを特徴とする請求項１から１０のいずれか一項に記載の車両監査装置。
【請求項１２】
前記複数組のうち少なくとも二組は、車両において冗長系を構成する異なる電源系から電力を供給され、車両において冗長系を構成する異なる通信系により通信することを特徴とする請求項１１に記載の車両監査装置。
【請求項１３】
複数の前記監査手段のそれぞれは、自身を含む複数の前記監査手段の監査結果と、前記機能ドメイン制御手段による監査結果とから、他の前記監査手段および前記機能ドメイン制御手段の異常を判定する多数決判定手段を有することを特徴とする請求項１１または１２に記載の車両監査装置。
【請求項１４】
前記監査手段は、前記車両の挙動が異常であり、前記機能ドメイン制御手段による前記挙動制御が正常である場合、前記機能ドメイン制御手段に設定された前記挙動制御の優先順位に基づいて前記挙動制御の実施を調整し、車両の挙動異常を緩和する挙動制御調整手段を有することを特徴とする請求項１から１３のいずれか一項に記載の車両監査装置。
【請求項１５】
前記機能ドメイン制御手段に電力を供給する電源とは異なる電源から電力を供給されることを特徴とする請求項１から１４のいずれか一項に記載の車両監査装置。
【請求項１６】
前記機能ドメイン制御手段が接続する信号系とは異なる信号系と接続し、少なくとも前記挙動情報の一部を前記挙動情報取得手段に供給するインタフェース手段をさらに備えることを特徴とする請求項１から１５のいずれか一項に記載の車両監査装置。
【請求項１７】
前記監査手段は、前記機能ドメイン制御手段を構成する処理装置とは異なる処理装置により構成されていることを特徴とする請求項１から１６のいずれか一項に記載の車両監査装置。
【請求項１８】
前記監査手段が前記挙動情報に基づいて車両挙動量を推定するアルゴリズムは、前記機能ドメイン制御手段が前記制御対象に対する挙動制御量を算出するアルゴリズムと異なっていることを特徴とする請求項１から１７のいずれか一項に記載の車両監査装置。
【請求項１９】
車両に搭載された制御対象の挙動を機能ドメイン毎に制御する機能ドメイン制御手段と、
請求項１から１８のいずれか一項に記載の車両監査装置と、
を備えることを特徴とする車両制御システム。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【公開番号】特開２００９−１４９２０８（Ｐ２００９−１４９２０８Ａ）
【公開日】平成２１年７月９日（２００９．７．９）
【国際特許分類】
【出願番号】特願２００７−３２９１０６（Ｐ２００７−３２９１０６）
【出願日】平成１９年１２月２０日（２００７．１２．２０）
【出願人】（０００００４２６０）株式会社デンソー (27,639)
【Ｆターム（参考）】
【公開日】平成２１年７月９日（２００９．７．９）
【国際特許分類】
【出願日】平成１９年１２月２０日（２００７．１２．２０）
【出願人】（０００００４２６０）株式会社デンソー (27,639)
【Ｆターム（参考）】
[ Back to top ]