[本開示の実施形態の説明]
最初に、本開示の好適な実施形態を列記して説明する。なお、以下に記載する実施形態の少なくとも一部を任意に組合せてもよい。
(1)本開示のある局面に係る車両制御システムは、車載ネットワークに接続されたブレーキ制御装置と、ブレーキ制御装置によって駆動されるブレーキ装置とを含む車両に搭載される車両制御システムである。車両制御システムは、車載ネットワークから独立した状態で車両に搭載される。この車両制御システムは、ブレーキ制御装置とは独立してブレーキ装置を駆動する駆動部と、車両の走行時にブレーキ制御装置によるブレーキ制御が不能になったことを検出する検出部と、車両の停止要求を出力する出力部と、ブレーキ制御装置によるブレーキ制御の不能の検出、及び停止要求の出力に基づいて、車両を停止させるよう駆動部を制御する制御部とを含む。
車両制御システムは、車載ネットワークから独立した、駆動部、検出部、出力部、及び制御部を含む。車載ネットワークに接続されたブレーキ制御装置がサイバー攻撃等によって制御不能になった場合、検出部がそのこと(制御不能になったこと)を検出する。出力部は、車両の停止要求を出力する。制御部は、サイバー攻撃を受けた場合でも、ブレーキ制御の不能の検出と車両の停止要求とに基づいて駆動部を制御できる。駆動部は、制御部の制御によってブレーキ制御装置とは独立してブレーキ装置を駆動する。これにより、サイバー攻撃によってブレーキが効かない等の緊急事態が生じた場合でも、車両を停止させることができる。したがって、走行中の車両に緊急事態が生じた場合でも、それによる被害を低減できる。
(2)好ましくは、検出部は、ブレーキ制御装置に対するブレーキ操作に応じた減速が得られたか否かに基づいて、ブレーキ制御装置によるブレーキ制御が不能になったことを検出する。これにより、サイバー攻撃によってブレーキが効かない状況等が生じた場合でも、容易に、ブレーキが効かないことを検出できる。
(3)より好ましくは、車両制御システムは、ブレーキペダルに対するブレーキ踏力を測定する踏力測定装置をさらに含み、検出部は、踏力測定装置によって測定されるブレーキ踏力と車両の減速状況とに基づいて、ブレーキ制御装置によるブレーキ制御が不能になったことを検出する。これにより、ブレーキ制御装置によるブレーキ制御が不能になったことを容易に検出できる。
(4)さらに好ましくは、車両制御システムは、ブレーキペダルとブレーキ制御装置との間に配置されるブレーキ配管に設けられ、当該ブレーキ配管内の液圧を測定する液圧センサをさらに含み、検出部は、液圧センサによって測定される液圧と車両の減速状況とに基づいて、ブレーキ制御装置によるブレーキ制御が不能になったことを検出する。ブレーキ制御が不能になった場合、ブレーキペダルを踏み込めなくする反力が生じ得る。液圧センサによってブレーキ配管内の液圧を測定することにより、このような反力を検出できる。この反力を検出することによっても、ブレーキ制御装置によるブレーキ制御が不能になったことを容易に検出できる。
(5)さらに好ましくは、車両制御システムは、ブレーキペダルに対するブレーキ踏力を測定する踏力測定装置をさらに含み、検出部は、ブレーキ踏力が所定のしきい値を超えたか否かに基づいて、ブレーキ制御装置によるブレーキ制御が不能になったことを検出する。例えば、通常の運転時には超えることがないブレーキ踏力をしきい値として設定しておくことにより、容易に、ブレーキ制御装置によるブレーキ制御が不能になったことを検出できる。
(6)さらに好ましくは、車両制御システムは、ブレーキペダルとブレーキ制御装置との間に配置されるブレーキ配管に設けられ、当該ブレーキ配管内の液圧を測定する液圧センサをさらに含み、検出部は、ブレーキ配管内の液圧が所定のしきい値を超えたか否かに基づいて、ブレーキ制御装置によるブレーキ制御が不能になったことを検出する。このように構成することによっても、容易に、ブレーキ制御装置によるブレーキ制御が不能になったことを検出できる。
(7)さらに好ましくは、車両制御システムは、ブレーキ制御装置によるブレーキ制御が不能になったことを検出部が検出したことに応答して、ブレーキ制御が不能になったことを車両の搭乗者に通知する通知部をさらに含む。この通知によって、搭乗者は、走行中の車両に緊急事態が生じたことを知ることができるので、車両の停止要求等の適切な処置を行い易くなる。なお、搭乗者は車両の運転者及び同乗者を含む。
(8)さらに好ましくは、通知部はさらに、制御部により車両を停止させるよう駆動部が制御されたことに応答して、車両の停止処理を実行していることを車両の搭乗者に通知する。これにより、搭乗者に対して、車両の減速が車両の停止処理によるものであることを認識させることができる。
(9)さらに好ましくは、車両制御システムは、車両内に設けられ、当該車両の搭乗者によって操作される停止ボタンをさらに含み、出力部は、停止ボタンの操作に応じて停止要求を出力する。これにより、走行中の車両に緊急事態が生じた場合に、車両の停止要求を容易に出力できる。
(10)さらに好ましくは、出力部は、車両の搭乗者の発話音声を認識する音声認識部と、音声認識部が所定の発話音声を認識したことに応答して、停止要求を出力する停止要求出力部とを含む。走行中の車両に緊急事態が生じた場合に、例えば、緊急事態の発生によって運転者が混乱した場合でも、車両の停止要求を出力できる。
(11)さらに好ましくは、車両制御システムは、前方に位置する地物に対して所定の停止距離が確保されているか否かを判定する判定装置をさらに含み、出力部は、判定装置の判定結果が否定であることに応答して、停止要求を出力する。これにより、ブレーキ制御装置によるブレーキ制御が不能になり、前方に位置する地物と衝突しそうになった場合でも、出力部が停止要求を出力して、衝突する前に車両を停止させることができる。
(12)さらに好ましくは、出力部は、検出部がブレーキ制御装置によるブレーキ制御が不能になったことを検出した後に所定の時間が経過したことに応答して、停止要求を出力する。これにより、ブレーキ制御装置によるブレーキ制御が不能になった場合に、何らかの理由で運転者が対応できない状況であっても、車両を停止させることができる。
(13)さらに好ましくは、ブレーキ装置は、車輪と一体に回転する被制動部材と、被制動部材を押圧することにより当該被制動部材の回転を制動する制動部材とを含み、駆動部は、被制動部材に対して制動部材を押圧するよう制動部材を加圧する加圧装置を含み、制御部は、加圧装置を制御することにより、被制動部材に対して制動部材を押圧させる。これにより、ブレーキ装置をブレーキ制御装置とは独立して駆動できるシステムを容易に得ることができる。
(14)本開示の他の局面に係る車両制御システムは、車載ネットワークに接続されたブレーキ制御装置と、ブレーキ制御装置によって駆動されるブレーキ装置とを含む車両に搭載される車両制御システムである。車両制御システムは、車載ネットワークから独立した状態で車両に搭載される。この車両制御システムは、ブレーキ制御装置とは独立してブレーキ装置を駆動する駆動部と、車両の走行時にブレーキ制御装置によるブレーキ制御が不能になったことを検出する検出部と、検出部がブレーキ制御装置によるブレーキ制御の不能を検出したことに応答して、車両を停止させるよう駆動部を制御する制御部とを含む。
車両制御システムは、車載ネットワークから独立した、駆動部、検出部、出力部、及び制御部を含む。車載ネットワークに接続されたブレーキ制御装置がサイバー攻撃等によって制御不能になった場合、検出部がそのこと(制御不能になったこと)を検出する。制御部は、サイバー攻撃を受けた場合でも、ブレーキ制御装置によるブレーキ制御の不能を検出したことに応答して駆動部を制御できる。駆動部は、制御部の制御によってブレーキ制御装置とは独立してブレーキ装置を駆動する。これにより、サイバー攻撃によってブレーキが効かない等の緊急事態が生じた場合でも、車両を停止させることができる。したがって、走行中の車両に緊急事態が生じた場合でも、それによる被害を低減できる。
(15)本開示のさらに他の局面に係る制御方法は、車載ネットワークに接続されたブレーキ制御装置と、ブレーキ制御装置によって駆動されるブレーキ装置とを含む車両に搭載される車両制御システムの制御方法である。車両制御システムは、車載ネットワークから独立した状態で車両に搭載されるとともに、ブレーキ制御装置とは独立してブレーキ装置を駆動する駆動部を含む。制御方法は、車両の走行時にブレーキ制御装置によるブレーキ制御が不能になったことを検出するステップと、車両の停止要求を出力するステップと、検出するステップにおいて検出された、ブレーキ制御装置によるブレーキ制御の不能、及び、出力するステップにおいて出力された停止要求に基づいて、車両を停止させるよう駆動部を制御するステップとを含む。このような制御方法によって車両制御システムを制御することにより、サイバー攻撃によってブレーキが効かない等の緊急事態が生じた場合でも、それによる被害を低減できる。
(16)本開示のさらに他の局面に係る車両は、ブレーキ装置と、車載ネットワークに接続され、ブレーキ装置を駆動するブレーキ制御装置とを含む。この車両は、車載ネットワークから独立した車両制御システムをさらに含む。車両制御システムは、ブレーキ制御装置とは独立してブレーキ装置を駆動する駆動部と、車両の走行時にブレーキ制御装置によるブレーキ制御が不能になったことを検出する検出部と、車両の停止要求を出力する出力部と、ブレーキ制御装置によるブレーキ制御の不能の検出、及び停止要求の出力に基づいて、車両を停止させるよう駆動部を制御する制御部とを含む。
車両をこのように構成することにより、車両の走行時に、ブレーキ制御装置によるブレーキ制御が不能になった場合でも、制御部によって駆動部を制御できる。駆動部を制御することによって、ブレーキ制御装置とは独立してブレーキ装置を駆動できる。これにより、サイバー攻撃によってブレーキが効かない等の緊急事態が生じた場合でも、車両を停止させることができる。したがって、走行中の車両に緊急事態が生じた場合でも、それによる被害を低減できる。
(17)本開示のさらに他の局面に係るコンピュータプログラムは、車載ネットワークに接続されたブレーキ制御装置と、ブレーキ制御装置によって駆動されるブレーキ装置とを含む車両に搭載される車両制御システムのコンピュータプログラムである。車両制御システムは、車載ネットワークから独立したコンピュータと、ブレーキ制御装置とは独立してブレーキ装置を駆動する駆動部とを含む。このコンピュータプログラムは、コンピュータを、車両の走行時にブレーキ制御装置によるブレーキ制御が不能になったことを検出する検出部、車両の停止要求を出力する出力部、及び、ブレーキ制御装置によるブレーキ制御の不能の検出、及び停止要求の出力に基づいて、車両を停止させるよう駆動部を制御する制御部として機能させる。
これにより、サイバー攻撃によってブレーキが効かない等の緊急事態が生じた場合でも、車両を停止させることができる。したがって、走行中の車両に緊急事態が生じた場合でも、それによる被害を低減できる。
[本開示の実施形態の詳細]
本開示の実施形態に係る車両制御システム、その制御方法、車両、及びコンピュータプログラムの具体例を、以下に図面を参照しつつ説明する。以下の実施の形態では、同一の部品には同一の参照番号を付してある。それらの機能及び名称も同一である。したがって、それらについての詳細な説明は繰返さない。
(第1の実施の形態)
[全体構成]
図1を参照して、本実施の形態に係る車両50は、電子制御システム60と、車両制御システム100とを含む。電子制御システム60は、複数のECU(Electronic Control Unit)70a〜70e(以下、総称する場合は「ECU70」と記す。)と、これらECU70を相互に接続するネットワーク回線72a〜72b(以下、総称する場合は「ネットワーク回線72」と記す。)と、セントラルゲートウェイ74とを含む。
ECU70は、制御用のコンピュータであって、車両50に搭載される各機器を制御する。ECU70は、パワートレイン系、車両制御系、ボディ制御系及び情報系等の関連する制御系統ごとにネットワークを構成して情報を互いに共有する。例えば、ブレーキ制御ECU70aは、ネットワーク回線72aを介して、エンジン制御ECU70b、燃料供給制御ECU70c等と通信可能に接続されてネットワークを形成している。他の制御系のECU70d及びECU70eも、ネットワーク回線72bを介して、互いに通信可能に接続されてネットワークを形成している。
セントラルゲートウェイ74は、関連する制御系統ごとに構成されたネットワーク間における情報の中継処理を行う。電子制御システム60は、複数のECU70がネットワーク回線72及びセントラルゲートウェイ74等を介して繋がることで車載ネットワーク62を構成している。車載ネットワーク62には、例えばCAN(Controller Area Network)プロトコルが用いられる。CANに代えて、又はCANとともに、例えば、CAN FD(CAN with Flexible Data rate)、LIN(Local Interconnect Network)、FlexRay、MOST(Media Oriented System Transport)、CXPI(Clock Extension Peripheral Interface)、及びEthernet(登録商標)等のプロトコルを適宜用いることもできる。その場合、各ネットワークの目的及び特徴に応じて、複数のプロトコルを使い分けるようにするのが好ましい。
車両50は走行のための車輪52(前輪52a及び後輪52b)を持つ。各車輪52は、後述するブレーキ装置によって制動される。車両50には、ブレーキ装置を駆動するためのブレーキ制御装置80が搭載されている。ブレーキ制御装置80は車両50のブレーキを電子制御するためのブレーキシステム(BS)であって、ブレーキ制御ECU70aを含む。ブレーキ制御装置80は、ブレーキ制御ECU70aを含むことで車載ネットワーク62に接続されている。
車両制御システム100は、車載ネットワーク62から独立した(すなわち、車載ネットワーク62には接続されていない)システムであって、追加のブレーキシステム200を含む。このブレーキシステム200は、車載ネットワーク62から独立しているため、以下では「独立ブレーキシステム200」と呼ぶ。独立ブレーキシステム200は、ブレーキ制御装置80とは独立してブレーキ装置を駆動する。
車両制御システム100は、走行中の車両に緊急事態(例えばサイバー攻撃によってブレーキが効かない状況等)が生じた場合に被害を最小化することを目的とするシステムである。そのため、この車両制御システム100をSMD(System for Minimization of Damage)と呼ぶことがある。
[車両制御システム100の概要]
図2を参照して、本実施の形態に係る車両制御システム100は、車両50の走行時にブレーキ制御装置80によるブレーキ制御が不能になったこと、及び、以下に示す停止要求(1)〜(3)のうちの少なくとも1つの停止要求を検出すると、緊急事態が発生したと判断して、車両50を停止させる。すなわち、車両制御システム100は緊急停止システムとしての機能を持つ。
ブレーキ制御装置80によるブレーキ制御が不能になったこと(ブレーキが効かないこと)の判断(検出)は、ブレーキ操作を行ったタイミング(破線四角Rで囲った範囲)において、ブレーキ操作に応じた減速が得られたか否かに基づいて行われる。具体的には、車両制御システム100は、車両50の走行時に、ブレーキペダルに対するブレーキ踏力及び車体加速度を監視している。車両制御システム100は、ブレーキ踏力と車両50の減速状況とに基づいて、ブレーキ制御装置80によるブレーキ制御が不能になったことを検出する。より具体的には、車両制御システム100は、ブレーキ踏力が所定のしきい値を超えたときに、そのブレーキ踏力でのブレーキ操作に相当する減速Gが得られたか否かに基づいて、ブレーキ制御装置80によるブレーキ制御が不能になったか否かを判断する。ブレーキ踏力が所定のしきい値を超えたときに、それに相当する減速Gが得られない(減速Gが弱い)場合、車両制御システム100は、ブレーキ制御が不能(ブレーキが効かない)と判断する。この場合、車両制御システム100は、ブレーキ制御が不能になったことを車両50の搭乗者に通知(警告)する。
停止要求は、搭乗者の停止意思に基づくものと、それ以外のものとに分けられる。
停止要求(1)は、搭乗者が緊急停止ボタンを操作した場合、又は、音声認識装置が所定の発話音声を検出した場合に出力される。したがって、停止要求(1)は、搭乗者の停止意思に基づく要求に分類される。
停止要求(2)は、安全停止距離が守られているか否かの判断に基づいて出力される。車両制御システム100は、カメラ又はレーダ等により、車両50の前方に位置する地物(車、人、壁等)との間で相対速度に応じた適切な安全停止距離が確保されているかを監視している。車両制御システム100は、地物に対して安全停止距離が確保されなくなると、この停止要求を出力する。
停止要求(3)は、タイムアウトによる停止指令である。例えば、搭乗者が緊急停止ボタンを操作できない場合、又は、前方に障害物がなく安全停止距離が確保されている場合は、上記した停止要求(1)及び(2)に基づく停止要求は出力されない。そのため、こうした場合でも車両50を停止させるために、車両制御システム100は、ブレーキ制御が不能になったことを検出してから所定の時間が経過すると、この停止要求を出力する。
停止要求(2)及び(3)は、搭乗者の停止意思以外に基づく要求に分類される。
車両制御システム100は、ブレーキ制御装置80によるブレーキ制御が不能になったこと、及び、停止要求が出力されたことを検出すると、独立ブレーキシステム200を起動して車両50を停止させる。独立ブレーキシステム200による車両50の停止処理を、以下では「SMD処理」と呼ぶことがある。
搭乗者は、運転者及び同乗者を含む。そのため、搭乗者の停止意思に基づく停止要求は、運転者の停止意思に基づくものであってもよいし、同乗者の停止意思に基づくものであってもよい。すなわち、緊急停止ボタンは運転者が操作してもよいし、同乗者が操作してもよい。さらに、音声認識装置が検出する発話音声は、運転者の発話音声であってもよいし、同乗者の発話音声であってもよい。なお、車両の停止要求を運転の一部と考えた場合、緊急停止ボタンの操作等は運転者によって行われるのが好ましい。以下では、搭乗者の停止意思に基づく停止要求は、運転者の停止意思に基づくものとして説明する。また、ブレーキ制御が不能になったことの通知(警告)も、主として運転者に対して行うものとして説明する。
[ハードウェア構成]
図3を参照して、本実施の形態に係る車両制御システム100は、上記した独立ブレーキシステム200と、ブレーキ制御不能検出センサ110と、第1の停止要求出力部120と、車両50の周辺を監視する監視センサ130とを含む。
独立ブレーキシステム200は、制御装置210と、加圧装置250とを含む。制御装置210は、実質的にコンピュータであって、CPU(Central Processing Unit)210a、及びメモリ210b等を含む。メモリ210bには、CPU210aが車両制御システム100を制御するためのプログラム及びデータが記憶されている。加圧装置250は、制御装置210の制御のもとでブレーキ装置を駆動する。
ブレーキ制御不能検出センサ110は、加速度センサ112(以下「Gセンサ112」と呼ぶ。)と、踏力センサ114とを含む。Gセンサ112は、車体に設けられて車両50に加わる加速度を検出する。踏力センサ114は、運転者がブレーキペダルを踏み込んだときの踏力を検出(測定)する。Gセンサ112で検出した加速度の信号、及び踏力センサ114で検出したブレーキ踏力の信号は制御装置210に入力される。なお、ブレーキ制御不能検出センサ110は、速度センサを含む構成であってもよい。また、Gセンサ112が検出した加速度を制御装置210が時間積分することで車両50の速度データを制御装置210が取得するようにしてもよい。
第1の停止要求出力部120は、緊急停止ボタン122と、音声認識装置124とを含む。緊急停止ボタン122は運転者等によって操作されると、停止要求の信号を制御装置210に出力する。音声認識装置124は、車両50内の発話音声、特に運転者の発話音声を取得して認識する。この音声認識装置124は、車両50内の発話音声を集音するマイク124aと、集音した発話音声を認識する処理を行う音声処理装置124bとを含む。音声認識装置124は、運転者が所定の発話音声を発したことを認識すると、停止要求の信号を制御装置210に出力する。所定の発話音声は、緊急時に運転者が発するであろう音声であって、例えば、「ギャー」等の悲鳴、「止まれ」等の停止指示等である。これらの発話音声は予め登録されていると好ましい。
監視センサ130は、カメラ132及びレーダ装置134を含む。カメラ132は、例えば、CCD(Charge−Coupled Device)又はCMOS(Complementary Metal Oxide Semiconductor)等の固体撮像素子を利用したデジタルカメラである。カメラ132は、車両50の任意の箇所に1つ又は複数取り付けられる。カメラ132は、例えば、周期的に繰返し自車両50の周辺を撮像する。レーダ装置134は、車両50の周辺にミリ波等の電波を放射し、物体によって反射された電波(反射波)を検出することにより当該物体の位置(距離及び方位)等を検出する。レーダ装置134も車両50の任意の箇所に1つ又は複数取り付けられる。カメラ132が撮像した撮像データ、及びレーダ装置134が取得したデータは、制御装置210に入力される。
電子制御システム60は、車載ネットワーク62を構成する各種のECU70、及びブレーキ制御装置80に加えて、車両50を電子制御するための各種センサ90を含む。これら各種センサ90は、Gセンサ、カメラ、及びレーダ装置等を含む。ブレーキ制御装置80は、ブレーキ配管54を介して、ブレーキ装置300a〜300d(以下、総称する場合は「ブレーキ装置300」と記す。)に接続されている。ブレーキ制御装置80は、ブレーキ配管54を介して、ブレーキ装置300に油圧を加えることでブレーキ装置300を駆動させる。
ブレーキ配管54の各々には、ブレーキ配管140が接続されている。加圧装置250は、これらブレーキ配管54及び140を介して、ブレーキ装置300に接続されている。加圧装置250は、これらのブレーキ配管54及び140を介して、ブレーキ装置300に油圧を加えることでブレーキ装置300を駆動させる。
図4を参照して、車両制御システム100の制御装置210は、機能部として、ブレーキ制御不能検出部212、第2の停止要求出力部214、SMD処理部216、及び通知部218を含む。
ブレーキ制御不能検出部212は、Gセンサ112からの加速度信号、及び踏力センサ114からのブレーキ踏力信号を監視している。ブレーキ制御不能検出部212は、加速度信号、及びブレーキ踏力信号に基づいて、ブレーキ制御装置80によるブレーキ制御の不能を検出する。具体的には、上記したように、ブレーキ制御不能検出部212は、ブレーキ踏力が所定のしきい値を超えたときに、そのブレーキ踏力でのブレーキ操作に相当する減速Gが得られたか否かに基づいて、ブレーキ制御装置80によるブレーキ制御が不能になったか否かを判断する。
第2の停止要求出力部214は、安全停止距離監視部214aと、タイマ214bとを含む。安全停止距離監視部214aは、カメラ132が撮像した撮像データ、及びレーダ装置134が取得したデータを解析して、車両50の前方に位置する地物(車、人、壁等)との間で相対速度に応じた適切な安全停止距離が確保されているかを監視する処理を行う。地物に対して安全停止距離が確保されない状況が生じると、安全停止距離監視部214aは衝突のおそれがあると判断して、停止要求を出力する。安全停止距離監視部214aはまた、自車両50の周辺の地物との安全停止距離を情報として運転者に提供する。
タイマ214bは、種々の経過時間を計測する。例えば、タイマ214bは、ΔT1の時間計測を行うΔT1タイマ、ΔT2の時間計測を行うΔT2タイマ、及びΔT3の時間計測を行うΔT3タイマを含むことで、ΔT1、ΔT2及びΔT3の時間経過を計測する。ΔT1、ΔT2及びΔT3はシステムに応じて任意に設定される。第2の停止要求出力部214は、ブレーキ制御が不能になったことを検出してから所定の時間が経過すると、タイムアウトによる停止要求を出力する。
SMD処理部216は、ブレーキ制御の不能、及び、停止要求に基づいて、SMD処理を実行する。すなわち、SMD処理部216は、ブレーキ制御装置80によるブレーキ制御が不能になったこと、及び、第1の停止要求出力部120又は第2の停止要求出力部214から出力された停止要求を検出すると、加圧装置250を制御して車両50の走行を停止させる。SMD処理部216は、ブレーキ踏力、車両50の走行速度、地物との間の距離(安全停止距離)等に基づいて、車両50が安全に停止できるよう加圧装置250による加圧力を調整する。
通知部218は、ブレーキ制御装置80によるブレーキ制御が不能になった場合に、そのこと(ブレーキ制御が不能になったこと)を運転者(搭乗者)に通知する機能を持つ。通知部218はさらに、SMD処理が実行されたことに応答して、すなわち、車両50を停止させるよう加圧装置250が制御されたことに応答して、車両の停止処理(SMD処理)を実行していることを車両50の運転者(搭乗者)に通知するよう構成されていてもよい。
図5を参照して、緊急停止ボタン122は、運転者が操作し易い位置、例えばダッシュボードの所定の位置に配置されている。緊急停止ボタン122は、操作が必要な状況となったときに発光(点灯、又は点滅)するよう構成されていると好ましい。このように構成することにより、ブレーキ制御の不能を検出した際に、緊急停止ボタン122の操作を容易に運転者に促すことが可能となる。
マイク124aは、運転者の発話を集音し易い任意の位置、例えばハンドル(ステアリングホイール)のホーン部分等に設けられている。車両50内には、スピーカ56及びナビゲーションディスプレイ58等が設けられている。ブレーキ制御装置80によるブレーキ制御が不能になったときの通知は、スピーカ56による音声、又は、ナビゲーションディスプレイ58による警告表示等によって行われる。例えば、ブレーキ制御装置80によるブレーキ制御が不能になったことが検出されると、「ブレーキ制御が不能です。緊急停止ボタンを押してください。」といった音声での通知、及び、ナビゲーションディスプレイ58への警告表示が行われる。これ以外にブザー音を鳴動させたり、ランプ点滅等によって警告を出したりしてもよい。
[ブレーキ機構の構成]
図6を参照して、車両50のブレーキ機構は、ブレーキペダル400、ブレーキブースター402、マスタシリンダ404、リザーブタンク406、ブレーキ制御装置80、ブレーキ装置300、及び車両制御システム100を含む。ブレーキペダル400、ブレーキブースター402、マスタシリンダ404、リザーブタンク406、ブレーキ制御装置80、及び、ブレーキ装置300は既存のシステムである。車両制御システム100は、ブレーキ制御装置80以外のブレーキ機構をブレーキ制御装置80と共有する。すなわち、車両制御システム100は、当該車両制御システム100を車両50に搭載した際に、既存ブレーキに対する変更箇所が極力少なくなるように構成されている。
ブレーキペダル400は、運転者によって操作される運転操作子の一つである。ブレーキペダル400は、パッド部400aとアーム部400bとを含む。パッド部400aは、アーム部400bの下端部に設けられている。アーム部400bの上端部には支軸400cが設けられている。この支軸400cを介して、ブレーキペダル400が揺動可能に車体に取付けられている。アーム部400bの所定部分には、クレビスピン86を介してクレビス84が回転可能に連結されている。クレビス84にはプッシュロッド88の一端が連結固定されている。このプッシュロッド88の他端はブレーキブースター402に連結されている。ブレーキペダル400のパッド部400aに踏力が付与されると、ブレーキペダル400が支軸400cの周りを揺動し、その揺動に応じてプッシュロッド88が変位することでブレーキブースター402に踏力が伝わる。
運転操作子は、他にアクセルペダル、シフトレバー、ハンドル等を含む。ブレーキペダル400には、ブレーキ踏力を測定するための踏力センサ114が取り付けられている。踏力センサ114は、ブレーキペダル400に対する踏力を検出し、その検出結果を制御装置210に出力する。踏力センサ114は、例えばブレーキペダル400のパッド部400aに設けられる。ブレーキブースター402は、ブレーキペダル400に対する踏力を増大する倍力装置である。マスタシリンダ404は、ブレーキペダル400に対する踏力を液圧に変換してブレーキ液を圧送する装置である。このマスタシリンダ404は、ブレーキブースター402に取り付けられている。マスタシリンダ404は、タンデム型であってもよいし、シングル型であってもよい。図6には、タンデム型のマスタシリンダの例が記載されている。リザーブタンク406はブレーキオイルを貯蔵しておくタンクであって、マスタシリンダ404に取り付けられている。
ブレーキ装置300は、車輪52と一体に回転するブレーキロータ310と、ブレーキロータ310をブレーキパッド(図示せず。)で押圧することにより当該ブレーキロータ310の回転を制動するブレーキキャリパ320とを含む。ブレーキキャリパ320はブレーキオイルによる油圧によりブレーキパッドをブレーキロータ310に押し付ける。複数のブレーキ装置300a〜300dは、いずれも同様の構成を有しており、各車輪52にそれぞれ取り付けられている。
ブレーキ制御装置80は、マスタシリンダ404とブレーキ装置300(ブレーキキャリパ320)との間に配置されている。ブレーキ制御装置80は、ブレーキ制御ECU70aによって制御される油圧制御装置82をさらに含む。油圧制御装置82は、ブレーキオイルが送入される送入口と、ブレーキオイルを送出させる送出口とを含む。油圧制御装置82の送入口は、ブレーキ配管408を介して、マスタシリンダ404の送出口と接続されている。油圧制御装置82の送出口は、ブレーキ配管54を介して、ブレーキキャリパ320と接続されている。マスタシリンダ404からの油圧は、油圧制御装置82を介してブレーキキャリパ320に伝わることで、ブレーキキャリパ320が車輪52の回転を制動する。その際、ブレーキ制御ECU70aは、油圧制御装置82を電子制御することで、ブレーキキャリパ320に送られる油圧を調節する。
車両制御システム100の加圧装置250は、アクチュエータであって、油圧を発生させるためのポンプ252、及びポンプ252を作動させるためのモータ254を含む。加圧装置250には、上記したブレーキ配管140の一端が接続されている。ブレーキ配管140の他端は、油圧制御装置82とブレーキキャリパ320とを接続するブレーキ配管54の途中に、バルブ260を介して接続されている。
図7を参照して、バルブ260はブレーキオイルの流路を切替える切替弁262を含む。切替弁262は、油圧によって一端を支点にして回動することでブレーキオイルの流路を切替える。図7(A)を参照して、通常時は、切替弁262は、ブレーキ制御装置80からの油圧によって加圧装置250の流路を塞ぐ位置に回動される。これにより、ブレーキ制御装置80からブレーキキャリパ320に通じる流路が開にされる。図7(B)を参照して、SMD処理時は、切替弁262は、加圧装置250からの油圧によってブレーキ制御装置80の流路を塞ぐ位置に回動される。これにより、加圧装置250からブレーキキャリパ320に通じる流路が開にされる。
なお、上記バルブ260に代えて、ソレノイドバルブ等の電磁弁により流路を切替えるバルブを用いてもよい。
[ソフトウェア構成]
図8を参照して、ブレーキ制御装置80によるブレーキ制御の不能を検知してSMD処理を実行するために、車両制御システム100の制御装置210で実行されるコンピュータプログラムの制御構造について説明する。このプログラムは、車両制御システム100に電源が投入されたことに応じて開始する。
このプログラムは、初期化処理を実行するステップS1000と、ステップS1000の後に実行され、通常処理を実行するステップS2000とを含む。ステップS1000では、初期化処理として、フラグ類をOFFにする処理、及びタイマ214bをリセットする処理等が実行される。ステップS2000の通常処理は、例えば、Gセンサ112からの加速度信号及び踏力センサ114からのブレーキ踏力信号の監視処理、地物に対する安全停止距離の監視処理、車両50が走行中か否かの判定処理、及び、SMD処理が実行されたか否かの判定処理等を含む。車両50が走行中の場合、後述する割込処理が実行される。一方、車両50が走行中ではない場合、例えば信号待ち等で一時停止している場合には、センサ又はタイマから通知を受取っても割込処理は実行されない。信号待ち等の一時停止時に運転者がブレーキペダル400を強く踏み込んだ場合に、それに応じた減速Gが得られないとして(車両50は停止しているため)ブレーキ制御が不能であると誤検知されるのを防止するためである。割込処理によりSMD処理が実行されると、ステップS2000の処理を終了して、このプログラムは終了する。
図9〜図15は、車両制御システム100の主要な処理を実行するための割込処理を示すルーチンである。
図9を参照して、このルーチンは、踏力センサ114が所定のしきい値以上のブレーキ踏力を検出したことに応じて起動される。このルーチンは、タイマ214b(ΔT1タイマ)を起動してタイマ214bに時間ΔT1(以下、単にΔT1と呼ぶ。ΔT2、ΔT3等についても同様。)の時間計測を開始させ、計測中フラグをONに設定するステップS3000を含む。ステップS3000の処理が終了すると、この割込処理を終了してステップS2000の通常処理に戻る。計測中フラグとは、時間計測中(ON)か否(OFF)かの状態を示す変数である。
図10を参照して、このルーチンは、緊急停止ボタン122の押下(停止要求)を検出すると起動される。このルーチンは、計測中フラグがONか否かを判定し、判定結果に応じて制御の流れを分岐させるステップS3100と、ステップS3100において、計測中フラグがONであると判定されたことに応答して、再初期化処理を実行するステップS3110と、ステップS3110の後に実行され、加圧装置250を制御してSMD処理を実行するステップS3120とを含む。ステップS3110では、フラグ類(計測中フラグ、並びに、後述する衝突フラグ及びSMD処理フラグ等)をOFFに設定する処理、及びタイマをリセットする処理等が実行される。ステップS3100において計測中フラグがONではない(OFFである)と判定された場合、又は、ステップS3120の処理が終了すると、この割込処理を終了してステップS2000の通常処理(図8参照)に戻る。
図11を参照して、このルーチンは、所定の発話音声(停止要求)を検出すると起動される。このルーチンは、計測中フラグがONか否かを判定し、判定結果に応じて制御の流れを分岐させるステップS3200と、ステップS3200において、計測中フラグがONであると判定されたことに応答して、再初期化処理を実行するステップS3210と、ステップS3210の後に実行され、加圧装置250を制御してSMD処理を実行するステップS3220とを含む。ステップS3210では、図10のステップS3110と同様の再初期化処理が実行される。ステップS3200において計測中フラグがONではない(OFFである)と判定された場合、又は、ステップS3220の処理が終了すると、この割込処理を終了してステップS2000の通常処理(図8参照)に戻る。
図12を参照して、このルーチンは、衝突のおそれ(停止要求)を検出すると起動される。このルーチンは、計測中フラグがONか否かを判定し、判定結果に応じて制御の流れを分岐させるステップS3300と、ステップS3300において、計測中フラグがONであると判定されたことに応答して、衝突フラグをONに設定するステップS3310とを含む。ステップS3300において計測中フラグがONではない(OFFである)と判定された場合、又は、ステップS3310の処理が終了すると、この割込処理を終了してステップS2000の通常処理(図8参照)に戻る。衝突フラグとは、衝突のおそれがある状態(ON)か否(OFF)かを示す変数である。
図13を参照して、このルーチンは、踏力センサ114が所定のしきい値以上のブレーキ踏力を検出してからΔT1が経過すると起動される。このルーチンは、ΔT1間におけるブレーキ踏力を計算するステップS3400と、ステップS3400の後に実行され、ΔT1間における減速Gを計算するステップS3410とを含む。ステップS3400では、例えば、ブレーキ踏力がΔT1の間継続して所定のしきい値以上であるかを求める。
このルーチンはさらに、ステップS3410の後に実行され、ΔT1におけるブレーキ踏力が所定のしきい値以上であったか否かを判定し、判定結果に応じて制御の流れを分岐させるステップS3420と、ステップS3420において、ΔT1におけるブレーキ踏力が所定のしきい値以上であったと判定された場合に実行され、ΔT1における減速Gが所定のしきい値より小さいか否かを判定し、判定結果に応じて制御の流れを分岐させるステップS3430と、ステップS3430において、減速Gが所定のしきい値より小さいと判定された場合に実行され、衝突フラグがOFFか否かを判定し、判定結果に応じて制御の流れを分岐させるステップS3432と、ステップS3432において、衝突フラグがOFFではない(ONである)と判定されたことに応答して、SMD処理フラグをONに設定するステップS3434と、ステップS3434後、又はステップS3432において衝突フラグがOFFであると判定されたことに応答して、ΔT2タイマを起動してΔT2の時間計測を開始するステップS3440と、ステップS3440の後に実行され、ブレーキ制御装置80によるブレーキ制御が不能になったと判断して、そのことを運転者に通知(警告)するステップS3450と、ステップS3420においてΔT1におけるブレーキ踏力が所定のしきい値以上ではないと判定された場合、又はステップS3430においてΔT1における減速Gが所定のしきい値より小さくない(しきい値以上である)と判定された場合に実行され、再初期化処理を実行するステップS3460とを含む。ステップS3460では、図10のステップS3110と同様の再初期化処理が実行される。ステップS3450又はステップS3460の処理が終了すると、この割込処理を終了してステップS2000の通常処理(図8参照)に戻る。SMD処理フラグとは、衝突のおそれがあるか否かに応じて、SMD処理を実行する(ON)か否(OFF)かを示す変数である。
図14を参照して、このルーチンは、ΔT1経過後さらにΔT2が経過すると起動される。このルーチンは、SMD処理フラグがONか否かを判定し、判定結果に応じて制御の流れを分岐させるステップS3500と、ステップS3500において、SMD処理フラグがONであると判定されたことに応答して、再初期化処理を実行するステップS3510と、ステップS3510の後に実行され、加圧装置250を制御してSMD処理を実行するステップS3520と、ステップS3500において、SMD処理フラグがONではない(OFFである)と判定された場合に実行され、ΔT3タイマを起動してΔT3の時間計測を開始するステップS3530とを含む。ステップS3510では、図10のステップS3110と同様の再初期化処理が実行される。ステップS3520又はステップS3530の処理が終了すると、この割込処理を終了してステップS2000の通常処理(図8参照)に戻る。
図15を参照して、このルーチンは、ΔT2経過後さらにΔT3が経過すると起動される。このルーチンは、再初期化処理を実行するステップS3600と、ステップS3600の後に実行され、加圧装置250を制御してSMD処理を実行するステップS3610とを含む。ステップS3600では、図10のステップS3110と同様の再初期化処理が実行される。ステップS3610の処理が終了すると、この割込処理を終了してステップS2000の通常処理(図8参照)に戻る。
[動作]
本実施の形態に係る車両制御システム100は以下のように動作する。
《緊急停止ボタンの押下、又は所定の発話検出によるSMD処理の実行》
図16を参照して、運転者が緊急停止ボタン122を押下した場合、又は、運転者が発する所定の発話音声を音声認識装置124が検出した場合に出力される停止要求を車両制御システム100が検出する場合の当該車両制御システム100の動作について説明する。
車両50はある速度Vkm/hで走行しているものとする。運転者は、ブレーキをかけるために、アクセルペダルから足を離してブレーキペダル400に踏み換える。その間、車両50は空走する。ブレーキ制御装置80が正常に機能している通常の場合は、運転者がブレーキペダル400を踏み込むと、車両50が減速して一点鎖線Pで示される減速Gが車体に加わる。車両50が停止すると、Gセンサ112が検出する車体前後Gは0になる。
運転者がブレーキペダル400を踏み込むことによって、時刻T1において踏力センサ114からのブレーキ踏力が所定のしきい値を超えたとする。車両制御システム100は、ΔT1タイマを起動して時間計測を開始する(図9のステップS3000)。このとき、計測中フラグがONに設定される。車両制御システム100は、ΔT1の間、ブレーキ制御不能検出センサ110(Gセンサ112及び踏力センサ114)からの信号(加速度信号、ブレーキ踏力信号)を取得してメモリ210bに蓄積する。ΔT1が経過すると、車両制御システム100の制御装置210は、メモリ210bに記憶したブレーキ踏力及び減速Gを読出して、ΔT1の間のブレーキ踏力及び減速Gを計算する(図13のステップS3400及びステップS3410)。メモリ210bに蓄積された加速度信号、及びブレーキ踏力信号は計算後に削除される。
ΔT1の間のブレーキ踏力が所定のしきい値以上(ステップS3420においてYES)、かつ、減速Gが所定のしきい値より小さい場合(ステップS3430においてYES)、車両制御システム100は、ブレーキ制御装置80によるブレーキ制御が不能になったと判断する。例えば、ブレーキが効かない場合、空走状態が継続されるので、空走時同等(0.1G〜0.2G)程度の減速Gが検出される。これは、一点鎖線Pで示した正常時の減速Gより小さい。この場合は、ブレーキ操作に応じた減速が得られていないため、ブレーキ制御が不能になったと判断される。車両制御システム100は、衝突フラグがOFFか否かを判定する(ステップS3432)。ここでは、衝突フラグがOFFであるため(ステップS3432においてYES)、車両制御システム100は、ΔT2タイマを起動してΔT2の時間計測を開始した後(図13のステップS3440)、ブレーキ制御が不能になったことを運転者に通知する(ステップS3450)。例えば、上記したように「ブレーキ制御が不能です。緊急停止ボタンを押してください。」といった警告音声を発する。なお、ブレーキ制御が不能になった原因の一つとしてサイバー攻撃によるものが考えられる。そのため、運転者への通知として、例えば「システムが乗っ取られました。緊急停止ボタンを押してください。」といった警告音声を発するようにしてもよい。
なお、ΔT1の間のブレーキ踏力が所定のしきい値以上ではない場合(ステップS3420においてNO)、又は、減速Gが所定のしきい値以上の場合(ステップS3430においてNO)は、ブレーキ制御装置80は正常な状態であると考えられる。この場合は、警告音声は発せられずに、再初期化処理(タイマのリセット、フラグ類のOFFへの設定)だけが実行される(ステップS3460)。
通知(警告音声等)によりブレーキ制御が不能になったことを知った運転者は、緊急停止ボタン122を押下する。緊急停止ボタン122の押下によって停止要求が出力される。車両制御システム100(独立ブレーキシステム200)は、この停止要求を検出すると、計測中フラグがONか否かを判定する。計測中フラグはONに設定されているため(図10のステップS3100においてYES)、車両制御システム100は、再初期化処理を実行し(ステップS3110)、続いて、SMD処理を実行する(ステップS3120)。SMD処理では、車両制御システム100(制御装置210)が加圧装置250を制御することによりブレーキキャリパ320に油圧を加える。これにより、ブレーキ装置300が車輪52の回転を制動する。車両50には、実線Q1で示される、例えば急ブレーキ相当の減速Gが加わる。その後、車両50は停止する。車両50が停止すると、Gセンサ112が検出する車体前後Gは0になる。
車両制御システム100が搭載されていない車両では、ブレーキ制御が不能になったときにSMD処理が実行されない。そのため、破線Sで示されるように空走状態が継続される。停止すべき位置で車両を停止させることが困難となる。
通知(警告音声等)によりブレーキ制御が不能になったことを知った運転者が、所定の発話音声を発した場合も、上記と同様の動作が実行される。すなわち、運転者が所定の発話音声を発すると、音声認識装置124がその発話音声を認識する。音声認識装置124は、停止要求を独立ブレーキシステム200に出力する。車両制御システム100(独立ブレーキシステム200)は、この停止要求を検出すると、上記と同様、再初期化処理を実行し(図11のステップS3210)、続いて、SMD処理を実行する(ステップS3220)。
図17を参照して、図16に示す上記動作を行うための割込処理の流れについて説明する。時刻T1において踏力センサ114からのブレーキ踏力が所定のしきい値を超えると、図9に示される割込処理(ブレーキ踏力センサ処理)が実行される。この割込処理において、ΔT1の時間計測が開始される。計測開始からΔT1が経過すると、そのときの時刻T2において、図13に示される割込処理(T2タイマ処理)が実行される。この割込処理において、ブレーキ制御が不能になったことを車両制御システム100が検出すると、当該車両制御システム100は、ブレーキ制御が不能になったことの警告通知を運転者に発する。
その後、緊急停止ボタン122の押下、又は所定の発話音声を検出すると、図10に示される割込処理(緊急ボタン処理)、又は図11に示される割込処理(発話検出時の処理)が実行される。図10に示される割込処理、又は図11に示される割込処理において、SMD処理が実行される。
《衝突のおそれの検出によるSMD処理の実行》
図18を参照して、車両50の前方に位置する地物との間で相対速度に応じた適切な安全停止距離が確保されなくなったことを安全停止距離監視部214aが検出した場合に出力される停止要求を車両制御システム100が検出する場合の当該車両制御システム100の動作について説明する。なお、上記した動作と重複する部分は説明を適宜省略する。
時刻T1において踏力センサ114からのブレーキ踏力が所定のしきい値を超え、時刻T1から時刻T2までのΔT1の間に、前方の地物との間で安全停止距離が確保されなくなったこと、すなわち衝突のおそれがあることを安全停止距離監視部214aが検出したとする。安全停止距離監視部214aは、衝突のおそれがあることを検出すると停止要求を出力する。車両制御システム100(独立ブレーキシステム200)は、この停止要求を検出すると、計測中フラグがONか否かを判定する。計測中フラグはONに設定されているため(図12のステップS3300においてYES)、車両制御システム100は、衝突フラグをONに設定する(ステップS3310)。
ΔT1が経過すると、車両制御システム100の制御装置210は、時刻T2において、ブレーキ制御装置80によるブレーキ制御が不能になったか否かを判断する(図13のステップS3400〜ステップS3430)。車両制御システム100は、ブレーキ制御が不能になったことを検出すると、衝突フラグがOFFか否かを判定する。ここでは、衝突フラグはONであるため(ステップS3432においてNO)、車両制御システム100は、SMD処理フラグをONに設定する(ステップS3434)。車両制御システム100は、ΔT2の時間計測を開始した後(ステップS3440)、サイバー攻撃によってブレーキ制御が不能になったことを運転者に通知する(ステップS3450)。ΔT2が経過すると、車両制御システム100は、SMD処理フラグがONか否かを判定する。SMD処理フラグはONに設定されているため(図14のステップS3500においてYES)、車両制御システム100は、再初期化処理を実行し(ステップS3510)、続いて、SMD処理を実行する(ステップS3520)。車両制御システム100は、ΔT1の間のブレーキ踏力及び減速Gに基づいてブレーキ制御が不能になったか否かを判断するため、時刻T2以前に衝突のおそれを検出した場合でも、車両制御システム100は、時刻T2のΔT2経過後である時刻T3に、SMD処理を実行する。
SMD処理において、車両50には、実線Q2で示される、例えば急ブレーキ相当の減速Gが加わる。その後、車両50は停止する。車両50が停止すると、Gセンサ112が検出する車体前後Gは0になる。
なお、時刻T2から時刻T3までの間、すなわち、ΔT2の間に安全停止距離監視部214aが衝突のおそれを検出した場合も、上記と同様の動作が実行される。
図19を参照して、図18に示す上記動作を行うための割込処理の流れについて説明する。時刻T1において踏力センサ114からのブレーキ踏力が所定のしきい値を超えると、図9に示される割込処理(ブレーキ踏力センサ処理)が実行される。この割込処理において、ΔT1の時間計測が開始される。ΔT1が経過するまでの間に、安全停止距離監視部214aが衝突のおそれがあることを検出すると、図12に示される割込処理(衝突のおそれ検出時の処理)が実行される。この割込処理において、計測中フラグがONの場合に衝突フラグがONに設定される。
計測開始からΔT1が経過すると、そのときの時刻T2において、図13に示される割込処理(T2タイマ処理)が実行される。この割込処理において、ブレーキ制御が不能になったことを車両制御システム100が検出すると、当該車両制御システム100は、ΔT2の時間計測を開始する。ΔT2が経過すると、そのときの時刻T3において、図14に示される割込処理(T3タイマ処理)が実行される。この割込処理において、衝突フラグがONに設定されていると、SMD処理が実行される。
《タイムアウトによるSMD処理の実行》
図20を参照して、タイムアウトにより出力される停止要求を車両制御システム100が検出する場合の当該車両制御システム100の動作について説明する。なお、上記した動作と重複する部分は説明を適宜省略する。
車両制御システム100が、ブレーキ制御が不能になったことを検出した場合であって、緊急停止ボタン122が押下されず、所定の発話検出もされず、さらに、安全停止距離監視部214aによる衝突のおそれも検出されなかった場合(図14のステップS3500においてNO)、車両制御システム100はΔT3の時間計測を開始する(ステップS3530)。ΔT3が経過すると、ΔT3経過後の時刻T4において、タイマ214bがタイムアウトによる停止要求を出力する。停止要求を検出した車両制御システム100は、再初期化処理を実行し(図15のステップS3600)、続いて、SMD処理を実行する(ステップS3610)。
SMD処理において、車両50には、実線Q3で示される、例えば急ブレーキ相当の減速Gが加わる。その後、車両50は停止する。車両50が停止すると、Gセンサ112が検出する車体前後Gは0になる。なお、タイムアウトによってSMD処理が実行される場合、空走距離が長くなり、その分、制動距離が短くなる。制動距離をある程度確保するためには、ΔT1、ΔT2、及びΔT3を短く設定するのが好ましい。
図21を参照して、図20に示す上記動作を行うための割込処理の流れについて説明する。時刻T1において踏力センサ114からのブレーキ踏力が所定のしきい値を超えると、図9に示される割込処理(ブレーキ踏力センサ処理)が実行される。この割込処理において、ΔT1の時間計測が開始される。
計測開始からΔT1が経過すると、そのときの時刻T2において、図13に示される割込処理(T2タイマ処理)が実行される。この割込処理において、ブレーキ制御が不能になったことを車両制御システム100が検出すると、当該車両制御システム100は、ΔT2の時間計測を開始する。ΔT2が経過すると、そのときの時刻T3において、図14に示される割込処理(T3タイマ処理)が実行される。この割込処理において、衝突フラグがONではないと判定される。車両制御システム100は、ΔT3の時間計測を開始する。ΔT3が経過すると、そのときの時刻T4において、図15に示される割込処理(T4タイマ処理)が実行される。この割込処理において、SMD処理が実行される。
[本実施の形態の効果]
以上の説明から明らかなように、本実施の形態に係る車両制御システム100及びその車両制御システム100を搭載した車両50は以下に述べる効果を奏する。
車両制御システム100は、車載ネットワーク62に接続されたブレーキ制御装置80と、ブレーキ制御装置80によって駆動されるブレーキ装置300とを含む車両50に搭載される。車両制御システム100は、車載ネットワーク62から独立した、独立ブレーキシステム200を含む。車載ネットワーク62に接続されたブレーキ制御装置80がサイバー攻撃等によって制御不能になった場合、独立ブレーキシステム200のブレーキ制御不能検出部212がそのことを検出する。第1の停止要求出力部120(緊急停止ボタン122、音声認識装置124)又は第2の停止要求出力部214(安全停止距離監視部214a、タイマ214b)は、車両50の停止要求を出力する。独立ブレーキシステム200の制御装置210は、サイバー攻撃を受けた場合でも、ブレーキ制御の不能の検出と車両50の停止要求とに基づいて、加圧装置250を制御できる。加圧装置250は、制御装置210の制御によってブレーキ制御装置80とは独立してブレーキ装置300を駆動する。これにより、ブレーキ制御が不能になるといった緊急事態が走行中に生じた場合でも、車両50を停止させることができる。したがって、仮に、サイバー攻撃によってブレーキが効かない状況等が生じた場合でも、それによる被害を低減できる。
ブレーキ制御不能検出部212は、ブレーキ制御装置80に対するブレーキ操作に応じた減速が得られたか否かに基づいて、ブレーキ制御装置80によるブレーキ制御が不能になったことを検出する。これにより、サイバー攻撃によってブレーキが効かない状況等が生じた場合でも、容易に、ブレーキが効かないことを検出できる。
車両内には運転者によって操作される緊急停止ボタン122が設けられている。運転者は、走行中の自車両50に緊急事態が生じた場合に、この緊急停止ボタン122を押下することによって容易に停止要求を出力できる。したがって、サイバー攻撃によってブレーキが効かない状況等が生じた場合に、緊急停止ボタン122を押下することによって、SMD処理を実行できる。
車両制御システム100は、運転者の発話音声を認識する音声認識装置124を含む。この音声認識装置124によって運転者が発した所定の発話音声を認識して停止要求を出力できる。そのため、走行中の車両50に緊急事態が生じた場合に、例えば、緊急事態の発生等によって運転者が混乱した場合でも、混乱時に発した音声を認識することによってSMD処理を実行できる
車両制御システム100は、前方に位置する地物に対して所定の安全停止距離が確保されているか否かを判定する安全停止距離監視部214aを含む。安全停止距離監視部214aは、地物に対して安全停止距離が確保されない状況が生じたことを検出すると、衝突のおそれがあると判断して、停止要求を出力する。これにより、ブレーキ制御装置80によるブレーキ制御が不能になり、前方に位置する地物と衝突しそうになった場合でも、安全停止距離監視部214aが停止要求を出力して、衝突する前に車両50を停止させることができる。
車両制御システム100はさらに、ブレーキ制御装置80によるブレーキ制御の不能が検出された後に所定の時間(本実施の形態ではΔT1+ΔT2+ΔT3)が経過すると、タイムアウトによる停止要求を出力する。これにより、ブレーキ制御装置80によるブレーキ制御が不能になった場合に、何らかの理由で運転者が対応できない状況であっても、車両50を確実に停止させることができる。
ブレーキ装置300は、上記したように、車輪52と一体に回転するブレーキロータ310と、ブレーキロータ310をブレーキパッドで押圧することにより当該ブレーキロータ310の回転を制動するブレーキキャリパ320とを含む。こうしたブレーキ装置300を加圧装置250で加圧することにより、ブレーキキャリパ320のブレーキパッドをブレーキロータ310に押し付けて、車輪52の回転を制動できる。こうした加圧装置250を用いることで、容易に、ブレーキ制御装置80とは独立してブレーキ装置300を駆動できる。
なお車両制御システム100は、SMD処理が実行された場合に、通知部218によって、車両の停止処理(SMD処理)を実行していることを車両50の搭乗者に通知するように構成されていてもよい。これにより、搭乗者は、車両50の減速が車両50の停止処理(SMD処理)によるものであることを認識できる。
(第1の実施の形態の変形例)
上記第1の実施の形態では、ΔT1におけるブレーキ踏力が所定のしきい値以上であり(図13のステップS3420においてYES)、かつ、ΔT1における減速Gが所定のしきい値より小さい(ステップS3430においてYES)場合に、衝突フラグがOFFか否かを判定し、衝突フラグがOFFでない(ONである)と判定された場合に、SMD処理フラグをONに設定する例を示したが、本開示はそのような実施の形態には限定されない。図13におけるステップS3432及びステップS3434の処理は省略してもよい。この場合、図14に示すステップS3500の処理を、SMD処理フラグがONか否かを判定する処理に代えて、衝突フラグがONか否かを判定する処理にすればよい。
(第2の実施の形態)
本実施の形態に係る車両制御システムは、ブレーキ制御装置80によるブレーキ制御が不能になったことをブレーキ制御不能検出部が検出したことに応答して、SMD処理を実行する点において、第1の実施の形態に係る車両制御システム100とは異なる。すなわち、本実施の形態では、車両の停止要求を検出することなくSMD処理が実行される。そのため、緊急停止ボタン122等の停止要求を出力する停止要求出力部120及び214は不要となる。その他の構成は、第1の実施の形態と同様である。
[ソフトウェア構成]
本実施の形態に係る車両制御システムでは、図9の割込処理に代えて図22の割込処理が実行され、図13の割込処理に代えて図23の割込処理が実行される。図10〜図12、図14及び図15に示した割込処理は実行されない。
図22を参照して、この割込処理(ルーチン)は、図9のステップS3000に代えて、ステップS3010を含む。ステップS3010では、タイマ(ΔT1タイマ)を起動してタイマにΔT1の時間計測を開始させる処理が実行される。ステップS3010の処理が終了すると、この割込処理を終了してステップS2000の通常処理(図8参照)に戻る。
図23を参照して、この割込処理(ルーチン)は、図13のステップS3440及びステップS3450に代えて、ステップS3470〜ステップS3490を含む。図23のステップS3400〜ステップS3430、及びステップS3460における処理は、図13に示される各ステップにおける処理と同じである。
このルーチンは、減速Gが所定のしきい値より小さいと判定された場合に実行され、ブレーキ制御装置80によるブレーキ制御が不能になったと判断して、そのことを運転者に通知(警告)するステップS3470と、ステップS3470の後に実行され、再初期化処理を実行するステップS3480と、ステップS3480の後に実行され、加圧装置250を制御してSMD処理を実行するステップS3490とを含む。ステップS3480では、図10のステップS3110と同様の再初期化処理が実行される。
[動作]
図24を参照して、運転者がブレーキペダルを踏み込むことによって、時刻T1において踏力センサからのブレーキ踏力が所定のしきい値を超えたとする。車両制御システムは、ΔT1タイマを起動して時間計測を開始する(図22のステップS3010)。車両制御システムは、ΔT1の間、ブレーキ制御不能検出センサ(Gセンサ及び踏力センサ)からの信号(加速度信号、ブレーキ踏力信号)を取得してメモリに蓄積する。ΔT1が経過すると、車両制御システムの制御装置は、メモリに記憶したブレーキ踏力及び減速Gを読出して、ΔT1の間のブレーキ踏力及び減速Gを計算する(図23のステップS3400及びステップS3410)。
ΔT1の間のブレーキ踏力が所定のしきい値以上(ステップS3420においてYES)、かつ、減速Gが所定のしきい値より小さい場合(ステップS3430においてYES)、車両制御システムは、ブレーキ制御装置80によるブレーキ制御が不能になったと判断する。車両制御システムは、ブレーキ制御が不能になったことを運転者に通知する(ステップS3470)。例えば、「ブレーキ制御が不能になりました。緊急停止を行います。」といった警告音声を発する。車両制御システムは、運転者への通知を行った後に再初期化処理を実行し(ステップS3480)、続いて、SMD処理を実行する(ステップS3490)。SMD処理において、車両には、実線Q4で示される、例えば急ブレーキ相当の減速Gが加わる。その後、車両は停止する。車両が停止すると、Gセンサが検出する車体前後Gは0になる。
[効果]
本実施の形態の車両制御システムは、上記のように、ブレーキ制御が不能になったことをブレーキ制御不能検出部212が検出したことに応答して、SMD処理を実行する。こうした構成によっても、ブレーキが効かない等の緊急事態が生じた場合にそれによる被害を低減できる。さらに、運転者による緊急停止ボタンの操作を伴わずにSMD処理を実行できるので、本実施の形態に係る車両制御システムは、運転者が緊急停止ボタンを操作できない状況で特に有効である。加えて、タイムアウトによる停止要求によりSMD処理を実行する場合に比べて、空走距離を短縮できる。
(第3の実施の形態)
本実施の形態に係る車両制御システムは、ブレーキ踏力が所定のしきい値を超えたか否かに基づいて、ブレーキ制御装置80によるブレーキ制御が不能になったことを検出する点において、第1の実施の形態に係る車両制御システム100とは異なる。
本実施の形態では、ブレーキ踏力の上記しきい値は、第1の実施の形態で示したブレーキ踏力のしきい値より大きい値に設定されている。本実施の形態のしきい値と、第1の実施の形態のしきい値とを区別するために、以下では、第1の実施の形態のしきい値を「第1のしきい値」、本実施の形態のしきい値を「第2のしきい値」と呼ぶ。第2のしきい値は、通常のブレーキ操作では検出されないような踏力値であって、運転者が意識的に力を込めてブレーキペダルを踏み込んだ際に検出されるような踏力値に設定されていると好ましい。
図25を参照して、踏力センサからのブレーキ踏力が時刻T1にて第1のしきい値を超え、さらに時刻Taにて第2のしきい値を超えると、車両制御システムは、ブレーキ制御装置80によるブレーキ制御が不能になったと判断する。運転者は、ブレーキ制御が不能になった場合、ブレーキペダルをさらに強く踏み込むことがある。そのため、第2のしきい値を超えるような強い力でブレーキペダルが踏み込まれた場合、ブレーキ制御が不能になったことが想定される。車両制御システムは、第2のしきい値を超えるブレーキ踏力を検出することによって、ブレーキ制御が不能になったことを検出する。その場合、第1の実施の形態で示したように、ブレーキ制御が不能になったことを運転者に通知するようにしてもよい。
その後、運転者によって緊急停止ボタンが押下されると、停止要求が検出されてSMD処理が実行される。SMD処理において、車両には、実線Q5で示される減速Gが加わる。緊急停止ボタンの押下に代えて、所定の発話音声が検出された場合も同様にSMD処理が実行される。
図26を参照して、時刻Ta以降に安全停止距離監視部が衝突のおそれを検出した場合、車両制御システムは、その衝突のおそれの検出に応じてSMD処理を実行する。SMD処理において、車両には、実線Q6で示される減速Gが加わる。図27を参照して、踏力センサからのブレーキ踏力が時刻Taにて第2のしきい値を超えた場合、車両制御システムは、タイマを起動してΔTの時間計測を開始する。停止要求を検出することなくΔTが経過すると、ΔT経過後の時刻Tbにおいて、タイマがタイムアウトによる停止要求を出力する。停止要求を検出した車両制御システムは、SMD処理を実行する。SMD処理において、車両には、実線Q7で示される減速Gが加わる。
本実施の形態に係る車両制御システムは、第1の実施の形態と同様、サイバー攻撃によってブレーキが効かない等の緊急事態が生じた場合でも、車両を停止させて、それによる被害を低減できる。さらに本実施の形態では、車両制御システムを上記のように構成することによって、システムを簡素化することもできる。
(第4の実施の形態)
本実施の形態に係る車両制御システムは、独立ブレーキシステム200に代えて、独立ブレーキシステム500を含む点において、第1の実施の形態とは異なる。独立ブレーキシステム500は、車載ネットワーク62に接続されたブレーキ制御装置80をバイパスするように設けられている。
図28を参照して、独立ブレーキシステム500は、制御装置510及び加圧装置550を含む。加圧装置550は、ブレーキ配管560を介して、マスタシリンダ404のブレーキ配管408の途中に接続されている。ブレーキ配管560とブレーキ配管408とは、電磁弁570により接続されている。この加圧装置550は、第1の実施の形態で示した加圧装置250(図6参照)と同様の機能に加えて、マスタシリンダ404からの油圧に応じて(すなわちブレーキペダル400に対する操作に応じて)、ブレーキキャリパ320を加圧する機能を持つ。制御装置510は、電磁弁570を制御して、マスタシリンダ404からのブレーキオイルの流路を切替える機能をさらに持つ。
車両制御システムは、ブレーキ制御装置80によるブレーキ制御が不能になったことを検出し、第1の停止要求出力部120(緊急停止ボタン122、音声認識装置124)(図4参照)からの停止要求を検出すると、電磁弁570を制御して、ブレーキシステムを、車載ネットワーク62に接続されたブレーキ制御装置80から独立ブレーキシステム500に切替える。すなわち、運転者が緊急停止ボタン122を押下する、又は音声認識装置124が所定の発話音声を認識すると、車両のブレーキシステムが独立ブレーキシステム500に切り替わる。これにより、ブレーキペダル400の踏込みに応じてブレーキキャリパ320が加圧されるので、運転者の意思によるブレーキ操作を行うことが可能となる。
一方、第2の停止要求出力部214(安全停止距離監視部214a、タイマ214b)(図4参照)からの停止要求を検出した場合、車両制御システムは、第1の実施の形態と同様のSMD処理を実行する。すなわち、安全停止距離監視部214aが衝突のおそれがあることを検出して停止要求を出力した場合、又はタイマ214bがタイムアウトによる停止要求を出力した場合、車両制御システムは、それらを検出してSMD処理を実行する。
なお、所定の発話音声は、第1の実施の形態と同じものであってもよいし、第1の実施の形態とは異なるものであってもよい。また、車両制御システムは、音声認識装置124が認識した発話音声に応じて、運転者の意思によるブレーキ操作を可能とするか、SMD処理を実行するかを切替えるように構成されてもよい。さらに、車載ネットワーク62に接続されたブレーキ制御装置80から独立ブレーキシステム500にブレーキシステムが切替わったことに応答して、独立ブレーキシステム500に切替わったことを運転者(搭乗者)に通知するように構成されてもよい。
(第5の実施の形態)
本実施の形態に係る車両制御システムは、タイムアウトによるSMD処理の実行前に、再度、ブレーキ制御が不能な状態か否かを判定する点において、第1の実施の形態とは異なる。
本実施の形態に係る車両制御システムでは、図15の割込処理に代えて図29の割込処理が実行される。図29を参照して、この割込処理(ルーチン)は、ステップS3700〜ステップS3740の処理をさらに含む。図29のステップS3600及びステップS3610の処理は、図15に示される各ステップにおける処理と同じである。
このルーチンは、ΔT2経過後さらにΔT3が経過すると起動される。このルーチンは、図20に示されるT1〜T4(ΔT1+ΔT2+ΔT3)(以下、「ΔT1〜ΔT3」と呼ぶ。)の間におけるブレーキ踏力を計算するステップS3700と、ステップS3700の後に実行され、ΔT1〜ΔT3間における減速Gを計算するステップS3710とを含む。ステップS3700では、例えば、ブレーキ踏力がΔT1〜ΔT3の間継続して所定のしきい値以上であるかを求める。
このルーチンはさらに、ステップS3710の後に実行され、ΔT1〜ΔT3間におけるブレーキ踏力が所定のしきい値以上であったか否かを判定し、判定結果に応じて制御の流れを分岐させるステップS3720と、ステップS3720において、ΔT1〜ΔT3間におけるブレーキ踏力が所定のしきい値以上であったと判定された場合に実行され、ΔT1〜ΔT3間における減速Gが所定のしきい値より小さいか否かを判定し、判定結果に応じて制御の流れを分岐させるステップS3730と、ステップS3720においてΔT1〜ΔT3間におけるブレーキ踏力が所定のしきい値以上ではないと判定された場合、又はステップS3730においてΔT1〜ΔT3間における減速Gが所定のしきい値より小さくない(しきい値以上である)と判定された場合に実行され、再初期化処理を実行するステップS3740とを含む。ステップS3740では、図10のステップS3110と同様の再初期化処理が実行される。
このルーチンはさらに、ステップS3730において、減速Gが所定のしきい値より小さいと判定された場合に実行され、再初期化処理を実行するステップS3600と、ステップS3600の後に実行され、加圧装置250を制御してSMD処理を実行するステップS3610とを含む。ステップS3610又はステップS3740の処理が終了すると、この割込処理を終了してステップS2000の通常処理(図8参照)に戻る。
本実施の形態に係る車両制御システムは、上記のように、再度、ブレーキ制御が不能な状態か否かを判定し、ブレーキ制御が不能な状態であると判定された場合に、SMD処理を実行する。一旦、ブレーキ制御が不能であると判定された場合であっても、タイムアウトまでの時間(ΔT1〜ΔT3)に、不能な状態が解消されていれば、SMD処理が実行されない。これにより、不要なSMD処理の実行を抑制できる。
(第6の実施の形態)
本実施の形態に係る車両制御システムは、運転者がブレーキペダルを踏み込んだときの踏力を検出(測定)する踏力センサに代えて、ブレーキペダルを踏み込んだときの踏力をブレーキ制御装置に伝達する油圧系における油圧(液圧)を検出(測定)する液圧センサが設けられている点において、第1の実施の形態とは異なる。
図30を参照して、本実施の形態に係る車両制御システム100Aは、図3に示される、ブレーキ制御不能検出センサ110及び独立ブレーキシステム200に代えて、それぞれ、ブレーキ制御不能検出センサ110a及び独立ブレーキシステム200aを含む。ブレーキ制御不能検出センサ110aは、踏力センサ114(図3参照)に代えて、液圧センサ116を含む。独立ブレーキシステム200aは、制御装置210(図3参照)に代えて、制御装置220を含む。
図31を参照して、制御装置220は、ブレーキ制御不能検出部212(図4参照)に代えて、ブレーキ制御不能検出部212aを含む。
図32を参照して、液圧センサ116は、ブレーキペダル400とブレーキ制御装置80との間に配置されるブレーキ配管408(より詳細には、マスタシリンダ404と油圧制御装置82とを接続するブレーキ配管408)に設置されている。本実施の形態では、第1の実施の形態と同様、マスタシリンダ404はタンデム型とする。そのため、ブレーキ配管408は第1のブレーキ配管408a及び第2のブレーキ配管408bを含む。液圧センサ116は、第1の液圧センサ116a及び第2の液圧センサ116bを含む。第1の液圧センサ116aは、第1のブレーキ配管408aに設置されて、第1のブレーキ配管408a内の液圧(ブレーキオイルの油圧)を測定する。第2の液圧センサ116bは、第2のブレーキ配管408bに設置されて、第2のブレーキ配管408b内の液圧(ブレーキオイルの油圧)を測定する。
図33を参照して、例えばサイバー攻撃によりブレーキが効かない状況等になった場合、ブレーキペダル400を踏み込めないほどのブレーキ反力が発生していることがある。そうした状況でブレーキペダル400を踏み込むと、ブレーキ配管408内のブレーキオイルの液圧がより高くなる。液圧センサ116によってブレーキ配管408内の液圧を測定することにより、ブレーキ反力が発生していることを検出することが可能となる。
再び図31を参照して、ブレーキ制御不能検出部212aは、Gセンサ112からの加速度信号、及び液圧センサ116からのブレーキ液圧信号を監視している。ブレーキ制御不能検出部212aは、加速度信号、及びブレーキ液圧信号に基づいて、ブレーキ制御装置80によるブレーキ制御の不能を検出する。具体的には、ブレーキ制御不能検出部212aは、ブレーキ配管408内の液圧が所定のしきい値を超えるとブレーキ反力が発生していると判定し、所定の踏力以上でのブレーキペダル400の踏み込みがあったと判定する。ブレーキ制御不能検出部212aはさらに、そのブレーキ踏力でのブレーキ操作に応じた減速Gが得られたか否かに基づいて、ブレーキ制御装置80によるブレーキ制御が不能になったか否かを判断する。例えば、所定のしきい値を超える液圧と減速Gとの対応関係が予めメモリ210b(図30)に記憶されている。ブレーキ制御不能検出部212aは、ブレーキ配管408内の液圧が所定のしきい値を超えたことに応答して、メモリ210bに記憶されている対応関係を参照して、そのときの液圧に対応する減速Gが得られたか否かに基づいてブレーキ制御が不能になったか否かを判断する。
ブレーキ配管408内の液圧が所定のしきい値を超えたか否かの判定は、例えば、第1の液圧センサ116a及び第2の液圧センサ116bのいずれかの検出値が所定のしきい値を超えたか否かに基づいて行うことができる。検出値には、第1の液圧センサ116a及び第2の液圧センサ116bの各検出値を演算した値を用いてもよい。その場合、演算に応じて、所定のしきい値を適宜変更するのが好ましい。
なお、液圧センサ116は、第1のブレーキ配管408a及び第2のブレーキ配管408bのいずれか一方にのみ設置する構成であってもよい。ただし、ブレーキ反力をより確実に検出することを考慮すると、第1のブレーキ配管408a及び第2のブレーキ配管408bの両方に液圧センサ116を設置して、両方のブレーキ配管内の液圧を監視するのが好ましい。
このように、本実施の形態では、踏力センサが検出するブレーキ踏力が所定のしきい値を超えたことをトリガとすることに代えて、液圧センサ116が検出するブレーキ配管内の液圧が所定のしきい値を超えたことをトリガとして第1の実施の形態で示した処理と同様の処理を実行する。これにより、第1の実施の形態と同様の効果を得ることができる。
その他の構成及び効果は、第1の実施の形態と同様である。
(第6の実施の形態の変形例)
本実施の形態に係る車両制御システムは、第6の実施の形態と同様、踏力センサに代えて、液圧センサを含む。ただし、本実施の形態では、液圧センサ116が検出する液圧が所定のしきい値を超えたか否かに基づいてブレーキ制御装置80によるブレーキ制御が不能になったことを検出する点において、第6の実施の形態とは異なる。
液圧センサは、上述のように、ブレーキ反力の発生を検出する。ブレーキ反力の発生はサイバー攻撃に起因するものと想定できるため、ブレーキ反力の発生を検出することによって、サイバー攻撃によりブレーキが効かない状況等になったことを検出することが可能となる。そのため、本実施の形態では、液圧センサ116が検出する液圧が所定のしきい値を超えたか否か、すなわち、ブレーキ反力が発生しているか否かに基づいて、ブレーキ制御装置80によるブレーキ制御が不能になったことを検出する。
このように、本実施の形態では、車両の減速状況を考慮せずにブレーキ制御装置80によるブレーキ制御が不能になったことを検出する点において、第3の実施の形態と類似する。ただし、本実施の形態では、ブレーキ反力の発生に基づいてブレーキ制御が不能になったことを検出する点において、ブレーキ踏力に基づいてブレーキ制御が不能になったことを検出する第3の実施の形態とは異なる。
その他の構成は、第3の実施の形態又は第6の実施の形態と同様である。
(第7の実施の形態)
本実施の形態に係る車両制御システムは、踏力センサに加えて、上記した液圧センサを含む点において、第1の実施の形態又は第6の実施の形態とは異なる。
図34を参照して、本実施の形態に係る車両制御システム100Bは、図3に示される、ブレーキ制御不能検出センサ110及び独立ブレーキシステム200に代えて、それぞれ、ブレーキ制御不能検出センサ110b及び独立ブレーキシステム200bを含む。ブレーキ制御不能検出センサ110bは、液圧センサ116をさらに含む。独立ブレーキシステム200bは、制御装置210(図3参照)に代えて、制御装置222を含む。
液圧センサ116の構成及び設置位置等は、第6の実施の形態と同様である。
制御装置222は、Gセンサ112からの加速度信号、踏力センサ114からのブレーキ踏力信号、及び液圧センサ116からのブレーキ液圧信号を監視している。制御装置222は、加速度信号、及び、ブレーキ踏力信号又はブレーキ液圧信号に基づいて、ブレーキ制御装置80によるブレーキ制御の不能を検出する。具体的には、制御装置222は、ブレーキ踏力が所定のしきい値を超えたときに、又は、ブレーキ配管408内の液圧が所定のしきい値を超えたときに、それに応じた減速Gが得られたか否かに基づいて、ブレーキ制御装置80によるブレーキ制御が不能になったか否かを判断する。
本実施の形態では、ブレーキ踏力及び液圧の一方が各々のしきい値を超えると、ブレーキ制御装置80によるブレーキ制御が不能か否かを判定する。なお、ブレーキ踏力及び液圧の両方が各々のしきい値を超えたときに、ブレーキ制御装置80によるブレーキ制御が不能か否かを判定するようにしてもよい。また、踏力センサ114及び液圧センサ116の一方をメインとして使用し、他方をサブとして使用する構成であってもよい。
このように、本実施の形態では、踏力センサ114に加えて液圧センサ116をも設けることにより、ブレーキ制御装置80によるブレーキ制御が不能になったか否をより精度よく判断できる。
その他の構成及び効果は、第1の実施の形態、又は、第6の実施の形態と同様である。
なお、本実施形態において、第3の実施の形態、及び第6の実施の形態の変形例で示したように、車両の減速状況を考慮せずにブレーキ制御装置80によるブレーキ制御が不能になったことを検出するようにしてもよい。その場合、第3の実施の形態と同様、ブレーキ踏力が所定のしきい値を超えたか否かに基づいて、ブレーキ制御装置80によるブレーキ制御が不能になったことを検出するように構成することができる。また、第6の実施の形態の変形例で示したように、液圧センサ116が検出する液圧が所定のしきい値を超えたか否かに基づいてブレーキ制御装置80によるブレーキ制御が不能になったことを検出するようにしてもよい。
(変形例)
上記実施の形態では、カメラ及びレーダ装置から出力されるセンサデータを、独立ブレーキシステムの制御装置で解析する例について示したが、本開示はそのような実施の形態には限定されない。カメラ及びレーダ装置でセンサデータを解析して、衝突のおそれがあると判断した場合に制御装置に対して停止要求を出力するようにしてもよい。
上記実施の形態では、緊急停止ボタンの操作による停止要求、音声認識による停止要求、衝突のおそれの検出による停止要求、及びタイムアウトによる停止要求等の複数の停止要求を出力する例について示したが、本開示はそのような実施の形態には限定されない。これら停止要求のうちの少なくとも1つの停止要求を出力するよう構成されていればよい。例えば、上記実施の形態では、カメラ又はレーダ装置等から出力されるセンサデータに基づいて衝突のおそれを検知することが可能な車両について示したが、衝突のおそれを検知する機能が設けられない構成であってもよい。ただし、複数の停止要求を出力可能に構成されていれば、走行中の車両に緊急事態が生じた場合に被害をより一層、低減できる。なお、上記した停止要求以外の停止要求を出力可能に構成されていてもよい。
さらに、ブレーキ踏力としきい値との比較において、ブレーキ踏力がしきい値以上のときに上記した種々の処理を実行するようにしてもよいし、ブレーキ踏力がしきい値を超えたときに上記した種々の処理を実行するようにしてもよい。ブレーキ配管内の液圧としきい値との比較においても同様である。
上記実施の形態では、ブレーキペダルのパッド部に設けられる踏力センサによって、ブレーキ踏力を検出する例について示したが、本開示はそのような実施の形態には限定されない。ブレーキ踏力の検出は、こうしたセンサ以外のセンサを用いて行う構成であってもよい。図35を参照して、例えば、ブレーキペダル400のアーム部400bに設けたひずみセンサ600によりブレーキ踏力を検出する構成であってもよいし、プッシュロッド88に設けたひずみセンサ602によりブレーキ踏力を検出する構成であってもよい。ブレーキペダル400に踏力が付与されると、アーム部400b及びプッシュロッド88がひずむため、ひずみセンサ600及びひずみセンサ602でこれらのひずみを検出することでブレーキ踏力を測定できる。なお、ひずみセンサ600及びひずみセンサ602の設置位置は特に限定されない。これら以外に、例えば、クレビスピン86又はクレビス84にセンサを設けることでブレーキ踏力を検出する構成としてもよい。踏力センサ、液圧センサ、及び、これらひずみセンサ等を適宜組合せて、ブレーキ踏力を検出する構成とすることもできる。これら以外の手法を用いてブレーキ踏力を直接的又は間接的に検出してもよい。ブレーキ制御が不能になったことの検出手法についても、上記実施の形態に示した手法以外の手法を用いてもよい。
上記実施の形態では、ブレーキ装置にいわゆるディスクブレーキ装置を採用した例について示したが、本開示はそのような実施の形態には限定されない。ディスクブレーキ装置以外の例えばドラムブレーキ装置をブレーキ装置として用いてもよい。
上記実施の形態では、ブレーキキャリパに対して、急ブレーキ相当の減速Gが得られるような加圧を行うSMD処理の例について示したが、本開示はそのような実施の形態には限定されない。例えば、SMD処理において、停止に至る車速を適切に制御したり、一時的に車速を低減したり等のそのときの状況に応じた適切な減速制御を行うようにしてもよい。なお、SMD処理が実行された場合、上述のように、サイバー攻撃により車両の制御が乗っ取られた可能性がある。車両の電子制御システムは信頼できない状態になっていることが十分に考えられる。そのため、SMD処理が実行された場合、電子制御システムに対して適切な処置(例えばファームウェアの初期化又はアップデート等)が施されるまで、信頼性が低下している可能性があることを示す警告を行うよう構成されていると好ましい。
上記実施の形態では、緊急停止ボタンを1つ設ける例について示したが、本開示はそのような実施の形態には限定されない。緊急停止ボタンを複数(例えば2つ)設けて、これら複数の緊急停止ボタンが操作されたときに停止要求が出力されるようにしてもよい。
上記実施の形態では、緊急停止ボタンをダッシュボードの所定の位置にハードウェアボタンとして配置する例について示したが、本開示はそのような実施の形態には限定されない。緊急停止ボタンはハードウェアボタン以外の例えばソフトウェアボタンであってもよい。具体的には、例えば、ナビゲーションディスプレイ等のタッチパネル方式の表示装置に緊急停止ボタンを表示させる構成であってもよい。その場合、緊急停止ボタンの操作が必要な場合(例えば、ブレーキ制御が不能になったことを検出した場合)に当該緊急停止ボタンを表示させるようにするのが好ましい。このように構成することにより、緊急停止ボタンの誤操作を防止できる。
上記実施の形態では、運転者の意思に基づく停止要求の例として、緊急停止ボタンの押下、及び所定の発話音声の検出について示したが、本開示はそのような実施の形態には限定されない。例えば、運転者の心拍数を測定する心拍センサ、又は運転者の呼吸を測定する呼吸センサ等を搭載し、これらのセンサが運転者の居眠り、急病の発生等を検出した場合に停止要求を出力するようにしてもよい。さらに、運転者の脳波を測定し、運転者が感じ取る違和感から停止の意思を検出するようにしてもよい。
上記実施の形態において、レーダ装置を側方及び後方の少なくとも一方に取り付けることによって、左右、後方の地物との距離を求め、ブレーキ制動力を適切に制御するようにしてもよい。同様に、カメラを側方及び後方の少なくとも一方に取り付けることによって、左右、後方の地物の種別を求め、ブレーキ制動力を適切に制御するようにしてもよい。
上記第6の実施の形態では、第1の実施の形態において、踏力センサに代えて、液圧センサを設ける例について示したが、本開示はそのような実施の形態には限定されない。例えば、第2の実施の形態、第4の実施の形態、又は第5の実施の形態において、踏力センサに代えて、液圧センサを設けるようにしてもよい。第7の実施の形態についても同様である。
なお、上記で開示された技術を適宜組合せて得られる実施形態についても、本開示の技術的範囲に含まれる。
今回開示された実施の形態は単に例示であって、本開示が上記した実施の形態のみに限定されるわけではない。本開示の範囲は、発明の詳細な説明の記載を参酌した上で、特許請求の範囲の各請求項によって示され、そこに記載された文言と均等の意味及び範囲内での全ての変更を含む。