JP4710973B2 - 車両監査装置 - Google Patents

Description

本発明は、車両に搭載された制御対象の挙動を監査する車両監査装置に関する。

従来、車両制御システムにおいて、車両に搭載された制御対象の挙動を種々の方式で監視する監視装置が知られている。例えば、特許文献１では、システムにおける監視処理を階層化し、各層において監視処理の機能を設定している。そして、システムの下位層においては、監視対象である個々の機能内に分散型監視機能が設けられており、上位層においては、下位層の分散型監視機能を調整する監視機能が設けられている。例えば、下位層の監視機能は各機能のステータス情報を上位層の監視機能に供給し、上位層の監視機能は下位層の監視機能から供給されたステータス情報を診断ユニットに供給する。
特開２００３−９９１２０号公報

しかしながら、車両制御システムにおいて監視処理を階層化しても、下位層においては、監視対象に関連する監視対象特有の監視処理を実施するので、異なる車種であっても同じ車種であっても、監視対象が異なると、監視対象に応じて監視処理を変更する必要がある。また、上位層において下位層の監視対象に関連する監視処理を実施している場合には、下位層において監視対象の追加、削除、入れ替え等の変更があると、上位層においても監視対象に応じて監視処理を変更する必要がある。

この場合、監視対象に応じた変更が不要な監視処理も含めて、監視対象に応じて監視処理を差し替えて変更する構成では、監視処理の変更量が多くなるという問題がある。監視対象に応じた監視処理の変更量の問題は、監視処理を階層化するか否かに関わらず生じる問題である。

本発明は、上記問題を解決するためになされたものであり、挙動監査の対象である制御対象に応じて変更される監査処理の変更量を極力低減する車両監査装置を提供することを目的とする。

本願発明者は、挙動監査の対象である制御対象に応じて変更される監査処理の変更量を低減するため、制御対象に対する監査処理を、制御対象に関連する関連監査処理と、制御対象の構成や機能に関連せず独立した独立監査処理とに分類することを考えた。これにより、制御対象に変更がある場合に、関連監査処理だけを変更し、制御対象の構成や機能に関連しない独立監査処理は変更せずにそのまま使用できる。

しかしながら、通常、制御対象の挙動は制御対象毎に異なる物理量として検出されるので、制御対象の挙動を監査する場合に、制御対象に関連せず独立した独立監査処理をどのように分類して実現するかが問題である。

そこで、請求項１から１８に記載の発明によると、車両に搭載され制御手段により制御される少なくとも一つの制御対象の挙動を監査する車両監査装置において、制御対象に関連する関連監査処理を実施し、制御対象に応じて関連監査処理が設定されている関連監査処理手段は、制御対象に対して所定の挙動を要求する挙動要求に基づいて制御対象の挙動を推定する挙動推定手段と、制御手段が制御対象を制御することにより生じる制御対象の挙動を検出する挙動検出手段と、挙動推定手段が推定する挙動推定値と挙動検出手段が検出する挙動検出値との物理量の次元を一致させる次元一致手段と、を有している。

そして、制御対象の構成や機能に関連せず独立した独立監査処理を実施する独立監査処理手段は、次元一致手段が物理量の次元を一致させた挙動推定値と挙動検出値との挙動ずれ量に基づいて制御対象の挙動が異常であるか否かを判定する挙動判定手段を有している。

尚、独立監査処理手段および関連監査処理手段が監査処理を実施する対象である制御対象は、車両に搭載されるステアリング、ブレーキ、インジェクタ、空調等の各車両搭載装置であってもよいし、パワートレイン系、シャーシ系、ボディ系等の機能ドメイン毎に統合した各機能ドメインを構成する複数の車両搭載装置であってもよいし、車両全体であってもよい。

ここで、制御対象に対する挙動要求に基づいて推定される制御対象の挙動推定値の物理量の次元、ならびに制御対象の挙動により生じるセンサ信号等から検出される制御対象の挙動検出値の物理量の次元が何であるかを、制御対象に応じた関連監査処理が設定されている関連監査処理手段は知っている。したがって、関連監査処理手段は、挙動推定値と挙動検出値との物理量の次元を次元一致手段により一致させることができる。これにより、挙動推定値と挙動検出値との挙動ずれ量は、制御対象に関連せず単なる数値のずれ量として処理できる。その結果、独立監査処理手段の挙動判定手段において、制御対象に関連せず独立した監査処理として、挙動推定値と挙動検出値との挙動ずれ量に基づいて制御対象の挙動が異常であるか否かを判定できる。

尚、次元一致手段が挙動検出値の物理量の次元を挙動推定値の次元に一致させる場合、例えば一つのセンサ信号から検出された挙動検出値の物理量の次元を挙動推定値に一致させるだけでなく、複数のセンサ信号から検出された挙動検出値を合成し、挙動推定値の物理量の次元と一致する一つの挙動検出値に変換してもよい。

そして、異なる制御対象に対して異なる関連監査処理が設定されるので、制御対象に応じて監査処理が変更される場合には、制御対象に関連する関連監査処理手段の関連監査処理は変更される。

一方、独立監査処理手段は、制御対象に関連せず独立した独立監査処理を実施するので、制御対象に応じて関連監査処理が変更されても、制御対象に応じて独立監査処理を変更する必要がない。

尚、独立監査処理手段が制御対象に応じて独立監査処理を変更する必要がないといっても、独立監査処理種手段のハードウェアおよびソフトウェアが全く変更されないわけではない。例えば、監査対象である制御対象の数が独立監査処理に必要であれば、独立監査処理において制御対象の数の設定は変更される。しかし、制御対象の数は、制御対象の構成や機能に関連する情報ではない。

このように、制御対象に対する監査処理が、制御対象に関連せず独立した独立監査処理と、制御対象に関連する関連監査処理とに分類されており、制御対象に応じて関連監査処理だけが変更され、独立監査処理は変更されないので、車両監査装置において、制御対象に応じた監査処理の変更量を極力低減できる。

また、異なる制御対象または制御対象の変更に対して独立監査処理が変更されないので、独立監査処理手段による独立監査処理として同じアルゴリズムが使用される。これにより、独立監査処理が適用されるにしたがい独立監査処理の問題点が解決され、独立監査処
理の信頼性が向上する。

ここで、制御対象に応じて関連監査処理だけを変更し、独立監査処理を変更しない車両監査装置とは、関連監査処理手段と独立監査処理手段とを構成するハードウェアとしての処理装置が、必ずしも別のものであることを表しているのではない。例えば、関連監査処理手段と独立監査処理手段との少なくとも一部が、同じ処理装置により構成されてもよい。処理装置としては、例えばＣＰＵ、ＲＯＭ、ＲＡＭ等から構成されるマイクロコンピュータ（以下、マイコンとも言う。）が考えられる。

関連監査処理を実行する関連監査処理プログラムと、独立監査処理を実行する独立監査処理プログラムとを同じＲＯＭまたはフラッシュメッモリに記憶する場合、関連監査処理プログラムと独立監査処理プログラムとをモジュール化し、異なる記憶領域に記憶する構成が考えられる。この場合、制御対象が変更になると、該当する記憶領域の関連監査処理プログラムだけを変更すればよい。

また、プログラム開発環境として、例えばＭＡＴＬＡＢ（登録商標）等を使用して監査装置のモデルを設定する場合に、機能単位として関連監査処理手段のブロックと独立監査処理手段のブロックとを設定してプログラムコードを自動生成することも考えられる。制御対象が変更になると、関連監査処理手段のブロックは機能設定を変更し、独立関連処理手段のブロックは機能設定を変更しない。プログラムコードを自動生成する場合、関連監査処理プログラムと独立監査処理プログラムとがどのような記憶領域に配置されるかは、自動コード生成の仕様によるので予測できない。

また、請求項１に記載の発明によると、次元一致手段は、挙動推定値および挙動検出値の物理量の次元と、制御対象に対する制御手段による制御指令値の物理量の次元とを一致させ、挙動判定手段は、挙動ずれ量に基づいて制御対象の挙動が異常であると判定すると、次元一致手段が物理量の次元を一致させた挙動検出値と制御指令値との制御ずれ量に基づき、制御手段により制御対象の挙動が制御される制御系が挙動異常の原因か否かを判定する。

このように、関連監査処理手段の次元一致手段が、挙動推定値および挙動検出値の物理量の次元と、制御対象に対する制御手段による制御指令値の物理量の次元とを一致させるので、独立監査処理手段の挙動判定手段において、制御対象に関連せず、挙動検出値と制御指令値との制御ずれ量に基づいて制御系に異常があるか否かを判定できる。

そして、挙動ずれ量に基づいて制御対象の挙動が異常であると判定されるときに、挙動検出値と制御対象に対する制御指令値との制御ずれ量が所定値を超えている場合、もしくは制御のずれがパターン化して継続して生じる場合は、挙動異常の原因が制御系にあると判定できる。そして、制御系に対して適切な処理を指令できる。一方、挙動ずれ量に基づいて制御対象の挙動が異常であると判定されるときに、挙動検出値と制御指令値との制御ずれ量が所定値以内であれば、制御系は正常であるが挙動異常が発生していると判定できる。この場合は、想定外の事象により挙動異常が発生していると考えられるので、挙動異常を極力解消するように制御系に対して適切な処理を指令できる。

請求項２に記載の発明によると、関連監査処理手段の異常箇所特定手段は、挙動異常の原因が制御系にあると挙動判定手段が判定すると、制御系において挙動異常を引き起こす箇所を特定する。

このように、制御対象の挙動異常の原因が制御系にある場合に、制御系の異常箇所を特定することにより、異常箇所に応じて適切な処理を実施できる。

請求項３に記載の発明によると、関連監査処理手段の異常箇所切り離し手段は、制御手段により制御対象の挙動が制御される制御系に異常箇所が存在すると異常箇所特定手段が特定すると、異常箇所を制御系から切り離す。尚、異常箇所は、制御対象に限らず制御手段の場合もある。

これにより、制御系において異常箇所の影響を排除した状態で制御対象に対する制御を適切に実施できる。

ところで、異常箇所と他の箇所が連動して機能する場合、異常箇所だけを切り離すと、異常箇所と連動して機能する箇所の挙動を予測できないことがある。

そこで、請求項４に記載の発明によると、異常箇所切り離し手段は、異常箇所と連動して機能する箇所も異常箇所として制御系から切り離す。

これにより、異常箇所と、異常箇所と連動して機能する箇所とを異常箇所のグループとして制御系から切り離し、制御対象の挙動に対する異常箇所の影響を排除した状態で制御対象に対する制御を適切に実施できる。

請求項５および６に記載の発明によると、関連監査処理手段の補正指令手段は、挙動ずれ量に基づいて制御対象の挙動が異常であると挙動判定手段が判定すると、挙動ずれ量と、挙動推定値と、制御対象に対する制御手段による制御指令値とに基づいて制御対象に対する制御指令値の補正量を算出し、算出した補正量に基づいた挙動制御を制御手段に指令する。

制御対象の挙動が異常であるとは、挙動要求に基づいて推定される制御対象の挙動と、実際の制御対象の挙動とがずれていることを表している。この場合、車両としては、挙動検出値が挙動推定値に極力近づく、つまり挙動ずれ量が極力小さくなるように制御指令値を補正することが望ましい。そこで、挙動ずれ量と、挙動検出値の目標値である挙動推定値と、制御指令値とに基づいて制御指令値の補正量を算出する。これにより、挙動の異常な制御対象に対して、挙動異常を解消するように制御指令値を補正して挙動制御を実施できる。

請求項７に記載の発明によると、関連監査処理手段の補正指令手段は、挙動ずれ量に基づいて制御対象の挙動が異常であると挙動判定手段が判定し、異常箇所切り離し手段が制御系から異常箇所を切り離した状態で、挙動ずれ量と、挙動推定値と、制御対象に対する制御手段による制御指令値とに基づいて制御対象に対する制御指令値の補正量を算出し、算出した補正量に基づいた挙動制御を制御手段に指令する。

これにより、制御対象の挙動に対する異常箇所の影響を排除した状態で、制御対象に対
して挙動異常を解消する制御指令値で挙動を制御できる。

請求項８に記載の発明によると、関連監査処理手段は、複数の制御対象に対して関連監査処理を実施し、独立監査処理手段は、複数の制御対象に対して独立監査処理を実施する。

これにより、個々の制御対象毎に監査を実施するのではなく、複数の制御対象の挙動を統合して監査することができる。その結果、制御対象毎の監査では利用できなかった、複数の制御対象の挙動が組み合わさって生じる挙動を表すセンサ信号等に基づいて、複数の制御対象を統合した監査を実施できる。

請求項９に記載の発明によると、関連監査処理手段は、車両全体に対して前記関連監査処理を実施し、独立監査処理手段は、車両全体に対して前記独立監査処理を実施する。

これにより、車両の一部の制御対象に対して監査を実施するのではなく、車両全体の制御対象の挙動を統合して監査することができる。

ところで、独立監査処理手段と関連監査処理手段とがそれぞれ異なる別の処理装置により構成されていると、一方の処理装置に故障等が発生した場合、独立監査処理手段または関連監査処理手段の一方の監査処理を実施できなくなる。この場合、独立監査処理手段と関連監査処理手段とを一組とした制御対象に対する監査処理を正常に実施できなくなる。

そこで、請求項１０に記載の発明によると、独立監査処理手段と関連監査処理手段とは、同じ処理装置により構成されている。尚、処理装置としては、例えば、前述したようにマイクロコンピュータが考えられる。

これにより、処理装置に故障等が発生すると、独立監査処理手段および関連監査処理手段の両方の監査処理を実施できなくなる。その結果、独立監査処理手段または関連監査処理手段の一方だけが監査処理を実施し、車両監査装置として制御対象に対して不適切な監査を実施することを防止できる。

請求項１１に記載の発明によると、制御手段と、独立監査処理手段および関連監査処理手段とは、互いの処理を干渉させずに実行できる保護機能を有する同じ処理装置により構成されている。

このように、互いの処理を干渉させずに実行できる保護機能、例えば制御手段が使用する記憶領域と、独立監査処理手段および関連監査処理手段が使用する記憶領域とは互いに書き換え禁止になっている保護機能を有する処理装置であれば、制御手段と、独立監査処理手段および関連監査処理手段とを同じ処理装置により構成できる。これにより、処理装置の個数を低減できる。

請求項１２および１３に記載の発明によると、独立監査処理手段および関連監査処理手段は、独立監査処理手段および関連監査処理手段が監査する制御対象とは異なる制御対象を制御する制御手段と同じ処理装置により構成されている。つまり、少なくとも２個の処理装置のそれぞれにおいて、監査処理手段および関連監査処理手段が監査する制御対象と、制御手段が制御する制御対象とは異なっている。

これにより、制御対象の異なる、監査処理手段および関連監査処理手段と制御手段とを構成している１組の処理装置のうち、一方の処理装置に故障が発生しても、他方の処理装置は正常に機能している。その結果、制御対象に対して、制御を実施する制御手段と、監査を実施する独立監査処理手段および関連監査処理手段との両方の処理が実施不能となることを防止できる。したがって、制御対象に対して、制御手段による制御、あるいは独立
監査処理手段および関連監査処理手段による監査のいずれかを実施できる。

請求項１４および１５に記載の発明によると、処理装置は、独立監査処理および関連監査処理を実行する演算装置と、制御手段による挙動制御を実行する演算装置とをそれぞれ有し、独立監査処理手段および関連監査処理手段は、制御手段とは異なる電源から電力を供給される。

これにより、独立監査処理手段および関連監査処理手段側の電源から電力が供給され、独立監査処理手段および関連監査処理手段側の演算装置が正常であれば、制御手段側の電源による電力供給が停止しても、あるいは制御手段側の演算装置が故障しても、独立監査処理手段および関連監査処理手段側による監査処理を実施できる。

請求項１６に記載の発明によると、車両監査装置は、独立監査処理手段および前記関連監査処理手段を構成する複数の処理装置を備える。

このように、独立監査処理手段と関連監査処理手段とが複数の処理装置によりそれぞれ構成され、監査処理の冗長系を構成することにより、一つの処理装置が故障しても、監査処理が停止することを防止できる。特に、監査処理の対象である制御対象の数が多くなるほど、監査処理の冗長系を構成して監査処理が停止することを防止することにより、適切な監査処理を維持できる。

請求項１７に記載の発明によると、関連監査処理手段の挙動推定手段は、制御対象の挙動を推定するために挙動要求を入力値とし制御対象に応じて設定された物理モデルと、物理モデルを特徴付ける車両に固有のパラメータとに基づいて制御対象の挙動を推定する。
物理モデルに基づいて制御対象の挙動を推定することにより、例えば制御対象の挙動パターンをデータベース化し、データベースに基づいて制御対象の挙動を推定する場合に比べ、挙動推定に必要な記憶容量を低減できる。また、データベースのように挙動パターンを補完して挙動を推定する必要がないので、制御対象の挙動をより高精度に推定できる。
請求項１８に記載の発明によると、挙動判定手段は、挙動ずれ量として挙動推定値と挙動検出値との比率に基づいて制御対象の挙動が異常であるか否かを判定する。
これにより、挙動推定値と挙動検出値とのずれの程度を、単位およびそれぞれの数値の大きさに関連しない挙動推定値と挙動検出値との比率で一律に判定できる。その結果、異なる制御対象に対して挙動が異常であるか否かをより単純に判定できる。
尚、本発明に備わる複数の手段の各機能は、構成自体で機能が特定されるハードウェア資源、プログラムにより機能が特定されるハードウェア資源、またはそれらの組み合わせにより実現される。また、これら複数の手段の各機能は、各々が物理的に互いに独立したハードウェア資源で実現されるものに限定されない。

以下、本発明の実施の形態を図に基づいて説明する。

［第１実施形態］
本発明の第１実施形態による車両監査装置を用いた車両制御システムを図１に示す。

（車両制御システム１０）
車両制御システム１０は、パワートレインＥＣＵ(Electronic Control Unit)２０、シャーシＥＣＵ３０、ボディＥＣＵ４０等から構成されている。パワートレインＥＣＵ２０、シャーシＥＣＵ３０、ボディＥＣＵ４０は、それぞれ車両制御の機能に応じて分類された機能ドメインであるパワートレインドメイン、シャーシドメイン、ボディドメイン毎に、車両に搭載されている制御対象の挙動を制御するとともに、制御対象の挙動を監査する機能ドメインＥＣＵである。パワートレインＥＣＵ２０とシャーシＥＣＵ３０とボディＥＣＵ４０とは、ＣＡＮ（Controller Area Network）、ＦｌｅｘＲａｙ（Daimler Chrysler社の登録商標）等の車内ネットワーク３００により互いに通信可能に接続されている。

尚、機能ドメインとしては、上記以外に、図示しないオーディオ機器等を制御する機能ドメインも存在する。また、機能ドメインの分類は上記に限るものではなく、機能ドメインに含まれる制御対象も種々の組み合わせが考えられる。

パワートレインＥＣＵ２０は、パワートレイン制御手段２２とパワートレイン関連監査処理手段２４と独立監査処理手段２６とを備えている。パワートレイン制御手段２２は、制御対象であるインジェクタ、変速機等に対する挙動制御を実施する。パワートレイン関連監査処理手段２４および独立監査処理手段２６は車両監査装置を構成しており、パワートレインを構成するインジェクタ、変速機等の制御対象の挙動を監査する。

シャーシＥＣＵ３０は、シャーシ制御手段３２とシャーシ関連監査処理手段３４と独立監査処理手段３６とを備えている。シャーシ制御手段３２は、制御対象であるステアリング、ブレーキ等に対する挙動制御を実施する。シャーシ関連監査処理手段３４および独立監査処理手段３６は車両監査装置を構成しており、シャーシを構成するステアリング、ブレーキ等の制御対象の挙動を監査する。

ボディＥＣＵ４０は、ボディ制御手段４２とボディ関連監査処理手段４４と独立監査処理手段４６とを備えている。ボディ制御手段４２は、制御対象である空調、ドア等に対する挙動制御を実施する。ボディ関連監査処理手段４４および独立監査処理手段４６は車両監査装置を構成しており、ボディを構成する空調、ドア等の制御対象の挙動を監査する。

各機能ドメインのＥＣＵにおいて、関連監査処理手段および独立監査処理手段と制御手段とは、同じマイコンにより構成されてもよいし、別のマイコンにより構成されてもよい。

（車両監査装置５０）
次に、パワートレインドメイン、シャーシドメイン、ボディドメインに共通な車両監査装置の構成について説明する。

図２に示すように、各ドメインＥＣＵに設けられた車両監査装置５０は、機能ドメインの個々の制御対象、または機能ドメイン全体として制御対象の挙動を監査する。車両監査装置５０は、制御対象の構成や機能に関連する関連監査処理を実施する関連監査処理手段６０と、制御対象の構成や機能に関連せず独立した独立監査処理を実施する独立監査処理手段１００とを有している。車両監査装置５０は、図示しないＣＰＵ、ＲＯＭ、ＲＡＭ、およびフラッシュメモリ等の書換可能な不揮発性メモリ等からなるマイコンにより構成されている。

（関連監査処理手段６０）
関連監査処理手段６０は、制御対象の挙動を推定する挙動推定手段６２と、制御対象の挙動を検出する挙動検出手段７０と、補正指令手段８０（図４、７参照）と、異常箇所特定手段９０（図５〜図７参照）と、異常箇所切り離し手段９２（図６、７参照）とを有している。関連監査処理手段６０の挙動推定手段６２と挙動検出手段７０と補正指令手段８０と異常箇所特定手段９０と異常箇所切り離し手段９２とが実施する関連監査処理は、制御対象の構成や機能に関連しており、制御対象が異なれば処理が異なる。したがって、関連監査処理手段６０では、制御対象に応じて関連監査処理を実施する処理プログラムが変更される。また、関連監査処理手段６０では、制御対象に応じて、監査処理を実施するために入力するセンサ信号が変更されることがある。また、関連監査処理手段６０では、制御対象に応じて、監査処理を実施するための回路等のハードウェア構成が変更されることがある。このように、関連監査処理手段６０では、制御対象に応じて制御対象に関連した関連監査処理が設定される。

次に、関連監査処理手段６０の挙動推定手段６２と挙動検出手段７０とについて説明する。補正指令手段８０と異常箇所特定手段９０と異常箇所切り離し手段９２とについては、独立監査処理手段１００の後に説明する。

（挙動推定手段６２）
挙動推定手段６２は、制御対象の挙動を推定するための推定モデルとして、制御対象に対して所定の挙動を要求する挙動要求を入力値とし制御対象に応じて設定された物理モデル６４と、制御対象に応じて物理モデル６４を特徴付ける車両に固有のパラメータ６６とに基づいて制御対象の挙動を推定し、挙動推定値を算出する。物理モデル６４を特徴付け
るパラメータ６６は、例えば、車両重量等の車両に固有のパラメータである。車両重量が異なると、同じ物理モデルであっても、推定される挙動が異なる。

また、物理モデル６４の入力値である挙動要求として挙動推定手段６２が入力するセンサ信号は、運転者による車両に対する挙動要求であるステアリング、アクセルペダル、ブレーキペダル等の操作量を検出するセンサ信号、ならびに車両の運転環境を表す水温センサ等のセンサ信号である。例えば、ブレーキのホイールシリンダに加わる油圧を電磁弁等から構成される油圧制御回路で制御するブレーキの油圧制御において、挙動推定手段６２は、ブレーキペダルの踏み込み量を示すブレーキペダルセンサのセンサ信号を挙動要求として入力し、車重等を車両パラメータとして油圧制御回路の物理モデルから、各ホイールシリンダに加わる油圧を挙動推定値として推定する。物理モデル６４の入力値としては、センサ信号以外にも、例えば車載カメラに基づいて車両の自動駐車を制御するＥＣＵから指令されるステアリング操作の制御信号であってもよい。つまり、挙動推定値とは、運転者または制御装置から車両に対する挙動要求に対し、車両はこのように挙動する筈だという目標値と言ってもよい。

また、物理モデルに代えて、シミュレーション等により、制御対象の挙動パターンのデータベースを予め推定モデルとして記憶手段に記憶しておき、車両に対する挙動要求等を入力値としてデータベースを参照し、制御対象の挙動を推定してもよい。

本実施形態では、機能ドメイン毎に機能ドメインを構成する制御対象の挙動を車両監査装置５０が統合して監査する構成を採用している。これにより、ステアリング、ブレーキ等の制御対象の挙動を個別に推定するだけでなく、機能ドメイン内の複数の制御対象の挙動が組み合わさって生じる挙動を推定できる。

（挙動検出手段７０）
挙動検出手段７０は、制御対象に対して所定の挙動を要求する挙動要求に基づいて制御手段２００が制御対象を制御し、その結果生じる制御対象の挙動に応じて変化するセンサ信号に基づいて制御対象の実際の挙動を挙動検出値７２として検出する。挙動検出手段７０は、制御対象に応じて異なるセンサ信号を入力する。例えば、挙動検出手段７０は、前後の加速度センサおよび車速等のセンサ信号を入力し、前後の加速度および車速を挙動検出値として検出する。

ここで、本実施形態では、機能ドメイン毎に機能ドメイン内の制御対象の挙動を車両監査装置５０が統合して監査する構成を採用している。これにより、ステアリング、ブレーキ等の制御対象の挙動を個別に検出するだけでなく、機能ドメイン内の複数の制御対象の挙動が組み合わさって生じる挙動を検出できる。その結果、個々の制御対象の挙動を表すセンサ信号ではなく、複数の制御対象の挙動が組み合わさって生じる挙動を表すセンサ信号を入力して機能ドメインの挙動を検出できる。

例えばシャーシドメインであれば、挙動検出手段７０は、歪みセンサの出力信号に基づいてタイヤの歪みを検出して挙動検出値とする。タイヤの歪みは、例えばカーブ走行時において、シャーシドメイン内のステアリング、ブレーキ等の複数の制御対象の挙動が組み合わさって生じる。機能ドメイン単位で挙動監査を実施することにより、個々の制御対象の挙動を表すセンサ信号に基づいて検出していた挙動を、例えば一つのセンサ信号に基づいて検出できる。これにより、複数の制御対象の挙動が組み合わさって生じる挙動の検出が容易になる。その結果、挙動検出結果に基づく挙動監査が容易になる。

（次元一致手段７４）
次元一致手段７４は、挙動推定手段６２が推定する制御対象の挙動推定値と、挙動検出
手段７０が検出する制御対象の挙動検出値と、制御手段２００が制御対象の挙動を制御する制御指令値との次元を一致させる。本実施形態では、挙動推定値および挙動検出値の物理量の次元を制御手段２００の制御指令値の物理量に合わせているので、制御手段２００の制御指令値は次元一致手段７４に入力されていない。

このように、次元一致手段７４において、制御対象に関する挙動推定値と挙動検出値を制御指令値の次元に一致させるので、後述する独立監査処理手段１００の挙動判定手段１０２において、挙動推定値と挙動検出値と制御指令値とを、制御対象に関連せず単なる数値として処理できる。

尚、次元一致手段７４は、単に物理量の単位を変換するのではなく、挙動検出手段７０がセンサ信号から検出した複数の挙動検出値をベクトル合成することにより、複数の挙動検出値を一つの挙動を表す挙動検出値に変換することもある。例えば、ブレーキの油圧制御において、次元一致手段７４は、挙動推定手段６２が推定した挙動推定値であるホイールシリンダの油圧に対し、挙動検出手段７０が検出した挙動検出値である車速および前後の加速度等を各ホイールシリンダの油圧に変換して、挙動推定値と挙動検出値との次元を一致させる。

（独立監査処理手段１００）
独立監査処理手段１００は、制御対象の挙動が異常であるか否かを判定する。独立監査処理手段１００が実施する独立監査処理は、制御対象の構成や機能に関連せず独立しており、制御対象が異なっても共通の同じ処理である。

（挙動判定手段１０２）
独立監査処理手段１００の挙動判定手段１０２は、関連監査処理手段６０の次元一致手段７４が物理量の次元を一致させた挙動推定値と挙動検出値とを比較し、挙動推定値と挙動検出値との挙動ずれ量に基づいて制御対象の挙動が異常であるか否かを判定する。関連監査処理手段６０の次元一致手段７４が挙動推定値と挙動検出値との物理量の次元を一致させているので、挙動判定手段１０２は、挙動推定値と挙動検出値とを、制御対象に関連しない単なる数値として比較できる。

挙動判定手段１０２は、制御対象毎の挙動ずれ量に基づいて個々の制御対象の挙動が異常であるか否かを判定するだけでなく、制御対象の挙動が組み合わさって生じる機能ドメインの挙動ずれ量に基づいて、各制御対象および機能ドメインの挙動が異常であるか否かを判定する。挙動判定手段１０２は、挙動ずれ量が所定範囲内であれば挙動は正常であり、挙動ずれ量が所定範囲を超えると挙動は異常であると判定する。関連監査処理手段６０から挙動推定値および挙動検出値が独立監査処理手段１００に入力されるので、関連監査処理手段６０は、挙動判定手段１０２がどの制御対象の挙動推定値および挙動検出値を入力して挙動判定を実施しているかを知っている。

挙動判定手段１０２は、挙動推定値と挙動検出値との挙動ずれ量として、例えばその差が所定値以内であるか所定値を超えているかに基づいて、制御対象の挙動が異常であるか否かを判定してもよい。単位を考慮しない挙動推定値と挙動検出値との差に基づく挙動の異常判定は、制御対象が異なっても、制御対象に関連せず独立した監査処理である。

また、挙動判定手段１０２は、挙動ずれ量として、挙動推定値と挙動検出値との差の代わりに挙動推定値と挙動検出値との比率に基づいて、制御対象の挙動が異常であるか否かを判定してもよい。比率は挙動推定値および挙動検出値の単位に関係しない値である。また、比率は挙動推定値および挙動検出値の個々の数値の大きさに関係しない値である。例えば、単位を省略して挙動推定値が８０、挙動検出値が１００であっても、挙動推定値が
８、挙動検出値が１０であっても、比率は同じ０．８である。したがって、挙動推定値と挙動検出値との不一致の程度を制御対象に関連せず一律に判定できる。

ところで、挙動推定値と挙動検出値との不一致により挙動異常と判定される場合、制御手段２００により制御対象の挙動が制御される制御系の異常により挙動異常になるのか、あるいは、制御系は正常であるが、車両の走行環境等に想定外の事象が発生したことにより挙動異常となるのかを判別することが望ましい。これは、挙動異常の原因に応じて、制御対象に対する制御手段２００による挙動制御の制御指令値を補正し、挙動異常を解消するためである。

そこで、図３に示すように、制御異常判定手段１０４と、挙動異常判定手段１０６と、異常原因判定手段１０８とから構成される独立監査処理手段１００の挙動判定手段１０２により、挙動判定を実施することが望ましい。

（制御異常判定手段１０４）
制御異常判定手段１０４は、各制御対象に対する制御手段２００の制御指令値と、次元一致手段７４が制御指令値と物理量の次元を一致させた挙動検出値とを比較し、所定範囲内で一致するか不一致であるかに基づいて制御系が異常であるか否かを判定する。この場合、制御異常判定手段１０４は、制御指令値と挙動検出値との制御ずれ量として、制御指令値と挙動検出値との差に基づいて異常を判定してもよいし、制御指令値と挙動検出値との比率に基づいて制御系の異常を判定してもよい。関連監査処理手段６０の次元一致手段７４が挙動検出値の物理量の次元を制御指令値に一致させているので、制御異常判定手段１０４は、挙動検出値と制御指令値とを、制御対象に関連しない単なる数値として比較できる。

（挙動異常判定手段１０６）
挙動異常判定手段１０６は、関連監査処理手段６０の次元一致手段７４が物理量の次元を一致させた挙動推定値と挙動検出値との挙動ずれ量に基づいて、制御対象および機能ドメインの挙動が異常であるか否かを判定する。この場合、挙動異常判定手段１０６は、前述したように、挙動推定値と挙動検出値との差に基づいて各制御対象および機能ドメインの挙動異常を判定してもよいし、挙動推定値と挙動検出値との比率に基づいて各制御対象および機能ドメインの挙動異常を判定してもよい。

（異常原因判定手段１０８）
異常原因判定手段１０８は、制御異常判定手段１０４と挙動異常判定手段１０６との判定結果に基づいて、挙動推定値と挙動検出値とが不一致になり挙動推定値と挙動検出値との挙動ずれ量が所定値を超える挙動異常の原因が、制御系の異常によるものなのか、あるいは、制御系は正常であるが、車両の走行環境等に想定外の事象が発生したことによるものなのかを判定する。

挙動推定値と挙動検出値とが一致せずに挙動異常判定手段１０６が挙動異常と判定し、さらに制御指令値と挙動検出値とが一致せず制御異常判定手段１０４が制御系を異常と判定する場合、異常原因判定手段１０８は、挙動異常の原因が、制御対象、または制御対象に対する制御手段２００による挙動制御のいずれかであると判断する。

例えば、ブレーキの油圧制御における異常原因判定手段１０８の判定処理について考えてみる。ブレーキペダルの踏み込み量を挙動要求として挙動推定手段６２が物理モデル６４から推定したブレーキのホイールシリンダの油圧を挙動推定値とし、次元一致手段７４が車速および前後の加速度から変換したホイールシリンダの油圧を挙動検出値とし、ブレーキペダルの踏み込み量を挙動要求として油圧の制御手段２００が油圧制御回路に指令す
るホイールシリンダの油圧を制御指令値とする。異常原因判定手段１０８は、油圧の挙動推定値と挙動検出値とが一致しないので挙動異常であると挙動異常判定手段１０６が判定し、油圧の挙動検出値と制御指令値とが一致しないと制御異常判定手段１０４が判定すると、挙動異常の原因は制御系であると判定する。ただし、制御異常判定手段１０４と挙動異常判定手段１０６との判定結果だけでは、異常原因判定手段１０８は、制御対象または制御手段２００のどちらが異常であるかを判断できない。

制御系の異常の場合には、後述するように、異常原因判定手段１０８の判定結果と各制御対象に対する診断結果とに基づいて、関連監査処理手段６０の異常箇所特定手段９０において制御系の異常箇所を特定し、必要に応じて異常箇所を切り離す。この場合、後述するように、異常箇所を切り離した状態で、関連監査処理手段６０の補正指令手段８０において、挙動推定値と制御指令値とに基づいて、制御手段２００が制御対象の挙動を制御するときの制御指令値に対する補正量が算出される。

これに対し、制御指令値と挙動検出値とが一致し制御異常判定手段１０４が制御系を正常と判定する一方、挙動推定値と挙動検出値とが一致せず機能ドメインの挙動異常と挙動異常判定手段１０６が判定する場合、異常原因判定手段１０８は、個々の制御対象は制御手段２００による制御指令に対して正常に挙動しているが、想定外の車両の走行環境の変化等により、制御対象の挙動が組み合わさった機能ドメインの挙動が異常になっていると判断する。

例えば、路面上の一部が凍結しており、左右のうち片側のタイヤが凍結路面上を走行する場合、シャーシドメイン内のステアリング、ブレーキ等の個々の制御対象の挙動検出値は制御手段２００からの制御指令値にほぼ一致しており正常である一方、凍結路面のために車両がスリップする結果、タイヤの歪みの挙動推定値と歪みセンサにより検出されるタイヤの歪みの挙動検出値とが一致しないことがある。この場合、異常原因判定手段１０８は、個々の制御対象の挙動は正常であるものの、車両としてはタイヤが歪む状態にあり、異常であると判定する。

このように、制御系が正常であるにもかかわらず、制御対象の挙動が組み合わさった機能ドメインの挙動が異常である場合、後述するように、補正指令手段８０において、挙動推定値と制御指令値とに基づいて、機能ドメインの挙動が正常になるように、制御手段２００による制御対象に対する制御指令値の補正量が算出される。

挙動推定値と挙動検出値とが一致して挙動異常判定手段１０６が挙動を正常と判定する一方、制御指令値と挙動検出値とが一致せず制御異常判定手段１０４が制御系を異常と判定する現象は起こらないと考えられる。

次に、図４から図７に基づいて、制御対象または機能ドメインの挙動異常が発生したときの、関連監査処理手段６０における補正指令手段８０、異常箇所特定手段９０、異常箇所切り離し手段９２による監査処理について説明する。

（補正指令手段８０）
図４に示すように、補正指令手段８０は、挙動ベクトル分割手段８２と補正量算出手段８４とを有している。挙動ベクトル分割手段８２は、機能ドメインの挙動推定値と挙動検出値とが一致しない場合、次元一致手段７４から入力する機能ドメインの挙動推定値の大きさ、および方向を制御対象毎にベクトル分割する。挙動ベクトル分割手段８２は、挙動推定手段６２が推定する機能ドメインの挙動推定値の物理量の次元が制御指令値と一致している場合には、挙動推定手段６２から挙動推定値を入力してもよい。制御対象毎の挙動推定値と挙動検出値とが一致しない場合には、挙動推定値は制御対象毎の値であるから、
挙動ベクトル分割手段８２は挙動推定値をベクトル分割する必要はない。

補正量算出手段８４は、挙動ベクトル分割手段８２から制御対象毎の挙動推定値と、制御手段２００から制御対象毎の制御指令値とを入力する。さらに、補正量算出手段８４は、異常原因判定手段１０８から、挙動異常判定手段１０６において算出された挙動ずれ量と、挙動異常の判定結果と、制御系の異常のために挙動異常になっているのか、制御系が正常であるにも関わらず想定外の事象により挙動異常となっているのかを示す異常原因情報と、後述する異常箇所特定手段９０から挙動異常を引き起こしている異常箇所とを入力する。補正量算出手段８４は、関連監査処理手段６０の一部であるから、前述したように、どの制御対象に対して独立監査処理手段１００の挙動判定手段１０２が挙動異常を判定したかを知っている。

補正量算出手段８４は、挙動ずれ量と挙動の異常原因情報と異常箇所とに基づいて、挙動推定値と制御指令値とから、挙動異常を示している制御対象または機能ドメインの挙動が極力正常になるように、制御手段２００が制御対象に指令する制御指令値を補正する補正量を算出する。例えば、制御系において前輪の右ブレーキのホイールシリンダが異常であり油圧が上昇しない場合には、補正量算出手段８４は、前輪の右ブレーキの油圧異常を考慮して、車両として横滑り等を起こさず、かつ必要な制動力が働くように、残りの正常な３箇所のホイールシリンダに対する油圧制御指令値の補正量を算出する。

また、制御系は正常であるが、想定外の走行環境の変化により挙動異常が発生している場合、例えば、ブレーキのホイールシリンダの油圧は制御手段２００からの制御指令値に応じて正常に作動しているが、凍結路面のために車両が横滑りしている場合、補正量算出手段８４は、タイヤのグリップ力が最適に働き車両の横滑りを回避するように、油圧制御指令値の補正量を算出する。

そして、補正量算出手段８４は、算出した補正量に基づいて制御対象に対する挙動制御を制御手段２００に指令する。この場合、挙動ずれ量として、挙動推定値と挙動検出値との差または比率の大きさをそのまま補正量に反映してもよいし、差または比率の大きさを制御対象に応じて変換し、補正量に反映してもよい。

制御対象の異常箇所が切り離される場合には、補正指令手段８０は切り離される異常箇所を異常箇所特定手段９０から入力し、図７に示すように、異常箇所が切り離された状態の制御対象２０２または機能ドメインに対して、制御対象または機能ドメインが極力正常に挙動するように、制御手段２００による制御対象に対する制御指令値の補正量を算出する。図７では、制御対象２０２において異常箇所Ｘが切り離されている。右前輪のホイールシリンダが異常の場合には、右前輪のホイールシリンダを油圧制御から切り離し、右前輪のブレーキの油圧を０にして、残りの正常な３箇所のホイールシリンダに対する油圧制御指令値の補正量を算出する。そして、補正指令手段８０は、算出した補正量に基づいて制御対象に対する挙動制御を制御手段２００に指令する。

（異常箇所特定手段９０）
図５に示す関連監査処理手段６０の異常箇所特定手段９０は、異常原因判定手段１０８の判定結果が制御系の異常である場合、車両に対する挙動監査とは別の各制御対象に対する診断結果に基づいて、制御系の異常箇所を特定する。異常箇所特定手段９０は、さらに挙動推定値および挙動検出値を異常箇所の特定に用いてもよい。制御系の異常箇所は、制御対象または制御手段２００による制御のいずれかである。

例えば、ブレーキのホイールシリンダおよび油圧制御回路に対する診断結果に基づき、制御手段２００から４論のブレーキの油圧制御回路に正常な信号レベルの油圧制御信号が
送出されているにも関わらず、挙動検出値として何れかのブレーキのホイールシリンダの油圧が異常である場合には、ブレーキのホイールシリンダまたは油圧制御回路が異常原因であると特定する。一方、ブレーキのホイールシリンダおよび油圧制御回路に対する診断結果に基づき、例えば制御手段２００から４論のブレーキの油圧制御回路に送出されている信号レベルが「Ｈｉｇｈ」または「Ｌｏｗ」に固定されている場合には、異常箇所特定手段９０は、制御手段２００から送出される制御信号の異常であると判断する。この場合には、異常箇所特定手段９０は、異常箇所切り離し手段９２に対して、制御手段２００における処理プログラムの異常箇所の実行を禁止すること等により、油圧制御回路に対する油圧制御を禁止するよう指示する。

（異常箇所切り離し手段９２）
図６に示す関連監査処理手段６０の異常箇所切り離し手段９２は、異常箇所特定手段９０が特定する異常箇所の切り離し処理を実施する。例えば、異常箇所切り離し手段９２は、図６に示すように、制御対象２０２の異常箇所Ｘに対して電源供給を遮断することにより、異常箇所を切り離す。異常箇所と連動して作動する箇所がある場合は、異常箇所と、異常箇所と連動して作動する箇所とを１グループと見なしてまとめて切り離してもよい。例えば、右前輪のホイールシリンダの油圧が異常の場合には、右前輪のホイールシリンダとブレーキ液の配管系統が同じである左後輪のホイールシリンダも、右前輪のホイールシリンダとともに油圧が０になるように油圧制御から切り離してもよい。

制御手段２００の制御が異常である場合には、異常箇所切り離し手段９２は、処理プログラムの異常箇所の実行を禁止すること等により、制御手段２００による異常制御を切り離す。

（マイコンによる車両監査装置５０の構成例）
次に、マイコンによる車両監査装置５０の構成例について説明する。

（構成例１）
図８の（Ａ）に示すように、車両監査装置５０の関連監査処理手段６０と独立監査処理手段１００とは、異なるマイコン２１０、２１２により構成されてもよいし、図８の（Ｂ）に示すように、同じマイコン２１４により構成されてもよい。尚、同じマイコンにより構成されるということは、関連監査処理手段６０と独立監査処理手段１００とが、同じＯＳの管理下の元で、同じメモリ装置に記憶されたそれぞれの処理プログラムを同じ演算処理装置（ＣＰＵ）が実行することを表している。

関連監査処理手段６０と独立監査処理手段１００とが同じマイコン２１４により構成され、関連監査処理手段６０および独立監査処理手段１００の処理プログラムが同じメモリに記憶されている状態で、例えば機能ドメインを構成する制御対象の入れ替え、追加、または削除等の制御対象の変更がある場合、あるいは異なる機能ドメインに車両監査装置５０を適用する場合の関連監査処理手段６０の変更について説明する。

プログラムコードを自動生成する開発環境では、関連監査処理手段６０用に設定するモデルの機能だけを変更してプログラムコードを自動生成してメモリを書き換える。これに対し、モジュール化したプログラム単位で開発する場合には、関連監査処理手段６０の処理プログラムだけを変更してメモリを書き換える。

いずれの場合にも、関連監査処理手段６０の設定だけを変更し、独立監査処理手段１００の設定は変更されない。

関連監査処理手段６０と独立監査処理手段１００とが異なるマイコンにより構成されている場合には、マイコン単位で関連監査処理手段６０を変更すればよい。

ところで、関連監査処理手段６０と独立監査処理手段１００とが異なるマイコンにより構成されている場合、２個のマイコンのうち少なくとも１個のマイコンが故障して監査処理が異常となる確率は、関連監査処理手段６０と独立監査処理手段１００とが同じマイコンにより構成され、そのマイコンが故障して監査処理が異常となる確率よりも高くなる。また、前述したように、関連監査処理手段６０と独立監査処理手段１００とは相手の監査処理結果を入力情報としている。したがって、関連監査処理手段６０と独立監査処理手段１００とは、図８の（Ｂ）に示すように同じマイコンにより構成されていることが望ましい。

（構成例２）
図９に示すように、車両監査装置５０と機能ドメイン制御手段２３２を有する機能ドメイン制御装置２３０とを、機能ドメインＥＣＵ２２０の同じマイコン２２２により構成してもよい。これにより、車両監査装置５０と機能ドメイン制御装置２３０とを構成するマイコンの個数を低減できる。

尚、車両監査装置５０と機能ドメイン制御装置２３０とを同じマイコン２２２により構成する場合、車両監査装置５０と機能ドメイン制御装置２３０とが互いに干渉せず独立して処理を実施するために、例えば車両監査装置５０と機能ドメイン制御装置２３０とが共通に利用する記憶装置において、一方が参照する記憶領域に対して他方の書き込みを禁止する等の保護機能２２４をマイコン２２２が備えていることが望ましい。

（構成例３）
構成例２において、同じ機能ドメインに対して監査処理を実施する車両監査装置５０と、機能ドメインの挙動を制御する機能ドメイン制御装置２３０とを同じマイコン２２２により構成すると、マイコン２２２が故障したときに、機能ドメインに対する監査処理および挙動制御の両方が実施できなくなる。この問題を解決するために、車両監査装置５０と機能ドメイン制御装置２３０とを異なるマイコンにより構成すると、マイコンの個数が増加する。

そこで、図１０に示すように、例えば、一方の機能ドメインＥＣＵ２４０の同じマイコン２４２により、パワートレインドメインの挙動を制御するパワートレイン制御手段２２を有するパワートレイン制御装置２４６と、シャーシドメインの挙動を監査する車両監査装置３８とを構成し、他方の機能ドメインＥＣＵ２５０の同じマイコン２５２により、シャーシドメインの挙動を制御するシャーシ制御手段３２を有するシャーシ制御装置２５６と、パワートレインドメインの挙動を監査する車両監査装置２８とを構成することが考えられる。マイコン２４２、２５２は、それぞれ、前述した保護機能２２４と同様の保護機能２４４、２５４を備えている。

図１０のように、同じマイコンにより処理対象である機能ドメインの異なる機能ドメイン制御装置と車両監査装置とを構成することにより、一つのマイコンが故障しても、別のマイコンにより構成されている機能ドメイン制御装置または車両監査装置により、機能ドメインに対して挙動制御または監査処理の一方を実施できる。

（構成例４）
図１１に示すように、車両監査装置５０と機能ドメイン制御装置２３０とが同じマイコン２６０により構成される場合、車両監査装置５０の関連監査処理手段６０および独立監査処理手段１００と、機能ドメイン制御装置２３０の機能ドメイン制御手段２３２とは異なる電源２７０、２７２からそれぞれ電源を供給され、異なる演算装置２６２、２６４により実行されることが望ましい。異なる電源２７０、２７２からそれぞれ電源を供給されるのであれば、演算装置２６２、２６４は、異なるＣＰＵであってもよいし、同じＣＰＵ
内の異なるコアでもよい。

これにより、同じマイコン２６０により構成される場合に、一方の演算装置または電源に故障が発生しても、他方の演算装置は処理を続けることができる。

（構成例５）
図１２に示すように、車両監査装置２８０は、２個のマイコン２８２、２８４により、２組の同じ関連監査処理手段６０および独立監査処理手段１００を構成してもよい。車両監査装置２８０が監査する制御対象が増えるほど、車両監査装置２８０に対して要求される信頼性は増加する。そこで、２個のマイコン２８２、２８４により車両監査装置２８０の冗長系を構成することにより、例えば一方のマイコン２８２が故障しても正常な他方のマイコン２８４で監査処理を実施できるので、車両監査装置２８０による監査処理の信頼性が向上する。車両監査装置を構成するマイコンの個数は２個に限らず３個以上でもよい。尚、車両監査装置２８０を複数のマイコンで構成する場合、各マイコンは、異なるハードウェア構成で、車両上の離れた位置に設置されることが望ましい。これにより、車両監査装置を構成する複数のマイコンが同時に故障または破損する確率を低下できる。

（監査ルーチン）
次に、車両監査処理を実施する監査ルーチンを図１３に示す。監査ルーチンは常時実行される。Ｓ４００において車両監査装置５０は、制御対象の挙動を推定する推定モデルとして、前述した物理モデルまたはデータベースから、制御対象の挙動を推定して挙動推定値を算出する。

Ｓ４０２において車両監査装置５０は、センサ信号から制御対象の挙動を挙動検出値として検出する。

Ｓ４０４において車両監査装置５０は、制御手段２００から制御対象に対する制御指令値を取得する。

Ｓ４０６において車両監査装置５０は、Ｓ４００〜Ｓ４０４で算出または取得した挙動推定値と挙動検出値と制御指令値との物理量の次元を一致させる。

Ｓ４０８において車両監査装置５０は、挙動推定値と挙動検出値とを比較し、挙動推定値と挙動検出値との挙動ずれ量が所定値以内であれば（Ｓ４０８：Ｙｅｓ）、本ルーチンを終了する。

挙動ずれ量が所定値を超える場合（Ｓ４０８：Ｎｏ）、Ｓ４１０において車両監査装置５０は、挙動検出値と制御指令値とを比較する。挙動検出値と制御指令値との制御ずれ量が所定値以内の場合（Ｓ４１０：Ｙｅｓ）、車両監査装置５０は、制御系は正常であるが制御対象の挙動が異常であると判断する。つまり、想定外の事象のために挙動が異常になっていると判断する。そこで、車両監査装置５０は、挙動が正常になるように、挙動ずれ量と挙動推定値と制御指令値とに基づいて制御指令値に対する補正量を算出し（Ｓ４１２）、補正量に基づく制御を制御手段２００に指令する（Ｓ４２０）。

挙動検出値と制御指令値とが一致しない場合（Ｓ４１０：Ｎｏ）、車両監査装置５０は、制御系に故障が発生していると判断する。そこで、車両監査装置５０は、制御対象に対する診断結果と挙動推定値と挙動検出値とに基づいて制御系の異常箇所を特定し（Ｓ４１４）、異常箇所を制御対象から切り離す（Ｓ４１６）。この場合、異常箇所と連動して作動する箇所がある場合は、異常箇所と、異常箇所と連動して作動する箇所とを１グループと見なしてまとめて切り離してもよい。

車両監査装置５０は、Ｓ４１８において異常箇所を切り離した状態で、制御指令値に対する補正量を算出し、Ｓ４２０において補正量に基づく制御を制御手段２００に指令する
。

本実施形態では、パワートレイン制御手段２２、シャーシ制御手段３２、ボディ制御手段４２、制御手段２００が本発明の制御手段に相当する。また、パワートレイン関連監査処理手段２４、シャーシ関連監査処理手段３４、ボディ関連監査処理手段４４、関連監査処理手段６０が本発明の関連監査処理手段に相当する。また、パワートレイン関連監査処理手段２４および独立監査処理手段２６、シャーシ関連監査処理手段３４および独立監査処理手段３６、ボディ関連監査処理手段４４および独立監査処理手段４６はそれぞれ、該当する機能ドメインの挙動を監査する本発明の車両監査装置を構成する。また、マイコン２１０、２１２、２１４、２２２、２４２、２５２、２６０、２８２は本発明の処理装置に相当する。

尚、図１３のＳ４００、Ｓ４０２Ｓ４０６、およびＳ４１２〜Ｓ４２０は、本発明の車両監査装置における関連監査処理手段としての機能に相当し、Ｓ４０４、Ｓ４０８、およびＳ４１０は本発明の車両監査装置における独立監査処理手段としての機能に相当する。詳細には、Ｓ４００は車両監査装置における挙動推定手段としての機能に相当し、Ｓ４０２は挙動検出手段としての機能に相当し、Ｓ４０８およびＳ４１０は挙動判定手段としての機能に相当し、Ｓ４１２、Ｓ４１８およびＳ４２０は補正指令手段としての機能に相当し、Ｓ４１４は異常箇所特定手段としての機能に相当し、Ｓ４１６は異常箇所切り離し手段としての機能に相当する。

［第２実施形態］
第２実施形態の車両監査装置を適用した車両制御システムを図１４に示す。

図１４に示す車両制御システム２９０において、車両監査装置３１０は、第１実施形態における各機能ドメインの関連監査処理手段６０および独立監査処理手段１００を機能ドメイン制御手段から切り離して統合したものであり、車両全体の挙動を監査する。

関連監査処理手段３１２は、機能ドメイン単位ではなく、車両全体の制御対象に関連した関連監査処理を実施する。したがって、第１実施形態で機能ドメイン毎に設けられた関連監査処理手段６０の関連監査処理とは設定が異なっている。

独立監査処理手段３１４は第１実施形態で説明した独立監査処理手段１００と実質的に同一であり、機能ドメインに対する監査処理、あるいは車両全体に対する監査処理に関わらず、制御対象に関連せず独立した監査処理を実施する。

尚、車両監査装置３１０は、機能ドメインＥＣＵ２０、３０、４０とハードウェアを独立して設けられてもよいし、一部を共有して設けられてもよい。

以上説明した上記実施形態では、車両に搭載された制御対象の挙動を監査する車両監査装置において、制御対象に関連せず独立した独立監査処理を実施する独立監査処理手段と、制御対象に関連する関連監査処理を実施する関連監査処理手段とに分類して構成するために、制御対象の挙動推定値および挙動検出値と、制御対象に対する制御手段の制御指令との物理量の次元を関連監査処理手段が一致させた。これにより、独立監査処理手段は、制御対象に関連せず、独立した監査処理として制御対象の挙動が異常であるか否かを判定できる。

このように関連監査処理手段と独立監査処理手段とで制御対象に対する監査処理を分類したことにより、制御対象が変更になると、独立監査処理手段は変更せず、関連監査処理手段だけを変更すればよい。その結果、異なる制御対象に対して同じ共通の独立監査処理手段を使用して監査処理を実施できるので、制御対象に応じた車両監査装置の監査処理の変更量が低減する。また、車両監査装置が同じ独立監査処理手段を使用するので、制御対
象に応じて車両監査装置の監査処理全体を変更する場合に比べ、独立監査処理手段による監査処理の信頼性が向上する。

［他の実施形態］
上記実施形態では、機能ドメイン単位、または車両全体に対し、複数の制御対象の挙動を監査する車両監査装置について説明した。これに対し、本発明の車両監査装置は、車両に搭載された制御対象毎に設けられ、各制御対象の挙動を監査してもよい。この場合にも、関連監査処理手段は、制御対象に応じて制御対象に関連する監査処理を設定される。一方、独立監査処理手段は、制御対象が変更になっても変更されず、制御対象に関連せず独立した監査処理を実施する。このように、本発明では、制御対象毎、または機能ドメイン毎、または車両に対して車両監査装置が設けられても、共通の同じ独立監査処理手段が使用される。

上記実施形態では、関連監査処理手段、独立監査処理手段、挙動推定手段、挙動検出手段、挙動判定手段、補正指令手段、異常箇所特定手段、異常箇所切り離し手段の機能を、処理プログラムにより機能が特定される車両監査装置により実現している。これに対し、上記複数の手段の機能の少なくとも一部を、回路構成自体で機能が特定されるハードウェアで実現してもよい。

このように、本発明は、上記実施形態に限定されるものではなく、その要旨を逸脱しない範囲で種々の実施形態に適用可能である。

第１実施形態による車両制御システムを示すブロック図。 車両監査装置を示すブロック図。 車両監査装置による挙動判定を示すブロック図。 車両監査装置による補正指令を示すブロック図。 車両監査装置による異常箇所の特定を示すブロック図。 車両監査装置による異常箇所の切り離しを示すブロック図。 異常箇所を切り離した状態での補正指令を示すブロック図。 車両監査装置の構成例１を示すブロック図。 車両監査装置の構成例２を示すブロック図。 車両監査装置の構成例３を示すブロック図。 車両監査装置の構成例４を示すブロック図。 車両監査装置の構成例５を示すブロック図。 監査ルーチンを示すフローチャート。 第２実施形態による車両制御システムを示すブロック図。

符号の説明

１０、２９０：車両制御システム、２２：パワートレイン制御手段（制御手段）、２４：パワートレイン関連監査処理手段（関連監査処理手段）、２６、３６、４６、１００、３１４：独立監査処理手段、３２：シャーシ制御手段（制御手段）、３４：シャーシ関連監査処理手段（関連監査処理手段）、４２：ボディ制御手段（制御手段）、４４：ボディ関連監査処理手段（関連監査処理手段）、５０、３１０：車両監査装置、６０、３１２：関連監査処理手段、６２：挙動推定手段、６４：物理モデル、６６：パラメータ、７０：挙動検出手段、７２：挙動検出値、７４：次元一致手段、８０：補正指令手段、９０：異常箇所特定手段、９２：異常箇所切り離し手段、２００：制御手段、２１０、２１２、２１４、２２２、２４２、２５２、２６０、２８２：マイコン（処理装置）、２２４、２４４、２５４：保護機能、２６２、２６４：演算装置、２７０、２７２：電源

Claims (18)

1. 車両に搭載され制御手段により挙動を制御される少なくとも一つの制御対象の挙動を監査する車両監査装置において、
   前記制御対象に関連する関連監査処理を実施し、前記制御対象に応じた前記関連監査処理が設定されている関連監査処理手段と、
   前記制御対象の構成や機能に関連せず独立した独立監査処理を実施する独立監査処理手段と、
   を備え、
   前記関連監査処理手段は、
   前記制御手段が前記制御対象を制御することにより生じる前記制御対象の挙動を検出する挙動検出手段と、
   前記制御対象に対して所定の挙動を要求する挙動要求に基づいて前記制御対象の挙動を推定する挙動推定手段と、
   前記挙動推定手段が推定する挙動推定値と、前記挙動検出手段が検出する挙動検出値と、前記制御対象に対する前記制御手段による制御指令値との物理量の次元を一致させる次元一致手段と、
   を有し、
   前記独立監査処理手段は、前記次元一致手段が物理量の次元を一致させた前記挙動推定値と前記挙動検出値との挙動ずれ量に基づいて前記制御対象の挙動が異常であるか否かを判定する挙動判定手段を有し、
   前記挙動判定手段は、前記挙動ずれ量に基づいて前記制御対象の挙動が異常であると判定すると、前記次元一致手段が物理量の次元を一致させた前記挙動検出値と前記制御指令値との制御ずれ量に基づき、前記制御手段により前記制御対象の挙動が制御される制御系が挙動異常の原因か否かを判定する、
   ことを特徴とする車両監査装置。
2. 前記関連監査処理手段は、挙動異常の原因が前記制御系にあると前記挙動判定手段が判定すると、前記制御系において挙動異常を引き起こす箇所を特定する異常箇所特定手段を有することを特徴とする請求項１に記載の車両監査装置。
3. 前記関連監査処理手段は、前記異常箇所特定手段が特定する前記異常箇所を前記制御系から切り離す異常箇所切り離し手段を有することを特徴とする請求項２に記載の車両監査装置。
4. 前記異常箇所切り離し手段は、前記制御系において前記異常箇所と連動して機能する箇所も異常箇所として前記制御系から切り離すことを特徴とする請求項３に記載の車両監査装置。
5. 前記関連監査処理手段は、前記挙動ずれ量に基づいて前記制御対象の挙動が異常であると前記挙動判定手段が判定すると、前記挙動ずれ量と、前記挙動推定値と、前記制御対象に対する前記制御手段による制御指令値とに基づいて前記制御対象に対する前記制御指令値の補正量を算出し、前記補正量に基づいた挙動制御を前記制御手段に指令する補正指令手段を有することを特徴とする請求項１または２に記載の車両監査装置。
6. 車両に搭載され制御手段により挙動を制御される少なくとも一つの制御対象の挙動を監査する車両監査装置において、
   前記制御対象に関連する関連監査処理を実施し、前記制御対象に応じた前記関連監査処理が設定されている関連監査処理手段と、
   前記制御対象の構成や機能に関連せず独立した独立監査処理を実施する独立監査処理手段と、
   を備え、
   前記関連監査処理手段は、
   前記制御手段が前記制御対象を制御することにより生じる前記制御対象の挙動を検出する挙動検出手段と、
   前記制御対象に対して所定の挙動を要求する挙動要求に基づいて前記制御対象の挙動を推定する挙動推定手段と、
   前記挙動推定手段が推定する挙動推定値と前記挙動検出手段が検出する挙動検出値との物理量の次元を一致させる次元一致手段と、
   前記挙動ずれ量に基づいて前記制御対象の挙動が異常であると前記挙動判定手段が判定すると、前記挙動ずれ量と、前記挙動推定値と、前記制御対象に対する前記制御手段による制御指令値とに基づいて前記制御対象に対する前記制御指令値の補正量を算出し、前記補正量に基づいた挙動制御を前記制御手段に指令する補正指令手段と、
   を有し、
   前記独立監査処理手段は、前記次元一致手段が物理量の次元を一致させた前記挙動推定値と前記挙動検出値との挙動ずれ量に基づいて前記制御対象の挙動が異常であるか否かを判定する挙動判定手段を有する、
   ことを特徴とする車両監査装置。
7. 前記関連監査処理手段は、前記挙動ずれ量に基づいて前記制御対象の挙動が異常であると前記挙動判定手段が判定し、前記異常箇所切り離し手段が前記制御系から前記異常箇所を切り離した状態で、前記挙動ずれ量と前記挙動推定値と前記制御指令値とに基づいて前記制御対象に対する前記制御指令値の補正量を算出し、前記補正量に基づいた挙動制御を前記制御手段に指令する補正指令手段を有することを特徴とする請求項３または４に記載の車両監査装置。
8. 前記関連監査処理手段は、複数の前記制御対象に対して前記関連監査処理を実施し、
   前記独立監査処理手段は、複数の前記制御対象に対して前記独立監査処理を実施する、ことを特徴とする請求項１から７のいずれか一項に記載の車両監査装置。
9. 前記関連監査処理手段は、車両全体に対して前記関連監査処理を実施し、
   前記独立監査処理手段は、車両全体に対して前記独立監査処理を実施する、
   ことを特徴とする請求項８に記載の車両監査装置。
10. 前記独立監査処理手段および前記関連監査処理手段は、同じ処理装置により構成されていることを特徴とする請求項１から９のいずれか一項に記載の車両監査装置。
11. 前記制御手段と、前記独立監査処理手段および前記関連監査処理手段とは、互いの処理を干渉させずに実行できる保護機能を有する同じ前記処理装置により構成されていることを特徴とする請求項１０に記載の車両監査装置。
12. 前記独立監査処理手段および前記関連監査処理手段は、前記独立監査処理手段および前記関連監査処理手段が監査する前記制御対象とは異なる前記制御対象の挙動を制御する前記制御手段と同じ前記処理装置により構成されていることを特徴とする請求項１１に記載の車両監査装置。
13. 車両に搭載され制御手段により挙動を制御される少なくとも一つの制御対象の挙動を監査する車両監査装置において、
    前記制御対象に関連する関連監査処理を実施し、前記制御対象に応じた前記関連監査処理が設定されている関連監査処理手段と、
    前記制御対象の構成や機能に関連せず独立した独立監査処理を実施する独立監査処理手段と、
    を備え、
    前記関連監査処理手段は、
    前記制御手段が前記制御対象を制御することにより生じる前記制御対象の挙動を検出する挙動検出手段と、
    前記制御対象に対して所定の挙動を要求する挙動要求に基づいて前記制御対象の挙動を推定する挙動推定手段と、
    前記挙動推定手段が推定する挙動推定値と前記挙動検出手段が検出する挙動検出値との物理量の次元を一致させる次元一致手段と、
    を有し、
    前記独立監査処理手段は、前記次元一致手段が物理量の次元を一致させた前記挙動推定値と前記挙動検出値との挙動ずれ量に基づいて前記制御対象の挙動が異常であるか否かを判定する挙動判定手段を有し、
    前記制御手段と、前記独立監査処理手段および前記関連監査処理手段とは、互いの処理を干渉させずに実行できる保護機能を有する同じ処理装置により構成されており、
    前記独立監査処理手段および前記関連監査処理手段は、前記独立監査処理手段および前記関連監査処理手段が監査する前記制御対象とは異なる前記制御対象の挙動を制御する前記制御手段と同じ前記処理装置により構成されている、
    ことを特徴とする車両監査装置。
14. 前記処理装置は、前記独立監査処理および前記関連監査処理を実行する演算装置と、前記制御手段による挙動制御を実行する演算装置とをそれぞれ有し、
    前記独立監査処理手段および前記関連監査処理手段は、前記制御手段とは異なる電源から電力を供給される、
    ことを特徴とする請求項１１から１３のいずれか一項に記載の車両監査装置。
15. 車両に搭載され制御手段により挙動を制御される少なくとも一つの制御対象の挙動を監査する車両監査装置において、
    前記制御対象に関連する関連監査処理を実施し、前記制御対象に応じた前記関連監査処理が設定されている関連監査処理手段と、
    前記制御対象の構成や機能に関連せず独立した独立監査処理を実施する独立監査処理手段と、
    を備え、
    前記関連監査処理手段は、
    前記制御手段が前記制御対象を制御することにより生じる前記制御対象の挙動を検出する挙動検出手段と、
    前記制御対象に対して所定の挙動を要求する挙動要求に基づいて前記制御対象の挙動を推定する挙動推定手段と、
    前記挙動推定手段が推定する挙動推定値と前記挙動検出手段が検出する挙動検出値との物理量の次元を一致させる次元一致手段と、
    を有し、
    前記独立監査処理手段は、前記次元一致手段が物理量の次元を一致させた前記挙動推定値と前記挙動検出値との挙動ずれ量に基づいて前記制御対象の挙動が異常であるか否かを判定する挙動判定手段を有し、
    前記制御手段と、前記独立監査処理手段および前記関連監査処理手段とは、互いの処理を干渉させずに実行できる保護機能を有する同じ処理装置により構成されており、
    前記処理装置は、前記独立監査処理および前記関連監査処理を実行する演算装置と、前記制御手段による挙動制御を実行する演算装置とをそれぞれ有し、
    前記独立監査処理手段および前記関連監査処理手段は、前記制御手段とは異なる電源から電力を供給される、
    ことを特徴とする車両監査装置。
16. 前記独立監査処理手段および前記関連監査処理手段を構成する複数の前記処理装置を備えることを特徴とする請求項１０から１５のいずれか一項に記載の車両監査装置。
17. 前記挙動推定手段は、前記挙動要求を入力値とし前記制御対象に応じて設定された物理モデルと、前記物理モデルを特徴付ける車両に固有のパラメータとに基づいて前記制御対象の挙動を推定することを特徴とする請求項１から１６のいずれか一項に記載の車両監査装置。
18. 前記挙動判定手段は、前記挙動ずれ量として前記挙動推定値と前記挙動検出値との比率に基づいて前記制御対象の挙動が異常であるか否かを判定することを特徴とする請求項１から１７のいずれか一項に記載の車両監査装置。

Images